点击注册窗口内的“Postpone registration”按钮可以延期 7 天，期间可以正常通过 GUI 配置 FortiGate：
\n![\"7](\"https://support.fortinet.com.cn/assets/image-20260416181501001-BtnCQVuG.png\")
\n延期到期后会重新进入强制注册状态，无法继续延期：
\n![\"7](\"https://support.fortinet.com.cn/assets/image-20260416181501002-KfmZrrPh.png\")
\nFortiGate 面板 LED 可以用于现场快速判断设备上电、启动、HA、PoE、无线、DSL、BLE、端口连接以及硬件告警状态。
\n不同型号的 LED 位置、名称和支持的状态可能不同，排查时应以对应机型的 QuickStart Guide 和硬件指南为准。下图是部分 FortiGate 型号的 LED 面板位置示例。
\n![\"FortiGate](\"https://support.fortinet.com.cn/assets/image-20260604120000001-DgTTJC4g.png\")
\n![\"image-20260604162937609\"](\"https://support.fortinet.com.cn/assets/image-20260604162937609-DYY_IK7h.png\")
\n![\"image-20260604162947840\"](\"https://support.fortinet.com.cn/assets/image-20260604162947840-g2BIIhoJ.png\")
\n![\"image-20260604162952094\"](\"https://support.fortinet.com.cn/assets/image-20260604162952094-USEy3rEB.png\")
\n相关信息
\n并非所有 FortiGate 都包含下表中的全部 LED，也并非所有型号都支持每一种状态。
\n| LED | \n状态 | \n含义 | \n
|---|---|---|
| Logo | \n绿色或蓝色 | \n设备已上电。 | \n
| 熄灭 | \n设备未上电。 | \n|
| Power（PWR） | \n绿色 | \n设备已上电，或双电源均正常工作。 | \n
| 琥珀色或红色 | \n仅有一个电源正常工作。 | \n|
| 琥珀色或红色闪烁 | \n电源故障。 | \n|
| 熄灭 | \n设备未上电。 | \n|
| Status（STA） | \n绿色 | \n设备状态正常。 | \n
| 绿色闪烁 | \n设备正在启动。 | \n|
| 琥珀色 | \n存在 Major 或 Minor 级别告警。 | \n|
| 红色 | \n存在 Major 级别告警。 | \n|
| 琥珀色或红色闪烁 | \nBLE 已开启。 | \n|
| 熄灭 | \n设备未上电。 | \n|
| Bypass（BYP） | \n琥珀色 | \nBypass 端口对已启用。 | \n
| 熄灭 | \nBypass 端口对未启用。 | \n|
| Alarm | \n红色 | \nMajor 级别告警。 | \n
| 琥珀色 | \nMinor 级别告警。 | \n|
| 熄灭 | \n无告警。 | \n|
| HA | \n绿色 | \n设备正在 HA 集群中运行。 | \n
| 琥珀色或红色 | \n发生 HA 故障切换。 | \n|
| 熄灭 | \n未启用 HA。 | \n|
| Max PoE | \n绿色、琥珀色或红色 | \n已分配最大 PoE 功率。 | \n
| 熄灭 | \nPoE 功率仍可用，或 PoE 状态正常。 | \n|
| PoE | \n绿色 | \n正在供电。 | \n
| 绿色闪烁 | \n出现错误，或 PoE 设备正在请求供电。 | \n|
| 熄灭 | \n未连接 PoE 设备，或未供电。 | \n|
| SVC | \n绿色 | \nSVC 已开启。 | \n
| 绿色闪烁 | \n存在 SVC 活动。 | \n|
| 熄灭 | \nSVC 已关闭。 | \n|
| 3G4G、3G/4G | \n绿色 | \n3G/4G 服务已开启。 | \n
| 绿色闪烁 | \n存在 3G/4G 活动。 | \n|
| 熄灭 | \n3G/4G 服务已关闭。 | \n|
| WiFi | \n绿色 | \nWiFi 已连接。 | \n
| 绿色闪烁 | \n存在 WiFi 活动。 | \n|
| 熄灭 | \nWiFi 已关闭。 | \n|
| DSL LINK/ACT | \n绿色 | \nDSL 已连接。 | \n
| 绿色闪烁 | \n存在 DSL 活动。 | \n|
| 熄灭 | \nDSL 未连接。 | \n|
| xDSL | \n绿色 | \nVDSL 已连接。 | \n
| 琥珀色 | \nADSL 已连接。 | \n|
| 熄灭 | \nDSL 未连接。 | \n|
| BLE | \n蓝色 | \nBLE 已开启。 | \n
| 蓝色闪烁 | \nBLE 处于发现状态。 | \n|
| 熄灭 | \nBLE 已关闭。 | \n|
| Signed Firmware1 | \n绿色 | \n安全级别为 High：默认状态，阻止未签名固件。 | \n
| 红色 | \n安全级别为 Low：允许未签名固件，但会产生告警。 | \n |
| Power supplies and fans | \n电源和风扇 LED 信息请以对应机型的 QuickStart Guide 和硬件指南为准。 | \n
提示
\nSigned Firmware LED 只存在于支持该硬件开关的型号。相关安全级别说明可参考系统管理 → 固件与配置管理 → 固件版本管理 → G 系列修改安全级别章节。
| LED | \n状态 | \n含义 | \n
|---|---|---|
| Ethernet 和 SFP | \n常亮 | \n端口已建立连接。 | \n
| 闪烁 | \n端口正在收发数据。 | \n|
| 熄灭 | \n端口未建立连接。 | \n|
| Speed | \n绿色 | \n端口以最高速率连接。 | \n
| 琥珀色 | \n端口以中间速率连接。 | \n|
| 熄灭 | \n端口未连接，或以最低速率连接。 | \n|
| PoE | \n绿色 | \nPoE 已开启，或 PoE 设备正在受电。 | \n
| 琥珀色 | \n端口正在供电。 | \n|
| 红色 | \n设备已连接，但未获得 PoE 供电。 | \n|
| 熄灭 | \nPoE 已关闭，或没有设备受电。 | \n
Minor alarm 也称为 IPMI non-critical（NC）告警，表示温度或电源电平超出正常工作范围，但尚未被视为故障。例如出现轻微温度告警时，系统可能会提高风扇转速。Non-critical 阈值包括：
\nUNC：Upper Non-Critical，例如温度偏高或功率偏高。LNC：Lower Non-Critical，例如功率偏低。Major alarm 也称为 IPMI critical 或 critical recoverable（CR）告警，表示系统无法自行纠正告警原因，需要人工介入。例如散热系统无法提供足够冷却能力，或环境条件正在接近允许工作范围的边界。Critical 阈值包括：
\nUC：Upper Critical，例如高温或高功率。LC：Lower Critical，例如低功率。Critical alarm 也称为 IPMI non-recoverable（NR）告警，表示系统检测到温度或电源电平已经超出允许工作范围，并可能造成硬件损坏。
\nAlarm、Status 或 Power LED 变为琥珀色、红色或闪烁时，优先检查供电、风扇、温度、机房环境和设备事件日志。HA LED 显示琥珀色或红色时，应同步检查 HA 集群状态，确认是否发生预期外的主备切换。Speed LED 熄灭不一定代表物理链路断开，也可能表示端口以最低速率连接，需要结合端口 Link/Act LED 和接口状态判断。默认情况下，FortiGate 的 VDOM 名称通常限制为 11 个字符。在多 VDOM 场景中，如果需要使用更长的业务名称，可以在全局配置中启用长 VDOM 名称功能。
\n该功能适用于 FortiOS 7.0、7.2、7.4 等版本，原文也覆盖 FortiOS 6.4。部分型号不支持该命令，如果命令不可用，需要以设备实际支持情况为准。
\n在全局模式下启用 long-vdom-name。
config global\n config system global\n set long-vdom-name enable\n end\nend注
\nFortiGate VM 机型上，set long-vdom-name 在全局配置中可能是隐藏 CLI 命令，命令自动补全可能不会显示，需要手动完整输入。
启用长 VDOM 名称后，创建超过 11 个字符的 VDOM 时，系统会提示自动为该 VDOM 生成一个短名称。
\nconfig vdom\n edit testlongvdomname\n\nThe auto-generated short name 'testlong001' will be used.\ncurrent vf=testlongvdomname:4\n\nend短名称用于满足内部兼容和引用需求，长名称仍可作为业务上更容易识别的 VDOM 名称使用。
\n启用长 VDOM 名称后，在配置中可能看到 VDOM 以带 / 的形式显示，例如：
config vdom\nedit testlongvdomname/testlong001\nnext\nend这是启用长 VDOM 名称后的正常显示方式，/前为长名称，/后为自动生成的短名称，不代表 VDOM 配置异常。
config global 下的 config system global 中配置。set long-vdom-name，如果命令不存在或无法生效，需要确认设备型号和 FortiOS 版本是否支持。本地用户密码策略用于约束 FortiGate 防火墙本地用户的密码复杂度、密码有效期和密码复用行为。相比早期版本只控制过期时间的本地用户密码策略，FortiOS 7.4.1 及后续版本可以进一步限制最小长度、大小写字母、数字、特殊字符、与旧密码不同的字符数量，以及是否允许重复使用旧密码。
\n该功能适用于使用 config user local 创建的本地防火墙用户，例如防火墙策略认证、Captive Portal、SSL VPN 或其他引用本地用户/用户组的认证场景。它不等同于系统管理员密码策略，管理员密码策略仍然通过 config system password-policy 配置。
config user password-policy\n edit <policy_name>\n set minimum-length <8-128>\n set min-lower-case-letter <0-128>\n set min-upper-case-letter <0-128>\n set min-non-alphanumeric <0-128>\n set min-number <0-128>\n set min-change-characters <0-128>\n set expire-status {enable | disable}\n set expire-days <0-999>\n set warn-days <0-30>\n set expired-password-renewal {enable | disable}\n set reuse-password {enable | disable}\n set reuse-password-limit <0-20>\n next\nend密码策略创建后，需要在本地用户上通过 passwd-policy 关联，才会对该用户生效。
config user local\n edit <user_name>\n set type password\n set passwd-policy <policy_name>\n next\nendminimum-length：密码最小长度，范围为 8~128，默认值为 8。min-lower-case-letter：密码中至少包含的小写字母数量，范围为 0~128，默认值为 0。min-upper-case-letter：密码中至少包含的大写字母数量，范围为 0~128，默认值为 0。min-non-alphanumeric：密码中至少包含的非字母数字字符数量，范围为 0~128，默认值为 0。min-number：密码中至少包含的数字数量，范围为 0~128，默认值为 0。min-change-characters：新密码中至少包含多少个旧密码中不存在的字符，范围为 0~128，默认值为 0。如果同时配置了 reuse-password，该参数优先级更高。expire-status：是否启用密码过期机制，默认值为 disable。expire-days：密码有效期，单位为天，范围为 0~999，默认值为 180。只有启用 expire-status 后，才会按该参数强制用户修改密码。warn-days：密码到期前多少天提示用户修改密码，范围为 0~30，默认值为 15。expired-password-renewal：是否允许用户在密码已经过期后自行更新密码，默认值为 disable。reuse-password：是否允许重复使用旧密码，默认值为 enable。reuse-password-limit：允许重复使用旧密码的次数，范围为 0~20，默认值为 0。设置为 0 时表示不限制重复使用次数。以下示例创建一个名为 strict-local-user 的本地用户密码策略，并将其绑定到用户 pwd-test1。
config user password-policy\n edit \"strict-local-user\"\n set minimum-length 8\n set min-lower-case-letter 1\n set min-upper-case-letter 1\n set min-non-alphanumeric 3\n set min-number 3\n set min-change-characters 2\n set expire-status enable\n set expire-days 90\n set warn-days 7\n set expired-password-renewal enable\n set reuse-password disable\n next\nend\n\nconfig user local\n edit \"bing\"\n set type password\n set passwd-policy \"strict-local-user\"\n next\nend当新密码满足策略时，可以正常提交：
\nconfig user local\n edit \"bing\"\n set passwd CCbcset123!!!\n next\nend当新密码不满足策略时，CLI 会拒绝提交并提示缺少的复杂度条件。例如以下密码只有 2 个数字，不满足 min-number 3：
config user local\n edit \"bing\"\n set passwd CCbXsetp23!!!\nNew password must conform to the password policy enforced on this user:\n...\nCommand fail. Return code -49实际提示中会列出未满足的条件，例如最小长度、大小写字母数量、特殊字符数量、数字数量、与旧密码不同的字符数量，以及是否重复使用了旧密码。
\n从 FortiOS 7.4.0 升级到 7.4.1 或后续版本后，原有 config user password-policy 中的 expire-days、warn-days、expired-password-renewal 配置会保留，但需要通过 CLI 启用 expire-status，密码过期机制才会真正生效。
可以在升级后检查已有策略：
\nconfig user password-policy\n edit <policy_name>\n get\n next\nend如果看到 expire-status: disable，即使 expire-days 已经配置，FortiGate 也不会按照该天数强制本地用户修改密码。需要显式启用：
config user password-policy\n edit <policy_name>\n set expire-status enable\n next\nend在 GUI 中进入“用户与认证 → 设置用户”，编辑本地用户并点击“修改密码”时，如果新密码不符合该用户绑定的密码策略，界面会显示对应的复杂度告警，并指出需要修正的条件。例如密码中特殊字符数量不足时，会提示需要满足 min-non-alphanumeric 的要求。
![\"本地用户修改密码时的密码策略提示\"](\"https://support.fortinet.com.cn/assets/image-20260528140501001-D3db_LNl.png\")
\n用户通过防火墙策略认证/Captive Portal 认证时，如果本地用户密码已经过期，FortiGate 会提示用户修改密码。新密码提交时同样会按该用户绑定的密码策略检查。
\n![\"防火墙认证用户修改过期密码提示\"](\"https://support.fortinet.com.cn/assets/image-20260528140501002-D_C4HkRA.png\")
\n用户通过 SSL VPN 门户登录时，如果本地用户密码已经过期，也会进入密码更新流程。新密码满足策略后，用户才能继续登录 SSL VPN 门户。
\n![\"SSL](\"https://support.fortinet.com.cn/assets/image-20260528140501003-7NCQgPlp.png\")
\n",
"image": "https://support.fortinet.com.cn/assets/image-20260528140501001-D3db_LNl.png",
"date_published": "2026-05-28T06:27:16.000Z",
"date_modified": "2026-05-28T06:27:16.000Z",
"authors": [
{
"name": "Fortinet TAC Team",
"url": "https://support.fortinet.com.cn"
}
],
"tags": [
"用户与认证"
]
},
{
"title": "Ping 工具",
"url": "https://support.fortinet.com.cn/troubleshooting/ping_options",
"id": "https://support.fortinet.com.cn/troubleshooting/ping_options",
"summary": "Ping 工具 FortiGate CLI 的 execute ping 和 execute ping6 可配合 ping-options/ping6-options 调整报文参数，用于连通性、路由、SD-WAN 规则、MTU/分片、DNS 解析等场景的排查。 常用参数： adaptive-ping：快速发出 Ping Request 报文（收到上一个...",
"content_html": "\nFortiGate CLI 的 execute ping 和 execute ping6 可配合 ping-options/ping6-options 调整报文参数，用于连通性、路由、SD-WAN 规则、MTU/分片、DNS 解析等场景的排查。
常用参数：
\nadaptive-ping：快速发出 Ping Request 报文（收到上一个 Echo Reply 后立即发送下一个 Echo Request，也就是快速 Ping）。repeat-count：指定 Ping 测试次数，避免默认次数不足或持续输出过多。source：指定源 IP，可用于模拟从不同网段发起的 FortiGate 本地流量。interface：指定出接口，可用于验证指定链路或路由方向。use-sdwan：指定是否让 Ping 流量参与 SD-WAN 规则和策略路由匹配。查看 IPv4 Ping 可用选项：
\nexecute ping-options ?常见选项如下：
\nexecute ping-options adaptive-ping <enable|disable>\nexecute ping-options data-size <bytes>\nexecute ping-options df-bit {yes | no}\nexecute ping-options pattern <2-byte_hex>\nexecute ping-options interface <auto | interface_name>\nexecute ping-options interval <seconds>\nexecute ping-options repeat-count <repeats>\nexecute ping-options source {auto | <source-intf_ip>}\nexecute ping-options timeout <seconds>\nexecute ping-options tos <service_type>\nexecute ping-options ttl <hops>\nexecute ping-options validate-reply {yes | no}\nexecute ping-options view-settings\nexecute ping-options use-sdwan <yes | no>\nexecute ping-options resetadaptive-ping <enable|disable>：开启后，收到上一个 Echo Reply 后立即发送下一个 Echo Request，也就是快速 Ping；默认为关闭状态，每秒 Ping 1 个包。data-size <bytes>：指定 ICMP 数据报文大小，单位为字节。df-bit {yes | no}：设置 DF bit。yes 表示禁止分片，no 表示允许分片，常用于 MTU/分片问题排查。pattern <2-byte_hex>：使用指定 2 字节十六进制内容填充 ICMP 末尾的数据缓冲区，可配合 data-size 测试不同报文大小对链路的影响。interface <auto | interface_name>：指定 Echo Request 的出接口。auto 表示 FortiGate 根据目的地址查路由自动选择出接口。interval <seconds>：指定每次 Ping 之间的间隔。repeat-count <repeats>：指定 Ping 的发送次数。source {auto | <source IP>}：指定 Ping 的源 IP。auto 表示 FortiGate 根据实际出接口自动选择源地址。指定不同网段的源 IP 可用于模拟不同源地址发起的连接。timeout <seconds>：指定等待 Echo Reply 的超时时间，单位为秒。tos <service_type>：设置 IP 头部 ToS 字段，表达期望的服务质量。ttl <hops>：指定 TTL，达到该跳数后报文会被丢弃或返回。validate-reply {yes | no}：设置是否校验返回报文中的数据内容。view-settings：查看当前 Ping 选项配置。use-sdwan <yes | no>：默认值为 no。设置为 yes 后，Ping 流量会检查 SD-WAN 规则和策略路由，通常配合 source 使用，以验证特定源地址是否命中特定 SD-WAN 规则。reset：将 Ping 选项恢复为默认值。tos 可用值如下：
| tos 值 | ToS 字段 | 说明 |\n|
VPN 技术用于让用户、设备和站点在不安全的互联网环境中安全互联。SSL VPN 和 IPSec VPN 都是使用广泛、配置和部署相对简单的 VPN 技术。
\n不同 VPN 技术有各自的优势和常见使用场景。SSL VPN 通常用于单个用户和终端的安全远程接入。它一般易于部署，并且连接基于 TLS 的 TCP/443，运营商较少限制这类连接。SSL VPN 同时提供 Tunnel 模式和 Web 模式，可以分别用于安装客户端和无客户端访问的部署方式。
\nIPSec VPN 通常用于站点到站点连接，尤其适合通过 ADVPN 搭建多站点 Hub-Spoke 架构。ADVPN 可以在站点之间自动建立隧道，结合动态路由，并通过 FortiManager 等编排工具批量下发配置，从而简化复杂的多站点部署。
\n在较小规模的远程用户接入场景中，IPSec VPN 同样可以通过拨号 VPN 支持远程用户。与 SSL VPN 类似，当 IPSec 使用 IKEv2 时，可以配置 TCP 作为传输方式，通过 TCP/443 进行 IKE 协商，并将 ESP 报文封装在 TCP 头部中。协议、加密算法和认证方式都可以按企业需求定制。
\n作为 VPN 的替代方案，尤其是替代基于 Web 的 SSL VPN 访问，也可以使用 ZTNA。ZTNA 在终端和 Zero Trust Application Gateway 之间通过 TLS 建立连接。零信任方式默认不信任设备，直到设备通过必要的安全状态检查，例如客户端证书校验和漏洞扫描。
\n本文讨论 SSL VPN 和 IPSec VPN 的差异，以及从 SSL VPN 迁移到 IPSec VPN 时需要考虑的事项，并给出常见 SSL VPN 使用场景迁移到 IPSec VPN 的步骤。
\n", "date_published": "2026-04-27T08:16:52.000Z", "date_modified": "2026-04-27T08:16:52.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "SSL VPN 迁移到 IPSec VPN" ] }, { "title": "FortiEDR Cloud 注册指南", "url": "https://support.fortinet.com.cn/system_mgmt/fortiguard_mgmt/registration_guide/fortiedr_cloud_registration", "id": "https://support.fortinet.com.cn/system_mgmt/fortiguard_mgmt/registration_guide/fortiedr_cloud_registration", "summary": "FortiEDR Cloud 注册指南 请参考 FortiEDR Cloud 注册指南。", "content_html": "\n请参考 FortiEDR Cloud 注册指南。
\nFortiGate 同时支持 IKEv1 和 IKEv2，两者配置方式相近。IKEv2 底层协议更简洁，协商 SA 时需要的消息交互比 IKEv1 更少。
\n两者的主要差异：
\nIKEv1 使用广泛、行为固定，通常更容易排障。IKEv2 提供更多灵活性，但也会带来更多配置组合，排障时变量更多。
\n重要
\n从 FortiClient 7.4.4 开始，客户端不再支持 IKEv1。如果计划部署 FortiClient 7.4.4 及以上版本，应选择 IKEv2。
\nSSL VPN 通过 TLS 提供安全能力，主要包括：
\nIPSec 通过 ISAKMP（Internet Security Association and Key Exchange Management Protocol）框架提供安全能力，主要包括：
\n与 SSL VPN 由客户端和服务器协商 Cipher Suite 不同，IPSec 可以更灵活地选择加密算法、哈希算法以及密钥生命周期。
\n", "date_published": "2026-04-27T08:16:52.000Z", "date_modified": "2026-04-27T08:16:52.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "迁移背景" ] }, { "title": "隧道协议与封装方式", "url": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_background/tunneling_protocol_and_encapsulation", "id": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_background/tunneling_protocol_and_encapsulation", "summary": "隧道协议与封装方式 SSL VPN 使用 TLS 协议建立隧道。 Fortinet IPSec VPN 支持以下隧道和封装方式： 原生 ESP。 UDP 封装。 使用 Fortinet 私有扩展的 TCP 封装。 使用 RFC 8229 的 TCP 封装。 ESP 不封装时直接使用 IP Protocol 50。ESP 封装在 UDP 中时，通常使用 ...", "content_html": "\nSSL VPN 使用 TLS 协议建立隧道。
\nFortinet IPSec VPN 支持以下隧道和封装方式：
\nESP 不封装时直接使用 IP Protocol 50。ESP 封装在 UDP 中时，通常使用 UDP/500 和 UDP/4500 进行 NAT Traversal，这也是拨号 IPSec VPN 的常见方式。
\n在远程接入 VPN 中，FortiGate 作为拨号 IPSec Server，FortiClient 作为终端客户端时，建议使用 IKEv2，并将 IPSec 隧道配置为使用 TCP 传输，通常使用 TCP/443。这样可以让 ESP 报文封装在 TCP 中，穿越直接 IPSec 流量被运营商网络阻断或被 CGNAT 影响的环境。
\n该能力要求：
\n站点到站点 IPSec 中，UDP 端口可以自定义。IKEv2 站点到站点 IPSec 中，TCP 端口也可以自定义，并支持将 ESP 报文封装到 TCP 头部中。
\n", "date_published": "2026-04-27T08:16:52.000Z", "date_modified": "2026-04-27T08:16:52.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "迁移背景" ] }, { "title": "FortiClient 终端配置迁移", "url": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/forticlient_endpoint_configuration_migration", "id": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/forticlient_endpoint_configuration_migration", "summary": "FortiClient 终端配置迁移 FortiClient EMS 上从 SSL VPN 迁移到 IPSec，需要与 FortiGate 配置同步进行，因为 IPSec 设置必须在 FortiGate（VPN Server）和 FortiClient（VPN Client）两侧匹配。 FortiClient EMS 通过 Remote Access ...", "content_html": "\nFortiClient EMS 上从 SSL VPN 迁移到 IPSec，需要与 FortiGate 配置同步进行，因为 IPSec 设置必须在 FortiGate（VPN Server）和 FortiClient（VPN Client）两侧匹配。
\nFortiClient EMS 通过 Remote Access Endpoint Profile 配置 VPN，可以配置 SSL VPN、IPSec VPN 或两者同时存在。示例使用 FortiClient EMS 和 FortiClient 7.4.4。
\n开始时，在 FortiClient EMS 的 Endpoint Profiles 下添加 Remote Access Profile。添加新的 Remote Access Profile 后，在同一个 Remote Access Profile 中的 VPN Tunnels 下添加隧道。
\n| 配置项 | 说明 |\n|
\n", "date_published": "2026-04-27T08:16:52.000Z", "date_modified": "2026-06-03T07:45:47.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "迁移基础" ] }, { "title": "认证方式", "url": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/design_considerations/authentication_method", "id": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/design_considerations/authentication_method", "summary": "认证方式 建立 SSL VPN 隧道时，用户必须认证到与 SSL VPN User Group to Portal Mapping 关联的用户组。FortiGate 支持的 SSL VPN 认证方式包括： FortiToken 双因素认证可以与 Local、LDAP、RADIUS 或 SAML 组合使用。客户端证书双因素认证也支持。 IPSec 隧道中...", "content_html": "\n建立 SSL VPN 隧道时，用户必须认证到与 SSL VPN User Group to Portal Mapping 关联的用户组。FortiGate 支持的 SSL VPN 认证方式包括：
\n| SSL VPN 认证方式 | 要求 |\n|
\n", "date_published": "2026-04-27T08:16:52.000Z", "date_modified": "2026-06-03T07:45:47.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "设计考虑事项" ] }, { "title": "客户端地址分配", "url": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/design_considerations/client_address_assignments", "id": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/design_considerations/client_address_assignments", "summary": "客户端地址分配 SSL VPN 从预定义或自定义 IP 地址范围中为客户端分配地址。 拨号 IPSec VPN 支持多种地址分配方式。建议使用 Mode Config，让 FortiGate 作为 IP 地址分配服务器。Mode Config 提供多种分配方式，例如手工地址范围，也可以与 DHCP Server 集成。 迁移到 IPSec VPN 后，...", "content_html": "\nSSL VPN 从预定义或自定义 IP 地址范围中为客户端分配地址。
\n拨号 IPSec VPN 支持多种地址分配方式。建议使用 Mode Config，让 FortiGate 作为 IP 地址分配服务器。Mode Config 提供多种分配方式，例如手工地址范围，也可以与 DHCP Server 集成。
\n迁移到 IPSec VPN 后，客户端地址分配方式更灵活。建议使用 Mode Config，并根据实际需求选择对应的地址分配方式。
\n", "date_published": "2026-04-27T08:16:52.000Z", "date_modified": "2026-04-27T08:16:52.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "设计考虑事项" ] }, { "title": "FortiClient 或终端配置", "url": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/design_considerations/forticlient_or_endpoint_configurations", "id": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/design_considerations/forticlient_or_endpoint_configurations", "summary": "FortiClient 或终端配置 SSL VPN Tunnel 模式需要终端安装 FortiClient。IPSec 隧道同样需要 FortiClient。 FortiClient 可以单独安装在终端上，也可以通过 FortiClient EMS 管理。建议使用 FortiClient EMS，因为它可以集中管理客户端配置，并支持更大规模部署。 基本...", "content_html": "\nSSL VPN Tunnel 模式需要终端安装 FortiClient。IPSec 隧道同样需要 FortiClient。
\nFortiClient 可以单独安装在终端上，也可以通过 FortiClient EMS 管理。建议使用 FortiClient EMS，因为它可以集中管理客户端配置，并支持更大规模部署。
\n基本 FortiClient SSL VPN 配置包括：
\n| 配置项 | 说明 |\n|
\n", "date_published": "2026-04-27T08:16:52.000Z", "date_modified": "2026-04-27T08:16:52.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "设计考虑事项" ] }, { "title": "全隧道与分离隧道", "url": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/design_considerations/full_tunneling_versus_split_tunneling", "id": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/design_considerations/full_tunneling_versus_split_tunneling", "summary": "全隧道与分离隧道 Full tunneling 会强制所有远程用户流量经过 VPN。 Split tunneling 允许管理员指定哪些目的流量经过 VPN。 SSL VPN 和 IPSec VPN 都支持 Split tunneling。SSL VPN 默认根据防火墙策略中的目的地址启用 Split tunneling。IPSec 自定义配置默认关闭...", "content_html": "\nFull tunneling 会强制所有远程用户流量经过 VPN。
\nSplit tunneling 允许管理员指定哪些目的流量经过 VPN。
\nSSL VPN 和 IPSec VPN 都支持 Split tunneling。SSL VPN 默认根据防火墙策略中的目的地址启用 Split tunneling。IPSec 自定义配置默认关闭 Split tunneling，但通过 VPN Wizard 创建时默认启用。
\n启用 Split tunneling 后，必须配置需要包含或排除在隧道路由中的网络。
\n", "date_published": "2026-04-27T08:16:52.000Z", "date_modified": "2026-04-27T08:16:52.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "设计考虑事项" ] }, { "title": "先迁移 VPN 还是先升级？", "url": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/design_considerations/migrate_vpns_before_or_after_upgrade", "id": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/design_considerations/migrate_vpns_before_or_after_upgrade", "summary": "先迁移 VPN 还是先升级？ 先迁移 VPN 还是先升级 FortiOS，应由管理员根据公司策略、最佳实践和业务影响决定。需要评估两种方式对远程用户造成的潜在停机影响。 另一个考虑因素是当前固件是否影响安全性。如果存在关键安全补丁需求，管理员可能会决定先升级，再迁移 VPN。 同时，迁移需要时间完成设计评估、计划制定、配置实施、受控测试和用户部署。应预...", "content_html": "\n先迁移 VPN 还是先升级 FortiOS，应由管理员根据公司策略、最佳实践和业务影响决定。需要评估两种方式对远程用户造成的潜在停机影响。
\n另一个考虑因素是当前固件是否影响安全性。如果存在关键安全补丁需求，管理员可能会决定先升级，再迁移 VPN。
\n同时，迁移需要时间完成设计评估、计划制定、配置实施、受控测试和用户部署。应预留足够时间进行规划，并在确定方案后再安排升级和维护窗口。
\n", "date_published": "2026-04-27T08:16:52.000Z", "date_modified": "2026-04-27T08:16:52.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "设计考虑事项" ] }, { "title": "多用户组", "url": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/design_considerations/multiple_user_groups", "id": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/design_considerations/multiple_user_groups", "summary": "多用户组 SSL VPN 只使用一个 SSL VPN Settings 页面和一个 SSL VPN 接口。多个用户组可以映射到不同 Portal，并通过防火墙策略控制精细化访问权限。 IPSec VPN 中，一个拨号 VPN 隧道可以通过在 VPN 设置中定义用户组，或从防火墙策略继承用户组的方式支持一个或多个用户组。与 SSL VPN 不同，管理员也...", "content_html": "\nSSL VPN 只使用一个 SSL VPN Settings 页面和一个 SSL VPN 接口。多个用户组可以映射到不同 Portal，并通过防火墙策略控制精细化访问权限。
\nIPSec VPN 中，一个拨号 VPN 隧道可以通过在 VPN 设置中定义用户组，或从防火墙策略继承用户组的方式支持一个或多个用户组。与 SSL VPN 不同，管理员也可以创建多个独立拨号 IPSec 隧道，用于承载当前不同 SSL VPN Tunnel Mode Web Portal 为各用户组提供的差异化功能。
\n如果在同一个 WAN 接口上配置多个拨号 IPSec 隧道，且隧道参数相近，则每个隧道都需要唯一标识，让拨号客户端发起连接时匹配到正确隧道：
\n重要
\nNetwork ID 不能在未纳管的独立 FortiClient 中配置。通过 FortiClient EMS 管理时，FortiClient EMS 7.2.6 及以上或 7.4.1 及以上支持配置 Network ID。
\n从 SSL VPN 迁移到 IPSec VPN 时，应根据用户组数量和原 Portal 差异选择用户组定义方式。
\n", "date_published": "2026-04-27T08:16:52.000Z", "date_modified": "2026-04-27T08:16:52.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "设计考虑事项" ] }, { "title": "策略配置", "url": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/design_considerations/policy_configurations", "id": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/design_considerations/policy_configurations", "summary": "策略配置 SSL VPN 使用单一 ssl.root 隧道接口作为防火墙策略源接口，控制终端客户端到内部资源的访问。用户组必须定义在策略中，用于控制允许访问内部资源的用户组。 IPSec VPN 会为每个 IPSec 隧道创建一个同名虚拟 VPN 接口。迁移后，应在防火墙策略中选择对应虚拟隧道接口作为源接口，控制终端客户端访问内部资源。 用户组可以定义...", "content_html": "\nSSL VPN 使用单一 ssl.root 隧道接口作为防火墙策略源接口，控制终端客户端到内部资源的访问。用户组必须定义在策略中，用于控制允许访问内部资源的用户组。
IPSec VPN 会为每个 IPSec 隧道创建一个同名虚拟 VPN 接口。迁移后，应在防火墙策略中选择对应虚拟隧道接口作为源接口，控制终端客户端访问内部资源。
\n用户组可以定义在策略中，并由 VPN 隧道配置继承；也可以直接定义在各 IPSec 隧道配置中。
\n迁移时需要检查并调整防火墙策略，将原 ssl.root 相关策略迁移为 IPSec 隧道接口相关策略，并确认用户组配置位置与隧道认证方式一致。
SSL VPN Tunnel 模式支持 Split DNS 和 DNS suffix 配置。
\n拨号 IPSec 隧道是否支持这些能力取决于 IKE 版本：
\nunity-support。规划迁移时，应检查现有 SSL VPN 设置，确认是否依赖 Split DNS 或 DNS suffix，再选择满足需求的 IKE 版本。
\n", "date_published": "2026-04-27T08:16:52.000Z", "date_modified": "2026-04-27T08:16:52.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "设计考虑事项" ] }, { "title": "自定义 IPSec 隧道设置", "url": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/fortios_ssl_vpn_to_dialup_vpn_migration/customizing_ipsec_tunnel_settings", "id": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/fortios_ssl_vpn_to_dialup_vpn_migration/customizing_ipsec_tunnel_settings", "summary": "自定义 IPSec 隧道设置 VPN Wizard 创建隧道后，可能需要根据实际需求继续调整配置。常见自定义包括： 使用 Peer ID。 修改 Phase 1 和 Phase 2 Proposal。 使用 Peer ID 如果同一物理 WAN 接口上配置多个拨号 IPSec 隧道，FortiGate 需要通过 Peer ID 或 Network ID...", "content_html": "\nVPN Wizard 创建隧道后，可能需要根据实际需求继续调整配置。常见自定义包括：
\n如果同一物理 WAN 接口上配置多个拨号 IPSec 隧道，FortiGate 需要通过 Peer ID 或 Network ID 区分传入的 IPSec 连接请求，并将连接关联到正确的 IPSec 隧道。
\nIKEv1 Aggressive Mode 可以使用 Peer ID 区分多个拨号 IPSec 隧道。因此，IKEv1 建议使用 Aggressive Mode，以便在 Phase 1 中使用 Peer ID 字段。
\nIKEv1 Aggressive Mode 协商过程中，FortiClient 会发送本地配置的 Local ID，FortiGate 将其与定义好的 Peer ID 匹配，从而识别对应隧道。因此，FortiClient 上的 Local ID 必须与 FortiGate 上对应隧道的 Peer ID 一致。
\nIKEv2 中，Peer ID 不包含在初始 IKE 消息中。因此 FortiGate 作为 IPSec 拨号 Server 时，无法准确地在多个拨号 Phase 1 配置中匹配正确隧道。IKEv2 建议改用 Phase 1 中的 Network ID。
\nNetwork ID 不能在未纳管的独立 FortiClient 中配置。通过 FortiClient EMS 管理时，FortiClient EMS 7.2.6 及以上或 7.4.1 及以上支持配置 Network ID。
\nIKEv2 中，FortiGate 使用 Network ID 作为唯一标识，区分同一 WAN 接口上的多个拨号隧道。协商过程中，FortiClient 发送 Network ID，FortiGate 将其与已定义的 Network ID 匹配，以识别正确隧道。FortiClient 上配置的 Network ID 必须与 FortiGate 上对应隧道的 Network ID 一致。
\n重要
\n不同 IPSec 隧道必须配置唯一 Peer ID 或 Network ID。
\nIKEv1 Peer ID 配置思路：
\nIKEv2 Network ID 通过 CLI 配置：
\nconfig vpn ipsec phase1-interface\n edit <vpn-tunnel-name>\n set network-overlay enable\n set network-id <ID>\n next\nend如需修改 IPSec Phase 1 和 Phase 2 的 SA 参数：
\n完成现有 SSL VPN 用户认证方式识别并确认 IPSec 支持要求后，可以开始迁移到 IPSec VPN。
\nIPSec 隧道可以通过 GUI VPN Wizard、GUI 自定义 IPSec 配置或 CLI 配置。这里使用 VPN Wizard 创建 IPSec 隧道。通过 VPN Wizard 指定的隧道参数后续仍可自定义，例如修改 IKE 版本、IKE 模式、安全关联（SA）和其他细粒度设置。
\n| 配置项 | 说明 |\n|
