FortiGate 面板 LED 可以用于现场快速判断设备上电、启动、HA、PoE、无线、DSL、BLE、端口连接以及硬件告警状态。

不同型号的 LED 位置、名称和支持的状态可能不同，排查时应以对应机型的 QuickStart Guide 和硬件指南为准。下图是部分 FortiGate 型号的 LED 面板位置示例。

设备 LED

端口 LED

告警等级

Minor alarm

Minor alarm 也称为 IPMI non-critical（NC）告警，表示温度或电源电平超出正常工作范围，但尚未被视为故障。例如出现轻微温度告警时，系统可能会提高风扇转速。Non-critical 阈值包括：

• UNC：Upper Non-Critical，例如温度偏高或功率偏高。
• LNC：Lower Non-Critical，例如功率偏低。

Major alarm

Major alarm 也称为 IPMI critical 或 critical recoverable（CR）告警，表示系统无法自行纠正告警原因，需要人工介入。例如散热系统无法提供足够冷却能力，或环境条件正在接近允许工作范围的边界。Critical 阈值包括：

• UC：Upper Critical，例如高温或高功率。
• LC：Lower Critical，例如低功率。

Critical alarm

Critical alarm 也称为 IPMI non-recoverable（NR）告警，表示系统检测到温度或电源电平已经超出允许工作范围，并可能造成硬件损坏。

排查建议

• 看到 Alarm、Status 或 Power LED 变为琥珀色、红色或闪烁时，优先检查供电、风扇、温度、机房环境和设备事件日志。
• HA LED 显示琥珀色或红色时，应同步检查 HA 集群状态，确认是否发生预期外的主备切换。
• 端口 Speed LED 熄灭不一定代表物理链路断开，也可能表示端口以最低速率连接，需要结合端口 Link/Act LED 和接口状态判断。
• 具体型号的风扇、电源模块和端口速率颜色可能存在差异，现场排查时以设备面板丝印和对应硬件文档为准。

默认情况下，FortiGate 的 VDOM 名称通常限制为 11 个字符。在多 VDOM 场景中，如果需要使用更长的业务名称，可以在全局配置中启用长 VDOM 名称功能。

该功能适用于 FortiOS 7.0、7.2、7.4 等版本，原文也覆盖 FortiOS 6.4。部分型号不支持该命令，如果命令不可用，需要以设备实际支持情况为准。

配置方法

在全局模式下启用 long-vdom-name。

config global
    config system global
        set long-vdom-name enable
    end
end

创建长名称 VDOM

启用长 VDOM 名称后，创建超过 11 个字符的 VDOM 时，系统会提示自动为该 VDOM 生成一个短名称。

config vdom
    edit testlongvdomname

The auto-generated short name 'testlong001' will be used.
current vf=testlongvdomname:4

end

短名称用于满足内部兼容和引用需求，长名称仍可作为业务上更容易识别的 VDOM 名称使用。

配置显示方式

启用长 VDOM 名称后，在配置中可能看到 VDOM 以带 / 的形式显示，例如：

config vdom
edit testlongvdomname/testlong001
next
end

这是启用长 VDOM 名称后的正常显示方式，/前为长名称，/后为自动生成的短名称，不代表 VDOM 配置异常。

注意事项

• 该功能需要在 config global 下的 config system global 中配置。
• 并非所有 FortiGate 型号都支持 set long-vdom-name，如果命令不存在或无法生效，需要确认设备型号和 FortiOS 版本是否支持。
• 在 FortiGate VM 上，如果自动补全中看不到该命令，可以尝试手动输入完整命令。

本地用户密码策略用于约束 FortiGate 防火墙本地用户的密码复杂度、密码有效期和密码复用行为。相比早期版本只控制过期时间的本地用户密码策略，FortiOS 7.4.1 及后续版本可以进一步限制最小长度、大小写字母、数字、特殊字符、与旧密码不同的字符数量，以及是否允许重复使用旧密码。

该功能适用于使用 config user local 创建的本地防火墙用户，例如防火墙策略认证、Captive Portal、SSL VPN 或其他引用本地用户/用户组的认证场景。它不等同于系统管理员密码策略，管理员密码策略仍然通过 config system password-policy 配置。

配置命令

创建密码策略

config user password-policy
    edit <policy_name>
        set minimum-length <8-128>
        set min-lower-case-letter <0-128>
        set min-upper-case-letter <0-128>
        set min-non-alphanumeric <0-128>
        set min-number <0-128>
        set min-change-characters <0-128>
        set expire-status {enable | disable}
        set expire-days <0-999>
        set warn-days <0-30>
        set expired-password-renewal {enable | disable}
        set reuse-password {enable | disable}
        set reuse-password-limit <0-20>
    next
end

绑定到本地用户

密码策略创建后，需要在本地用户上通过 passwd-policy 关联，才会对该用户生效。

config user local
    edit <user_name>
        set type password
        set passwd-policy <policy_name>
    next
end

参数说明

• minimum-length：密码最小长度，范围为 8~128，默认值为 8。
• min-lower-case-letter：密码中至少包含的小写字母数量，范围为 0~128，默认值为 0。
• min-upper-case-letter：密码中至少包含的大写字母数量，范围为 0~128，默认值为 0。
• min-non-alphanumeric：密码中至少包含的非字母数字字符数量，范围为 0~128，默认值为 0。
• min-number：密码中至少包含的数字数量，范围为 0~128，默认值为 0。
• min-change-characters：新密码中至少包含多少个旧密码中不存在的字符，范围为 0~128，默认值为 0。如果同时配置了 reuse-password，该参数优先级更高。
• expire-status：是否启用密码过期机制，默认值为 disable。
• expire-days：密码有效期，单位为天，范围为 0~999，默认值为 180。只有启用 expire-status 后，才会按该参数强制用户修改密码。
• warn-days：密码到期前多少天提示用户修改密码，范围为 0~30，默认值为 15。
• expired-password-renewal：是否允许用户在密码已经过期后自行更新密码，默认值为 disable。
• reuse-password：是否允许重复使用旧密码，默认值为 enable。
• reuse-password-limit：允许重复使用旧密码的次数，范围为 0~20，默认值为 0。设置为 0 时表示不限制重复使用次数。

配置示例

以下示例创建一个名为 strict-local-user 的本地用户密码策略，并将其绑定到用户 pwd-test1。

config user password-policy
    edit "strict-local-user"
        set minimum-length 8
        set min-lower-case-letter 1
        set min-upper-case-letter 1
        set min-non-alphanumeric 3
        set min-number 3
        set min-change-characters 2
        set expire-status enable
        set expire-days 90
        set warn-days 7
        set expired-password-renewal enable
        set reuse-password disable
    next
end

config user local
    edit "bing"
        set type password
        set passwd-policy "strict-local-user"
    next
end

当新密码满足策略时，可以正常提交：

config user local
    edit "bing"
        set passwd CCbcset123!!!
    next
end

当新密码不满足策略时，CLI 会拒绝提交并提示缺少的复杂度条件。例如以下密码只有 2 个数字，不满足 min-number 3：

config user local
    edit "bing"
        set passwd CCbXsetp23!!!
New password must conform to the password policy enforced on this user:
...
Command fail. Return code -49

实际提示中会列出未满足的条件，例如最小长度、大小写字母数量、特殊字符数量、数字数量、与旧密码不同的字符数量，以及是否重复使用了旧密码。

升级注意事项

从 FortiOS 7.4.0 升级到 7.4.1 或后续版本后，原有 config user password-policy 中的 expire-days、warn-days、expired-password-renewal 配置会保留，但需要通过 CLI 启用 expire-status，密码过期机制才会真正生效。

可以在升级后检查已有策略：

config user password-policy
    edit <policy_name>
        get
    next
end

如果看到 expire-status: disable，即使 expire-days 已经配置，FortiGate 也不会按照该天数强制本地用户修改密码。需要显式启用：

config user password-policy
    edit <policy_name>
        set expire-status enable
    next
end

GUI 行为

管理员修改本地用户密码

在 GUI 中进入“用户与认证 → 设置用户”，编辑本地用户并点击“修改密码”时，如果新密码不符合该用户绑定的密码策略，界面会显示对应的复杂度告警，并指出需要修正的条件。例如密码中特殊字符数量不足时，会提示需要满足 min-non-alphanumeric 的要求。

防火墙认证用户修改过期密码

用户通过防火墙策略认证/Captive Portal 认证时，如果本地用户密码已经过期，FortiGate 会提示用户修改密码。新密码提交时同样会按该用户绑定的密码策略检查。

SSL VPN 用户修改过期密码

用户通过 SSL VPN 门户登录时，如果本地用户密码已经过期，也会进入密码更新流程。新密码满足策略后，用户才能继续登录 SSL VPN 门户。

常用参数：

• adaptive-ping：快速发出 Ping Request 报文（收到上一个 Echo Reply 后立即发送下一个 Echo Request，也就是快速 Ping）。
• repeat-count：指定 Ping 测试次数，避免默认次数不足或持续输出过多。
• source：指定源 IP，可用于模拟从不同网段发起的 FortiGate 本地流量。
• interface：指定出接口，可用于验证指定链路或路由方向。
• use-sdwan：指定是否让 Ping 流量参与 SD-WAN 规则和策略路由匹配。

IPv4 Ping 选项

查看 IPv4 Ping 可用选项：

execute ping-options ?

常见选项如下：

execute ping-options adaptive-ping <enable|disable>
execute ping-options data-size <bytes>
execute ping-options df-bit {yes | no}
execute ping-options pattern <2-byte_hex>
execute ping-options interface <auto | interface_name>
execute ping-options interval <seconds>
execute ping-options repeat-count <repeats>
execute ping-options source {auto | <source-intf_ip>}
execute ping-options timeout <seconds>
execute ping-options tos <service_type>
execute ping-options ttl <hops>
execute ping-options validate-reply {yes | no}
execute ping-options view-settings
execute ping-options use-sdwan <yes | no>
execute ping-options reset

参数说明

• adaptive-ping <enable|disable>：开启后，收到上一个 Echo Reply 后立即发送下一个 Echo Request，也就是快速 Ping；默认为关闭状态，每秒 Ping 1 个包。
• data-size <bytes>：指定 ICMP 数据报文大小，单位为字节。
• df-bit {yes | no}：设置 DF bit。yes 表示禁止分片，no 表示允许分片，常用于 MTU/分片问题排查。
• pattern <2-byte_hex>：使用指定 2 字节十六进制内容填充 ICMP 末尾的数据缓冲区，可配合 data-size 测试不同报文大小对链路的影响。
• interface <auto | interface_name>：指定 Echo Request 的出接口。auto 表示 FortiGate 根据目的地址查路由自动选择出接口。
• interval <seconds>：指定每次 Ping 之间的间隔。
• repeat-count <repeats>：指定 Ping 的发送次数。
• source {auto | <source IP>}：指定 Ping 的源 IP。auto 表示 FortiGate 根据实际出接口自动选择源地址。指定不同网段的源 IP 可用于模拟不同源地址发起的连接。
• timeout <seconds>：指定等待 Echo Reply 的超时时间，单位为秒。
• tos <service_type>：设置 IP 头部 ToS 字段，表达期望的服务质量。
• ttl <hops>：指定 TTL，达到该跳数后报文会被丢弃或返回。
• validate-reply {yes | no}：设置是否校验返回报文中的数据内容。
• view-settings：查看当前 Ping 选项配置。
• use-sdwan <yes | no>：默认值为 no。设置为 yes 后，Ping 流量会检查 SD-WAN 规则和策略路由，通常配合 source 使用，以验证特定源地址是否命中特定 SD-WAN 规则。
• reset：将 Ping 选项恢复为默认值。

tos 可用值如下：

| tos 值 | ToS 字段 | 说明 | |

不同 VPN 技术有各自的优势和常见使用场景。SSL VPN 通常用于单个用户和终端的安全远程接入。它一般易于部署，并且连接基于 TLS 的 TCP/443，运营商较少限制这类连接。SSL VPN 同时提供 Tunnel 模式和 Web 模式，可以分别用于安装客户端和无客户端访问的部署方式。

IPSec VPN 通常用于站点到站点连接，尤其适合通过 ADVPN 搭建多站点 Hub-Spoke 架构。ADVPN 可以在站点之间自动建立隧道，结合动态路由，并通过 FortiManager 等编排工具批量下发配置，从而简化复杂的多站点部署。

在较小规模的远程用户接入场景中，IPSec VPN 同样可以通过拨号 VPN 支持远程用户。与 SSL VPN 类似，当 IPSec 使用 IKEv2 时，可以配置 TCP 作为传输方式，通过 TCP/443 进行 IKE 协商，并将 ESP 报文封装在 TCP 头部中。协议、加密算法和认证方式都可以按企业需求定制。

