FortiGate 中文一本通更新

管理员密码 PBKDF2 算法

Fri, 03 Jul 2026 06:46:24 GMT

功能简介

从 FortiOS 7.2.11、7.4.8、7.6.1 开始，FortiGate 在配置中保存管理员密码时，哈希算法从 SHA256 更新为 PBKDF2，以增强管理员密码的安全性。该变化只影响配置中保存的管理员本地密码哈希，不改变管理员登录方式。

升级到上述版本后，已有管理员密码不会在升级瞬间全部自动改写为 PBKDF2。管理员首次在新版本中成功登录，或由 super_admin 管理员手动修改该管理员密码后，FortiGate 才会把对应账号的 password 哈希更新为 PBKDF2。

哈希前缀可以用于快速判断当前状态：

SH2：SHA256，常见于 FortiOS 7.2.10、7.4.7、7.6.0 及更早版本生成的管理员密码哈希。
PB2：PBKDF2，表示管理员密码已经按新算法保存。

查看方法

升级后可以检查 config system admin 中各管理员账号的 password ENC 前缀，确认是否已经迁移到 PBKDF2。例如，以下输出中 admin 已经成功登录过新版本，因此密码哈希前缀为 PB2；ops_admin 还保持旧版本生成的 SH2 哈希。

# show system admin

config system admin
    edit "admin"
        set accprofile "super_admin"
        set vdom "root"
        set password ENC PB2GKSknZGJstyTsTuPx3F/4VxjcgtX24aMlBacJHZOaBZUmnX6ce7VVqoBTFul8C+3phcIM+r9BOK61V2joGJIMh6SF6ZEohxTtnGGRx+IB3M=
    next
    edit "ops_admin"
        set accprofile "prof_admin"
        set vdom "root"
        set password ENC SH2kJALD4njD7Iqy7ldtKq/vBZosD+iTZYlvbcEfEj1u/x/EvnUuwpp4fOjoz4=
    next
end

迁移方法

如果希望所有管理员账号都使用 PBKDF2 哈希，可以按以下 2种方式处理：

方法一：要求所有本地管理员在升级后的 FortiOS 版本中至少成功登录一次（任意登录方式，如SSH/Web），密码哈希方式会自动变为 PBKDF2。

方法二：也可以针对 SH2 哈希的管理员账号，由 super_admin 管理员手动修改密码。再次查看该管理员配置，确认 password ENC 已经变为 PB2 前缀。

config system admin
    edit "ops_admin"
        set password <new_password>
    next
end

show system admin
config system admin
    edit "ops_admin"
        set accprofile "prof_admin"
        set vdom "root"
        set password ENC PB2GKSknZGJstyTsTuPx3F/4VxjcgtX24aMlBwyJHZOaBZUmnX5te7VVqoBTFul8C+3phcIM+r9BOK62V6joGJIMh6SF6ZEohxTtnGGRx+IB5M=
    next
end

old-password 兼容字段

出于向后兼容考虑，管理员密码更新为 PBKDF2 后，旧的 SHA256 哈希可能仍然保存在隐藏的 old-password 字段中。该字段在管理员登录 FortiGate 后执行普通 show 命令时不可见，但 super_admin 导出的配置备份中可能看到类似内容：

config system admin
    edit "admin"
        set old-password ENC SH2xxxxxxxx
        set accprofile "super_admin"
        set vdom "root"
        set password ENC PB2xxxxxxxx
    next
end

如果需要彻底移除 old-password 中保留的 SH2 哈希，可以在密码策略中启用弱加密/降级锁定相关选项。

FortiOS 7.6 分支使用 login-lockout-upon-weaker-encryption：

config system password-policy
    set login-lockout-upon-weaker-encryption enable
end

FortiOS 7.2.x 和 7.4.x 分支使用 login-lockout-upon-downgrade：

config system password-policy
    set login-lockout-upon-downgrade enable
end

提示

启用该选项时，CLI 会提示确认风险：

The setting "login-lockout-upon-weaker-encryption" enhances the resistance of stored passwords against brute force attacks.
Once enabled, changing the FortiOS firmware to a version where safer passwords are unsupported will lock out administrative users.
Do you want to continue? (y/n)y

警告

启用弱加密/降级锁定选项后，如果再降级到不支持 PBKDF2 管理员密码哈希的 FortiOS 版本，只有 PB2 哈希且没有兼容 old-password 的管理员账号可能无法登录。计划降级前，应先确认目标版本支持当前密码哈希，或保留一个可在目标版本登录的本地管理员账号。

注意事项

仅管理员成功登录或管理员密码被重新设置时，对应账号的 password 哈希才会刷新。仅完成 FortiOS 升级并不代表所有管理员账号都已经改为 PB2。
如果配置备份会被导出到外部系统，建议在完成迁移后检查备份中是否仍存在 old-password ENC SH2，并按变更窗口评估是否启用弱加密/降级锁定选项。

SoftIRQ 高的排查方法

Wed, 01 Jul 2026 07:23:46 GMT

SoftIRQ 是软件中断。FortiGate 收到需要 CPU 处理、没有被 NPU 加速的流量时，可能看到 softirq 持续升高。CPU 高时如果 get system performance status 中 softirq 占比较高，应优先检查二层环路、广播风暴、异常流量、未卸载会话以及接口上的 Device Detection。

查看方法

查看 CPU 使用状态，确认是否为 softirq 占用高。

# get sys performance status

CPU states: 0% user 0% system 0% nice 67% idle 0% iowait 0% irq 33% softirq
CPU0 states: 0% user 0% system 0% nice 55% idle 0% iowait 0% irq 45% softirq
CPU1 states: 0% user 0% system 0% nice 19% idle 0% iowait 0% irq 81% softirq
CPU2 states: 1% user 0% system 0% nice 32% idle 0% iowait 0% irq 67% softirq
CPU3 states: 0% user 0% system 0% nice 66% idle 0% iowait 0% irq 34% softirq
Memory: 1911192k total, 1002652k used (52.5%), 645292k free (33.8%), 263248k freeable (13.8%)
......
Average sessions: 291687 sessions in 1 minute, 293226 sessions in 10 minutes, 293696 sessions in 30 minutes
......
Average NPU sessions: 35 sessions in last 1 minute, 36 sessions in last 10 minutes, 36 sessions in last 30 minutes
......

使用 diagnose sys mpstat 持续观察各 CPU 核心的软件中断变化。

提示

diagnose sys mpstat 默认每 5 秒刷新一次，按 Ctrl+C 停止。
diagnose sys mpstat 3 5 表示每 3 秒输出一次，共输出 5 次。 :::

# diagnose sys mpstat
# diagnose sys mpstat 3 5

Gathering data, wait 3 sec, press any key to quit.
..0..1..2
TIME        CPU    %usr   %nice    %sys %iowait    %irq   %soft  %steal   %idle
10:51:45 AM all    0.42    0.00    0.18    0.00    0.00   74.36    0.00   25.04
              0    0.99    0.00    0.99    0.00    0.00   96.04    0.00    1.98
              1    0.00    0.00    0.00    0.00    0.00   99.00    0.00    1.00
              2    0.00    0.00    0.00    0.00    0.00   98.02    0.00    1.98
              3    0.99    0.00    0.00    0.00    0.00  100.00    0.00    0.00

TIME        CPU    %usr   %nice    %sys %iowait    %irq   %soft  %steal   %idle
10:51:48 AM all    0.29    0.00    0.12    0.00    0.00   78.21    0.00   21.38
              0    0.00    0.00    0.99    0.00    0.00   97.03    0.00    1.98
              1    0.00    0.00    0.00    0.00    0.00  100.00    0.00    0.00
              2    0.99    0.00    0.00    0.00    0.00   99.01    0.00    0.00
              3    0.00    0.00    0.99    0.00    0.00   98.02    0.00    0.99
......

常见原因

二层环路、广播风暴、大量 ARP 请求、异常 IPv6/组播/ESP 等流量持续打到 FortiGate。
防火墙策略关闭了硬件卸载，或流量经过不支持 NPU 卸载的接口。
大量被策略拒绝的流量命中 FortiGate，默认不保留 denied session 时，FortiGate 会持续创建并删除临时拒绝会话。
config system settings 中启用了 ses-denied-traffic 时，大量不同的被拒绝会话进入会话表后增加 CPU 负载。
接口启用了 Device Detection，内核需要复制报文并映射给用户态进程检查。
Software Switch 流量未被 NP 卸载，尤其是 inter-switch-policy、接口类型和硬件支持不匹配时。
HA 使用 hardware switch 时 STP 未启用，上游交换网络异常后可能形成环路。

排查步骤

检查接口丢包计数，重点观察 Host TX dropped 是否持续增长。

# diagnose hardware deviceinfo nic 
============ Counters ===========
Rx_CRC_Errors :0
Rx_Frame_Too_Longs:0
rx_undersize :0
Rx Pkts :64880428536
Rx Bytes :29923981233538
Tx Pkts :82496472350
Tx Bytes :42412599845273
rx_rate :0
tx_rate :0
nr_ctr_reset :0
Host Rx Pkts :64867748559
Host Rx Bytes :28413202957398
Host Tx Pkts :88100655721
Host Tx Bytes :48030145695805
Host Tx dropped :1316
FragTxCreate :0
FragTxOk :0
FragTxDrop :0

如果怀疑广播风暴或二层环路，重复查看 CPU 状态，确认是否有大量核心的 softirq 持续接近 100%。

# get sys perf status
CPU states: 0% user 0% system 0% nice 55% idle 0% iowait 0% irq 45% softirq
CPU0 states: 1% user 0% system 0% nice 57% idle 0% iowait 0% irq 42% softirq
CPU1 states: 0% user 0% system 0% nice 0% idle 0% iowait 0% irq 100% softirq
CPU2 states: 0% user 0% system 0% nice 0% idle 0% iowait 0% irq 100% softirq
CPU3 states: 0% user 0% system 0% nice 0% idle 0% iowait 0% irq 100% softirq
CPU4 states: 0% user 0% system 0% nice 0% idle 0% iowait 0% irq 100% softirq
CPU5 states: 0% user 0% system 0% nice 15% idle 0% iowait 0% irq 85% softirq
CPU6 states: 0% user 0% system 0% nice 0% idle 0% iowait 0% irq 100% softirq
CPU7 states: 0% user 0% system 0% nice 0% idle 0% iowait 0% irq 100% softirq
CPU8 states: 0% user 0% system 0% nice 100% idle 0% iowait 0% irq 0% softirq
CPU9 states: 0% user 0% system 0% nice 100% idle 0% iowait 0% irq 0% softirq
CPU10 states: 0% user 0% system 0% nice 100% idle 0% iowait 0% irq 0% softirq
CPU11 states: 0% user 0% system 0% nice 100% idle 0% iowait 0% irq 0% softirq
CPU12 states: 2% user 0% system 0% nice 98% idle 0% iowait 0% irq 0% softirq
CPU13 states: 6% user 0% system 0% nice 94% idle 0% iowait 0% irq 0% softirq
CPU14 states: 1% user 0% system 0% nice 99% idle 0% iowait 0% irq 0% softirq
CPU15 states: 1% user 0% system 0% nice 99% idle 0% iowait 0% irq 0% softirq

查看接口收发包速率，确认是否存在某个接口异常高包速。

# diagnose netlink interface packet-rate
Interface   RX-rate(per second) TX-rate(per second)
port1       600                 496504920
port_ha     25                  47
ha          26                  38

抓取无过滤条件或低过滤条件的报文，定位是否存在未知流量、泛洪、IPv6、ESP 或其他异常报文。
- 无过滤条件的通用抓包，但排除 SSH 和默认 HTTPS 管理访问：
```
diagnose sniffer packet any "!port 22 and !port 443" 4 0 1
```
- 无过滤条件：
```
diagnose sniffer packet <interface> '' 6 2000 l
```
- 如果怀疑 ESP 报文：
```
diagnose sniffer packet any 'esp' 6 2000 l
```
- 未打 Vlan Tag 报文的抓包示例如下。如果是带标签报文，抓包中会显示 VLAN 信息。
```
2024-08-27 19:14:20.969882 port1-- 202.103.1.1 -> 221.5.3.1: ESP(spi=0xdba59c0a,seq=0x35b)
2024-08-27 19:14:20.973437 port1-- 202.103.1.1 -> 221.5.3.1: ESP(spi=0xdba59c0a,seq=0x35b)
......
```
重要

SoftIRQ 已经很高的设备上，抓包本身也会消耗 CPU。抓包数量和详细级别应按现场风险控制，必要时在维护窗口执行。

对抓包中发现的异常流量执行 debug flow，检查是否存在持续增长的反向路径检查失败或其他 CPU 丢弃。

# diagnose debug flow filter addr 192.0.2.10
# diagnose debug flow trace start 100
# diagnose debug enable

id=20085 trace_id=1107 func=ip_route_input_slow line=1704 msg="reverse path check fail, drop"
......

如果怀疑二层环路，按 LAN、WAN、DMZ 或可疑物理口逐个临时关闭接口，观察 softirq 是否立即下降。

检查会话是否没有被硬件卸载，重点查看 session 中的 no_ofld_reason 字段。字段说明可参考：故障排查 → 会话工具 → 会话无法加速原因。

session info: proto=6 proto_state=01 duration=10 expire=3590 timeout=3600 flags=00000000 sockflag=00000000 sockport=0 av_idx=0 use=4
state=may_dirty
statistic(bytes/packets/allow_err): org=840/10/1 reply=760/8/1 tuples=2
orgin->sink: org pre->post, reply pre->post dev=5->6/6->5 gwy=192.0.2.1/198.51.100.1
hook=pre  dir=org  act=noop 192.0.2.10:53124->198.51.100.10:443(0.0.0.0:0)
hook=post dir=reply act=noop 198.51.100.10:443->192.0.2.10:53124(0.0.0.0:0)
misc=0 policy_id=10 auth_info=0 chk_client_info=0 vd=0
serial=00000123 tos=ff/ff app_list=0 app=0 url_cat=0
npu_state=0x000000
no_ofld_reason:  non-npu-intf

如果接口启用了 device-identification，且现场不依赖该功能，可在 GUI 或 CLI 下关闭 device-identification 后观察 CPU。
```
config system interface
    edit "lan1"
        set device-identification disable
    next
end
```

如果 HA 使用 hardware switch，可确认 STP 是否启用。

config system interface
    edit "hw1"
        set type hard-switch
        set stp enable
    next
end

如果 CPU 高与被策略拒绝的流量有关，需要先区分拒绝流量的类型。
- 大量单会话单播/组播流量被 FortiGate 拒绝，且默认配置下，拒绝流量也会产生临时会话。由于会话不会保留在会话表中，FortiGate 会不停创建和删除拒绝会话，可能导致 CPU 升高。此时可启用 ses-denied-traffic/ses-denied-multicast-traffic，让被拒绝流量的会话保留在会话表中，后续报文直接匹配该会话并丢弃。
  
  提示
  
  后续应在上游排查和阻断异常流量，或补充正确的放通策略。
```
# 单播会话
config system settings
    set ses-denied-traffic enable
end

# 组播会话
config system settings
    set ses-denied-multicast-traffic enable
end
```
- 大量多会话的单播流量被 FortiGate 拒绝，且开启了 ses-denied-traffic 时，大量被拒绝流量会新建并占用会话表，可能会对 CPU 负载产生影响。启用 denied session offload 可以让这些会话被 NP 处理。
  相关信息
  - 仅针对 UDP 流量生效。
  - 该功能仅支持NP6、NP7平台设备，不支持 NP6XLITE、NP7XLITE 平台设备。
  - NP7 平台设备在 FortiOS 7.6.5 及之后版本支持该功能（NP6 平台设备之前已支持）。
```
config system npu
    set session-denied-offload enable
end
```
如果确认是交换机侧持续向 FortiGate 转发异常流量，应在交换机侧排查环路、未打标签流量、合法性和限速策略；FortiGate 侧可按型号能力评估是否用 ACL 在物理接口阻断异常流量。
```
config firewall acl
    edit 1
        set interface "port1"
        set srcaddr "all"
        set dstaddr "all"
        set service "IKE" "ESP"
    next
end
```
提示

config firewall acl 不是所有型号都支持。使用前应确认设备型号、FortiOS 版本和业务影响。

判断方向

Average sessions 很高但 Average NPU sessions 很低，通常说明大量会话正在走 CPU。
多个 CPU 核心 softirq 接近 100%，尤其是伴随某个接口包速异常，优先怀疑二层环路、广播风暴或交换机侧异常转发。
ESP 报文中相同序列号重复出现，可能表示报文在防火墙和交换设备之间被循环转发。
如果 FortiGate 本身可能产生环路，应收集 get system performance status、diagnose sys mpstat、diagnose netlink interface packet-rate、抓包和 debug flow 输出后联系 TAC。

会话无法加速原因

Wed, 01 Jul 2026 07:23:46 GMT

diagnose sys session list 和 diagnose sys sessions6 list 的输出中会显示 no_ofld_reason 字段，用于说明本应卸载到 NP 硬件加速芯片的会话当前为什么没有卸载。

查看方式

查看 IPv4 会话。
```
diagnose sys session list
```
查看 IPv6 会话。
```
diagnose sys sessions6 list
```

在输出中确认 npu_state、npu info 和 no_ofld_reason。

session info: proto=6 proto_state=01 duration=10 expire=3590 timeout=3600 flags=00000000 sockflag=00000000 sockport=0 av_idx=0 use=4
state=may_dirty
statistic(bytes/packets/allow_err): org=840/10/1 reply=760/8/1 tuples=2
orgin->sink: org pre->post, reply pre->post dev=5->6/6->5 gwy=192.0.2.1/198.51.100.1
hook=pre  dir=org  act=noop 192.0.2.10:53124->198.51.100.10:443(0.0.0.0:0)
hook=post dir=reply act=noop 198.51.100.10:443->192.0.2.10:53124(0.0.0.0:0)
misc=0 policy_id=10 auth_info=0 chk_client_info=0 vd=0
serial=00000123 tos=ff/ff app_list=0 app=0 url_cat=0
npu_state=0x000000
no_ofld_reason:  non-npu-intf

提示

如果会话已经卸载到 NP，通常会在 npu info 中看到 offload=8/8（NP6）或 offload=9/9（NP7）。no_ofld_reason 主要用于排查未卸载的原因。

常见原因

| no_ofld_reason | 说明 | |

RSS 订阅源

Mon, 29 Jun 2026 07:18:02 GMT

Fortinet 的 RSS 订阅源可以用于跟踪固件发布、安全公告、技术文档、知识库文章、FortiGuard 威胁情报、生命周期公告和企业新闻。对于日常运维来说，建议至少订阅与补丁管理、漏洞管理、技术文档和生命周期管理相关的 RSS 源，并将其接入 RSS 阅读器、工单系统、内部通知群或 CMDB 流程。

常用 RSS 源

| 订阅源 | 用途 | URL/入口 | | :

FortiSwitch 硬件规格

Mon, 29 Jun 2026 07:18:02 GMT

在 FortiSwitch 选型复核、FortiLink 组网规划、PoE 预算确认、RMA 信息核对、硬件替换和版本升级前风险评估等场景中，可以通过设备硬件输出和规格资料确认 FortiSwitch 的 CPU、内存、存储、PoE 固件、CPLD 与硬件版本信息。

常见使用场景

核对 FortiSwitch 型号、PoE/FPOE 变体与硬件输出是否一致。
确认交换机 CPU、内存、Flash/硬盘等基础硬件规格，用于升级前资源风险评估。
查看 PoE Firmware、CPU CPLD、Switch CPLD、Board Version 等字段，辅助判断 PoE、板卡或硬件修订相关问题。
在 FortiLink 批量接入、RMA 替换或备件核对时，对比设备现场输出与规格资料。

型号规格明细

G 系列

FortiSwitch-110G

FS-110G-FPOE

Model name: FortiSwitch-110G-FPOE
CPU: MIPS interAptiv (multi) V2.0
RAM: 986 MB
MTD Flash: 890 MB /dev/mtd
Hard disk: not available
Poe Firmware Version:1.0.1.8

FortiSwitch-124G

FS-124G-FPOE

Model name: FortiSwitch-124G-FPOE
CPU: MIPS interAptiv (multi) V2.0
RAM: 986MB
MTD Flash: 403 MB /dev/mtd
Hard disk: not available
Poe Firmware Version:1.0.1.8

F 系列

FortiSwitch-108F

FS-108F

暂无信息

FS-108F-POE

暂无信息

FS-108F-FPOE

Model name: FortiSwitch-108F-FPOE
CPU: MIPS 4KEc V7.0
RAM: 233 MB
MTD Flash: 32 MB /dev/mtd
Hard disk: not available
Poe Firmware Version:2.2.4

FortiSwitch-124F

FS-124F

Model name: FortiSwitch-124F
CPU: MIPS 34Kc V5.5
RAM: 493 MB
MTD Flash: 64 MB /dev/mtd
Hard disk: not available

FS-124F-POE

暂无信息

FS-124F-FPOE

Model name: FortiSwitch-124F-FPOE
CPU: MIPS 34Kc V5.5
RAM: 493 MB
MTD Flash: 64 MB /dev/mtd
Hard disk: not available
Poe Firmware Version:1.0.1.6

FortiSwitch-148F

FS-148F

暂无信息

FS-148F-POE

Model name: FortiSwitch-148F-POE
CPU: MIPS interAptiv (multi) V2.0
RAM: 479 MB
MTD Flash: 64 MB /dev/mtd
Hard disk: not available
Poe Firmware Version:1.0.1.6

FS-148F-FPOE

Model name: FortiSwitch-148F-FPOE
CPU: MIPS interAptiv (multi) V2.0
RAM: 479 MB
MTD Flash: 64 MB /dev/mtd
Hard disk: not available
Poe Firmware Version:1.0.1.7

FortiSwitch-624F

FortiSwitch-624F-FPOE

Model name: FortiSwitch-624F-FPOE
CPU: Intel(R) Atom(TM) CPU C3558 @ 2.20GHz
RAM: 3942 MB
Hard disk: 30529 MB /dev/sda
Network Card chipset: Network Interface Adapter (rev.)
CPU CPLD Version: 2
Switch CPLD Version: 4.0
Poe Firmware Version:1.54.23.224
PSE Controller: TPS23881

FortiSwitch-648F

FortiSwitch-648F-FPOE

Model name: FortiSwitch-648F-FPOE
CPU: Intel(R) Atom(TM) CPU C3558 @ 2.20GHz RAM: 3942 MB
Hard disk: 30529 MB /dev/sda
Network Card chipset: Network Interface Adapter (rev.)
CPU CPLD Version: 2.10
Switch CPLD Version: 4.0
Poe Firmware Version:1.54.23.224
PSE Controller: TPS23881

FortiSwitch-2048F

Model name: FortiSwitch-2048F
CPU: Intel(R) Atom(TM) CPU C3558 @ 2.20GHz
RAM: 7968 MB
Hard disk: 30529 MB /dev/sda
Board Version: R01
CPLD1 Version: 4
CPLD2 Version: 4
CPLD3 Version: 4
FAN CPLD Version: 4

E 系列

FortiSwitch-108E

FS-108E-FPOE

Model name: FortiSwitch-108E-FPOE
CPU: MIPS 4KEc V7.0
RAM: 233 MB
MTD Flash: 32 MB /dev/mtd
Hard disk: not available
Poe Firmware Version:1.8.8

FortiSwitch-224E

FS-224E-POE

Model name: FortiSwitch-224E-POE
CPU: ARMv7 Processor rev 1 (v7l)
RAM: 487 MB
MTD Flash: 128 MB /dev/mtd
Hard disk: not available
Poe Firmware Version:1.7.0.3

FortiSwitch-248E

FS-248E-FPOE

Model name: FortiSwitch-248E-FPOE
CPU: ARMv7 Processor rev 1 (v7l)
RAM: 487 MB
MTD Flash: 128 MB /dev/mtd
Hard disk: not available
Poe Firmware Version:1.2.0.8

FortiSwitch-424E

FS-424E-FPOE

Model name: FortiSwitch-424E-FPOE
CPU: ARMv7 Processor rev 1 (v7l)
RAM: 751 MB
MTD Flash: 385 MB /dev/mtd
Hard disk: not available
Poe Firmware Version:1.7.0.1

FS-424E-FIBER

Model name: FortiSwitch-424E-Fiber
CPU: ARMv7 Processor rev 1 (v7l)
RAM: 751 MB
MTD Flash: 385 MB /dev/mtd
Hard disk: not available

FortiSwitch-448E

FortiSwitch-448E-FPOE

Model name: FortiSwitch-448E-FPOE
CPU: ARMv7 Processor rev 1 (v7l)
RAM: 751 MB
MTD Flash: 385 MB /dev/mtd
Hard disk: not available
Poe Firmware Version:1.2.0.8
PSE Controller: BCM59136

FortiSwitch-1024E

Model name: FortiSwitch-1024E
CPU: Intel(R) Atom(TM) CPU C3338 @ 1.50GHz
RAM: 7968 MB
Hard disk: 7640 MB /dev/sda
Network Card chipset: Network Interface Adapter (rev.)
Switch CPLD Version: 2

FortiSwitch-T1024E

Model name: FortiSwitch-T1024E
CPU: Intel(R) Atom(TM) CPU C3338 @ 1.50GHz
RAM: 7968 MB
Hard disk: 7640 MB /dev/sda
Network Card chipset: Network Interface Adapter (rev.)
Switch CPLD Version: 2

FortiSwitch-3032E

Model name: FortiSwitch-3032E
CPU: Intel(R) Atom(TM) CPU  C2538  @ 2.40GHz
RAM: 7972 MB
Hard disk: 122103 MB /dev/sda
Network Card chipset: Network Interface Adapter (rev.)
CPU CPLD Version: 2
Switch CPLD Version: 6