\n", "date_published": "2026-04-27T08:16:52.000Z", "date_modified": "2026-04-27T08:16:52.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "FortiOS SSL VPN 到拨号 VPN 的迁移" ] }, { "title": "网络拓扑", "url": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/fortios_ssl_vpn_to_dialup_vpn_migration/topology", "id": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/fortios_ssl_vpn_to_dialup_vpn_migration/topology", "summary": "网络拓扑 本文场景假设 SSL VPN 已经预先配置在 FortiGate WAN 接口上，并使用 TCP/443。远程用户连接到 FortiGate WAN 接口后，访问 FortiGate LAN 接口后的内部资源。 该 SSL VPN 配置将迁移到 IPSec，并保持相同的基础拓扑。", "content_html": "\n本文场景假设 SSL VPN 已经预先配置在 FortiGate WAN 接口上，并使用 TCP/443。远程用户连接到 FortiGate WAN 接口后，访问 FortiGate LAN 接口后的内部资源。
\n该 SSL VPN 配置将迁移到 IPSec，并保持相同的基础拓扑。
\n", "date_published": "2026-04-27T08:16:52.000Z", "date_modified": "2026-04-27T08:16:52.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "FortiOS SSL VPN 到拨号 VPN 的迁移" ] }, { "title": "基于 LDAP 的用户认证", "url": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/fortios_ssl_vpn_to_dialup_vpn_migration/part1_identifying_user_authentication_methods/ldap_based_user_authentication", "id": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/fortios_ssl_vpn_to_dialup_vpn_migration/part1_identifying_user_authentication_methods/ldap_based_user_authentication", "summary": "基于 LDAP 的用户认证 IPSec IKEv1 使用 XAUTH 进行用户认证，IPSec IKEv2 使用 EAP 进行用户认证。只有 EAP - TTLS 可以与 LDAP 互通。因此，如果 LDAP 用户认证使用 IKEv2，必须使用 EAP - TTLS。 重要 EAP - TTLS 支持要求 FortiClient EMS 和 Forti...", "content_html": "\nIPSec IKEv1 使用 XAUTH 进行用户认证，IPSec IKEv2 使用 EAP 进行用户认证。只有 EAP - TTLS 可以与 LDAP 互通。因此，如果 LDAP 用户认证使用 IKEv2，必须使用 EAP - TTLS。
\n重要
\nEAP - TTLS 支持要求 FortiClient EMS 和 FortiClient 版本为 7.4.3 或更高。
\nLDAP 认证中，LDAP Server 是集中认证服务器，用户名和密码直接在 LDAP Server 上管理。要在 IPSec 中使用该认证方式，FortiGate 必须配置 LDAP Server，并创建使用 LDAP Server 的用户组。
\n如需基于 LDAP 组成员关系区分用户组，可以配置多个用户组并使用 Group Name 选项进行匹配。
\n示例中，LDAP Server 名为 LDAP Connector，用户组名为 LDAP user group。Group Name 只匹配 LDAP Server 上属于 Domain Users 的用户，只有这些用户允许连接 IPSec 隧道。
查看 CLI 配置：
\nconfig user group\n edit \"LDAP user group\"\n set member \"LDAP Connector\"\n config match\n edit 1\n set server-name \"LDAP Connector\"\n set group-name \"CN=Domain Users,CN=Users,DC=financial,DC=local\"\n next\n end\n next\nend如果只有一个用户组，可以将 LDAP user group 直接用于 IPSec 隧道配置中。如果有多个用户组，应在 IPSec 隧道中选择 Inherit from policy，并在防火墙策略中使用这些用户组。
使用 LDAP + IKEv2 时，需要将 IKE version 改为 Version 2。
\n", "date_published": "2026-04-27T08:16:52.000Z", "date_modified": "2026-06-03T07:45:47.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "第一部分：识别用户认证方式" ] }, { "title": "本地用户认证", "url": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/fortios_ssl_vpn_to_dialup_vpn_migration/part1_identifying_user_authentication_methods/local_user_authentication", "id": "https://support.fortinet.com.cn/vpn/ssl_vpn_to_ipsec_migration/migration_basics/fortios_ssl_vpn_to_dialup_vpn_migration/part1_identifying_user_authentication_methods/local_user_authentication", "summary": "本地用户认证 本地用户认证中，用户名和密码直接在 FortiGate 本地为每个用户配置。可以通过本地用户组包含多个本地用户。 示例中，本地用户 johnlocus 加入名为 Local user group 的本地用户组。 查看 CLI 配置： 应用用户组 如果只有一个用户组，可以将 Local user group 直接用于 IPSec 隧道配置中...", "content_html": "\n本地用户认证中，用户名和密码直接在 FortiGate 本地为每个用户配置。可以通过本地用户组包含多个本地用户。
\n示例中，本地用户 johnlocus 加入名为 Local user group 的本地用户组。
查看 CLI 配置：
\nconfig user group\n edit \"Local user group\"\n set member \"johnlocus\"\n next\nend如果只有一个用户组，可以将 Local user group 直接用于 IPSec 隧道配置中。如果有多个用户组，应在 IPSec 隧道中选择 Inherit from policy，并在防火墙策略中使用这些用户组。
RADIUS 认证中，RADIUS Server 是集中认证服务器，用户名和密码直接在 RADIUS Server 上管理。要在 IPSec 中使用该认证方式，FortiGate 必须配置 RADIUS Server，并创建引用该 RADIUS Server 的用户组。
\n如需基于 RADIUS Server 上的用户组成员关系区分用户组，可以使用 Group Name。FortiGate 期望 RADIUS Server 在 RADIUS 响应报文中正确返回 Fortinet-Group-Name VSA。
示例中，FortiGate 配置了名为 Radius Connector 的 RADIUS Server，用户组 Radius user group 引用该 RADIUS Server。Group Name 配置为 Domain Users，表示只有 RADIUS Server 在响应中返回该组名时，用户才允许连接 IPSec 隧道。
查看 CLI 配置：
\nconfig user group\n edit \"Radius user group\"\n set member \"Radius Connector\"\n config match\n edit 1\n set server-name \"Radius Connector\"\n set group-name \"Domain Users\"\n next\n end\n next\nend如果只有一个用户组，可以将 Radius user group 直接用于 IPSec 隧道配置中。如果有多个用户组，应在 IPSec 隧道中选择 Inherit from policy，并在防火墙策略中使用这些用户组。
IPSec 支持基于 SAML 的用户认证，但要求 FortiClient 版本为 7.2.4 或更高。SAML 认证只支持 IPSec IKEv2，不支持 IKEv1。
\n使用 SAML 时，建议先升级 FortiClient 到 7.2.4 或更高版本。
\nVPN Wizard 默认可能创建 IKEv1 配置，后续需要将配置调整为 IKEv2，并启用 EAP 用户认证。
\nSAML 与 IPSec 配合时，还需要额外配置：
\nauth-ike-saml-port。配置 IKE SAML 认证端口：
\nconfig system global\n set auth-ike-saml-port 9443\nend查看 SAML Server 使用的证书：
\nconfig user setting\n set auth-cert \"SAML_Server_Certificate\"\nend示例中，SAML 用户组 SAML Usergroup 使用名为 SAML-FAC 的 SAML SSO Server，并匹配组名 Corporate：
config user group\n edit \"SAML Usergroup\"\n set member \"SAML-FAC\"\n config match\n edit 1\n set server-name \"SAML-FAC\"\n set group-name \"Corporate\"\n next\n end\n next\nend将 SAML Server 与 IPSec 网关所在接口绑定，示例接口为 WAN：
config system interface\n edit \"WAN\"\n set ike-saml-server \"SAML-FAC\"\n next\nend如果只有一个用户组，可以将 SAML Usergroup 直接用于 IPSec 隧道配置中。如果有多个用户组，应在 IPSec 隧道中选择 Inherit from policy，并在防火墙策略中使用这些用户组。
本文说明如何在 FortiGate G 系列机型上调整 BIOS 安全级别（Security Level）。
\n在多数 FortiGate 机型上，可以通过开机 BIOS 菜单中的 [U] Set security level 修改安全级别；但在部分 G 系列机型上，该选项不再提供，需改用设备硬件上的 Signed Firmware 物理开关进行切换。
Pxxxxx-11-01 及以上）。Pxxxxx-2x-01 及以上）。提示
\n对于 30G/31G、90G Gen1、120G Gen1 等仍支持 BIOS 菜单修改的机型，可参考系统管理 → 固件与配置管理 → 固件版本管理 → 软件签名增强中的 BIOS 修改方法。
\nHigh（默认）：阻止未签名固件。Low：允许未签名固件安装，但会告警。相关信息
\n从 FortiOS 7.0.16、7.2.11、7.4.6、7.6.1 开始，安全级别名称统一为 Low/High（早期文档中的 0/1/2 对应为 Low/Low/High）。
50G/70G/90G Gen2：开关位于设备后面板（状态 LED 的对侧）。120G Gen2/200G/700G：开关位于设备前面板。![\"FortiGate](\"https://support.fortinet.com.cn/assets/image-20260421163501001-DVPq5CWw.png\")
\n![\"FortiGate](\"https://support.fortinet.com.cn/assets/image-20260421163501002-j_RFKspT.png\")
\n![\"FortiGate](\"https://support.fortinet.com.cn/assets/image-20260421163501003-CTn4ni2d.jpg\")
\n![\"FortiGate](\"https://support.fortinet.com.cn/assets/image-20260421163501004-D3xJlKCk.jpg\")
\n![\"FortiGate](\"https://support.fortinet.com.cn/assets/image-20260421163501005-6RAjMVOQ.png\")
\n![\"FortiGate](\"https://support.fortinet.com.cn/assets/image-20260421163501006-DHAVjXT5.png\")
\n![\"FortiGate](\"https://support.fortinet.com.cn/assets/image-20260421163501007-YoZP-iqJ.png\")
\n![\"FortiGate](\"https://support.fortinet.com.cn/assets/image-20260421163501008-CMVTpEzC.jpg\")
\n断电并确认设备处于安全可操作状态，拆下 Signed Firmware 金属挡板固定螺丝。
将物理开关拨到目标档位：
\nH/High：高安全级别（默认）。L/Low：低安全级别。重新上电并重启设备。
\n登录 CLI，使用以下命令确认当前安全级别：
\n# get system status | grep -i \"security level\"\nCurrent Security Level: Lowget system status 可用于对比当前 BIOS 安全级别与开关设置是否一致。High 调整为 Low 时，会产生系统事件日志：22906 - LOG_ID_SECURITY_LEVEL_CHANGE。Signed Firmware 硬件开关。FTNT Plotter 是一个面向排障场景的在线 Debug 信息分析工具，可将 Debug 信息文本快速转换为可视化结果，帮助定位异常时间段与关键事件。
\n适用场景：
\n使用提示：
\n在 FortiOS 7.2.11/7.4.8/7.6.5 及后续版本的适用硬件机型上，FortiGate 启用“强制注册”机制。该机制要求设备先完成 FortiCare 注册，再开放完整配置与后续升级能力。
FortiOS 7.2.11/7.4.8：引入强制注册机制（仅如下机型）。
FG-200GFG-201GFG-900GFG-901GFortiOS 7.4.9：扩大机型范围。
FG-50G/51G、FG-70G/71G、FG-90G/91G、FG-120G/121G、FG-200G/201G、FG-700G/701G、FG-900G/901G 及对应 SFP/POE/DSL/5G 变体。FWF-50G/51G、FWF-70G/71G 及对应 DSL/5G/SFP/POE 变体。FGR-50G-5G、FGR-70G、FGR-70G-5G-DUAL。FortiOS 7.4.10：新增网络连通向导、离线许可证上传入口，并支持最多 7 天延后注册。
FortiOS 7.6.5：在 7.6 分支启用该机制，并增加 CLI 只读限制与相关向导能力。
设备未完成注册时，会出现以下限制：
\n首次登录 GUI 会进入 Register with FortiCare 页面，无法继续后续 GUI 配置。
CLI 处于受限状态，仅允许网络相关部分配置。
\nconfig firewallconfig ftp-proxyconfig routerconfig systemconfig web-proxy固件升级能力也受注册状态限制。
\n设备需要可以连接到 FortiGuard 才能完成注册（或导入离线 License）并解除以上限制。
\n点击注册窗口内的“Postpone registration”按钮可以延期 7 天，期间可以正常通过 GUI 配置 FortiGate：
\n\n延期到期后会重新进入强制注册状态，无法继续延期：
\n\n提示
\n设备登录后，在注册向导中选择离线 License 导入入口：
\n![\"注册向导离线](\"https://support.fortinet.com.cn/assets/image-20260416195501001-BRBh8gaf.png\")
\n进入上传页面后，导入离线 License 文件：
\n![\"注册向导上传离线](\"https://support.fortinet.com.cn/assets/image-20260416195501002-D8RMzPIX.png\")
\n导入成功且序列号匹配后，页面会提示离线 License 生效：
\n![\"离线](\"https://support.fortinet.com.cn/assets/image-20260416195501003-Bm_X_iIq.png\")
\n也可使用 CLI 方式导入，CLI 导入前，需先保证 FortiGate 到 FTP/TFTP 服务器网络可达：
\nexecute restore manual-license {ftp|tftp} <licensefilename> <server> [args]\n\nexecute restore manual-license tftp FG101FTKxxxxxxxxOff-NetworkLicenseFile.lic 192.168.1.10使用 Console 线连接设备串口并重启设备。
\n启动时看到以下提示，按任意键进入 BIOS 菜单：
\nBoot up, boot device capacity: 28626MB.\nPress any key to display configuration menu...在 BIOS 主菜单输入 I，进入系统信息菜单：
[C]: Configure TFTP parameters.\n[R]: Review TFTP parameters.\n[T]: Initiate TFTP firmware transfer.\n[F]: Format boot device.\n[B]: Boot with backup firmware and set as default.\n[I]: System configuration and information.\n[Q]: Quit menu and continue to boot.\n[H]: Display this list of options.在下一层菜单输入 C，进入 FortiCare 注册级别设置：
Enter C,R,T,F,B,I,Q,or H:\n[S]: Set serial port baudrate (will take effect on next boot).\n[R]: Set restricted mode.\n[T]: Set menu timeout.\n[U]: Set security level.\n[C]: Set FortiCare registration.\n[I]: Display system information.\n[E]: Reset system configuration.\n[M]: Display SPD information.\n[Q]: Quit menu and continue to boot.\n[H]: Display this list of options.输入 1，将注册级别从 2（Enforce）改为 1（Not Enforce）：
Enter S,R,T,U,C,I,E,M,Q,or H:\n[1]: Not Enforce\n[2]: Enforce\nEnter FortiCare registration setting [2]: 1连续输入 Q 退出 BIOS 菜单并继续启动系统。启动后 GUI 可临时跳过强制注册继续配置。
本文介绍如何在 FortiGate 上重命名已创建的 IPSec 隧道（phase1-interface）。
进入“VPN → VPN 隧道”，编辑目标隧道后修改名称字段并保存即可。
![\"image-20260403154912083\"](\"https://support.fortinet.com.cn/assets/image-20260403154912083-DDWHFXvI.png\")
config vpn ipsec phase1-interface\n rename <old-tunnel-name> to <new-tunnel-name>\nend\n\nconfig vpn ipsec phase1-interface\n rename SiteA to SiteB\nend本文主要介绍在 BGP 多链路（如连接多个 ISP）场景中，如何通过 AS-PATH prepend 影响入向（回程）流量路径。
典型需求是将互联网出口设计为主备链路：
\n在此类场景中，仅在 ISP 侧设置 Local Preference 可能无法完全达到预期。因为 Local Preference 是非传递属性，只在各自 AS 内部生效，不会跨 AS 传播到其他 ISP。
因此可使用 AS-PATH（传递属性）进行路径影响：在向备线路通告前缀时，追加多个本地 AS 号，使该路径更“长”，从而降低其被优选概率。
![\"image-20260401181833777\"](\"https://support.fortinet.com.cn/assets/image-20260401181833777-BCHiTyPS.png\")
\nAS-PATH 属性进行影响。93.184.216.34/32 时进行 prepend，可以让回程更倾向 Primary ISP，而不是依赖 ISP 侧 Local Preference。93.184.216.34/32 时，会因 Primary ISP 宣告路径更短而优选经 AS65101。Local Preference 或 Weight。示例参数如下：
\n65301202.1.1.2（AS 65101）202.2.2.2（AS 65201）93.184.216.34/32（通过 Loopback 模拟）接口配置（WAN1/WAN2/DMZ）。
\nconfig system interface\n edit \"port2\"\n set vdom \"root\"\n set ip 202.1.1.1 255.255.255.240\n set allowaccess ping\n set type physical\n set alias \"WAN1\"\n next\n edit \"port3\"\n set vdom \"root\"\n set ip 202.2.2.1 255.255.255.240\n set allowaccess ping\n set type physical\n set alias \"WAN2\"\n next\n edit \"DMZ\"\n set vdom \"root\"\n set ip 93.184.216.34 255.255.255.255\n set allowaccess ping\n set type loopback\n next\nend备线路出站 route-map（AS-PATH prepend）。
\nconfig router route-map\n edit \"Secondary_ISP\"\n config rule\n edit 1\n set set-aspath \"65301 65301 65301\"\n next\n end\n next\nend主线路入站 route-map（提高本地优先级）。
\nconfig router route-map\n edit \"Primary_ISP\"\n config rule\n edit 1\n set set-local-preference 200\n next\n end\n next\nend在 BGP 邻居上应用 route-map。
\nconfig router bgp\n set as 65301\n set router-id 3.3.3.3\n config neighbor\n edit \"202.1.1.2\"\n set remote-as 65101\n set route-map-in \"Primary_ISP\"\n next\n edit \"202.2.2.2\"\n set remote-as 65201\n set route-map-out \"Secondary_ISP\"\n next\n end\n config network\n edit 1\n set prefix 93.184.216.34 255.255.255.255\n next\n end\nend在 Secondary ISP 路由器查看，此时 93.184.216.34/32 的最佳路径为 202.2.2.1（经 Secondary ISP）。
ISP2-R1 # get router info bgp network\nBGP table version is 8, local router ID is 2.2.2.2\nStatus codes: s suppressed, d damped, h history, * valid, > best, i - internal,\n S Stale\nOrigin codes: i - IGP, e - EGP, ? - incomplete\n\n Network Next Hop Metric LocPrf Weight RouteTag Path\n*> 93.184.216.34/32 202.2.2.1 0 0 0 0 65301 i\n* i 101.1.1.1 0 100 0 0 65101 65301 i\n*> 202.2.2.0/28 0.0.0.0 100 32768 0 i应用 prepend 后，最佳路径切换为 101.1.1.1（经 Primary ISP），并且备线路路径 AS-PATH 变长（出现多个 65301）。
ISP2-R1 # get router info bgp network\nBGP table version is 10, local router ID is 2.2.2.2\nStatus codes: s suppressed, d damped, h history, * valid, > best, i - internal,\n S Stale\nOrigin codes: i - IGP, e - EGP, ? - incomplete\n\n Network Next Hop Metric LocPrf Weight RouteTag Path\n*>i93.184.216.34/32 101.1.1.1 0 100 0 0 65101 65301 i\n* 202.2.2.1 0 0 0 0 65301 65301 65301 65301 i\n*> 202.2.2.0/28 0.0.0.0 100 32768 0 iAS-PATH prepend 主要用于影响入向（回程）流量。Local Preference / Weight 控制。ARP 表用于确定目标节点对应的 MAC 地址，以及该节点可达的 VLAN 和接口端口。
\n在 FortiGate 上，ARP 相关信息获取的方式主要通过如下命令：
\nget system arp：查看当前 ARP 表（偏运维视图）。diagnose ip arp list：查看系统 ARP 缓存（包含状态、引用等细节）。diagnose sys device list <vdom_name>：查看 ARP/ARP6 的表规模与使用摘要。# get system arp\n\nAddress Age(min) Hardware Addr Interface\n10.10.1.3 1 50:b7:c3:75:ea:dd internal7\n192.168.0.190 0 28:f1:0e:03:2a:97 wan1\n192.168.0.97 0 f4:f2:6d:37:b0:99 wan1# diagnose ip arp list\n\nindex=7 ifname=dmz 169.254.0.1 94:f3:92:53:ae:7c state=00000080 use=198045467 confirm=148592500 update=148592500 ref=0\nindex=28 ifname=to_Home_WAN11 0.0.0.0 state=00000040 use=2078 confirm=2078 update=107680361 ref=1\nindex=12 ifname=internal5 10.10.12.2 00:01:02:03:04:05 state=00000002 use=0 confirm=0 update=1366 ref=84\nindex=12 ifname=internal5 10.10.12.254 08:5b:0e:b2:5e:69 state=00000004 use=4787 confirm=4787 update=150 ref=5\nindex=6 ifname=wan2 172.22.6.1 00:09:0f:09:01:18 state=00000002 use=34 confirm=1190 update=2268 ref=5\nindex=5 ifname=wan1 172.22.6.255 state=00000000 use=79961 confirm=85961 update=79961 ref=2\nindex=5 ifname=wan1 172.22.6.1 00:09:0f:09:01:18 state=00000002 use=24 confirm=234 update=2268 ref=108state：ARP 条目状态。
ref：表示当前被其他对象引用次数。
常见 ARP 状态位：
\n提示
\nARP 状态迁移受 ARP 请求/应答、邻居查找、路由与会话行为等多因素影响。单次抓到的状态需要结合 ref 与时间维度一起判断。
| 状态值 | 含义 | 说明 |\n|
\n从 FortiOS v7.4.5 和 v7.6.1 开始，当 API 请求通过 URL 参数传递 access_token 时，会返回 401 Unauthorized 错误。
curl -vk 'https://192.168.100.99/api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63'\n* Trying 192.168.100.99:443...\n* Connected to 192.168.100.99 (192.168.100.99) port 443\n* ALPN: curl offers h2,http/1.1\n* (304) (OUT), TLS handshake, Client hello (1):\n* (304) (IN), TLS handshake, Server hello (2):\n* (304) (IN), TLS handshake, Unknown (8):\n* (304) (IN), TLS handshake, Certificate (11):\n* (304) (IN), TLS handshake, CERT verify (15):\n* (304) (IN), TLS handshake, Finished (20):\n* (304) (OUT), TLS handshake, Finished (20):\n* SSL connection using TLSv1.3 / AEAD-AES256-GCM-SHA384 / [blank] / UNDEF\n* ALPN: server accepted h2\n* Server certificate:\n* subject: C=US; ST=California; L=Sunnyvale; O=Fortinet Ltd.; OU=FortiGate; CN=FortiGate\n* start date: Mar 16 07:59:45 2026 GMT\n* expire date: Jun 18 07:59:45 2028 GMT\n* issuer: C=US; ST=California; L=Sunnyvale; O=Fortinet; OU=Certificate Authority; CN=FG101FTK20007637; emailAddress=support@fortinet.com\n* SSL certificate verify ok.\n* using HTTP/2\n* [HTTP/2] [1] OPENED stream for https://192.168.100.99/api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63\n* [HTTP/2] [1] [:method: GET]\n* [HTTP/2] [1] [:scheme: https]\n* [HTTP/2] [1] [:authority: 192.168.100.99]\n* [HTTP/2] [1] [:path: /api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63]\n* [HTTP/2] [1] [user-agent: curl/8.7.1]\n* [HTTP/2] [1] [accept: */*]\n> GET /api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63 HTTP/2\n> Host: 192.168.100.99\n> User-Agent: curl/8.7.1\n> Accept: */*\n>\n* Request completely sent off\n< HTTP/2 401\n< x-frame-options: SAMEORIGIN\n< content-security-policy: frame-ancestors 'self'\n< x-xss-protection: 1; mode=block\n< strict-transport-security: max-age=63072000\n< www-authenticate: error=\"invalid_token\"\n< date: Thu, 26 Mar 2026 02:48:46 GMT\n<\n* Connection #0 to host 192.168.100.99 left intact相关信息
\n从 FortiSOAR 等第三方平台连接 FortiGate 时，也可能出现类似错误：Unauthorized. Wrong API key provided OR check user/VDOM/API key permission。
从 FortiOS v7.4.5 和 v7.6.1 开始，系统默认禁止通过 URL 参数传递 access_token。此变更是出于安全最佳实践的考虑：token 直接拼在 URL 中，会被记录在浏览器历史、代理日志、服务器访问日志中，存在泄露风险。
新版本要求 access_token 必须通过 HTTP Header 传递，即使用 Authorization: Bearer <token> 的方式。
将 API token 放在请求 Header 中，不会出现在 URL 里，更安全。正常返回 API 结果：
\ncurl -vk 'https://192.168.100.99/api/v2/cmdb/system/vdom' \\\n --header 'Authorization: Bearer 785yfsnmc3NzjnHj0jNkh87fdNcb63'\n* Trying 192.168.100.99:443...\n* Connected to 192.168.100.99 (192.168.100.99) port 443\n* ALPN: curl offers h2,http/1.1\n* (304) (OUT), TLS handshake, Client hello (1):\n* (304) (IN), TLS handshake, Server hello (2):\n* (304) (IN), TLS handshake, Unknown (8):\n* (304) (IN), TLS handshake, Certificate (11):\n* (304) (IN), TLS handshake, CERT verify (15):\n* (304) (IN), TLS handshake, Finished (20):\n* (304) (OUT), TLS handshake, Finished (20):\n* SSL connection using TLSv1.3 / AEAD-AES256-GCM-SHA384 / [blank] / UNDEF\n* ALPN: server accepted h2\n* Server certificate:\n* subject: C=US; ST=California; L=Sunnyvale; O=Fortinet Ltd.; OU=FortiGate; CN=FortiGate\n* start date: Mar 16 07:59:45 2026 GMT\n* expire date: Jun 18 07:59:45 2028 GMT\n* issuer: C=US; ST=California; L=Sunnyvale; O=Fortinet; OU=Certificate Authority; CN=FG101FTK20007637; emailAddress=support@fortinet.com\n* SSL certificate verify ok.\n* using HTTP/2\n* [HTTP/2] [1] OPENED stream for https://192.168.100.99/api/v2/cmdb/system/vdom\n* [HTTP/2] [1] [:method: GET]\n* [HTTP/2] [1] [:scheme: https]\n* [HTTP/2] [1] [:authority: 192.168.100.99]\n* [HTTP/2] [1] [:path: /api/v2/cmdb/system/vdom]\n* [HTTP/2] [1] [user-agent: curl/8.7.1]\n* [HTTP/2] [1] [accept: */*]\n* [HTTP/2] [1] [authorization: Bearer 785yfsnmc3NzjnHj0jNkh87fdNcb63]\n> GET /api/v2/cmdb/system/vdom HTTP/2\n> Host: 192.168.100.99\n> User-Agent: curl/8.7.1\n> Accept: */*\n> Authorization: Bearer 785yfsnmc3NzjnHj0jNkh87fdNcb63\n>\n* Request completely sent off\n< HTTP/2 200\n< content-security-policy: frame-ancestors 'self'; script-src 'self'; object-src 'none';\n< strict-transport-security: max-age=63072000\n< date: Thu, 26 Mar 2026 03:02:35 GMT\n< etag: EE8EF382372E2A3C07F45B9C09FB034AD9564AD6B64F1EAF5510A7C7374DCF8A\n< cache-control: no-cache, must-revalidate\n< content-length: 377\n< content-type: application/json\n<\n* Connection #0 to host 192.168.100.99 left intact\n{\"http_method\":\"GET\",\"size\":1,\"limit_reached\":false,\"matched_count\":1,\"next_idx\":0,\"revision\":\"9b107552a7c5cc639bb9c77dc3cf43b2\",\"results\":[{\"name\":\"root\",\"q_origin_key\":\"root\",\"short-name\":\"root\",\"vcluster-id\":0,\"flag\":0}],\"vdom\":\"root\",\"path\":\"system\",\"name\":\"vdom\",\"action\":\"\",\"status\":\"success\",\"http_status\":200,\"serial\":\"FG101FTK20007637\",\"version\":\"v7.6.6\",\"build\":3652}%如果确实需要通过 URL 参数传递 access_token（例如第三方平台暂不支持 Header 方式），可以通过以下命令启用：
警告
\n启用此选项会将 API 密钥暴露在 URL 中，存在被日志记录、浏览器历史、代理服务器等截获的风险。建议优先使用 HTTP Header 方式传递 token。
\nconfig system global\n set rest-api-key-url-query enable\nend随后使用 URL 传递 token 的方式访问，可以正常返回 API 结果：
\ncurl -vk 'https://192.168.100.99/api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63'\n* Trying 192.168.100.99:443...\n* Connected to 192.168.100.99 (192.168.100.99) port 443\n* ALPN: curl offers h2,http/1.1\n* (304) (OUT), TLS handshake, Client hello (1):\n* (304) (IN), TLS handshake, Server hello (2):\n* (304) (IN), TLS handshake, Unknown (8):\n* (304) (IN), TLS handshake, Certificate (11):\n* (304) (IN), TLS handshake, CERT verify (15):\n* (304) (IN), TLS handshake, Finished (20):\n* (304) (OUT), TLS handshake, Finished (20):\n* SSL connection using TLSv1.3 / AEAD-AES256-GCM-SHA384 / [blank] / UNDEF\n* ALPN: server accepted h2\n* Server certificate:\n* subject: C=US; ST=California; L=Sunnyvale; O=Fortinet Ltd.; OU=FortiGate; CN=FortiGate\n* start date: Mar 16 07:59:45 2026 GMT\n* expire date: Jun 18 07:59:45 2028 GMT\n* issuer: C=US; ST=California; L=Sunnyvale; O=Fortinet; OU=Certificate Authority; CN=FG101FTK20007637; emailAddress=support@fortinet.com\n* SSL certificate verify ok.\n* using HTTP/2\n* [HTTP/2] [1] OPENED stream for https://192.168.100.99/api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63\n* [HTTP/2] [1] [:method: GET]\n* [HTTP/2] [1] [:scheme: https]\n* [HTTP/2] [1] [:authority: 192.168.100.99]\n* [HTTP/2] [1] [:path: /api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63]\n* [HTTP/2] [1] [user-agent: curl/8.7.1]\n* [HTTP/2] [1] [accept: */*]\n> GET /api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63 HTTP/2\n> Host: 192.168.100.99\n> User-Agent: curl/8.7.1\n> Accept: */*\n>\n* Request completely sent off\n< HTTP/2 200\n< content-security-policy: frame-ancestors 'self'; script-src 'self'; object-src 'none';\n< strict-transport-security: max-age=63072000\n< date: Thu, 26 Mar 2026 03:04:03 GMT\n< etag: 27F6559DB07096435FA668AA55B19681FB124B76DA8D32FA77E125F613074EC1\n< cache-control: no-cache, must-revalidate\n< content-length: 377\n< content-type: application/json\n<\n* Connection #0 to host 192.168.100.99 left intact\n{\"http_method\":\"GET\",\"size\":1,\"limit_reached\":false,\"matched_count\":1,\"next_idx\":0,\"revision\":\"9b107552a7c5cc639bb9c77dc3cf43b2\",\"results\":[{\"name\":\"root\",\"q_origin_key\":\"root\",\"short-name\":\"root\",\"vcluster-id\":0,\"flag\":0}],\"vdom\":\"root\",\"path\":\"system\",\"name\":\"vdom\",\"action\":\"\",\"status\":\"success\",\"http_status\":200,\"serial\":\"FG101FTK20007637\",\"version\":\"v7.6.6\",\"build\":3652}%当多个拨号（dial-up）IPsec 隧道配置了相同的 IP 地址池时，即使每个隧道配置了不同的用户组，同一时间也只能有一个 VPN 用户保持连接。第一个连接的 VPN 用户会在第二个用户连接后立即被断开。
\n这是 FortiOS 的设计行为：相同的 IP 池不能在 FortiGate 上的多个 IPsec 隧道中同时使用。
\n如果在不同的拨号 IPsec 隧道上配置了相同的 IP 池，如下所示：
\nconfig vpn ipsec phase1-interface\n edit <tunnel_A>\n set type dynamic\n set authusrgrp <group_A>\n set ipv4-start-ip 10.180.1.1\n set ipv4-end-ip 10.180.1.10\n next\n edit <tunnel_B>\n set type dynamic\n set authusrgrp <group_B>\n set ipv4-start-ip 10.180.1.1\n set ipv4-end-ip 10.180.1.10\n next\nend在 IKE 协商过程中，IKE 守护进程会根据 phase1 中配置的用户组将 IPsec 隧道映射到用户。用户认证成功后，IP 池中第一个可用的 IP 会被分配给该用户。当第二个用户连接 VPN 并认证成功后，IKE 守护进程会尝试将该隧道 IP 池中的第一个 IP 分配给第二个用户，此时会释放第一个已连接 VPN 用户的 IP 地址。
\n结果就是：第一个已连接的 VPN 用户被断开，第二个 VPN 用户成功连接。
\n以下配置示例使用两个不同的用户组（本地用户和 LDAP 组），debug 输出展示了当两个隧道配置相同 IP 池时，第一个 VPN 用户在第二个用户连接后被断开的过程。
\n为每个拨号 IPsec 隧道配置不同的用户组：
\nconfig user local\n edit \"tester\"\n set type password\n set passwd *****\n next\nend\n\nconfig user group\n edit \"ldap.users\"\n set member \"fortiserver.ldap\" \"zilan\"\n config match\n edit 1\n set server-name \"fortiserver.ldap\"\n set group-name \"CN=ldap.group,DC=fortiserver,DC=com\"\n next\n end\n next\n edit \"local.users\"\n set member \"tester\"\n next\nend为不同用户组配置两个拨号 IPsec 隧道（phase1 和 phase2）：
\nconfig vpn ipsec phase1-interface\n edit \"fct.1\"\n set type dynamic\n set interface \"port4\"\n set mode aggressive\n set mode-cfg enable\n set proposal aes128-sha256 aes256-sha256\n set xauthtype auto\n set authusrgrp \"local.users\" # ← 本地用户组\n set ipv4-start-ip 10.180.1.1\n set ipv4-end-ip 10.180.1.10\n set psksecret ENC *****\n next\n edit \"fct.2\"\n set type dynamic\n set interface \"port4\"\n set mode aggressive\n set mode-cfg enable\n set proposal aes128-sha1 aes256-sha1\n set xauthtype auto\n set authusrgrp \"ldap.users\" # ← LDAP 用户组\n set ipv4-start-ip 10.180.1.1\n set ipv4-end-ip 10.180.1.10\n set psksecret ENC *****\n next\nend\n\nconfig vpn ipsec phase2-interface\n edit \"fct.1\"\n set phase1name \"fct.1\"\n set proposal aes128-sha256\n set dhgrp 2\n next\n edit \"fct.2\"\n set phase1name \"fct.2\"\n set proposal aes128-sha256\n set dhgrp 5\n next\nend第一个用户连接：本地用户 tester 连接 VPN，IKE 守护进程从 IP 池中分配第一个 IP 10.180.1.1：