作为 VPN 的替代方案，尤其是替代基于 Web 的 SSL VPN 访问，也可以使用 ZTNA。ZTNA 在终端和 Zero Trust Application Gateway 之间通过 TLS 建立连接。零信任方式默认不信任设备，直到设备通过必要的安全状态检查，例如客户端证书校验和漏洞扫描。

本文讨论 SSL VPN 和 IPSec VPN 的差异，以及从 SSL VPN 迁移到 IPSec VPN 时需要考虑的事项，并给出常见 SSL VPN 使用场景迁移到 IPSec VPN 的步骤。

两者的主要差异：

• IKEv1 使用 XAuth（Extended Authentication）进行用户认证。
• IKEv2 使用 EAP（Extensible Authentication Protocol）进行用户认证。
• IKEv2 支持使用 TCP 作为传输方式，使 IPSec 可以通过 TCP 协商，并将 ESP 报文封装在 TCP 中，例如使用 TCP/443。

IKEv1 使用广泛、行为固定，通常更容易排障。IKEv2 提供更多灵活性，但也会带来更多配置组合，排障时变量更多。

• 加密客户端与 VPN 网关之间传输的数据，确保传输中的数据未被篡改。
• 提供客户端和服务器之间相互验证身份的认证机制。
• 使用 Diffie-Hellman 等安全密钥交换方式，在客户端与服务器之间建立共享密钥。
• 使用 X.509 证书认证服务器，必要时也可以认证客户端。

IPSec 通过 ISAKMP（Internet Security Association and Key Exchange Management Protocol）框架提供安全能力，主要包括：

• 使用 IKE（Internet Key Exchange）协议协商安全通信参数，生成和管理密钥，并在通信双方之间建立 SA（Security Association）。
• 使用 IKE 协商出的对称加密算法加密数据包，例如 AES、3DES、CHACHA。密钥由 IKE 生成。
• 使用 HMAC（Hash-based Message Authentication Code）验证消息完整性，确保传输中的数据未被篡改。
• 在 SA 中指定密钥生命周期和其他安全参数。

与 SSL VPN 由客户端和服务器协商 Cipher Suite 不同，IPSec 可以更灵活地选择加密算法、哈希算法以及密钥生命周期。

Fortinet IPSec VPN 支持以下隧道和封装方式：

• 原生 ESP。
• UDP 封装。
• 使用 Fortinet 私有扩展的 TCP 封装。
• 使用 RFC 8229 的 TCP 封装。

ESP 不封装时直接使用 IP Protocol 50。ESP 封装在 UDP 中时，通常使用 UDP/500 和 UDP/4500 进行 NAT Traversal，这也是拨号 IPSec VPN 的常见方式。

在远程接入 VPN 中，FortiGate 作为拨号 IPSec Server，FortiClient 作为终端客户端时，建议使用 IKEv2，并将 IPSec 隧道配置为使用 TCP 传输，通常使用 TCP/443。这样可以让 ESP 报文封装在 TCP 中，穿越直接 IPSec 流量被运营商网络阻断或被 CGNAT 影响的环境。

该能力要求：

• IPSec 使用 IKEv2。
• FortiClient 版本为 7.4.1 或更高。
• FortiClient 侧也配置为使用 TCP 传输。

站点到站点 IPSec 中，UDP 端口可以自定义。IKEv2 站点到站点 IPSec 中，TCP 端口也可以自定义，并支持将 ESP 报文封装到 TCP 头部中。

FortiClient EMS 通过 Remote Access Endpoint Profile 配置 VPN，可以配置 SSL VPN、IPSec VPN 或两者同时存在。示例使用 FortiClient EMS 和 FortiClient 7.4.4。

开始时，在 FortiClient EMS 的 Endpoint Profiles 下添加 Remote Access Profile。添加新的 Remote Access Profile 后，在同一个 Remote Access Profile 中的 VPN Tunnels 下添加隧道。

通过 FortiClient EMS Remote Access Endpoint Profile 迁移

1. 在 FortiClient EMS 中，进入 Endpoint Profiles。
2. 选择需要的 Profile 类型，点击 Add。
3. 点击 Add Profile，创建 Windows、macOS 和 Linux Profile。
4. 在 VPN Tunnel 下，点击 Add Tunnel → Manual，并完成 Basic Settings。

基础设置

| 配置项 | 说明 | |

| SSL VPN 认证方式 | 要求 | |

拨号 IPSec VPN 支持多种地址分配方式。建议使用 Mode Config，让 FortiGate 作为 IP 地址分配服务器。Mode Config 提供多种分配方式，例如手工地址范围，也可以与 DHCP Server 集成。

迁移到 IPSec VPN 后，客户端地址分配方式更灵活。建议使用 Mode Config，并根据实际需求选择对应的地址分配方式。

FortiClient 可以单独安装在终端上，也可以通过 FortiClient EMS 管理。建议使用 FortiClient EMS，因为它可以集中管理客户端配置，并支持更大规模部署。

基本 FortiClient SSL VPN 配置包括：

| 配置项 | 说明 | |

Split tunneling 允许管理员指定哪些目的流量经过 VPN。

SSL VPN 和 IPSec VPN 都支持 Split tunneling。SSL VPN 默认根据防火墙策略中的目的地址启用 Split tunneling。IPSec 自定义配置默认关闭 Split tunneling，但通过 VPN Wizard 创建时默认启用。

启用 Split tunneling 后，必须配置需要包含或排除在隧道路由中的网络。

另一个考虑因素是当前固件是否影响安全性。如果存在关键安全补丁需求，管理员可能会决定先升级，再迁移 VPN。

同时，迁移需要时间完成设计评估、计划制定、配置实施、受控测试和用户部署。应预留足够时间进行规划，并在确定方案后再安排升级和维护窗口。

IPSec VPN 中，一个拨号 VPN 隧道可以通过在 VPN 设置中定义用户组，或从防火墙策略继承用户组的方式支持一个或多个用户组。与 SSL VPN 不同，管理员也可以创建多个独立拨号 IPSec 隧道，用于承载当前不同 SSL VPN Tunnel Mode Web Portal 为各用户组提供的差异化功能。

如果在同一个 WAN 接口上配置多个拨号 IPSec 隧道，且隧道参数相近，则每个隧道都需要唯一标识，让拨号客户端发起连接时匹配到正确隧道：

• IKEv1 建议使用 Aggressive Mode，并通过 Phase 1 中的 Peer ID 区分。
• IKEv2 建议使用 Phase 1 中的 Network ID 区分。

从 SSL VPN 迁移到 IPSec VPN 时，应根据用户组数量和原 Portal 差异选择用户组定义方式。

IPSec VPN 会为每个 IPSec 隧道创建一个同名虚拟 VPN 接口。迁移后，应在防火墙策略中选择对应虚拟隧道接口作为源接口，控制终端客户端访问内部资源。

用户组可以定义在策略中，并由 VPN 隧道配置继承；也可以直接定义在各 IPSec 隧道配置中。

迁移时需要检查并调整防火墙策略，将原 ssl.root 相关策略迁移为 IPSec 隧道接口相关策略，并确认用户组配置位置与隧道认证方式一致。

拨号 IPSec 隧道是否支持这些能力取决于 IKE 版本：

• IKEv1：支持 DNS 后缀配置，但需要在 Phase 1 中启用 unity-support。
• IKEv2：支持 Split DNS。

规划迁移时，应检查现有 SSL VPN 设置，确认是否依赖 Split DNS 或 DNS suffix，再选择满足需求的 IKE 版本。

• 使用 Peer ID。
• 修改 Phase 1 和 Phase 2 Proposal。

使用 Peer ID

如果同一物理 WAN 接口上配置多个拨号 IPSec 隧道，FortiGate 需要通过 Peer ID 或 Network ID 区分传入的 IPSec 连接请求，并将连接关联到正确的 IPSec 隧道。

IKEv1 Aggressive Mode 可以使用 Peer ID 区分多个拨号 IPSec 隧道。因此，IKEv1 建议使用 Aggressive Mode，以便在 Phase 1 中使用 Peer ID 字段。

IKEv1 Aggressive Mode 协商过程中，FortiClient 会发送本地配置的 Local ID，FortiGate 将其与定义好的 Peer ID 匹配，从而识别对应隧道。因此，FortiClient 上的 Local ID 必须与 FortiGate 上对应隧道的 Peer ID 一致。

IKEv2 中，Peer ID 不包含在初始 IKE 消息中。因此 FortiGate 作为 IPSec 拨号 Server 时，无法准确地在多个拨号 Phase 1 配置中匹配正确隧道。IKEv2 建议改用 Phase 1 中的 Network ID。

Network ID 不能在未纳管的独立 FortiClient 中配置。通过 FortiClient EMS 管理时，FortiClient EMS 7.2.6 及以上或 7.4.1 及以上支持配置 Network ID。

IKEv2 中，FortiGate 使用 Network ID 作为唯一标识，区分同一 WAN 接口上的多个拨号隧道。协商过程中，FortiClient 发送 Network ID，FortiGate 将其与已定义的 Network ID 匹配，以识别正确隧道。FortiClient 上配置的 Network ID 必须与 FortiGate 上对应隧道的 Network ID 一致。

IKEv1 Peer ID 配置思路：

1. 进入“VPN → IPsec Tunnels”，编辑对应 IPSec 隧道。
2. 确认 IKE 为 Version 1，Mode 为 Aggressive。
3. 在 Authentication 下将 Accept Peer ID 改为 Specific peer ID。
4. 配置唯一 Peer ID。
5. 保存。

IKEv2 Network ID 通过 CLI 配置：

config vpn ipsec phase1-interface
    edit <vpn-tunnel-name>
        set network-overlay enable
        set network-id <ID>
    next
end

修改 Phase 1 和 Phase 2 Proposal

如需修改 IPSec Phase 1 和 Phase 2 的 SA 参数：

1. 进入“VPN → VPN Tunnels”，编辑 IPSec 隧道。
2. 在 Phase 1 proposal 中选择需要的自定义配置。
3. 在 Phase 2 Selectors 中选择 Phase 2 隧道并点击 Edit。
4. 选择所需自定义配置，并点击 OK 保存 Phase 2 Selectors。
5. 点击 OK 保存 IPSec 隧道配置。

IPSec 隧道可以通过 GUI VPN Wizard、GUI 自定义 IPSec 配置或 CLI 配置。这里使用 VPN Wizard 创建 IPSec 隧道。通过 VPN Wizard 指定的隧道参数后续仍可自定义，例如修改 IKE 版本、IKE 模式、安全关联（SA）和其他细粒度设置。

配置 VPN Wizard

1. 在 FortiGate 进入“VPN → VPN Wizard”。
2. 配置以下选项，并点击 Begin：

| 配置项 | 说明 | |

该 SSL VPN 配置将迁移到 IPSec，并保持相同的基础拓扑。

LDAP 认证中，LDAP Server 是集中认证服务器，用户名和密码直接在 LDAP Server 上管理。要在 IPSec 中使用该认证方式，FortiGate 必须配置 LDAP Server，并创建使用 LDAP Server 的用户组。

如需基于 LDAP 组成员关系区分用户组，可以配置多个用户组并使用 Group Name 选项进行匹配。

示例中，LDAP Server 名为 LDAP Connector，用户组名为 LDAP user group。Group Name 只匹配 LDAP Server 上属于 Domain Users 的用户，只有这些用户允许连接 IPSec 隧道。

查看 CLI 配置：

config user group
    edit "LDAP user group"
        set member "LDAP Connector"
        config match
            edit 1
                set server-name "LDAP Connector"
                set group-name "CN=Domain Users,CN=Users,DC=financial,DC=local"
            next
        end
    next
end

应用用户组

如果只有一个用户组，可以将 LDAP user group 直接用于 IPSec 隧道配置中。如果有多个用户组，应在 IPSec 隧道中选择 Inherit from policy，并在防火墙策略中使用这些用户组。

使用 LDAP + IKEv2 时，需要将 IKE version 改为 Version 2。

示例中，本地用户 johnlocus 加入名为 Local user group 的本地用户组。

查看 CLI 配置：

config user group
    edit "Local user group"
        set member "johnlocus"
    next
end

应用用户组

如果只有一个用户组，可以将 Local user group 直接用于 IPSec 隧道配置中。如果有多个用户组，应在 IPSec 隧道中选择 Inherit from policy，并在防火墙策略中使用这些用户组。

如需基于 RADIUS Server 上的用户组成员关系区分用户组，可以使用 Group Name。FortiGate 期望 RADIUS Server 在 RADIUS 响应报文中正确返回 Fortinet-Group-Name VSA。