D 系列

FortiSwitch-112D

FSR-112D-POE

Model name: FortiSwitchRugged-112D-POE
CPU: Feroceon 88FR131 rev 1 (v5l)
RAM: 487 MB
MTD Flash: 64 MB /dev/mtd
Hard disk: not available
Poe Firmware Version:2.3.9

FortiSwitch-224D

FSW-224D-FPOE

Model name: FortiSwitch-224D-FPOE
CPU: ARMv7 Processor rev 1 (v7l)
RAM: 487 MB
MTD Flash: 127 MB /dev/mtd
Hard disk: not available
Poe Firmware Version:1.7.0.1

在设备上查询

在 FortiSwitch CLI 中查看硬件状态。
```
get hardware status
```
查看系统状态与版本信息，便于和硬件信息一起归档。
```
get system status
```

提示

向他人确认 FortiSwitch 硬件规格或提交问题时，建议同时提供 get system status 和 get hardware status 输出，尤其保留型号、FortiSwitchOS 版本、PoE Firmware、CPLD、内存和存储字段。

注意事项

同一型号可能存在不同硬件修订或 PoE 变体，现场排查时不要只依据型号名称下结论。
PoE 供电能力、端口数量、堆叠/上联能力等功能规格，应继续核对官方 Datasheet 和 FortiSwitchOS 支持矩阵。

FortiGate 硬件规格

Mon, 29 Jun 2026 07:18:02 GMT

在选型复核、HA 兼容性确认、RMA 信息核对、低内存型号评估、版本升级前风险评估等场景中，可以通过设备 CLI 和硬件规格资料确认 FortiGate 的 CPU、内存、存储、ASIC、网卡芯片与硬件版本信息。

常见使用场景

确认设备是否属于 2GB 或 4GB 内存型号，评估是否需要参考 2GB 内存设备配置优化进行资源优化。
核对型号是否带本地存储，例如内置 SSD/NVMe、eMMC、USB Flash 或无本地硬盘。
确认设备使用的 FortiASIC/SOC、网卡芯片和 CPU 架构，用于判断硬件加速能力、接口特性或排障方向。
在 HA 规划、替换设备、RMA 后复核时，对比 Hardware Board ID、Hardware Revision、内存与存储规格。
对同一销售型号的不同硬件修订版本进行区分，避免只看型号名称导致判断偏差。

型号规格明细

G 系列

FortiGate-30G

FG-30G

Model name: FortiGate-30G
ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 4
RAM: 1918 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: 9944 MB /dev/mmcblk0
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)

官方链接：

FortiGate / FortiWiFi-30G - Datasheet

FortiGate-50G

FG-50G

Model name: FortiGate-50G
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 4
RAM: 1934 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)
Hardware Board ID: 001

FG-50G-SFP

Model name: FortiGate-50G-SFP
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 4
RAM: 1934 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)
Hardware Board ID: 001

FGR-50G-5G

Model name: FortiGateRugged-50G-5G
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 4
RAM: 1934 MB
EMMC: 3742 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)
5G Modem Vendor ID: 0x1bc7
5G Modem Product ID: 0x1070
Hardware Board ID: 101Hardware Power Board ID: 1010

FWF-50G-SFP

Model name: FortiWiFi-50G-SFP
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 4
RAM: 1927 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)
WiFi Chipset: MediaTek
WiFi firmware version: 7.6.2.4
Hardware Board ID: 001

FWF-50G-5G

Model name: FortiWiFi-50G-5G
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 4
RAM: 1927 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)
WiFi Chipset: MediaTek
WiFi Driver Version: 2.7.0.2-Beta-121007 (BBP: 120824, RF: 120813)
5G Modem Vendor ID: 0x1bc7
5G Modem Product ID: 0x1070

官方链接：

FortiGate / FortiWiFi-50G - Datasheet

FortiGate-70G

FG-70G

Model name: FortiGate-70G
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 4
RAM: 3707 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)

FG-71G

Model name: FortiGate-71G
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 4
RAM: 3707 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: 61057 MB /dev/nvme0n1
USB Flash: not available
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)

FWF-70G

官方链接：

FortiGate / FortiWiFi-70G - Datasheet

FortiGate-90G

FG-90G (rev.1)

Model name: FortiGate-90G
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 8
RAM: 7547 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)
Hardware Board ID: 002

FG-90 (rev.2)

Model name: FortiGate-90G
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 8
RAM: 7547 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)
Hardware Board ID: 003
Hardware Revision: Rev2

FG-91G (rev.1)

Model name: FortiGate-91G
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 8
RAM: 7547 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: 114473 MB /dev/nvme0n1
USB Flash: not available
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)
Hardware Board ID: 002

FG-91G (rev.2)

Model name: FortiGate-91G
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 8
RAM: 7547 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: 114473 MB /dev/nvme0n1
USB Flash: 58991 MB
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)
Hardware Board ID: 003

官方链接：

FortiGate-120G

FG-120G (rev.1)

Model name: FortiGate-120G
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 8
RAM: 7486 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: Broadcom 570x Tigon3 Ethernet Adapter (rev.0x5720000)
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)
Hardware Revision: Rev1

FG-120G (rev.2)

Model name: FortiGate-120G
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 8
RAM: 15554 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: Broadcom 570x Tigon3 Ethernet Adapter (rev.0x5720000)
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)
Hardware Revision: Rev2

FG-121G (rev.1)

Model name: FortiGate-121G
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 8
RAM: 7486 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: 457862 MB /dev/nvme0n1
USB Flash: not available
Network Card chipset: Broadcom 570x Tigon3 Ethernet Adapter (rev.0x5720000)
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)
Hardware Revision: Rev1

FG-121G (rev.2)

Model name: FortiGate-121G
ASIC version: SOC5
CPU: ARMv8
Number of CPUs: 8
RAM: 15554 MB
EMMC: 9982 MB(MLC) /dev/mmcblk0
Hard disk: 457862 MB /dev/nvme0n1
USB Flash: not available
Network Card chipset: Broadcom 570x Tigon3 Ethernet Adapter (rev.0x5720000)
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)
Hardware Revision: Rev2

官方链接：

FortiGate-200G

FG-200G

Model name: FortiGate-200G
ASIC version: CP10
CPU: Intel(R) Xeon(R) D-1726 CPU @ 2.90GHz
Number of CPUs: 12
RAM: 22671 MB
Compact Flash: 61296 MB /dev/nvme0n1
Hard disk: not available
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP7LITE Adapter (rev.)

官方链接：

FortiGate-700G

FG-701G

Model name: FortiGate-701G
ASIC version: CP10
CPU: AMD Ryzen Embedded 5900E 12-Core Processor
Number of CPUs: 24
RAM: 64449 MB
Compact Flash: 61296 MB /dev/nvme1n1
Hard disk: 457862 MB /dev/nvme2n1
USB Flash: not available
Network Card chipset: Intel(R) 2.5G Ethernet Linux Driver (rev.0004)
Network Card chipset: FortiASIC NP7 Adapter (rev.)
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)

官方链接：

FortiGate-900G

FG-901G (rev.1)

Model name: FortiGate-901G
ASIC version: CP9
ASIC SRAM: 64M
CPU: AMD Ryzen Embedded 5950E 16-Core Processor
Number of CPUs: 32
RAM: 32127 MB
Compact Flash: 28738 MB /dev/sdc
Hard disk: 457862 MB /dev/sda
USB Flash: not available
Network Card chipset: Intel(R) 2.5G Ethernet Linux Driver (rev.0004)
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP7 Adapter (rev.)

FG-900G (rev.2)

Model name: FortiGate-900G
ASIC version: CP9
ASIC SRAM: 64M
CPU: AMD Ryzen Embedded 5950E 16-Core Processor
Number of CPUs: 32
RAM: 64448 MB
Compact Flash: 28738 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: Intel(R) 2.5G Ethernet Linux Driver (rev.0004)
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP7 Adapter (rev.)
Hardware Revision: Rev2

官方链接：

F 系列

FortiGate-40F

FG-40F

Model name: FortiGate-40F
ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 4
RAM: 1919 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)

FG-40F-3G4G

Model name: FortiGate-40F-3G4G
ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 4
RAM: 1918 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)
LTE Modem Vendor ID: 0x1199
LTE Modem Model ID: 0x9091

官方链接：

FortiGate / FortiWiFi-40F - Datasheet

FortiGate-60F

FG-60F

Model name: FortiGate-60F
ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 8
RAM: 1918 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)

FG-61F

Model name: FortiGate-61F
ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 8
RAM: 1918 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: 122104 MB /dev/sda
USB Flash: not available
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)

官方链接：

Model name: FortiGateRugged-60F
ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 4
RAM: 1818 MB
EMMC: 3742 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)
Hardware Board ID: 100
Hardware Revision: Rev4

FortiGate-70F

FG-70F

Model name: FortiGate-70F
ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 8
RAM: 3717 MB
EMMC: 3742 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)

FG-71F

Model name: FortiGate-71F
ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 8
RAM: 3717 MB
EMMC: 3742 MB(MLC) /dev/mmcblk0
Hard disk: 122104 MB /dev/sda
USB Flash: not available
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)

官方链接：

FortiGate-70F - Datasheet

FortiGate-70F - Rugged

Model name: FortiGateRugged-70F-3G4G
ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 4
RAM: 3717 MB
EMMC: 3742 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)
LTE Modem Vendor ID: 0x1199
LTE Modem Model ID: 0x9091
Hardware Board ID: 001
Hardware Power Board ID: 011
Hardware Revision: unknown

官方链接：

FortiGate-80F

FG-80F (rev.1)

Model name: FortiGate-80F
ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 8
RAM: 3718 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)
Hardware Board ID: 000

FG-80F (rev.2)

Model name: FortiGate-80F
ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 8
RAM: 3717 MB
EMMC: 3742 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)
Hardware Revision: Rev2

FortiGate-81F

Model name: FortiGate-81F
ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 8
RAM: 3718 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: 122104 MB /dev/sda
USB Flash: not available
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)

官方链接：

FortiGate / FortiWiFi-80F - Datasheet

FortiGate-100F

FG-100F (rev.1)

Model name: FortiGate-100F
ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 8
RAM: 3616 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)

FG-100F (rev. 2)

Model name: FortiGate-100F
ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 8
RAM: 7587 MB
EMMC: 3742 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)
Hardware Board ID: 000

FortiGate-101F (rev. 1)

ASIC version: SOC4
CPU: ARMv8
Number of CPUs: 8
RAM: 3616 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: 457862 MB /dev/sda
USB Flash: not available
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)

官方链接：

FortiGate-100F - Datasheet

FortiGate-200F

Model name: FortiGate-200F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) CPU D-1627 @ 2.90GHz
Number of CPUs: 8
RAM: 7979 MB
Compact Flash: 28738 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Linux Driver (rev.0003)
Network Card chipset: FortiASIC NP6XLITE Adapter (rev.)

官方链接：

FortiGate-200F - Datasheet

FortiGate-400F

Model name: FortiGate-400F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) E-2336 CPU @ 2.90GHz
Number of CPUs: 12
RAM: 16010 MB
Compact Flash: 28738 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP7 Adapter (rev.)

官方链接：

FortiGate-400F - Datasheet

FortiGate-601F

Model name: FortiGate-601F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) E-2386G CPU @ 3.50GHz
Number of CPUs: 12
RAM: 15995 MB
Compact Flash: 28738 MB /dev/sda
Hard disk: 228936 MB /dev/sdb
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Linux Driver (rev.0003)
Network Card chipset: FortiASIC NP7 Adapter (rev.)

官方链接：

FortiGate-600F - Datasheet

FortiGate-1000F

Model name: FortiGate-1000F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) E-2388G CPU @ 3.20GHz
Number of CPUs: 16
RAM: 16009 MB
Compact Flash: 28738 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: Intel(R) 2.5G Ethernet Linux Driver (rev.0004)
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP7 Adapter (rev.)

官方链接：

FortiGate-1000F - Datasheet

FortiGate-1800F

Model name: FortiGate-1800F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) W-3223 CPU @ 3.50GHz
Number of CPUs: 16
RAM: 24102 MB
Compact Flash: 28738 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP7 Adapter (rev.)

官方链接：

FortiGate-1800F - Datasheet

FortiGate-2600F

Model name: FortiGate-2600F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) Gold 6208U CPU @ 2.90GHz
Number of CPUs: 32
RAM: 48292 MB
Compact Flash: 28738 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP7 Adapter (rev.)

官方链接：

FortiGate-2600F - Datasheet

FortiGate-3000F

Model name: FortiGate-3000F
ASIC version: CP9
ASIC SRAM: 64M
CPU: AMD EPYC 7502P 32-Core Processor
Number of CPUs: 64
RAM: 129073 MB
Compact Flash: 28738 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP7 Adapter (rev.)
Hardware Revision: unknown

官方链接：

FortiGate-3000F - Datasheet

FortiGate-3200F

官方链接：

FortiGate-3200F - Datasheet

FortiGate-3500F

Model name: FortiGate-3500F
ASIC version: CP9
ASIC SRAM: 64M
CPU: AMD EPYC 7542 32-Core Processor
Number of CPUs: 128
RAM: 258335 MB
Compact Flash: 28738 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP7 Adapter (rev.)
Hardware Board ID: 000

官方链接：

FortiGate-3500F - Datasheet

FortiGate-3700F

Model name: FortiGate-3700F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) Gold 6348 CPU @ 2.60GHz
Number of CPUs: 112
RAM: 258345 MB
Compact Flash: 28738 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP7 Adapter (rev.)
Hardware Revision: Rev1

官方链接：

FortiGate-3700F - Datasheet

FortiGate-4200F

Model name: FortiGate-4200F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) Gold 6248 CPU @ 2.50GHz
Number of CPUs: 80
RAM: 387740 MB
Compact Flash: 28738 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Linux Driver (rev.0003)
Network Card chipset: FortiASIC NP7 Adapter (rev.)
Hardware Board ID: 000

官方链接：

FortiGate-4200F - Datasheet

FortiGate-4400F

Model name: FortiGate-4401F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) Gold 6248 CPU @ 2.50GHz
Number of CPUs: 160
RAM: 387729 MB
Compact Flash: 28738 MB /dev/sda
Hard disk: 1907729 MB /dev/nvme0n1
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP7 Adapter (rev.)

官方链接：

FortiGate-4400F - Datasheet

FortiGate-4800F

Model name: FortiGate-4801F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) Gold 6348 CPU @ 2.60GHz
Number of CPUs: 112
RAM: 516905 MB
Compact Flash: 28738 MB /dev/sda
Hard disk: 1907729 MB /dev/nvme0n1
USB Flash: 29543 MB
Network Card chipset: FortiASIC NP7 Adapter (rev.)
Network Card chipset: Intel(R) 10GbE PCI Express Linux Network Driver (rev.0001)

官方链接：

FortiGate-4800F - Datasheet

FortiGate-6000F

==========================================================================
Slot: 1 Module SN: FPC6KFTxxxxxxxx
Model name: FortiGate-6000F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Broadwell DE
Number of CPUs: 24
RAM: 32196 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: FGT-6000F Ethernet Driver (rev.)
Network Card chipset: FortiASIC NP6 Adapter (rev.)
==========================================================================
Slot: 2 Module SN: FPC6KFTxxxxxxxx
Model name: FortiGate-6000F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Broadwell DE
Number of CPUs: 24
RAM: 32196 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: FGT-6000F Ethernet Driver (rev.)
Network Card chipset: FortiASIC NP6 Adapter (rev.)
==========================================================================
Slot: 3 Module SN: FPC6KFTxxxxxxxx
Model name: FortiGate-6000F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Broadwell DE
Number of CPUs: 24
RAM: 32196 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: FGT-6000F Ethernet Driver (rev.)
Network Card chipset: FortiASIC NP6 Adapter (rev.)
==========================================================================
Slot: 4 Module SN: FPC6KFTxxxxxxxx
Model name: FortiGate-6000F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Broadwell DE
Number of CPUs: 24
RAM: 32196 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: FGT-6000F Ethernet Driver (rev.)
Network Card chipset: FortiASIC NP6 Adapter (rev.)
==========================================================================
Slot: 5 Module SN: FPC6KFTxxxxxxxx
Model name: FortiGate-6000F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Broadwell DE
Number of CPUs: 24
RAM: 32196 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: FGT-6000F Ethernet Driver (rev.)
Network Card chipset: FortiASIC NP6 Adapter (rev.)
==========================================================================
Slot: 6 Module SN: FPC6KFTxxxxxxxx
Model name: FortiGate-6000F
ASIC version: CP9
ASIC SRAM: 64M
CPU: Broadwell DE
Number of CPUs: 24
RAM: 32196 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: FGT-6000F Ethernet Driver (rev.)
Network Card chipset: FortiASIC NP6 Adapter (rev.)
==========================================================================
MBD SN: F6KF3xxxxxxxx
Model name: FortiGate-6000F
ASIC version: not available
CPU: Broadwell DE
Number of CPUs: 24
RAM: 32196 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: 953869 MB /dev/md0
USB Flash: not available
Network Card chipset: FGT-6000F Ethernet Driver (rev.)
Network Card chipset: Intel(R) Gigabit Ethernet Linux Driver (rev.0003)

FortiGate-6300F

FortiGate-6500F

官方链接：

FortiGate-6500F - Datasheet

FortiGate-7081F

官方链接：

FortiGate-7000F - Datasheet

FortiGate-7121F

官方链接：

FortiGate-7121F - Datasheet

E 系列

FortiGate-30E

ASIC version: not available
CPU: ARMv7
Number of CPUs: 2
RAM: 1009 MB
MTD Flash: 128 MB /dev/mtd
Hard disk: not available
USB Flash: not available
Network Card chipset: Marvell NETA Gigabit Ethernet driver 00000010 (rev.)

FortiWiFi-30E

ASIC version: not available
CPU: ARMv7
Number of CPUs: 2
RAM: 1006 MB
MTD Flash: 128 MB /dev/mtd
Hard disk: not available
USB Flash: not available
Network Card chipset: Marvell NETA Gigabit Ethernet driver 00000010 (rev.)
WiFi Chipset: Atheros
WiFi firmware version: 0.9.17.1

官方链接：

FortiGate-50E

Model name: FortiGate-50E
ASIC version: not available
CPU: ARMv7
Number of CPUs: 2
RAM: 2024 MB
MTD Flash: 128 MB /dev/mtd
Hard disk: not available
USB Flash: not available
Network Card chipset: Marvell NETA Gigabit Ethernet driver 00000010 (rev.)

FortiWiFi-50E

ASIC version: not available
CPU: ARMv7
Number of CPUs: 2 (1600MHz)
RAM: 2021 MB
MTD Flash: 128 MB /dev/mtd
Hard disk: not available
USB Flash: not available
Network Card chipset: Marvell NETA Gigabit Ethernet driver 00000010 (rev.)
WiFi Chipset: Atheros
WiFi firmware version: 0.9.17.1

官方链接：

FortiGate/FortiWiFi 50E - Datasheet

FortiGate-60E

Model name: FortiGate-61E
ASIC version: SOC3
ASIC SRAM: 64M
CPU: ARMv7
Number of CPUs: 4
RAM: 1866 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: 122104 MB /dev/sda
USB Flash: not available
Network Card chipset: FortiASIC NP6LITE Adapter (rev.)

FortiGate-61E

ASIC version: SOC3
ASIC SRAM: 64M
CPU: ARMv7
Number of CPUs: 4
RAM: 1866 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: 122104 MB /dev/sda
USB Flash: not available
Network Card chipset: FortiASIC NP6LITE Adapter (rev.)

FortiWiFi-60E

Model name: FortiWiFi-60E
ASIC version: SOC3
ASIC SRAM: 64M
CPU: ARMv7
Number of CPUs: 4
RAM: 1863 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6LITE Adapter (rev.)
WiFi Chipset: Atheros
WiFi firmware version: 0.9.17.1

FortiWiFi-61E

ASIC version: SOC3
ASIC SRAM: 64M
CPU: ARMv7
Number of CPUs: 4
RAM: 1864 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: 122104 MB /dev/sda
USB Flash: not available
Network Card chipset: FortiASIC NP6LITE Adapter (rev.)
WiFi Chipset: Atheros
WiFi firmware version: 0.9.17.1

官方链接：

FortiGate/FortiWiFi 60E - Datasheet

FortiGate-80E

Model name: FortiGate-80E
ASIC version: SOC3
ASIC SRAM: 64M
CPU: ARMv7
Number of CPUs: 4
RAM: 1867 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6LITE Adapter (rev.)

FortiGate-81E

ASIC version: SOC3
ASIC SRAM: 64M
CPU: ARMv7
Number of CPUs: 4
RAM: 1866 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: 122104 MB /dev/sda
USB Flash: not available
Network Card chipset: FortiASIC NP6LITE Adapter (rev.)

官方链接：

FortiGate-80E - Datasheet

FortiGate-91E

ASIC version: not available
CPU: Intel(R) Atom(TM) CPU C2338 @ 1.74GHz
Number of CPUs: 2
RAM: 2010 MB
Compact Flash: 7758 MB /dev/sdb
Hard disk: 122104 MB /dev/sda
USB Flash: not available
Network Card chipset: Fortinet 90E Ethernet Driver (rev.)

官方链接：

FortiGate-90E - Datasheet

FortiGate-100E

Model name: FortiGate-100E
ASIC version: SOC3
ASIC SRAM: 64M
CPU: ARMv7
Number of CPUs: 4
RAM: 3039 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6LITE Adapter (rev.)

FortiGate-101E

ASIC version: SOC3
ASIC SRAM: 64M
CPU: ARMv7
Number of CPUs: 4
RAM: 3039 MB
EMMC: 3662 MB(MLC) /dev/mmcblk0
Hard disk: 457862 MB /dev/sda
USB Flash: not available
Network Card chipset: FortiASIC NP6LITE Adapter (rev.)

官方链接：

FortiGate-100E - Datasheet

FortiGate-200E

Model name: FortiGate-200E
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Celeron(R) CPU G1820 @ 2.70GHz
Number of CPUs: 2
RAM: 3963 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6LITE Adapter (rev.)

FortiGate-201E

ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Celeron(R) CPU G1820 @ 2.70GHz
Number of CPUs: 2
RAM: 3963 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: 457862 MB /dev/sdb
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6LITE Adapter (rev.)

官方链接：

FortiGate-200E - Datasheet

FortiGate-300E

Model name: FortiGate-300E
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Core(TM) i5-6500 CPU @ 3.20GHz
Number of CPUs: 4
RAM: 7980 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

官方链接：

FortiGate-300E - Datasheet

FortiGate-400E

FG-400E

Model name: FortiGate-400E
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Core(TM) i5-8500 CPU @ 3.00GHz
Number of CPUs: 6
RAM: 7980 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

FG-401E

Model name: FortiGate-401E
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Core(TM) i5-8500 CPU @ 3.00GHz
Number of CPUs: 6
RAM: 7979 MB
Compact Flash: 15331 MB /dev/sdc
Hard disk: 228936 MB /dev/sda
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Linux Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

官方链接：

FortiGate-400E - Datasheet

FortiGate-500E

Model name: FortiGate-501E
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Core(TM) i7-6700 CPU @ 3.40GHz
Number of CPUs: 8
RAM: 16048 MB
Compact Flash: 15331 MB /dev/sdc
Hard disk: 228936 MB /dev/sda
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

官方链接：

FortiGate-500E - Datasheet

FortiGate-600E

Model name: FortiGate-601E
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Core(TM) i7-8700 CPU @ 3.20GHz
Number of CPUs: 12
RAM: 15920 MB
Compact Flash: 15331 MB /dev/sdc
Hard disk: 228936 MB /dev/sda
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

FortiGate-601E

ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Core(TM) i7-8700 CPU @ 3.20GHz
Number of CPUs: 12
RAM: 16031 MB
Compact Flash: 15331 MB /dev/sdc
Hard disk: 228936 MB /dev/sda
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

官方链接：

FortiGate-600E - Datasheet

FortiGate-1100E

Model name: FortiGate-1101E
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) E-2186G CPU @ 3.80GHz
Number of CPUs: 12
RAM: 16048 MB
Compact Flash: 15331 MB /dev/sdb
Hard disk: 457862 MB /dev/sdc
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

官方链接：

FortiGate-1100E - Datasheet

FortiGate-2000E

Model name: FortiGate-2000E
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) CPU E5-1650 v4 @ 3.60GHz
Number of CPUs: 12
RAM: 32198 MB
Compact Flash: 15331 MB /dev/sdb
Hard disk: 457862 MB /dev/sda
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Linux Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

官方链接：

FortiGate-2000E - Datasheet

FortiGate-2200E

Model name: FortiGate-2201E
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) Gold 6126 CPU @ 2.60GHz
Number of CPUs: 24
RAM: 48294 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: 915715 MB /dev/sdb
USB Flash: not available
Network Card chipset: FortiASIC NP6 Adapter (rev.)

官方链接：

FortiGate-2200E - Datasheet

FortiGate-2500E

Model name: FortiGate-2500E
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) CPU E5-1650 v3 @ 3.50GHz
Number of CPUs: 12
RAM: 32199 MB
Compact Flash: 15331 MB /dev/sdb
Hard disk: 457862 MB /dev/sda
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

官方链接：

FortiGate-2500E - Datasheet

FortiGate-3300E

Model name: FortiGate-3300E
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) Gold 5118 CPU @ 2.30GHz
Number of CPUs: 48
RAM: 96865 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6 Adapter (rev.)

官方链接：

FortiGate-3300E - Datasheet

FortiGate-3400E

Model name: FortiGate-3400E
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) Gold 6130 CPU @ 2.10GHz
Number of CPUs: 64
RAM: 96674 MB
Compact Flash: 15331 MB
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP6 Adapter (rev.)