2025-06-30 13:59:39.847399 ike V=root:0:fct.1:1720: add route 10.180.1.1/255.255.255.255 gw 10.180.1.1 oif fct.1(1364) metric 15 priority 1\n2025-06-30 13:59:39.849412 ike V=root:0:fct.1_0:1065:fct:1720: tunnel 1 of VDOM limit 0/0\n2025-06-30 13:59:39.850493 ike V=root:0:fct.1_0:1065:fct:1720: add IPsec SA: SPIs=14b059d8/08b06a3f通过 diagnose vpn ike gateway list 确认用户 tester 已连接并被分配 IP 10.180.1.1：
# diagnose vpn ike gateway list\n\nvd: root/0\nname: fct.1_0\n...\nxauth-user: tester # ← 本地用户\nassigned IPv4 address: 10.180.1.1/255.255.255.255 # ← 分配的 IP\n...第二个用户连接：LDAP 用户 zilan 连接 VPN 后，IKE 守护进程将路由从 fct.1 移动到 fct.2，释放第一个用户的 IP 并重新分配给第二个用户：
2025-06-30 13:59:54.415801 ike V=root:0:fct.1:1720: moving route 10.180.1.1/255.255.255.255 oif fct.1(1364) metric 15 priority 1 to 0:fct.2:1727\n # ↑ 将路由从 fct.1 移动到 fct.2\n\n2025-06-30 13:59:54.417456 ike V=fct.1:0:fct.1:1720: del route 10.180.1.1/255.255.255.255 tunnel 10.180.1.1 oif fct.1(1364) metric 15 priority 1\n # ↑ 删除 fct.1 的路由\n\n2025-06-30 13:59:54.419296 ike V=root:0:fct.1_0: going to be deleted\n # ↑ fct.1 隧道准备删除\n\n2025-06-30 13:59:54.423117 ike V=root:0:fct.1_0: deleting IPsec SA with SPI 08b06a3f\n # ↑ 删除 fct.1 的 IPsec SA\n\n2025-06-30 13:59:54.464700 ike V=root:0:fct.1_0: mode-cfg release 10.180.1.1/255.255.255.255\n # ↑ 释放第一个用户的 IP 地址\n\n2025-06-30 13:59:54.466634 ike V=root:0:fct.2:1727: add route 10.180.1.1/255.255.255.255 gw 10.0.0.12 oif fct.2(1362) metric 15 priority 1\n # ↑ 为第二个用户在 fct.2 上添加路由通过 diagnose vpn ike gateway list 确认用户 zilan 已连接并使用了同一个 IP 10.180.1.1：
# diagnose vpn ike gateway list\n\nvd: root/0\nname: fct.2_0\n...\nxauth-user: zilan # ← LDAP 用户\nassigned IPv4 address: 10.180.1.1/255.255.255.255 # ← 使用了同一个 IP\n...为每个拨号 IPsec 隧道配置不同的、不重叠的 IP 地址池：
\nconfig vpn ipsec phase1-interface\n edit \"fct.1\"\n set type dynamic\n set authusrgrp \"local.users\"\n set ipv4-start-ip 10.180.1.1\n set ipv4-end-ip 10.180.1.10 # ← IP 池 1：10.180.1.1 - 10.180.1.10\n next\n edit \"fct.2\"\n set type dynamic\n set authusrgrp \"ldap.users\"\n set ipv4-start-ip 10.180.2.1\n set ipv4-end-ip 10.180.2.10 # ← IP 池 2：10.180.2.1 - 10.180.2.10\n next\nend可以为被拒绝的组播流量创建会话并纳入会话表中，使后续数据包能够直接匹配并丢弃，从而降低 CPU 使用率并提高性能。
\nconfig system setting\n set ses-denied-multicast-traffic {disable | enable}\nenddisable（默认）：不将被拒绝的组播会话添加到会话表中（默认，每次拒绝流量都会创建新的拒绝会话并立即删除）。enable：将被拒绝的组播会话包含在会话表中（只创建一次拒绝流量的会话并保持在会话表中）。在此示例中，被拒绝的组播会话被包含在 VDOM 的会话表中。创建一条拒绝（deny）组播策略，然后发送命中该策略的数据包。检查组播会话列表可以看到被拒绝的组播会话已被创建。
\n启用 ses-denied-multicast-traffic。
config system setting\n set ses-denied-multicast-traffic enable\nend在组播策略表中创建拒绝策略。
\nconfig firewall multicast-policy\n edit 1\n set name \"Deny_Multicast_Policy\"\n set srcintf \"port1\"\n set dstintf \"port3\"\n set srcaddr \"172.16.200.0\"\n set dstaddr \"230.0.0.1\"\n set action deny\n set logtraffic all\n set auto-asic-offload disable\n next\nend发送数据包命中拒绝策略后，检查组播会话列表。输出中显示的第二个会话为被拒绝的组播会话：
\nFortiGate # diagnose sys mcast-session list\n\nsession info: id=259 vf=1 proto=17 172.16.200.55.34896->230.0.0.10.7878\nused=2 path=1 duration=8 expire=174 indev=9 pkts=4 bytes=2160\nstate=00000000:\nsession-npu-info: ipid/vlifid=0/0 vlanid/vtag_in=0/0 in_npuid=0 tae_index=0 qid=0 fwd_map=0x00000000\npath: log npu-deny policy=2, outdev=11, tos=0xff\n\nsession info: id=260 vf=1 proto=17 172.16.200.55.33488->230.0.0.1.7878\nused=2 path=0 duration=6 expire=177 indev=9 pkts=5 bytes=2700\nstate=00000200: deny\nsession-npu-info: ipid/vlifid=0/0 vlanid/vtag_in=0/0 in_npuid=0 tae_index=0 qid=0 fwd_map=0x00000000\nTotal 2 sessions可以看到第二个会话的 state 字段标记为 deny，表示该组播会话已被策略拒绝并记录在会话表中，后续被拒绝的流量直接匹配该会话被丢弃，不需要重新建立拒绝会话。
diagnose sys session filter 命令提供了 session-state1 和 session-state2 两个参数，可以根据会话的状态标志对会话表进行精确过滤。
命令格式如下：
\ndiagnose sys session filter <session-state1|session-state2> <state_bits> <state_bits_mask>state_bits：指定要过滤的状态位，多个状态可以通过相加（按位或）的方式组合使用。state_bits_mask：\nffffffff：只匹配 仅包含指定状态的会话（精确匹配）。state_bits 相同的值：匹配 包含指定状态的会话（含其他状态也可命中）。在命令行输入以下命令（不加参数），可查看 session-state1 支持的所有状态位：
FortiGate # diagnose sys session filter session-state1Arguments: state_bits state_bits_mask\n\nstate1 bits:\n|00000001: new |00000002: redir |00000004: log |00000008: block\n|00000010: oe |00000020: re |00000040: wccp |00000080: dirty\n|00000100: local |00000200: may_dirty |00000400: per_ip |00000800: auth\n|00001000: nb |00002000: ndr |00004000: nds |00008000: br\n|00010000: npu |00020000: npd |00040000: src-vis |00080000: ssc\n|00100000: nlb |00200000: dst-vis |00400000: 3way |00800000: pol_sniff\n|01000000: authed |02000000: need_sync |04000000: synced |08000000: os\n|10000000: rs |20000000: ha_replicate |40000000: ndri提示
\nCLI 帮助中未显示的额外状态位：80000000: EXPECT (f31)
常用 session-state1 状态位说明：
| 状态位 | 状态名 | 说明 |\n|
\n", "date_published": "2026-03-17T10:00:39.000Z", "date_modified": "2026-03-30T06:40:55.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "会话管理" ] }, { "title": "使用附加 IP 时隧道无法建立", "url": "https://support.fortinet.com.cn/vpn/ipsec_vpn/ipsec_troubleshoot/ipsec_secondary_ip_tunnel_fail", "id": "https://support.fortinet.com.cn/vpn/ipsec_vpn/ipsec_troubleshoot/ipsec_secondary_ip_tunnel_fail", "summary": "使用附加 IP 时隧道无法建立 问题现象 在本端 FortiGate 的接口 wan1（202.1.1.2）上配置了附加 IP（Secondary IP）202.1.1.3。 IPSec 连接绑定接口为 wan1。 对端设备将 VPN 隧道的 Remote Gateway 配置为该附加 IP（202.1.1.3）时，隧道无法正常建立，开启 IKE De...", "content_html": "\n在本端 FortiGate 的接口 wan1（202.1.1.2）上配置了附加 IP（Secondary IP）202.1.1.3。
config system interface\n edit \"wan1\"\n set vdom \"root\"\n set ip 202.1.1.2 255.255.255.0\n config secondaryip\n edit 1\n set ip 202.1.1.3 255.255.255.0\n next\n end\n next\nendIPSec 连接绑定接口为 wan1。
\nconfig vpn ipsec phase1-interface\n edit \"IPSec_Dialup\"\n set type dynamic\n set interface \"wan1\"\n set ike-version 2\n......\n next\nend\n\nconfig vpn ipsec phase2-interface\n edit \"IPSec_Dialup\"\n set phase1name \"IPSec_Dialup\"\n set replay disable\n next\nend对端设备将 VPN 隧道的 Remote Gateway 配置为该附加 IP（202.1.1.3）时，隧道无法正常建立，开启 IKE Debug 后出现 no proposal chosen 报错（即使对端发起的安全提议和本端配置的安全提议完全一致）：
comes 39.183.172.30:64916->202.1.1.3:500,ifindex=41,vrf=0,len=373....\n......\nike V=root:0:93bce19daab14410/0000000000000000:3056: incoming proposal:\nike V=root:0:93bce19daab14410/0000000000000000:3056: proposal id = 1:\nike V=root:0:93bce19daab14410/0000000000000000:3056: protocol = IKEv2:\nike V=root:0:93bce19daab14410/0000000000000000:3056: encapsulation = IKEv2/none\nike V=root:0:93bce19daab14410/0000000000000000:3056: type=ENCR, val=AES_CBC (key_len = 128)\nike V=root:0:93bce19daab14410/0000000000000000:3056: type=INTEGR, val=AUTH_HMAC_SHA_96\nike V=root:0:93bce19daab14410/0000000000000000:3056: type=PRF, val=PRF_HMAC_SHA\nike V=root:0:93bce19daab14410/0000000000000000:3056: type=DH_GROUP, val=ECP384.\n......\nike V=root:0:93bce19daab14410/0000000000000000:3056: my proposal, gw IPSec_Dialup:\nike V=root:0:93bce19daab14410/0000000000000000:3056: proposal id = 1:\nike V=root:0:93bce19daab14410/0000000000000000:3056: protocol = IKEv2:\nike V=root:0:93bce19daab14410/0000000000000000:3056: encapsulation = IKEv2/none\nike V=root:0:93bce19daab14410/0000000000000000:3056: type=ENCR, val=AES_CBC (key_len = 128)\nike V=root:0:93bce19daab14410/0000000000000000:3056: type=INTEGR, val=AUTH_HMAC_SHA_96\nike V=root:0:93bce19daab14410/0000000000000000:3056: type=PRF, val=PRF_HMAC_SHA\nike V=root:0:93bce19daab14410/0000000000000000:3056: type=DH_GROUP, val=ECP384.\nike V=root:0:93bce19daab14410/0000000000000000:3056: lifetime=86400\n......\nike V=root:0:93bce19daab14410/0000000000000000:3056: no proposal chosenlocal-gw 参数显式指定。no proposal chosen 错误。在 IPSec 一阶段配置中，通过 local-gw 显式指定附加 IP，使 FortiGate 使用该 IP 进行 IKE 协商：
重要
\nlocal-gw 指定的 IP 必须已在对应接口上完成配置（主 IP 或附加 IP 均可）。
![\"image-20260316160048664\"](\"https://support.fortinet.com.cn/assets/image-20260316160048664-Eeu-qAz7.png\")
\nconfig vpn ipsec phase1-interface\n edit \"IPSec_Dialup\"\n set interface \"wan1\"\n set local-gw 202.1.1.3\n next\nend配置完成后，对端与 FortiGate 建立 IPSec 时，IKE Debug 中显示协商成功：
\n......\nike V=root: SA proposal chosen, matched gateway IPSec_Dialup\nike V=root:0:Tunnel1:Tunnel1: created connection: 0xb5be700 9 39.183.172.30->202.1.1.3:1012IPSec 隧道绑定到 loopback 接口，且公网出口存在多 ISP 的 ECMP 场景时，IPSec 隧道可能无法建立。
\n![\"image-20260313170658368\"](\"https://support.fortinet.com.cn/assets/image-20260313170658368-ztGz5XgU.png\")
\nFortiGate 有两个 ISP 出口，默认路由在两个 ISP 出口上等价负载。
\nFortiGate # get router info routing-table all\n......\nRouting table for VRF=0\nS* 0.0.0.0/0 [10/0] via 101.1.1.1, wan1, [1/0]\n [10/0] via 202.1.1.1, wan2, [1/0]\n......IPSec 连接绑定在 loopback 接口，local-gw 配置为 wan2 的 IP 地址，NAT-T 配置为默认的开启状态（set nattraversal enable）。
config vpn ipsec phase1-interface\n edit \"IPSec_Dialup\"\n set type dynamic\n set interface \"loopback1\"\n set ike-version 2\n set peertype any\n set net-device disable\n set mode-cfg enable\n set dpd on-idle\n set eap enable\n set eap-identity send-request\n set authusrgrp \"IPSec-Group\"\n set ipv4-start-ip 10.13.0.129\n set ipv4-end-ip 10.13.0.254\n set dns-mode auto\n set ipv4-split-include \"intranet\"\n set nattraversal enable\n set psksecret xxxxxxxx\n next\nendFortiClient 连接 FortiGate 的 IPSec，拨号连接失败。在 FortiClient 侧抓包可以看到一直在重发 IKEv2 第一个协商包 IKE_SA_INIT (Initiator Request)，但没有收到 FortiGate 的任何响应。
1 16:10:20.828351600 192.168.1.10 202.1.1.2 a69f9452f9fc9bc4 IKE_SA_INIT MID=00 Initiator Request\n2 16:10:23.506134300 192.168.1.10 202.1.1.2 a69f9452f9fc9bc4 IKE_SA_INIT MID=00 Initiator Request\n3 16:10:26.510410100 192.168.1.10 202.1.1.2 a69f9452f9fc9bc4 IKE_SA_INIT MID=00 Initiator Request\n4 16:10:29.511326300 192.168.1.10 202.1.1.2 a69f9452f9fc9bc4 IKE_SA_INIT MID=00 Initiator Request\n......从 FortiGate 处抓包可以看到 FortiGate 从 wan2 接收了 FortiClient 发送的 IKE_SA_INIT (Initiator Request)，但从 wan1 接口返回了 IKEv2 第 2 个包 IKE_SA_INIT (Responder Response)，没有源进源出。
R2-601F # diagnose sniffer packet any \"host 60.247.121.226\" 4 0 l\ninterfaces=[any]\nfilters=[host 60.247.121.226]\n2026-03-13 11:14:58.393925 wan2 in 60.247.121.226.500 -> 202.1.1.2.500: udp 328\n2026-03-13 11:14:58.393985 wan1 out 202.1.1.2.500 -> 60.247.121.226.500: udp 268\n2026-03-13 11:15:04.403999 wan2 in 60.247.121.226.500 -> 202.1.1.2.500: udp 328\n2026-03-13 11:15:04.404026 wan1 out 202.1.1.2.500 -> 60.247.121.226.500: udp 268\n......在 FortiGate 上查看 IKEv2 会话，reply 没有遵循 session 优先的原则源进源出，而是独立进行了 RIB 的查找。
\nsession info: proto=17 proto_state=01 duration=0 expire=179 timeout=0 refresh_dir=both flags=00000000 socktype=0 sockport=0 av_idx=0 use=3\norigin-shaper=\nreply-shaper=\nper_ip_shaper=\nclass_id=0 ha_id=0 policy_dir=0 tunnel=/ vlan_cos=0/0\nstate=log local may_dirty \nstatistic(bytes/packets/allow_err): org=401/1/1 reply=288/1/1 tuples=2\ntx speed(Bps/kbps): 0/0 rx speed(Bps/kbps): 0/0\norgin->sink: org pre->in, reply out->post dev=41->46/46->39 gwy=0.0.0.0/0.0.0.0\nhook=pre dir=org act=noop 60.247.121.226:21733->202.1.1.2:500(0.0.0.0:0)\nhook=post dir=reply act=noop 202.1.1.2:500->60.247.121.226:21733(0.0.0.0:0)\nmisc=0 policy_id=101 pol_uuid_idx=16314 auth_info=0 chk_client_info=0 vd=0\nserial=7a971a9d tos=ff/ff app_list=0 app=0 url_cat=0\nrpdb_link_id=00000000 ngfwid=n/a\nnpu_state=0x001000\nno_ofld_reason: local在未开启强制 NAT-T（set nattraversal forced）的情况下，IKE（IPSec 一阶段）与 ESP（IPSec 二阶段）是独立会话。隧道绑定到 loopback 且存在冗余 ISP 时，IKE 与 ESP 流量可能走不同路径，入向与出向 IKE 协商可能经过不同接口，导致部分客户端无法建立隧道。
在 IPSec 一阶段配置中开启 loopback-asymroute 控制 IKE 流量是否允许异步路由，该命令仅在一阶段绑定接口为 loopback 时可见。
config vpn ipsec phase1-interface\n edit <name>\n set interface <loopback interface name>\n set loopback-asymroute {enable | disable}\n next\nendenable（默认）：允许入向/出向 IKE 流量走不同接口（允许异步）。disable：要求入向/出向 IKE 流量走同一接口（源进源出）。在 7.4.8、7.6.4、8.0.0 及以后版本，以下情况会触发强制自动升级（FortiGate 所有型号），不受有效 License 自动升级设置的影响：
\n过期的 Firmware & General Updates 合同：若设备未绑定有效的 FMGR 合同（Firmware & General Updates）或该合同已过期，系统将强制升级至最新补丁版本（主次版本号保持不变，例如 7.4.X 会升级到 7.4 最新的版本，而不会升级到 7.6.X）。
\n固件版本支持周期终止：当设备固件达到官方 工程支持终止日期（End of Engineering Support，简称 EOES，该时间可以登录 https://support.fortinet.com/support/#/lifecycle 查询）时，系统将强制升级至最新版本（主次版本号保持不变，例如 7.4.X 会升级到 7.4 最新的版本，而不会升级到 7.6.X）。
\n提示
\n注意 EOES 时间并非 EOS（End of Support）时间，通常比 EOS 时间要早：
\n相关信息
\n2026-03-31，Fortinet 发布公告 CSB-260330-1：FortiOS、FortiManager、FortiAnalyzer 的 7.4 与 7.6 版本支持生命周期延长 12 个月，EOES 与 EOS 日期整体顺延 1 年。
\n因此，7.4.x/7.6.x 分支基于 EOES 触发的强制升级时间点也会相应后移；请以 https://support.fortinet.com/support/#/lifecycle 页面显示时间为准。
\n如果设备已经加入了 FortiManager 管理，强制升级机制会被禁用。
\n将设备加入 FortiManager 管理（推荐）。
\nconfig system central-management\n set type fortimanager\nend\n\nThe Serial Number for FortiManager is not entered.\nIn order to verify identity of FortiManager serial number is needed.\nIf serial number is not set, connection will be set as unverified.\nFortiGate can establish a connection to obtain the serial number now.Do you want to try to connect now? (y/n)n提示
\n配置中不需要填写实际的 FortiManager IP 地址。只要启用了 FortiManager 管理类型，强制升级机制就会被禁用。
\n在执行上述命令后，系统可能会弹出确认信息，键入 n 以提交配置。
启用 fortimanager 模式并不会自动开放防火墙的入站端口。接口的访问权限是由接口下的 fgfm 选项独立控制的。
如果实际环境中并不使用 FortiManager，建议检查并确保所有网络接口上的 fgfm 选项已被禁用（该选项仅用于 FortiManager 主动连接 FortiGate 的模式，如果是 FortiGate 主动连接 FortiManager，也不需要开启 fgfm）。
FortiGate # show sys int | grep fgfm -f\nconfig system interface\n edit \"wan1\"\n set vdom \"root\"\n set ip 192.168.100.99 255.255.255.0\n set allowaccess ping https ssh http fgfm <默认情况下，管理员密码连续输错 3 次后，账户会被锁定 60 秒。
\n如果需要提高设备管理面的安全性，可以通过 CLI 调整管理员密码的重试次数与锁定时长。
\nconfig system global\n set admin-lockout-threshold <failed_attempts>\n set admin-lockout-duration <seconds>\nendadmin-lockout-threshold：管理员登录失败后触发锁定的阈值，默认值为 3，范围 1~10。admin-lockout-duration：触发锁定后的等待时间，单位为秒，默认值为 60，范围 1~2147483647。提示
\nadmin-lockout-threshold 设置得越大，管理员密码被暴力猜测成功的风险也越高。admin-lockout-duration，则会触发锁定。例如，设置管理员密码输错 1 次即锁定，锁定时间为 5 分钟。
\nconfig system global\n set admin-lockout-threshold 1\n set admin-lockout-duration 300\nendFortiGate 的固件升级能力由 Firmware & General Updates (FMWR) 合同控制。
从 FortiOS 7.4.2 开始，系统会阻止“支持合同已过期”的设备升级到不满足许可条件的目标版本（主要版本、次要版本以及相关补丁版本）。
\n版本号概念说明
\nFortiOS 版本通常写作 x.y.z，例如 7.6.3：
x：主要版本（Major），例如 7.x 到 8.x。y：次要版本（Minor），例如 7.4.x 到 7.6.x。z：补丁版本（Patch），例如 7.6.1 到 7.6.2。本文提到的“相关补丁版本”，指的是属于某个主/次版本分支的补丁版本。例如在 7.6.x 分支中，7.6.1、7.6.2、7.6.3 都是该分支的相关补丁版本。
重要
\n本文中的 GA 日期示例用于解释许可证校验机制，不代表 FortiOS 官方发布时间计划。
\n设备升级到目标版本前，会比较以下两个时间：
\nGA .0 发布日期。判定规则如下：
\nGA .0 发布日期：允许升级。GA .0 发布日期：拒绝升级。例如，目标版本是 7.6.3，实际对比的是 7.6.0 GA 的发布日期，而不是 7.6.3 的发布日期。
假设各次版本首个 GA 版本发布日期如下（示例）：
\n| 版本 | 首个 GA 版本 | 发布日期 |\n|
\n", "date_published": "2026-03-02T02:36:24.000Z", "date_modified": "2026-03-30T06:40:55.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "固件版本管理" ] }, { "title": "License 到期的影响", "url": "https://support.fortinet.com.cn/system_mgmt/fortiguard_mgmt/fortiguard_license_expired", "id": "https://support.fortinet.com.cn/system_mgmt/fortiguard_mgmt/fortiguard_license_expired", "summary": "License 到期的影响 当 FortiGate 的一个或多个 FortiGuard 许可证过期时，以下功能可能会受到影响。 提示 FortiGuard 服务为连续服务模式，任何服务中断，在续费时都需要补齐至合同到期日的服务周期。详情参考：系统管理 → FortiGuard 管理 → 服务指南 → FortiCare 服务介绍章节。", "content_html": "\n当 FortiGate 的一个或多个 FortiGuard 许可证过期时，以下功能可能会受到影响。
\n| License 类型 | 到期影响 |\n|
\n", "date_published": "2026-02-12T10:25:49.000Z", "date_modified": "2026-03-30T06:40:55.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "FortiGuard 管理" ] }, { "title": "组播转发", "url": "https://support.fortinet.com.cn/routing/multicast/multicast_forwarding", "id": "https://support.fortinet.com.cn/routing/multicast/multicast_forwarding", "summary": "组播转发 功能简介 在术语使用上，组播 "转发（forwarding）" 和 "路由（routing）" 这两个功能有时会让人混淆。这两个功能不应同时进行： 当 FortiGate 处于 NAT 模式并且需要在组播路由器和接收者之间转发组播数据包时，应启用组播转发。 当 FortiGate 本身作为组播路由器运行...", "content_html": "\n在术语使用上，组播 \"转发（forwarding）\" 和 \"路由（routing）\" 这两个功能有时会让人混淆。这两个功能不应同时进行：
\n重要
\n组播转发不支持 EMAC VLAN 接口。要在 EMAC VLAN 接口上使用组播，请使用 PIM 协议。
\n组播转发的行为在 NAT 模式和透明模式下有所区别。
\nconfig system settings\n set multicast-forward {enable | disable}\nendenable（默认）：FortiGate 会将 TTL ≥ 2 的所有组播 IP 数据包转发到所有接口和 VLAN 接口（接收接口除外）。IP 报文头中的 TTL 值会减 1，必须添加组播策略以允许组播数据包通过 FortiGate。
相关信息
\n如需转发 TTL=1 的组播，请参考：路由 → 组播 → TTL=1 的组播无法转发章节。
\ndisable：不会转发任何组播报文，即使配置了放通的组播策略。
config system settings\n set multicast-skip-policy disable\nendenable：允许通过 FortiGate 传输组播流量，无需创建组播策略。disable（默认）：需要配置组播策略才能放通对应的组播流量（但透明模式下默认存在一条 any ↔any 的全放通组播策略，所以组播在默认配置下是放通的）。提示
\nIPv4 和 IPv6 组播策略可以在 GUI 中配置。进入系统管理 > 可见功能，启用组播策略和 IPv6。
\n![\"image-20260204101211182\"](\"https://support.fortinet.com.cn/assets/image-20260204101211182-BPuwJCxp.png\")
\nconfig firewall multicast-policy\n edit <policy_id>\n set name \"<policy_name>\"\n set srcintf \"<interface>\"\n set dstintf \"<interface>\"\n set srcaddr \"<address_object>\"\n set dstaddr \"<multicast_address>\"\n set action {accept | deny}\n set status {enable | disable}\n set snat {enable | disable} # 是否启用源 NAT\n set snat-ip <IP_address> # SNAT 转换的 IP 地址\n set dnat <IP_address> # 目标 NAT 地址\n set comments \"<string>\"\n next\nendFortiGate（NAT 模式）接受从 IP 地址为 192.168.100.77 的 PC 发送到目标地址范围 239.168.4.0-255 的组播数据包。该策略允许组播数据包进入 lan 接口，然后从 wan1 接口发出。当数据包离开 wan1 接口时，其源地址将转换为 10.10.12.2。
创建源地址对象。
\nconfig firewall address\n edit \"192.168.100.77/32\"\n set subnet 192.168.100.77 255.255.255.255\n next\nend创建组播目标地址对象。
\nconfig firewall multicast-address\n edit \"239.168.4.0/24\"\n set start-ip 239.168.4.0\n set end-ip 239.168.4.255\n next\nend配置包含 SNAT 的组播策略。
\n提示
\n![\"image-20260204110616938\"](\"https://support.fortinet.com.cn/assets/image-20260204110616938-DZrHUrIx.png\")
\nconfig firewall multicast-policy\n edit 1\n set srcintf \"lan\"\n set dstintf \"wan1\"\n set srcaddr \"192.168.100.77/32\"\n set dstaddr \"239.168.4.0/24\"\n set snat enable # 启用 SNAT\n set snat-ip 10.10.12.2 # SNAT 转换后的 IP 地址\n next\nend在 FortiGate 开启多 VDOM 模式时，避免创建全通（any-to-any）的全通组播策略引起组播网络环路。
\nvdom-mode 更改为 multi-vdom 时会在同一个 root VDOM 中创建一对 npu0_vlink0 和 npu0_vlink1 接口。因此，在开启多 VDOM 模式时：
\n在将 FortiGate 切换到多 VDOM 模式之前，确保不存在全通的组播策略。
\n如果必须定义全通组播策略，确保没有两个相连的接口（如 npu0_vlink0 和 npu0_vlink1）属于同一个 VDOM。
\n警告
\n如下配置可能会引起组播环路。
\n启用 multi-VDOM 模式。
\nconfig system global\n set vdom-mode multi-vdom\nend配置全放通的组播策略。
\nconfig firewall multicast-policy\n edit 1\n set logtraffic enable\n set srcintf \"any\"\n set dstintf \"any\"\n set srcaddr \"all\"\n set dstaddr \"all\"\n next\nend查看接口配置，两个 vlink 接口都在同一个 root VDOM 中。
\nshow system interface\nconfig system interface\n edit \"npu0_vlink0\"\n set vdom \"root\" ←在 IPsec VPN 远程接入场景中，用户组用于在建立隧道前对远程用户进行身份认证。一个 IPsec VPN 隧道可以关联单个用户组或多个用户组。
\n用户组在 IPSec VPN 隧道中的配置位置可以存在于 2 处位置：
\n![\"image-20260130151758576\"](\"https://support.fortinet.com.cn/assets/image-20260130151758576-Bf93MDqM.png\")
\n基础网络配置略。
\n只能使用一个用户组，配置方法请参考：VPN → IPSec VPN → 拨号 VPN → FortiClient 拨号章节。参考配置如下：
\nconfig vpn ipsec phase1-interface\n edit \"IPSec_Dialup\"\n set type dynamic\n set interface \"port1\"\n set ike-version 2\n set peertype any\n set net-device disable\n set mode-cfg enable\n set proposal aes128-sha256 aes256-sha256 aes128gcm-prfsha256 aes256gcm-prfsha384 chacha20poly1305-prfsha256\n set dhgrp 20 21\n set eap enable\n set eap-identity send-request\n set authusrgrp \"group1\"\n set transport udp\n set ipv4-start-ip 10.100.1.100\n set ipv4-end-ip 10.100.1.200\n set dns-mode auto\n set ipv4-split-include \"Server\"\n set save-password enable\n set psksecret xxxxxx\n next\nend\n\nconfig vpn ipsec phase2-interface\n edit \"IPSec_Dialup\"\n set phase1name \"IPSec_Dialup\"\n set proposal aes128-sha1 aes256-sha1 aes128-sha256 aes256-sha256 aes128gcm aes256gcm chacha20poly1305\n set dhgrp 20 21\n next\nend根据网络拓扑中的内容创建用户与用户组。
\nconfig user local\n edit \"guest\"\n set type password\n set xxxxxx\n next\n edit \"user1\"\n set type password\n set passwd xxxxxx\n next\n edit \"user2\"\n set type password\n set passwd xxxxxx\n next\n edit \"user3\"\n set type password\n set xxxxxx\n next\nend\n\nconfig user group\n edit \"group1\"\n set member \"user1\" \"user2\"\n next\n edit \"group2\"\n set member \"user3\"\n next\nend进入“VPN → VPN 向导”页面，模板选择“远程访问”，填写隧道名称，并点击“开始”按钮。
\n![\"image-20260130153038971\"](\"https://support.fortinet.com.cn/assets/image-20260130153038971-Ch1lEXxg.png\")
\n配置 VPN 隧道相关信息。
\n![\"image-20260130153515262\"](\"https://support.fortinet.com.cn/assets/image-20260130153515262-blbi5zij.png\")
\n认证方法：根据需求选择，这里以预共享密钥为例。
\nIKE：由于 FortiClient 在 7.4.4 版本开始不再支持 IKEv1，这里推荐使用 IKEv2。
\n传输：使用 UDP，如使用 UDP 协商失败，再尝试使用自动方式。
\nEAP 对等体识别：使用默认的 EAP 认证。
\n用户身份验证方法：选择“从策略继承”，并选择用户组 group1 和 group2。如果选择“阶段 1 接口”，则只能选择一个用户组。
\n提示
\nFortiOS 7.6 以下版本的 GUI 向导没有“从策略继承”选项，可以在 GUI 向导配置时先选择一个用户组，在向导配置结束后，修改 IPSec 隧道配置，在 XAUTH 处将用户组的模式修改为“从策略继承”。
\n![\"image-20260227153811557\"](\"https://support.fortinet.com.cn/assets/image-20260227153811557-Dz6_h959.png\")
\n也可以在 IPSec 一阶段的 CLI 配置中取消引用用户组，即可达到“从策略继承”相同的配置效果。
\nconfig vpn ipsec phase1-interface\n edit \"IPSec_Dialup\"\n unset authusrgrp \"group1\"\n next\nend配置给客户端分配的 IP 地址范围。
\n![\"image-20260130154003402\"](\"https://support.fortinet.com.cn/assets/image-20260130154003402-BsQLPX_k.png\")
\n配置本地 FortiGate 相关信息。
\n![\"image-20260130154208496\"](\"https://support.fortinet.com.cn/assets/image-20260130154208496-Drbk35oi.png\")
\n检查配置无误后，提交配置（可以修改自动生成的隧道分割地址/地址组、防火墙策略名称）。
\n![\"image-20260130154509352\"](\"https://support.fortinet.com.cn/assets/image-20260130154509352-DSehozRf.png\")
\n向导自动生成的隧道分割地址组与 IPSec 一阶段/二阶段配置 CLI 命令。
\nconfig firewall addrgrp\n edit \"IPSec_Dialup_split\"\n set member \"Server1_10.10.1.0/24\" \"Server2_10.10.2.0/24\"\n set comment \"VPN: IPSec_Dialup -- Created by VPN wizard\"\n set uuid be3f392e-fdaf-51f0-431c-681b8197a201\n next\nend\n\nconfig vpn ipsec phase1-interface\n edit \"IPSec_Dialup\"\n set type dynamic\n set interface \"port1\"\n set ike-version 2\n set peertype any\n set net-device disable\n set mode-cfg enable\n set proposal aes128-sha256 aes256-sha256 aes128gcm-prfsha256 aes256gcm-prfsha384 chacha20poly1305-prfsha256\n set comments \"VPN: IPSec_Dialup -- Created by VPN wizard\"\n set dhgrp 20 21\n set eap enable\n set eap-identity send-request\n set wizard-type dialup-forticlient\n set transport udp\n set ipv4-start-ip 10.100.1.100\n set ipv4-end-ip 10.100.1.200\n set dns-mode auto\n set ipv4-split-include \"Server\"\n set save-password enable\n set psksecret ENC aZFKK834W6UFV39Tkp9enmmHi5ke2PbXeCsnrExTfzHtYHqaUgcirBnxASvBdeCVQjph+8WW2MJXd59ZWSr2OcfpbNK5k3AGqNBzbXvSY/Is4Yo5nUKmhBEH9oPkuUlhyp4+ibXcYd4Eq1Di0aIfloxfPCFCn5MNPQDOQ0YH6BTu+gCTcU8kIaiysXW7gytAEa0HLllmMjY3dkVA\n next\nend\n\nconfig vpn ipsec phase2-interface\n edit \"IPSec_Dialup\"\n set phase1name \"IPSec_Dialup\"\n set proposal aes128-sha1 aes256-sha1 aes128-sha256 aes256-sha256 aes128gcm aes256gcm chacha20poly1305\n set dhgrp 20 21\n set comments \"VPN: IPSec_Dialup -- Created by VPN wizard\"\n next\nend查看自动生成的防火墙策略，只有 1 条。
\n![\"image-20260130154826284\"](\"https://support.fortinet.com.cn/assets/image-20260130154826284-BN_TzkLJ.png\")