示例中，FortiGate 配置了名为 Radius Connector 的 RADIUS Server，用户组 Radius user group 引用该 RADIUS Server。Group Name 配置为 Domain Users，表示只有 RADIUS Server 在响应中返回该组名时，用户才允许连接 IPSec 隧道。

查看 CLI 配置：

config user group
    edit "Radius user group"
        set member "Radius Connector"
        config match
            edit 1
                set server-name "Radius Connector"
                set group-name "Domain Users"
            next
        end
    next
end

应用用户组

如果只有一个用户组，可以将 Radius user group 直接用于 IPSec 隧道配置中。如果有多个用户组，应在 IPSec 隧道中选择 Inherit from policy，并在防火墙策略中使用这些用户组。

使用 SAML 时，建议先升级 FortiClient 到 7.2.4 或更高版本。

VPN Wizard 默认可能创建 IKEv1 配置，后续需要将配置调整为 IKEv2，并启用 EAP 用户认证。

SAML 与 IPSec 配合时，还需要额外配置：

• auth-ike-saml-port。
• SAML Server 证书。
• IPSec VPN 网关接口和 SAML Server 之间的接口绑定。

配置 IKE SAML 认证端口：

config system global
    set auth-ike-saml-port 9443
end

查看 SAML Server 使用的证书：

config user setting
    set auth-cert "SAML_Server_Certificate"
end

示例中，SAML 用户组 SAML Usergroup 使用名为 SAML-FAC 的 SAML SSO Server，并匹配组名 Corporate：

config user group
    edit "SAML Usergroup"
        set member "SAML-FAC"
        config match
            edit 1
                set server-name "SAML-FAC"
                set group-name "Corporate"
            next
        end
    next
end

将 SAML Server 与 IPSec 网关所在接口绑定，示例接口为 WAN：

config system interface
    edit "WAN"
        set ike-saml-server "SAML-FAC"
    next
end

应用用户组

如果只有一个用户组，可以将 SAML Usergroup 直接用于 IPSec 隧道配置中。如果有多个用户组，应在 IPSec 隧道中选择 Inherit from policy，并在防火墙策略中使用这些用户组。

本文说明如何在 FortiGate G 系列机型上调整 BIOS 安全级别（Security Level）。

在多数 FortiGate 机型上，可以通过开机 BIOS 菜单中的 [U] Set security level 修改安全级别；但在部分 G 系列机型上，该选项不再提供，需改用设备硬件上的 Signed Firmware 物理开关进行切换。

适用范围

• FortiGate/FortiWiFi 50G/51G 系列。
• FortiGate/FortiWiFi 70G/71G 系列。
• FortiGate 90G/91G Gen2 及以上（Part Number Pxxxxx-11-01 及以上）。
• FortiGate 120G/121G Gen2 及以上（Part Number Pxxxxx-2x-01 及以上）。
• FortiGate/FortiWiFi 200G/201G 系列。
• FortiGate 700G/701G 系列。

安全级别说明

• High（默认）：阻止未签名固件。
• Low：允许未签名固件安装，但会告警。

开关位置

• 50G/70G/90G Gen2：开关位于设备后面板（状态 LED 的对侧）。
• 120G Gen2/200G/700G：开关位于设备前面板。

原文图片示意

50G 系列（后面板盖板与开关）

70G 系列（前面板 LED）

200G/700G 系列（前面板开关与 LED）

90G Gen2/90G Gen1/120G Gen2 代际差异示意

操作步骤

1. 断电并确认设备处于安全可操作状态，拆下 Signed Firmware 金属挡板固定螺丝。

2. 将物理开关拨到目标档位：

   • H/High：高安全级别（默认）。
   • L/Low：低安全级别。

3. 重新上电并重启设备。

4. 登录 CLI，使用以下命令确认当前安全级别：

   # get system status | grep -i "security level"
   Current Security Level: Low

注意事项

• 修改物理开关后，BIOS 安全级别会在下次重启后生效。
• get system status 可用于对比当前 BIOS 安全级别与开关设置是否一致。
• 当安全级别从 High 调整为 Low 时，会产生系统事件日志：22906 - LOG_ID_SECURITY_LEVEL_CHANGE。
• 90G/120G 存在多硬件代际差异，需先通过 Part Number 确认是否具备 Signed Firmware 硬件开关。

适用场景：

1. 在大量 Debug 信息中快速识别异常峰值、重复报错和时间分布。
2. 对比不同阶段日志变化，辅助判断问题是否持续或已恢复。
3. 在远程协作排障时，快速共享统一的分析视图。

使用提示：

1. 建议先对 Debug 信息做脱敏处理，再上传或粘贴到在线工具中。
2. Debug 信息量较大时（最大支持单次上传 100MB 文本），可先按时间窗口拆分分析，以提升定位效率。
3. 如内嵌页面无法正常显示，请在新窗口打开 FTNT Plotter。

在 FortiOS 7.2.11/7.4.8/7.6.5 及后续版本的适用硬件机型上，FortiGate 启用“强制注册”机制。该机制要求设备先完成 FortiCare 注册，再开放完整配置与后续升级能力。

• FortiOS 7.2.11/7.4.8：引入强制注册机制（仅如下机型）。

  • FG-200G
  • FG-201G
  • FG-900G
  • FG-901G

• FortiOS 7.4.9：扩大机型范围。

  • FortiGate：FG-50G/51G、FG-70G/71G、FG-90G/91G、FG-120G/121G、FG-200G/201G、FG-700G/701G、FG-900G/901G 及对应 SFP/POE/DSL/5G 变体。
  • FortiWiFi：FWF-50G/51G、FWF-70G/71G 及对应 DSL/5G/SFP/POE 变体。
  • FortiGate Rugged：FGR-50G-5G、FGR-70G、FGR-70G-5G-DUAL。

• FortiOS 7.4.10：新增网络连通向导、离线许可证上传入口，并支持最多 7 天延后注册。

• FortiOS 7.6.5：在 7.6 分支启用该机制，并增加 CLI 只读限制与相关向导能力。

未注册行为

设备未完成注册时，会出现以下限制：

• 首次登录 GUI 会进入 Register with FortiCare 页面，无法继续后续 GUI 配置。

• CLI 处于受限状态，仅允许网络相关部分配置。

  • config firewall
  • config ftp-proxy
  • config router
  • config system
  • config web-proxy

• 固件升级能力也受注册状态限制。

• 设备需要可以连接到 FortiGuard 才能完成注册（或导入离线 License）并解除以上限制。

Workaround

延期注册（7.4.10 开始）

• 点击注册窗口内的“Postpone registration”按钮可以延期 7 天，期间可以正常通过 GUI 配置 FortiGate：

  

• 延期到期后会重新进入强制注册状态，无法继续延期：

  

离线许可证方式

1. 设备登录后，在注册向导中选择离线 License 导入入口：

   

2. 进入上传页面后，导入离线 License 文件：

   

3. 导入成功且序列号匹配后，页面会提示离线 License 生效：

   

4. 也可使用 CLI 方式导入，CLI 导入前，需先保证 FortiGate 到 FTP/TFTP 服务器网络可达：

   execute restore manual-license {ftp|tftp} <licensefilename> <server> [args]
   
   execute restore manual-license tftp FG101FTKxxxxxxxxOff-NetworkLicenseFile.lic 192.168.1.10

BIOS 禁用强制注册

1. 使用 Console 线连接设备串口并重启设备。

2. 启动时看到以下提示，按任意键进入 BIOS 菜单：

   Boot up, boot device capacity: 28626MB.
   Press any key to display configuration menu...

3. 在 BIOS 主菜单输入 I，进入系统信息菜单：

   [C]:  Configure TFTP parameters.
   [R]:  Review TFTP parameters.
   [T]:  Initiate TFTP firmware transfer.
   [F]:  Format boot device.
   [B]:  Boot with backup firmware and set as default.
   [I]:  System configuration and information.
   [Q]:  Quit menu and continue to boot.
   [H]:  Display this list of options.

4. 在下一层菜单输入 C，进入 FortiCare 注册级别设置：

   Enter C,R,T,F,B,I,Q,or H:
   [S]:  Set serial port baudrate (will take effect on next boot).
   [R]:  Set restricted mode.
   [T]:  Set menu timeout.
   [U]:  Set security level.
   [C]:  Set FortiCare registration.
   [I]:  Display system information.
   [E]:  Reset system configuration.
   [M]:  Display SPD information.
   [Q]:  Quit menu and continue to boot.
   [H]:  Display this list of options.

5. 输入 1，将注册级别从 2（Enforce）改为 1（Not Enforce）：

   Enter S,R,T,U,C,I,E,M,Q,or H:
   [1]:  Not Enforce
   [2]:  Enforce
   Enter FortiCare registration setting [2]: 1

6. 连续输入 Q 退出 BIOS 菜单并继续启动系统。启动后 GUI 可临时跳过强制注册继续配置。

本文介绍如何在 FortiGate 上重命名已创建的 IPSec 隧道（phase1-interface）。

• FortiOS 7.4.2 之前：已创建的 IPSec 隧道不支持直接重命名，需要删除关联配置及自身配置后，使用新名称重建。
• FortiOS 7.4.2 及之后：支持通过 GUI 和 CLI 直接重命名 IPSec 隧道，与隧道关联的配置会自动修改。

配置步骤

GUI

进入“VPN → VPN 隧道”，编辑目标隧道后修改名称字段并保存即可。

CLI

config vpn ipsec phase1-interface
    rename <old-tunnel-name> to <new-tunnel-name>
end

config vpn ipsec phase1-interface
    rename SiteA to SiteB
end

注意事项

1. 修改 IPSec VPN 名称后，对应的 IPSec Tunnel 接口名称也会对应修改。
2. 与隧道关联的配置，如防火墙策略中的入/出接口、静态路由或策略路由中的出接口、SD-WAN、监控等对应配置中的接口名称等均会自动变化。

本文主要介绍在 BGP 多链路（如连接多个 ISP）场景中，如何通过 AS-PATH prepend 影响入向（回程）流量路径。

典型需求是将互联网出口设计为主备链路：

• 主线路（Primary ISP）作为优先路径。
• 备线路（Secondary ISP）仅在主线路故障时承载流量。

在此类场景中，仅在 ISP 侧设置 Local Preference 可能无法完全达到预期。因为 Local Preference 是非传递属性，只在各自 AS 内部生效，不会跨 AS 传播到其他 ISP。

因此可使用 AS-PATH（传递属性）进行路径影响：在向备线路通告前缀时，追加多个本地 AS 号，使该路径更“长”，从而降低其被优选概率。

网络拓扑

使用要点

• 互联网侧路由器的回程选路可通过 AS-PATH 属性进行影响。
• BGP 默认优选 AS-PATH 更短的路径。
• 在向 Secondary ISP 通告 93.184.216.34/32 时进行 prepend，可以让回程更倾向 Primary ISP，而不是依赖 ISP 侧 Local Preference。
• Secondary ISP（AS65201）到达 93.184.216.34/32 时，会因 Primary ISP 宣告路径更短而优选经 AS65101。
• 若需同时控制 FortiGate 出向优先主线路，可在本地对 Primary ISP 邻居设置更高 Local Preference 或 Weight。

配置步骤

示例参数如下：

• FortiGate 本地 AS：65301
• 主线路邻居（WAN1）：202.1.1.2（AS 65101）
• 备线路邻居（WAN2）：202.2.2.2（AS 65201）
• 对外发布前缀（DMZ）：93.184.216.34/32（通过 Loopback 模拟）

1. 接口配置（WAN1/WAN2/DMZ）。

   config system interface
       edit "port2"
           set vdom "root"
           set ip 202.1.1.1 255.255.255.240
           set allowaccess ping
           set type physical
           set alias "WAN1"
       next
       edit "port3"
           set vdom "root"
           set ip 202.2.2.1 255.255.255.240
           set allowaccess ping
           set type physical
           set alias "WAN2"
       next
       edit "DMZ"
           set vdom "root"
           set ip 93.184.216.34 255.255.255.255
           set allowaccess ping
           set type loopback
       next
   end

2. 备线路出站 route-map（AS-PATH prepend）。

   config router route-map
       edit "Secondary_ISP"
           config rule
               edit 1
                   set set-aspath "65301 65301 65301"
               next
           end
       next
   end

3. 主线路入站 route-map（提高本地优先级）。

   config router route-map
       edit "Primary_ISP"
           config rule
               edit 1
                   set set-local-preference 200
               next
           end
       next
   end