官方链接：

FortiGate-3400E - Datasheet

FortiGate-3960E

Model name: FortiGate-3960E
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) CPU E5-2650 v4 @ 2.20GHz
Number of CPUs: 48
RAM: 258097 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Linux Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

官方链接：

FortiGate-3900E - Datasheet

D 系列

FortiGate-30D

ASIC version: CP0
ASIC SRAM: 64M
CPU: FortiSOC2
Number of CPUs: 1
RAM: 932 MB
Compact Flash: 3879 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: FortiASIC NP4LITE Adapter (rev.)

FortiGate-60D

Model name: FortiGate-60D
ASIC version: CP0
ASIC SRAM: 64M
CPU: FortiSOC2
Number of CPUs: 1
RAM: 1839 MB
Compact Flash: 3879 MB /dev/sda
Hard disk: not available
USB Flash: not available

FortiGate-80D

FGT-80D # get hardware status
Model name: FortiGate-80D
ASIC version: not available
CPU: Intel(R) Atom(TM) CPU N2600 @ 1.60GHz
Number of CPUs: 4
RAM: 1958 MB
Compact Flash: 980 MB /dev/sdb
Hard disk: 15272 MB /dev/sda
USB Flash: not available
Network Card chipset: RealTek RTL-8168 Gigabit Ethernet driver 8.038.00 (rev.)

FortiWiFi-90D

Vendor ID : Fortinet
CPU family : ARM9
CPU MHz : 900 MHz
Cache size : 64 KB
Memory : DDR SDRAM 2GB 1066MHz

FortiWiFi-92D

ASIC version: not available
CPU: Intel(R) Atom(TM) CPU D525 @ 1.80GHz
Number of CPUs: 4
RAM: 1971 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: 15272 MB /dev/sda
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
WiFi Chipset: Atheros AR9300
WiFi firmware version: 0.9.17.1

FortiGate-94D-POE

ASIC version: CP0
ASIC SRAM: 64M
CPU: FortiSOC2
Number of CPUs: 1
RAM: 1838 MB
Compact Flash: 1917 MB /dev/sdb
Hard disk: 30533 MB /dev/sda
USB Flash: not available

Disk SSD 29.8GB type: SSD [ATA Mini PCIeDOM 1ME]
partition ref: 1 29.8GB, 22.3GB free mounted: Y label: 322ED082506A01F8 dev: /dev/sda1
Disk USB-2 1.9GB type: USB [FORTINET 67_V060324_002]
partition ref: 0 256.0MB, 213.0MB free mounted: N label: dev: /dev/sdb1

FortiGate-100D

Model name: FortiGate-100D
ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Atom(TM) CPU D525   @ 1.80GHz
Number of CPUs: 4
RAM: 3955 MB
Compact Flash: 1917 MB /dev/sdb
Hard disk: 30533 MB /dev/sda
USB Flash: not available
Network Card chipset: Fortinet 100D Ethernet Driver (rev.)

FortiGate-140D-POE

ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Atom(TM) CPU D525 @ 1.80GHz
Number of CPUs: 4
RAM: 3959 MB
Compact Flash: 1917 MB /dev/sdb
Hard disk: 30533 MB /dev/sda
USB Flash: not available
Network Card chipset: bcm-sw Ethernet driver1.0 (rev.)
Network Card chipset: Intel(R) PRO/1000 Network Connection (rev.0000)

FortiGate-200D

FortiGate-200D (rev.1)

Model name: FortiGate-200D
ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Celeron(R) CPU G540 @ 2.50GHz
Number of CPUs: 2
RAM: 2048 MB
Compact Flash:  MB /dev/sda
Hard disk: 16384 MB /dev/sdb
USB Flash: not available
Network Card chipset: Intel(R) PRO/1000 Network Connection (rev.0000)

FortiGate-200D (rev.2)

Model name: FortiGate-200D
ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Celeron(R) CPU G540 @ 2.50GHz
Number of CPUs: 2
RAM: 3956 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: 61057 MB /dev/sdb
USB Flash: not available
Network Card chipset: Intel(R) PRO/1000 Network Connection (rev.0000)

FortiGate-240D

Model name: FortiGate-240D
ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Celeron(R) CPU G540 @ 2.50GHz
Number of CPUs: 2
RAM: 3960 MB
Compact Flash: 30653 MB /dev/sda
Hard disk: 30533 MB /dev/sda
USB Flash: not available
Network Card chipset: Intel(R) PRO/1000 Network Connection (rev.0000)

FortiGate-300D

Model name: FortiGate-300D
ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Core(TM) i3-3220 CPU @ 3.30GHz
Number of CPUs: 4
RAM: 7996 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: 114473 MB /dev/sdb
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

Disk Internal-0(boot) ref: 14.9GB    type: SSD [ATA SanDisk SSD i110] dev: /dev/sda
Disk HDD ref:              111.8GB   type: SSD [ATA F2CSTK251M3T-012] dev: /dev/sdb

FortiGate-500D

Model name: FortiGate-500D
ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) CPU E3-1225 V2 @ 3.20GHz
Number of CPUs: 4
RAM: 7962 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: 114473 MB /dev/sdb
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

FortiGate-600D

Model name: FortiGate-600D
ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Core(TM) i7-3770 CPU @ 3.40GHz
Number of CPUs: 8
RAM: 7996 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: 114473 MB /dev/sdb
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

FortiGate-800D

Model name: FortiGate-800D
ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Core(TM) i5-4690S CPU @ 3.20GHz
Number of CPUs: 4
RAM: 7997 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: 228936 MB /dev/sdb
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

FortiGate-900D

Model name: FortiGate-900D
ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) CPU E3-1225 v3 @ 3.20GHz
Number of CPUs: 4
RAM: 16064 MB
Compact Flash: 1925 MB /dev/sda
Hard disk: 244198 MB /dev/sdb
USB Flash: not available
Network Card chipset: FortiASIC NP6 Adapter (rev.)

FortiGate-1000D

Model name: FortiGate-1000D
ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) CPU E3-1275 v3 @ 3.50GHz
Number of CPUs: 8
RAM: 15979 MB
Compact Flash: 3840 MB /dev/sda
Hard disk: 114473 MB /dev/sdb
USB Flash: not available
Network Card chipset: Intel(R) PRO/1000 Network Connection (rev.0000)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

FortiGate-1200D

Model name: FortiGate-1200D
ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) CPU E5-1620 v2 @ 3.70GHz
Number of CPUs: 8
RAM: 16064 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: 228936 MB /dev/sdb
USB Flash: not available
Network Card chipset: Broadcom 570x Tigon3 Ethernet Adapter (rev.0x5717100)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

FortiGate-1500D

Model name: FortiGate-1500D
ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) CPU E5-1650 v2 @ 3.50GHz
Number of CPUs: 12
RAM: 16064 MB
Compact Flash: 30653 MB /dev/sda
Hard disk: 228936 MB /dev/sdb
USB Flash: not available
Network Card chipset: Broadcom 570x Tigon3 Ethernet Adapter (rev.0x5717100)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

FortiGate-3000D

Model name: FortiGate-3000D
ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) CPU E5-2650 v3 @ 2.30GHz
Number of CPUs: 40
RAM: 64468 MB
Compact Flash: 15331 MB /dev/sdb
Hard disk: 457862 MB /dev/sda
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

FortiGate-3200D

ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) CPU E5-2670 v3 @ 2.30GHz
Number of CPUs: 48
RAM: 64468 MB
Compact Flash: 15331 MB /dev/sdc
Hard disk: 457862 MB /dev/sda
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6 Adapter (rev.)

C 系列

FortiWiFi-40C

ASIC version: CP0
ASIC SRAM: 64M
CPU: FortiSOC
Number of CPUs: 1
RAM: 436 MB
Compact Flash: 3838 MB /dev/sda
Hard disk: not available
USB Flash: not available
WiFi Chipset: Atheros AR9300
WiFi firmware version: 0.9.17.1

FortiGate-60C

Model name: FortiGate-60C
ASIC version: CP0
ASIC SRAM: 64M
CPU: FortiSOC
Number of CPUs: 1
RAM: 933 MB
Compact Flash: 7669 MB /dev/sda
Hard disk: not available
USB Flash: not available

FortiGate-80C

ASIC version: CP6
ASIC SRAM: 64M
CPU: Celeron (Covington)
RAM: 503 MB
Compact Flash: 493 MB /dev/sda<<==512MB (rev.2 is 8GB FLASH)
Hard disk: not available
USB Flash: not available
Network Card chipset: mvl_sw Ethernet driver1.0 (rev.)

FortiGate-300C

CPU: 1 Intel Celereon @ 2.0 GHz
Memory: 2048 MB
NP: 2xNP2
Internal Storage: 32GB CF
Introduced: 4.2.9
ASIC Version: CP6

FortiGate-600C

ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Core(TM) i3 CPU 540 @ 3.07GHz
RAM: 3965 MB<<==4GB
Compact Flash: 7665 MB /dev/sdb
Hard disk: 57241 MB /dev/sda
USB Flash: not available
Network Card chipset: Broadcom 570x Tigon3 Ethernet Adapter (rev.0Ã—5717100)
Network Card chipset: FortiASIC NP4 Adapter (rev.1)

FortiGate-800C

Model name: FortiGate-800C
ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Core(TM) i5 CPU 750 @ 2.67GHz
Number of CPUs: 4
RAM: 7967 MB
Compact Flash: 7669 MB /dev/sdb
Hard disk: 57241 MB /dev/sda
USB Flash: not available
Network Card chipset: Broadcom 570x Tigon3 Ethernet Adapter (rev.0x5717100)
Network Card chipset: FortiASIC NP4 Adapter (rev.1)

FortiGate-1000C

ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Core(TM) i5 CPU 750 @ 2.67GHz
Number of CPUs: 4
RAM: 7954 MB
Compact Flash: 7669 MB /dev/sdc
Hard disk: 57241 MB /dev/sda
USB Flash: not available
Network Card chipset: Broadcom 570x Tigon3 Ethernet Adapter (rev.0x5717100)
Network Card chipset: FortiASIC NP4 Adapter (rev.1)

FortiGate-3240C

ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) CPU E5620 @ 2.40GHz
Number of CPUs: 16
RAM: 10950 MB
Compact Flash: 7669 MB /dev/sdb
Hard disk: 57241 MB /dev/sda
USB Flash: not available
Network Card chipset: Broadcom 570x Tigon3 Ethernet Adapter (rev.0x5717100)
Network Card chipset: FortiASIC NP4 Adapter (rev.1)
Current Connections = 2692/350400

FortiGate-3600C

ASIC version: CP8
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) CPU E5-2665 0 @ 2.40GHz
Number of CPUs: 32
RAM: 29960 MB
Compact Flash: 1925 MB /dev/sda
Hard disk: 61057 MB /dev/sdb
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0001)
Network Card chipset: FortiASIC NP4 Adapter (rev.1)

B 系列

FortiGate-50B

ASIC version: CP6
ASIC SRAM: 64M
CPU: Geode(TM) Integrated Processor by AMD PCS(~434MHz)
RAM: 249 MB
MTD Flash: 64 MB /dev/mtd
USB Flash: not available
Network Card chipset: ip175c-vdev (rev.)

FortiGate-51B

ASIC version: CP6
ASIC SRAM: 64M
CPU: Geode(TM) Integrated Processor by AMD PCS==>>Geode(TM) Integrated Processor by AMD PCS(~434MHz)
RAM: 502 MB<<==512MB
Compact Flash: 981 MB /dev/hda
Hard disk: not available
USB Flash: not available
Network Card chipset: ip175c-vdev (rev.)

FortiGate-60B

ASIC version: CP6
ASIC SRAM: 64M
CPU: VIA Samuel 2
RAM: 248 MB
MTD Flash: 64 MB /dev/mtd
Hard disk: not available
USB Flash: not available
Built-in modem: Yes

FortiGate-1240B

ASIC version: CP6
ASIC SRAM: 64M
CPU: Intel(R) Xeon(R) CPU E5504 @ 2.00GHz
RAM: 3032 MB
Compact Flash: 7669 MB /dev/sdb
Hard disk: 61057 MB /dev/sda
USB Flash: not available
Network Card chipset: FortiASIC NP4 Adapter (rev.1)
Network Card chipset: Broadcom 570x Tigon3 Ethernet Adapter (rev.0x9003)

A 系列

FortiGate-60A

ASIC version: CP5
SRAM: 64M
CPU: VIA Samuel 2
RAM: 123 MB<==128MB
Compact Flash: 30 MB /dev/hda<==32MB
USB Flash: not available
Network Card chipset: VIA VT6105M Rhine-III (rev.0x96)
Network Card chipset: VIA VT6102 Rhine-II (rev.0x51)

FortiGate-100A

ASIC version: CP5
ASIC SRAM: 64M
CPU: Mobile Intel(R) Celeron(TM) CPU 400MHz
RAM: 249 MB<<==256MB
Compact Flash: 61 MB /dev/hda
USB Flash: not available
Network Card chipset: RealTek RTL8139 Fast Ethernet (rev.0x10)
Network Card chipset: ip175c Ethernet driver (rev.)

FortiGate-200A

ASIC version: CP5
SRAM: 64M
CPU: Intel(R) Celeron(TM) CPU 400MHz
RAM: 503 MB<==512MB
Compact Flash: 61 MB /dev/hda<==64MB
Hard disk: not available
USB Flash: not available
Network Card chipset: RealTek RTL8139 Fast Ethernet (rev.0x10)
Network Card chipset: VIA VT6102 Rhine-II (rev.0x74)

FortiGate-300A

ASIC version: CP5
SRAM: 64M
CPU: Intel(R) Celeron(R) CPU 2.00GHz
RAM: 503 MB<==512MB
Compact Flash: 122 MB /dev/hdc
Hard disk: not available
USB Flash: not available
Network Card chipset: Intel(R) PRO/100 M Desktop Adapter (rev.0x0010)
Network Card chipset: Intel(R) PRO/1000 Network Connection (rev.0004)

FortiGate-400A

ASIC version: CP5
SRAM: 64M
CPU: Intel(R) Pentium(R) 4 CPU 2.80GHz
RAM: 503 MB<==512MB
Compact Flash: 61 MB /dev/hdc<==64MB
Hard disk: not available
USB Flash: not available
Network Card chipset: Intel(R) PRO/100 M Desktop Adapter (rev.0x0010)
Network Card chipset: Intel(R) PRO/1000 Network Connection (rev.0004)

FortiGate-500A

ASIC version: CP5
ASIC SRAM: 64M
CPU: Intel(R) Pentium(R) 4 CPU 2.80GHz
RAM: 1008 MB<<==1024MB
Compact Flash: 122 MB /dev/hdc
Hard disk: not available
USB Flash: not available
Network Card chipset: Intel(R) PRO/100 M Desktop Adapter (rev.0x0010)
Network Card chipset: Intel(R) PRO/1000 Network Connection (rev.0004)

FortiGate-1000A

ASIC version: CP5
ASIC SRAM: 64M
CPU: Intel(R) Xeon(TM) CPU 3.20GHz
RAM: 1008 MB
Compact Flash: 122 MB /dev/hdc
Hard disk: not available
USB Flash: not available
Network Card chipset: Broadcom 570x Tigon3 Ethernet Adapter (rev.0x9001)

FortiGate-1000AFA2

ASIC version: CP5
SRAM: 64M
Acceleration Module: not available
CPU: Intel(R) Xeon(TM) CPU 3.20GHz
RAM: 1009 MB
Compact Flash: 122 MB /dev/hdc
USB Flash: not available
Network Card chipset: Broadcom 570x Tigon3 Ethernet Adapter (rev.0x9003)
*FA2==>NP1 unit(NP1 x1)

原始系列

FortiGate-60

ASIC version: CP2
ASIC SRAM: 64M
CPU: VIA Samuel 2<<==400MHz
RAM: 123 MB<<==128MB
Compact Flash: 30 MB /dev/hda
USB Flash: not available
Network Card chipset: VIA VT6105M Rhine-III (rev.0x96)
Network Card chipset: VIA VT6102 Rhine-II (rev.0x51)

FortiGate-200

ASIC version: CP2
ASIC SRAM: 64M
CPU: Celeron (Coppermine)<<==300MHz
RAM: 250 MB<<==256MB
Compact Flash: 61 MB /dev/hda
Hard disk: 38304 MB /dev/hdb
Network Card chipset: RealTek RTL8139 Fast Ethernet (rev.0x20)

FortiGate-800

ASIC version: CP4
SRAM: 64M
CPU: Mobile Genuine Intel(R) processor 1400MHz
RAM: 1009 MB<<==1024MB
Compact Flash: 122 MB /dev/hdc
Hard disk: 76308 MB /dev/hda
USB Flash: not available
Network Card chipset: Intel(R) PRO/1000 Network Connection (rev.0x01)
Network Card chipset: Intel(R) PRO/100 M Desktop Adapter (rev.0x0010)

FortiGate-1000

ASIC version: CP2
SRAM: 64M
CPU: Intel(R) Pentium(R) III CPU - S 1266MHz
RAM: 503 MB<<==512MB
Compact Flash: 122 MB /dev/hda
Hard disk: 38154 MB /dev/hdc
Network Card chipset: Broadcom 570x Tigon3 Ethernet Adapter (rev.0x105)
Network Card chipset: Intel(R) 8255x-based Ethernet Adapter (rev.0x0009)

在设备上查询

查看基础硬件状态。
```
get hardware status
```
查看 CPU 信息。需要确认 CPU 核心、架构或具体型号时，可以补充采集该命令输出。
```
get hardware cpu
```

查看系统内存大小与当前内存状态。

diagnose hardware sysinfo memory
get hardware memory

查看 FortiOS 版本、序列号、运行模式等系统信息，便于和硬件信息一起归档。
```
get system status
```

提示

向他人确认硬件规格或提交问题时，建议至少提供 get system status、get hardware status、get hardware cpu 与内存查询命令输出。这样可以同时覆盖设备型号、序列号、FortiOS 版本、硬件修订、CPU、内存、存储与 ASIC 信息。

字段说明

| 字段 | 说明 | | :

Radius status-ttl

Fri, 26 Jun 2026 06:50:10 GMT

FortiOS 7.4.0 起支持 RADIUS Server 可达性状态缓存（status-ttl）。当 Radius 配置了备用服务器或第三服务器时，FortiGate 可以在缓存有效期内跳过连续无响应的服务器，直接尝试状态可用的备用服务器，从而减少用户认证延迟。

功能介绍

在 FortiOS 7.4.0 之前，即使主 Radius Server 已经不可达，FortiGate 仍会先尝试主服务器；如果主服务器一直超时，用户认证可能出现明显延迟，部分场景下甚至会导致认证失败。

FortiGate 检测到某个 Radius Server 连续 5 次无响应后，会将该服务器标记为不可达。默认配置 set status-ttl 300 表示可达性状态缓存 300 秒，在缓存过期前 FortiGate 不会继续向该不可达服务器发送认证请求。

Radius Server 可达性状态包含以下 3 种：

| 状态码 | 状态名称 | 说明 | | :

双 Internet 连接

Thu, 25 Jun 2026 09:11:21 GMT

双 Internet 连接也称为双 WAN 或冗余 Internet 连接，指 FortiGate 通过两个接口连接 Internet。当前更常见的实现方式是 SD-WAN；本章介绍的是不使用 SD-WAN 的传统双 WAN 方案，主要依赖静态路由、策略路由和 Link Monitor。

典型用途包括：

链路冗余：主接口故障后，备用接口自动接管 Internet 出口。
负载分担：将部分流量引导到第二条链路，提高整体吞吐。
同时实现链路冗余和部分流量分担。

场景一：链路冗余，不做负载分担

链路冗余用于在主 Internet 接口不可用时，自动切换到备用接口。在此场景中，wan1 和 wan2 分别连接不同 ISP，wan1 是主链路，wan2 是备用链路。

需要配置以下内容：

Link Monitor：检测 wan1 的远端网关或服务器是否可达。
路由：为两个接口分别配置默认路由，通过不同 distance 选择主备。
安全策略：为主备出口都配置允许内网访问 Internet 的策略。

Link Monitor

Link Monitor 会按固定间隔探测指定网关或服务器。当探测失败时，FortiGate 将对应接口标记为不可用，并触发路由切换。

interval 决定探测间隔，failtime 决定连续丢失多少次探测后判定失败。较小的 interval 和 failtime 可以加快故障检测，但也会增加探测流量和状态变化敏感度。

IPv4 Link Monitor 配置示例：

config system link-monitor
    edit <link-monitor-name>
        set addr-mode ipv4
        set srcintf <interface-name>
        set server <server-IP-address>
        set protocol {ping tcp-echo udp-echo http twamp}
        set gateway-ip <gateway-IP-address>
        set interval <seconds>
        set failtime <retry-attempts>
        set recoverytime <number-of-successful-responses>
        set status enable
    next
end

路由

两个 Internet 接口都需要配置默认路由。常见主备选择方式有两种：

两条默认路由使用不同 distance，distance 较小的路由优先进入路由表。
两条默认路由使用相同 distance，但通过 priority 区分优先级，priority 值较小的路由优先。

以下示例使用不同 distance 实现主备路由。

config router static
    edit 1
        set dst 0.0.0.0 0.0.0.0
        set device "wan1"
        set gateway <wan1_gateway>
        set distance 10
    next
    edit 2
        set dst 0.0.0.0 0.0.0.0
        set device "wan2"
        set gateway <wan2_gateway>
        set distance 20
    next
end

相关信息

备用 WAN 的入站访问可能会被反向路径检查影响。FortiGate 会根据路由表检查回程接口，如果当前路由表无法让回包从相同接口返回，入站流量可能被丢弃。

安全策略

需要为 wan1 和 wan2 分别配置放通内网访问 Internet 的安全策略，确保主链路故障切换到备用链路后，普通业务仍能通过备用链路转发。

场景二：负载分担，不做链路冗余

如果只需要把部分流量固定引导到第二条 WAN，而不要求网关不可达时自动切换，可以使用策略路由实现负载分担。

常见方式包括：

主路由使用较低 distance，部分流量通过策略路由转发到备用接口。
两条路由使用相同 distance、不同 priority，部分流量通过策略路由转发到备用接口。
两条路由使用相同 distance 和 priority，通过 ECMP 分担流量。

在不配置 Link Monitor 的情况下，需要注意以下行为：

远端网关不可达但本地 WAN 接口仍为 Up 时，FortiGate 仍可能继续把流量送往主 WAN，导致业务中断。
本地 WAN 接口物理 Down 时，FortiGate 会移除该接口相关路由，备用路由可以接管。

策略路由示例：

config router policy
    edit 1
        set input-device "internal"
        set srcaddr "Laptops"
        set gateway <wan2_gateway>
        set output-device "wan2"
    next
end

此场景不需要把所有 internal 到 wan1 的策略复制到 wan2，只需要为会被策略路由引导到 wan2 的流量配置对应安全策略。

场景三：链路冗余和负载分担同时使用

此场景中，两条 WAN 链路都可用于转发 Internet 流量，但主 WAN 优先级更高。当任一链路故障时，FortiGate 将继续通过另一条可用链路转发。

Link Monitor

需要分别为主 WAN 和备用 WAN 配置 Link Monitor。任一链路探测失败时，FortiGate 移除对应路由，使流量重新选择仍可用的出口。

路由

两条默认路由使用相同 distance，通过 priority 控制主备偏好。

config router static
    edit 1
        set dst 0.0.0.0 0.0.0.0
        set device "wan1"
        set gateway <wan1_gateway>
        set distance 10
        set priority 1
    next
    edit 2
        set dst 0.0.0.0 0.0.0.0
        set device "wan2"
        set gateway <wan2_gateway>
        set distance 10
        set priority 10
    next
end

策略路由

策略路由配置与“负载分担，不做链路冗余”场景类似，但建议不要在策略路由中指定网关。策略路由命中后，如果未指定网关，FortiGate 会继续查询路由表获取下一跳。当备用 WAN 故障且对应路由被 Link Monitor 移除时，该策略路由会被绕过，流量仍可通过主 WAN 转发。

安全策略

需要为两个 WAN 出口配置对应安全策略，确保任一链路故障后，业务切换到另一条链路时仍被策略允许。

动态 VPN 隧道监控

Thu, 25 Jun 2026 09:11:21 GMT

Link Monitor 可以对动态 VPN 接口执行 SLA 检测，适用于隧道建立后由 FortiGate 为客户端分配地址的场景，包括 SSL VPN 隧道、IPsec 远程访问和动态 IPsec 站点到站点隧道。

该功能目前仅支持 IPv4 和 ICMP 探测协议，仅用于数据监控，无更新路由等功能。用于动态 IPsec 隧道时，IPsec Phase 1 中必须关闭 net-device。

config system link-monitor
    edit <name>
        set server-type {static | dynamic}
    next
end

查看拨号隧道的 Link Monitor 统计信息：

diagnose sys link-monitor tunnel {name | all} []

配置示例

以下示例中，终端用户使用 FortiClient 拨号建立 IPsec 隧道，并从 FortiGate 获取地址。FortiGate 在动态 VPN 接口上启用 Link Monitor，用于检测到各个客户端隧道的路径质量。

配置 IPsec Phase 1，注意关闭 net-device。

config vpn ipsec phase1-interface
    edit "for_Branch"
        set type dynamic
        set interface "port15"
        set mode aggressive
        set peertype any
        set net-device disable
        set mode-cfg enable
        set proposal aes128-sha256 aes256-sha256 aes128-sha1 aes256-sha1
        set dpd on-idle
        set dhgrp 5
        set xauthtype auto
        set authusrgrp "vpngroup"
        set assign-ip-from name
        set ipv4-netmask 255.255.255.0
        set dns-mode auto
        set ipv4-split-include "10.20.205.0"
        set ipv4-name "client_range"
        set save-password enable
        set psksecret **********
        set dpd-retryinterval 60
    next
end