\nconfig firewall policy\n edit 1\n set name \"vpn_IPSec_Dialup_local_allow\"\n set uuid be44468a-fdaf-51f0-0db3-180ea9115c6d\n set srcintf \"IPSec_Dialup\"\n set dstintf \"port2\"\n set action accept\n set srcaddr \"IPSec_Dialup_range\"\n set dstaddr \"Server1_10.10.1.0/24\" \"Server2_10.10.2.0/24\"\n set schedule \"always\"\n set service \"ALL\"\n set nat enable\n set groups \"group1\" \"group2\"\n set comments \"VPN: IPSec_Dialup -- Created by VPN wizard\"\n next\nend为了实现网络拓扑中的需求，需要将其拆分成 2 条策略。
\n提示
\n重要
\n不要在 IPSec 一阶段（config vpn ipsec phase1-interface）和防火墙策略（config firewall policy）中同时配置用户组，可能会产生匹配逻辑问题。
![\"image-20260130155222923\"](\"https://support.fortinet.com.cn/assets/image-20260130155222923-CMDXjpUK.png\")
\nconfig firewall policy\n edit 1\n set name \"IPSec_Dialup_Server1\"\n set srcintf \"IPSec_Dialup\"\n set dstintf \"port2\"\n set action accept\n set srcaddr \"IPSec_Dialup_range\"\n set dstaddr \"Server1_10.10.1.0/24\"\n set schedule \"always\"\n set service \"ALL\"\n set logtraffic all\n set groups \"group1\" \"group2\"\n next\n edit 2\n set name \"IPSec_Dialup_Server2\"\n set srcintf \"IPSec_Dialup\"\n set dstintf \"port3\"\n set action accept\n set srcaddr \"IPSec_Dialup_range\"\n set dstaddr \"Server2_10.10.2.0/24\"\n set schedule \"always\"\n set service \"ALL\"\n set logtraffic all\n set groups \"group2\"\n next\nend\n\nconfig log setting\n set fwpolicy-implicit-log enable\nend![\"image-20260130161350399\"](\"https://support.fortinet.com.cn/assets/image-20260130161350399-DHFwhGEp.png\")
\n配置 IPSec VPN 服务器 IP、预共享密钥、用户名等信息。
\n![\"image-20260130161535023\"](\"https://support.fortinet.com.cn/assets/image-20260130161535023-Dn3gWoOj.png\")
\n配置 IKE 版本为 IKEv2，封装模式选择 IKE UDP Port，保存配置。
\n![\"image-20260130161715683\"](\"https://support.fortinet.com.cn/assets/image-20260130161715683-BFUiotc-.png\")
\n在已创建的 IPSec VPN 连接处点击“Connect”按钮。
\n![\"image-20260130162009119\"](\"https://support.fortinet.com.cn/assets/image-20260130162009119-Cby2ATon.png\")
\n填写账号与密码信息后，连接成功，客户端获取到 IP 地址。
\n![\"image-20260130162211366\"](\"https://support.fortinet.com.cn/assets/image-20260130162211366-o9LndLym.png\")
\n在 FortiGate 查看 IPSec VPN 连接状态，可以看到用户、分配 IP 等信息。
\n![\"image-20260130162755719\"](\"https://support.fortinet.com.cn/assets/image-20260130162755719-PLspnQE8.png\")
\nFortiGate # diagnose vpn ike gateway list\n\nvd: root/0\nname: IPSec_Dialup_0\nversion: 2\ninterface: port1 3\naddr: 192.168.100.2:4500 -> 192.168.100.177:60054\ntun_id: 10.100.1.100/::10.0.0.3\nremote_location: 0.0.0.0\nnetwork-id: 0\ntransport: UDP\ncreated: 226s ago\neap-user: user1\n2FA: no\ngroups:\n group1 2\npeer-id: Summerices-MacBook-Pro.local\npeer-id-auth: no\nFortiClient UID: 20835405F599455B9842348F3C690201\nassigned IPv4 address: 10.100.1.100/255.255.255.255\nnat: me peer\npending-queue: 0\nPPK: no\nIKE SA: created 1/1 established 1/1 time 90/90/90 ms\nIPsec SA: created 1/1 established 1/1 time 0/0/0 ms\n\n id/spi: 1 6407f45520af6972/d9cb1bf711638b46\n direction: responder\n status: established 226-226s ago = 90ms\n proposal: aes128-sha256\n child: no\n SK_ei: 9efb8e596a94ba16-e8413fbb04e8b1e4\n SK_er: 18498c9de912c217-262cf929e0f6fb69\n SK_ai: 07232eb37b90dc57-dc1fff11d04b9aa9-a4243c35bd248fe6-a5184bfd5cface85\n SK_ar: 576c723eb43b4c88-bdedd73cafa477e2-da3e2da3074321e9-3c603271b327927e\n PPK: no\n message-id sent/recv: 0/17\n QKD: no\n PQC-KEM (IKE): no\n PQC-KEM (all IPsec): no\n lifetime/rekey: 86400/85903\n DPD sent/recv: 00000000/00000000\n peer-id: Summerices-MacBook-Pro.local在 user1 的 PC 查看路由表，可以看到 FortiGate 给 user1 的 PC 推送了 Server1 和 Server2 两个网段的路由。
\n提示
\n这里以 macOS 为例，Windows 请在 CMD 下使用 route print -4 命令查看。
user1 # netstat -nr -f inet\nRouting tables\n\nInternet:\nDestination Gateway Flags Netif Expire\n......\n10.10.1/24 10.100.1.100 UGSc utun8\n10.10.2/24 10.100.1.100 UGSc utun8\n......user1 的 IPSec 拨号成功后，访问 Server1，可以正常访问，相关流量日志显示匹配防火墙策略 ID 1。
\nuser1 # ping 10.10.1.100 -c 3\nPING 10.10.1.100 (10.10.1.100): 56 data bytes\n64 bytes from 10.10.1.100: icmp_seq=0 ttl=127 time=4.712 ms\n64 bytes from 10.10.1.100: icmp_seq=1 ttl=127 time=4.943 ms\n64 bytes from 10.10.1.100: icmp_seq=2 ttl=127 time=3.157 msFortiGate 可以指定 FortiGuard 更新服务器的地理位置，用于控制 FortiGate 在进行以下云服务通信时所连接的服务器区域，该配置常用于优化访问延迟与稳定性或满足合规要求（如数据或流量需限定在特定区域）：
\nFortiGate 当前支持 3 种更新服务器位置策略。
\n推荐配置，FortiGate 根据网络条件自动选择时延最低的 FortiGuard 服务器（可能位于不同区域）。
\nglobalupdate.fortinet.netglobalguardservice.fortinet.netupdate.fortiguard.netservice.fortiguard.netsecurewf.fortiguard.netFortiGate 仅使用位于欧盟区域的 FortiGuard 服务器。
\neuupdate.fortinet.neteuguardservice.fortinet.netFortiGate 仅使用位于美国的 FortiGuard 服务器。
\nusupdate.fortinet.netusguardservice.fortinet.netusupdate.fortiguard.netusservice.fortiguard.netussecurewf.fortiguard.net| 设备类型 | 默认更新服务器位置 |\n|
\n", "date_published": "2026-01-29T09:31:54.000Z", "date_modified": "2026-03-30T06:40:55.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "FortiGuard 管理" ] }, { "title": "保护 SSL 服务器", "url": "https://support.fortinet.com.cn/utm/ssl_ssh_inspection/protecting_ssl_server", "id": "https://support.fortinet.com.cn/utm/ssl_ssh_inspection/protecting_ssl_server", "summary": "保护 SSL 服务器 功能简介 保护 SSL 服务器（Protecting SSL Server）是 SSL/SSH 检测配置文件中的一种工作模式，主要用于入站（Inbound）HTTPS 流量的解密与安全检测。 该功能通常应用在互联网客户端访问位于 FortiGate 后端的真实服务器的场景中（反向代理），通常在映射真实服务器的 VIP 策略中调用，...", "content_html": "\n保护 SSL 服务器（Protecting SSL Server）是 SSL/SSH 检测配置文件中的一种工作模式，主要用于入站（Inbound）HTTPS 流量的解密与安全检测。
\n该功能通常应用在互联网客户端访问位于 FortiGate 后端的真实服务器的场景中（反向代理），通常在映射真实服务器的 VIP 策略中调用，例如：
\n在启用“保护 SSL 服务器”模式后，FortiGate 的工作方式如下：
\n“保护 SSL 服务器”模式适用于以下场景：
\n不适用场景：
\n![\"image-20260126155125015\"](\"https://support.fortinet.com.cn/assets/image-20260126155125015-BsQ2jhNq.png\")
\nhttps://handbook.fortinet.com.cn。handbook.fortinet.com.cn 解析到 FortiGate 的 VIP 地址。handbook.fortinet.com.cn，看到的网站 SSL 证书为 FortiGate 提供。导入服务器的 SSL 证书（含私钥，如 PFX/PKCS#12 格式，步骤参考：系统管理 → 系统设置 → 证书管理章节）。
\n重要
\nhandbook.fortinet.com.cn 所使用的网站 SSL 证书的 SAN 为 *.fortinet.com.cn（通配符方式）。![\"image-20260126110532620\"](\"https://support.fortinet.com.cn/assets/image-20260126110532620-BjEvI590.png\")
\n创建或编辑 SSL/SSH 检测配置文件，在“启用 SSL 检测”处选择“保护 SSL 服务器”，在“服务器证书”处选择上步导入的服务器证书，保存配置。
\n![\"image-20260126143526110\"](\"https://support.fortinet.com.cn/assets/image-20260126143526110-CoCQVdAj.png\")
\nconfig firewall ssl-ssh-profile\n edit \"test-protecting-ssl-server\"\n config https\n set ports 443\n set status deep-inspection\n set quic inspect\n end\n config ftps\n set status disable\n end\n config imaps\n set status disable\n end\n config pop3s\n set status disable\n end\n config smtps\n set status disable\n end\n config ssh\n set ports 22\n set status disable\n end\n config dot\n set status disable\n set quic inspect\n end\n set server-cert-mode replace\n set server-cert \"fortinet.com.cn\"\n next\nend在 Web 服务器的 VIP 映射策略中应用上步创建的 SSL/SSH 检测配置文件，
\nconfig firewall vip\n edit \"Web_Server_VIP\"\n set extip 10.10.12.100\n set mappedip 192.168.100.77\n set extintf wan1\n set portforward enable\n set extport 443\n set mappedport 443\n next\nend\n\nconfig firewall policy\n edit 7\n set name \"Web_Server_SSL_Protect\"\n set srcintf \"wan1\"\n set dstintf \"lan\"\n set action accept\n set srcaddr \"all\"\n set dstaddr \"Web_Server_VIP\"\n set schedule \"always\"\n set service \"ALL\"\n set utm-status enable\n set ssl-ssh-profile \"test-protecting-ssl-server\"\n set ips-sensor \"default\"\n next\nend客户端通过 FortiGate 的 VIP 访问 https://handbook.fortinet.com.cn，网站 SSL 证书由 FortiGate 提供，未出现证书告警。
![\"image-20260126160755340\"](\"https://support.fortinet.com.cn/assets/image-20260126160755340-TzDfJuVr.png\")
\n相关流量日志在“本地流量”分类中显示，源 IP 为 FortiGate 的 wan1 接口 IP。
\n提示
\nhandbook.fortinet.com.cn，直觉上相关日志应该在“转发流量”分类中显示。date=2026-01-26 time=16:31:42 eventtime=1769416301197951804 tz=\"+0800\" logid=\"0001000014\" type=\"traffic\" subtype=\"local\" level=\"notice\" vd=\"root\" srcip=192.168.100.99 srcport=23235 srcintf=\"root\" srcintfrole=\"undefined\" dstip=192.168.100.77 dstport=443 dstintf=\"lan\" dstintfrole=\"lan\" srccountry=\"China\" dstcountry=\"China\" sessionid=3629352 proto=6 action=\"close\" policyid=0 service=\"HTTPS\" trandisp=\"noop\" app=\"HTTPS\" duration=5 sentbyte=3076 rcvdbyte=19676 sentpkt=28 rcvdpkt=24客户端是否需要安装 CA 证书。
\n在“保护 SSL 服务器”模式下，SSL/SSH 检测配置文使用的是服务器真实证书，不是自签名 CA 证书。如果使用的真实服务器证书是公网权威 CA 颁发的证书（或客户端手动信任了该证书所属的 CA 证书），客户端不会出现证书不信任提示。
\n会不会影响服务器端 SSL 配置？
\nFortiGate 只是作为中间解密设备，不会修改服务器自身的 SSL 配置。
\n私钥安全风险？
\n是的，这是需要重点评估的风险点：
\n与其他 SSL 检测模式有什么区别？
\n| 模式 | 是否解密 | 使用证书 | 典型场景 |\n|
\n注意
\n基于以下限制，大部分常见场景下更推荐使用 certificate-inspection 模式，而不是 deep-inspection：
\n深度检测（deep-inspection）是 FortiGate 在 SSL/TLS 加密流量场景下提供的一种安全检测机制。通过对加密流量进行解密、检测和重新加密，FortiGate 能够识别并阻断隐藏在加密通道中的恶意行为，从而避免攻击绕过传统的安全防护措施。
\n深度检测支持 HTTPS 以及多种基于 SSL/TLS 的常见协议，例如 SMTPS、POP3S、IMAPS 和 FTPS。
\n能力与限制：
\n虽然 HTTPS 等加密协议为互联网通信提供了隐私保护，但攻击者同样可以利用加密流量隐藏恶意内容，例如：
\n由于上述通信过程均处于加密状态，如果不进行解密检测，相关攻击可能绕过网络安全设备的防护。
\n![\"image-20260121114005229\"](\"https://support.fortinet.com.cn/assets/image-20260121114005229-CD9fckJU.png\")
\n启用深度检测后，FortiGate 会执行以下操作：
\n在重新加密流量时，FortiGate 会使用本地存储的 CA 证书进行签名，例如：Fortinet_CA_SSL、Fortinet_CA_Untrusted、管理员自行上传的 CA 证书。
\n在应用 deep-inspection 的防火墙策略中，由于客户端浏览器默认不信任这些内置/自定义 CA 证书，客户端在访问时会收到“证书不受信任”的安全警告（不代表配置错误，点击“继续前往”仍可以显示目标网站）。
\n![\"image-20260121150000821\"](\"https://support.fortinet.com.cn/assets/image-20260121150000821-CO9kk0Zn.png\")
\n为避免客户端出现访问网站时的 HTTPS 证书警告，需要在终端设备上安装 deep-inspection 配置文件使用的 CA 证书并信任。获取 CA 证书步骤如下：
\n![\"image-20260121150855420\"](\"https://support.fortinet.com.cn/assets/image-20260121150855420-Dr9kJlx8.png\")
\n进入安全配置文件 → SSL/SSH 检测。
\n编辑当前防火墙策略所使用的 SSL/SSH 检测配置文件，如上所示为系统预置的 deep-inspection 配置文件。
\n在 CA 证书右侧点击“下载”按钮。
\n提示
\n将下载的 CA 证书加入客户端系统或者浏览器的信任列表。
\n重要
\nChrome/Edge 依赖系统的证书信任列表。
\n而 Firefox 有自己的信任列表，需要在浏览器设置中添加，或在浏览器的证书设置中开启“允许 Firefox 自动信任您安装的第三方证书”，开启后 Firefox 也会信任系统的证书信任列表。
\n![\"image-20260120165902082\"](\"https://support.fortinet.com.cn/assets/image-20260120165902082-C13QjzwW.png\")
\n客户端再次访问该网站时，会直接显示出目标网页，页面显示连接安全，不会弹出证书告警页面。
\n提示
\n同时诸如 Web Filter 阻断页面的 FortiGate 替换页面的证书告警也会消失，参考：UTM → SSL/SSH 检查 → certificate-inspection 章节。
\n![\"image-20260121151523781\"](\"https://support.fortinet.com.cn/assets/image-20260121151523781-BY7SOluH.png\")
\n默认的 deep-inspection 配置文件为只读，无法修改任何配置（使用出厂自带的 Fortinet_CA_SSL 作为 CA 证书等），当有如下配置需求（包含但不限），必须新建或克隆一个证书检查配置文件：
\n进入安全配置文件 → SSL/SSH 检测，新建或克隆 deep-inspection 配置文件。
\n![\"image-20260121153748617\"](\"https://support.fortinet.com.cn/assets/image-20260121153748617-DdvK8muy.png\")
\n在“SSL 检测选项”中配置自定义的 CA 证书，保存配置。
\n提示
\n![\"image-20260121154045985\"](\"https://support.fortinet.com.cn/assets/image-20260121154045985-B8jlFne1.png\")
\n对应的 SSL/SSH 检查配置文件 CLI 命令如下。
\nconfig firewall ssl-ssh-profile\n edit \"test-deep-inspection\"\n config https\n set ports 443\n set status deep-inspection\n set quic inspect\n end\n config ftps\n set ports 990\n set status deep-inspection\n end\n config imaps\n set ports 993\n set status deep-inspection\n end\n config pop3s\n set ports 995\n set status deep-inspection\n end\n config smtps\n set ports 465\n set status deep-inspection\n end\n config ssh\n set ports 22\n set status disable\n end\n config dot\n set status disable\n set quic inspect\n end\n set caname \"testca_bing\"\n next\nend在防火墙策略中调用该 SSL/SSH 检测配置文件。
\n提示
\n使用 deep-inspection 类型的配置文件时，必须在防火墙策略中至少调用一个 UTM 配置文件，否则深度检测功能不会生效。
\nconfig firewall policy\n edit 1\n set name \"to_Internet1\"\n set srcintf \"lan\"\n set dstintf \"wan1\"\n set action accept\n set srcaddr \"all\"\n set dstaddr \"all\"\n set schedule \"always\"\n set service \"ALL\"\n set utm-status enable\n set ssl-ssh-profile \"test-deep-inspection\"\n set webfilter-profile \"default\"\n set nat enable\n next\nend随后客户端访问 HTTPS 443 或 8443 端口的网站时，FortiGate 的阻断页面证书会被替换成自定义 CA 证书。
\n![\"image-20260120174251178\"](\"https://support.fortinet.com.cn/assets/image-20260120174251178-CM83kOwl.png\")
\n提示
\n此功能仅支持 deep-inspection 模式。
\n在某些场景下，可能因隐私或合规要求需要跳过深度检测。
\n在“免除 SSL 检查”中配置需要跳过深度检测的内容，可免除以下类型的目标地址（按需开启“记录 SSL 免除日志”，相关的日志可以在“日志 & 报表 → 安全事件 → 日志”下的 SSL 分类中查看）：
\n![\"image-20260121154623904\"](\"https://support.fortinet.com.cn/assets/image-20260121154623904-9vF-4MyN.png\")
\nWeb Filter 分类。
\n提示
\n默认配置下，在执行“免除 SSL 检查”功能时，网站域名与其 IP 地址会同时被 FortiGuard 评级，且返回的分类结果不一致时，FortiGate 会优先采用 IP 地址的分类结果。
\n可以通过如下 CLI 关闭 IP 地址评级，在执行“免除 SSL 检查”功能时，FortiGate 不会再使用 IP 分类结果，仅基于域名的 FortiGuard 分类进行判断。
\n该命令只针对“免除 SSL 检查”功能生效。
\nconfig firewall ssl-ssh-profile\n edit <profile-name>\n set ssl-exemption-ip-rating disable\n next\nendIP/IP 范围/IP 子网/地址位置/FQDN/通配符 FQDN。
\n启用“信誉良好的网站”，可跳过 FortiGuard 认定的常见可信网站。
\nconfig firewall ssl-ssh-profile\n edit \"test-deep-inspection\"\n config ssl-exempt\n edit 1\n set type address\n set address \"10.10.1.1-10.10.1.100\"\n next\n edit 2\n set type address\n set address \"192.168.100.0/24\"\n next\n edit 3\n set type address\n set address \"China\"\n next\n edit 4\n set type address\n set address \"handbook.fortinet.com.cn\"\n next\n edit 5\n set type wildcard-fqdn\n set wildcard-fqdn \"*.fortilab.com\"\n next\n edit 6\n set fortiguard-category 33\n next\n edit 7\n set fortiguard-category 31\n next\n end\n set ssl-exemption-log enable\n next\nend提示
\n此功能仅支持 deep-inspection 模式。
\nFortiGate 提供两种方式限制深度检测适用的 SSL/TLS 版本。
\n全局配置：启用后，系统默认将最低允许的 SSL/TLS 版本设置为 TLS 1.1（默认开启）。
\nconfig system global\n set strong-crypto enable\nend深度检测配置文件配置：当客户端或服务器尝试使用低于最低允许版本的 SSL/TLS 时阻断会话（默认为 tls-1.0）。
\n提示
\n当检测模式为 certificate-inspection 时，无法设置 min-allowed-ssl-version，因为此模式下 FortiGate 不会代理与服务器协商具体的 SSL/TLS 版本。
config firewall ssl-ssh-profile\n edit <name>\n config {ssl | https | ftps}\n set min-allowed-ssl-version {ssl-3.0 | tls-1.0 | tls-1.1 | tls-1.2 | tls-1.3}\n end\n next\nend当客户端或服务器尝试使用 FortiGate 无法识别的 SSL/TLS 版本协商时的动作，默认为 block。
\nconfig firewall ssl-ssh-profile\n edit <name>\n config {ssl | https | ftps | imaps | pop3s | smtps | dot}\n set unsupported-ssl-version {allow | block}\n end\n next\nend![\"image-20260121171425338\"](\"https://support.fortinet.com.cn/assets/image-20260121171425338-V1Zwug3p.png\")
\n为优化系统资源，FortiGate 支持针对特定协议启用或禁用协议端口映射。每种协议都有默认的 TCP 端口，管理员可以根据实际需要修改端口配置，以便对非标准端口上的加密流量进行检测。FortiGate 会根据数据包头部信息识别协议类型。支持的协议包括：
\n“检测所有端口”的实际效果，取决于防火墙检测模式（flow/proxy）和 SSL 检查深度（certificate-inspection/deep-inspection）的配置。
\n相关信息
\n| 策略检测模式/证书检测模式 | 检测所有端口状态 | 行为 |\n|
\n", "image": "https://support.fortinet.com.cn/assets/image-20260121114005229-CD9fckJU.png", "date_published": "2026-01-21T08:55:35.000Z", "date_modified": "2026-03-30T06:40:55.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "SSL/SSH 检测" ] }, { "title": "certificate-inspection", "url": "https://support.fortinet.com.cn/utm/ssl_ssh_inspection/certificate_inspection", "id": "https://support.fortinet.com.cn/utm/ssl_ssh_inspection/certificate_inspection", "summary": "certificate-inspection 注意 当希望兼顾安全与兼容性/性能，且主要关注证书异常与基础风险控制时。大部分情况下推荐此配置（防火墙策略中的默认配置），而不是 deep-inspection。 功能简介 FortiGate 支持 SSL/TLS 证书检查（certificate-inspection）。与 deep-inspection...", "content_html": "\n注意
\n当希望兼顾安全与兼容性/性能，且主要关注证书异常与基础风险控制时。大部分情况下推荐此配置（防火墙策略中的默认配置），而不是 deep-inspection。
\nFortiGate 支持 SSL/TLS 证书检查（certificate-inspection）。与 deep-inspection 相比，certificate-inspection 模式仅检查至 SSL/TLS 证书层级的报文头信息，不会解密或检查加密后的实际内容。
\n该模式主要适用于以下场景：
\nFortiGate 默认提供预置的 certificate-inspection 配置文件，可直接使用（但无法修改配置），也可以克隆或新建 SSL/SSH 配置文件。
\n在应用 certificate-inspection 的防火墙策略中：
\nconfig firewall policy\n edit 1\n set name \"to_Internet1\"\n set srcintf \"lan\"\n set dstintf \"wan1\"\n set action accept\n set srcaddr \"all\"\n set dstaddr \"all\"\n set schedule \"always\"\n set service \"ALL\"\n set utm-status enable\n set ssl-ssh-profile \"certificate-inspection\"\n set webfilter-profile \"default\"\n set nat enable\n next\nend在以下情况下，用户访问 HTTPS 网站时可能会看到替换页面：
\n![\"image-20260120160749926\"](\"https://support.fortinet.com.cn/assets/image-20260120160749926-BJ88HsFX.png\")
\n替换页面默认使用 FortiGate CA 证书签名（也可以替换成导入的自定义 CA 证书），因此：
\n![\"image-20260120160853809\"](\"https://support.fortinet.com.cn/assets/image-20260120160853809-D57wunmM.png\")
\n为避免客户端出现 HTTPS 证书警告，需要在终端设备上安装 FortiGate 使用的 CA 证书并信任。获取 CA 证书步骤如下：
\n![\"image-20260120161620978\"](\"https://support.fortinet.com.cn/assets/image-20260120161620978-D-4ElI1W.png\")
\n进入安全配置文件 → SSL/SSH 检测。
\n编辑当前防火墙策略所使用的 SSL/SSH 检测配置文件，如上所示为系统预置的 certificate-inspection 配置文件。
\n在 CA 证书右侧点击“下载”按钮。
\n提示
\n将下载的 CA 证书加入客户端系统或者浏览器的信任列表。
\n重要
\nChrome/Edge 依赖系统的证书信任列表。
\n而 Firefox 有自己的信任列表，需要在浏览器设置中添加，或在浏览器的证书设置中开启“允许 Firefox 自动信任您安装的第三方证书”，开启后 Firefox 也会信任系统的证书信任列表。
\n\n客户端再次访问该网站时，会直接显示出 FortiGate 的阻断页面（或登录页面），不会弹出证书告警页面。
\n![\"image-20260120170835838\"](\"https://support.fortinet.com.cn/assets/image-20260120170835838-DAlS_kRD.png\")
\n默认的 certificate-inspection 配置文件为只读，无法修改任何配置（仅监听 TCP 443 端口，使用出厂自带的 Fortinet_CA_SSL 作为 CA 证书等），当有如下配置需求（包含但不限），必须新建或克隆一个证书检查配置文件。
\n进入安全配置文件 → SSL/SSH 检测，新建或克隆 certificate-inspection 配置文件。
\n![\"image-20260120171605106\"](\"https://support.fortinet.com.cn/assets/image-20260120171605106-BofEGQrc.png\")
\n在“协议端口映射”中配置 HTTPS 端口，如 443、8443，在“SSL 检测选项”中配置自定义的 CA 证书，根据需要配置其他选项。
\n提示
\n![\"image-20260120171927649\"](\"https://support.fortinet.com.cn/assets/image-20260120171927649-0S6nzae6.png\")
\nconfig firewall ssl-ssh-profile\n edit \"test-certificate-inspection\"\n config https\n set ports 443 8443\n set status certificate-inspection\n set quic bypass\n set encrypted-client-hello allow\n end\n config ftps\n set status disable\n end\n config imaps\n set status disable\n end\n config pop3s\n set status disable\n end\n config smtps\n set status disable\n end\n config ssh\n set ports 22\n set status disable\n end\n config dot\n set status disable\n set quic inspect\n end\n set caname \"testca_bing\"\n next\nend保存配置，并在防火墙策略中调用该 SSL/SSH 检测配置文件。
\nconfig firewall policy\n edit 1\n set name \"to_Internet1\"\n set srcintf \"lan\"\n set dstintf \"wan1\"\n set action accept\n set srcaddr \"all\"\n set dstaddr \"all\"\n set schedule \"always\"\n set service \"ALL\"\n set utm-status enable\n set ssl-ssh-profile \"test-certificate-inspection\"\n set webfilter-profile \"default\"\n set nat enable\n next\nend随后客户端访问 HTTPS 443 或 8443 端口的网站时，FortiGate 的阻断页面证书会被替换成自定义 CA 证书。
\n\n当客户端或服务器尝试使用 FortiGate 无法识别的 SSL/TLS 版本协商时的动作，默认为 block。
\nconfig firewall ssl-ssh-profile\n edit <name>\n config {ssl | https | ftps | imaps | pop3s | smtps | dot}\n set unsupported-ssl-version {allow | block}\n end\n next\nend![\"image-20260121171557451\"](\"https://support.fortinet.com.cn/assets/image-20260121171557451-Bfjj_JYF.png\")
\n为优化系统资源，FortiGate 支持针对特定协议启用或禁用协议端口映射。每种协议都有默认的 TCP 端口，管理员可以根据实际需要修改端口配置，以便对非标准端口上的加密流量进行检测。FortiGate 会根据数据包头部信息识别协议类型。支持的协议包括：
\n“检测所有端口”的实际效果，取决于防火墙检测模式（flow/proxy）和 SSL 检查深度（certificate-inspection/deep-inspection）的配置。
\n相关信息
\n| 策略检测模式/证书检测模式 | 检测所有端口状态 | 行为 |\n|
\n", "image": "https://support.fortinet.com.cn/assets/image-20260120160749926-BJ88HsFX.png", "date_published": "2026-01-20T09:45:23.000Z", "date_modified": "2026-03-30T06:40:55.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "SSL/SSH 检测" ] }, { "title": "HA 虚拟 MAC", "url": "https://support.fortinet.com.cn/ha/ha_vmac", "id": "https://support.fortinet.com.cn/ha/ha_vmac", "summary": "HA 虚拟 MAC 功能简介 在 FortiGate HA（FGCP）集群中，主设备（primary）的接口会使用虚拟 MAC（VMAC）。这样在故障切换（failover）后，新的主设备可以继承与旧的主设备相同的 VMAC 与 IP，使上下联交换机等网络设备仍把它识别为“同一台设备”，从而更快恢复转发与通信。 接口的两类 MAC Current_HW...", "content_html": "\n在 FortiGate HA（FGCP）集群中，主设备（primary）的接口会使用虚拟 MAC（VMAC）。这样在故障切换（failover）后，新的主设备可以继承与旧的主设备相同的 VMAC 与 IP，使上下联交换机等网络设备仍把它识别为“同一台设备”，从而更快恢复转发与通信。
\nNAT 模式：
\nTransparent 模式：
\nHA 独立管理口：会保留原始 MAC，不会变成 VMAC。
\n备设备（Secondary）：接口 MAC 不会变为 VMAC，仍然使用原始 MAC。
\nStandalone 模式：同时显示 Current_HWaddr 与 Permanent_HWaddr，未手动修改接口 MAC 的情况下，二者通常相同（物理 MAC）。
\nFortiGate # diagnose hardware deviceinfo nic wan1 | grep HWaddr\nCurrent_HWaddr e0:23:ff:67:e3:9c\nPermanent_HWaddr e0:23:ff:67:e3:9c\n\nFortiGate # fnsysctl ifconfig wan1\nwan1 Link encap:Ethernet HWaddr e0:23:ff:67:e3:9c\n inet addr:10.10.12.2 Bcast:10.10.12.255 Mask:255.255.255.0\n inet addr6: 2100::2 prefixlen 64\n link-local6: fe80::e223:ffff:fe67:e39c prefixlen 64\n UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1\n RX packets:179819739 errors:0 dropped:0 overruns:0 frame:0\n TX packets:124048087 errors:0 dropped:0 overruns:0 carrier:0\n collisions:0 txqueuelen:1000 \n RX bytes:203328470553 (189.4 GB) TX bytes:60298053563 (56.2 GB)HA 模式：
\n主设备：Current_HWaddr 变为 HA VMAC，而 Permanent_HWaddr 仍是物理 MAC，ifconfig 命令看到的 HWaddr 为 HA VMAC。
FortiGate # diagnose hardware deviceinfo nic wan1 | grep HWaddr\nCurrent_HWaddr 00:09:0f:09:07:00\nPermanent_HWaddr 94:f3:92:53:ae:7a\n\nFortiGate # fnsysctl ifconfig wan1\nwan1 Link encap:Ethernet HWaddr 00:09:0F:09:00:00\n inet addr:172.22.6.65 Bcast:172.22.7.255 Mask:255.255.254.0\n UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1\n RX packets:336270575 errors:0 dropped:0 overruns:0 frame:0\n TX packets:213599289 errors:0 dropped:0 overruns:0 carrier:0\n collisions:0 txqueuelen:1000 \n RX bytes:316749603468 (294.10 GB) TX bytes:110547160311 (102.10 GB)备设备：Current_HWaddr 与 Permanent_HWaddr 相同，为真实物理 MAC，ifconfig 命令看到的 HWaddr 为真实物理 MAC。
FortiGate # diagnose hardware deviceinfo nic wan1 | grep HWaddr\nCurrent_HWaddr ac:71:2e:fd:21:be\nPermanent_HWaddr ac:71:2e:fd:21:be\n\nFortiGate # fnsysctl ifconfig wan1\nwan1 Link encap:Ethernet HWaddr AC:71:2E:FD:21:BE\n inet addr:172.22.6.65 Bcast:172.22.7.255 Mask:255.255.254.0\n UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1\n RX packets:37615511 errors:0 dropped:0 overruns:0 frame:0\n TX packets:0 errors:0 dropped:0 overruns:0 carrier:0\n collisions:0 txqueuelen:1000 \n RX bytes:6160997309 (5.7 GB) TX bytes:0 (0 Bytes)FortiGate # diagnose sys ha mac \n\nHA mac msg\nserial#=FGT61FTK2206xxxx Primary\nprio=0, phy_index= 0, itf_name= wan1, mac=94.f3.92.53.ae.7a, vmac=00.09.0f.09.07.00, linkfail=0\nprio=0, phy_index= 1, itf_name= wan2, mac=94.f3.92.53.ae.7b, vmac=00.09.0f.09.07.01, linkfail=0\nprio=0, phy_index= 2, itf_name= dmz, mac=94.f3.92.53.ae.7c, vmac=00.09.0f.09.07.02, linkfail=0\nprio=0, phy_index= 3, itf_name=internal1, mac=94.f3.92.53.ae.7d, vmac=--.--.--.--.--.--, linkfail=0\nprio=0, phy_index= 4, itf_name=internal2, mac=94.f3.92.53.ae.7e, vmac=--.--.--.--.--.--, linkfail=1\nprio=0, phy_index= 5, itf_name=internal3, mac=94.f3.92.53.ae.7f, vmac=00.09.0f.09.07.05, linkfail=1\nprio=0, phy_index= 6, itf_name=internal4, mac=94.f3.92.53.ae.80, vmac=00.09.0f.09.07.06, linkfail=1\nprio=0, phy_index= 7, itf_name=internal5, mac=94.f3.92.53.ae.81, vmac=00.09.0f.09.07.07, linkfail=0\nprio=0, phy_index= 8, itf_name= a, mac=94.f3.92.53.ae.82, vmac=00.09.0f.09.07.08, linkfail=1\nprio=0, phy_index= 9, itf_name= b, mac=94.f3.92.53.ae.83, vmac=00.09.0f.09.07.08, linkfail=1\nprio=0, phy_index=10, itf_name=internal, mac=94.f3.92.53.ae.7e, vmac=00.09.0f.09.07.04, linkfail=1\nprio=0, phy_index=11, itf_name=fortilink, mac=94.f3.92.53.ae.82, vmac=00.09.0f.09.07.08, linkfail=1\nprio=0, phy_index=12, itf_name=emacvlan1, mac=9a.f3.92.53.ae.7a, vmac=00.09.0f.09.07.0c, linkfail=0\nserial#=FGT61FTK22053887 Secondary\nprio=1, phy_index= 0, itf_name= wan1, mac=ac.71.2e.fd.21.be, vmac=--.--.--.--.--.--, linkfail=0\nprio=1, phy_index= 1, itf_name= wan2, mac=ac.71.2e.fd.21.bf, vmac=--.--.--.--.--.--, linkfail=0\nprio=1, phy_index= 2, itf_name= dmz, mac=ac.71.2e.fd.21.c0, vmac=--.--.--.--.--.--, linkfail=0\nprio=1, phy_index= 3, itf_name=internal1, mac=ac.71.2e.fd.21.c1, vmac=--.--.--.--.--.--, linkfail=0\nprio=1, phy_index= 4, itf_name=internal2, mac=ac.71.2e.fd.21.c2, vmac=--.--.--.--.--.--, linkfail=1\nprio=1, phy_index= 5, itf_name=internal3, mac=ac.71.2e.fd.21.c3, vmac=--.--.--.--.--.--, linkfail=1\nprio=1, phy_index= 6, itf_name=internal4, mac=ac.71.2e.fd.21.c4, vmac=--.--.--.--.--.--, linkfail=1\nprio=1, phy_index= 7, itf_name=internal5, mac=ac.71.2e.fd.21.c5, vmac=--.--.--.--.--.--, linkfail=0\nprio=1, phy_index= 8, itf_name= a, mac=ac.71.2e.fd.21.c6, vmac=--.--.--.--.--.--, linkfail=1\nprio=1, phy_index= 9, itf_name= b, mac=ac.71.2e.fd.21.c7, vmac=--.--.--.--.--.--, linkfail=1\nprio=1, phy_index=10, itf_name=internal, mac=ac.71.2e.fd.21.c2, vmac=--.--.--.--.--.--, linkfail=1\nprio=1, phy_index=11, itf_name=fortilink, mac=ac.71.2e.fd.21.c6, vmac=--.--.--.--.--.--, linkfail=1\nprio=1, phy_index=12, itf_name=emacvlan1, mac=b2.71.2e.fd.21.be, vmac=--.--.--.--.--.--, linkfail=0有 3 种 VMAC 分配方式：默认方式、自动分配、手动分配。