4. 在 BGP 邻居上应用 route-map。

   config router bgp
       set as 65301
       set router-id 3.3.3.3
       config neighbor
           edit "202.1.1.2"
               set remote-as 65101
               set route-map-in "Primary_ISP"
           next
           edit "202.2.2.2"
               set remote-as 65201
               set route-map-out "Secondary_ISP"
           next
       end
       config network
           edit 1
               set prefix 93.184.216.34 255.255.255.255
           next
       end
   end

验证步骤

变更前（未应用 prepend）

在 Secondary ISP 路由器查看，此时 93.184.216.34/32 的最佳路径为 202.2.2.1（经 Secondary ISP）。

ISP2-R1 # get router info bgp network
BGP table version is 8, local router ID is 2.2.2.2
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              S Stale
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network           Next Hop      Metric LocPrf Weight RouteTag Path
*> 93.184.216.34/32  202.2.2.1          0      0      0        0 65301 i
* i                  101.1.1.1          0    100      0        0 65101 65301 i
*> 202.2.2.0/28      0.0.0.0                 100  32768        0 i

变更后（应用 prepend）

应用 prepend 后，最佳路径切换为 101.1.1.1（经 Primary ISP），并且备线路路径 AS-PATH 变长（出现多个 65301）。

ISP2-R1 # get router info bgp network
BGP table version is 10, local router ID is 2.2.2.2
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              S Stale
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network           Next Hop      Metric LocPrf Weight RouteTag Path
*>i93.184.216.34/32  101.1.1.1          0    100      0        0 65101 65301 i
*  202.2.2.1                              0      0      0        0 65301 65301 65301 65301 i
*> 202.2.2.0/28      0.0.0.0                 100  32768        0 i

总结

1. AS-PATH prepend 主要用于影响入向（回程）流量。
2. 本地出向优选应配合 Local Preference / Weight 控制。
3. 变更后建议执行软重配或路由刷新并复核路由表。
4. 建议在维护窗口先小范围验证，避免生产回程路径抖动。

ARP 表用于确定目标节点对应的 MAC 地址，以及该节点可达的 VLAN 和接口端口。

在 FortiGate 上，ARP 相关信息获取的方式主要通过如下命令：

• get system arp：查看当前 ARP 表（偏运维视图）。
• diagnose ip arp list：查看系统 ARP 缓存（包含状态、引用等细节）。
• diagnose sys device list <vdom_name>：查看 ARP/ARP6 的表规模与使用摘要。

查看 ARP 信息

查看 ARP 表

# get system arp

Address           Age(min)   Hardware Addr      Interface
10.10.1.3         1          50:b7:c3:75:ea:dd internal7
192.168.0.190     0          28:f1:0e:03:2a:97 wan1
192.168.0.97      0          f4:f2:6d:37:b0:99 wan1

查看 ARP 缓存明细

# diagnose ip arp list

index=7 ifname=dmz 169.254.0.1 94:f3:92:53:ae:7c state=00000080 use=198045467 confirm=148592500 update=148592500 ref=0
index=28 ifname=to_Home_WAN11 0.0.0.0  state=00000040 use=2078 confirm=2078 update=107680361 ref=1
index=12 ifname=internal5 10.10.12.2 00:01:02:03:04:05 state=00000002 use=0 confirm=0 update=1366 ref=84
index=12 ifname=internal5 10.10.12.254 08:5b:0e:b2:5e:69 state=00000004 use=4787 confirm=4787 update=150 ref=5
index=6 ifname=wan2 172.22.6.1 00:09:0f:09:01:18 state=00000002 use=34 confirm=1190 update=2268 ref=5
index=5 ifname=wan1 172.22.6.255 state=00000000 use=79961 confirm=85961 update=79961 ref=2
index=5 ifname=wan1 172.22.6.1 00:09:0f:09:01:18 state=00000002 use=24 confirm=234 update=2268 ref=108

• state：ARP 条目状态。

• ref：表示当前被其他对象引用次数。

• 常见 ARP 状态位：

  提示

  ARP 状态迁移受 ARP 请求/应答、邻居查找、路由与会话行为等多因素影响。单次抓到的状态需要结合 ref 与时间维度一起判断。

  | 状态值 | 含义 | 说明 | |

从 FortiOS v7.4.5 和 v7.6.1 开始，当 API 请求通过 URL 参数传递 access_token 时，会返回 401 Unauthorized 错误。

curl -vk 'https://192.168.100.99/api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63'
*   Trying 192.168.100.99:443...
* Connected to 192.168.100.99 (192.168.100.99) port 443
* ALPN: curl offers h2,http/1.1
* (304) (OUT), TLS handshake, Client hello (1):
* (304) (IN), TLS handshake, Server hello (2):
* (304) (IN), TLS handshake, Unknown (8):
* (304) (IN), TLS handshake, Certificate (11):
* (304) (IN), TLS handshake, CERT verify (15):
* (304) (IN), TLS handshake, Finished (20):
* (304) (OUT), TLS handshake, Finished (20):
* SSL connection using TLSv1.3 / AEAD-AES256-GCM-SHA384 / [blank] / UNDEF
* ALPN: server accepted h2
* Server certificate:
*  subject: C=US; ST=California; L=Sunnyvale; O=Fortinet Ltd.; OU=FortiGate; CN=FortiGate
*  start date: Mar 16 07:59:45 2026 GMT
*  expire date: Jun 18 07:59:45 2028 GMT
*  issuer: C=US; ST=California; L=Sunnyvale; O=Fortinet; OU=Certificate Authority; CN=FG101FTK20007637; emailAddress=support@fortinet.com
*  SSL certificate verify ok.
* using HTTP/2
* [HTTP/2] [1] OPENED stream for https://192.168.100.99/api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63
* [HTTP/2] [1] [:method: GET]
* [HTTP/2] [1] [:scheme: https]
* [HTTP/2] [1] [:authority: 192.168.100.99]
* [HTTP/2] [1] [:path: /api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63]
* [HTTP/2] [1] [user-agent: curl/8.7.1]
* [HTTP/2] [1] [accept: */*]
> GET /api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63 HTTP/2
> Host: 192.168.100.99
> User-Agent: curl/8.7.1
> Accept: */*
>
* Request completely sent off
< HTTP/2 401
< x-frame-options: SAMEORIGIN
< content-security-policy: frame-ancestors 'self'
< x-xss-protection: 1; mode=block
< strict-transport-security: max-age=63072000
< www-authenticate: error="invalid_token"
< date: Thu, 26 Mar 2026 02:48:46 GMT
<
* Connection #0 to host 192.168.100.99 left intact

问题原因

从 FortiOS v7.4.5 和 v7.6.1 开始，系统默认禁止通过 URL 参数传递 access_token。此变更是出于安全最佳实践的考虑：token 直接拼在 URL 中，会被记录在浏览器历史、代理日志、服务器访问日志中，存在泄露风险。

新版本要求 access_token 必须通过 HTTP Header 传递，即使用 Authorization: Bearer <token> 的方式。

解决方法

使用 HTTP Header 传递 token（推荐）

1. 将 API token 放在请求 Header 中，不会出现在 URL 里，更安全。正常返回 API 结果：

   curl -vk 'https://192.168.100.99/api/v2/cmdb/system/vdom' \
       --header 'Authorization: Bearer 785yfsnmc3NzjnHj0jNkh87fdNcb63'
   *   Trying 192.168.100.99:443...
   * Connected to 192.168.100.99 (192.168.100.99) port 443
   * ALPN: curl offers h2,http/1.1
   * (304) (OUT), TLS handshake, Client hello (1):
   * (304) (IN), TLS handshake, Server hello (2):
   * (304) (IN), TLS handshake, Unknown (8):
   * (304) (IN), TLS handshake, Certificate (11):
   * (304) (IN), TLS handshake, CERT verify (15):
   * (304) (IN), TLS handshake, Finished (20):
   * (304) (OUT), TLS handshake, Finished (20):
   * SSL connection using TLSv1.3 / AEAD-AES256-GCM-SHA384 / [blank] / UNDEF
   * ALPN: server accepted h2
   * Server certificate:
   *  subject: C=US; ST=California; L=Sunnyvale; O=Fortinet Ltd.; OU=FortiGate; CN=FortiGate
   *  start date: Mar 16 07:59:45 2026 GMT
   *  expire date: Jun 18 07:59:45 2028 GMT
   *  issuer: C=US; ST=California; L=Sunnyvale; O=Fortinet; OU=Certificate Authority; CN=FG101FTK20007637; emailAddress=support@fortinet.com
   *  SSL certificate verify ok.
   * using HTTP/2
   * [HTTP/2] [1] OPENED stream for https://192.168.100.99/api/v2/cmdb/system/vdom
   * [HTTP/2] [1] [:method: GET]
   * [HTTP/2] [1] [:scheme: https]
   * [HTTP/2] [1] [:authority: 192.168.100.99]
   * [HTTP/2] [1] [:path: /api/v2/cmdb/system/vdom]
   * [HTTP/2] [1] [user-agent: curl/8.7.1]
   * [HTTP/2] [1] [accept: */*]
   * [HTTP/2] [1] [authorization: Bearer 785yfsnmc3NzjnHj0jNkh87fdNcb63]
   > GET /api/v2/cmdb/system/vdom HTTP/2
   > Host: 192.168.100.99
   > User-Agent: curl/8.7.1
   > Accept: */*
   > Authorization: Bearer 785yfsnmc3NzjnHj0jNkh87fdNcb63
   >
   * Request completely sent off
   < HTTP/2 200
   < content-security-policy: frame-ancestors 'self'; script-src 'self'; object-src 'none';
   < strict-transport-security: max-age=63072000
   < date: Thu, 26 Mar 2026 03:02:35 GMT
   < etag: EE8EF382372E2A3C07F45B9C09FB034AD9564AD6B64F1EAF5510A7C7374DCF8A
   < cache-control: no-cache, must-revalidate
   < content-length: 377
   < content-type: application/json
   <
   * Connection #0 to host 192.168.100.99 left intact
   {"http_method":"GET","size":1,"limit_reached":false,"matched_count":1,"next_idx":0,"revision":"9b107552a7c5cc639bb9c77dc3cf43b2","results":[{"name":"root","q_origin_key":"root","short-name":"root","vcluster-id":0,"flag":0}],"vdom":"root","path":"system","name":"vdom","action":"","status":"success","http_status":200,"serial":"FG101FTK20007637","version":"v7.6.6","build":3652}%

允许 URL 传递 token（不推荐）

如果确实需要通过 URL 参数传递 access_token（例如第三方平台暂不支持 Header 方式），可以通过以下命令启用：

config system global
    set rest-api-key-url-query enable
end

随后使用 URL 传递 token 的方式访问，可以正常返回 API 结果：

curl -vk 'https://192.168.100.99/api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63'
*   Trying 192.168.100.99:443...
* Connected to 192.168.100.99 (192.168.100.99) port 443
* ALPN: curl offers h2,http/1.1
* (304) (OUT), TLS handshake, Client hello (1):
* (304) (IN), TLS handshake, Server hello (2):
* (304) (IN), TLS handshake, Unknown (8):
* (304) (IN), TLS handshake, Certificate (11):
* (304) (IN), TLS handshake, CERT verify (15):
* (304) (IN), TLS handshake, Finished (20):
* (304) (OUT), TLS handshake, Finished (20):
* SSL connection using TLSv1.3 / AEAD-AES256-GCM-SHA384 / [blank] / UNDEF
* ALPN: server accepted h2
* Server certificate:
*  subject: C=US; ST=California; L=Sunnyvale; O=Fortinet Ltd.; OU=FortiGate; CN=FortiGate
*  start date: Mar 16 07:59:45 2026 GMT
*  expire date: Jun 18 07:59:45 2028 GMT
*  issuer: C=US; ST=California; L=Sunnyvale; O=Fortinet; OU=Certificate Authority; CN=FG101FTK20007637; emailAddress=support@fortinet.com
*  SSL certificate verify ok.
* using HTTP/2
* [HTTP/2] [1] OPENED stream for https://192.168.100.99/api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63
* [HTTP/2] [1] [:method: GET]
* [HTTP/2] [1] [:scheme: https]
* [HTTP/2] [1] [:authority: 192.168.100.99]
* [HTTP/2] [1] [:path: /api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63]
* [HTTP/2] [1] [user-agent: curl/8.7.1]
* [HTTP/2] [1] [accept: */*]
> GET /api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63 HTTP/2
> Host: 192.168.100.99
> User-Agent: curl/8.7.1
> Accept: */*
>
* Request completely sent off
< HTTP/2 200
< content-security-policy: frame-ancestors 'self'; script-src 'self'; object-src 'none';
< strict-transport-security: max-age=63072000
< date: Thu, 26 Mar 2026 03:04:03 GMT
< etag: 27F6559DB07096435FA668AA55B19681FB124B76DA8D32FA77E125F613074EC1
< cache-control: no-cache, must-revalidate
< content-length: 377
< content-type: application/json
<
* Connection #0 to host 192.168.100.99 left intact
{"http_method":"GET","size":1,"limit_reached":false,"matched_count":1,"next_idx":0,"revision":"9b107552a7c5cc639bb9c77dc3cf43b2","results":[{"name":"root","q_origin_key":"root","short-name":"root","vcluster-id":0,"flag":0}],"vdom":"root","path":"system","name":"vdom","action":"","status":"success","http_status":200,"serial":"FG101FTK20007637","version":"v7.6.6","build":3652}%