配置 IPsec Phase 2。

config vpn ipsec phase2-interface
    edit "for_Branch_p2"
        set phase1name "for_Branch"
        set proposal aes128-sha1 aes256-sha1 aes128-sha256 aes256-sha256 aes128gcm aes256gcm chacha20poly1305
        set dhgrp 5
    next
end

配置动态隧道接口。

config system interface
    edit "for_Branch"
        set vdom "root"
        set ip 10.10.10.254 255.255.255.255
        set type tunnel
        set remote-ip 10.10.10.253 255.255.255.0
        set snmp-index 100
        set interface "port15"
    next
end

将动态 IPsec 拨号隧道加入 Link Monitor。

config system link-monitor
    edit "1"
        set srcintf "for_Branch"
        set server-type dynamic
    next
end

FortiClient 用户连接后，查看 IPsec 隧道摘要。

# get vpn ipsec tunnel summary
'for_Branch_0' 198.51.100.23:0  selectors(total,up): 1/1
  rx(pkt,err): 21091/0  tx(pkt,err): 20741/0
'for_Branch_1' 198.51.100.13:0  selectors(total,up): 1/1
  rx(pkt,err): 19991/0  tx(pkt,err): 20381/0

查看动态隧道的 Link Monitor 状态。

# diagnose sys link-monitor tunnel all
for_Branch_0 (1): state=alive, peer=10.10.10.1, create_time=2022-02-08 10:43:11, srcintf=for_Branch, latency=0.162, jitter=0.018, pktloss=0.000%
for_Branch_1 (1): state=alive, peer=10.10.10.2, create_time=2022-02-08 10:49:24, srcintf=for_Branch, latency=0.266, jitter=0.015, pktloss=0.000%

在 FortiGate 和 FortiClient 之间的路径上人为增加 200 ms 延迟后，再次查看状态。

# diagnose sys link-monitor tunnel all
for_Branch_0 (1): state=alive, peer=10.10.10.1, create_time=2022-02-08 10:43:11, srcintf=for_Branch, latency=200.177, jitter=0.021, pktloss=0.000%
for_Branch_1 (1): state=alive, peer=10.10.10.2, create_time=2022-02-08 10:49:24, srcintf=for_Branch, latency=200.257, jitter=0.017, pktloss=0.000%

功能简介

Thu, 25 Jun 2026 09:11:21 GMT

Link Monitor 用于让 FortiGate 按固定间隔探测指定服务器，判断链路、下一跳或到目标服务器路径的健康状态。探测协议支持 Ping、TCP Echo、UDP Echo、HTTP 和 TWAMP，探测服务器通常选择位于链路远端且稳定可达的地址。

Link Monitor 最常见的用途是链路故障检测和路由联动：当检测失败时，FortiGate 可以从路由表移除对应接口和网关相关的路由，避免业务继续从故障链路转发。FortiOS 7.0 起支持通过 set route 指定只移除特定 IPv4 路由前缀；如果没有指定路由，则仍按接口和网关移除相关路由。

从 FortiOS 7.0.1 起，Link Monitor 还可以通过 update-policy-route 控制健康检查失败时是否联动禁用对应策略路由；通过 server-list 和权重配置，也可以在多个探测服务器中按故障权重判断整体链路状态。

Link Monitor 还可用于动态 VPN 隧道 SLA 检测、传统双 WAN 链路冗余，以及 FGCP HA 集群的远端链路监控。HA 内置链路监控只能检测直连接口物理状态，而 Link Monitor 可以检测远端网关、运营商路径或下游路由器等“软故障”。

当启用 update-cascade-interface 时，Link Monitor 还可以把故障级联到其他接口；配合接口上的 fail-detect 可触发其他接口的链路 Down 事件。

HA 远程链路监控

Thu, 25 Jun 2026 09:11:21 GMT

远程链路监控（Remote Link Monitoring，也称 Remote IP Monitoring 或 PING Server Monitoring）用于让 FGCP 集群检测直连网段之外的路径故障。主设备通过探测远端主机判断运营商网关、下游路由器或中间路径是否可达；当路径故障达到 HA 阈值时，可以触发切换到路径健康的成员。

前提与限制

集群需要工作在 FGCP Active-Passive 模式。
FGCP 集群中只有主设备主动执行 Link Monitor 探测。
从设备没有完整活动路由表。从设备上执行 Ping 时，ICMP 请求会通过 HA 心跳链路由主设备代理发送。
如果一个 Link Monitor 配置了多个服务器，只有所有服务器都不可达时，该 Link Monitor 才会判定为失败。

配置方法

配置 Link Monitor

Link Monitor 定义需要探测的目标，以及探测失败后计入 HA 健康分数的惩罚值。

config system link-monitor
    edit "WAN_Link_Monitor"
        set srcintf "port1"
        set server "192.0.2.100" "198.51.100.100"
        set protocol ping
        set ha-priority 10
        set interval 500
        set failtime 5
    next
end

| 参数 | 说明 | | :

策略路由更新

Thu, 25 Jun 2026 09:11:21 GMT

FortiOS 7.0.1 起，Link Monitor 支持通过 update-policy-route 控制健康检查失败时是否联动更新策略路由。关闭该选项后，即使 Link Monitor 检测失败，使用相同出接口和网关的策略路由也不会被自动禁用。

config system link-monitor
    edit <name>
        set update-policy-route {enable | disable}
    next
end

配置示例

以下拓扑中，FortiGate 通过 port22 探测服务器 10.10.100.22，网关为 10.10.202.1。同时设备上存在一条策略路由，将访问 10.20.205.10 的流量通过同一个网关和接口转发。配置 set update-policy-route disable 后，Link Monitor 失败不会禁用这条策略路由。

配置 Link Monitor，并关闭策略路由更新。

config system link-monitor
    edit "test-1"
        set srcintf "port22"
        set server "10.10.100.22"
        set gateway-ip 10.10.202.1
        set failtime 3
        set update-policy-route disable
    next
end

配置策略路由。

config router policy
    edit 1
        set input-device "port16"
        set dst "10.20.205.10/255.255.255.255"
        set gateway 10.10.202.1
        set output-device "port22"
        set tos 0x14
        set tos-mask 0xff
    next
end

Link Monitor 状态正常时，查看 Link Monitor 和策略路由状态。

查看 Link Monitor 状态：

# diagnose sys link-monitor status
Link Monitor: test-1, Status: alive, Server num(1), HA state: local(alive), shared(alive)
Flags=0x1 init, Create time: Fri May 28 15:20:15 2021
Source interface: port22 (14)
Gateway: 10.10.202.1
Interval: 500 ms
Service-detect: disable
Diffservcode: 000000
Class-ID: 0
  Peer: 10.10.100.22(10.10.100.22)
        Source IP(10.10.202.2)
        Route: 10.10.202.2->10.10.100.22/32, gwy(10.10.202.1)
        protocol: ping, state: alive
                Latency(Min/Max/Avg): 0.374/0.625/0.510 ms
                Jitter(Min/Max/Avg): 0.008/0.182/0.074
                Packet lost: 0.000%
                Number of out-of-sequence packets: 0
                Fail Times(0/3)
                Packet sent: 7209, received: 3400, Sequence(sent/rcvd/exp): 7210/7210/7211

查看策略路由列表：

# diagnose firewall proute list
list route policy info(vf=root):
id=1 dscp_tag=0xff 0xff flags=0x0 tos=0x14 tos_mask=0xff protocol=0 sport=0-0 iif=41 dport=0-65535 oif=14(port22) gwy=10.10.202.1
source wildcard(1): 0.0.0.0/0.0.0.0
destination wildcard(1): 10.20.205.10/255.255.255.255
hit_count=1 last_used=2021-05-27 23:04:33

Link Monitor 状态失败时，策略路由仍保持启用。

查看 Link Monitor 状态：

# diagnose sys link-monitor status
Link Monitor: test-1, Status: die, Server num(1), HA state: local(die), shared(die)
Flags=0x9 init log_downgateway, Create time: Fri May 28 15:20:15 2021
Source interface: port22 (14)
Gateway: 10.10.202.1
Interval: 500 ms
Service-detect: disable
Diffservcode: 000000
Class-ID: 0
  Peer: 10.10.100.22(10.10.100.22)
        Source IP(10.10.202.2)
        Route: 10.10.202.2->10.10.100.22/32, gwy(10.10.202.1)
        protocol: ping, state: die
                Packet lost: 11.000%
                Number of out-of-sequence packets: 0
                Recovery times(0/5) Fail Times(0/3)
                Packet sent: 7293, received: 3471, Sequence(sent/rcvd/exp): 7294/7281/7282

查看策略路由列表，flags=0x0 表示该策略路由未被禁用：

# diagnose firewall proute list
list route policy info(vf=root):
id=1 dscp_tag=0xff 0xff flags=0x0 tos=0x14 tos_mask=0xff protocol=0 sport=0-0 iif=41 dport=0-65535 oif=14(port22) gwy=10.10.202.1
source wildcard(1): 0.0.0.0/0.0.0.0
destination wildcard(1): 10.20.205.10/255.255.255.255
hit_count=1 last_used=2021-05-27 23:04:33

如果 update-policy-route 保持启用，Link Monitor 失败后对应策略路由会被禁用，输出中可以看到 flags=0x8 disable。

# diagnose firewall proute list
list route policy info(vf=root):
id=1 dscp_tag=0xff 0xff flags=0x8 disable tos=0x14 tos_mask=0xff protocol=0 sport=0-0 iif=41 dport=0-65535 oif=14(port22) gwy=10.10.202.1
source wildcard(1): 0.0.0.0/0.0.0.0
destination wildcard(1): 10.20.205.10/255.255.255.255
hit_count=1 last_used=2021-05-27 23:04:33

静态路由更新

Thu, 25 Jun 2026 09:11:21 GMT

Link Monitor 检测失败时，可以只移除在 Link Monitor 中显式指定的 IPv4 静态路由，而不是移除所有使用相同接口和网关的路由。如果没有配置 set route，则会按传统行为移除与该接口和网关关联的路由。

config system link-monitor
    edit <name>
        set update-policy-route enable
        set route <subnet>
    next
end

配置示例

以下示例中，FortiGate 通过接口 agg1 探测服务器 10.10.100.22，下一跳为 10.10.203.2。路由表中有多条路由都使用 agg1 和该网关，但 Link Monitor 只指定 192.0.2.2/32 和 10.20.202.0/24 两个目的前缀。

配置 Link Monitor，在update-static-route启用的状态（默认）下，并通过 set route 指定故障时需要移除的路由前缀。

config system link-monitor
    edit "route-check"
        set srcintf "agg1"
        set server "10.10.100.22"
        set gateway-ip 10.10.203.2
        set update-static-route enable
        set route "192.0.2.2/32" "10.20.202.0/24"
    next
end

Link Monitor 状态正常时，指定路由仍在路由表中。

# get router info routing-table static
Routing table for VRF=0
S*      0.0.0.0/0 [5/0] via 10.100.1.249, port12
S       10.10.100.0/24 [10/0] via 10.10.203.2, agg1
S       192.0.2.2/32 [10/0] via 10.10.203.2, agg1
S       192.0.2.3/32 [10/0] via 10.10.203.2, agg1
S       10.20.201.0/24 [10/0] via 10.10.200.4, port9
S       10.20.202.0/24 [10/0] via 10.10.203.2, agg1
S       10.20.204.0/24 [10/0] via 10.10.200.4, port9
                        [10/0] via 10.10.203.2, agg1
                        [10/0] via 10.10.206.2, vlan100, [100/0]

Link Monitor 状态失败后，只有 set route 指定的 192.0.2.2/32 和 10.20.202.0/24 被移除，其他使用相同接口和网关的路由仍保留。

# get router info routing-table static
Routing table for VRF=0
S*      0.0.0.0/0 [5/0] via 10.100.1.249, port12
S       10.10.100.0/24 [10/0] via 10.10.203.2, agg1
S       192.0.2.3/32 [10/0] via 10.10.203.2, agg1
S       10.20.201.0/24 [10/0] via 10.10.200.4, port9
S       10.20.204.0/24 [10/0] via 10.10.200.4, port9
                        [10/0] via 10.10.203.2, agg1
                        [10/0] via 10.10.206.2, vlan100, [100/0]

重要

set route 仅支持 IPv4 路由。需要更细粒度控制时，建议明确列出故障时应移除的目的前缀；否则 Link Monitor 失败会移除所有匹配相同接口和网关的路由。

服务器权重

Thu, 25 Jun 2026 09:11:21 GMT

FortiOS 7.0.1 之前，Link Monitor 在所有探测服务器都不可达时才判定为失败。FortiOS 7.0.1 起，Link Monitor 支持为每个探测服务器配置独立权重，并通过 fail-weight 设置整体失败阈值。当不可达服务器的权重总和达到或超过失败阈值时，Link Monitor 才判定为失败，并触发静态路由更新或级联接口更新。

config system link-monitor
    edit <name>
        set srcintf <interface>
        set server-config {default | individual}
        set fail-weight <integer>
        config server-list
            edit <id>
                set dst <address>
                set weight <integer>
            next
        end
    next
end

| 参数 | 说明 | | :

SNAT 源端口保持

Wed, 24 Jun 2026 09:14:56 GMT

FortiGate 做 SNAT 时，默认可能会修改报文的源端口，用于避免不同会话在 NAT 后使用相同五元组。部分业务会在载荷中携带源端口，或要求远端看到固定的源端口，此时可以在启用 NAT 的防火墙策略中控制源端口是否被保留。

常见需要保留源端口的场景包括：

老旧 SIP PBX 或话机注册到远端 SIP 平台，载荷中的端口与 IP 头中的源端口不一致时可能导致注册异常。
某些应用与数据库或专用服务通过固定端口通信，同时又需要穿越 FortiGate 做应用控制、Web 过滤或其他安全检测。
使用一对一 IP Pool 并要求 NAT 后源端口保持不变。

参数行为

TCP/IP 会话由源 IP、源端口、目的 IP、目的端口和协议组成。SNAT 修改源 IP 后，如果继续保留原始源端口，而另一个会话已经占用了相同的 NAT 后地址和端口，就可能发生端口冲突。

| 参数 | 适用版本 | 行为 | | :

新 IPS 特征防误报

Thu, 18 Jun 2026 07:47:55 GMT

IPS 特征过滤器可以通过 Hold Time 延迟新特征的阻断动作，也可以通过 CVE 编号或 CVE 通配模式自动包含相关 IPS 特征。该功能适合在特征库更新后降低误报影响，或在已知 CVE 应急防护时快速构建定向 IPS Sensor。

重要

该功能从 FortiOS 6.4.2 开始支持。signature-hold-time 的常见最大值为 7 天；在 FortiOS 7.6.3 中，最大值提高到 21 天，格式仍为 ##d##h。

Signature Hold Time

signature-hold-time 用于设置 FortiGate 在收到 FortiGuard IPS 特征库更新后，对新特征保持监控状态的时间。在启用 VDOM 的环境中，该设置在对应 VDOM 中生效。

工作方式如下：

Hold Time 期间，新特征的模式为 monitor。
流量命中新特征时，IPS 日志中会出现 signature is on hold，动作为检测而不是按特征动作阻断。
Hold Time 到期后，新特征恢复正常启用，并按 IPS Sensor 中配置的动作或特征默认动作处理流量。
如果 IPS Sensor 中直接按特征 ID 指定了某个特征，override-signature-hold-by-id 会影响该特征是否仍受 Hold Time 约束。

配置 Hold Time

将 IPS 新特征保持在监控状态 3 天 12 小时：

config system ips
    set signature-hold-time 3d12h
    set override-signature-hold-by-id enable
end

override-signature-hold-by-id 的作用如下：

| 配置 | 说明 | | :

VM 解密 CPU 负载

Wed, 17 Jun 2026 09:47:53 GMT

FortiGate-VM 使用单条或多条 IPSec 隧道时，如果解密流量长期集中在少数 CPU 上，可能出现单核 CPU 高、隧道吞吐上不去或业务抖动的问题。可以通过 config system affinity-packet-redistribution 将指定接口收发的报文重新分配到指定 CPU 范围内处理，让 IPSec 软件加解密流量更均衡。

适用场景

该配置主要用于 FortiGate-VM，常见于以下场景：

FortiGate-VM 有多个 vCPU，但 IPSec 解密流量只集中在一个或少数几个 CPU。
只有一条 IPSec 隧道承载大量流量，软件解密压力集中在同一个 CPU。
多条 IPSec 隧道共用同一个父接口，希望将该接口上的 IPSec 报文分散到更多 CPU。

可以使用 diagnose vpn ipsec cpu 查看 IPSec 软件加解密流量在各 CPU 上的分布。例如 8 vCPU 的 FortiGate-VM 中，只有部分 CPU 有明显计数：

FGT-VM # diagnose vpn ipsec cpu
Software crypto CPU distributions:
CPU#     enc            dec-in         dec            dec-out
0        60             0              65             65
1        57             0              57             57
2        0              0              0              0
3        0              0              0              0
4        0              0              0              0
5        0              0              0              0
6        0              0              0              0
7        60             0              65             65

相关信息

如果只有一条 IPSec 隧道，解密流量可能固定由同一个 CPU 处理。此时只配置 CPU 掩码不一定能让单隧道流量均衡，通常还需要启用 round-robin。

CPU 掩码计算

affinity-cpumask 使用十六进制位图表示允许参与报文重分配的 CPU。每个 CPU 对应一个 bit：

| CPU | 掩码 | |

IKE 分片

Wed, 17 Jun 2026 07:18:06 GMT

功能简介

IPSec 协商阶段使用 UDP 封装 IKE 报文。当使用较大的证书时，UDP 封装后的 IKE 报文（主模式第 5、6 个包，野蛮模式第 1、2 个包，IKEv2）可能会出现 UDP/IP 分片，某些 ISP 或中间安全设备可能将 IKE 分片丢弃，导致 IPSec 无法协商成功。

对于大多数配置，当中间设备丢弃包含较大证书的 IKE 分片而导致 IPSec 协商失败时，开启 IKE Fragmentation 可以解决此问题。

相关信息

IKE Fragmentation 只影响 IKE 协商报文，不处理 ESP 业务流量分片。ESP 相关分片问题请参考 VPN → IPSec VPN → IPSec VPN 排错 → ESP 分片丢包章节。

IKEv1 分片

FortiGate 只会在以下条件同时满足的情况下，对 IKEv1 报文进行预分片：先分片后封装 ISAKMP，保证封装 ISAKMP 后的 IKE 报文小于 576 Bytes。

phase1-interface 中的配置包含 set fragmentation enable。
IKE 报文封装 IKE 后超过最小 Internet MTU，IPv4 为 576 Bytes，IPv6 为 1280 Bytes。
这个 IKE 报文处于重传（retransmit）状态。

默认情况下，IKE Fragmentation 功能是开启的。如果关闭该功能，则 IPSec 不对 IKE 报文进行 IKE 层分片，IKE 报文从物理口发出时，根据物理口 MTU 进行普通 IP 分片。

config vpn ipsec phase1-interface
    edit "ToR2"
        set fragmentation [enable | disable]
    next
end

IKEv2 分片

在 IKEv2 协商中，RFC 7383 要求 IKEv2 每一个分片都必须单独进行加密和验证。

IKEv2 通过在 IKE_SA_INIT 报文中的 Notify Payload 携带 IKEV2_FRAGMENTATION_SUPPORTED 来通告和协商 IKEv2 分片能力。如果双方都支持 IKEV2_FRAGMENTATION_SUPPORTED，FortiGate 会直接使用配置的 fragmentation-mtu 对后续 IKEv2 报文进行预分片，不需要像 IKEv1 一样等待重传（retransmit）状态。

FortiGate 需要为每一个发出的 IKEv2 报文保留一份加密前的 IKEv2 Payload，并且只会在以下条件同时满足的情况下，对 IKEv2 报文进行分片：

phase1-interface 中的配置包含 set fragmentation enable。
未加密的 IKEv2 Payload 超过了设置的 MTU 值，该值在 phase1-interface 中设置，默认 1200。
对端发送的 IKE_SA_INIT 报文中，Notify Payload 携带 IKEV2_FRAGMENTATION_SUPPORTED。

config vpn ipsec phase1-interface
    edit "ToR2"
        set ike-version 2
        set fragmentation enable
        set fragmentation-mtu [500-16000]
    next
end

网络拓扑

基础配置

FW1

R1-FG1101E # show vpn ipsec phase1-interface ToR2
config vpn ipsec phase1-interface
    edit "ToR2"
        set interface "port16"
        set authmethod signature
        set peertype any
        set passive-mode enable
        set proposal aes128-sha256
        set fragmentation enable
        set remote-gw 100.0.3.2
        set certificate "R1-FG1101E_FW1"
    next
end

FW2

R2-FG1101E # show vpn ipsec phase1-interface ToR1
config vpn ipsec phase1-interface
    edit "ToR1"
        set interface "port16"
        set authmethod signature
        set peertype any
        set proposal aes128-sha256
        set fragmentation enable
        set remote-gw 100.0.0.2
        set certificate "R2-F1101E_FW2"
    next
end

测试过程

IKEv1

使用 OpenSSL 证书服务器为 FW1 和 FW2 分别颁发 IPSec 证书，密钥长度为 4096 Bits，并导入 FW1 和 FW2，同时导入 CA 证书。FW1 和 FW2 的 IPSec 认证使用证书认证（主模式），并引用各自被颁发的证书。

查看 FW1 和 FW2 的一阶段状态。

FW1：

R1-FG1101E # diagnose vpn ike gateway list
vd: root/0
name: ToR2
version: 1
interface: port16 39
addr: 100.0.0.2:500 -> 100.0.3.2:500
created: 355s ago
peer-id: C = CN, ST = Haidian, L = Beijing, O = TAC, OU = Fortinet, CN = fw2.summerice2019.com, emailAddress = bbai@fortinet.com
peer-id-auth: yes
IKE SA: created 1/1  established 1/1  time 10/10/10 ms
IPsec SA: created 0/0
  id/spi: 269 efdc3e0b977466ff/bd316a8dff131e02
  direction: initiator
  status: established 355-355s ago = 10ms
  proposal: aes128-sha256
  key: 6fb1d2a827b06bfe-61e30fcf2684a052
  lifetime/rekey: 86400/85744
  DPD sent/recv: 00000000/00000000
  peer-id: C = CN, ST = Haidian, L = Beijing, O = TAC, OU = Fortinet, CN = fw2.summerice2019.com, emailAddress = bbai@fortinet.com

FW2：

R2-FG1101E # diagnose vpn ike gateway list
vd: root/0
name: ToR1
version: 1
interface: port16 39
addr: 100.0.3.2:500 -> 100.0.0.2:500
created: 3556s ago
peer-id: C = CN, ST = Haidian, L = Beijing, O = TAC, OU = Fortinet, CN = R1-FG1101E.summerice2019.com, emailAddress = bbai@fortinet.com
peer-id-auth: yes
IKE SA: created 1/1  established 1/1  time 10/10/10 ms
IPsec SA: created 1/1  established 1/1  time 0/0/0 ms
  id/spi: 69 efdc3e0b977466ff/bd316a8dff131e02
  direction: responder
  status: established 3556-3556s ago = 10ms
  proposal: aes128-sha256
  key: 6fb1d2a827b06bfe-61e30fcf2684a052
  lifetime/rekey: 86400/82573
  DPD sent/recv: 00000000/00000000
  peer-id: C = CN, ST = Haidian, L = Beijing, O = TAC, OU = Fortinet, CN = R1-FG1101E.summerice2019.com, emailAddress = bbai@fortinet.com

在中间设备 Router 上抓取 FW1 和 FW2 的 ISAKMP 协商报文：

格式 4 抓包，可以看到主模式的第 5、6 个包（包含证书）根据 FW1、FW2 出接口的 MTU = 1500 被分别分成了 3 片，总大小（不含 IP 头长度）为 1480 + 1480 + 436 = 3396 Bytes、1480 + 1480 + 388 = 3348 Bytes。

RACK1-FG601E # diagnose sniffer packet any 'host 100.0.3.2' 4
interfaces=[any]
filters=[host 100.0.3.2]
49.437037 port7 in 100.0.0.2.500 -> 100.0.3.2.500: udp 332
49.437042 port8 out 100.0.0.2.500 -> 100.0.3.2.500: udp 332
49.437145 port8 in 100.0.3.2.500 -> 100.0.0.2.500: udp 192
49.437148 port7 out 100.0.3.2.500 -> 100.0.0.2.500: udp 192
49.437241 port7 in 100.0.0.2.500 -> 100.0.3.2.500: udp 508
49.437243 port8 out 100.0.0.2.500 -> 100.0.3.2.500: udp 508
49.437327 port8 in 100.0.3.2.500 -> 100.0.0.2.500: udp 513
49.437329 port7 out 100.0.3.2.500 -> 100.0.0.2.500: udp 513
49.444845 port7 in 100.0.0.2.500 -> 100.0.3.2.500: udp 3388 (frag 24504:1480@0+)
49.444858 port7 in 100.0.0.2 -> 100.0.3.2:  ip-proto-17 (frag 24504:1480@1480+)
49.444860 port7 in 100.0.0.2 -> 100.0.3.2:  ip-proto-17 (frag 24504:436@2960)
49.444867 port8 out 100.0.0.2.500 -> 100.0.3.2.500: udp 3388 (frag 24504:1480@0+)
49.444869 port8 out 100.0.0.2 -> 100.0.3.2:  ip-proto-17 (frag 24504:1480@1480+)
49.444872 port8 out 100.0.0.2 -> 100.0.3.2:  ip-proto-17 (frag 24504:436@2960)
49.451532 port8 in 100.0.3.2.500 -> 100.0.0.2.500: udp 3340 (frag 42137:1480@0+)
49.451545 port8 in 100.0.3.2 -> 100.0.0.2:  ip-proto-17 (frag 42137:1480@1480+)
49.451546 port8 in 100.0.3.2 -> 100.0.0.2:  ip-proto-17 (frag 42137:388@2960)
49.451551 port7 out 100.0.3.2.500 -> 100.0.0.2.500: udp 3340 (frag 42137:1480@0+)
49.451553 port7 out 100.0.3.2 -> 100.0.0.2:  ip-proto-17 (frag 42137:1480@1480+)
49.451555 port7 out 100.0.3.2 -> 100.0.0.2:  ip-proto-17 (frag 42137:388@2960)