\n相关信息
\nvcluster_integer = 0 或 1， group-id < 256，phy_index < 128的情况。默认配置下，HA VMAC 地址根据以下公式确定：
\n⟨group-prefix⟩:⟨group-id_hex⟩:(⟨vcluster_integer⟩+⟨phy_index⟩)
\nHA 配置示例：
\nconfig system ha\n set group-id 0\n set group-name \"summerice\"\n set mode a-p\n set password ENC 8d7WHMRiOFwjt7pOVnRmVrs9+rVayb7F2h1BKknc/3NsIjK1iEetIIVMzaGcdy3ONs7YzupDTFE09VWflnewYi91ZZ9V63QFh+EsKYhxjphPRf8cBmkQAq9Dcu6ymAo/Sm60+yVAUl5T+sUFbBivGJIG55rGnVV6BuN8VB3UYupQAUFOA9hZovr0TE6GcKkM/+lBf1lmMjY3dkVA\n set hbdev \"port4\" 0 \n set override disable\nendgroup-prefix：此情况下固定为 00:09:0f:09，占据 VMAC 的前 4 段（32 bit）。
group-id_hex：vluster 的 group-id 转换为十六进制的形式，占据 VMAC 的第 5 段。下表列出了为每个 group-id 设置的 VMAC 地址。
相关信息
\nget system ha | grep group-id 查看 group-id。| Integer Group ID | Hexadecimal Group ID|\n| :
\nSSL（Secure Sockets Layer）内容扫描与检查功能用于对加密流量执行安全检测，使系统能够在 SSL/TLS 加密通信中应用 IPS、AV、Web Filter 等安全功能。
\nSSL/SSH 检测配置文件可直接应用于防火墙策略中。FortiOS 默认内置四种 SSL/SSH 检测配置文件，其中三种为只读配置，可被克隆并修改使用：
\nSSL/SSH 检测配置文件通常应用于出口防火墙策略，适用于目标地址不明确的流量场景。根据策略需求，可配置以下检查参数：
\n在实际策略应用中，主要关注以下三种模式：no-inspection、certificate-inspection、deep-inspection。它们的差异核心在于：是否解密流量、可获取的信息深度、对业务/性能的影响。
\n进入安全配置文件 → SSL/SSH 检测，点击新建按钮。
\n相关信息
\n预置的 custom-deep-inspection 配置文件也可直接编辑使用。
\n![\"image-20260114162011470\"](\"https://support.fortinet.com.cn/assets/image-20260114162011470-BQV7GxRz.png\")
config firewall ssl-ssh-profile\n edit <name>\n set allowlist [enable|disable]\n set block-blocklisted-certificates [disable|enable]\n set caname {string}\n set comment {var-string}\n config dot\n Description: Configure DNS over TLS options.\n set cert-validation-failure [allow|block|...]\n set cert-validation-timeout [allow|block|...]\n set client-certificate [bypass|inspect|...]\n set expired-server-cert [allow|block|...]\n set proxy-after-tcp-handshake [enable|disable]\n set quic [inspect|bypass|...]\n set revoked-server-cert [allow|block|...]\n set sni-server-cert-check [enable|strict|...]\n set status [disable|deep-inspection]\n set udp-not-quic [allow|block]\n set unsupported-ssl-cipher [allow|block]\n set unsupported-ssl-negotiation [allow|block]\n set unsupported-ssl-version [allow|block]\n set untrusted-server-cert [allow|block|...]\n end\n config ech-outer-sni\n Description: ClientHelloOuter SNIs to be blocked.\n edit <name>\n set sni {string}\n next\n end\n config ftps\n Description: Configure FTPS options.\n set cert-validation-failure [allow|block|...]\n set cert-validation-timeout [allow|block|...]\n set client-certificate [bypass|inspect|...]\n set expired-server-cert [allow|block|...]\n set min-allowed-ssl-version [ssl-3.0|tls-1.0|...]\n set ports {integer}\n set revoked-server-cert [allow|block|...]\n set sni-server-cert-check [enable|strict|...]\n set status [disable|deep-inspection]\n set unsupported-ssl-cipher [allow|block]\n set unsupported-ssl-negotiation [allow|block]\n set unsupported-ssl-version [allow|block]\n set untrusted-server-cert [allow|block|...]\n end\n config https\n Description: Configure HTTPS options.\n set cert-probe-failure [allow|block]\n set cert-validation-failure [allow|block|...]\n set cert-validation-timeout [allow|block|...]\n set client-certificate [bypass|inspect|...]\n set encrypted-client-hello [allow|block]\n set expired-server-cert [allow|block|...]\n set min-allowed-ssl-version [ssl-3.0|tls-1.0|...]\n set ports {integer}\n set proxy-after-tcp-handshake [enable|disable]\n set quic [inspect|bypass|...]\n set revoked-server-cert [allow|block|...]\n set sni-server-cert-check [enable|strict|...]\n set status [disable|certificate-inspection|...]\n set udp-not-quic [allow|block]\n set unsupported-ssl-cipher [allow|block]\n set unsupported-ssl-negotiation [allow|block]\n set unsupported-ssl-version [allow|block]\n set untrusted-server-cert [allow|block|...]\n end\n config imaps\n Description: Configure IMAPS options.\n set cert-validation-failure [allow|block|...]\n set cert-validation-timeout [allow|block|...]\n set client-certificate [bypass|inspect|...]\n set expired-server-cert [allow|block|...]\n set ports {integer}\n set proxy-after-tcp-handshake [enable|disable]\n set revoked-server-cert [allow|block|...]\n set sni-server-cert-check [enable|strict|...]\n set status [disable|deep-inspection]\n set unsupported-ssl-cipher [allow|block]\n set unsupported-ssl-negotiation [allow|block]\n set unsupported-ssl-version [allow|block]\n set untrusted-server-cert [allow|block|...]\n end\n set mapi-over-https [enable|disable]\n config pop3s\n Description: Configure POP3S options.\n set cert-validation-failure [allow|block|...]\n set cert-validation-timeout [allow|block|...]\n set client-certificate [bypass|inspect|...]\n set expired-server-cert [allow|block|...]\n set ports {integer}\n set proxy-after-tcp-handshake [enable|disable]\n set revoked-server-cert [allow|block|...]\n set sni-server-cert-check [enable|strict|...]\n set status [disable|deep-inspection]\n set unsupported-ssl-cipher [allow|block]\n set unsupported-ssl-negotiation [allow|block]\n set unsupported-ssl-version [allow|block]\n set untrusted-server-cert [allow|block|...]\n end\n set rpc-over-https [enable|disable]\n set server-cert <name1>, <name2>, ...\n set server-cert-mode [re-sign|replace]\n config smtps\n Description: Configure SMTPS options.\n set cert-validation-failure [allow|block|...]\n set cert-validation-timeout [allow|block|...]\n set client-certificate [bypass|inspect|...]\n set expired-server-cert [allow|block|...]\n set ports {integer}\n set proxy-after-tcp-handshake [enable|disable]\n set revoked-server-cert [allow|block|...]\n set sni-server-cert-check [enable|strict|...]\n set status [disable|deep-inspection]\n set unsupported-ssl-cipher [allow|block]\n set unsupported-ssl-negotiation [allow|block]\n set unsupported-ssl-version [allow|block]\n set untrusted-server-cert [allow|block|...]\n end\n config ssh\n Description: Configure SSH options.\n set inspect-all [disable|deep-inspection]\n set ports {integer}\n set proxy-after-tcp-handshake [enable|disable]\n set ssh-algorithm [compatible|high-encryption]\n set ssh-tun-policy-check [disable|enable]\n set status [disable|deep-inspection]\n set unsupported-version [bypass|block]\n end\n config ssl\n Description: Configure SSL options.\n set cert-probe-failure [allow|block]\n set cert-validation-failure [allow|block|...]\n set cert-validation-timeout [allow|block|...]\n set client-certificate [bypass|inspect|...]\n set encrypted-client-hello [allow|block]\n set expired-server-cert [allow|block|...]\n set inspect-all [disable|certificate-inspection|...]\n set min-allowed-ssl-version [ssl-3.0|tls-1.0|...]\n set revoked-server-cert [allow|block|...]\n set sni-server-cert-check [enable|strict|...]\n set unsupported-ssl-cipher [allow|block]\n set unsupported-ssl-negotiation [allow|block]\n set unsupported-ssl-version [allow|block]\n set untrusted-server-cert [allow|block|...]\n end\n set ssl-anomaly-log [disable|enable]\n config ssl-exempt\n Description: Servers to exempt from SSL inspection.\n edit <id>\n set address {string}\n set address6 {string}\n set fortiguard-category {integer}\n set regex {string}\n set type [fortiguard-category|address|...]\n set wildcard-fqdn {string}\n next\n end\n set ssl-exemption-ip-rating [enable|disable]\n set ssl-exemption-log [disable|enable]\n set ssl-handshake-log [disable|enable]\n set ssl-negotiation-log [disable|enable]\n config ssl-server\n Description: SSL server settings used for client certificate request.\n edit <id>\n set ftps-client-certificate [bypass|inspect|...]\n set https-client-certificate [bypass|inspect|...]\n set imaps-client-certificate [bypass|inspect|...]\n set ip {ipv4-address-any}\n set pop3s-client-certificate [bypass|inspect|...]\n set smtps-client-certificate [bypass|inspect|...]\n set ssl-other-client-certificate [bypass|inspect|...]\n next\n end\n set ssl-server-cert-log [disable|enable]\n set supported-alpn [http1-1|http2|...]\n set untrusted-caname {string}\n set use-ssl-server [disable|enable]\n next\nend为优化系统资源，FortiGate 支持针对特定协议启用或禁用协议端口映射。每种协议都有默认的 TCP 端口，管理员可以根据实际需要修改端口配置，以便对非标准端口上的加密流量进行检测。FortiGate 会根据数据包头部信息识别协议类型。支持的协议包括：
\n“检测所有端口”的实际效果，取决于防火墙检测模式（flow/proxy）和 SSL 检查深度（certificate-inspection/deep-inspection）的配置。
\n相关信息
\n防火墙策略的检测模式介绍可参考：故障排查 → 数据包处理流程 → 安全检测模式章节。
\n| 策略检测模式/证书检测模式 | 检测所有端口状态 | 行为 |\n|
\n", "image": "https://support.fortinet.com.cn/assets/image-20260114162011470-BQV7GxRz.png", "date_published": "2026-01-14T09:35:17.000Z", "date_modified": "2026-03-30T06:40:55.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "SSL/SSH 检测" ] }, { "title": "AV/IPS 内存高排查", "url": "https://support.fortinet.com.cn/troubleshooting/av_ips_memory_high", "id": "https://support.fortinet.com.cn/troubleshooting/av_ips_memory_high", "summary": "AV/IPS 内存高排查 背景介绍 在使用 Antivirus/IPS 的场景中，内存保护模式的触发可能属于高负载条件下的正常保护机制，并不一定表示系统异常或缺陷。 本文以常用的 flow mode 下的 ipsengine + antivirus 为示例，用一台 4GB 内存的 FortiGate 演示：穿过 FortiGate 对一个 2MB 文件...", "content_html": "\n在使用 Antivirus/IPS 的场景中，内存保护模式的触发可能属于高负载条件下的正常保护机制，并不一定表示系统异常或缺陷。
\n本文以常用的 flow mode 下的 ipsengine + antivirus 为示例，用一台 4GB 内存的 FortiGate 演示：穿过 FortiGate 对一个 2MB 文件发起大量 HTTP: 80 下载请求，目标是制造多个下载同时处于 pending 与 buffered 状态。后续主要聚焦 antivirus 与 ipsengine 的表现与关联，并给出采集、判断与改进方向。
\n![\"image-20260112152558184\"](\"https://support.fortinet.com.cn/assets/image-20260112152558184-CD_pnx-m.png\")
\n2表示每 2 秒刷新一次。![\"image-20260112152625909\"](\"https://support.fortinet.com.cn/assets/image-20260112152625909-C7ZRcAjr.png\")
\n![\"image-20260112153037959\"](\"https://support.fortinet.com.cn/assets/image-20260112153037959-zuJzc1ng.png\")
![\"image-20260112153533961\"](\"https://support.fortinet.com.cn/assets/image-20260112153533961-BZuA9e7x.png\")
\n![\"image-20260112154321075\"](\"https://support.fortinet.com.cn/assets/image-20260112154321075-BB7_1k9b.png\")
本章节目标是确定“pending 状态文件传输缓存用于 AV 检测导致 ipsengine 内存上升”。
\n查看进程 PID 254（前文中查看的 ipsengine 进程 PID，示例因设备重启导致 PID 变化，请忽略 PID 差异）的状态：
\n![\"image-20260112155229658\"](\"https://support.fortinet.com.cn/assets/image-20260112155229658-DBlWBUER.png\")
\n继续向下滚动输出结果：
\n![\"image-20260112155318275\"](\"https://support.fortinet.com.cn/assets/image-20260112155318275-BfniwCo_.png\")
在 shm（shared memory）目录下出现大量标记为“deleted”的文件映射。
\nipsengine 创建了这些文件并删除它们。
\n这些文件位于 shm（共享内存空间），通常表示 ipsengine 将数据放入共享内存供其他处理组件使用，或处于等待相邻处理完成的状态。
\n对 scanunitd 做类似的 process dump，通常可看到相同的 shm 文件处理模式。
\n![\"image-20260112164706225\"](\"https://support.fortinet.com.cn/assets/image-20260112164706225-BLk80fTS.png\")
ipsengine/scanunitd 可能会派生多个 worker，PID 可能变化，建议在问题发生时尽快采集。
\n启用 Debug：
\ndiagnose ips debug enable av\ndiagnose ips debug enable content\ndiagnose ips debug status show\ndiagnose sys scanunit debug all enable\ndiagnose sys scanunit debug level verbose\ndiagnose sys scanunit debug show\ndiagnose debug enable运行数秒后结束 Debug（调试输出可能非常多，一般不需要运行超过 10 秒）：
\ndiagnose ips debug disable all\ndiagnose ips debug status show\ndiagnose sys scanunit debug all disable\ndiagnose sys scanunit debug reset\ndiagnose sys scanunit debug show收集 Debug 输出结果：
\n![\"image-20260112160121998\"](\"https://support.fortinet.com.cn/assets/image-20260112160121998-DxDfSwWn.png\")
可以看到“ips_flowav_append”任务持续处理多个 query/task。
\n多个下载会话不断接收 1448 字节的 chunk，但未完成。
\n未出现如下“scanunit 任务完整完成”相对应的输出，判断以上 scanunit 任务处于“pending”状态。
\n![\"image-20260112160415622\"](\"https://support.fortinet.com.cn/assets/image-20260112160415622-DVExfe7A.png\")
查看 ipsmonitor 统计中的 antivirus 统计信息：
\n![\"image-20260112160927711\"](\"https://support.fortinet.com.cn/assets/image-20260112160927711-BjMKGNed.png\")
file open 在 ipsengine 需要缓存一个传输会话并将数据交给 antivirus 做进一步检查时递增。file close 在对应会话完成/关闭后递增。file open 与 file close 通常应保持相对一致的增长趋势。继续向下滚动 ipsmonitor 输出，可见 total allocated memory（Bytes）。
![\"image-20260112161334699\"](\"https://support.fortinet.com.cn/assets/image-20260112161334699-D2g7tXJF.png\")
\npolicy-auth-concurrent 是 FortiGate 全局配置（config system global）下的一个参数，用于控制同一个用户是否允许在多个来源（Source IP）上同时保持认证状态（即同一账号从多个源 IP 同时进行防火墙策略认证/Portal 认证）。
config system global\n set policy-auth-concurrent (0-100)\nend0（默认）：表示不限制一个用户可关联的源 IP 数量。同一用户可以同时在多个源 IP 地址上被认证（对防火墙策略认证/Captiveportal 认证而言）。
1~100：
一旦某用户已达到允许的源 IP 并发数上限，该用户从新的源 IP 发起的后续认证请求会被拒绝。
\n在防火墙策略认证/Captive Portal 认证场景下，通常会看到浏览器告警/提示。
\n举例：同一个用户如果已经在 5 个源 IP 上完成认证，再从其他源 IP 发起认证会被拒绝。
\nconfig system global\n set policy-auth-concurrent 5\nend![\"image-20260109154154158\"](\"https://support.fortinet.com.cn/assets/image-20260109154154158-j6OkK2__.png\")
\n可以在用户或用户组级别覆盖全局值。当在用户或用户组级别下启用 auth-concurrent-override 后，auth-concurrent-value 的配置会覆盖 config system global 下的 policy-auth-concurrent）配置。
重要
\n优先级：用户组 > 用户 > 全局配置
\nconfig user local\n edit <user_name>\n set auth-concurrent-override enable\n set auth-concurrent-value (1-100)\n next\nendconfig user group\n edit <user_group_name>\n set auth-concurrent-override enable\n set auth-concurrent-value (1-100)\n next\nendconfig vpn ssl web portal 下的 limit-user-logins）。0（无限制）或适当调大。相关信息
\n该现象主要体现在端口探测时 FortiGate 的响应行为，导致合规扫描工具/安全基线检查看到“端口开放”。即便扫描结果显示端口为开启状态，流量并不会通过策略在这些端口“泄露/放通”，不会存在安全问题。
\n当防火墙策略启用了 Web Filter/AV 等 UTM 配置文件后，FortiGate 可能会为以下功能开启临时监听内部端口，用于认证信息交互和替换页面内容传输，这些端口并非用于业务流量转发，而是 FortiGate 内部机制所需。
\n如果出于安全合规要求，这些端口不能呈现开启状态，可通过以下配置让 FortiGate 关闭相关端口响应：
\nVDOM关闭状态下的命令：\nconfig webfilter fortiguard\n set close-ports enable\nend\n\nVDOM开启状态下的命令：\nconfig global\n config webfilter fortiguard\n set close-ports enable\n end\nendclose-ports 的影响受影响的功能：
\n不受影响的功能：
\n警告
\nconfig firewall policy）的 NPU 加速功能（set auto-asic-offload disable）。增强型 MAC VLAN（Enhanced MAC VLAN，以下简称 EMAC VLAN）是 FortiGate 设备中实现 VLAN 的一种方式。EMAC VLAN 主要用于需要通过同一物理接口模拟多个 VLAN 接口的情况。与传统的 MAC VLAN 不同，它增加了以下功能：
\nEMAC VLAN 并不会直接将数据包分配到底层交换机。在配置了 VLAN ID 的情况下，数据包会被打上 VLAN Tag，并通过底层接口的驱动程序进行处理。如果 VLAN Tag 不匹配，数据包将不会通过该接口。
\n在 EMAC VLAN 中配置 VLAN ID 时，VLAN ID 和底层接口必须唯一配对。所以即使是不同的 VDOM，也不能使用相同的 VLAN ID。
\nEMAC VLAN 不能在透明模式的 VDOM 中使用。在透明模式下，数据包会携带原始源的 MAC 地址，而不是接口的 MAC 地址，这与 EMAC VLAN 的工作方式冲突。
\n在 HA 配置中，EMAC VLAN 接口被视为物理接口，且有唯一的物理接口 ID。EMAC VLAN 接口的 MAC 表会与 HA 集群中的其他设备同步。在 HA 配置中，每个接口会被分配一个虚拟 MAC 地址。
\n![\"image-20260107154623684\"](\"https://support.fortinet.com.cn/assets/image-20260107154623684-DQj8MUYH.png\")
\nconfig global\n\nconfig system interface\n edit \"port1\"\n set vdom \"root\"\n set type physical\n set snmp-index 9\n next\nend\n\nconfig system interface\n edit port1.emacvlan1\n set vdom VDOM1\n set ip 100.1.1.11 255.255.255.0\n set type emac-vlan\n set interface port1\n next\n edit port1.emacvlan2\n set vdom VDOM2\n set ip 100.1.1.12 255.255.255.0\n set type emac-vlan\n set interface port1\n next\n edit port1.emacvlan3\n set vdom VDOM3\n set ip 100.1.1.13 255.255.255.0\n set type emac-vlan\n set interface port1\n next\nend\nend![\"image-20260107155753747\"](\"https://support.fortinet.com.cn/assets/image-20260107155753747-CUbKFSXB.png\")
\nconfig global\nconfig system interface\n edit npu0_vlink0.emacvlan1\n set vdom VDOM1\n set ip 100.1.1.11 255.255.255.0\n set type emac-vlan\n set interface npu0_vlink0\n next\n edit npu0_vlink0.emacvlan2\n set vdom VDOM3\n set ip 100.1.1.13 255.255.255.0\n set type emac-vlan\n set interface npu0_vlink0\n next\n edit npu0_vlink0.emacvlan3\n set vdom VDOM5\n set ip 100.1.1.15 255.255.255.0\n set type emac-vlan\n set interface npu0_vlink0\n next\n edit npu0_vlink1.emacvlan1\n set vdom VDOM2\n set ip 100.1.1.12 255.255.255.0\n set type emac-vlan\n set interface npu0_vlink1\n next\n edit npu0_vlink1.emacvlan2\n set vdom VDOM4\n set ip 100.1.1.14 255.255.255.0\n set type emac-vlan\n set interface npu0_vlink1\n next\nend\nend00:09:0f:09:07:00，实际的物理 MAC 为 94:F3:92:53:AE:7A），某些运营商的 PPPoE Server 会对这种虚拟 MAC 地址做限制，导致 FortiGate 的 PPPoE 拨号失败。EMAC VLAN 在 HA 下会使用物理 MAC 地址（如 9A:F3:92:53:AE:7A，在 EMAC VLAN 上创建的 PPPoE 也会继承该物理 MAC 地址），从而规避该问题。set vlanid 命令设置 VLAN Tag。VLAN ID 与接口必须构成唯一对应关系，即使它们属于不同的 VDOM。config system interface\n edit emacvlan1\n set type emac-vlan\n set vlanid 10\n set interface wan1\n next\nend\n\nFortiGate # diagnose hardware deviceinfo nic emacvlan1\nDescription EMacvlan Ethernet driver v1.0\nSystem_Device_Name emacvlan1\nLower_Device_Name wan1\nCurrent_HWaddr 9a:f3:92:53:ae:7a\nPermanent_HWaddr 9a:f3:92:53:ae:7a\nState up \nLink up \nnpudev_oid 64 \nmacvlan_id 0 \nvlan_id 10 \nlearn_mac no \nmode 2在 FortiGate 的 CLI 中，默认的输出行为为分页显示，即在输出内容达到屏幕上限时暂停显示，直到按下键盘上的某个键才能继续显示。这种分页模式对于 CLI 的输出非常常见，但如果希望查看完整的命令输出，或者将输出保存到日志文件中，则分页模式会频繁显示 --More--，影响阅读体验。
FortiGate 的 CLI 输出模式可以设置为 standard 模式（无暂停）或 more 模式（在屏幕满时暂停，按任意键继续）。此设置仅适用于 CLI 命令（Console、Web CLI、SSH/Telnet）的 show、?或 get 命令，而不影响 Debug 或 Sniffer 输出。
config system console\n set output {standard | more}\nendstandard：移除输出中的暂停，直接输出全部内容。
FortiGate # show\n......\nconfig system global\n set admintimeout 60\n set alias \"FortiGate-101F\"\n set gui-auto-upgrade-setup-warning disable\n set gui-ipv6 enable\n set hostname \"FortiGate-101F\"\n set language simch\n set switch-controller enable\n set timezone \"Asia/Shanghai\"\n set virtual-switch-vlan enable\nend\nconfig system accprofile\n edit \"prof_admin\"\n set secfabgrp read-write\n set ftviewgrp read-write\n set authgrp read-write\n set sysgrp read-write\n set netgrp read-write\n set loggrp read-write\n set fwgrp read-write\n set vpngrp read-write\n set utmgrp read-write\n set wanoptgrp read-write\n set wifi read-write\n set cli-get enable\n set cli-show enable\n set cli-exec enable\n set cli-config enable\n next\n......more（默认）：分页模式，逐页查看输出结果，按任意键继续显示后续内容。
FortiGate # show\n....\nconfig system global\n set admin-scp enable\n set admin-sport 4443\n set admin-telnet disable\n set autorun-log-fsck enable\n set cfg-save manual\n set device-idle-timeout 60\n set gui-local-out enable\n set gui-theme onyx\n set management-port-use-admin-sport disable\n set proxy-auth-timeout 5\n set switch-controller enable\n set sys-perf-log-interval 1\n set timezone \"Europe/Amsterdam\"\nend\nconfig system accprofile\n edit \"prof_admin\"\n set secfabgrp read-write\n set ftviewgrp read-write\n set authgrp read-write\n set sysgrp read-write\n set netgrp read-write\n set loggrp read-write\n--More--show 的命令时，将会显示完整配置，直到输出完成为止。在默认配置（启用 multicast-forward）下：
config system settings\n set multicast-forward enable\nend而 TTL=1 的组播流量在实际网络中非常常见，尤其用于链路本地（link-local）组播通信。在某些业务场景下（如特定协议或设备发现机制），需要 FortiGate 能够转发 TTL=1 的组播报文：
\n要允许 FortiGate 转发 TTL=1 的组播报文，需要启用 multicast-ttl-notchange 配置。启用后，FortiGate 不会修改组播报文的 TTL 值，即使 TTL=1，也允许进行组播转发。
config system settings\n set multicast-ttl-notchange enable\nendmulticast-forward 模式与 multicast-routing 不能同时启用，如果使用 multicast-forward，请确保 multicast-routing 已关闭。当 FortiGate 出现 Web GUI（HTTP/HTTPS）或 CLI（SSH/Telnet）无法登录/连接时，可按本文进行基础的检查与抓包定位。
\n确认管理 IP/接口是否正确：先通过 Console 登录 FortiGate，确认你访问的管理 IP 属于哪个接口、接口当前地址是否正确。
\nshow system interface mgmt\n\nconfig system interface\n edit \"mgmt\"\n set vdom \"root\"\n set ip 11.10.10.253 255.255.255.0\n set allowaccess ping https ssh\n set type physical\n set dedicated-to management\n set role lan\n set snmp-index 2\n next\nend确认管理服务端口是否被改过：很多“连不上”的问题其实是端口不对（例如 HTTPS 不再是 443）。常见默认值示例：
\nset admin-port 80（HTTP）set admin-sport 443（HTTPS）set admin-ssh-port 22（SSH）set admin-telnet-port 23（Telnet）show full-configuration system global | grep 'set admin-\\(port\\|sport\\|ssh-port\\|telnet-port\\)'\n\n set admin-port 8081\n set admin-sport 4443\n set admin-ssh-port 2222\n set admin-telnet-port 2323确认接口层是否放行管理访问（allowaccess）：即使端口正确，如果接口没开启 HTTPS/SSH，也会无法访问。
show system interface mgmt | grep allowaccess\n\nset allowaccess ping https ssh检查是否配置了管理员可信主机（trusthost）：如果管理员账号设置了可信主机，只有在可信名单内的源 IP 才能登录（详情参考：系统管理 → 管理员配置 → 管理员设置章节。
\nshow system admin\n\nconfig system admin\n edit \"admin\"\n set vdom \"root\"\n set trusthost1 192.168.100.178 255.255.255.255\n set accprofile \"super_admin\"\n set password ENC PB2BUdKgOSS1ILNihB8s0TQOeY3mp/Pny1J0j6eQhSx1xODelJYY7SJv8b7pnZ0v9wUGUgXlSx7m1GkNttonTpQjUQQ6g4JqkjJoWuw6ynGKow=\n next\nend检查是否有 Local-in Policy 限制管理访问：如果配置了 Local-in Policy，可能会把管理流量挡掉（详情参考：策略与对象 → 本地流量策略 → Local-in 策略章节。
\nshow firewall local-in-policy\n\nconfig firewall local-in-policy\n edit 1\n set uuid 6f31b814-e943-51f0-e47b-b2c1eb16e4ad\n set intf \"mgmt\"\n set srcaddr \"192.168.100.0/24\"\n set dstaddr \"all\"\n set action accept\n set service \"ALL\"\n set schedule \"always\"\n next\n edit 2\n set uuid 056c756c-e944-51f0-318c-5c49729dd5e3\n set intf \"mgmt\"\n set srcaddr \"all\"\n set dstaddr \"all\"\n set service \"ALL\"\n set schedule \"always\"\n next\nend若仍无法解决：用 Debug Flow/Sniffer 定位：用于判断：流量是否到达、防火墙是否丢弃、服务进程是否报错等：
\nDebug 与 Debug Flow：
\ndiagnose debug reset\ndiagnose debug console timestamp enable\n\ndiagnose debug app httpsd -1 <在生产环境中进行 WAD 相关调试时，应结合客户端侧的精确代理访问控制，以及 FortiGate/FortiProxy 上对 WAD Debug 的严格过滤策略，既能满足问题定位需求，又能最大限度降低对设备性能和业务的影响。
\n在进行 WAD 进程的 Debug 时，应注意如下事项：
\n配置代理功能，这里以 HTTP 显式代理端口 8080 为例。配置代理策略放通访问 Internet 的流量。
\nconfig web-proxy explicit\n set status enable\n set http-incoming-port 8080\n set https-incoming-port 8080\nend\n\nconfig firewall proxy-policy\n edit 1\n set name \"web_proxy_internet\"\n set proxy explicit-web\n set dstintf \"wan1\"\n set srcaddr \"192.168.100.0/24\"\n set dstaddr \"all\"\n set service \"webproxy\"\n set action accept\n set schedule \"always\"\n next\nend为客户端（192.168.100.99）浏览器（这里以 Chrome 为例）安装 ZeroOmega 插件（Edge 可以通过微软商店安装）。
\n插件安装成功后，在扩展程序设置（chrome://extensions/?id=pfnededegaaopdmhkdmcofjmoldfiped，Edge 为 edge://extensions/?id=pfnededegaaopdmhkdmcofjmoldfiped）中，建议将其固定到工具栏，并开启“在无痕模式下启用”。
![\"image-20251231101503663\"](\"https://support.fortinet.com.cn/assets/image-20251231101503663-DOKangGQ.png\")
\n点击 ZeroOmega 插件图表，点击“选项”按钮。
\n![\"image-20251231102531247\"](\"https://support.fortinet.com.cn/assets/image-20251231102531247-PPAVD4JS.png\")
\n点击“新建情景模式”按钮，填写“情景模式名称”，选择类型为“代理服务器”，然后点击“创建”按钮。