当多个拨号（dial-up）IPsec 隧道配置了相同的 IP 地址池时，即使每个隧道配置了不同的用户组，同一时间也只能有一个 VPN 用户保持连接。第一个连接的 VPN 用户会在第二个用户连接后立即被断开。

原因分析

这是 FortiOS 的设计行为：相同的 IP 池不能在 FortiGate 上的多个 IPsec 隧道中同时使用。

如果在不同的拨号 IPsec 隧道上配置了相同的 IP 池，如下所示：

config vpn ipsec phase1-interface
    edit <tunnel_A>
        set type dynamic
        set authusrgrp <group_A>
        set ipv4-start-ip 10.180.1.1
        set ipv4-end-ip 10.180.1.10
    next
    edit <tunnel_B>
        set type dynamic
        set authusrgrp <group_B>
        set ipv4-start-ip 10.180.1.1
        set ipv4-end-ip 10.180.1.10
    next
end

在 IKE 协商过程中，IKE 守护进程会根据 phase1 中配置的用户组将 IPsec 隧道映射到用户。用户认证成功后，IP 池中第一个可用的 IP 会被分配给该用户。当第二个用户连接 VPN 并认证成功后，IKE 守护进程会尝试将该隧道 IP 池中的第一个 IP 分配给第二个用户，此时会释放第一个已连接 VPN 用户的 IP 地址。

结果就是：第一个已连接的 VPN 用户被断开，第二个 VPN 用户成功连接。

问题配置举例

以下配置示例使用两个不同的用户组（本地用户和 LDAP 组），debug 输出展示了当两个隧道配置相同 IP 池时，第一个 VPN 用户在第二个用户连接后被断开的过程。

配置用户组

为每个拨号 IPsec 隧道配置不同的用户组：

config user local
    edit "tester"
        set type password
        set passwd *****
    next
end

config user group
    edit "ldap.users"
        set member "fortiserver.ldap" "zilan"
        config match
            edit 1
                set server-name "fortiserver.ldap"
                set group-name "CN=ldap.group,DC=fortiserver,DC=com"
            next
        end
    next
    edit "local.users"
        set member "tester"
    next
end

配置拨号 IPsec 隧道

为不同用户组配置两个拨号 IPsec 隧道（phase1 和 phase2）：

config vpn ipsec phase1-interface
    edit "fct.1"
        set type dynamic
        set interface "port4"
        set mode aggressive
        set mode-cfg enable
        set proposal aes128-sha256 aes256-sha256
        set xauthtype auto
        set authusrgrp "local.users"        # ← 本地用户组
        set ipv4-start-ip 10.180.1.1
        set ipv4-end-ip 10.180.1.10
        set psksecret ENC *****
    next
    edit "fct.2"
        set type dynamic
        set interface "port4"
        set mode aggressive
        set mode-cfg enable
        set proposal aes128-sha1 aes256-sha1
        set xauthtype auto
        set authusrgrp "ldap.users"         # ← LDAP 用户组
        set ipv4-start-ip 10.180.1.1
        set ipv4-end-ip 10.180.1.10
        set psksecret ENC *****
    next
end

config vpn ipsec phase2-interface
    edit "fct.1"
        set phase1name "fct.1"
        set proposal aes128-sha256
        set dhgrp 2
    next
    edit "fct.2"
        set phase1name "fct.2"
        set proposal aes128-sha256
        set dhgrp 5
    next
end

Debug 分析

第一个用户连接：本地用户 tester 连接 VPN，IKE 守护进程从 IP 池中分配第一个 IP 10.180.1.1：

2025-06-30 13:59:39.847399 ike V=root:0:fct.1:1720: add route 10.180.1.1/255.255.255.255 gw 10.180.1.1 oif fct.1(1364) metric 15 priority 1
2025-06-30 13:59:39.849412 ike V=root:0:fct.1_0:1065:fct:1720: tunnel 1 of VDOM limit 0/0
2025-06-30 13:59:39.850493 ike V=root:0:fct.1_0:1065:fct:1720: add IPsec SA: SPIs=14b059d8/08b06a3f

通过 diagnose vpn ike gateway list 确认用户 tester 已连接并被分配 IP 10.180.1.1：

# diagnose vpn ike gateway list

vd: root/0
name: fct.1_0
...
xauth-user: tester                                 # ← 本地用户
assigned IPv4 address: 10.180.1.1/255.255.255.255  # ← 分配的 IP
...

第二个用户连接：LDAP 用户 zilan 连接 VPN 后，IKE 守护进程将路由从 fct.1 移动到 fct.2，释放第一个用户的 IP 并重新分配给第二个用户：

2025-06-30 13:59:54.415801 ike V=root:0:fct.1:1720: moving route 10.180.1.1/255.255.255.255 oif fct.1(1364) metric 15 priority 1 to 0:fct.2:1727
                                                 # ↑ 将路由从 fct.1 移动到 fct.2

2025-06-30 13:59:54.417456 ike V=fct.1:0:fct.1:1720: del route 10.180.1.1/255.255.255.255 tunnel 10.180.1.1 oif fct.1(1364) metric 15 priority 1
                                                  # ↑ 删除 fct.1 的路由

2025-06-30 13:59:54.419296 ike V=root:0:fct.1_0: going to be deleted
                                                  # ↑ fct.1 隧道准备删除

2025-06-30 13:59:54.423117 ike V=root:0:fct.1_0: deleting IPsec SA with SPI 08b06a3f
                                                  # ↑ 删除 fct.1 的 IPsec SA

2025-06-30 13:59:54.464700 ike V=root:0:fct.1_0: mode-cfg release 10.180.1.1/255.255.255.255
                                                  # ↑ 释放第一个用户的 IP 地址

2025-06-30 13:59:54.466634 ike V=root:0:fct.2:1727: add route 10.180.1.1/255.255.255.255 gw 10.0.0.12 oif fct.2(1362) metric 15 priority 1
                                                  # ↑ 为第二个用户在 fct.2 上添加路由

通过 diagnose vpn ike gateway list 确认用户 zilan 已连接并使用了同一个 IP 10.180.1.1：

# diagnose vpn ike gateway list

vd: root/0
name: fct.2_0
...
xauth-user: zilan                                  # ← LDAP 用户
assigned IPv4 address: 10.180.1.1/255.255.255.255  # ← 使用了同一个 IP
...

解决方法

为每个拨号 IPsec 隧道配置不同的、不重叠的 IP 地址池：

config vpn ipsec phase1-interface
    edit "fct.1"
        set type dynamic
        set authusrgrp "local.users"
        set ipv4-start-ip 10.180.1.1
        set ipv4-end-ip 10.180.1.10       # ← IP 池 1：10.180.1.1 - 10.180.1.10
    next
    edit "fct.2"
        set type dynamic
        set authusrgrp "ldap.users"
        set ipv4-start-ip 10.180.2.1
        set ipv4-end-ip 10.180.2.10       # ← IP 池 2：10.180.2.1 - 10.180.2.10
    next
end

可以为被拒绝的组播流量创建会话并纳入会话表中，使后续数据包能够直接匹配并丢弃，从而降低 CPU 使用率并提高性能。

config system setting
    set ses-denied-multicast-traffic {disable | enable}
end

• disable（默认）：不将被拒绝的组播会话添加到会话表中（默认，每次拒绝流量都会创建新的拒绝会话并立即删除）。
• enable：将被拒绝的组播会话包含在会话表中（只创建一次拒绝流量的会话并保持在会话表中）。

配置示例

在此示例中，被拒绝的组播会话被包含在 VDOM 的会话表中。创建一条拒绝（deny）组播策略，然后发送命中该策略的数据包。检查组播会话列表可以看到被拒绝的组播会话已被创建。

1. 启用 ses-denied-multicast-traffic。

   config system setting
       set ses-denied-multicast-traffic enable
   end

2. 在组播策略表中创建拒绝策略。

   config firewall multicast-policy
       edit 1
           set name "Deny_Multicast_Policy"
           set srcintf "port1"
           set dstintf "port3"
           set srcaddr "172.16.200.0"
           set dstaddr "230.0.0.1"
           set action deny
           set logtraffic all
           set auto-asic-offload disable
       next
   end

3. 发送数据包命中拒绝策略后，检查组播会话列表。输出中显示的第二个会话为被拒绝的组播会话：

   FortiGate # diagnose sys mcast-session list
   
   session info: id=259 vf=1 proto=17 172.16.200.55.34896->230.0.0.10.7878
   used=2 path=1 duration=8 expire=174 indev=9 pkts=4 bytes=2160
   state=00000000:
   session-npu-info: ipid/vlifid=0/0 vlanid/vtag_in=0/0 in_npuid=0 tae_index=0 qid=0 fwd_map=0x00000000
   path: log npu-deny policy=2, outdev=11, tos=0xff
   
   session info: id=260 vf=1 proto=17 172.16.200.55.33488->230.0.0.1.7878
   used=2 path=0 duration=6 expire=177 indev=9 pkts=5 bytes=2700
   state=00000200: deny
   session-npu-info: ipid/vlifid=0/0 vlanid/vtag_in=0/0 in_npuid=0 tae_index=0 qid=0 fwd_map=0x00000000
   Total 2 sessions

4. 可以看到第二个会话的 state 字段标记为 deny，表示该组播会话已被策略拒绝并记录在会话表中，后续被拒绝的流量直接匹配该会话被丢弃，不需要重新建立拒绝会话。

diagnose sys session filter 命令提供了 session-state1 和 session-state2 两个参数，可以根据会话的状态标志对会话表进行精确过滤。

命令格式如下：

diagnose sys session filter <session-state1|session-state2> <state_bits> <state_bits_mask>

• state_bits：指定要过滤的状态位，多个状态可以通过相加（按位或）的方式组合使用。
• state_bits_mask：
  • 若设置为 ffffffff：只匹配 仅包含指定状态的会话（精确匹配）。
  • 若设置为与 state_bits 相同的值：匹配 包含指定状态的会话（含其他状态也可命中）。

session-state1 状态位

在命令行输入以下命令（不加参数），可查看 session-state1 支持的所有状态位：

FortiGate # diagnose sys session filter session-state1

Arguments: state_bits state_bits_mask

state1 bits:
|00000001: new               |00000002: redir             |00000004: log               |00000008: block
|00000010: oe                |00000020: re                |00000040: wccp              |00000080: dirty
|00000100: local             |00000200: may_dirty         |00000400: per_ip            |00000800: auth
|00001000: nb                |00002000: ndr               |00004000: nds               |00008000: br
|00010000: npu               |00020000: npd               |00040000: src-vis           |00080000: ssc
|00100000: nlb               |00200000: dst-vis           |00400000: 3way              |00800000: pol_sniff
|01000000: authed            |02000000: need_sync         |04000000: synced            |08000000: os
|10000000: rs                |20000000: ha_replicate      |40000000: ndri

常用 session-state1 状态位说明：

| 状态位 | 状态名 | 说明 | |

1. 在本端 FortiGate 的接口 wan1（202.1.1.2）上配置了附加 IP（Secondary IP）202.1.1.3。

   config system interface
       edit "wan1"
           set vdom "root"
           set ip 202.1.1.2 255.255.255.0
           config secondaryip
               edit 1
                   set ip 202.1.1.3 255.255.255.0
               next
           end
       next
   end

2. IPSec 连接绑定接口为 wan1。

   config vpn ipsec phase1-interface
       edit "IPSec_Dialup"
           set type dynamic
           set interface "wan1"
           set ike-version 2
   ......
       next
   end
   
   config vpn ipsec phase2-interface
       edit "IPSec_Dialup"
           set phase1name "IPSec_Dialup"
           set replay disable
       next
   end