格式 6 抓包，可以看到 FW1 先执行了 IKE 封装，再根据出接口的 MTU = 1500 执行 IP 分片。
原始报文文件：IKE_Fragment.pcapng。

在中间设备 Router 的 port7（针对 FW1 到 FW2 的方向）下开启丢弃分片包功能，使 FW1 发送的主模式第 5 个包被丢弃并进入重传状态，进而触发 FW1 的 IKE Fragmentation。
```
config system interface
    edit "port7"
        set drop-fragment enable
    next
end
```

再次在中间设备 Router 上抓取 FW1 和 FW2 的 ISAKMP 协商报文：

格式 4 抓包，可以看到 FW1 发出的主模式第 5 个包（包含证书）根据 FW1 出接口的 MTU = 1500 被分成了 3 片，总大小（不含 IP Header）为 1480 + 1480 + 436 = 3396 Bytes。由于 Router 的 port7 开启了分片丢弃，这三个分片未被转发到 port8。FW1 的 IKE 协商进入重传状态后触发 IKE Fragmentation，按照 Internet MTU = 576 对第 5 个包进行预分片。此时会先分片，再封装 ISAKMP Header；抓包中显示的 UDP 长度 544 和 376 不包含 IP Header 和 UDP Header，总长度（不含 IP Header）为 544 * 6 + 376 + 8(UDP Header) * 7 = 3696。

RACK1-FG601E # diagnose sniffer packet any 'host 100.0.3.2' 4
interfaces=[any]
filters=[host 100.0.3.2]
19.622150 port7 in 100.0.0.2.500 -> 100.0.3.2.500: udp 332
19.622157 port8 out 100.0.0.2.500 -> 100.0.3.2.500: udp 332
19.622252 port8 in 100.0.3.2.500 -> 100.0.0.2.500: udp 192
19.623133 port7 out 100.0.3.2.500 -> 100.0.0.2.500: udp 192
19.623227 port7 in 100.0.0.2.500 -> 100.0.3.2.500: udp 508
19.623230 port8 out 100.0.0.2.500 -> 100.0.3.2.500: udp 508
19.623306 port8 in 100.0.3.2.500 -> 100.0.0.2.500: udp 513
19.623308 port7 out 100.0.3.2.500 -> 100.0.0.2.500: udp 513
19.630961 port7 in 100.0.0.2.500 -> 100.0.3.2.500: udp 3388 (frag 24507:1480@0+)
19.630973 port7 in 100.0.0.2 -> 100.0.3.2:  ip-proto-17 (frag 24507:1480@1480+)
19.630975 port7 in 100.0.0.2 -> 100.0.3.2:  ip-proto-17 (frag 24507:436@2960)
22.617820 port8 in 100.0.3.2.500 -> 100.0.0.2.500: udp 513
22.617824 port7 out 100.0.3.2.500 -> 100.0.0.2.500: udp 513
22.617908 port7 in 100.0.0.2.500 -> 100.0.3.2.500: udp 544
22.617911 port8 out 100.0.0.2.500 -> 100.0.3.2.500: udp 544
22.617913 port7 in 100.0.0.2.500 -> 100.0.3.2.500: udp 544
22.617915 port8 out 100.0.0.2.500 -> 100.0.3.2.500: udp 544
22.617918 port7 in 100.0.0.2.500 -> 100.0.3.2.500: udp 544
22.617920 port8 out 100.0.0.2.500 -> 100.0.3.2.500: udp 544
22.617922 port7 in 100.0.0.2.500 -> 100.0.3.2.500: udp 544
22.617924 port8 out 100.0.0.2.500 -> 100.0.3.2.500: udp 544
22.617929 port7 in 100.0.0.2.500 -> 100.0.3.2.500: udp 544
22.617931 port8 out 100.0.0.2.500 -> 100.0.3.2.500: udp 544
22.617933 port7 in 100.0.0.2.500 -> 100.0.3.2.500: udp 544
22.617935 port8 out 100.0.0.2.500 -> 100.0.3.2.500: udp 544
22.617936 port7 in 100.0.0.2.500 -> 100.0.3.2.500: udp 376
22.617938 port8 out 100.0.0.2.500 -> 100.0.3.2.500: udp 376
22.624409 port8 in 100.0.3.2.500 -> 100.0.0.2.500: udp 3340 (frag 42163:1480@0+)
22.624420 port8 in 100.0.3.2 -> 100.0.0.2:  ip-proto-17 (frag 42163:1480@1480+)
22.624422 port8 in 100.0.3.2 -> 100.0.0.2:  ip-proto-17 (frag 42163:388@2960)
22.624428 port7 out 100.0.3.2.500 -> 100.0.0.2.500: udp 3340 (frag 42163:1480@0+)
22.624430 port7 out 100.0.3.2 -> 100.0.0.2:  ip-proto-17 (frag 42163:1480@1480+)
22.624433 port7 out 100.0.3.2 -> 100.0.0.2:  ip-proto-17 (frag 42163:388@2960)

提示

FW2 到 FW1 的方向没有丢弃分片包的动作，所以 FW2 发给 FW1 的 IKE 报文仍然按照原始分片方式，先封装 IKE，再根据出接口 MTU 进行 IP 分片。这说明 IKE Fragmentation 不需要协商，可以单方向生效。

格式 6 抓包，可以看到 IKE Fragmentation 执行的是先分片后封装 IKE。每个包都有 ISAKMP 封装，并包含 Fragmentation Payload，用于标识该 IKE 报文的分片序列，便于接收方重组。

相关信息

未触发 IKE Fragmentation 前的原始 Data 长度为 3396 - 8(UDP Header) - 16(SPI) - 1(Next Payload) - 1(Version) - 1(Exchange Type) - 1(Flags) - 4(Message ID) - 4(Length) = 3360 Bytes，IKE Fragmentation 后的原始 Data 长度为 3696 - 44(Fragmentation Payload 1~6) * 6 - 72(Fragmentation Payload 7) = 3360 Bytes，两者原始 Data 长度一致。

原始报文文件：IKE_Fragment_enable.pcapng。

查看 IKE debug 信息，可以看到进入重传模式后触发了 IKE Fragmentation。

ike 0:ToR2:275: retransmission, re-send last message
ike 0:ToR2:275: fragment on 544 byte boundary
ike 0:ToR2:275: send fragment len 544 id 1 index 1 last 0
ike 0:ToR2:275: sent IKE msg (retransmit): 100.0.0.2:500->100.0.3.2:500, len=544, id=4747dd36d159b27b/928cbb1951a80e00
ike 0:ToR2:275: send fragment len 544 id 1 index 2 last 0
ike 0:ToR2:275: sent IKE msg (retransmit): 100.0.0.2:500->100.0.3.2:500, len=544, id=4747dd36d159b27b/928cbb1951a80e00
ike 0:ToR2:275: send fragment len 544 id 1 index 3 last 0
ike 0:ToR2:275: sent IKE msg (retransmit): 100.0.0.2:500->100.0.3.2:500, len=544, id=4747dd36d159b27b/928cbb1951a80e00
ike 0:ToR2:275: send fragment len 544 id 1 index 4 last 0
ike 0:ToR2:275: sent IKE msg (retransmit): 100.0.0.2:500->100.0.3.2:500, len=544, id=4747dd36d159b27b/928cbb1951a80e00
ike 0:ToR2:275: send fragment len 544 id 1 index 5 last 0
ike 0:ToR2:275: sent IKE msg (retransmit): 100.0.0.2:500->100.0.3.2:500, len=544, id=4747dd36d159b27b/928cbb1951a80e00
ike 0:ToR2:275: send fragment len 544 id 1 index 6 last 0
ike 0:ToR2:275: sent IKE msg (retransmit): 100.0.0.2:500->100.0.3.2:500, len=544, id=4747dd36d159b27b/928cbb1951a80e00
ike 0:ToR2:275: send fragment len 376 id 1 index 7 last 1

查看连接一阶段建立状态，连接正常建立。

R1-FG1101E # diagnose vpn ike gateway list
vd: root/0
name: ToR2
version: 1
interface: port16 39
addr: 100.0.0.2:500 -> 100.0.3.2:500
created: 19s ago
peer-id: C = CN, ST = Haidian, L = Beijing, O = TAC, OU = Fortinet, CN = fw2.summerice2019.com, emailAddress = bbai@fortinet.com
peer-id-auth: yes
IKE SA: created 1/1  established 1/1  time 3000/3000/3000 ms
IPsec SA: created 0/0
  id/spi: 272 4747dd36d159b27b/928cbb1951a80e00
  direction: initiator
  status: established 19-16s ago = 3000ms
  proposal: aes128-sha256
  key: fbccacf66b8f53ff-45734e851fbe3742
  lifetime/rekey: 86400/86083
  DPD sent/recv: 00000000/00000000
  peer-id: C = CN, ST = Haidian, L = Beijing, O = TAC, OU = Fortinet, CN = fw2.summerice2019.com, emailAddress = bbai@fortinet.com

IKEv2

相关信息

IKEv2 以下仅作简单示例。

在 IKE_SA_INIT 报文中查看 Notify Payload，可以看到 IKEv2 通过 IKEV2_FRAGMENTATION_SUPPORTED 通告和协商分片能力，且后续 IKEv2 报文直接使用 1200 Bytes（默认配置）的 MTU 进行预分片。

原始报文文件：IKEv2_fragmentation.pcapng。

查看 IKE debug 信息，可以看到 IKEV2_FRAGMENTATION_SUPPORTED 字段的协商过程，以及 FortiGate 执行 IKEv2 分片的动作。

......
ike V=root:0:d08d63eb84620f84/0000000000000000:4: received notify type FRAGMENTATION_SUPPORTED
......
ike V=root:0:SLK_Remote_VPN:4: processing notify type FRAGMENTATION_SUPPORTED
......
ike V=root:0:SLK_Remote_VPN:4: splitting payload len=1407 into 2 fragments
......
ike V=root:0:SLK_Remote_VPN:4: splitting payload len=1407 into 2 fragments
......
ike V=root:0:SLK_Remote_VPN:4: splitting payload len=1407 into 2 fragments
......

在 FortiClient 场景下启用 IKEv2 Fragmentation。FortiClient 默认关闭 IKEV2_FRAGMENTATION_SUPPORTED 支持，需要在 EMS 推送的配置中（Endpoint Profiles > Remote Access > IPsec VPN tunnel > Phase 1）开启 IKE Fragmentation。或在 XML 文件中增加 1 配置。
```
<ipsecvpn>
    <connections>
        <connection>
            <name>你的IPsec连接名称name>
            <ike_settings>
                <enable_ike_fragmentation>1enable_ike_fragmentation>
......
```

总结

IKE Fragmentation 用于避免 IKE 协商阶段产生普通 IP 分片，降低中间设备丢弃 IP 分片导致协商失败的概率。
IKEv1 只有触发 IKE 重传机制后才会触发 IKE Fragmentation；在 IKEv1 场景下，此功能不需要双方协商，可以单方向生效。
IKEv2 通过 IKE_SA_INIT 报文中的 IKEV2_FRAGMENTATION_SUPPORTED 协商分片能力。双方都支持后，FortiGate 不需要等待重传即可按照 fragmentation-mtu 对后续 IKEv2 报文进行预分片。

Windows Update 导致 scanunitd CPU 高

Wed, 17 Jun 2026 07:18:06 GMT

如果防火墙策略启用了反病毒扫描，客户端通过 FortiGate 传输 Windows Update 流量时，可能会出现 scanunitd 进程占用大量 CPU 的情况。

问题现象

FortiGate 升级到 FortiOS 7.4.4 后，处理 Windows Update 下载流量时，整体 CPU 使用率明显升高，多个 CPU Core 的 system 占比偏高，idle 占比偏低。

通过以下命令查看系统 CPU 状态：

# get system performance status

CPU states: 14% user 69% system 0% nice 14% idle 0% iowait 0% irq 3% softirq
CPU0 states: 15% user 65% system 0% nice 16% idle 0% iowait 1% irq 3% softirq
CPU1 states: 15% user 76% system 0% nice 5% idle 0% iowait 1% irq 3% softirq
CPU2 states: 9% user 80% system 0% nice 2% idle 0% iowait 2% irq 7% softirq
CPU3 states: 13% user 72% system 0% nice 11% idle 0% iowait 1% irq 3% softirq
CPU4 states: 10% user 79% system 0% nice 6% idle 0% iowait 1% irq 4% softirq
CPU5 states: 43% user 30% system 0% nice 23% idle 0% iowait 1% irq 3% softirq
CPU6 states: 21% user 37% system 0% nice 37% idle 0% iowait 1% irq 4% softirq
CPU7 states: 16% user 65% system 0% nice 14% idle 0% iowait 1% irq 4% softirq
CPU8 states: 8% user 83% system 0% nice 2% idle 0% iowait 2% irq 5% softirq
CPU9 states: 14% user 69% system 0% nice 13% idle 0% iowait 1% irq 3% softirq
CPU10 states: 16% user 70% system 0% nice 11% idle 0% iowait 0% irq 3% softirq
CPU11 states: 17% user 47% system 0% nice 33% idle 0% iowait 0% irq 3% softirq
CPU12 states: 11% user 73% system 0% nice 13% idle 0% iowait 0% irq 3% softirq
CPU13 states: 13% user 70% system 0% nice 14% idle 0% iowait 0% irq 3% softirq
CPU14 states: 24% user 29% system 0% nice 44% idle 0% iowait 0% irq 3% softirq
CPU15 states: 11% user 78% system 0% nice 8% idle 0% iowait 0% irq 3% softirq
CPU16 states: 8% user 84% system 0% nice 2% idle 0% iowait 1% irq 5% softirq
CPU17 states: 9% user 81% system 0% nice 7% idle 0% iowait 0% irq 3% softirq
CPU18 states: 10% user 72% system 0% nice 14% idle 0% iowait 0% irq 4% softirq
CPU19 states: 12% user 70% system 0% nice 15% idle 0% iowait 0% irq 3% softirq
CPU20 states: 13% user 75% system 0% nice 9% idle 0% iowait 0% irq 3% softirq
CPU21 states: 12% user 80% system 0% nice 5% idle 0% iowait 0% irq 3% softirq
CPU22 states: 12% user 69% system 0% nice 16% idle 0% iowait 0% irq 3% softirq
CPU23 states: 9% user 75% system 0% nice 13% idle 0% iowait 0% irq 3% softirq
CPU24 states: 9% user 82% system 0% nice 2% idle 0% iowait 1% irq 6% softirq
CPU25 states: 14% user 77% system 0% nice 6% idle 0% iowait 0% irq 3% softirq
CPU26 states: 10% user 69% system 0% nice 18% idle 0% iowait 0% irq 3% softirq
CPU27 states: 14% user 74% system 0% nice 9% idle 0% iowait 0% irq 3% softirq
CPU28 states: 15% user 58% system 0% nice 25% idle 0% iowait 0% irq 2% softirq
CPU29 states: 11% user 79% system 0% nice 6% idle 0% iowait 0% irq 4% softirq
CPU30 states: 11% user 64% system 0% nice 22% idle 0% iowait 0% irq 3% softirq
CPU31 states: 13% user 72% system 0% nice 12% idle 0% iowait 0% irq 3% softirq

继续使用 diagnose sys top 查看进程占用时，可以看到多个 scanunitd 实例分别运行在不同 CPU Core 上，并持续占用较高 CPU：

# diagnose sys top 2 30

Run Time:  85 days, 21 hours and 26 minutes
13U, 0N, 50S, 34I, 0WA, 0HI, 3SI, 0ST; 48378T, 34803F
       scanunitd    31127      R <    92.5     0.1    8
       scanunitd    31143      R <    92.0     0.1    24
       scanunitd    31147      R <    92.0     0.0    1
       scanunitd    31125      R <    91.5     0.1    22
       scanunitd    31115      R <    91.0     0.1    10
       scanunitd    31140      R <    91.0     0.1    30
       scanunitd    31141      R <    91.0     0.0    2
       scanunitd    31142      R <    91.0     0.0    17
       scanunitd    31109      R <    90.5     0.1    16
       scanunitd    31124      R <    90.5     0.0    23
       scanunitd    31139      R <    90.5     0.0    13
       scanunitd    31137      R <    90.0     0.1    27
       scanunitd    31144      R <    90.0     0.0    14
       scanunitd    31091      R <    89.5     0.1    18
       scanunitd    31130      R <    89.5     0.1    28
       scanunitd    31118      R <    89.5     0.1    5
       scanunitd    31126      R <    89.0     0.1    3
       scanunitd    31134      R <    88.0     0.1    21
       scanunitd    31132      R <    65.6     0.1    6
       ipsengine    15464      R <    35.3     1.6    19

原因分析

在 scanunitd 调试日志中，可以看到被扫描的文件大量为 .cab 文件。Windows Update 传输过程中可能下载大量 .cab 文件，这类压缩文件需要进行解压和扫描，短时间内会增加反病毒扫描进程的 CPU 消耗。

[3368@4017728]process_scan_pending: query=1083806 file="41802753_60a65bb5768294044286332ab1a8c96c3128427a.cab" len=7217 action=PENDING
2024-08-26 11:04:52 su 27128 job 198   object_name '41802753_60a65bb5768294044286332ab1a8c96c3128427a.cab'
2024-08-26 11:04:52 2024-08-26 11:04:52 su 27128 job 198 scan file '41802753_60a65bb5768294044286332ab1a8c96c3128427a.cab' bytes 7217
832722_8d5ee795d5a6a4369a25ebe64e5dc55974ce13bc.cab
802747_44158d850999b894626b3b5b84be90a434a07016.cab
[3368@4017728]process_scan_pending: query=1083808 file="41802747_44158d850999b894626b3b5b84be90a434a07016.cab" len=7195 action=PENDING
2024-08-26 11:04:52 su 27056 job 1005   object_name '41802747_44158d850999b894626b3b5b84be90a434a07016.cab'
2024-08-26 11:04:52 2024-08-26 11:04:52 su 27056 job 1005 scan file '41802747_44158d850999b894626b3b5b84be90a434a07016.cab' bytes 7195
2024-08-26 11:04:52 su 27072 job 703   object_name '41832722_8d5ee795d5a6a4369a25ebe64e5dc55974ce13bc.cab'
2024-08-26 11:04:52 su 27072 job 703 scan file '41832722_8d5ee795d5a6a4369a25ebe64e5dc55974ce13bc.cab' bytes 7233

临时规避方法

建议按以下顺序评估临时规避方案：

优先对可信 Windows Update URL 仅豁免 AV 扫描，尽量避免扩大豁免范围。
如果环境中可以通过 ISDB 稳定识别 Windows Update 相关流量，可为可信更新 ISDB 单独建立策略。
如果前两种方式无法及时实施，可临时关闭匹配策略上的 AV 配置文件，并在问题缓解后恢复。

方法 1：对可信 Windows Update URL 仅豁免 AV 扫描

根据 Web 过滤日志或流量日志确认 Windows Update 实际访问的下载 URL。

在 Web 过滤配置文件中配置本地 URL 过滤器，使用通配符条目匹配可信更新站点，并将 action 设置为 exempt，同时在 CLI 中只豁免 av。

重要

仅对确认可信的更新站点使用豁免。不要为了规避 CPU 高而对过宽泛的域名或所有 .cab 文件直接豁免 AV 扫描。

示例配置如下，实际 URL 需要根据环境中的 Windows Update 访问日志确认：

config webfilter urlfilter
    edit 10
        set name "win_update_av_exempt"
        config entries
            edit 1
                set url "*.windowsupdate.com"
                set type wildcard
                set action exempt
                set exempt av
            next
            edit 2
                set url "*.update.microsoft.com"
                set type wildcard
                set action exempt
                set exempt av
            next
        end
    next
end

将该 URL 过滤器引用到 Web 过滤配置文件：

config webfilter profile
    edit "win_update_webfilter"
        config web
            set urlfilter-table 10
        end
    next
end

在处理客户端上网的防火墙策略中引用该 Web 过滤配置文件，并保留必要的日志记录，用于确认命中范围是否符合预期。

方法 2：为可信更新 ISDB 单独建立策略

通过 GUI 的“策略 & 对象 → Internet 服务数据库”页面或 diagnose internet-service 命令确认实际命中的 Microsoft/Windows Update 相关 ISDB 条目。

提示

ISDB 条目的名称和内容会随 FortiGuard 数据库更新而变化。配置前建议确认当前设备中实际存在且可以稳定命中的 ISDB 条目。

在通用上网策略之前新增一条更精确的防火墙策略，目标选择可信的 Microsoft/Windows Update 相关 ISDB 对象，并在该策略上不引用 AV 配置文件。

示例配置如下，需要替换为当前设备中确认可靠的更新相关 ISDB 对象：

config firewall policy
    edit <id>
        set name "Windows_Update_without_AV_scan"
        set srcintf ""
        set dstintf ""
        set srcaddr ""
        set internet-service enable
        set internet-service-name ""
        set action accept
        set schedule "always"
        set service "ALL"
        set logtraffic all
        set nat enable
    next
end

确认该策略位于通用上网策略之前，避免 Windows Update 流量继续命中原有启用了 AV 的策略。
如果是在已有策略上临时调整，可仅对命中 Windows Update 的专用策略取消 AV 配置文件：
```
config firewall policy
    edit <id>
        unset av-profile
    next
end
```
观察流量日志和 CPU 使用率，确认只有可信更新流量命中该策略，且 scanunitd CPU 占用下降。

方法 3：临时关闭匹配策略上的 AV 配置文件

确认前两种方法无法及时实施，且业务需要优先恢复 Windows Update 下载。
临时关闭相关防火墙策略上的 AV 配置文件。
尽量收窄该策略的源地址、目的范围和生效时间，并保留流量日志。
待 FortiOS 升级、规则优化或官方修复确认后，恢复 AV 扫描。

重要

此方法会降低该策略匹配流量的安全检测能力，仅建议作为短期应急措施。

收集诊断信息

如果需要向 Fortinet TAC 提交 case，建议在问题发生时先收集以下信息。

收集基础系统信息：

execute tac report
diagnose sys mpstat 2
get system performance status
diagnose hardware sysinfo slab
diagnose sys top 2 99
diagnose hardware sysinfo interrupts
diagnose hardware sysinfo cpu
diagnose sys session stat

diagnose sys top 2 99 建议连续运行 15 秒左右，可多次采集，按 q 退出。

开启 scanunitd 调试信息：

diagnose sys scanunit debug all
diagnose debug enable

等待 2-3 分钟后停止调试：

diagnose debug disable
diagnose sys scanunit debug reset
diagnose sys scanunit crash-dump read

开启 CPU Profiling 信息：

diagnose sys profile cpumask <cpu_id>
diagnose sys profile start

等待 2-3 分钟后停止并查看结果：

diagnose sys profile stop
diagnose sys profile show order
diagnose sys profile show detail

如果多个 CPU Core 同时升高，可以一次指定多个 CPU ID：
```
diagnose sys profile cpumask 0 13 18
```

如果 diagnose sys top 中同时看到 ipsengine 异常，也可以找到对应 PID 后收集进程信息：

diagnose sys process trace <PID>
diagnose sys process dump <PID>
diagnose sys process pstack <PID>
diagnose sys process sock-mem <PID>

同时导出 FortiGate 配置文件，连同以上诊断输出一并提交给 Fortinet TAC。

IKE 流量启用策略路由

Tue, 16 Jun 2026 09:06:23 GMT

功能简介

FortiGate 作为 VPN 网关主动发起 IKE 协商时，IKE 报文属于 FortiGate 本机发出的 local-out 流量。默认情况下，FortiGate 只根据路由表检查 VPN 网关地址是否可以通过一阶段配置中的出接口到达，不会检查策略路由。

当 VPN 对端网关需要通过策略路由从指定接口发出，而路由表中没有对应的活动路由时，可以启用 ike-policy-route，让 local-out IKE 流量同时检查策略路由。

相关信息

ike-policy-route 从 FortiOS 7.0.2 开始支持，配置位置为 config system settings。

适用场景

典型场景如下：

IPSec 一阶段配置的出接口为 port1。
对端 VPN 网关地址为 198.51.100.10。
路由表中的默认路由从其他接口（例如 port3）出站。
通过策略路由指定访问 198.51.100.10/32 时从 port1 发出。

如果未启用 ike-policy-route，即使已经配置策略路由，FortiGate 仍会因为路由表中没有经 port1 到达对端网关的活动路由，导致 IKE 报文发送失败。

配置实例

配置 VPN 一阶段，一阶段中的 interface 指定 IKE 流量应从 port1 发出，remote-gw 为对端 VPN 网关地址。

config vpn ipsec phase1-interface
    edit "to-branch"
        set interface "port1"
        set peertype any
        set net-device disable
        set proposal aes256-sha256
        set remote-gw 198.51.100.10
        set psksecret <password>
    next
end