\n![\"image-20251231103328033\"](\"https://support.fortinet.com.cn/assets/image-20251231103328033-Corhzqbs.png\")
\n填写代理服务器地址、端口、认证信息（如需），然后点击“应用选项”。
\n![\"image-20251231103717554\"](\"https://support.fortinet.com.cn/assets/image-20251231103717554-CGXzAB8r.png\")
\n关闭客户端系统的代理。
\n\n使用 SSH 登录 FortiGate/FortiProxy 并执行 Debug（建议开启终端软件的日志记录），注意限制 Debug 的过滤条件。
\ndiagnose debug reset\ndiag debug console timestamp enable\ndiagnose wad filter src 192.168.100.177 <FortiSwitch 的 FortiLink 部署通常有两种方式：
\n本文重点介绍第二种方式。
\n![\"image-20251231163203209\"](\"https://support.fortinet.com.cn/assets/image-20251231163203209-BsG1uyr3.png\")
\n配置防火墙 internal1 接口，internal1 接口作为交换机的网关，通过 DHCP 给交换机分配 IP 地址，以及通过 DHCP Option 138 下发的 FortiLink 接口管理地址。
\n![\"image-20251231170310145\"](\"https://support.fortinet.com.cn/assets/image-20251231170310145-qg3mf8ML.png\")
\n![\"image-20251231163614610\"](\"https://support.fortinet.com.cn/assets/image-20251231163614610-D-qt-mq2.png\")
\n![\"image-20251231163633609\"](\"https://support.fortinet.com.cn/assets/image-20251231163633609-BBMg5ZuA.png\")
\n在“系统管理 → 设置”中的 NTP 侦听端口中增加 internal1 作为交换机 NTP Server。
\n![\"image-20251231163709552\"](\"https://support.fortinet.com.cn/assets/image-20251231163709552-D1KQkLMv.png\")
\n配置 internal1 → FortiLink 接口之间放通的 FortiGate 策略。
\n![\"image-20251231163739894\"](\"https://support.fortinet.com.cn/assets/image-20251231163739894-fPE5Xgrr.png\")
\n然后 GUI 页面可以显示出 FortiLink 接口。
\n![\"image-20251231163842508\"](\"https://support.fortinet.com.cn/assets/image-20251231163842508-UtUxHu1S.png\")
\ninternal1 和 FortiLink 接口之间不能使用 NAT 方式通讯。
\n第三方二层交换机配置（以 Cisco 交换机为例）。
\n#\nvlan 10\n#\nvlan 4094\n#\ninterface Ethernet1/0/23\n port link-type trunk\n port trunk permit vlan all\n port trunk pvid vlan 4094\n#\ninterface Ethernet1/0/24\n port link-type trunk\n port trunk permit vlan all\n port trunk pvid vlan 4094\n#交换机上线。
\n![\"image-20251231163923328\"](\"https://support.fortinet.com.cn/assets/image-20251231163923328-ComH-czm.png\")
\n授权交换机。
\n![\"image-20251231163959980\"](\"https://support.fortinet.com.cn/assets/image-20251231163959980-ScX2i4fv.png\")
\n授权交换机后一段时间，交换机上线。
\n![\"image-20251231164035044\"](\"https://support.fortinet.com.cn/assets/image-20251231164035044-BR3KB7V5.png\")
\nFortiLink interface : fortilink\nSWITCH-ID VERSION STATUS FLAG ADDRESS JOIN-TIME SERIAL \nS224EPTF21000367 v7.4.8 (929) Authorized/Up 3 172.16.100.3 Tue Dec 30 15:32:00 2025 S224EPTF21000367\n\n Flags: C=config sync, U=upgrading, S=staged, D=delayed reboot pending, E=config sync error, 2=L2, 3=L3, V=VXLAN, T=tunnel, X=External\n Managed-Switches: 1 (UP: 1 DOWN: 0 MAX: 24)![\"image-20251231164137822\"](\"https://support.fortinet.com.cn/assets/image-20251231164137822-DpFrsFgI.png\")
\n交换机状态查询。
\nS224EPTF21000367 # execute switch-controller get-conn-status \n\nGet managed-switch S224EPTF21000367 connection status:\nConnection: Connected\nImage Version: FGT60F-v7.4-build2829\nRemote Address: 10.255.1.1\nJoin Time: Tue Dec 30 15:32:00 2025\nDTLS Version: DTLSv1.2交换机上会自动建立下面的 Foritlink trunk：
\nS224EPTF21000367 # show switch trunk \nconfig switch trunk\n edit \"_FLinkDhcpDisc_\"\n set auto-isl 1\n set static-isl enable\n set members \"port23\" \n next\nend配置 FAP 的管理 VLAN。
\n![\"image-20251231164323474\"](\"https://support.fortinet.com.cn/assets/image-20251231164323474-Bp-a_agj.png\")
\n需要同时在 FortiLink 接口和 internal1 接口下配置 VLAN 子接口。
\nFortiLink 接口下的 vlan10 子接口只是用来做 FortiLink VLAN 下发给交换机用的，所以不需要配置 IP 地址。internal1 下 vlan10 接口的配置：
\n![\"image-20251231164423328\"](\"https://support.fortinet.com.cn/assets/image-20251231164423328-JT0DuZEy.png\")
\n配置交换机 port1 口的 AP 管理 VLAN。
\n![\"image-20251231164444404\"](\"https://support.fortinet.com.cn/assets/image-20251231164444404-Bz-3j6w0.png\")
\nAP 上线，AP 接入网络中后会从 internal1 的 vlan10 接口获取到 IP 地址，然后 FortiGate 上需要授权 AP。
\n![\"image-20251231164515424\"](\"https://support.fortinet.com.cn/assets/image-20251231164515424-ISIzV4z6.png\")
\n授权 AP 后，AP 上线。
\n![\"image-20251231164544218\"](\"https://support.fortinet.com.cn/assets/image-20251231164544218-BxCHZtkr.png\")
\n.crt 和 .key 加上 phrase。克隆并发布 Web 证书模板（允许私钥导出）。
\n![\"image-20251230150511748\"](\"https://support.fortinet.com.cn/assets/image-20251230150511748-CONA3doK.png\")
\n![\"image-20251230150724849\"](\"https://support.fortinet.com.cn/assets/image-20251230150724849-HWY05RI8.png\")
\n对新模板授予 DC 完全权限。
\n![\"image-20251230150837698\"](\"https://support.fortinet.com.cn/assets/image-20251230150837698-B7OTBvoi.png\")
\n![\"image-20251230150848385\"](\"https://support.fortinet.com.cn/assets/image-20251230150848385-BrcbH8Mv.png\")
\n颁发模板到 DC。
\n![\"image-20251230150928663\"](\"https://support.fortinet.com.cn/assets/image-20251230150928663-k4gAdeYy.png\")
\n![\"image-20251230150952682\"](\"https://support.fortinet.com.cn/assets/image-20251230150952682-DmThhJMw.png\")
\n申请并导出 pfx 证书文件。
\n![\"image-20251230151106540\"](\"https://support.fortinet.com.cn/assets/image-20251230151106540-B5njI2Wz.png\")
\n![\"image-20251230151128450\"](\"https://support.fortinet.com.cn/assets/image-20251230151128450-DumKQYoa.png\")
\n![\"image-20251230151152022\"](\"https://support.fortinet.com.cn/assets/image-20251230151152022-DgJn32q9.png\")
\n![\"image-20251230151216125\"](\"https://support.fortinet.com.cn/assets/image-20251230151216125-QrVvTdUw.png\")
\n![\"image-20251230151245930\"](\"https://support.fortinet.com.cn/assets/image-20251230151245930-DKVGZoVi.png\")
\n![\"image-20251230151308164\"](\"https://support.fortinet.com.cn/assets/image-20251230151308164-iYK9ojZT.png\")
\npfx 文件转换：使用 openssl.exe 工具 从 .pfx 文件导出三个文件：
C:\\Users\\Administrator.X\\Downloads\\CA2>dir\n 驱动器 C 中的卷没有标签。\n 卷的序列号是 7053-3A8D\n\n C:\\Users\\Administrator.X\\Downloads\\CA2 的目录\n\n2025/12/17 16:56 <DIR> .\n2025/12/17 16:56 <DIR> ..\n2025/12/17 16:55 5,329 FSSO-SSL-8263.pfx\n 1 个文件 5,329 字节\n 2 个目录 94,788,481,024 可用字节\n\nC:\\Users\\Administrator.X\\Downloads\\CA2>C:\\\"Program Files\"\\OpenSSL-Win64\\bin\\openssl.exe pkcs12 -in FSSO-SSL-8263.pfx -out fsso_agent.crt\nEnter Import Password: \\\\MMC导出时的密码\nEnter PEM pass phrase: \\\\crt附带phrase\nVerifying - Enter PEM pass phrase: \\\\二次确认phrase\nBag Type: 1.3.6.1.4.1.311.17.4\nBag Value:\nC:\\Users\\Administrator.X\\Downloads\\CA2>C:\\\"Program Files\"\\OpenSSL-Win64\\bin\\openssl.exe pkcs12 -in FSSO-SSL-8263.pfx -nocerts -out fsso_agent.key\nEnter Import Password: \\\\MMC导出时的密码\nEnter PEM pass phrase: \\\\crt附带phrase\nVerifying - Enter PEM pass phrase: \\\\二次确认phrase\nBag Type: 1.3.6.1.4.1.311.17.4\nBag Value:\nC:\\Users\\Administrator.X\\Downloads\\CA2>C:\\\"Program Files\"\\OpenSSL-Win64\\bin\\openssl.exe pkcs12 -in FSSO-SSL-8263.pfx -cacerts -nokeys -out root_ca.pem\nEnter Import Password:\nBag Type: 1.3.6.1.4.1.311.17.4\nBag Value:\nC:\\Users\\Administrator.X\\Downloads\\CA2>\nC:\\Users\\Administrator.X\\Downloads\\CA2>\nC:\\Users\\Administrator.X\\Downloads\\CA2>\nC:\\Users\\Administrator.X\\Downloads\\CA2>dir\n 驱动器 C 中的卷没有标签。\n 卷的序列号是 7053-3A8D\n\n C:\\Users\\Administrator.X\\Downloads\\CA2 的目录\n\n2025/12/17 16:58 <DIR> .\n2025/12/17 16:58 <DIR> ..\n2025/12/17 16:55 5,329 FSSO-SSL-8263.pfx\n2025/12/17 16:58 7,843 fsso_agent.crt\n2025/12/17 16:58 3,341 fsso_agent.key\n2025/12/17 16:58 3,234 root_ca.pem\n 4 个文件 19,747 字节\n 2 个目录 94,788,460,544 可用字节.crt 文件和 .key 文件还有 phrase，用于导入 FSSO Agent。.pem 文件用于导入到 FortiGate/FortiProxy。导入 .crt 与 .key 文件到 FSSO Agent。
![\"image-20251230151556831\"](\"https://support.fortinet.com.cn/assets/image-20251230151556831-BlMBDkHO.png\")
\n导入 CA 到 FortiGate/FortiProxy。
\n![\"image-20251230152030934\"](\"https://support.fortinet.com.cn/assets/image-20251230152030934-5KX0LBdu.png\")
![\"image-20251230152102993\"](\"https://support.fortinet.com.cn/assets/image-20251230152102993-BgWgoruD.png\")
![\"image-20251230152136245\"](\"https://support.fortinet.com.cn/assets/image-20251230152136245-BJvxn7XT.png\")
\n在 FSSO 引用 CA 证书。
\n![\"image-20251230152224998\"](\"https://support.fortinet.com.cn/assets/image-20251230152224998-Qmu-20Ep.png\")
\n验证 FortiGate/FortiProxy 与 FSSO Agent 的 SSL 连接状态。
\n![\"image-20251230152342318\"](\"https://support.fortinet.com.cn/assets/image-20251230152342318-C90ZxMNk.png\")
\nCLI 连接状态正常。
\nFortiGate # diagnose debug authd fsso server-status \n\nServer Name\t\t\t Connection Status Version AddressFortiGuard 并不是“只要买了/注册了许可证就自动生效”的服务。FortiGate 要正常使用 FortiGuard，必须同时满足以下四个条件：
\n只要其中任意一个条件不满足，就可能出现“许可证异常”或“特征库不更新”的现象。
\n上述情况并不一定代表许可证真实失效，而通常与许可证同步机制、网络连通方式或更新路径受限有关。
\n排查 FortiGuard 问题必须同时检查许可证、网络连通性和更新配置，而非仅依据 GUI 显示结果判断。
\n重要
\n若 AV/IPS Profile 未绑定到任何策略，即使许可证有效，特征库也不会更新。
\nGUI：进入“系统管理 → FortiGuard”页面，点击“立即更新许可证和定义”按钮。
\n![\"image-20251224152113861\"](\"https://support.fortinet.com.cn/assets/image-20251224152113861-C3y3adHW.png\")
\nCLI：执行 execute update-now 命令。
查看同步过程的 Debug 信息，如果更新失败，Debug 信息中会提示对应的失败原因：
\ndiagnose debug reset\ndiagnose debug application update -1\ndiagnose debug enable\nexecute update-now\n\n完成后执行：\ndiagnose debug disable其他更细化的手动更新命令：
\nexecute update-av\nexecute update-ips\nexecute update-geo-ip\nexecute update-list\nexecute update-external-resource\nexecute update-ffdb-on-demandFortiGate # diagnose autoupdate status\nFDN availability: available at Wed Dec 24 03:04:03 2025\n last successful time: Wed Dec 24 03:04:03 2025\nScheduled update: enable\n Update daily: at 3 after 60 minutes\nVirus definitions update: enable\nIPS definitions update: enable\nDLP Signature status:\n DLP signature json file not found.FDN availability：是否可访问 FortiGuard 网络。Scheduled update：是否启用定时更新。Virus definitions update / IPS definitions update：更新是否开启。Web proxy tunneling：是否通过代理访问 FortiGuard。FortiGate # diagnose autoupdate versions\n\nAV Engine在 iBGP 环境中，BGP 水平分割规则会阻止从一个 iBGP 邻居学习到的路由再通告给其他 iBGP 邻居。
\n为保证 AS 内路由的完整传播，传统设计需要在所有 iBGP 路由器之间建立全互联邻居关系。当 AS 内 BGP 节点数量增多时，会导致 iBGP 邻居数量急剧增加，配置复杂、控制平面负担加重。
\n通过在 AS 内部署 BGP 路由反射器（RR，下文简称 RR），集中建立 iBGP 邻居关系，其余 iBGP 路由器作为路由反射客户端（RR Client，下文简称 RR 客户端），仅与 RR 建立会话，从而减少 iBGP 全互联需求。
\n![\"image-20251223163328549\"](\"https://support.fortinet.com.cn/assets/image-20251223163328549-CtYeyZrj.png\")
\n在 RR 客户端（FGT-2/FGT-3/FGT-4）上，仅需与 RR 建立 iBGP 邻居关系，配置示例如下（基础 BGP 配置略）：
\nconfig router bgp\n set as 65000\n set router-id 169.254.10.2\n config neighbor\n edit \"169.254.10.1\"\n set next-hop-self enable\n set interface \"Loopback1\"\n set remote-as 65000\n set update-source \"Loopback1\"\n next\n end\nendRR（FGT-1）需要与 AS 内所有 RR 客户端（FGT-2/FGT-3/FGT-4）分别建立 iBGP 邻居关系，并在邻居配置中启用 route-reflector-client/route-reflector-client6 参数：
config router bgp\n set as 65000\n set router-id 169.254.10.1\n config neighbor\n edit \"169.254.10.2\"\n set soft-reconfiguration enable\n set interface \"Loopback1\"\n set remote-as 65000\n set update-source \"Loopback1\"\n set route-reflector-client enable\n next\n edit \"169.254.10.3\"\n set soft-reconfiguration enable\n set interface \"Loopback1\"\n set remote-as 65000\n set update-source \"Loopback1\"\n set route-reflector-client enable\n next\n edit \"169.254.10.4\"\n set soft-reconfiguration enable\n set interface \"Loopback1\"\n set remote-as 65000\n set update-source \"Loopback1\"\n set route-reflector-client enable\n next\n end\nend由于 RR 的客户端可能数量众多，也可以选择使用 BGP 邻居组的方式来简化配置：
\nconfig router bgp\n config neighbor-group\n edit \"RR\"\n set soft-reconfiguration enable\n set interface \"Loopback1\"\n set remote-as 65000\n set update-source \"Loopback1\"\n set route-reflector-client enable\n next\n end\n config neighbor-range\n edit 1\n set prefix 169.254.10.0 255.255.255.0\n set neighbor-group \"RR\"\n next\n end\nend在 FortiGate 上，RR 仅改变 iBGP 路由的传播方式，而不会默认修改任何 BGP 路径属性，详情参考：路由 → 动态路由 → BGP → BGP 常见问题 → RR 反射路由无法修改属性章节。
\n在默认行为下，即使 RR 反射了路由，NEXT_HOP 仍保持为原始学习到的下一跳。例如：
\n对于非反射路由（如 eBGP 学习的路由），可以在 BGP 邻居配置上开启 next-hop-self/next-hop-self6，该方式不会影响被反射的 iBGP 路由：
config router bgp\n config neighbor\n edit \"169.254.10.2\"\n set remote-as 65001\n set next-hop-self enable\n next\n end\nend在 iBGP 路由反射场景中，next-hop-self/next-hop-self6 不会修改被反射的 iBGP 路由的 NEXT_HOP，但 next-hop-self-rr /next-hop-self-rr6 参数可以修改反射路由的 NEXT_HOP。
启用后，所有由 RR 反射给 RR 客户端的 iBGP 路由，其 NEXT_HOP 将被统一修改为 RR 自身地址。如下配置：
\n在 RR（FGT-1）上，对每一个 RR 客户端启用：
\nconfig router bgp\n config neighbor\n edit \"169.254.10.2\"\n set next-hop-self-rr enable\n next\n edit \"169.254.10.3\"\n set next-hop-self-rr enable\n next\n edit \"169.254.10.4\"\n set next-hop-self-rr enable\n next\n end\nend或在 RR 的 BGP 邻居组中启用：
\nconfig router bgp\n config neighbor-group\n edit \"RR\"\n set route-reflector-client enable\n next\n end\nend配置完成后，需要在 RR 上执行路由刷新，以触发路由重新学习（详情参考：路由 → 动态路由 → BGP → BGP 路由刷新章节）：
\nexecute router clear bgp all soft设备启动或登录 CLI 时，如果出现如下告警信息：
\nWARNING: File System Check Recommended! An unsafe reboot may have caused an inconsistency in the disk drive.\nIt is strongly recommended that you check the file system consistency before proceeding.\nPlease run 'execute disk scan 259'\nNote: The device will reboot and scan the disk during startup. This may take up to an hour.GUI 中也会能弹出“推荐文件系统检查”提示：
\n![\"image-20251222151511302\"](\"https://support.fortinet.com.cn/assets/image-20251222151511302-CKvnZU3d.png\")
\n该提示表示设备检测到上一次关机过程不安全。通常发生在未使用 execute shutdown 正常关机的情况下，例如突然断电、强制重启或异常掉电。
在此类场景中，系统无法确认磁盘文件系统是否被完整、正确地卸载，因此在启动过程中检测到潜在的不一致状态。
\n由于掉电或异常重启时，磁盘写入操作可能尚未完成，数据有可能仅被部分写入，从而导致文件系统状态不一致。为防止隐藏的磁盘或文件系统错误进一步扩大，系统通过该提示提醒管理员执行文件系统检查。
\n该行为属于 FortiGate 设备的磁盘与文件系统完整性保护机制，并非设备故障或系统异常。如果不进行文件系统检查，可能在后续运行中引发日志异常、存储错误或系统稳定性风险。
\n注意
\n整个检查过程通常耗时 5~15 分钟，大容量磁盘或部分型号可能更久（最多可达 1 小时），请在业务窗口期执行。
\n在登陆 FortiGate GUI 后弹出的“推荐文件系统检查”提示窗口中点击“重启并检查文件系统”。
\n![\"image-20251222161639961\"](\"https://support.fortinet.com.cn/assets/image-20251222161639961-CXDFVynh.png\")
\n推荐开启“自动文件系统检查”，点击“确认”按钮，将重启设备并执行磁盘检查。
\n![\"image-20251222161743044\"](\"https://support.fortinet.com.cn/assets/image-20251222161743044-BL0iLUrB.png\")
\n确认后设备将：
\n随后磁盘检查告警信息将不再出现。
\n查看磁盘的分区编号，如下所示，磁盘 partition ref 为 259。
FortiGate # exe disk list \n\nDisk Internal ref: 258 447.1GiB type: SSD [ATA Micron_5200_MTFD] dev: /dev/sda\n partition ref: 259 440.1GiB, 439.0GiB free mounted: Y label: LOGUSEDX2E9CDAE8 dev: /dev/sda1 start: 2048执行磁盘扫描，键入 y 后会自动重启并执行磁盘扫描。
FortiGate # execute disk scan 259\nscan requested for: device=/dev/sda1 259/Internal status=enable media-status=enable\nThis action requires the unit to reboot.\nDo you want to continue? (y/n)当发生非正常关机后，下次启动自动执行文件系统检查，避免反复弹窗提醒（也可以在上文提到的“推荐文件系统检查”提示窗口中直接开启）：
\n![\"image-20251222153159944\"](\"https://support.fortinet.com.cn/assets/image-20251222153159944-BQk0pL7U.png\")
\nconfig system global\n set autorun-log-fsck enable\nend附 FortiManager 的开启方法：
\nconfig fmupdate fwm-setting\n set auto-scan-fgt-disk enable\nend在 BGP 协议中，路由选择过程中，默认会通过多个路由属性算法来选择最佳路径。其中，AS-PATH 长度的比较是一个关键步骤。通常，AS-PATH 越短，表示路径越短，经过的 AS 数目越少，延迟和跳数更低，通常会被认为是性能更好的路径。
\n然而在某些场景下，AS-PATH 的长度可能并不反映网络的实际性能或可用性，管理员可能希望优先选择其他路由属性，如 localpref（local preference）、MED 或 IGP（内部网关协议）度量。
\n启用 bestpath-as-path-ignore 功能，可以使 BGP 在选择最佳路径时跳过对 AS-PATH 长度的比较，而将其他路由属性（如 localpref）作为决定因素，从而根据更合适的标准进行路径选择。
config router bgp\n set bestpath-as-path-ignore [enable | disable]\nendFGT-1（AS 65001）：与外部网络和多个本地路由器（如 FGT-2）建立 eBGP 邻居。
\nFGT-2（AS 65006）：与 FGT-1（AS 65001）和外部 AS 65007 建立 eBGP 邻居。
\nFGT-1 与外部 AS 65007 之间存在多个 BGP 路径，有的路径的 AS-PATH 较短，而有的路径的 AS-PATH 较长（如通过其他 AS 进行路径预处理）。
\nFGT-2 上，有两条路径到达 77.77.77.0/24 网络：
\n在默认情况下，BGP 会选择路径 1，因为 AS-PATH 较短。然而，通过启用 bestpath-as-path-ignore 命令后，BGP 将忽略 AS-PATH 长度的比较，而选择路径 2，因为路径 2 的 localpref（200）高于路径 1 的 localpref（100）。
FGT-2 # get router info bgp network 77.77.77.0/24\nVRF 0 BGP routing table entry for 77.77.77.0/24\nPaths: (2 available, best #1, table Default-IP-Routing-Table)\nOriginal VRF 0\n65001 65007 # Shorter path (length 2)\n101.101.101.1 from 101.101.101.1 (19.19.19.19)\nOrigin IGP metric 0, localpref 100, valid, external, best\nLast update: Tue Aug 26 12:15:57 2025\nOriginal VRF 0\n65001 65002 65007 # Longer path (length 3)\n201.201.201.1 from 201.201.201.1 (19.19.19.19)\nOrigin IGP metric 0, localpref 200, valid, external\nLast update: Tue Aug 26 12:15:57 2025此时需要 BGP 选择一个路径时，不仅仅依赖 AS-PATH 长度，还能够根据其他属性（如 localpref 或 MED）来进行优化选择。
\n在 FGT-2 上启用 set bestpath-as-path-ignore 命令，以忽略 AS-PATH 长度，并优先选择 localpref 更高的路径。
config router bgp\n set as 65006\n set bestpath-as-path-ignore enable\n config neighbor\n edit \"101.101.101.1\"\n set remote-as 65001\n set local-preference 200 ←自 FortiOS 7.4.4 版本开始，FortiGate 在 LDAPS/STARTTLS 配置中实施了证书颁发者强制执行。也就是说，服务器的证书颁发者证书（根证书）必须安装在 FortiGate 上，否则认证将会失败。
\n![\"image-20251216153433088\"](\"https://support.fortinet.com.cn/assets/image-20251216153433088-CqpHzVKV.png\")
\ndiagnose debug app fnbamd -1\ndiagnose debug enable\n\n[433] start_remote_auth-Total 1 server(s) to try \n[1881] handle_req-r=4\n[1378] __ldap_tcps_connect-Start ldap conn timer.\n[1666] __verify_cb-Cert error 20, unable to get local issuer certificate. Depth 0. Subject '/CN=ion-kvm88.labtest.local'\n[1345] __ldap_tcps_connect-tcps_connect(10.192.11.88) failed: ssl_connect() failed: 167772294 (error:0A000086:SSL routines::certificate verify failed).\n[1642] __ldap_error-Ret 5, st = 0.\n[1679] __ldap_error-\n[1485] __ldap_tcps_close-closed.\n[1567] __ldap_conn_stop-Stop ldap conn timer.即使没有选择“服务器证书”（ca-cert），FortiGate 也要求验证 LDAP 服务器的 CA 证书。
config user ldap\n edit \"LDAPS\"\n set server \"192.168.100.177\"\n set server-identity-check disable\n set cnid \"cn\"\n set dn \"CN=Administrator,CN=Users,DC=fortibj,DC=com\"\n set type regular\n set username \"adminfw\"\n set password xxxxx\n set secure ldaps\n set ca-cert \"\"\n set port 636\n next\nend为避免出现此错误，需要将签署服务器证书的根证书导入到 FortiGate 证书存储库中。可以通过以下步骤完成：
\n导入根 CA 证书到 FortiGate（步骤请参考：系统管理 → 系统设置 → 证书管理章节）。
\n重新测试 LDAPS/STARTTLS 认证连接。
\n在 fnbamd 的 debug 信息中，服务器证书（深度 0）和根 CA（深度 1）都已正确安装。
diagnose debug app fnbamd -1\ndiagnose debug enable\n\n[433] start_remote_auth-Total 1 server(s) to try\n[1881] handle_req-r=4\n[1378] __ldap_tcps_connect-Start ldap conn timer.\n[1669] __verify_cb-Cert preverify ok. Depth 1. Subject '/DC=local/DC=labtest/CN=labtest-ION-KVM88-CA'\n[1669] __verify_cb-Cert preverify ok. Depth 0. Subject '/CN=ion-kvm88.labtest.local'\n[1378] __ldap_tcps_connect-Start ldap conn timer.\n[1363] __ldap_tcps_connect-tcps_connect(10.192.11.88) is established. Current state: Connecting.\n[1120] __ldap_auth_ctx_reset-\n[984] __ldap_next_state-State: Connecting -> Admin Binding\n[1378] __ldap_tcps_connect-Start ldap conn timer.\n[1221] __ldap_rxtx-fd 10, state 2(Admin Binding)\n[1223] __ldap_rxtx-Stop ldap conn timer.如果在导入了根证书后仍然出现 Unknown CA 错误，请确保根证书被正确安装到远程 CA 存储区，而不是本地 CA 存储区。若证书安装在本地 CA 存储区，认证会失败。
在 FortiGate 上，流量在条件满足时会从 CPU 转发路径迁移到 NP（Network Processor）硬件加速，提升性能。
\n但在某些“单向/弱回包”业务（最常见是 UDP 单向发送，如 UDP Syslog）中，如果会话被 NP 加速，如下所示的场景中：
\n![\"image-20251215170109735\"](\"https://support.fortinet.com.cn/assets/image-20251215170109735-BFw-qX-n.png\")
\nnpu-neighbor-update 的目标就是：在这些 NP 加速会话存在时，通过主动探测来更新邻居信息，降低上述风险。该功能默认关闭，当 npu-neighbor-update 启用后：
config system global\n set npu-neighbor-update [enable/disable]\nend可使用 diagnose sys session list 相关命令查看会话 NP 加速状态，可以看到 Syslog 流量被 NP 单向加速。
session info: proto=17 proto_state=00 duration=33 expire=147 timeout=0 refresh_dir=both flags=00000000 socktype=0 sockport=0 av_idx=0 use=3\norigin-shaper=\nreply-shaper=\nper_ip_shaper=\nclass_id=0 ha_id=0 policy_dir=0 tunnel=/ vlan_cos=0/255\nstate=log may_dirty npu f00 \nstatistic(bytes/packets/allow_err): org=1056/2/1 reply=0/0/0 tuples=2\ntx speed(Bps/kbps): 0/0 rx speed(Bps/kbps): 0/0\norgin->sink: org pre->post, reply pre->post dev=44->8/8->44 gwy=10.10.13.1/0.0.0.0\nhook=pre dir=org act=noop 192.168.100.110:161->10.10.13.100:514(0.0.0.0:0)\nhook=post dir=reply act=noop 10.10.13.100:514->192.168.100.110:161(0.0.0.0:0)\nmisc=0 policy_id=11 pol_uuid_idx=674 auth_info=0 chk_client_info=0 vd=0\nserial=000014bf tos=ff/ff app_list=0 app=0 url_cat=0\nrpdb_link_id=00000000 ngfwid=n/a\nnpu_state=0x000400 ofld-O\nnpu info: flag=0x81/0x00, offload=8/0, ips_offload=0/0, epid=67/0, ipid=95/0, vlan=0x0000/0x0000\nvlifid=95/0, vtag_in=0x0000/0x0000 in_npu=1/0, out_npu=1/0, fwd_en=0/0, qid=5/0\nno_ofld_reason:抓包观察是否存在探测报文：
\nIPv4（ARP）：diagnose sniffer packet <egress-intf> 'arp and host <dst-ip>' 6 0 l。可以看到仅首次 ARP 探测为广播数据包，后续 ARP 探测数据包均为单播数据包。因此对网络影响甚微。
FortiGate # diagnose sniffer packet wan2 'arp and host 10.10.13.100' 6 0 l\ninterfaces=[wan2]\nfilters=[arp and host 10.10.13.100]\n2023-09-22 09:29:55.517446 wan2 -- arp who-has 10.10.13.100 tell 10.10.13.2\n0x0000 ffff ffff ffff e023 ff67 e39d 0806 0001 .......#.g......\n0x0010 0800 0604 0001 e023 ff67 e39d 0a0a 0d02 .......#.g......\n0x0020 0000 0000 0000 0a0a 0d64 .........d\n\n2023-09-22 09:29:55.517581 wan2 -- arp reply 10.10.13.100 is-at 00:09:0f:09:00:04\n0x0000 e023 ff67 e39d 0009 0f09 0004 0806 0001 .#.g............\n0x0010 0800 0604 0002 0009 0f09 0004 0a0a 0d64 ...............d\n0x0020 e023 ff67 e39d 0a0a 0d02 0000 0000 0000 .#.g............\n0x0030 0000 0000 0000 0000 0000 0000 ............\n\n2023-09-22 09:30:28.630294 wan2 -- arp who-has 10.10.13.100 tell 10.10.13.2\n0x0000 0009 0f09 0004 e023 ff67 e39d 0806 0001 .......#.g......\n0x0010 0800 0604 0001 e023 ff67 e39d 0a0a 0d02 .......#.g......\n0x0020 0000 0000 0000 0a0a 0d64 .........d\n\n2023-09-22 09:30:28.630416 wan2 -- arp reply 10.10.13.100 is-at 00:09:0f:09:00:04\n0x0000 e023 ff67 e39d 0009 0f09 0004 0806 0001 .#.g............\n0x0010 0800 0604 0002 0009 0f09 0004 0a0a 0d64 ...............d\n0x0020 e023 ff67 e39d 0a0a 0d02 0000 0000 0000 .#.g............\n0x0030 0000 0000 0000 0000 0000 0000 ............\n\n2023-09-22 09:31:01.750293 wan2 -- arp who-has 10.10.13.100 tell 10.10.13.2\n0x0000 0009 0f09 0004 e023 ff67 e39d 0806 0001 .......#.g......\n0x0010 0800 0604 0001 e023 ff67 e39d 0a0a 0d02 .......#.g......\n0x0020 0000 0000 0000 0a0a 0d64 .........d\n\n2023-09-22 09:31:01.750406 wan2 -- arp reply 10.10.13.100 is-at 00:09:0f:09:00:04\n0x0000 e023 ff67 e39d 0009 0f09 0004 0806 0001 .#.g............\n0x0010 0800 0604 0002 0009 0f09 0004 0a0a 0d64 ...............d\n0x0020 e023 ff67 e39d 0a0a 0d02 0000 0000 0000 .#.g............\n0x0030 0000 0000 0000 0000 0000 0000 ............\n......IPv6（NDP/ICMPv6）：diagnose sniffer packet <egress-intf> 'icmp6 and host <dst-ipv6>' 4 0 l。
FortiGate (Interim)# diagnose sniffer packet wan2 'host 2200::64' 4 0 l\ninterfaces=[wan2]\nfilters=[host 2200::64]\n2023-09-21 10:59:29.680777 wan2 -- fe80::e223:ffff:fe67:e39d -> 2200::64: icmp6: neighbor sol: who has 2200::64\n2023-09-21 10:59:29.680929 wan2 -- 2200::64 -> fe80::e223:ffff:fe67:e39d: icmp6: neighbor adv: tgt is 2200::64\n2023-09-21 11:00:04.640780 wan2 -- fe80::e223:ffff:fe67:e39d -> 2200::64: icmp6: neighbor sol: who has 2200::64\n2023-09-21 11:00:04.640949 wan2 -- 2200::64 -> fe80::e223:ffff:fe67:e39d: icmp6: neighbor adv: tgt is 2200::64\n2023-09-21 11:00:39.600781 wan2 -- fe80::e223:ffff:fe67:e39d -> 2200::64: icmp6: neighbor sol: who has 2200::64\n2023-09-21 11:00:39.600920 wan2 -- 2200::64 -> fe80::e223:ffff:fe67:e39d: icmp6: neighbor adv: tgt is 2200::64\n......期望现象：
\n该功能启用后会带来额外的 ARP/ICMPv6 探测流量与一定系统开销，建议只在问题场景中开启：
\n如果您的业务本身是双向频繁通信（TCP 大量回包等），通常邻居/二层学习自然更稳定，一般不需要开启该功能。