3. 对端设备将 VPN 隧道的 Remote Gateway 配置为该附加 IP（202.1.1.3）时，隧道无法正常建立，开启 IKE Debug 后出现 no proposal chosen 报错（即使对端发起的安全提议和本端配置的安全提议完全一致）：

   comes 39.183.172.30:64916->202.1.1.3:500,ifindex=41,vrf=0,len=373....
   ......
   ike V=root:0:93bce19daab14410/0000000000000000:3056: incoming proposal:
   ike V=root:0:93bce19daab14410/0000000000000000:3056: proposal id = 1:
   ike V=root:0:93bce19daab14410/0000000000000000:3056:   protocol = IKEv2:
   ike V=root:0:93bce19daab14410/0000000000000000:3056:      encapsulation = IKEv2/none
   ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=ENCR, val=AES_CBC (key_len = 128)
   ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=INTEGR, val=AUTH_HMAC_SHA_96
   ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=PRF, val=PRF_HMAC_SHA
   ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=DH_GROUP, val=ECP384.
   ......
   ike V=root:0:93bce19daab14410/0000000000000000:3056: my proposal, gw IPSec_Dialup:
   ike V=root:0:93bce19daab14410/0000000000000000:3056: proposal id = 1:
   ike V=root:0:93bce19daab14410/0000000000000000:3056:   protocol = IKEv2:
   ike V=root:0:93bce19daab14410/0000000000000000:3056:      encapsulation = IKEv2/none
   ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=ENCR, val=AES_CBC (key_len = 128)
   ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=INTEGR, val=AUTH_HMAC_SHA_96
   ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=PRF, val=PRF_HMAC_SHA
   ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=DH_GROUP, val=ECP384.
   ike V=root:0:93bce19daab14410/0000000000000000:3056: lifetime=86400
   ......
   ike V=root:0:93bce19daab14410/0000000000000000:3056: no proposal chosen

问题原因

• FortiGate 默认使用接口的主 IP 进行 IKE 协商，当需要使用附加 IP 建立 VPN 隧道时，必须在 Phase 1 配置中通过 local-gw 参数显式指定。
• 当对端发起到附加 IP 的 VPN 连接时，本端 FortiGate 仍会尝试用主 IP 进行协商，导致 IP 地址不匹配，最终报 no proposal chosen 错误。

解决方法

1. 在 IPSec 一阶段配置中，通过 local-gw 显式指定附加 IP，使 FortiGate 使用该 IP 进行 IKE 协商：

   重要

   local-gw 指定的 IP 必须已在对应接口上完成配置（主 IP 或附加 IP 均可）。

   

   config vpn ipsec phase1-interface
       edit "IPSec_Dialup"
           set interface "wan1"
           set local-gw 202.1.1.3
       next
   end

2. 配置完成后，对端与 FortiGate 建立 IPSec 时，IKE Debug 中显示协商成功：

   ......
   ike V=root: SA proposal chosen, matched gateway IPSec_Dialup
   ike V=root:0:Tunnel1:Tunnel1: created connection: 0xb5be700 9 39.183.172.30->202.1.1.3:1012

IPSec 隧道绑定到 loopback 接口，且公网出口存在多 ISP 的 ECMP 场景时，IPSec 隧道可能无法建立。

1. FortiGate 有两个 ISP 出口，默认路由在两个 ISP 出口上等价负载。

   FortiGate #   get router info routing-table all
   ......
   Routing table for VRF=0
   S*      0.0.0.0/0 [10/0] via 101.1.1.1, wan1, [1/0]
                     [10/0] via 202.1.1.1, wan2, [1/0]
   ......

2. IPSec 连接绑定在 loopback 接口，local-gw 配置为 wan2 的 IP 地址，NAT-T 配置为默认的开启状态（set nattraversal enable）。

   config vpn ipsec phase1-interface
       edit "IPSec_Dialup"
           set type dynamic
           set interface "loopback1"
           set ike-version 2
           set peertype any
           set net-device disable
           set mode-cfg enable
           set dpd on-idle
           set eap enable
           set eap-identity send-request
           set authusrgrp "IPSec-Group"
           set ipv4-start-ip 10.13.0.129
           set ipv4-end-ip 10.13.0.254
           set dns-mode auto
           set ipv4-split-include "intranet"
           set nattraversal enable
           set psksecret xxxxxxxx
       next
   end

3. FortiClient 连接 FortiGate 的 IPSec，拨号连接失败。在 FortiClient 侧抓包可以看到一直在重发 IKEv2 第一个协商包 IKE_SA_INIT (Initiator Request)，但没有收到 FortiGate 的任何响应。

   1 16:10:20.828351600 192.168.1.10 202.1.1.2 a69f9452f9fc9bc4 IKE_SA_INIT MID=00 Initiator Request
   2 16:10:23.506134300 192.168.1.10 202.1.1.2 a69f9452f9fc9bc4 IKE_SA_INIT MID=00 Initiator Request
   3 16:10:26.510410100 192.168.1.10 202.1.1.2 a69f9452f9fc9bc4 IKE_SA_INIT MID=00 Initiator Request
   4 16:10:29.511326300 192.168.1.10 202.1.1.2 a69f9452f9fc9bc4 IKE_SA_INIT MID=00 Initiator Request
   ......

4. 从 FortiGate 处抓包可以看到 FortiGate 从 wan2 接收了 FortiClient 发送的 IKE_SA_INIT (Initiator Request)，但从 wan1 接口返回了 IKEv2 第 2 个包 IKE_SA_INIT (Responder Response)，没有源进源出。

   R2-601F # diagnose sniffer packet any "host 60.247.121.226" 4 0 l
   interfaces=[any]
   filters=[host 60.247.121.226]
   2026-03-13 11:14:58.393925 wan2 in 60.247.121.226.500 -> 202.1.1.2.500: udp 328
   2026-03-13 11:14:58.393985 wan1 out 202.1.1.2.500 -> 60.247.121.226.500: udp 268
   2026-03-13 11:15:04.403999 wan2 in 60.247.121.226.500 -> 202.1.1.2.500: udp 328
   2026-03-13 11:15:04.404026 wan1 out 202.1.1.2.500 -> 60.247.121.226.500: udp 268
   ......

5. 在 FortiGate 上查看 IKEv2 会话，reply 没有遵循 session 优先的原则源进源出，而是独立进行了 RIB 的查找。

   session info: proto=17 proto_state=01 duration=0 expire=179 timeout=0 refresh_dir=both flags=00000000 socktype=0 sockport=0 av_idx=0 use=3
   origin-shaper=
   reply-shaper=
   per_ip_shaper=
   class_id=0 ha_id=0 policy_dir=0 tunnel=/ vlan_cos=0/0
   state=log local may_dirty 
   statistic(bytes/packets/allow_err): org=401/1/1 reply=288/1/1 tuples=2
   tx speed(Bps/kbps): 0/0 rx speed(Bps/kbps): 0/0
   orgin->sink: org pre->in, reply out->post dev=41->46/46->39 gwy=0.0.0.0/0.0.0.0
   hook=pre dir=org act=noop 60.247.121.226:21733->202.1.1.2:500(0.0.0.0:0)
   hook=post dir=reply act=noop 202.1.1.2:500->60.247.121.226:21733(0.0.0.0:0)
   misc=0 policy_id=101 pol_uuid_idx=16314 auth_info=0 chk_client_info=0 vd=0
   serial=7a971a9d tos=ff/ff app_list=0 app=0 url_cat=0
   rpdb_link_id=00000000 ngfwid=n/a
   npu_state=0x001000
   no_ofld_reason:  local

问题原因

在未开启强制 NAT-T（set nattraversal forced）的情况下，IKE（IPSec 一阶段）与 ESP（IPSec 二阶段）是独立会话。隧道绑定到 loopback 且存在冗余 ISP 时，IKE 与 ESP 流量可能走不同路径，入向与出向 IKE 协商可能经过不同接口，导致部分客户端无法建立隧道。

解决方法

在 IPSec 一阶段配置中开启 loopback-asymroute 控制 IKE 流量是否允许异步路由，该命令仅在一阶段绑定接口为 loopback 时可见。

config vpn ipsec phase1-interface
    edit <name>
        set interface <loopback interface name>
        set loopback-asymroute {enable | disable}
    next
end

• enable（默认）：允许入向/出向 IKE 流量走不同接口（允许异步）。
• disable：要求入向/出向 IKE 流量走同一接口（源进源出）。

在 7.4.8、7.6.4、8.0.0 及以后版本，以下情况会触发强制自动升级（FortiGate 所有型号），不受有效 License 自动升级设置的影响：

1. 过期的 Firmware & General Updates 合同：若设备未绑定有效的 FMGR 合同（Firmware & General Updates）或该合同已过期，系统将强制升级至最新补丁版本（主次版本号保持不变，例如 7.4.X 会升级到 7.4 最新的版本，而不会升级到 7.6.X）。

2. 固件版本支持周期终止：当设备固件达到官方 工程支持终止日期（End of Engineering Support，简称 EOES，该时间可以登录 https://support.fortinet.com/support/#/lifecycle 查询）时，系统将强制升级至最新版本（主次版本号保持不变，例如 7.4.X 会升级到 7.4 最新的版本，而不会升级到 7.6.X）。

   提示

   注意 EOES 时间并非 EOS（End of Support）时间，通常比 EOS 时间要早：

   • EOES 指 Fortinet 不再对该版本做代码更新（除非是 critical 级别的问题）。
   • EOS 指 Fortinet 不再对该版本提供技术支持。
   • 关于产品生命周期的更多信息请参考系统管理 → 固件与配置管理 → 固件版本管理 → 产品生命周期章节。

   相关信息

   2026-03-31，Fortinet 发布公告 CSB-260330-1：FortiOS、FortiManager、FortiAnalyzer 的 7.4 与 7.6 版本支持生命周期延长 12 个月，EOES 与 EOS 日期整体顺延 1 年。

   因此，7.4.x/7.6.x 分支基于 EOES 触发的强制升级时间点也会相应后移；请以 https://support.fortinet.com/support/#/lifecycle 页面显示时间为准。

3. 如果设备已经加入了 FortiManager 管理，强制升级机制会被禁用。

避免强制升级的 Workaround

1. 将设备加入 FortiManager 管理（推荐）。

   config system central-management
       set type fortimanager
   end
   
   The Serial Number for FortiManager is not entered.
   In order to verify identity of FortiManager serial number is needed.
   If serial number is not set, connection will be set as unverified.
   FortiGate can establish a connection to obtain the serial number now.Do you want to try to connect now? (y/n)n

   提示

   • 配置中不需要填写实际的 FortiManager IP 地址。只要启用了 FortiManager 管理类型，强制升级机制就会被禁用。

   • 在执行上述命令后，系统可能会弹出确认信息，键入 n 以提交配置。

   • 启用 fortimanager 模式并不会自动开放防火墙的入站端口。接口的访问权限是由接口下的 fgfm 选项独立控制的。

   • 如果实际环境中并不使用 FortiManager，建议检查并确保所有网络接口上的 fgfm 选项已被禁用（该选项仅用于 FortiManager 主动连接 FortiGate 的模式，如果是 FortiGate 主动连接 FortiManager，也不需要开启 fgfm）。

     FortiGate # show sys int | grep fgfm -f
     config system interface
         edit "wan1"
             set vdom "root"
             set ip 192.168.100.99 255.255.255.0
             set allowaccess ping https ssh http fgfm <

默认情况下，管理员密码连续输错 3 次后，账户会被锁定 60 秒。

如果需要提高设备管理面的安全性，可以通过 CLI 调整管理员密码的重试次数与锁定时长。

配置方法

config system global
    set admin-lockout-threshold <failed_attempts>
    set admin-lockout-duration <seconds>
end

• admin-lockout-threshold：管理员登录失败后触发锁定的阈值，默认值为 3，范围 1~10。
• admin-lockout-duration：触发锁定后的等待时间，单位为秒，默认值为 60，范围 1~2147483647。

例如，设置管理员密码输错 1 次即锁定，锁定时间为 5 分钟。

config system global
    set admin-lockout-threshold 1
    set admin-lockout-duration 300
end

FortiGate 的固件升级能力由 Firmware & General Updates (FMWR) 合同控制。

从 FortiOS 7.4.2 开始，系统会阻止“支持合同已过期”的设备升级到不满足许可条件的目标版本（主要版本、次要版本以及相关补丁版本）。

许可证校验规则

设备升级到目标版本前，会比较以下两个时间：

• 当前 FMWR 合同到期日期。
• 目标版本所属主/次版本的首个 GA .0 发布日期。

判定规则如下：

• 到期日期 晚于或等于目标 GA .0 发布日期：允许升级。
• 到期日期 早于目标 GA .0 发布日期：拒绝升级。

例如，目标版本是 7.6.3，实际对比的是 7.6.0 GA 的发布日期，而不是 7.6.3 的发布日期。

升级权限示例

假设各次版本首个 GA 版本发布日期如下（示例）：

| 版本 | 首个 GA 版本 | 发布日期 | |

| License 类型 | 到期影响 | |

在术语使用上，组播 "转发（forwarding）" 和 "路由（routing）" 这两个功能有时会让人混淆。这两个功能不应同时进行：

• 当 FortiGate 处于 NAT 模式并且需要在组播路由器和接收者之间转发组播数据包时，应启用组播转发。
• 当 FortiGate 本身作为组播路由器运行，或者具有使用组播的适用路由协议时，应启用 PIM 协议。