确认当前路由表。此示例中，路由表默认从 port3 出站，没有经 port1 到达 198.51.100.10 的活动路由。

get router info routing-table all

Routing table for VRF=0
S*      0.0.0.0/0 [10/0] via 10.30.30.1, port3
C       10.10.10.0/24 is directly connected, port1
C       10.30.30.0/24 is directly connected, port3

配置策略路由，指定 IKE 对端地址从 port1 发出。

config router policy
    edit 1
        set dst "198.51.100.10/32"
        set gateway 10.10.10.1
        set output-device "port1"
    next
end

启用 ike-policy-route，让 local-out IKE 流量检查策略路由。

config system settings
    set ike-policy-route enable
end

如需恢复默认行为，可以将 ike-policy-route 重新关闭。

config system settings
    set ike-policy-route disable
end

结果验证

启动 IKE debug，观察 IKE 报文发送过程。

diagnose debug application ike -1
diagnose debug enable

启用前，如果 FortiGate 只检查路由表，IKE debug 中可能看到类似发送失败信息。

ike 0:to-branch: created connection: 10.10.10.2->198.51.100.10:500
ike 0:to-branch: initiator: main mode is sending 1st message...
ike 0:to-branch: could not send IKE Packet(ident_i1send):10.10.10.2:500->198.51.100.10:500, len=572 vrf=0: error 101:Network is unreachable

启用后，可以通过 debug 或抓包确认 IKE 报文已经从策略路由指定的接口发出。

diagnose sniffer packet any "host 198.51.100.10" 4 0 a

interfaces=[any]
filters=[host 198.51.100.10]
port1 out 10.10.10.2.500 -> 198.51.100.10.500: udp 572

验证结束后关闭 debug。

diagnose debug disable
diagnose debug reset

注意事项

ike-policy-route 是全局配置，启用后会影响本机发起的 IKE 流量查找策略路由的行为。

如果已存在旧的 IKE 会话，建议在维护窗口内清理对应会话。FortiGate 会周期性发送 IKE 流量，旧会话可能长期存在，导致新的策略路由查找行为不能立即生效。

diagnose sys session filter clear
diagnose sys session filter src <IKE 本端源地址>
diagnose sys session filter dst <IKE 对端网关地址>
diagnose sys session filter dport <500 或 4500>
diagnose sys session clear
diagnose sys session filter clear

使用 NAT-T 时，IKE 流量可能使用 UDP 4500，需要在过滤会话或抓包时同时关注 UDP 500 和 UDP 4500。

BGP 路由汇总

Tue, 16 Jun 2026 09:06:23 GMT

功能简介

BGP 路由汇总（Aggregation）用于将多条更明细的 BGP 路由合并为一条汇总路由，再通告给 BGP 邻居。常见用途包括减少对外发布的前缀数量、隐藏内部明细网段，以及让上游只接收一个更粗粒度的路由条目。

在 FortiGate 上，可在 config router bgp 下通过 config aggregate-address 配置 IPv4 汇总路由。该功能适用于 FortiGate 或运行在 NAT 模式的 VDOM。

重要

汇总路由只有在至少一条更明细路由已经进入 BGP RIB 时才会被生成并通告给邻居。明细路由可以通过 config network 注入，也可以通过 connected、static、RIP、OSPF 等重发布进入 BGP。

网络需求

FortiGate 与 ISP 边界路由器建立 eBGP 邻居：

FortiGate 本地 AS：65020
ISP 邻居地址：192.0.2.1
ISP 邻居 AS：65000
FortiGate 本地 Router ID：192.0.2.2

FortiGate 内部存在以下明细网段：

10.240.0.0/23
10.240.2.0/23
10.240.4.0/23

对 ISP 侧只发布汇总路由 10.240.0.0/16，不再发布上述明细路由。

相关信息

示例中的 10.240.0.0/16 覆盖范围大于当前 3 条明细路由。生产环境中应确认汇总范围确实由本端负责，否则上游可能把汇总范围内但本端并未实际拥有的流量也转发到 FortiGate。

配置步骤

配置 BGP 邻居和汇总路由，其中 summary-only enable 表示只通告汇总路由，不向邻居通告被汇总的明细路由。

config router bgp
    set as 65020
    set router-id 192.0.2.2
    config neighbor
        edit "192.0.2.1"
            set remote-as 65000
        next
    end
    config aggregate-address
        edit 1
            set prefix 10.240.0.0 255.255.0.0
            set summary-only enable
        next
    end
end

将明细路由注入 BGP RIB，如果明细网段在 FortiGate 路由表中已经存在，可使用 config network 发布指定网段：

config router bgp
    config network
        edit 1
            set prefix 10.240.0.0 255.255.254.0
        next
        edit 2
            set prefix 10.240.2.0 255.255.254.0
        next
        edit 3
            set prefix 10.240.4.0 255.255.254.0
        next
    end
end

提示

如果这些路由来自直连、静态或其他动态路由协议，也可以通过重发布注入 BGP。以下仅以 connected 为例，生产环境中建议配合 route-map 或 prefix-list 控制范围，避免把不需要对外发布的路由也注入 BGP。

config router bgp
    config redistribute "connected"
        set status enable
    end
end

如需同时通告汇总路由和明细路由，可关闭 summary-only。

config router bgp
    config aggregate-address
        edit 1
            set summary-only disable
        next
    end
end

结果验证

在 FortiGate 上验证

查看路由表，可以看到 FortiGate 为汇总路由生成了一条指向 Null 的 BGP summary 路由，用于避免汇总范围内未知明细前缀产生路由环路。

FGT # get router info routing-table all
B       10.240.0.0/16 [20/0] is a summary, Null
C       10.240.0.0/23 is directly connected, port3
C       10.240.2.0/23 is directly connected, port5
C       10.240.4.0/23 is directly connected, port6

查看 BGP 路由表，可以看到汇总路由为最佳路由，明细路由前面的 s 表示被 summary-only 抑制，不会继续对外通告。

FGT # get router info bgp network
   Network          Next Hop            Metric LocPrf Weight Path
*> 10.240.0.0/16    0.0.0.0                         32768 i
s> 10.240.0.0/23    0.0.0.0                    100  32768 i
s> 10.240.2.0/23    0.0.0.0                    100  32768 i
s> 10.240.4.0/23    0.0.0.0                    100  32768 i

相关信息

如果 summary-only 设置为 disable，这些明细路由不会再显示为 s suppressed 状态，并会与汇总路由一起发布给邻居。

如需确认对指定邻居的实际通告结果，可查看 advertised-routes。
```
get router info bgp neighbors 192.0.2.1 advertised-routes
```

在 ISP 邻居上验证

查看 ISP 侧 BGP 路由表，应能看到从 FortiGate 学到的 10.240.0.0/16 汇总路由。

FGT_ISP # get router info bgp network
   Network          Next Hop       Metric LocPrf Weight Path
*> 10.240.0.0/16    192.0.2.2           0      0      0 65020 i

查看 ISP 侧路由表，应能看到该汇总路由已经被安装到路由表中，下一跳为 FortiGate。
```
FGT_ISP # get router info routing-table all
B       10.240.0.0/16 [20/0] via 192.0.2.2, port6
```

注意事项

config aggregate-address 不会凭空生成可通告的汇总路由，至少需要一条匹配该汇总范围的明细路由已经进入 BGP RIB。
summary-only enable 会抑制明细路由，仅对外发布汇总路由；如果邻居仍需要明细路由，应改为 summary-only disable。
汇总路由会扩大对外可达范围。若汇总范围内存在本端未承载的子网，流量可能被上游吸引到 FortiGate 后被本端丢弃。
变更汇总策略后，建议检查本端 get router info bgp network、邻居 advertised-routes，以及对端 BGP/RIB 是否与预期一致。

IPSec over TCP 回包异步

Tue, 16 Jun 2026 09:06:23 GMT

问题现象

双 WAN 或 SD-WAN Underlay 场景中，如果 IPSec 隧道使用 TCP 传输，IKE TCP 握手可能出现入接口与回包出接口不一致，导致 IPSec over TCP 隧道无法正常建立。

典型现象如下：

FortiGate 有两条 WAN 线路，并将 wan1、wan2 加入 SD-WAN。

config system sdwan
    set status enable
    config zone
        edit "Underlay"
        next
    end
    config members
        edit 1
            set interface "wan1"
            set zone "Underlay"
            set gateway 203.0.113.1
        next
        edit 2
            set interface "wan2"
            set zone "Underlay"
            set gateway 198.51.100.1
        next
    end
end

两条 IPSec 隧道分别绑定到不同 WAN 接口，并启用 TCP 传输。

config vpn ipsec phase1-interface
    edit "to_peer_wan1"
        set interface "wan1"
        set ike-version 2
        set peertype any
        set remote-gw 192.0.2.10
        set localid "wan1"
        set transport tcp
        set network-overlay enable
        set network-id 1
        set psksecret <password>
    next
    edit "to_peer_wan2"
        set interface "wan2"
        set ike-version 2
        set peertype any
        set remote-gw 192.0.2.10
        set localid "wan2"
        set transport tcp
        set network-overlay enable
        set network-id 2
        set psksecret <password>
    next
end

抓包可以看到，对端发往 wan1 地址的 TCP SYN 从 wan1 进入 FortiGate，但 FortiGate 返回的 SYN/ACK 从 wan2 发出。

# diagnose sniffer packet any "host 192.0.2.10 and tcp port 443" 4 0 l

2025-06-23 03:05:11.766062 wan1 in 192.0.2.10.51717 -> 203.0.113.2.443: syn 164043747
2025-06-23 03:05:11.766215 wan2 out 203.0.113.2.443 -> 192.0.2.10.51717: syn 3416450666 ack 164043748
2025-06-23 03:05:12.780219 wan1 in 192.0.2.10.51717 -> 203.0.113.2.443: syn 164043747
2025-06-23 03:05:12.780281 wan2 out 203.0.113.2.443 -> 192.0.2.10.51717: syn 3416450666 ack 164043748

相关信息

示例中使用 TCP 443，实际排查时请替换为当前 VDOM 的 ike-tcp-port。该问题在使用其他 ike-tcp-port 时也可能出现。

问题原因

在受影响版本中，IPSec over TCP 的本机回包可能没有按收到 TCP 握手的父接口返回，而是重新经过路由或 SD-WAN 选路。双 WAN、等价默认路由或 SD-WAN 成员选择场景下，回包可能被选到另一条 WAN 线路，TCP 三次握手无法完成，IKE over TCP 隧道也无法继续协商。

该问题属于 IKE TCP 协商阶段的回包路径异常，不是普通 IPSec 业务流量的 ESP 分流或健康检查选路问题。

Fortinet 已将该行为归入工程案例 1172040，并在 FortiOS 7.4.9、7.6.4、8.0.0 及之后版本中修复。

解决方法

升级到修复版本

优先升级到 FortiOS 7.4.9、7.6.4、8.0.0 或之后版本。升级后通常不需要针对该问题额外配置策略路由。

临时规避方法

在无法立即升级的版本中，可以为 IPSec over TCP 使用的本地 WAN 源地址创建策略路由，并启用 ike-policy-route，让 IKE 本机流量检查策略路由。

为每个 IPSec over TCP 绑定的父接口配置策略路由，强制对应源地址从原父接口返回。
```
config router policy
    edit 1
        set src "203.0.113.2/255.255.255.252"
        set output-device "wan1"
    next
    edit 2
        set src "198.51.100.2/255.255.255.252"
        set output-device "wan2"
    next
end
```
提示

上述示例保留了 Fortinet 原始规避思路中的关键条件：使用 WAN 本地地址作为源地址，并将出接口指定为对应父接口。生产环境中，如果当前 FortiOS 版本的 config router policy 支持更细的匹配条件，可以按对端地址、TCP 协议和 ike-tcp-port 进一步收窄匹配范围。
启用 ike-policy-route。
```
config system settings
    set ike-policy-route enable
end
```
相关信息

ike-policy-route 的作用和注意事项可参考 VPN → IPSec VPN → IKE 流量启用策略路由章节。

如已存在旧的 IKE TCP 会话，建议在维护窗口内清理相关会话或重启对应隧道，再重新测试协商。

diagnose sys session filter clear
diagnose sys session filter src 203.0.113.2
diagnose sys session filter dst 192.0.2.10
diagnose sys session filter dport 443
diagnose sys session clear
diagnose sys session filter clear

结果验证

确认策略路由已经生成，并且没有被 link-monitor 或 SD-WAN 健康检查置为不可用状态。
```
diagnose firewall proute list
```

重新发起 IPSec over TCP 协商，抓包确认 TCP SYN 与 SYN/ACK 使用同一条 WAN 线路。

diagnose sniffer packet any "host 192.0.2.10 and tcp port 443" 4 0 l

相关信息

正常情况下，回包应从收到 SYN 的同一父接口发出。

2025-06-23 03:08:40.120011 wan1 in 192.0.2.10.51717 -> 203.0.113.2.443: syn 164043747
2025-06-23 03:08:40.120083 wan1 out 203.0.113.2.443 -> 192.0.2.10.51717: syn 3416450666 ack 164043748
2025-06-23 03:08:40.121004 wan1 in 192.0.2.10.51717 -> 203.0.113.2.443: ack 3416450667

如果 FortiGate 同时配置了多个 IPSec over TCP 隧道，需要分别验证每个父接口的回包路径。

注意事项

ike-policy-route 是全局配置，会影响 FortiGate 本机发出的 IKE 流量查找策略路由的行为，启用前需要确认当前 VDOM 内其他 IPSec 隧道是否依赖默认路由行为。
该规避方法只用于修正 IKE TCP 协商回包路径，不用于控制 IPSec 隧道内业务流量的 SD-WAN 选路。
如果一阶段使用 set transport auto，当 UDP 连接失败并回退到 TCP 传输时，也需要关注 TCP 传输阶段是否存在相同的回包异步现象。

Wireshark 解密 HTTPS

Thu, 11 Jun 2026 09:46:12 GMT

在排查 HTTPS 访问异常、Web Filter/SSL 检测误判、应用层重置、HTTP/2/HTTP/3 行为差异等问题时，仅查看 TLS Application Data 通常无法确认真实请求内容。通过客户端生成 TLS 会话密钥日志（key log file），再将该文件配置到 Wireshark，可以在抓包中还原对应 HTTPS 会话的明文应用层内容。

重要

TLS 会话密钥日志可以解密对应时间段内的 HTTPS 流量，排查完成后应删除 key log 文件，并关闭使用该环境变量启动的浏览器。不要长期在系统全局环境变量中保留 SSLKEYLOGFILE。

解密原理

常用浏览器和部分命令行工具支持通过 SSLKEYLOGFILE 环境变量把 TLS 会话密钥写入文本文件。Wireshark 读取该文件后，可以根据抓包中的 TLS 握手信息匹配会话密钥，并解密后续应用层数据。

上图是 key log 解密的流程示意：key log 文件、抓包文件和浏览器访问必须属于同一次 TLS 会话。如果抓包开始得太晚，或 key log 来自另一次访问，Wireshark 就无法把两者匹配起来。

该方法适用于受控测试终端发起的流量，不能用于任意历史抓包或任意第三方终端流量。使用时需要满足以下条件：

终端应用必须支持 SSLKEYLOGFILE，常见可用应用包括 Chrome、Firefox、Chromium 版 Edge、curl 等。Safari 通常不适合使用此方法。
抓包中需要包含完整 TLS 握手，建议先开始抓包，再打开浏览器访问目标网站。
key log 文件必须来自发起该 HTTPS 会话的客户端应用。
如果浏览器已经在运行，新的浏览器窗口可能会复用旧进程，导致环境变量不生效。建议先完全退出浏览器，或使用独立的临时浏览器配置目录。

FortiGate 抓包注意事项

如果只是在 FortiGate 上转发普通 HTTPS 流量，并未开启 SSL deep-inspection，客户端与服务器之间是一条端到端 TLS 会话。此时只要 FortiGate 抓包中包含该 TLS 握手，客户端生成的 key log 文件通常可以解密 FortiGate 上抓到的对应会话。

如果防火墙策略开启了 SSL deep-inspection，FortiGate 会把连接拆成两段 TLS：

客户端 ↔ FortiGate：客户端浏览器生成的 key log 可以解密这一侧抓包。
FortiGate ↔ 服务器：这是 FortiGate 重新发起的 TLS 会话，客户端浏览器的 key log 无法解密这一侧抓包。

因此在 SSL deep-inspection 场景中，如果要结合客户端 key log 分析浏览器真实请求，应优先抓取客户端到 FortiGate 这一侧的流量。如果需要判断 FortiGate 到服务器侧的 TLS 行为，应以 TLS 握手、证书、SNI、RST/FIN、FortiGate 日志和 SSL Debug 等信息辅助分析。

上图是 SSL deep-inspection 场景中的解密边界示意：未开启 SSL deep-inspection 时，客户端 key log 对 FortiGate 转发路径上的同一 TLS 会话有效；开启 SSL deep-inspection 后，客户端 key log 只适用于客户端到 FortiGate 这一侧，不能解密 FortiGate 到服务器这一侧。

抓包时建议抓完整报文并保留时间戳，例如：

diagnose sniffer packet any "host 192.168.10.10 and (tcp port 443 or udp port 443)" 6 0 l

192.168.10.10 为测试客户端 IP。
如果确认只分析传统 HTTPS/TCP，可以只抓 tcp port 443。
如果浏览器可能使用 HTTP/3/QUIC，需要同时抓 udp port 443，或者在测试浏览器中临时禁用 QUIC。
使用 CLI sniffer 格式 6 抓到的文本，可参考“故障排查 → Sniffer 工具 → 使用 Wireshark 打开抓包文件”和“故障排查 → Sniffer 工具 → Wireshark 显示抓包接口和方向”章节转换为 PCAP。

Windows 配置方法

以下示例使用 PowerShell 临时启动 Chrome。该环境变量只对当前 PowerShell 及由它启动的进程生效，不会写入系统全局环境变量。

关闭所有已经运行的 Chrome/Firefox/Edge 浏览器进程。

打开 PowerShell，创建 key log 文件，并设置 SSLKEYLOGFILE。

$desktop = [Environment]::GetFolderPath("Desktop")
$keylog = Join-Path $desktop "tls_keylog.txt"
New-Item -ItemType File -Force $keylog
$env:SSLKEYLOGFILE = $keylog
$env:SSLKEYLOGFILE

从当前 PowerShell 启动浏览器。
```
Start-Process chrome.exe
```
提示

如果需要避免复用原有 Chrome 用户会话，可以使用临时用户目录启动 Chrome。
```
Start-Process chrome.exe -ArgumentList "--user-data-dir=$env:TEMP\wireshark-chrome-tls"
```
如果测试目标只需要传统 HTTPS/TCP，而不希望浏览器优先使用 QUIC/HTTP/3，可以临时增加 --disable-quic 参数。
```
Start-Process chrome.exe -ArgumentList "--disable-quic --user-data-dir=$env:TEMP\wireshark-chrome-tls"
```
先在 FortiGate 或本机 Wireshark 开始抓包，再使用刚启动的浏览器访问目标 HTTPS 网站。
确认 tls_keylog.txt 中已经写入内容。正常情况下，文件中会出现类似 CLIENT_RANDOM、CLIENT_HANDSHAKE_TRAFFIC_SECRET、SERVER_TRAFFIC_SECRET 的记录。

macOS 配置方法

关闭所有已经运行的 Chrome/Firefox/Edge 浏览器进程。

打开 iTerm2，创建 key log 文件，并设置 SSLKEYLOGFILE。

keylog="$HOME/Desktop/tls_keylog.txt"
touch "$keylog"
export SSLKEYLOGFILE="$keylog"

从当前 iTerm2 启动 Chrome。
```
open -na "Google Chrome"
```
提示

如果需要避免复用原有 Chrome 用户会话，可以使用临时用户目录启动 Chrome。
```
/Applications/Google\ Chrome.app/Contents/MacOS/Google\ Chrome --user-data-dir=/tmp/wireshark-chrome-tls
```
如果测试目标只需要传统 HTTPS/TCP，而不希望浏览器优先使用 QUIC/HTTP/3，可以临时增加 --disable-quic 参数。
```
/Applications/Google\ Chrome.app/Contents/MacOS/Google\ Chrome --disable-quic --user-data-dir=/tmp/wireshark-chrome-tls
```
先在 FortiGate 或本机 Wireshark 开始抓包，再使用刚启动的浏览器访问目标 HTTPS 网站。

确认 tls_keylog.txt 中已经写入内容。

tail "$HOME/Desktop/tls_keylog.txt"
CLIENT_HANDSHAKE_TRAFFIC_SECRET e31fbfd0c6d25383624c55e1571736a6085f1b3d7c0c718b4657cf2dd5b8741d 093c6bb4ca895a7ee4cc6a1ed3e7d2acf01b29be903e74c7c92992a819226965
SERVER_HANDSHAKE_TRAFFIC_SECRET e31fbfd0c6d25383624c55e1571736a6085f1b3d7c0c718b4657cf2dd5b8741d 20eba12d107f8979ebeb615c67ed18ddfdd72404c6c07c310bc8a081b0c69901
......

Wireshark 加载 key log 文件

使用 Wireshark 打开抓包文件。
打开 TLS 协议首选项。
- Windows：进入 Edit → Preferences → Protocols → TLS。
- macOS：进入 Wireshark → Preferences → Protocols → TLS。
在 (Pre)-Master-Secret log filename 中选择前面生成的 key log 文件。
- Windows：选择 PowerShell 中 $env:SSLKEYLOGFILE 输出的完整路径，例如 D:\Desktop\tls_keylog.txt。
- macOS 示例：/Users/summerice/Desktop/tls_keylog.txt
点击 OK/Apply 后，Wireshark 会重新解析当前抓包。
解密成功后，原本只显示为 TLS Application Data 的报文会解析出 HTTP、HTTP/2 或 HTTP/3 等上层协议字段。也可以右键对应报文，使用 Follow → TLS Stream、Follow → HTTP Stream、Follow → HTTP/2 Stream 等功能查看会话内容。

常见问题

key log 文件为空

常见原因如下：

浏览器不是从设置了 SSLKEYLOGFILE 的 PowerShell/iTerm2 中启动的。
原浏览器进程没有完全退出，新窗口复用了原进程。
使用的应用不支持 SSLKEYLOGFILE，例如 Safari。
key log 文件路径不可写。

处理方法：

完全退出浏览器，必要时在任务管理器/活动监视器中确认进程已结束。
重新设置 SSLKEYLOGFILE。
从同一个 PowerShell/iTerm2 启动浏览器。
使用独立临时用户目录启动浏览器，避免复用原有进程。

Wireshark 仍然只能看到 Application Data

常见原因如下：

抓包开始得太晚，没有抓到 TLS Client Hello 和 Server Hello。
抓包文件和 key log 文件不是同一次访问生成的。
FortiGate 开启了 SSL deep-inspection，但抓取的是 FortiGate 到服务器侧的 TLS 会话。
浏览器实际使用的是 QUIC/HTTP/3，但抓包只抓了 TCP/443。
Wireshark 中 (Pre)-Master-Secret log filename 路径配置错误。

处理方法：

停止抓包并关闭浏览器。
清空或重新创建 key log 文件。
先开始抓包，再启动浏览器访问目标网站。
确认抓包过滤条件包含实际协议，例如 tcp port 443 或 udp port 443。
在 Wireshark 中重新选择 key log 文件，并重新打开抓包文件验证。

HTTPS 经过 FortiGate NAT 后还能解密吗

可以。key log 的匹配依赖 TLS 握手中的会话信息，不依赖客户端原始 IP 是否被 FortiGate SNAT。但抓包过滤条件需要考虑 NAT 前后地址变化，避免只抓到单侧报文。相关过滤思路可参考“故障排查 → Sniffer 工具 → Sniffer 过滤条件的合理使用”章节。

是否可以用服务器私钥解密 HTTPS

现代 HTTPS 通常使用 ECDHE/DHE 等具备前向保密能力的密钥交换方式，仅凭服务器私钥通常无法解密历史会话。除非满足较老的 RSA 密钥交换等特定条件，否则应优先使用 key log 文件方式。

清理信息

排查完成后，建议执行以下清理动作：

LED 指示灯

Fri, 05 Jun 2026 08:39:04 GMT

功能简介

FortiGate 面板 LED 可以用于现场快速判断设备上电、启动、HA、PoE、无线、DSL、BLE、端口连接以及硬件告警状态。

不同型号的 LED 位置、名称和支持的状态可能不同，排查时应以对应机型的 QuickStart Guide 和硬件指南为准。下图是部分 FortiGate 型号的 LED 面板位置示例。