\nVM 或关闭会话加速的场景下，由 CPU 维护邻居更新（无法关闭），不需要开启 npu-neighbor-update 。
Hub 与 Spoke 在同一个 AS 65000 内：
\n169.254.10.254。169.254.10.1。169.254.10.2。10.10.254.0/24网段。10.10.1.0/24 ，Hub 通过 RR 将10.10.1.0/24 反射给 Spoke2。route-map-out，意图修改自身发布和反射给 Spoke2 的路由的 Local Preference。Spoke1 向 Hub 通告网段：10.10.1.0/24。
Hub 作为 Route Reflector 的 BGP 配置如下。Hub 对 Spoke2 的出站 route-map 用于试图修改通告/反射到 Spoke2 的路由的 Local Preference 为 500。
\nconfig router route-map\n edit \"Hub-RM_Spoke2-OUTBOUND\"\n config rule\n edit 1\n set set-local-preference 500\n next\n end\n next\nend\n\nconfig router bgp\n set as 65000\n config neighbor\n edit \"169.254.10.1\" <当 FortiGate 产生本地发起（local-out）的流量时，默认会采用出接口的主 IP 作为源地址。如：
\n从 FortiOS v7.4.0 及之后版本，引入了 Preferred Source 功能，可在静态路由、SD-WAN 成员或 BGP route-map 中指定 Local-out 流量应优先使用的源地址，以实现更精细的源 IP 管控。
\n在静态路由条目中使用 preferred-source，可以让匹配该路由的 Local-out 流量使用指定的源地址。
config router static\n edit <id>\n set dst 10.10.12.0 255.255.255.0\n set gateway 10.255.2.2\n set preferred-source 192.168.100.1\n set device \"port2\"\n next\nend在 SD-WAN 成员配置中使用 preferred-source，可让 Local-out 流量在经过该 SD-WAN 成员时使用自定义的源地址。
重要
\nset source <ip_address>，而不是 preferred-source。preferred-source 优先于静态路由中配置的 preferred-source。config system sdwan\n config members\n edit <id>\n set preferred-source 192.168.100.1\n next\n end\nend在 route-map 中可通过 set-ip-prefsrc 设置源地址，然后将该 route-map 作为 route-map-in 应用到邻居。BGP 邻居建立、BGP 邻居间通信等 Local-out 流量会采用该源地址。
config router route-map\n edit \"<route-map_name>\"\n config rule\n edit <id>\n set set-ip-prefsrc <ip_address>\n next\n end\n next\nend\n\nconfig router bgp\n config neighbor\n edit 169.254.10.1\n set route-map-in <route-map_name>\n next\n end\nend如果系统其他位置（例如 config system dns）显式配置了 source-ip，则该 source-ip 会覆盖 preferred-source。
相关信息
\n\n如下所示，即使路由设置了 preferred-source，DNS 查询仍会使用 192.168.100.99。
config router static\n edit 1\n set dst 223.5.5.5 255.255.255.255\n set gateway 192.168.100.254\n set preferred-source 192.168.100.1\n set device \"port2\"\n next\nend\n\nconfig system dns\n set primary 223.5.5.5\n set source-ip 192.168.100.99\nendFortiGate 不强制 Preferred Source 必须是本地接口 IP，但若该地址不属于设备的任一接口，则回复流量可能无法返回，最终导致流量丢失。 如果使用的源地址不是本地接口地址，可通过以下方式确保回程可达：
\n使用 Loopback 接口：
\nconfig system interface\n edit \"loopback1\"\n set ip 100.1.1.1 255.255.255.255\n set type loopback\n next\nend使用 Secondary IP：
\nconfig system interface\n edit \"port2\"\n set secondary-IP enable\n config secondaryip\n edit <id>\n set ip 100.1.1.1 255.255.255.255\n next\n end\n next\nend使用开启 arp-reply 的 IP Pool：
config firewall ippool\n edit \"pool1\"\n set startip 100.1.1.1\n set endip 100.1.1.1\n set arp-reply enable\n next\nendIPsec 隧道协商与 ESP 流量不会使用静态路由或 SD-WAN 成员中配置的 preferred-source，而是使用：
config vpn ipsec phase1-interface\n edit \"example\"\n set interface \"port2\"\n set local-gw 202.103.2.1\n set remote-gw 101.202.1.1\n next\nend在 Hub-Spoke 场景中，每个 Spoke 往往通过多个链路（如 ISP1、ISP2、MPLS）与 Hub 建立多条 VPN 隧道。当 BGP 建立后，Hub 在向 Spoke 反射其他 Spoke 的路由时，可能只向 Spoke 通告单一路径，使得 Spoke 无法基于多路径进行更优的路径选择或负载分担。
\n通过启用 BGP Additional Path 机制：additional-path-select 与 adv-additional-path，Hub 可以向 Spoke 通告多个等价路径，使 Spoke 能够正确学习多条路由，提升 Hub-Spoke 的性能与稳定性。
![\"image-20251202105703542\"](\"https://support.fortinet.com.cn/assets/image-20251202105703542-JWHu_ETg.png\")
\n基础网络与安全策略配置（略）。
\n配置 Hub 的 3 条 IPSec VPN dynamic 模式隧道，用于 Spoke 拨入。开启 exchange-interface-ip 用于交换 Tunnel 接口 IP，关闭 add-route 功能。
config vpn ipsec phase1-interface\n edit \"vpn_line1\"\n set type dynamic\n set interface \"port2\"\n set ike-version 2\n set peertype any\n set net-device disable\n set exchange-interface-ip enable\n set proposal aes128-sha256\n set add-route disable\n set dpd on-idle\n set psksecret xxxxxx\n set dpd-retryinterval 60\n next\n edit \"vpn_line2\"\n set type dynamic\n set interface \"port3\"\n set ike-version 2\n set peertype any\n set net-device disable\n set exchange-interface-ip enable\n set proposal aes128-sha256\n set add-route disable\n set dpd on-idle\n set psksecret xxxxxx\n set dpd-retryinterval 60\n next\n edit \"vpn_line3\"\n set type dynamic\n set interface \"port4\"\n set ike-version 2\n set peertype any\n set net-device disable\n set exchange-interface-ip enable\n set proposal aes128-sha256\n set add-route disable\n set dpd on-idle\n set psksecret xxxxxx\n set dpd-retryinterval 60\n next\nend\n\nconfig vpn ipsec phase2-interface\n edit \"vpn_line1\"\n set phase1name \"vpn_line1\"\n set proposal aes128-sha1\n set keepalive enable\n next\n edit \"vpn_line2\"\n set phase1name \"vpn_line2\"\n set proposal aes128-sha1\n set keepalive enable\n next\n edit \"vpn_line3\"\n set phase1name \"vpn_line3\"\n set proposal aes128-sha1\n set keepalive enable\n next\nend根据拓扑中的信息配置 Hub 的 IPSec 隧道 IP 地址，用于与 Spoke 建立 IBGP 邻居。
\nconfig system interface\n edit \"vpn_line1\"\n set ip 169.254.10.254 255.255.255.255\n set allowaccess ping\n set remote-ip 169.254.10.254 255.255.255.0\n next\n edit \"vpn_line2\"\n set ip 169.254.20.254 255.255.255.255\n set allowaccess ping\n set remote-ip 169.254.20.254 255.255.255.0\n next\n edit \"vpn_line3\"\n set ip 169.254.30.254 255.255.255.255\n set allowaccess ping\n set remote-ip 169.254.30.254 255.255.255.0\n next\nend在 Hub 的 3 个 IPSec 隧道上分别配置 BGP 邻居组和邻居范围，用于接受 Spoke 的 iBGP 邻居建立，在每个邻居组中开启 RR 功能，并发布自身内网路由。
\n提示
\n由于需要多线路负载 iBGP 路由，需要开启 ibgp-multipath，原理请参考路由 → 动态路由 → BGP → BGP 多路径章节。
config router bgp\n set as 10086\n set router-id 169.254.10.254\n set ibgp-multipath enable\n config neighbor-group\n edit \"vpn_line1\"\n set soft-reconfiguration enable\n set interface \"vpn_line1\"\n set remote-as 10086\n set route-reflector-client enable\n next\n edit \"vpn_line2\"\n set soft-reconfiguration enable\n set interface \"vpn_line2\"\n set remote-as 10086\n set route-reflector-client enable\n next\n edit \"vpn_line3\"\n set soft-reconfiguration enable\n set interface \"vpn_line3\"\n set remote-as 10086\n set route-reflector-client enable\n next\n end\n config neighbor-range\n edit 1\n set prefix 169.254.10.0 255.255.255.0\n set neighbor-group \"vpn_line1\"\n next\n edit 2\n set prefix 169.254.20.0 255.255.255.0\n set neighbor-group \"vpn_line2\"\n next\n edit 3\n set prefix 169.254.30.0 255.255.255.0\n set neighbor-group \"vpn_line3\"\n next\n end\n config network\n edit 1\n set prefix 10.10.254.0 255.255.255.0\n next\n end\nend配置 Spoke1 的 3 条 IPSec VPN 隧道，分别对接 Hub 的 3 条 IPSec 隧道。开启 exchange-interface-ip 用于交换 Tunnel 接口 IP。
config vpn ipsec phase1-interface\n edit \"vpn_line1\"\n set interface \"port2\"\n set ike-version 2\n set peertype any\n set exchange-interface-ip enable\n set proposal aes128-sha256\n set dpd on-idle\n set remote-gw 202.103.7.2\n set psksecret xxxxxx\n next\n edit \"vpn_line2\"\n set interface \"port3\"\n set ike-version 2\n set peertype any\n set exchange-interface-ip enable\n set proposal aes128-sha256\n set dpd on-idle\n set remote-gw 202.103.8.2\n set psksecret xxxxxx\n next\n edit \"vpn_line3\"\n set interface \"port4\"\n set ike-version 2\n set peertype any\n set exchange-interface-ip enable\n set proposal aes128-sha256\n set dpd on-idle\n set remote-gw 202.103.9.2\n set psksecret xxxxxx\n next\nend\n\nconfig vpn ipsec phase2-interface\n edit \"vpn_line1\"\n set phase1name \"vpn_line1\"\n set proposal aes128-sha1\n set auto-negotiate enable\n next\n edit \"vpn_line2\"\n set phase1name \"vpn_line2\"\n set proposal aes128-sha1\n set auto-negotiate enable\n next\n edit \"vpn_line3\"\n set phase1name \"vpn_line3\"\n set proposal aes128-sha1\n set auto-negotiate enable\n next\nend根据拓扑中的信息配置 Spoke1 的 IPSec 隧道 IP 地址，用于与 Hub 建立 iBGP 邻居。
\nconfig system interface\n edit \"vpn_line1\"\n set ip 169.254.10.1 255.255.255.255\n set allowaccess ping\n set remote-ip 169.254.10.254 255.255.255.0\n next\n edit \"vpn_line2\"\n set ip 169.254.20.1 255.255.255.255\n set allowaccess ping\n set remote-ip 169.254.20.254 255.255.255.0\n next \n edit \"vpn_line3\"\n set ip 169.254.30.1 255.255.255.255\n set allowaccess ping\n set remote-ip 169.254.30.254 255.255.255.0\n next\nend在 Spoke1 的 3 个 IPSec 隧道上分别配置 BGP 邻居，用于向 Hub 发起 iBGP 邻居建立，发布自身内网路由。
\n提示
\n由于需要多线路负载 iBGP 路由，需要开启 ibgp-multipath，原理请参考路由 → 动态路由 → BGP → BGP 多路径章节。
config router bgp\n set as 10086\n set router-id 169.254.10.1\n set ibgp-multipath enable\n config neighbor\n edit \"169.254.10.254\"\n set soft-reconfiguration enable\n set interface \"vpn_line1\"\n set remote-as 10086\n set update-source \"vpn_line1\"\n next\n edit \"169.254.20.254\"\n set soft-reconfiguration enable\n set interface \"vpn_line2\"\n set remote-as 10086\n set update-source \"vpn_line2\"\n next\n edit \"169.254.30.254\"\n set soft-reconfiguration enable\n set interface \"vpn_line3\"\n set remote-as 10086\n set update-source \"vpn_line3\"\n next\n end\n config network\n edit 1\n set prefix 10.10.1.0 255.255.255.0\n next\n end\nend配置 Spoke2 的 3 条 IPSec VPN 隧道，分别对接 Hub 的 3 条 IPSec 隧道。开启 exchange-interface-ip 用于交换 Tunnel 接口 IP。
config vpn ipsec phase1-interface\n edit \"vpn_line1\"\n set interface \"port2\"\n set ike-version 2\n set peertype any\n set exchange-interface-ip enable\n set proposal aes128-sha256\n set dpd on-idle\n set remote-gw 202.103.7.2\n set psksecret xxxxxx\n next\n edit \"vpn_line2\"\n set interface \"port3\"\n set ike-version 2\n set peertype any\n set exchange-interface-ip enable\n set proposal aes128-sha256\n set dpd on-idle\n set remote-gw 202.103.8.2\n set psksecret xxxxxx\n next\n edit \"vpn_line3\"\n set interface \"port4\"\n set ike-version 2\n set peertype any\n set exchange-interface-ip enable\n set proposal aes128-sha256\n set dpd on-idle\n set remote-gw 202.103.9.2\n set psksecret xxxxxx\n next\nend\n\nconfig vpn ipsec phase2-interface\n edit \"vpn_line1\"\n set phase1name \"vpn_line1\"\n set proposal aes128-sha1\n set auto-negotiate enable\n next\n edit \"vpn_line2\"\n set phase1name \"vpn_line2\"\n set proposal aes128-sha1\n set auto-negotiate enable\n next\n edit \"vpn_line3\"\n set phase1name \"vpn_line3\"\n set proposal aes128-sha1\n set auto-negotiate enable\n next\nend根据拓扑中的信息配置 Spoke2 的 IPSec 隧道 IP 地址，用于与 Hub 建立 iBGP 邻居。
\nconfig system interface\n edit \"vpn_line1\"\n set ip 169.254.10.2 255.255.255.255\n set allowaccess ping\n set remote-ip 169.254.10.254 255.255.255.0\n next\n edit \"vpn_line2\"\n set ip 169.254.20.2 255.255.255.255\n set allowaccess ping\n set remote-ip 169.254.20.254 255.255.255.0\n next \n edit \"vpn_line3\"\n set ip 169.254.30.2 255.255.255.255\n set allowaccess ping\n set remote-ip 169.254.30.254 255.255.255.0\n next\nend在 Spoke2 的 3 个 IPSec 隧道上分别配置 BGP 邻居，用于向 Hub 发起 iBGP 邻居建立，发布自身内网路由。
\n提示
\n由于需要多线路负载 iBGP 路由，需要开启 ibgp-multipath，原理请参考路由 → 动态路由 → BGP → BGP 多路径章节。
config router bgp\n set as 10086\n set router-id 169.254.10.2\n set ibgp-multipath enable\n config neighbor\n edit \"169.254.10.254\"\n set soft-reconfiguration enable\n set interface \"vpn_line1\"\n set remote-as 10086\n set update-source \"vpn_line1\"\n next\n edit \"169.254.20.254\"\n set soft-reconfiguration enable\n set interface \"vpn_line2\"\n set remote-as 10086\n set update-source \"vpn_line2\"\n next\n edit \"169.254.30.254\"\n set soft-reconfiguration enable\n set interface \"vpn_line3\"\n set remote-as 10086\n set update-source \"vpn_line3\"\n next\n end\n config network\n edit 1\n set prefix 10.10.2.0 255.255.255.0\n next\n end\nend在 Hub 查看路由表中的 BGP 路由，可以看到从 Spoke1 和 Spoke2 的 3 条路径分别学到了 Spoke1 和 Spoke2 发布的 BGP 路由，符合预期。
\nHub # get router info routing-table all\nRouting table for VRF=0\nB 10.10.1.0/24 [200/0] via 169.254.10.1 (recursive is directly connected, vpn_line1), 10:31:39, [1/0]\n [200/0] via 169.254.20.1 (recursive is directly connected, vpn_line2), 10:31:39, [1/0]\n [200/0] via 169.254.30.1 (recursive is directly connected, vpn_line3), 10:31:39, [1/0]\nB 10.10.2.0/24 [200/0] via 169.254.10.2 (recursive is directly connected, vpn_line1), 10:31:19, [1/0]\n [200/0] via 169.254.20.2 (recursive is directly connected, vpn_line2), 10:31:19, [1/0]\n [200/0] via 169.254.30.2 (recursive is directly connected, vpn_line3), 10:31:19, [1/0]\n......\nS 169.254.10.0/24 [5/0] via vpn_line1 tunnel 202.103.7.2, [1/0]\nC 169.254.10.1/32 is directly connected, vpn_line1\n......在 Spoke1 的路由表中查看 BGP 路由，从 Hub 学到的 3 条 Hub 内网路由可以在 3 条 IPSec 隧道负载分担，符合预期。但经过 Hub 反射的 Spoke2 的 3 条 BGP 路由（10.10.2.0/24，[3]），只有一个下一跳（169.254.10.2，Spoke2 的 vpn_line1）。（Spoke2 也是一样的情况）
Spoke1 # get router info routing-table bgp\nRouting table for VRF=0\nB 10.10.254.0/24 [200/0] via 169.254.10.254 (recursive via vpn_line1 tunnel 202.103.7.2), 00:00:17, [1/0]\n [200/0] via 169.254.20.254 (recursive via vpn_line2 tunnel 202.103.8.2), 00:00:17, [1/0]\n [200/0] via 169.254.30.254 (recursive via vpn_line3 tunnel 202.103.9.2), 00:00:17, [1/0]\nB 10.10.2.0/24 [200/0] via 169.254.10.2 [3] (recursive via vpn_line1 tunnel 202.103.7.2), 00:00:43, [1/0]从 Spoke1 的 BGP 路由状态中可以看到，虽然 Spoke1 确实从 3 个隧道分别收到了 Hub 反射的 Spoke2 路由，但下一跳均是 Spoke2 vpn_line1 的 IP，导致路由在递归时全部递归到 vpn_line1。
\nSpoke1 # get router info bgp network 10.10.2.0\nVRF 0 BGP routing table entry for 10.10.2.0/24\nPaths: (3 available, best #1, table Default-IP-Routing-Table)\n Not advertised to any peer\n Original VRF 0\n Local\n 169.254.10.2 from 169.254.10.254 (169.254.10.2)\n Origin IGP distance 200 metric 0, localpref 100, valid, internal, best\n Originator: 169.254.10.2, Cluster list: 169.254.10.254 \n Last update: Wed Dec 3 16:23:58 2025\n\n Original VRF 0\n Local\n 169.254.10.2 from 169.254.30.254 (169.254.10.2)\n Origin IGP distance 200 metric 0, localpref 100, valid, internal\n Originator: 169.254.10.2, Cluster list: 169.254.10.254 \n Last update: Wed Dec 3 16:23:57 2025\n\n Original VRF 0\n Local\n 169.254.10.2 from 169.254.20.254 (169.254.10.2)\n Origin IGP distance 200 metric 0, localpref 100, valid, internal\n Originator: 169.254.10.2, Cluster list: 169.254.10.254 \n Last update: Wed Dec 3 16:23:57 2025在 Hub 查看 3 条隧道上向 Spoke1 的 3 个邻居反射的 Spoke2 的 BGP 路由（10.10.2.0/24），下一跳均为 169.254.10.2（Spoke2 的 vpn_line1）。
\nHub # get router info bgp neighbors 169.254.10.1 advertised-routes | grep 10.10.2.0/24\n*>i10.10.2.0/24 169.254.10.2 100 0 0 i <-/->\n\nHub # get router info bgp neighbors 169.254.20.1 advertised-routes | grep 10.10.2.0/24\n*>i10.10.2.0/24 169.254.10.2 100 0 0 i <-/->\n\nHub # get router info bgp neighbors 169.254.30.1 advertised-routes | grep 10.10.2.0/24\n*>i10.10.2.0/24 169.254.10.2 100 0 0 i <-/->这是由于当前配置下，虽然 Hub 的路由表里可看到 3 条来自 Spoke2 的 BGP 路由，但 Hub 仅向 Spoke1 通告最佳路径（Best Path，169.254.10.2），导致 Spoke1 学习到 3 条 Spoke2 的同一个下一跳路由。
\nHub # get router info bgp network 10.10.2.0\nVRF 0 BGP routing table entry for 10.10.2.0/24\nPaths: (3 available, best #3, table Default-IP-Routing-Table)\n Advertised to peer-groups:\n Hub_line1 Hub_line2 Hub_line3\n Original VRF 0\n Local, (Received from a RR-client)\n 169.254.30.2 from 169.254.30.2 (169.254.10.2)\n Origin IGP distance 200 metric 0, localpref 100, valid, internal\n Last update: Tue Dec 2 14:56:56 2025\n\n Original VRF 0\n Local, (Received from a RR-client)\n 169.254.20.2 from 169.254.20.2 (169.254.10.2)\n Origin IGP distance 200 metric 0, localpref 100, valid, internal\n Last update: Tue Dec 2 14:56:40 2025\n\n Original VRF 0\n Local, (Received from a RR-client)\n 169.254.10.2 from 169.254.10.2 (169.254.10.2)\n Origin IGP distance 200 metric 0, localpref 100, valid, internal, best\n Last update: Tue Dec 2 14:56:35 2025在以上配置的基础上，启用 BGP Additional Path 机制，使 Hub 和 Spoke 均能通告与学习多个 BGP 等价路径。
\n在 Hub 上配置 BGP additional-path。
\n提示
\n需要在 config router bgp 中开启 ibgp-multipath 才能配置 additional-path。
config router bgp\n set additional-path enable\n set additional-path-select 3\n config neighbor-group\n edit \"Hub_line1\"\n set additional-path send\n set adv-additional-path 3\n next\n edit \"Hub_line2\"\n set additional-path send\n set adv-additional-path 3\n next\n edit \"Hub_line3\"\n set additional-path send\n set adv-additional-path 3\n next\n end\nendset additional-path enable：BGP additional-path 路由学习的总开关，在 Hub（RR）上需要开启。需要先开启 ibgp-multipath 才能配置。set additional-path-select 3：默认值为 2。此配置下，相同 BGP 属性但下一跳不一样的路由，最多选取（select）3 条作为 best 路由。set additional-path send：在 BGP 协商时，向 BGP 邻居通告在发送方向启用 IPv4 additional-path capability，也就是自身具有发送 additional-path 路由的能力，也可以使用 both。set adv-additional-path 3：默认值为 2。向每个邻居通告的 IPv4 路由最大路径数量。仅在 set additional-path send 或 set additional-path both 时可以配置。在 Spoke1 和 Spoke2 上配置 BGP additional-path，仅需要在邻居配置中配置 set additional-path receive（此环境不需要在 Spoke 的 config router bgp 下配置 set additional-path enable）。
config router bgp\n config neighbor\n edit \"169.254.10.254\"\n set additional-path receive\n next\n edit \"169.254.20.254\"\n set additional-path receive\n next\n edit \"169.254.30.254\"\n set additional-path receive\n next\n end\nendset additional-path receive：在 BGP 协商时，向 BGP 邻居通告在接收方向启用 IPv4 additional-path capability，也就是自身具有接收 additional-path 路由的能力，也可以使用 both。
重要
\nadditional-path send/receive/both 为 BGP 邻居协商时交换的 BGP capability，需要 BGP 邻居两端同时开启才能生效，可以根据实际需求进行模式选择：
send，另一端配置为 receive/both。both，另一端配置为 send/receive。both。等待 Hub 的 BGP 路由重新收敛，查看 Hub 从 3 条 IPSec 隧道上学到的 Spoke2 的 3 条 BGP 路由，均变为具有 best 标记的路由（Hub 上配置的 set additional-path-select 3 作用效果）。
Hub # get router info bgp network 10.10.2.0\nVRF 0 BGP routing table entry for 10.10.2.0/24\nPaths: (3 available, best #3, table Default-IP-Routing-Table)\n Advertised to peer-groups:\n Hub_line1 Hub_line2 Hub_line3\n Original VRF 0\n Local, (Received from a RR-client)\n 169.254.30.2 from 169.254.30.2 (169.254.10.2)\n Origin IGP distance 200 metric 0, localpref 100, valid, internal, best\n Advertised Path ID: 3\n Last update: Tue Dec 2 16:21:36 2025\n\n Original VRF 0\n Local, (Received from a RR-client)\n 169.254.20.2 from 169.254.20.2 (169.254.10.2)\n Origin IGP distance 200 metric 0, localpref 100, valid, internal, best\n Advertised Path ID: 2\n Last update: Tue Dec 2 16:21:26 2025\n\n Original VRF 0\n Local, (Received from a RR-client)\n 169.254.10.2 from 169.254.10.2 (169.254.10.2)\n Origin IGP distance 200 metric 0, localpref 100, valid, internal, best\n Advertised Path ID: 1\n Last update: Tue Dec 2 16:21:09 2025在 Hub 查看 3 条隧道上向 Spoke1 的 3 个邻居反射的 Spoke2 的 BGP 路由（10.10.2.0/24），可以看到 Hub 在每个邻居上都反射了 3 个路径的路由（Hub 上配置的 set adv-additional-path 3 作用效果）。
Hub # get router info bgp neighbors 169.254.10.1 advertised-routes | grep 10.10.2.0\n*>i10.10.2.0/24 169.254.30.2 100 0 0 i <-/3>\n*>i10.10.2.0/24 169.254.20.2 100 0 0 i <-/2>\n*>i10.10.2.0/24 169.254.10.2 100 0 0 i <-/1>\n\nHub # get router info bgp neighbors 169.254.20.1 advertised-routes | grep 10.10.2.0\n*>i10.10.2.0/24 169.254.30.2 100 0 0 i <-/3>\n*>i10.10.2.0/24 169.254.20.2 100 0 0 i <-/2>\n*>i10.10.2.0/24 169.254.10.2 100 0 0 i <-/1>\n\nHub # get router info bgp neighbors 169.254.30.1 advertised-routes | grep 10.10.2.0\n*>i10.10.2.0/24 169.254.30.2 100 0 0 i <-/3>\n*>i10.10.2.0/24 169.254.20.2 100 0 0 i <-/2>\n*>i10.10.2.0/24 169.254.10.2 100 0 0 i <-/1>在 Spoke1 查看路由表中的 BGP 路由，可以看到 Spoke1 在每个隧道上都学到了 3 条路径的 Spoke2 发布的 BGP 路由（Spoke 上配置的 set additional-path receive 作用效果）。
Spoke1 # get router info routing-table bgp\nRouting table for VRF=0\nB 10.10.2.0/24 [200/0] via 169.254.10.2 [3] (recursive via vpn_line1 tunnel 202.103.7.2), 00:17:34, [1/0]\n [200/0] via 169.254.20.2 [3] (recursive via vpn_line2 tunnel 202.103.8.2), 00:17:34, [1/0]\n [200/0] via 169.254.30.2 [3] (recursive via vpn_line3 tunnel 202.103.9.2), 00:17:34, [1/0]\n......在 Hub 上查看邻居 Spoke1 的状态，可以看到邻居 Spoke1 具有“Additional Path”的接收能力，而 Hub 自身具有“Additional Path”的发送能力。
\nHub # get router info bgp neighbors 169.254.10.1 | grep Additional -A 2\n Additional Path:\n Send-mode: advertised\n Receive-mode: received提示
\n如果 Hub 配置为 set additional-path both，则会显示：
Hub # get router info bgp neighbors 169.254.10.1 | grep Additional -A 2\n Additional Path:\n Send-mode: advertised\n Receive-mode: advertised, received在 Spoke1 上查看邻居 Spoke1 的状态，可以看到邻居 Hub 具有“Additional Path”的发送能力，而 Spoke1 自身具有“Additional Path”的接收能力。
\nSpoke1 # get router info bgp neighbors 169.254.10.254 | grep Additional -A 2\n Additional Path:\n Send-mode: received\n Receive-mode: advertisedBGP 只有在这些关键属性完全一致时，才会把路径视为 ECMP 等价路径：
\n配置 additional-path 后，如 Spoke 仍只学到一个路径，可启用 BGP 调试。若看到 Duplicate route ignored，则说明多路径属性不一致，需要检查以上字段是否完全相同。
diagnose ip router bgp all enable\ndiagnose ip router bgp level info\ndiagnose debug enableHub 与 Spoke1 BGP 邻居协商 additional-path capability 的报文，如下所示，Hub 向 Spoke1 宣告的 IPv4 additional-path capability 为 send（bgp_additional_path.pcap）。
![\"image-20251202173027782\"](\"https://support.fortinet.com.cn/assets/image-20251202173027782-C7CdZ5MF.png\")
config router bgp：
additional-path enable：开启全局 additional-path 能力，使 RR 本地 BGP 路由表可以同时保留多条等价路径，通常在 RR（Hub）上开启。需要先开启 ibgp-multipath 才能配置。additional-path-select <n>：默认值为 2。依赖 additional-path enable，指定最多从多少条等价路径中“选取（select）”并标记为 best，用于控制本地路由表中可保留的等价路径数量，通常在 RR 上配置为与实际链路数一致。config neighbor-group/neighbor：
set additional-path send/receive/both：定义在 BGP capability 协商中，本端是否向对端通告具备发送或接收 additional-path 能力。只有双方能力匹配（send ↔ receive/both）后，多路径通告才会生效。典型用法是：RR 使用 send，RR Client 使用 receive。adv-additional-path <n>：默认值为 2（范围 2~255）。决定 RR 本端针对单个邻居最多反射多少条路径。通常与 additional-path-select 数量相同，使 RR 可以将多条等价路径同时反射给下游 Spoke。配置请参考链接：FortiGate 与 strongSwan 建立 IPSec VPN。
\n在 FortiGate 上可以使用如下 CLI 命令 diagnose test update info contract 综合查看以下信息：
在排查授权问题、FortiGuard 更新异常、固件升级受限（FMWR） 等场景时，这个命令非常关键。
\n在 FortiGate CLI 中执行 diagnose test update info contract，如下所示，输出结果主要分为几个部分：Logs、System contracts、Account contracts、Object versions、Counters、Support contract 等：