组播转发行为

组播转发的行为在 NAT 模式和透明模式下有所区别。

NAT 模式

config system settings
    set multicast-forward {enable | disable}
end

• enable（默认）：FortiGate 会将 TTL ≥ 2 的所有组播 IP 数据包转发到所有接口和 VLAN 接口（接收接口除外）。IP 报文头中的 TTL 值会减 1，必须添加组播策略以允许组播数据包通过 FortiGate。

  相关信息

  如需转发 TTL=1 的组播，请参考：路由 → 组播 → TTL=1 的组播无法转发章节。

• disable：不会转发任何组播报文，即使配置了放通的组播策略。

透明模式

config system settings
    set multicast-skip-policy disable
end

• enable：允许通过 FortiGate 传输组播流量，无需创建组播策略。
• disable（默认）：需要配置组播策略才能放通对应的组播流量（但透明模式下默认存在一条 any ↔any 的全放通组播策略，所以组播在默认配置下是放通的）。

组播策略

提示

IPv4 和 IPv6 组播策略可以在 GUI 中配置。进入系统管理 > 可见功能，启用组播策略和 IPv6。

config firewall multicast-policy
    edit <policy_id>
        set name "<policy_name>"
        set srcintf "<interface>"
        set dstintf "<interface>"
        set srcaddr "<address_object>"
        set dstaddr "<multicast_address>"
        set action {accept | deny}
        set status {enable | disable}
        set snat {enable | disable}          # 是否启用源 NAT
        set snat-ip <IP_address>             # SNAT 转换的 IP 地址
        set dnat <IP_address>                # 目标 NAT 地址
        set comments "<string>"
    next
end

• 默认配置下，无论是 NAT 模式还是透明模式，组播数据包都需要组播策略才能允许数据包从一个接口传递到另一个接口。
• 与防火墙策略类似，在组播策略中，需要指定源接口和目标接口，以及数据包源地址和目标地址允许的地址范围。还可以使用组播策略为组播数据包配置 SNAT 和 DNAT。

配置示例

FortiGate（NAT 模式）接受从 IP 地址为 192.168.100.77 的 PC 发送到目标地址范围 239.168.4.0-255 的组播数据包。该策略允许组播数据包进入 lan 接口，然后从 wan1 接口发出。当数据包离开 wan1 接口时，其源地址将转换为 10.10.12.2。

1. 创建源地址对象。

   config firewall address
       edit "192.168.100.77/32"
           set subnet 192.168.100.77 255.255.255.255
       next
   end

2. 创建组播目标地址对象。

   config firewall multicast-address
       edit "239.168.4.0/24"
           set start-ip 239.168.4.0
           set end-ip 239.168.4.255
       next
   end

3. 配置包含 SNAT 的组播策略。

   提示

   • SNAT 转换的源地址默认为出接口 wan1 的 IP。
   • 如需修改 SNAT 转换的源地址，需要在 CLI 中配置。
   

   config firewall multicast-policy
       edit 1
           set srcintf "lan"
           set dstintf "wan1"
           set srcaddr "192.168.100.77/32"
           set dstaddr "239.168.4.0/24"
           set snat enable         # 启用 SNAT
           set snat-ip 10.10.12.2  # SNAT 转换后的 IP 地址
       next
   end

多 VDOM 模式

在 FortiGate 开启多 VDOM 模式时，避免创建全通（any-to-any）的全通组播策略引起组播网络环路。

• 默认情况下，在支持 NPU 虚拟链路的型号上，将 vdom-mode 更改为 multi-vdom 时会在同一个 root VDOM 中创建一对 npu0_vlink0 和 npu0_vlink1 接口。
• 由于全通组播策略和 npu0_vlink 接口实际上是虚拟连接的，因此会形成组播网络环路。

因此，在开启多 VDOM 模式时：

1. 在将 FortiGate 切换到多 VDOM 模式之前，确保不存在全通的组播策略。

2. 如果必须定义全通组播策略，确保没有两个相连的接口（如 npu0_vlink0 和 npu0_vlink1）属于同一个 VDOM。

组播环路配置示例

1. 启用 multi-VDOM 模式。

   config system global
       set vdom-mode multi-vdom
   end

2. 配置全放通的组播策略。

   config firewall multicast-policy
       edit 1
           set logtraffic enable
           set srcintf "any"
           set dstintf "any"
           set srcaddr "all"
           set dstaddr "all"
       next
   end

3. 查看接口配置，两个 vlink 接口都在同一个 root VDOM 中。

   show system interface
   config system interface
       edit "npu0_vlink0"
           set vdom "root"    ←

在 IPsec VPN 远程接入场景中，用户组用于在建立隧道前对远程用户进行身份认证。一个 IPsec VPN 隧道可以关联单个用户组或多个用户组。

用户组在 IPSec VPN 隧道中的配置位置可以存在于 2 处位置：

• 配置在 IPSec Phase 1（P1）中：只能使用一个用户组。
• 配置在防火墙策略（Policy）中：
  • 同一条防火墙策略可以同时配置多个用户组。
  • 不同的防火墙策略可以配置不同的用户组，为不同的用户组分配不同的访问权限。
  • 类似 SSL VPN 的 Portal（门户）功能，这在将 SSL VPN 迁移到 IPSec 时非常有用。

网络拓扑

• 用户 user1、user2 属于用户组 group1，用户 user3 属于用户组 group2。
• user1/user2/user3 分别通过 FortiClient IPSec VPN 拨号连接 FortiGate，访问 Server1/Server2。
• 在防火墙策略中控制：
  • 用户组 group1（user1/user2）拨号后只能访问 Server1，无法访问 Server2。
  • 用户组 group2（user3）拨号后只能访问 Server2，无法访问 Server1。

配置方法

基础网络配置略。

IPSec 一阶段配置用户组

只能使用一个用户组，配置方法请参考：VPN → IPSec VPN → 拨号 VPN → FortiClient 拨号章节。参考配置如下：

config vpn ipsec phase1-interface
    edit "IPSec_Dialup"
        set type dynamic
        set interface "port1"
        set ike-version 2
        set peertype any
        set net-device disable
        set mode-cfg enable
        set proposal aes128-sha256 aes256-sha256 aes128gcm-prfsha256 aes256gcm-prfsha384 chacha20poly1305-prfsha256
        set dhgrp 20 21
        set eap enable
        set eap-identity send-request
        set authusrgrp "group1"
        set transport udp
        set ipv4-start-ip 10.100.1.100
        set ipv4-end-ip 10.100.1.200
        set dns-mode auto
        set ipv4-split-include "Server"
        set save-password enable
        set psksecret xxxxxx
    next
end

config vpn ipsec phase2-interface
    edit "IPSec_Dialup"
        set phase1name "IPSec_Dialup"
        set proposal aes128-sha1 aes256-sha1 aes128-sha256 aes256-sha256 aes128gcm aes256gcm chacha20poly1305
        set dhgrp 20 21
    next
end

防火墙策略配置用户组

1. 根据网络拓扑中的内容创建用户与用户组。

   config user local
       edit "guest"
           set type password
           set xxxxxx
       next
       edit "user1"
           set type password
           set passwd xxxxxx
       next
       edit "user2"
           set type password
           set passwd xxxxxx
       next
       edit "user3"
           set type password
           set xxxxxx
       next
   end
   
   config user group
       edit "group1"
           set member "user1" "user2"
       next
       edit "group2"
           set member "user3"
       next
   end

2. 进入“VPN → VPN 向导”页面，模板选择“远程访问”，填写隧道名称，并点击“开始”按钮。

   

3. 配置 VPN 隧道相关信息。

   

   • 认证方法：根据需求选择，这里以预共享密钥为例。

   • IKE：由于 FortiClient 在 7.4.4 版本开始不再支持 IKEv1，这里推荐使用 IKEv2。

   • 传输：使用 UDP，如使用 UDP 协商失败，再尝试使用自动方式。

   • EAP 对等体识别：使用默认的 EAP 认证。

   • 用户身份验证方法：选择“从策略继承”，并选择用户组 group1 和 group2。如果选择“阶段 1 接口”，则只能选择一个用户组。

     提示

     • FortiOS 7.6 以下版本的 GUI 向导没有“从策略继承”选项，可以在 GUI 向导配置时先选择一个用户组，在向导配置结束后，修改 IPSec 隧道配置，在 XAUTH 处将用户组的模式修改为“从策略继承”。

       

     • 也可以在 IPSec 一阶段的 CLI 配置中取消引用用户组，即可达到“从策略继承”相同的配置效果。

       config vpn ipsec phase1-interface
           edit "IPSec_Dialup"
               unset authusrgrp "group1"
           next
       end

4. 配置给客户端分配的 IP 地址范围。

   

5. 配置本地 FortiGate 相关信息。

   
   • 与隧道绑定的输入接口：选择用于接入 VPN 的互联网接口。
   • 本地接口：面向内网服务器 Server1 和 Server2 的接口。
   • 本地地址：客户端拨号成功后访问的内网资源（隧道分割），这里以 Server1 和 Server2 所在的网段为例。

6. 检查配置无误后，提交配置（可以修改自动生成的隧道分割地址/地址组、防火墙策略名称）。

   

7. 向导自动生成的隧道分割地址组与 IPSec 一阶段/二阶段配置 CLI 命令。

   config firewall addrgrp
       edit "IPSec_Dialup_split"
           set member "Server1_10.10.1.0/24" "Server2_10.10.2.0/24"
           set comment "VPN: IPSec_Dialup -- Created by VPN wizard"
           set uuid be3f392e-fdaf-51f0-431c-681b8197a201
       next
   end
   
   config vpn ipsec phase1-interface
       edit "IPSec_Dialup"
           set type dynamic
           set interface "port1"
           set ike-version 2
           set peertype any
           set net-device disable
           set mode-cfg enable
           set proposal aes128-sha256 aes256-sha256 aes128gcm-prfsha256 aes256gcm-prfsha384 chacha20poly1305-prfsha256
           set comments "VPN: IPSec_Dialup -- Created by VPN wizard"
           set dhgrp 20 21
           set eap enable
           set eap-identity send-request
           set wizard-type dialup-forticlient
           set transport udp
           set ipv4-start-ip 10.100.1.100
           set ipv4-end-ip 10.100.1.200
           set dns-mode auto
           set ipv4-split-include "Server"
           set save-password enable
           set psksecret ENC aZFKK834W6UFV39Tkp9enmmHi5ke2PbXeCsnrExTfzHtYHqaUgcirBnxASvBdeCVQjph+8WW2MJXd59ZWSr2OcfpbNK5k3AGqNBzbXvSY/Is4Yo5nUKmhBEH9oPkuUlhyp4+ibXcYd4Eq1Di0aIfloxfPCFCn5MNPQDOQ0YH6BTu+gCTcU8kIaiysXW7gytAEa0HLllmMjY3dkVA
       next
   end
   
   config vpn ipsec phase2-interface
       edit "IPSec_Dialup"
           set phase1name "IPSec_Dialup"
           set proposal aes128-sha1 aes256-sha1 aes128-sha256 aes256-sha256 aes128gcm aes256gcm chacha20poly1305
           set dhgrp 20 21
           set comments "VPN: IPSec_Dialup -- Created by VPN wizard"
       next
   end

8. 查看自动生成的防火墙策略，只有 1 条。

   

   config firewall policy
       edit 1
           set name "vpn_IPSec_Dialup_local_allow"
           set uuid be44468a-fdaf-51f0-0db3-180ea9115c6d
           set srcintf "IPSec_Dialup"
           set dstintf "port2"
           set action accept
           set srcaddr "IPSec_Dialup_range"
           set dstaddr "Server1_10.10.1.0/24" "Server2_10.10.2.0/24"
           set schedule "always"
           set service "ALL"
           set nat enable
           set groups "group1" "group2"
           set comments "VPN: IPSec_Dialup -- Created by VPN wizard"
       next
   end

9. 为了实现网络拓扑中的需求，需要将其拆分成 2 条策略。

   提示

   • VPN 向导自动创建的防火墙策略开启了 NAT，在此拓扑下防火墙策略不需要 NAT（Server 配置的网关均为 FortiGate），所以这里关闭了 2 条防火墙策略的 NAT。
   • 为了后续验证结果，开启了防火墙策略的日志记录功能，与隐含策略的日志记录功能。