相关信息

并非所有 FortiGate 都包含下表中的全部 LED，也并非所有型号都支持每一种状态。

设备 LED

LED	状态	含义
Logo	绿色或蓝色	设备已上电。
Logo	熄灭	设备未上电。
Power（PWR）	绿色	设备已上电，或双电源均正常工作。
	琥珀色或红色	仅有一个电源正常工作。
	琥珀色或红色闪烁	电源故障。
	熄灭	设备未上电。
Status（STA）	绿色	设备状态正常。
	绿色闪烁	设备正在启动。
	琥珀色	存在 Major 或 Minor 级别告警。
	红色	存在 Major 级别告警。
	琥珀色或红色闪烁	BLE 已开启。
	熄灭	设备未上电。
Bypass（BYP）	琥珀色	Bypass 端口对已启用。
Bypass（BYP）	熄灭	Bypass 端口对未启用。
Alarm	红色	Major 级别告警。
	琥珀色	Minor 级别告警。
	熄灭	无告警。
HA	绿色	设备正在 HA 集群中运行。
	琥珀色或红色	发生 HA 故障切换。
	熄灭	未启用 HA。
Max PoE	绿色、琥珀色或红色	已分配最大 PoE 功率。
Max PoE	熄灭	PoE 功率仍可用，或 PoE 状态正常。
PoE	绿色	正在供电。
	绿色闪烁	出现错误，或 PoE 设备正在请求供电。
	熄灭	未连接 PoE 设备，或未供电。
SVC	绿色	SVC 已开启。
	绿色闪烁	存在 SVC 活动。
	熄灭	SVC 已关闭。
3G4G、3G/4G	绿色	3G/4G 服务已开启。
	绿色闪烁	存在 3G/4G 活动。
	熄灭	3G/4G 服务已关闭。
WiFi	绿色	WiFi 已连接。
	绿色闪烁	存在 WiFi 活动。
	熄灭	WiFi 已关闭。
DSL LINK/ACT	绿色	DSL 已连接。
	绿色闪烁	存在 DSL 活动。
	熄灭	DSL 未连接。
xDSL	绿色	VDSL 已连接。
	琥珀色	ADSL 已连接。
	熄灭	DSL 未连接。
BLE	蓝色	BLE 已开启。
	蓝色闪烁	BLE 处于发现状态。
	熄灭	BLE 已关闭。
Signed Firmware¹	绿色	安全级别为 `High`：默认状态，阻止未签名固件。
Signed Firmware¹	红色	安全级别为 `Low`：允许未签名固件，但会产生告警。
Power supplies and fans	电源和风扇 LED 信息请以对应机型的 QuickStart Guide 和硬件指南为准。

提示

Signed Firmware LED 只存在于支持该硬件开关的型号。相关安全级别说明可参考系统管理 → 固件与配置管理 → 固件版本管理 → G 系列修改安全级别章节。

端口 LED

LED	状态	含义
Ethernet 和 SFP	常亮	端口已建立连接。
	闪烁	端口正在收发数据。
	熄灭	端口未建立连接。
Speed	绿色	端口以最高速率连接。
	琥珀色	端口以中间速率连接。
	熄灭	端口未连接，或以最低速率连接。
PoE	绿色	PoE 已开启，或 PoE 设备正在受电。
	琥珀色	端口正在供电。
	红色	设备已连接，但未获得 PoE 供电。
	熄灭	PoE 已关闭，或没有设备受电。

告警等级

Minor alarm

Minor alarm 也称为 IPMI non-critical（NC）告警，表示温度或电源电平超出正常工作范围，但尚未被视为故障。例如出现轻微温度告警时，系统可能会提高风扇转速。Non-critical 阈值包括：

UNC：Upper Non-Critical，例如温度偏高或功率偏高。
LNC：Lower Non-Critical，例如功率偏低。

Major alarm

Major alarm 也称为 IPMI critical 或 critical recoverable（CR）告警，表示系统无法自行纠正告警原因，需要人工介入。例如散热系统无法提供足够冷却能力，或环境条件正在接近允许工作范围的边界。Critical 阈值包括：

UC：Upper Critical，例如高温或高功率。
LC：Lower Critical，例如低功率。

Critical alarm

Critical alarm 也称为 IPMI non-recoverable（NR）告警，表示系统检测到温度或电源电平已经超出允许工作范围，并可能造成硬件损坏。

排查建议

看到 Alarm、Status 或 Power LED 变为琥珀色、红色或闪烁时，优先检查供电、风扇、温度、机房环境和设备事件日志。
HA LED 显示琥珀色或红色时，应同步检查 HA 集群状态，确认是否发生预期外的主备切换。
端口 Speed LED 熄灭不一定代表物理链路断开，也可能表示端口以最低速率连接，需要结合端口 Link/Act LED 和接口状态判断。
具体型号的风扇、电源模块和端口速率颜色可能存在差异，现场排查时以设备面板丝印和对应硬件文档为准。

长 VDOM 名称

Mon, 01 Jun 2026 09:38:47 GMT

功能介绍

默认情况下，FortiGate 的 VDOM 名称通常限制为 11 个字符。在多 VDOM 场景中，如果需要使用更长的业务名称，可以在全局配置中启用长 VDOM 名称功能。

该功能适用于 FortiOS 7.0、7.2、7.4 等版本，原文也覆盖 FortiOS 6.4。部分型号不支持该命令，如果命令不可用，需要以设备实际支持情况为准。

配置方法

在全局模式下启用 long-vdom-name。

config global
    config system global
        set long-vdom-name enable
    end
end

注

FortiGate VM 机型上，set long-vdom-name 在全局配置中可能是隐藏 CLI 命令，命令自动补全可能不会显示，需要手动完整输入。

创建长名称 VDOM

启用长 VDOM 名称后，创建超过 11 个字符的 VDOM 时，系统会提示自动为该 VDOM 生成一个短名称。

config vdom
    edit testlongvdomname

The auto-generated short name 'testlong001' will be used.
current vf=testlongvdomname:4

end

短名称用于满足内部兼容和引用需求，长名称仍可作为业务上更容易识别的 VDOM 名称使用。

配置显示方式

启用长 VDOM 名称后，在配置中可能看到 VDOM 以带 / 的形式显示，例如：

config vdom
edit testlongvdomname/testlong001
next
end

这是启用长 VDOM 名称后的正常显示方式，/前为长名称，/后为自动生成的短名称，不代表 VDOM 配置异常。

注意事项

该功能需要在 config global 下的 config system global 中配置。
并非所有 FortiGate 型号都支持 set long-vdom-name，如果命令不存在或无法生效，需要确认设备型号和 FortiOS 版本是否支持。
在 FortiGate VM 上，如果自动补全中看不到该命令，可以尝试手动输入完整命令。

本地用户密码策略

Thu, 28 May 2026 06:27:16 GMT

功能简介

本地用户密码策略用于约束 FortiGate 防火墙本地用户的密码复杂度、密码有效期和密码复用行为。相比早期版本只控制过期时间的本地用户密码策略，FortiOS 7.4.1 及后续版本可以进一步限制最小长度、大小写字母、数字、特殊字符、与旧密码不同的字符数量，以及是否允许重复使用旧密码。

该功能适用于使用 config user local 创建的本地防火墙用户，例如防火墙策略认证、Captive Portal、SSL VPN 或其他引用本地用户/用户组的认证场景。它不等同于系统管理员密码策略，管理员密码策略仍然通过 config system password-policy 配置。

配置命令

创建密码策略

config user password-policy
    edit <policy_name>
        set minimum-length <8-128>
        set min-lower-case-letter <0-128>
        set min-upper-case-letter <0-128>
        set min-non-alphanumeric <0-128>
        set min-number <0-128>
        set min-change-characters <0-128>
        set expire-status {enable | disable}
        set expire-days <0-999>
        set warn-days <0-30>
        set expired-password-renewal {enable | disable}
        set reuse-password {enable | disable}
        set reuse-password-limit <0-20>
    next
end

绑定到本地用户

密码策略创建后，需要在本地用户上通过 passwd-policy 关联，才会对该用户生效。

config user local
    edit <user_name>
        set type password
        set passwd-policy <policy_name>
    next
end

参数说明

minimum-length：密码最小长度，范围为 8~128，默认值为 8。
min-lower-case-letter：密码中至少包含的小写字母数量，范围为 0~128，默认值为 0。
min-upper-case-letter：密码中至少包含的大写字母数量，范围为 0~128，默认值为 0。
min-non-alphanumeric：密码中至少包含的非字母数字字符数量，范围为 0~128，默认值为 0。
min-number：密码中至少包含的数字数量，范围为 0~128，默认值为 0。
min-change-characters：新密码中至少包含多少个旧密码中不存在的字符，范围为 0~128，默认值为 0。如果同时配置了 reuse-password，该参数优先级更高。
expire-status：是否启用密码过期机制，默认值为 disable。
expire-days：密码有效期，单位为天，范围为 0~999，默认值为 180。只有启用 expire-status 后，才会按该参数强制用户修改密码。
warn-days：密码到期前多少天提示用户修改密码，范围为 0~30，默认值为 15。
expired-password-renewal：是否允许用户在密码已经过期后自行更新密码，默认值为 disable。
reuse-password：是否允许重复使用旧密码，默认值为 enable。
reuse-password-limit：允许重复使用旧密码的次数，范围为 0~20，默认值为 0。设置为 0 时表示不限制重复使用次数。

配置示例

以下示例创建一个名为 strict-local-user 的本地用户密码策略，并将其绑定到用户 pwd-test1。

config user password-policy
    edit "strict-local-user"
        set minimum-length 8
        set min-lower-case-letter 1
        set min-upper-case-letter 1
        set min-non-alphanumeric 3
        set min-number 3
        set min-change-characters 2
        set expire-status enable
        set expire-days 90
        set warn-days 7
        set expired-password-renewal enable
        set reuse-password disable
    next
end

config user local
    edit "bing"
        set type password
        set passwd-policy "strict-local-user"
    next
end

当新密码满足策略时，可以正常提交：

config user local
    edit "bing"
        set passwd CCbcset123!!!
    next
end

当新密码不满足策略时，CLI 会拒绝提交并提示缺少的复杂度条件。例如以下密码只有 2 个数字，不满足 min-number 3：

config user local
    edit "bing"
        set passwd CCbXsetp23!!!
New password must conform to the password policy enforced on this user:
...
Command fail. Return code -49

实际提示中会列出未满足的条件，例如最小长度、大小写字母数量、特殊字符数量、数字数量、与旧密码不同的字符数量，以及是否重复使用了旧密码。

升级注意事项

从 FortiOS 7.4.0 升级到 7.4.1 或后续版本后，原有 config user password-policy 中的 expire-days、warn-days、expired-password-renewal 配置会保留，但需要通过 CLI 启用 expire-status，密码过期机制才会真正生效。

可以在升级后检查已有策略：

config user password-policy
    edit <policy_name>
        get
    next
end

如果看到 expire-status: disable，即使 expire-days 已经配置，FortiGate 也不会按照该天数强制本地用户修改密码。需要显式启用：

config user password-policy
    edit <policy_name>
        set expire-status enable
    next
end

GUI 行为

管理员修改本地用户密码

在 GUI 中进入“用户与认证 → 设置用户”，编辑本地用户并点击“修改密码”时，如果新密码不符合该用户绑定的密码策略，界面会显示对应的复杂度告警，并指出需要修正的条件。例如密码中特殊字符数量不足时，会提示需要满足 min-non-alphanumeric 的要求。

防火墙认证用户修改过期密码

用户通过防火墙策略认证/Captive Portal 认证时，如果本地用户密码已经过期，FortiGate 会提示用户修改密码。新密码提交时同样会按该用户绑定的密码策略检查。

SSL VPN 用户修改过期密码

用户通过 SSL VPN 门户登录时，如果本地用户密码已经过期，也会进入密码更新流程。新密码满足策略后，用户才能继续登录 SSL VPN 门户。

Ping 工具

Thu, 28 May 2026 02:58:52 GMT

FortiGate CLI 的 execute ping 和 execute ping6 可配合 ping-options/ping6-options 调整报文参数，用于连通性、路由、SD-WAN 规则、MTU/分片、DNS 解析等场景的排查。

常用参数：

adaptive-ping：快速发出 Ping Request 报文（收到上一个 Echo Reply 后立即发送下一个 Echo Request，也就是快速 Ping）。
repeat-count：指定 Ping 测试次数，避免默认次数不足或持续输出过多。
source：指定源 IP，可用于模拟从不同网段发起的 FortiGate 本地流量。
interface：指定出接口，可用于验证指定链路或路由方向。
use-sdwan：指定是否让 Ping 流量参与 SD-WAN 规则和策略路由匹配。

IPv4 Ping 选项

查看 IPv4 Ping 可用选项：

execute ping-options ?

常见选项如下：

execute ping-options adaptive-ping <enable|disable>
execute ping-options data-size <bytes>
execute ping-options df-bit {yes | no}
execute ping-options pattern <2-byte_hex>
execute ping-options interface <auto | interface_name>
execute ping-options interval <seconds>
execute ping-options repeat-count <repeats>
execute ping-options source {auto | <source-intf_ip>}
execute ping-options timeout <seconds>
execute ping-options tos <service_type>
execute ping-options ttl <hops>
execute ping-options validate-reply {yes | no}
execute ping-options view-settings
execute ping-options use-sdwan <yes | no>
execute ping-options reset

参数说明

adaptive-ping ：开启后，收到上一个 Echo Reply 后立即发送下一个 Echo Request，也就是快速 Ping；默认为关闭状态，每秒 Ping 1 个包。
data-size ：指定 ICMP 数据报文大小，单位为字节。
df-bit {yes | no}：设置 DF bit。yes 表示禁止分片，no 表示允许分片，常用于 MTU/分片问题排查。
pattern <2-byte_hex>：使用指定 2 字节十六进制内容填充 ICMP 末尾的数据缓冲区，可配合 data-size 测试不同报文大小对链路的影响。
interface ：指定 Echo Request 的出接口。auto 表示 FortiGate 根据目的地址查路由自动选择出接口。
interval ：指定每次 Ping 之间的间隔。
repeat-count ：指定 Ping 的发送次数。
source {auto | }：指定 Ping 的源 IP。auto 表示 FortiGate 根据实际出接口自动选择源地址。指定不同网段的源 IP 可用于模拟不同源地址发起的连接。
timeout ：指定等待 Echo Reply 的超时时间，单位为秒。
tos ：设置 IP 头部 ToS 字段，表达期望的服务质量。
ttl ：指定 TTL，达到该跳数后报文会被丢弃或返回。
validate-reply {yes | no}：设置是否校验返回报文中的数据内容。
view-settings：查看当前 Ping 选项配置。
use-sdwan ：默认值为 no。设置为 yes 后，Ping 流量会检查 SD-WAN 规则和策略路由，通常配合 source 使用，以验证特定源地址是否命中特定 SD-WAN 规则。
reset：将 Ping 选项恢复为默认值。

tos 可用值如下：

介绍

Mon, 27 Apr 2026 08:16:52 GMT

VPN 技术用于让用户、设备和站点在不安全的互联网环境中安全互联。SSL VPN 和 IPSec VPN 都是使用广泛、配置和部署相对简单的 VPN 技术。

不同 VPN 技术有各自的优势和常见使用场景。SSL VPN 通常用于单个用户和终端的安全远程接入。它一般易于部署，并且连接基于 TLS 的 TCP/443，运营商较少限制这类连接。SSL VPN 同时提供 Tunnel 模式和 Web 模式，可以分别用于安装客户端和无客户端访问的部署方式。

IPSec VPN 通常用于站点到站点连接，尤其适合通过 ADVPN 搭建多站点 Hub-Spoke 架构。ADVPN 可以在站点之间自动建立隧道，结合动态路由，并通过 FortiManager 等编排工具批量下发配置，从而简化复杂的多站点部署。

在较小规模的远程用户接入场景中，IPSec VPN 同样可以通过拨号 VPN 支持远程用户。与 SSL VPN 类似，当 IPSec 使用 IKEv2 时，可以配置 TCP 作为传输方式，通过 TCP/443 进行 IKE 协商，并将 ESP 报文封装在 TCP 头部中。协议、加密算法和认证方式都可以按企业需求定制。

作为 VPN 的替代方案，尤其是替代基于 Web 的 SSL VPN 访问，也可以使用 ZTNA。ZTNA 在终端和 Zero Trust Application Gateway 之间通过 TLS 建立连接。零信任方式默认不信任设备，直到设备通过必要的安全状态检查，例如客户端证书校验和漏洞扫描。

本文讨论 SSL VPN 和 IPSec VPN 的差异，以及从 SSL VPN 迁移到 IPSec VPN 时需要考虑的事项，并给出常见 SSL VPN 使用场景迁移到 IPSec VPN 的步骤。

FortiEDR Cloud 注册指南

Mon, 27 Apr 2026 08:16:52 GMT

请参考 FortiEDR Cloud 注册指南。

IKEv1 还是 IKEv2？

Mon, 27 Apr 2026 08:16:52 GMT

FortiGate 同时支持 IKEv1 和 IKEv2，两者配置方式相近。IKEv2 底层协议更简洁，协商 SA 时需要的消息交互比 IKEv1 更少。

两者的主要差异：

IKEv1 使用 XAuth（Extended Authentication）进行用户认证。
IKEv2 使用 EAP（Extensible Authentication Protocol）进行用户认证。
IKEv2 支持使用 TCP 作为传输方式，使 IPSec 可以通过 TCP 协商，并将 ESP 报文封装在 TCP 中，例如使用 TCP/443。

IKEv1 使用广泛、行为固定，通常更容易排障。IKEv2 提供更多灵活性，但也会带来更多配置组合，排障时变量更多。

重要

从 FortiClient 7.4.4 开始，客户端不再支持 IKEv1。如果计划部署 FortiClient 7.4.4 及以上版本，应选择 IKEv2。

安全性对比

Mon, 27 Apr 2026 08:16:52 GMT

SSL VPN 通过 TLS 提供安全能力，主要包括：

加密客户端与 VPN 网关之间传输的数据，确保传输中的数据未被篡改。
提供客户端和服务器之间相互验证身份的认证机制。
使用 Diffie-Hellman 等安全密钥交换方式，在客户端与服务器之间建立共享密钥。
使用 X.509 证书认证服务器，必要时也可以认证客户端。

IPSec 通过 ISAKMP（Internet Security Association and Key Exchange Management Protocol）框架提供安全能力，主要包括：

使用 IKE（Internet Key Exchange）协议协商安全通信参数，生成和管理密钥，并在通信双方之间建立 SA（Security Association）。
使用 IKE 协商出的对称加密算法加密数据包，例如 AES、3DES、CHACHA。密钥由 IKE 生成。
使用 HMAC（Hash-based Message Authentication Code）验证消息完整性，确保传输中的数据未被篡改。
在 SA 中指定密钥生命周期和其他安全参数。

与 SSL VPN 由客户端和服务器协商 Cipher Suite 不同，IPSec 可以更灵活地选择加密算法、哈希算法以及密钥生命周期。

隧道协议与封装方式

Mon, 27 Apr 2026 08:16:52 GMT

SSL VPN 使用 TLS 协议建立隧道。

Fortinet IPSec VPN 支持以下隧道和封装方式：

原生 ESP。
UDP 封装。
使用 Fortinet 私有扩展的 TCP 封装。
使用 RFC 8229 的 TCP 封装。

ESP 不封装时直接使用 IP Protocol 50。ESP 封装在 UDP 中时，通常使用 UDP/500 和 UDP/4500 进行 NAT Traversal，这也是拨号 IPSec VPN 的常见方式。

在远程接入 VPN 中，FortiGate 作为拨号 IPSec Server，FortiClient 作为终端客户端时，建议使用 IKEv2，并将 IPSec 隧道配置为使用 TCP 传输，通常使用 TCP/443。这样可以让 ESP 报文封装在 TCP 中，穿越直接 IPSec 流量被运营商网络阻断或被 CGNAT 影响的环境。

该能力要求：

IPSec 使用 IKEv2。
FortiClient 版本为 7.4.1 或更高。
FortiClient 侧也配置为使用 TCP 传输。

站点到站点 IPSec 中，UDP 端口可以自定义。IKEv2 站点到站点 IPSec 中，TCP 端口也可以自定义，并支持将 ESP 报文封装到 TCP 头部中。

FortiClient 终端配置迁移

Mon, 27 Apr 2026 08:16:52 GMT

FortiClient EMS 上从 SSL VPN 迁移到 IPSec，需要与 FortiGate 配置同步进行，因为 IPSec 设置必须在 FortiGate（VPN Server）和 FortiClient（VPN Client）两侧匹配。

FortiClient EMS 通过 Remote Access Endpoint Profile 配置 VPN，可以配置 SSL VPN、IPSec VPN 或两者同时存在。示例使用 FortiClient EMS 和 FortiClient 7.4.4。

开始时，在 FortiClient EMS 的 Endpoint Profiles 下添加 Remote Access Profile。添加新的 Remote Access Profile 后，在同一个 Remote Access Profile 中的 VPN Tunnels 下添加隧道。

通过 FortiClient EMS Remote Access Endpoint Profile 迁移

在 FortiClient EMS 中，进入 Endpoint Profiles。
选择需要的 Profile 类型，点击 Add。
点击 Add Profile，创建 Windows、macOS 和 Linux Profile。
在 VPN Tunnel 下，点击 Add Tunnel → Manual，并完成 Basic Settings。

基础设置

| 配置项 | 说明 | |

认证方式

Mon, 27 Apr 2026 08:16:52 GMT

认证方式建立 SSL VPN 隧道时，用户必须认证到与 SSL VPN User Group to Portal Mapping 关联的用户组。FortiGate 支持的 SSL VPN 认证方式包括： FortiToken 双因素认证可以与 Local、LDAP、RADIUS 或 SAML 组合使用。客户端证书双因素认证也支持。 IPSec 隧道中...

客户端地址分配

Mon, 27 Apr 2026 08:16:52 GMT

SSL VPN 从预定义或自定义 IP 地址范围中为客户端分配地址。

拨号 IPSec VPN 支持多种地址分配方式。建议使用 Mode Config，让 FortiGate 作为 IP 地址分配服务器。Mode Config 提供多种分配方式，例如手工地址范围，也可以与 DHCP Server 集成。

迁移到 IPSec VPN 后，客户端地址分配方式更灵活。建议使用 Mode Config，并根据实际需求选择对应的地址分配方式。

FortiClient 或终端配置

Mon, 27 Apr 2026 08:16:52 GMT

SSL VPN Tunnel 模式需要终端安装 FortiClient。IPSec 隧道同样需要 FortiClient。

FortiClient 可以单独安装在终端上，也可以通过 FortiClient EMS 管理。建议使用 FortiClient EMS，因为它可以集中管理客户端配置，并支持更大规模部署。

基本 FortiClient SSL VPN 配置包括：

| 配置项 | 说明 | |

全隧道与分离隧道

Mon, 27 Apr 2026 08:16:52 GMT

Full tunneling 会强制所有远程用户流量经过 VPN。

Split tunneling 允许管理员指定哪些目的流量经过 VPN。

SSL VPN 和 IPSec VPN 都支持 Split tunneling。SSL VPN 默认根据防火墙策略中的目的地址启用 Split tunneling。IPSec 自定义配置默认关闭 Split tunneling，但通过 VPN Wizard 创建时默认启用。

启用 Split tunneling 后，必须配置需要包含或排除在隧道路由中的网络。

先迁移 VPN 还是先升级？

Mon, 27 Apr 2026 08:16:52 GMT

先迁移 VPN 还是先升级 FortiOS，应由管理员根据公司策略、最佳实践和业务影响决定。需要评估两种方式对远程用户造成的潜在停机影响。

另一个考虑因素是当前固件是否影响安全性。如果存在关键安全补丁需求，管理员可能会决定先升级，再迁移 VPN。

同时，迁移需要时间完成设计评估、计划制定、配置实施、受控测试和用户部署。应预留足够时间进行规划，并在确定方案后再安排升级和维护窗口。

多用户组

Mon, 27 Apr 2026 08:16:52 GMT

SSL VPN 只使用一个 SSL VPN Settings 页面和一个 SSL VPN 接口。多个用户组可以映射到不同 Portal，并通过防火墙策略控制精细化访问权限。

IPSec VPN 中，一个拨号 VPN 隧道可以通过在 VPN 设置中定义用户组，或从防火墙策略继承用户组的方式支持一个或多个用户组。与 SSL VPN 不同，管理员也可以创建多个独立拨号 IPSec 隧道，用于承载当前不同 SSL VPN Tunnel Mode Web Portal 为各用户组提供的差异化功能。

如果在同一个 WAN 接口上配置多个拨号 IPSec 隧道，且隧道参数相近，则每个隧道都需要唯一标识，让拨号客户端发起连接时匹配到正确隧道：

IKEv1 建议使用 Aggressive Mode，并通过 Phase 1 中的 Peer ID 区分。
IKEv2 建议使用 Phase 1 中的 Network ID 区分。

重要

Network ID 不能在未纳管的独立 FortiClient 中配置。通过 FortiClient EMS 管理时，FortiClient EMS 7.2.6 及以上或 7.4.1 及以上支持配置 Network ID。

从 SSL VPN 迁移到 IPSec VPN 时，应根据用户组数量和原 Portal 差异选择用户组定义方式。

策略配置

Mon, 27 Apr 2026 08:16:52 GMT

SSL VPN 使用单一 ssl.root 隧道接口作为防火墙策略源接口，控制终端客户端到内部资源的访问。用户组必须定义在策略中，用于控制允许访问内部资源的用户组。

IPSec VPN 会为每个 IPSec 隧道创建一个同名虚拟 VPN 接口。迁移后，应在防火墙策略中选择对应虚拟隧道接口作为源接口，控制终端客户端访问内部资源。

用户组可以定义在策略中，并由 VPN 隧道配置继承；也可以直接定义在各 IPSec 隧道配置中。

迁移时需要检查并调整防火墙策略，将原 ssl.root 相关策略迁移为 IPSec 隧道接口相关策略，并确认用户组配置位置与隧道认证方式一致。

Split DNS 与 DNS 后缀

Mon, 27 Apr 2026 08:16:52 GMT

SSL VPN Tunnel 模式支持 Split DNS 和 DNS suffix 配置。

拨号 IPSec 隧道是否支持这些能力取决于 IKE 版本：

IKEv1：支持 DNS 后缀配置，但需要在 Phase 1 中启用 unity-support。
IKEv2：支持 Split DNS。

规划迁移时，应检查现有 SSL VPN 设置，确认是否依赖 Split DNS 或 DNS suffix，再选择满足需求的 IKE 版本。

自定义 IPSec 隧道设置

Mon, 27 Apr 2026 08:16:52 GMT

VPN Wizard 创建隧道后，可能需要根据实际需求继续调整配置。常见自定义包括：

使用 Peer ID。
修改 Phase 1 和 Phase 2 Proposal。

使用 Peer ID

如果同一物理 WAN 接口上配置多个拨号 IPSec 隧道，FortiGate 需要通过 Peer ID 或 Network ID 区分传入的 IPSec 连接请求，并将连接关联到正确的 IPSec 隧道。