FortiGate # diagnose test update info contract\n\nLogs: idx=17\nThu Nov 27 20:43:37 2025 do_virus_report[886]-Starting VIRUS REPORT\nThu Nov 27 20:43:37 2025 do_virus_report[903]-No virus stats to report\nThu Nov 27 21:43:37 2025 do_virus_report[886]-Starting VIRUS REPORT\nThu Nov 27 21:43:37 2025 do_virus_report[903]-No virus stats to report\nThu Nov 27 22:43:39 2025 do_virus_report[886]-Starting VIRUS REPORT\nThu Nov 27 22:43:39 2025 do_virus_report[903]-No virus stats to report\nThu Nov 27 23:43:42 2025 do_virus_report[886]-Starting VIRUS REPORT\nThu Nov 27 23:43:42 2025 do_virus_report[903]-No virus stats to report\nFri Nov 28 00:43:46 2025 do_virus_report[886]-Starting VIRUS REPORT\nFri Nov 28 00:43:46 2025 do_virus_report[903]-No virus stats to report\nFri Nov 28 01:43:48 2025 do_virus_report[886]-Starting VIRUS REPORT\nFri Nov 28 01:43:48 2025 do_virus_report[903]-No virus stats to report\nFri Nov 28 02:43:51 2025 do_virus_report[886]-Starting VIRUS REPORT\nFri Nov 28 02:43:51 2025 do_virus_report[903]-No virus stats to report\nFri Nov 28 03:30:00 2025 do_update[790]-Starting scheduled UPDATE (not final retry)\nFri Nov 28 03:30:01 2025 doInstallUpdatePackage[1026]-Full obj found for FCNI000\nFri Nov 28 03:30:01 2025 doInstallUpdatePackage[1036]-Updating obj FCNI\nFri Nov 28 03:30:01 2025 doInstallUpdatePackage[1026]-Full obj found for FSCI000\nFri Nov 28 03:30:01 2025 doInstallUpdatePackage[1036]-Updating obj FSCI\nFri Nov 28 03:30:01 2025 doInstallUpdatePackage[1088]-Delta obj found for UWDB001\nFri Nov 28 03:30:01 2025 doInstallUpdatePackage[1099]-Updating obj UWDB\nFri Nov 28 03:30:02 2025 doInstallUpdatePackage[1026]-Full obj found for ALCI000\nFri Nov 28 03:30:02 2025 doInstallUpdatePackage[1036]-Updating obj ALCI\nFri Nov 28 03:30:02 2025 upd_install_pkg[1370]-DBDB001 is up-to-date\nFri Nov 28 03:30:02 2025 upd_install_pkg[1370]-CIDB001 is up-to-date\nFri Nov 28 03:30:02 2025 upd_install_pkg[1370]-IPGO000 is up-to-date\nFri Nov 28 03:30:02 2025 upd_install_pkg[1396]-FCNI000(fcni) installed successfully\nFri Nov 28 03:30:02 2025 upd_install_pkg[1396]-FSCI000(contract) installed successfully\nFri Nov 28 03:30:02 2025 upd_install_pkg[1370]-FFDB019 is up-to-date\nFri Nov 28 03:30:02 2025 upd_install_pkg[1396]-UWDB001(uwdb) installed successfully\nFri Nov 28 03:30:02 2025 upd_install_pkg[1370]-CRDB000 is up-to-date\nFri Nov 28 03:30:02 2025 upd_install_pkg[1370]-SFAS000 is up-to-date\nFri Nov 28 03:30:02 2025 upd_install_pkg[1370]-MCDB001 is up-to-date\nFri Nov 28 03:30:02 2025 upd_install_pkg[1396]-ALCI000(alci) installed successfully\nFri Nov 28 03:30:02 2025 upd_install_pkg[1370]-MADB002 is up-to-date\nFri Nov 28 03:30:02 2025 upd_install_pkg[1370]-AFDB001 is up-to-date\nFri Nov 28 03:30:02 2025 upd_install_pkg[1370]-ICDB001 is up-to-date\nFri Nov 28 03:30:02 2025 upd_install_pkg[1376]-DLDB003 is unauthorized\nFri Nov 28 03:30:02 2025 upd_install_pkg[1370]-CASB002 is up-to-date\nFri Nov 28 03:30:02 2025 upd_install_pkg[1376]-SLAD000 is unauthorized\nFri Nov 28 03:30:02 2025 upd_install_pkg[1376]-FTLM000 is unauthorized\nFri Nov 28 03:30:02 2025 do_update[828]-UPDATE successful\nFri Nov 28 03:43:54 2025 do_virus_report[886]-Starting VIRUS REPORT\nFri Nov 28 03:43:54 2025 do_virus_report[903]-No virus stats to report\nFri Nov 28 04:43:56 2025 do_virus_report[886]-Starting VIRUS REPORT\nFri Nov 28 04:43:56 2025 do_virus_report[903]-No virus stats to report\nFri Nov 28 05:44:00 2025 do_virus_report[886]-Starting VIRUS REPORT\nFri Nov 28 05:44:00 2025 do_virus_report[903]-No virus stats to report\nFri Nov 28 06:44:04 2025 do_virus_report[886]-Starting VIRUS REPORT\nFri Nov 28 06:44:04 2025 do_virus_report[903]-No virus stats to report\nFri Nov 28 07:44:08 2025 do_virus_report[886]-Starting VIRUS REPORT\nFri Nov 28 07:44:08 2025 do_virus_report[903]-No virus stats to report\nFri Nov 28 08:44:12 2025 do_virus_report[886]-Starting VIRUS REPORT\nFri Nov 28 08:44:12 2025 do_virus_report[903]-No virus stats to report\nFri Nov 28 09:44:13 2025 do_virus_report[886]-Starting VIRUS REPORT\nFri Nov 28 09:44:13 2025 do_virus_report[903]-No virus stats to report\nFri Nov 28 10:44:17 2025 do_virus_report[886]-Starting VIRUS REPORT\nFri Nov 28 10:44:17 2025 do_virus_report[903]-No virus stats to report\nFri Nov 28 11:44:19 2025 do_virus_report[886]-Starting VIRUS REPORT\nFri Nov 28 11:44:19 2025 do_virus_report[903]-No virus stats to report\nFri Nov 28 12:44:23 2025 do_virus_report[886]-Starting VIRUS REPORT\nFri Nov 28 12:44:23 2025 do_virus_report[903]-No virus stats to report\nFri Nov 28 13:44:24 2025 do_virus_report[886]-Starting VIRUS REPORT\nFri Nov 28 13:44:24 2025 do_virus_report[903]-No virus stats to report\n\nSystem contracts:\n HDWR,Tue Sep 29 2026\n ENHN,Tue Sep 29 2026\n COMP,Tue Sep 29 2026\n FMWR,Tue Sep 29 2026\n FURL,Tue Sep 29 2026\n SPAM,Tue Sep 29 2026\n SBCL,Tue Sep 29 2026\n ZHVO,Tue Sep 29 2026\n SPRT,Tue Sep 29 2026\n FRVS,Tue Sep 29 2026\n SBCL,Tue Sep 29 2026\n\n APDB,Tue Sep 29 2026\n AVDB,Tue Sep 29 2026\n ETDB,Tue Sep 29 2026\n EXDB,Tue Sep 29 2026\n MMDB,Tue Sep 29 2026\n FLDB,Tue Sep 29 2026\n DBDB,Tue Sep 29 2026\n NIDB,Tue Sep 29 2026\n NIET,Tue Sep 29 2026\n NIML,Tue Sep 29 2026\n AIAP,Tue Sep 29 2026\n MUDB,Tue Sep 29 2026\n CIDB,Tue Sep 29 2026\n AVEN,Tue Sep 29 2026\n NIEN,Tue Sep 29 2026\n UWDB,Tue Sep 29 2026\n SFAS,Tue Sep 29 2026\n MCDB,Tue Sep 29 2026\n MADB,Tue Sep 29 2026\n AFDB,Tue Sep 29 2026\n AVAI,Tue Sep 29 2026\n ICDB,Tue Sep 29 2026\n FMWP,Tue Sep 29 2026\n CASB,Tue Sep 29 2026\n WIPS,Tue Sep 29 2026\n WIET,Tue Sep 29 2026\n WAPP,Tue Sep 29 2026\n\nAccount contracts:\n FSAP,Wed Jun 19 2024\n FCEP,Wed Jun 19 2024\n\nObject versions: 07006000APDB00105-00006.00741-1512010230\n 07006000AVDB00201-00093.05319-2508121826\n 07006000AVDB00701-00093.05319-2508121825\n 07006000MMDB00101-00093.05319-2508121828\n 07006000FLDB00201-00093.05319-2508121831\n 07006000DBDB00100-00003.01484-2511252306\n 07006000NIDS02405-00006.00741-1512010230\n 07006000NIDS02605-00034.00091-2509260021\n 07006000NIDS02805-02507.00207-2507300100\n 07006000ISDB00105-00006.00741-1512010230\n 07006000AIAP00105-00000.00000-0101010000\n 07006000MUDB00103-00005.00548-2509270124\n 07006000CIDB00100-00001.00196-2511131927\n 07006000IPGO00000033082511250826\n 00000000FCNI00000-00000.00000-0000000000\n 00000000FDNI00000-00000.00000-0000000000\n 01000000FSCI00100-00000.00000-0000000000\n 07006000AVEN03100-00007.00046-2508150115\n 07006000FLEN07800-00007.01154-2508132228\n 07006000FFDB02108-00000.00000-0101010000\n 07006000FFDB01908-00007.04379-2511241746\n 07006000FFDB02008-00000.00000-0101010000\n 07006000FFSR00008-00007.04379-2511241746\n 07006000UWDB00100-00004.00786-2511270202\n 07006000CRDB00000-00001.00060-2511041500\n 07006000SFAS00000-00006.00025-2510281431\n 07006000MCDB00100-00001.00564-2511211500\n 01000000ALCI00000-00000.00000-0000000000\n 07006000MADB00200-00001.00300-2511252330\n 07006000AFDB00100-00001.00015-2403110831\n 07006000AVDB01901-00004.02803-2508121745\n 07006000IOTD00105-00000.00000-2208171731\n 07006000OTDB00105-00000.00000-0101010000\n 07006000ICDB00101-00001.00051-2506161505\n 07006000DLDB00300-00000.00000-0101010000\n 07006000OTDB00205-00000.00000-0101010000\n 07006000FMWP00105-00000.00000-0101010000\n 07006000CASB00202-00001.00009-2507301758\n 07006000NIDS05405-00006.00741-1512010230\n 07006000NIDS05605-00034.00091-2509260021\n 07006000APDB05105-00006.00741-1512010230\n 07006000SLAD00000-00001.00000-2305061526\n 07006000TZDB00100-00001.00900-0000000000\n 07006000FTLM00000-00001.00005-2508221041\n\nSetup done once: yes\nNext setup retry: N/A\n\nNext sched update: Sat Nov 29 03:30:00 2025\nNext update retry: none\n\nNext virus report: Fri Nov 28 14:44:24 2025\n\nNext fdnsetup: N/A\nLast successful fdnsetup: N/A\n\nNext signature check: Fri Nov 28 14:45:56 2025\nLast successful signature check: Fri Nov 28 13:45:56 2025\n\nNext FFDB ondemand update: N/A\nLast successful FFDB ondemand update: N/A\n\nRing counters: pass=000000 fail=000000\nSetup counters: pass=000001 fail=000000\nUpdate counters: pass=000001 retry_fail=000000 final_fail=000000\nVirus report counters: pass=000000 fail=000000 empty_stats=000021\nUpdate Notification: total 0, last received at N/A\n\n\nSupport contract: pending_registration=255 got_contract_info=1\n account_id=[xxxx@fortinet.com] company=[Fortinet] industry=[Technology]\n\n\nSerialNumber=FG101FTK2000XXXX|Contract=AVDB-1-06-20260930:0:1:1:0*AVEN-1-06-20260930:0:1:1:0*NIDS-1-06-20260930:0:1:1:0*SPRT-1-20-20260930:0:1:1:0*FMWR-1-06-20260930:0:1:1:0*FRVS-1-06-20260930:0:1:1:0*FURL-1-06-20260930:0:1:1:0*HDWR-1-05-20260930:0:1:1:0*SBCL-1-06-20260930:0:1:1:0*SPAM-1-06-20260930:0:1:1:0*ZHVO-1-06-20260930:0:1:1:0*ENHN-1-20-20260930:0:1:1:0*COMP-1-20-20260930:0:1:1:0|AccountID=xxxx@fortinet.com|Industry=Technology|Company=Fortinet|UserID=1134101|\nSupportLevelDesc=05:Advanced HW*06:Web/Online*20:Premium\nSupportTypeDesc=AVDB:Advanced Malware Protection*COMP:*ENHN:*FMWR:Firmware & General Updates*FRVS:Vulnerability Management*FURL:FortiGuard URL, DNS & Video Filtering Service*HDWR:Hardware*NIDS:FortiGuard IPS Service*SBCL:FortiSandbox Cloud*SPAM:AntiSpam*SPRT:*ZHVO:FortiGuard Virus Outbreak Protection Service\n\n\n\nUserID=1134101|SerialNumber=FCLDPS0000019513|Contract=FCEP-6-20240620-1-1\nUserID=1134101|SerialNumber=FSACLPTM23000149|Contract=FSAP-6-20240620-1-1\n\n\n\nUser ID: 1134101Logs: idx=17\nFri Nov 28 03:30:00 2025 do_update-Starting scheduled UPDATE (not final retry)\nFri Nov 28 03:30:02 2025 do_update-UPDATE successful\n\nFri Nov 28 11:44:19 2025 do_virus_report-Starting VIRUS REPORT\nFri Nov 28 11:44:19 2025 do_virus_report-No virus stats to report如果怀疑 FortiGate 没有正常从 FortiGuard 拉取更新，先看这里是否有连续失败的记录。
\ndo_update：\nStarting scheduled UPDATE 且紧跟 UPDATE successful 说明本次自动更新成功。do_virus_report：\nNo virus stats to report 意味着目前没有病毒事件需要上报。这里列出的是绑定在当前 FortiGate 序列号上的系统级合同，后面是到期时间。重点关注：
\nSystem contracts:\n HDWR,Tue Sep 29 2026\n ENHN,Tue Sep 29 2026\n COMP,Tue Sep 29 2026\n FMWR,Tue Sep 29 2026\n FURL,Tue Sep 29 2026\n SPAM,Tue Sep 29 2026\n SBCL,Tue Sep 29 2026\n ZHVO,Tue Sep 29 2026\n SPRT,Tue Sep 29 2026\n FRVS,Tue Sep 29 2026\n ...\n\n AVDB,Tue Sep 29 2026\n NIDB,Tue Sep 29 2026\n CASB,Tue Sep 29 2026\n WIPS,Tue Sep 29 2026\n WAPP,Tue Sep 29 2026FMWR：Firmware & General Updates（固件与通用更新授权）。AVDB/AVEN/MMDB/FLDB：防病毒引擎与特征库。NIDB/NIET/NIML/NIEN：IPS/入侵检测相关数据库。FURL：URL/DNS/Video Filtering 服务。FRVS：漏洞管理/IPS 相关服务。SPAM：AntiSpam。ZHVO：Virus Outbreak Protection。CASB/WIPS/WAPP：云应用安全、无线 IPS、Web 应用保护。HDWR/SPRT/COMP/ENHN：硬件保修与 FortiCare 支持等级。这里是绑定在 FortiCloud 账户上的合同，如下所示。这些授权可能被多台设备共用，如果使用了 FortiSandbox Cloud、FortiClient EMS Cloud 等云服务，这里的有效期就非常关键。
\nAccount contracts:\n FSAP,Wed Jun 19 2024\n FCEP,Wed Jun 19 2024FSAP：FortiSandbox Cloud/高级沙箱服务等账户级订阅。FCEP：FortiClient EMS/Endpoint Protection 相关订阅。每一条对应一个 FortiGuard 对象（AV 库、IPS 库、URL 分类库等）的版本号。
\nObject versions:\n 07006000AVDB00201-00093.05319-2508121826\n 07006000MMDB00101-00093.05319-2508121828\n 07006000NIDS02805-02507.00207-2507300100\n 07006000UWDB00100-00004.00786-2511270202\n ...确认当前是否已经更新到较新的数据库版本。
\n与 Fortinet 发布说明或 TAC 建议的版本号进行对比。
\n排查个别对象版本异常、停留在很早的版本不动等情况。
\n日常运维通常不用逐项分析，只需确认这些对象不是全部 00000.00000-0000000000 这类明显“未更新”状态即可。需要精确问题排查时，可配合 diagnose autoupdate versions 进行对照：
FortiGate # diagnose autoupdate versions\n\nAV Engine提示
\n通过 GUI 单次最多可以下载最近的 400,000 条日志条目。如日志条目数超过 400,000，需导出全部日志，请使用 FTP/TFTP/USB 方式导出。
\n在“日志 & 报表”中进入想要下载的日志类型页面，这里以转发流量为例。
\n过滤想要下载的特定日志（这里以目标 IP 223.5.5.5 为例），在右上角选择存储日志的位置（这里以硬盘为例），选择日志时间范围（这里以最近 7 天为例）。
\n![\"image-20251127165718497\"](\"https://support.fortinet.com.cn/assets/image-20251127165718497-QRbSHw3O.png\")
\n点击左上角的下载按钮，即可下载明文日志文件，后缀为 .log，如 disk-traffic-forward-2025-11-27_17-00.log。
通过如下 CLI 命令可以以 LZ4 压缩格式导出当前硬盘/内存的全部/单类日志到 FTP/TFTP/USB。
\nexecute backup [disk | memory] alllogs [ftp | tftp | usb] <ftp server>[:ftp port] <user> <passwd> uncompressed\nexecute backup [disk | memory] log [ftp | tftp | usb] <ftp server>[:ftp port] <user> <passwd> <log_type> uncompressedalllogs：备份所有以下类型日志。
log：可在 <log_type> 字段定义要备份的一种日志类型，包含 traffic、event、virus、webfilter、ips、emailfilter、anomaly、voip、dlp、app-ctrl、waf、dns、ssh、ssl、file-filter、icap、sctp-filter、forti-switch、virtual-patch、casb、debug。
uncompressed：表示以未压缩方式备份日志。
提示
\n如果日志备份命令不携带 uncompressed 参数，或使用 compressed，则会以 LZ4 压缩格式备份日志，需要使用解压工具进行解压才能看到原始日志（详见 https://community.fortinet.com/t5/FortiAnalyzer/Technical-Tip-Transferring-historical-logs-from-a-FortiGate-hard/ta-p/193850 ）。
在导出日志前，使用如下 CLI 可以查看预估导出特定分类日志的大小（包含压缩大小和未压缩大小），并根据日志文件大小规划 FTP/TFTP 服务器或 USB 的剩余空间。如下所示，查看系统日志（1: event）的日志文件大小（未压缩大小为 4 MB，压缩大小为 400 KB）。
execute log list <category>\nAvailable categories:\n 0: traffic\n 1: event\n 2: utm-virus\n 3: utm-webfilter\n 4: utm-ips\n 5: utm-emailfilter\n 7: utm-anomaly\n 8: utm-voip\n 9: utm-dlp\n10: utm-app-ctrl\n12: utm-waf\n15: utm-dns\n16: utm-ssh\n17: utm-ssl\n19: utm-file-filter\n20: utm-icap\n22: utm-sctp-filter\n23: forti-switch\n24: utm-virtual-patch\n25: utm-casb\n26: debug\n\nFortiGate # execute log list 1\nelog.65447 106538 18156 Thu Nov 20 00:00:00 2025\nelog.65446 108001 18558 Fri Nov 21 00:00:00 2025\nelog.65445 105451 17813 Sat Nov 22 00:00:00 2025\nelog.65444 113756 20098 Sun Nov 23 00:00:00 2025\nelog.65443 106007 17791 Mon Nov 24 00:00:00 2025\nelog.65442 105157 17607 Tue Nov 25 00:00:00 2025\nelog.65441 162282 32429 Wed Nov 26 00:00:00 2025\nelog.65440 132276 25886 Thu Nov 27 00:00:00 2025\nelog.65439 3286179 241574 Thu Nov 27 18:03:17 2025\n9 elog file(s) found.\nUncompressed Total: 4 MB Compressed Total: 400 KB这里以备份硬盘中的系统日志到 FTP 服务器为例，FortiGate 会将所有系统日志分段（如需）发送到 FTP 服务器（未压缩日志体积大于压缩文件，系统会给出提示信息，按 y 继续导出）。
提示
\n并非所有型号包含硬盘，可以通过 execute disk list 命令查看。如设备不包含硬盘，可以选择 memory 或 usb 方式。
FortiGate # execute backup disk log ftp 192.168.90.253 user1 password event uncompressed\n\nWARNING: The size of uncompressed log files can be very large.\nPlease check uncompressed log size for each log category\nbefore uploading to FTP server by command \"execute log list [logcategory].\nAnd uploading uncompressed files to FTP server could take hours.\nDo you want to continue? (y/n)y\n\nUpload uncompressed log to FTP server!\n\nConnect to ftp server 192.168.90.253 ...\nPlease wait...\nuploading 24255B/241001B(10%)\nuploading 50519B/241001B(20%)\nuploading 75236B/241001B(31%)\nuploading 102429B/241001B(42%)\nuploading 125595B/241001B(52%)\nuploading 150578B/241001B(62%)\nuploading 174505B/241001B(72%)\nuploading 197624B/241001B(82%)\nuploading 224653B/241001B(93%)\nuploading 241001B/241001B(100%)\nuploaded file size:241001B\nSent log file elog.65439 to ftp server as disk-event_FG101FTK20007637_root_20251127_175317_65439 OK.\n\nConnect to ftp server 192.168.90.253 ...\nPlease wait...\nuploading 4081B/25886B(15%)\nuploading 6522B/25886B(25%)\nuploading 12769B/25886B(49%)\nuploading 15420B/25886B(59%)\nuploading 20131B/25886B(77%)\nuploading 23349B/25886B(90%)\nuploading 25886B/25886B(100%)\nuploaded file size:25886B\nSent log file elog.65440 to ftp server as disk-event_FG101FTK20007637_root_20251127_000000_65440 OK.\n......导出的日志可以直接使用文本工具打开查看。
\n本文章介绍 FortiGate 在启用 VDOM 时如何读取基于 VDOM 的 SNMP 参数。
\nFortiGate 的 SNMP 查询分为两类：
\n在启用 VDOM 后，每个 VDOM 都会分配一个独立的 snmp-index。所有基于 VDOM 的 SNMP OID 都需要携带该 index 才能正确读取数据。
\n以会话相关监控为例，使用 Fortinet MIB 中的相关 OID 获取全局及 VDOM 级别的会话数及会话建立速率。
\n无需考虑 snmp-index，所有 Session 相关 OID 都直接从系统读取：
\nfgSysSesCount）：.1.3.6.1.4.1.12356.101.4.1.8。fgSysSesRate1/10/30/60）：.1.3.6.1.4.1.12356.101.4.1.11~14。启用 VDOM 后，每个 VDOM 拥有独立资源，因此 SNMP 的会话读取需使用 VDOM 专用 OID。
\n根据 VDOM 的 snmp-index：
\nfgVdEntSesCount）： .1.3.6.1.4.1.12356.101.3.2.1.1.7.x。fgVdEntSesRate）：.1.3.6.1.4.1.12356.101.3.2.1.1.8.x。如何找到 VDOM 的 snmp-index？
\n方法 1：CLI 查看。
\nconfig global\nshow system vdom-property\nedit \"root\"\n set snmp-index 1 <代理 ARP（Proxy ARP）允许 FortiGate 代表其他 IP 地址响应 ARP 查询。当对端主机误认为某目标 IP 与其位于同一网段，但实际该 IP 位于 FortiGate 后方或其他网络时，代理 ARP 可确保 ARP 能正常解析，使流量正确转发至 FortiGate。
\n典型应用场景包括：
\n代理 ARP 在接口级别配置，可指定单个或多个 IP（连续地址段），用于在二层广播域内回应 ARP 请求。
\nconfig system proxy-arp\n edit <id>\n set interface {string} <| 更新记录 | 更新日期 | 更新作者 |\n|
\nFortiGate 设备会与多个云端服务进行通信，例如 FortiGuard 下载与查询服务、FortiCloud 及其他云相关服务，用于下载服务包、执行实时安全过滤、日志上报及同步任务。
\n在某些安全或隔离网络（Air-Gap）环境下，管理员可能希望完全关闭这类外部通信。
\n进入“系统管理 → FortiGuard → FortiGuard 设置”查看云通信统计计数。
\n![\"image-20251112165153920\"](\"https://support.fortinet.com.cn/assets/image-20251112165153920-D5lag7t2.png\")
FortiGate # diagnose sys service-communication\nFortiCare:\nThe last 1 hour(in bytes): 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 24 hours(in bytes): 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 7 days(in bytes): 0 0 0 0 0 0 0\nFortiGuard Download:\nThe last 1 hour(in bytes): 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 24 hours(in bytes): 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 7 days(in bytes): 0 0 0 0 0 0 0\nFortiGuard Query:\nThe last 1 hour(in bytes): 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 24 hours(in bytes): 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 7 days(in bytes): 0 0 0 0 0 0 0\nFortiCloud Log:\nThe last 1 hour(in bytes): 35541766 1103963 0 0 0 0 0 0 0 0 0 0\nThe last 24 hours(in bytes): 36645729 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 7 days(in bytes): 36645729 0 0 0 0 0 0\nFortiSandbox Cloud:\nThe last 1 hour(in bytes): 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 24 hours(in bytes): 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 7 days(in bytes): 0 0 0 0 0 0 0\nFortiGuard.com:\nThe last 1 hour(in bytes): 4851531 101213748 0 0 0 0 0 0 0 0 0 0\nThe last 24 hours(in bytes): 106065279 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 7 days(in bytes): 106065279 0 0 0 0 0 0\nSDNS Service:\nThe last 1 hour(in bytes): 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 24 hours(in bytes): 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 7 days(in bytes): 0 0 0 0 0 0 0\nFortiToken Registration:\nThe last 1 hour(in bytes): 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 24 hours(in bytes): 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 7 days(in bytes): 0 0 0 0 0 0 0\nSMS Service:\nThe last 1 hour(in bytes): 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 24 hours(in bytes): 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0\nThe last 7 days(in bytes): 0 0 0 0 0 0 0执行以下 CLI 命令即可关闭所有云通信，当 cloud-communication 被禁用后，系统会自动关闭 forticldd 和 updated 守护进程，并同步禁用多项与云服务相关的功能。
提示
\n禁用云通信后，FortiGuard 实时威胁防护（例如 Web 过滤、反垃圾邮件、病毒库更新等）将不可用。
\nFortiAnalyzer、FortiCloud 日志上传及 NTP 同步也会被同时关闭。
\n此操作建议仅用于离线或高安全隔离环境。
\nconfig system global\n set cloud-communication disable\nend执行以上 CLI 命令禁用云通信后，以下配置会被系统自动更改：
\nconfig system global\n set fds-statistics disable\nend\n\nconfig system central-management\n set type none\n set include-default-servers disable\nend\n\nconfig system fortiguard\n set antispam-force-off enable\n set outbreak-prevention-force-off enable\n set webfilter-force-off enable\nend\n\nconfig system email-server\n set server ''\nend\n\nconfig system ntp\n set ntpsync disable\nend\n\nconfig system autoupdate schedule\n set status disable\nend\n\nconfig system autoupdate tunneling\n set status disable\nend\n\nconfig log fortiguard setting\n set status disable\nend若需恢复云通信，请首先重新启用全局选项：
\nconfig system global\n set cloud-communication enable\nend根据需要逐项恢复相应功能。
\n重新启用 FortiCloud 自动登录：
\nconfig system fortiguard\n set auto-join-forticloud enable\nend重新启用邮件服务器：
\nconfig system email-server\n set server \"fortinet-notifications.com\"\n set port 465\n set security smtps\nend重新启用 NTP 同步：
\nconfig system ntp\n set ntpsync enable\nend提示
\nauto-negotiate 和 keepalive。keepalive 配置是用于保持 NAT-T 环境下的 UDP 4500 会话，不属于本文讨论范围。提示
\n若 IPSec 一阶段开启了 passive-mode，二阶段的 auto-negotiate 与 keepalive 将无法开启。
auto-negotiate 与 keepalive 是 IPsec 二阶段配置中用于隧道保持在线的机制。二者独立工作，又可搭配使用。
auto-negotiate：二阶段 SA 不存在时主动发起协商，默认关闭（dynamic 模式的隧道无法配置），无需流量触发。
config vpn ipsec phase2-interface\n edit <phase2_interface_name>\n set phase1name <phase1_interface_name>\n set auto-negotiate [enable | disable]\n next\nendkeepalive：在已经有二阶段 SA 存在的情况下，决定二阶段 SA 达到 soft-timeout 时是否立即 rekey，防止隧道在 hard-timeout 到期时再进行 rekey，导致隧道中断。
相关信息
\nsoft-timeout = hard-timeout – rekey-margin
\nsoft-timeout、hard-timeout、rekey-margin 的相关信息请参考 VPN → IPSec VPN → IPSec 重协商机制章节。
\n重要
\nauto-negotiate 开启后，keepalive 会被强制开启，且 keepalive 相关命令消失。只有在 auto-negotiate 关闭时才可以控制 keepalive 的开关。
config vpn ipsec phase2-interface\n edit <phase2_interface_name>\n set phase1name <phase1_interface_name>\n set auto-negotiate disable\n set keepalive [enable | disable]\n next\nend不能将 auto-negotiate 和 keepalive 混淆，这是两个完全独立的功能。简单来说：
auto-negotiate：没有二阶段隧道时 → 主动协商建立，无需流量触发。keepalive：有二阶段隧道的前提下 → 在 soft-timeout 到期时发起 rekey 防止隧道中断。| 功能 | 生效条件 | 开启行为 | 关闭行为 |\n|
\n", "date_published": "2025-11-06T07:21:12.000Z", "date_modified": "2026-03-30T06:40:55.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "IPSec VPN原理" ] }, { "title": "VIP 匹配顺序", "url": "https://support.fortinet.com.cn/policy_objects/policy_faq/vip_match_order", "id": "https://support.fortinet.com.cn/policy_objects/policy_faq/vip_match_order", "summary": "VIP 匹配顺序 网络拓扑 image-20251105151710039 初始状态下，FortiGate 的公网接口 port1 上配置了 1 个 VIP：从公网 IP 202.103.1.1 全映射到 Server1 10.10.1.100（VIP1）。 创建 1 条防火墙策略（VIP1_Policy）引用 VIP1，公网客户端通过 VIP1_Po...", "content_html": "\n![\"image-20251105151710039\"](\"https://support.fortinet.com.cn/assets/image-20251105151710039-BzgPO-F6.png\")
\n初始状态下，FortiGate 的公网接口 port1 上配置了 1 个 VIP：从公网 IP 202.103.1.1 全映射到 Server1 10.10.1.100（VIP1）。
\nconfig firewall vip\n edit \"VIP1\"\n set extip 202.103.1.1\n set mappedip \"10.10.1.100\"\n set extintf \"port1\"\n next\nend创建 1 条防火墙策略（VIP1_Policy）引用 VIP1，公网客户端通过 VIP1_Policy 策略访问 Server1。
\nconfig firewall policy\n edit 1\n set name \"VIP1_Policy\"\n set srcintf \"port1\"\n set dstintf \"port2\"\n set action accept\n set srcaddr \"all\"\n set dstaddr \"VIP1\"\n set schedule \"always\"\n set service \"ALL\"\n next\nend由于业务需求，需要增加与 VIP1 相同的公网 IP 202.103.1.1 的 80 端口映射到 Server2 10.10.1.100 的 80 端口（VIP2），创建后 VIP2 位于 VIP1 后边。
\nconfig firewall vip\n edit \"VIP1\"\n set extip 202.103.1.1\n set mappedip \"10.10.1.100\"\n set extintf \"port1\"\n next\n edit \"VIP2\"\n set extip 202.103.1.1\n set mappedip \"10.10.1.200\"\n set extintf \"port1\"\n set portforward enable\n set extport 80\n set mappedport 80\n next\nend创建防火墙策略 VIP2_Policy，引用 VIP2，将 VIP2_Policy 移动到 VIP1_Policy 之前。当前的需求是，按照防火墙策略的顺序：
\nconfig firewall policy\n edit 2\n set name \"VIP2_Policy\"\n set srcintf \"port1\"\n set dstintf \"port2\"\n set action accept\n set srcaddr \"all\"\n set dstaddr \"VIP2\"\n set schedule \"always\"\n set service \"ALL\"\n next\n edit 1\n set name \"VIP1_Policy\"\n set srcintf \"port1\"\n set dstintf \"port2\"\n set action accept\n set srcaddr \"all\"\n set dstaddr \"VIP1\"\n set schedule \"always\"\n set service \"ALL\"\n next\nend但实际情况是：公网客户端（202.103.1.200）访问 VIP（202.103.1.1）的 80 端口（或其他任意端口），流量经过 DNAT 后，目标地址仍然被转换为 VIP1 对应的 Server1 IP 10.10.1.100，会话匹配策略为 VIP1_Policy（ID 1）。这不符合预期。
\nsession info: proto=6 proto_state=01 duration=10 expire=3589 timeout=3600 refresh_dir=both flags=00000000 socktype=0 sockport=0 av_idx=0 use=3\n......\norgin->sink: org pre->post, reply pre->post dev=3->4/4->3 gwy=0.0.0.0/0.0.0.0\nhook=pre dir=org act=dnat 202.103.1.200:50883->202.103.1.1:80(10.10.1.100:80) <iprope 表是 FortiGate 内部用于表示管理员所配置防火墙策略的结构化数据形式。\niprope 将所有策略条目按功能划分为多个策略组，每组条目从上到下依次匹配，一旦命中即执行相应动作，不再继续检查同组的后续条目。
\n匹配依据包括：
\n可能的动作包括：
\n提示
\niprope 表中不存在 GUI 防火墙策略的“隐式拒绝”，所有条目均为显式策略。
\n用于查看不同策略组的命令：
\ndiagnose firewall iprope list 100002 # 静态 SNAT 策略\ndiagnose firewall iprope list 100000 # VIP（DNAT）策略\ndiagnose firewall iprope list 100004 # 普通 Forward 策略\ndiagnose firewall iprope list 10000e # 系统生成的 Local-In 策略\ndiagnose firewall iprope list 100015 # Traffic Shaping 策略\ndiagnose firewall iprope list 100017 # 简单 ZTNA 策略FortiGate # diagnose firewall iprope list 00100004\n\nPolicy Group 00100004\n\npolicy index=1 uuid_idx=14 action=accept\nflag (8050108): redir nat master use_src pol_stats\nflag2 (4000): resolve_sso\nflag3 (20): schedule(always)\ncos_fwd=255 cos_rev=255\ngroup=00100004 av=00004e20 au=00000000 split=00000000\nhost=0 chk_client_info=0x0 app_list=0 ips_view=0\nmisc=0 dd_type=0 dd_mode=0\n\nzone(1): 3 -> zone(1): 6\nsource(1): 10.0.1.0-10.0.1.255, uuid_idx=12,\ndest(1): 192.0.2.0-192.0.2.255, uuid_idx=13,\nservice(1):\n[0:0x0:0/(0,65535)->(0,65535)]\nhelper:auto字段含义说明：
\n| 字段 | 含义 |\n|
\n", "date_published": "2025-11-04T09:40:49.000Z", "date_modified": "2026-03-30T06:40:55.000Z", "authors": [ { "name": "Fortinet TAC Team", "url": "https://support.fortinet.com.cn" } ], "tags": [ "策略与对象" ] } ] }