   重要

   不要在 IPSec 一阶段（config vpn ipsec phase1-interface）和防火墙策略（config firewall policy）中同时配置用户组，可能会产生匹配逻辑问题。

   • 用户组 group1（user1/user2）拨号后只能访问 Server1，无法访问 Server2。
   • 用户组 group2（user3）拨号后只能访问 Server2，无法访问 Server1。
   

   config firewall policy
       edit 1
           set name "IPSec_Dialup_Server1"
           set srcintf "IPSec_Dialup"
           set dstintf "port2"
           set action accept
           set srcaddr "IPSec_Dialup_range"
           set dstaddr "Server1_10.10.1.0/24"
           set schedule "always"
           set service "ALL"
           set logtraffic all
           set groups "group1" "group2"
       next
       edit 2
           set name "IPSec_Dialup_Server2"
           set srcintf "IPSec_Dialup"
           set dstintf "port3"
           set action accept
           set srcaddr "IPSec_Dialup_range"
           set dstaddr "Server2_10.10.2.0/24"
           set schedule "always"
           set service "ALL"
           set logtraffic all
           set groups "group2"
       next
   end
   
   config log setting
       set fwpolicy-implicit-log enable
   end

结果验证

用户组 group1（user1/user2）拨号后只能访问 Server1，无法访问 Server2

1. user1 在 FortiClient 客户端（这里以 FortiClient 7.4.5 为例）创建新的 VPN 连接。

2. 配置 IPSec VPN 服务器 IP、预共享密钥、用户名等信息。

   

3. 配置 IKE 版本为 IKEv2，封装模式选择 IKE UDP Port，保存配置。

   

4. 在已创建的 IPSec VPN 连接处点击“Connect”按钮。

   

5. 填写账号与密码信息后，连接成功，客户端获取到 IP 地址。

   

6. 在 FortiGate 查看 IPSec VPN 连接状态，可以看到用户、分配 IP 等信息。

   

   FortiGate # diagnose vpn ike gateway list
   
   vd: root/0
   name: IPSec_Dialup_0
   version: 2
   interface: port1 3
   addr: 192.168.100.2:4500 -> 192.168.100.177:60054
   tun_id: 10.100.1.100/::10.0.0.3
   remote_location: 0.0.0.0
   network-id: 0
   transport: UDP
   created: 226s ago
   eap-user: user1
   2FA: no
   groups:
     group1 2
   peer-id: Summerices-MacBook-Pro.local
   peer-id-auth: no
   FortiClient UID: 20835405F599455B9842348F3C690201
   assigned IPv4 address: 10.100.1.100/255.255.255.255
   nat: me peer
   pending-queue: 0
   PPK: no
   IKE SA: created 1/1  established 1/1  time 90/90/90 ms
   IPsec SA: created 1/1  established 1/1  time 0/0/0 ms
   
     id/spi: 1 6407f45520af6972/d9cb1bf711638b46
     direction: responder
     status: established 226-226s ago = 90ms
     proposal: aes128-sha256
     child: no
     SK_ei: 9efb8e596a94ba16-e8413fbb04e8b1e4
     SK_er: 18498c9de912c217-262cf929e0f6fb69
     SK_ai: 07232eb37b90dc57-dc1fff11d04b9aa9-a4243c35bd248fe6-a5184bfd5cface85
     SK_ar: 576c723eb43b4c88-bdedd73cafa477e2-da3e2da3074321e9-3c603271b327927e
     PPK: no
     message-id sent/recv: 0/17
     QKD: no
     PQC-KEM (IKE): no
     PQC-KEM (all IPsec): no
     lifetime/rekey: 86400/85903
     DPD sent/recv: 00000000/00000000
     peer-id: Summerices-MacBook-Pro.local

7. 在 user1 的 PC 查看路由表，可以看到 FortiGate 给 user1 的 PC 推送了 Server1 和 Server2 两个网段的路由。

   提示

   这里以 macOS 为例，Windows 请在 CMD 下使用 route print -4 命令查看。

   user1 # netstat -nr -f inet
   Routing tables
   
   Internet:
   Destination        Gateway            Flags               Netif Expire
   ......
   10.10.1/24         10.100.1.100       UGSc                utun8
   10.10.2/24         10.100.1.100       UGSc                utun8
   ......

8. user1 的 IPSec 拨号成功后，访问 Server1，可以正常访问，相关流量日志显示匹配防火墙策略 ID 1。

   user1 # ping 10.10.1.100 -c 3
   PING 10.10.1.100 (10.10.1.100): 56 data bytes
   64 bytes from 10.10.1.100: icmp_seq=0 ttl=127 time=4.712 ms
   64 bytes from 10.10.1.100: icmp_seq=1 ttl=127 time=4.943 ms
   64 bytes from 10.10.1.100: icmp_seq=2 ttl=127 time=3.157 ms

FortiGate 可以指定 FortiGuard 更新服务器的地理位置，用于控制 FortiGate 在进行以下云服务通信时所连接的服务器区域，该配置常用于优化访问延迟与稳定性或满足合规要求（如数据或流量需限定在特定区域）：

• 安全特征库更新（AV/IPS/应用控制等）。
• Web Filter/DNS Filter/Email Filter 等分类与评级服务查询。
• IoT 识别与相关云服务。

可选服务器位置

FortiGate 当前支持 3 种更新服务器位置策略。

最低延迟配置（automatic）

推荐配置，FortiGate 根据网络条件自动选择时延最低的 FortiGuard 服务器（可能位于不同区域）。

• 适用场景：
  • 硬件 FortiGate 的默认配置。
  • 追求最优性能与更新/查询速度。
• Anycast 域名：
  • globalupdate.fortinet.net
  • globalguardservice.fortinet.net
• 非 Anycast 域名：
  • update.fortiguard.net
  • UDP：service.fortiguard.net
  • HTTPS：securewf.fortiguard.net

仅欧洲（eu）

FortiGate 仅使用位于欧盟区域的 FortiGuard 服务器。

• 适用场景：
  • 欧盟数据合规（如 GDPR）。
  • 明确要求 FortiGuard 相关流量不得出 EU。
• Anycast 域名：
  • euupdate.fortinet.net
  • euguardservice.fortinet.net

仅美国（us）

FortiGate 仅使用位于美国的 FortiGuard 服务器。

• 适用场景：
  • 私有云/VM FortiGate 的默认配置。
  • 网络出口明确位于美国。
• Anycast 域名：
  • usupdate.fortinet.net
  • usguardservice.fortinet.net
• 非 Anycast 域名：
  • usupdate.fortiguard.net
  • UDP：usservice.fortiguard.net
  • HTTPS：ussecurewf.fortiguard.net

默认行为

| 设备类型 | 默认更新服务器位置 | |

保护 SSL 服务器（Protecting SSL Server）是 SSL/SSH 检测配置文件中的一种工作模式，主要用于入站（Inbound）HTTPS 流量的解密与安全检测。

该功能通常应用在互联网客户端访问位于 FortiGate 后端的真实服务器的场景中（反向代理），通常在映射真实服务器的 VIP 策略中调用，例如：

• 公网用户访问内网 Web Server。
• 反向代理/发布服务器场景。
• 对外提供 HTTPS 服务的业务系统。

工作模式

在启用“保护 SSL 服务器”模式后，FortiGate 的工作方式如下：

1. FortiGate 使用真实服务器的 SSL 证书。
2. FortiGate 模拟真实服务器，与客户端建立 SSL 会话：
   • FortiGate 并不使用自签名 CA 证书，而是直接向客户端发送真实服务器的证书。
   • 如果使用的真实服务器证书是公网权威 CA 颁发的证书（或客户端手动信任了该证书），客户端不会出现证书不信任提示。
   • 真实服务器可以是 HTTP（实现 SSL 卸载），也可以是 HTTPS。
3. FortiGate 解密 HTTPS 流量。
4. 对解密后的流量执行安全检测（如 IPS、AV 等）。
5. 再将流量转发给真实服务器（反向代理）。

适用场景

“保护 SSL 服务器”模式适用于以下场景：

• 需要对入站 HTTPS 流量进行深度安全检测（如 IPS、AV 等）。
• 服务器证书（需要携带私钥，如 PFX/PKCS#12 格式）可以导出并部署在 FortiGate 上。
• 希望客户端看到的证书与服务器真实证书一致。
• 业务允许 FortiGate 作为 SSL 解密终端。

不适用场景：

• 服务器证书无法导出。
• 不允许中间设备接触服务器私钥。
• 仅需基础证书检查、不希望解密流量。

网络拓扑

• FortiGate 通过 VIP 策略发布 HTTPS 网站 https://handbook.fortinet.com.cn。
• HTTPS 网站的 SSL 证书安装在 FortiGate 上，并对访问 VIP 的 HTTPS 流量做 IPS 检查。
• 客户端的 DNS 服务器将 handbook.fortinet.com.cn 解析到 FortiGate 的 VIP 地址。
• 客户端通过 Internet 访问 handbook.fortinet.com.cn，看到的网站 SSL 证书为 FortiGate 提供。

配置方法

前置条件

• 已获取服务器的 SSL 证书文件，通常包含：
  • 证书（Certificate）。
  • 私钥（Private Key），PFX/PKCS#12 格式的公钥和私钥在一个文件中。
  • 可能还包含中间证书链。
• FortiGate 具备导入本地证书的权限。
• 该证书 SAN 与服务器域名匹配。

配置步骤

1. 导入服务器的 SSL 证书（含私钥，如 PFX/PKCS#12 格式，步骤参考：系统管理 → 系统设置 → 证书管理章节）。

   重要

   • 网站证书的 SAN（Subject Alternative Name）字段需要是网站真实的 FQDN（也可以是通配符方式）。否则访问时会产生证书告警。如下所示，网站 handbook.fortinet.com.cn 所使用的网站 SSL 证书的 SAN 为 *.fortinet.com.cn（通配符方式）。
   • 网站的 SSL 证书需要是公网权威 CA 颁发的证书（或客户端手动信任了该证书），否则客户端访问时会出现证书不信任提示。
   

2. 创建或编辑 SSL/SSH 检测配置文件，在“启用 SSL 检测”处选择“保护 SSL 服务器”，在“服务器证书”处选择上步导入的服务器证书，保存配置。

   

   config firewall ssl-ssh-profile
       edit "test-protecting-ssl-server"
           config https
               set ports 443
               set status deep-inspection
               set quic inspect
           end
           config ftps
               set status disable
           end
           config imaps
               set status disable
           end
           config pop3s
               set status disable
           end
           config smtps
               set status disable
           end
           config ssh
               set ports 22
               set status disable
           end
           config dot
               set status disable
               set quic inspect
           end
           set server-cert-mode replace
           set server-cert "fortinet.com.cn"
       next
   end

3. 在 Web 服务器的 VIP 映射策略中应用上步创建的 SSL/SSH 检测配置文件，

   config firewall vip
       edit "Web_Server_VIP"
           set extip 10.10.12.100
           set mappedip 192.168.100.77
           set extintf wan1
           set portforward enable
           set extport 443
           set mappedport 443
       next
   end
   
   config firewall policy
       edit 7
           set name "Web_Server_SSL_Protect"
           set srcintf "wan1"
           set dstintf "lan"
           set action accept
           set srcaddr "all"
           set dstaddr "Web_Server_VIP"
           set schedule "always"
           set service "ALL"
           set utm-status enable
           set ssl-ssh-profile "test-protecting-ssl-server"
           set ips-sensor "default"
       next
   end

4. 客户端通过 FortiGate 的 VIP 访问 https://handbook.fortinet.com.cn，网站 SSL 证书由 FortiGate 提供，未出现证书告警。

   

5. 相关流量日志在“本地流量”分类中显示，源 IP 为 FortiGate 的 wan1 接口 IP。

   提示

   • 上步中引用 VIP 的防火墙策略 ID 为 7，从配置上看客户端是通过防火墙策略 + VIP 的方式访问 handbook.fortinet.com.cn，直觉上相关日志应该在“转发流量”分类中显示。
   • 但实际上相关流量日志在“本地流量”分类中显示，这说明 FortiGate 是使用反向代理的方式访问真实服务器。

   date=2026-01-26 time=16:31:42 eventtime=1769416301197951804 tz="+0800" logid="0001000014" type="traffic" subtype="local" level="notice" vd="root" srcip=192.168.100.99 srcport=23235 srcintf="root" srcintfrole="undefined" dstip=192.168.100.77 dstport=443 dstintf="lan" dstintfrole="lan" srccountry="China" dstcountry="China" sessionid=3629352 proto=6 action="close" policyid=0 service="HTTPS" trandisp="noop" app="HTTPS" duration=5 sentbyte=3076 rcvdbyte=19676 sentpkt=28 rcvdpkt=24