IKEv1 Aggressive Mode 可以使用 Peer ID 区分多个拨号 IPSec 隧道。因此，IKEv1 建议使用 Aggressive Mode，以便在 Phase 1 中使用 Peer ID 字段。

IKEv1 Aggressive Mode 协商过程中，FortiClient 会发送本地配置的 Local ID，FortiGate 将其与定义好的 Peer ID 匹配，从而识别对应隧道。因此，FortiClient 上的 Local ID 必须与 FortiGate 上对应隧道的 Peer ID 一致。

IKEv2 中，Peer ID 不包含在初始 IKE 消息中。因此 FortiGate 作为 IPSec 拨号 Server 时，无法准确地在多个拨号 Phase 1 配置中匹配正确隧道。IKEv2 建议改用 Phase 1 中的 Network ID。

Network ID 不能在未纳管的独立 FortiClient 中配置。通过 FortiClient EMS 管理时，FortiClient EMS 7.2.6 及以上或 7.4.1 及以上支持配置 Network ID。

IKEv2 中，FortiGate 使用 Network ID 作为唯一标识，区分同一 WAN 接口上的多个拨号隧道。协商过程中，FortiClient 发送 Network ID，FortiGate 将其与已定义的 Network ID 匹配，以识别正确隧道。FortiClient 上配置的 Network ID 必须与 FortiGate 上对应隧道的 Network ID 一致。

重要

不同 IPSec 隧道必须配置唯一 Peer ID 或 Network ID。

IKEv1 Peer ID 配置思路：

进入“VPN → IPsec Tunnels”，编辑对应 IPSec 隧道。
确认 IKE 为 Version 1，Mode 为 Aggressive。
在 Authentication 下将 Accept Peer ID 改为 Specific peer ID。
配置唯一 Peer ID。
保存。

IKEv2 Network ID 通过 CLI 配置：

config vpn ipsec phase1-interface
    edit <vpn-tunnel-name>
        set network-overlay enable
        set network-id <ID>
    next
end

修改 Phase 1 和 Phase 2 Proposal

如需修改 IPSec Phase 1 和 Phase 2 的 SA 参数：

进入“VPN → VPN Tunnels”，编辑 IPSec 隧道。
在 Phase 1 proposal 中选择需要的自定义配置。
在 Phase 2 Selectors 中选择 Phase 2 隧道并点击 Edit。
选择所需自定义配置，并点击 OK 保存 Phase 2 Selectors。
点击 OK 保存 IPSec 隧道配置。

第二部分：使用 VPN Wizard 配置 IPSec 隧道

Mon, 27 Apr 2026 08:16:52 GMT

完成现有 SSL VPN 用户认证方式识别并确认 IPSec 支持要求后，可以开始迁移到 IPSec VPN。

IPSec 隧道可以通过 GUI VPN Wizard、GUI 自定义 IPSec 配置或 CLI 配置。这里使用 VPN Wizard 创建 IPSec 隧道。通过 VPN Wizard 指定的隧道参数后续仍可自定义，例如修改 IKE 版本、IKE 模式、安全关联（SA）和其他细粒度设置。

配置 VPN Wizard

在 FortiGate 进入“VPN → VPN Wizard”。
配置以下选项，并点击 Begin：

| 配置项 | 说明 | |

网络拓扑

Mon, 27 Apr 2026 08:16:52 GMT

本文场景假设 SSL VPN 已经预先配置在 FortiGate WAN 接口上，并使用 TCP/443。远程用户连接到 FortiGate WAN 接口后，访问 FortiGate LAN 接口后的内部资源。

该 SSL VPN 配置将迁移到 IPSec，并保持相同的基础拓扑。

基于 LDAP 的用户认证

Mon, 27 Apr 2026 08:16:52 GMT

IPSec IKEv1 使用 XAUTH 进行用户认证，IPSec IKEv2 使用 EAP 进行用户认证。只有 EAP-TTLS 可以与 LDAP 互通。因此，如果 LDAP 用户认证使用 IKEv2，必须使用 EAP-TTLS。

重要

EAP-TTLS 支持要求 FortiClient EMS 和 FortiClient 版本为 7.4.3 或更高。

LDAP 认证中，LDAP Server 是集中认证服务器，用户名和密码直接在 LDAP Server 上管理。要在 IPSec 中使用该认证方式，FortiGate 必须配置 LDAP Server，并创建使用 LDAP Server 的用户组。

如需基于 LDAP 组成员关系区分用户组，可以配置多个用户组并使用 Group Name 选项进行匹配。

示例中，LDAP Server 名为 LDAP Connector，用户组名为 LDAP user group。Group Name 只匹配 LDAP Server 上属于 Domain Users 的用户，只有这些用户允许连接 IPSec 隧道。

查看 CLI 配置：

config user group
    edit "LDAP user group"
        set member "LDAP Connector"
        config match
            edit 1
                set server-name "LDAP Connector"
                set group-name "CN=Domain Users,CN=Users,DC=financial,DC=local"
            next
        end
    next
end

应用用户组

如果只有一个用户组，可以将 LDAP user group 直接用于 IPSec 隧道配置中。如果有多个用户组，应在 IPSec 隧道中选择 Inherit from policy，并在防火墙策略中使用这些用户组。

使用 LDAP + IKEv2 时，需要将 IKE version 改为 Version 2。

本地用户认证

Mon, 27 Apr 2026 08:16:52 GMT

本地用户认证中，用户名和密码直接在 FortiGate 本地为每个用户配置。可以通过本地用户组包含多个本地用户。

示例中，本地用户 johnlocus 加入名为 Local user group 的本地用户组。

查看 CLI 配置：

config user group
    edit "Local user group"
        set member "johnlocus"
    next
end

应用用户组

如果只有一个用户组，可以将 Local user group 直接用于 IPSec 隧道配置中。如果有多个用户组，应在 IPSec 隧道中选择 Inherit from policy，并在防火墙策略中使用这些用户组。

基于 RADIUS 的用户认证

Mon, 27 Apr 2026 08:16:52 GMT

RADIUS 认证中，RADIUS Server 是集中认证服务器，用户名和密码直接在 RADIUS Server 上管理。要在 IPSec 中使用该认证方式，FortiGate 必须配置 RADIUS Server，并创建引用该 RADIUS Server 的用户组。

如需基于 RADIUS Server 上的用户组成员关系区分用户组，可以使用 Group Name。FortiGate 期望 RADIUS Server 在 RADIUS 响应报文中正确返回 Fortinet-Group-Name VSA。

示例中，FortiGate 配置了名为 Radius Connector 的 RADIUS Server，用户组 Radius user group 引用该 RADIUS Server。Group Name 配置为 Domain Users，表示只有 RADIUS Server 在响应中返回该组名时，用户才允许连接 IPSec 隧道。

查看 CLI 配置：

config user group
    edit "Radius user group"
        set member "Radius Connector"
        config match
            edit 1
                set server-name "Radius Connector"
                set group-name "Domain Users"
            next
        end
    next
end

应用用户组

如果只有一个用户组，可以将 Radius user group 直接用于 IPSec 隧道配置中。如果有多个用户组，应在 IPSec 隧道中选择 Inherit from policy，并在防火墙策略中使用这些用户组。

基于 SAML 的用户认证

Mon, 27 Apr 2026 08:16:52 GMT

IPSec 支持基于 SAML 的用户认证，但要求 FortiClient 版本为 7.2.4 或更高。SAML 认证只支持 IPSec IKEv2，不支持 IKEv1。

使用 SAML 时，建议先升级 FortiClient 到 7.2.4 或更高版本。

VPN Wizard 默认可能创建 IKEv1 配置，后续需要将配置调整为 IKEv2，并启用 EAP 用户认证。

SAML 与 IPSec 配合时，还需要额外配置：

auth-ike-saml-port。
SAML Server 证书。
IPSec VPN 网关接口和 SAML Server 之间的接口绑定。

配置 IKE SAML 认证端口：

config system global
    set auth-ike-saml-port 9443
end

查看 SAML Server 使用的证书：

config user setting
    set auth-cert "SAML_Server_Certificate"
end

示例中，SAML 用户组 SAML Usergroup 使用名为 SAML-FAC 的 SAML SSO Server，并匹配组名 Corporate：

config user group
    edit "SAML Usergroup"
        set member "SAML-FAC"
        config match
            edit 1
                set server-name "SAML-FAC"
                set group-name "Corporate"
            next
        end
    next
end

将 SAML Server 与 IPSec 网关所在接口绑定，示例接口为 WAN：

config system interface
    edit "WAN"
        set ike-saml-server "SAML-FAC"
    next
end

应用用户组

如果只有一个用户组，可以将 SAML Usergroup 直接用于 IPSec 隧道配置中。如果有多个用户组，应在 IPSec 隧道中选择 Inherit from policy，并在防火墙策略中使用这些用户组。

G 系列修改安全级别

Tue, 21 Apr 2026 09:38:00 GMT

功能简介

本文说明如何在 FortiGate G 系列机型上调整 BIOS 安全级别（Security Level）。

在多数 FortiGate 机型上，可以通过开机 BIOS 菜单中的 [U] Set security level 修改安全级别；但在部分 G 系列机型上，该选项不再提供，需改用设备硬件上的 Signed Firmware 物理开关进行切换。

适用范围

FortiGate/FortiWiFi 50G/51G 系列。
FortiGate/FortiWiFi 70G/71G 系列。
FortiGate 90G/91G Gen2 及以上（Part Number Pxxxxx-11-01 及以上）。
FortiGate 120G/121G Gen2 及以上（Part Number Pxxxxx-2x-01 及以上）。
FortiGate/FortiWiFi 200G/201G 系列。
FortiGate 700G/701G 系列。

提示

对于 30G/31G、90G Gen1、120G Gen1 等仍支持 BIOS 菜单修改的机型，可参考系统管理 → 固件与配置管理 → 固件版本管理 → 软件签名增强中的 BIOS 修改方法。

安全级别说明

High（默认）：阻止未签名固件。
Low：允许未签名固件安装，但会告警。

相关信息

从 FortiOS 7.0.16、7.2.11、7.4.6、7.6.1 开始，安全级别名称统一为 Low/High（早期文档中的 0/1/2 对应为 Low/Low/High）。

开关位置

50G/70G/90G Gen2：开关位于设备后面板（状态 LED 的对侧）。
120G Gen2/200G/700G：开关位于设备前面板。

产品面板示例

50G 系列（后面板盖板与开关）

70G 系列（前面板 LED）

200G/700G 系列（前面板开关与 LED）

90G Gen2/90G Gen1/120G Gen2 代际差异示意

操作步骤

断电并确认设备处于安全可操作状态，拆下 Signed Firmware 金属挡板固定螺丝。
将物理开关拨到目标档位：
- H/High：高安全级别（默认）。
- L/Low：低安全级别。
重新上电并重启设备。

# get system status | grep -i "security level"
Current Security Level: Low

注意事项

修改物理开关后，BIOS 安全级别会在下次重启后生效。
get system status 可用于对比当前 BIOS 安全级别与开关设置是否一致。
当安全级别从 High 调整为 Low 时，会产生系统事件日志：22906 - LOG_ID_SECURITY_LEVEL_CHANGE。
90G/120G 存在多硬件代际差异，需先通过 Part Number 确认是否具备 Signed Firmware 硬件开关。

Debug 信息分析引擎

Thu, 16 Apr 2026 09:05:47 GMT

FTNT Plotter 是一个面向排障场景的在线 Debug 信息分析工具，可将 Debug 信息文本快速转换为可视化结果，帮助定位异常时间段与关键事件。

适用场景：

在大量 Debug 信息中快速识别异常峰值、重复报错和时间分布。
对比不同阶段日志变化，辅助判断问题是否持续或已恢复。
在远程协作排障时，快速共享统一的分析视图。

使用提示：

建议先对 Debug 信息做脱敏处理，再上传或粘贴到在线工具中。
Debug 信息量较大时（最大支持单次上传 100MB 文本），可先按时间窗口拆分分析，以提升定位效率。
如内嵌页面无法正常显示，请在新窗口打开 FTNT Plotter。

设备强制注册

Thu, 16 Apr 2026 09:05:47 GMT

功能简介

在 FortiOS 7.2.11/7.4.8/7.6.5 及后续版本的适用硬件机型上，FortiGate 启用“强制注册”机制。该机制要求设备先完成 FortiCare 注册，再开放完整配置与后续升级能力。

FortiOS 7.2.11/7.4.8：引入强制注册机制（仅如下机型）。
- FG-200G
- FG-201G
- FG-900G
- FG-901G
FortiOS 7.4.9：扩大机型范围。
- FortiGate：FG-50G/51G、FG-70G/71G、FG-90G/91G、FG-120G/121G、FG-200G/201G、FG-700G/701G、FG-900G/901G 及对应 SFP/POE/DSL/5G 变体。
- FortiWiFi：FWF-50G/51G、FWF-70G/71G 及对应 DSL/5G/SFP/POE 变体。
- FortiGate Rugged：FGR-50G-5G、FGR-70G、FGR-70G-5G-DUAL。
FortiOS 7.4.10：新增网络连通向导、离线许可证上传入口，并支持最多 7 天延后注册。
FortiOS 7.6.5：在 7.6 分支启用该机制，并增加 CLI 只读限制与相关向导能力。

未注册行为

设备未完成注册时，会出现以下限制：

首次登录 GUI 会进入 Register with FortiCare 页面，无法继续后续 GUI 配置。
CLI 处于受限状态，仅允许网络相关部分配置。
- config firewall
- config ftp-proxy
- config router
- config system
- config web-proxy
固件升级能力也受注册状态限制。
设备需要可以连接到 FortiGuard 才能完成注册（或导入离线 License）并解除以上限制。

Workaround

延期注册（7.4.10 开始）

点击注册窗口内的“Postpone registration”按钮可以延期 7 天，期间可以正常通过 GUI 配置 FortiGate：
延期到期后会重新进入强制注册状态，无法继续延期：

离线许可证方式

提示

适用于无法直连互联网、但需要满足强制注册机制的场景。
离线许可证文件中的序列号必须与设备序列号一致，系统才会判定注册有效。
离线 License 的下载方法可参考系统管理 → FortiGuard 管理 → 离线导入设备 License 章节。

设备登录后，在注册向导中选择离线 License 导入入口：
进入上传页面后，导入离线 License 文件：
导入成功且序列号匹配后，页面会提示离线 License 生效：

也可使用 CLI 方式导入，CLI 导入前，需先保证 FortiGate 到 FTP/TFTP 服务器网络可达：

execute restore manual-license {ftp|tftp} <licensefilename> <server> [args]

execute restore manual-license tftp FG101FTKxxxxxxxxOff-NetworkLicenseFile.lic 192.168.1.10

BIOS 禁用强制注册

使用 Console 线连接设备串口并重启设备。

启动时看到以下提示，按任意键进入 BIOS 菜单：

Boot up, boot device capacity: 28626MB.
Press any key to display configuration menu...

在 BIOS 主菜单输入 I，进入系统信息菜单：

[C]:  Configure TFTP parameters.
[R]:  Review TFTP parameters.
[T]:  Initiate TFTP firmware transfer.
[F]:  Format boot device.
[B]:  Boot with backup firmware and set as default.
[I]:  System configuration and information.
[Q]:  Quit menu and continue to boot.
[H]:  Display this list of options.

在下一层菜单输入 C，进入 FortiCare 注册级别设置：

Enter C,R,T,F,B,I,Q,or H:
[S]:  Set serial port baudrate (will take effect on next boot).
[R]:  Set restricted mode.
[T]:  Set menu timeout.
[U]:  Set security level.
[C]:  Set FortiCare registration.
[I]:  Display system information.
[E]:  Reset system configuration.
[M]:  Display SPD information.
[Q]:  Quit menu and continue to boot.
[H]:  Display this list of options.

输入 1，将注册级别从 2（Enforce）改为 1（Not Enforce）：

Enter S,R,T,U,C,I,E,M,Q,or H:
[1]:  Not Enforce
[2]:  Enforce
Enter FortiCare registration setting [2]: 1

连续输入 Q 退出 BIOS 菜单并继续启动系统。启动后 GUI 可临时跳过强制注册继续配置。

重命名 IPSec 隧道

Tue, 07 Apr 2026 10:09:42 GMT

功能简介

本文介绍如何在 FortiGate 上重命名已创建的 IPSec 隧道（phase1-interface）。

FortiOS 7.4.2 之前：已创建的 IPSec 隧道不支持直接重命名，需要删除关联配置及自身配置后，使用新名称重建。
FortiOS 7.4.2 及之后：支持通过 GUI 和 CLI 直接重命名 IPSec 隧道，与隧道关联的配置会自动修改。

配置步骤

GUI

进入“VPN → VPN 隧道”，编辑目标隧道后修改名称字段并保存即可。

CLI

config vpn ipsec phase1-interface
    rename <old-tunnel-name> to <new-tunnel-name>
end

config vpn ipsec phase1-interface
    rename SiteA to SiteB
end

注意事项

修改 IPSec VPN 名称后，对应的 IPSec Tunnel 接口名称也会对应修改。
与隧道关联的配置，如防火墙策略中的入/出接口、静态路由或策略路由中的出接口、SD-WAN、监控等对应配置中的接口名称等均会自动变化。

附加 AS-Path

Wed, 01 Apr 2026 10:04:14 GMT

功能简介

本文主要介绍在 BGP 多链路（如连接多个 ISP）场景中，如何通过 AS-PATH prepend 影响入向（回程）流量路径。

典型需求是将互联网出口设计为主备链路：

主线路（Primary ISP）作为优先路径。
备线路（Secondary ISP）仅在主线路故障时承载流量。

在此类场景中，仅在 ISP 侧设置 Local Preference 可能无法完全达到预期。因为 Local Preference 是非传递属性，只在各自 AS 内部生效，不会跨 AS 传播到其他 ISP。

因此可使用 AS-PATH（传递属性）进行路径影响：在向备线路通告前缀时，追加多个本地 AS 号，使该路径更“长”，从而降低其被优选概率。

网络拓扑

使用要点

互联网侧路由器的回程选路可通过 AS-PATH 属性进行影响。
BGP 默认优选 AS-PATH 更短的路径。
在向 Secondary ISP 通告 93.184.216.34/32 时进行 prepend，可以让回程更倾向 Primary ISP，而不是依赖 ISP 侧 Local Preference。
Secondary ISP（AS65201）到达 93.184.216.34/32 时，会因 Primary ISP 宣告路径更短而优选经 AS65101。
若需同时控制 FortiGate 出向优先主线路，可在本地对 Primary ISP 邻居设置更高 Local Preference 或 Weight。

配置步骤

示例参数如下：

FortiGate 本地 AS：65301
主线路邻居（WAN1）：202.1.1.2（AS 65101）
备线路邻居（WAN2）：202.2.2.2（AS 65201）
对外发布前缀（DMZ）：93.184.216.34/32（通过 Loopback 模拟）

接口配置（WAN1/WAN2/DMZ）。

config system interface
    edit "port2"
        set vdom "root"
        set ip 202.1.1.1 255.255.255.240
        set allowaccess ping
        set type physical
        set alias "WAN1"
    next
    edit "port3"
        set vdom "root"
        set ip 202.2.2.1 255.255.255.240
        set allowaccess ping
        set type physical
        set alias "WAN2"
    next
    edit "DMZ"
        set vdom "root"
        set ip 93.184.216.34 255.255.255.255
        set allowaccess ping
        set type loopback
    next
end

备线路出站 route-map（AS-PATH prepend）。

config router route-map
    edit "Secondary_ISP"
        config rule
            edit 1
                set set-aspath "65301 65301 65301"
            next
        end
    next
end

主线路入站 route-map（提高本地优先级）。

config router route-map
    edit "Primary_ISP"
        config rule
            edit 1
                set set-local-preference 200
            next
        end
    next
end

在 BGP 邻居上应用 route-map。

config router bgp
    set as 65301
    set router-id 3.3.3.3
    config neighbor
        edit "202.1.1.2"
            set remote-as 65101
            set route-map-in "Primary_ISP"
        next
        edit "202.2.2.2"
            set remote-as 65201
            set route-map-out "Secondary_ISP"
        next
    end
    config network
        edit 1
            set prefix 93.184.216.34 255.255.255.255
        next
    end
end

验证步骤

变更前（未应用 prepend）

在 Secondary ISP 路由器查看，此时 93.184.216.34/32 的最佳路径为 202.2.2.1（经 Secondary ISP）。

ISP2-R1 # get router info bgp network
BGP table version is 8, local router ID is 2.2.2.2
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              S Stale
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network           Next Hop      Metric LocPrf Weight RouteTag Path
*> 93.184.216.34/32  202.2.2.1          0      0      0        0 65301 i
* i                  101.1.1.1          0    100      0        0 65101 65301 i
*> 202.2.2.0/28      0.0.0.0                 100  32768        0 i

变更后（应用 prepend）

应用 prepend 后，最佳路径切换为 101.1.1.1（经 Primary ISP），并且备线路路径 AS-PATH 变长（出现多个 65301）。

ISP2-R1 # get router info bgp network
BGP table version is 10, local router ID is 2.2.2.2
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              S Stale
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network           Next Hop      Metric LocPrf Weight RouteTag Path
*>i93.184.216.34/32  101.1.1.1          0    100      0        0 65101 65301 i
*  202.2.2.1                              0      0      0        0 65301 65301 65301 65301 i
*> 202.2.2.0/28      0.0.0.0                 100  32768        0 i

总结

AS-PATH prepend 主要用于影响入向（回程）流量。
本地出向优选应配合 Local Preference / Weight 控制。
变更后建议执行软重配或路由刷新并复核路由表。
建议在维护窗口先小范围验证，避免生产回程路径抖动。

ARP 表

Fri, 27 Mar 2026 08:32:01 GMT

功能介绍

ARP 表用于确定目标节点对应的 MAC 地址，以及该节点可达的 VLAN 和接口端口。

在 FortiGate 上，ARP 相关信息获取的方式主要通过如下命令：

get system arp：查看当前 ARP 表（偏运维视图）。
diagnose ip arp list：查看系统 ARP 缓存（包含状态、引用等细节）。
diagnose sys device list ：查看 ARP/ARP6 的表规模与使用摘要。

查看 ARP 信息

查看 ARP 表

# get system arp

Address           Age(min)   Hardware Addr      Interface
10.10.1.3         1          50:b7:c3:75:ea:dd internal7
192.168.0.190     0          28:f1:0e:03:2a:97 wan1
192.168.0.97      0          f4:f2:6d:37:b0:99 wan1

查看 ARP 缓存明细

# diagnose ip arp list

index=7 ifname=dmz 169.254.0.1 94:f3:92:53:ae:7c state=00000080 use=198045467 confirm=148592500 update=148592500 ref=0
index=28 ifname=to_Home_WAN11 0.0.0.0  state=00000040 use=2078 confirm=2078 update=107680361 ref=1
index=12 ifname=internal5 10.10.12.2 00:01:02:03:04:05 state=00000002 use=0 confirm=0 update=1366 ref=84
index=12 ifname=internal5 10.10.12.254 08:5b:0e:b2:5e:69 state=00000004 use=4787 confirm=4787 update=150 ref=5
index=6 ifname=wan2 172.22.6.1 00:09:0f:09:01:18 state=00000002 use=34 confirm=1190 update=2268 ref=5
index=5 ifname=wan1 172.22.6.255 state=00000000 use=79961 confirm=85961 update=79961 ref=2
index=5 ifname=wan1 172.22.6.1 00:09:0f:09:01:18 state=00000002 use=24 confirm=234 update=2268 ref=108

state：ARP 条目状态。
ref：表示当前被其他对象引用次数。
常见 ARP 状态位：

提示

ARP 状态迁移受 ARP 请求/应答、邻居查找、路由与会话行为等多因素影响。单次抓到的状态需要结合 ref 与时间维度一起判断。

| 状态值 | 含义 | 说明 | |

API 认证失败

Thu, 26 Mar 2026 09:48:19 GMT

问题现象

从 FortiOS v7.4.5 和 v7.6.1 开始，当 API 请求通过 URL 参数传递 access_token 时，会返回 401 Unauthorized 错误。

curl -vk 'https://192.168.100.99/api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63'
*   Trying 192.168.100.99:443...
* Connected to 192.168.100.99 (192.168.100.99) port 443
* ALPN: curl offers h2,http/1.1
* (304) (OUT), TLS handshake, Client hello (1):
* (304) (IN), TLS handshake, Server hello (2):
* (304) (IN), TLS handshake, Unknown (8):
* (304) (IN), TLS handshake, Certificate (11):
* (304) (IN), TLS handshake, CERT verify (15):
* (304) (IN), TLS handshake, Finished (20):
* (304) (OUT), TLS handshake, Finished (20):
* SSL connection using TLSv1.3 / AEAD-AES256-GCM-SHA384 / [blank] / UNDEF
* ALPN: server accepted h2
* Server certificate:
*  subject: C=US; ST=California; L=Sunnyvale; O=Fortinet Ltd.; OU=FortiGate; CN=FortiGate
*  start date: Mar 16 07:59:45 2026 GMT
*  expire date: Jun 18 07:59:45 2028 GMT
*  issuer: C=US; ST=California; L=Sunnyvale; O=Fortinet; OU=Certificate Authority; CN=FG101FTK20007637; emailAddress=support@fortinet.com
*  SSL certificate verify ok.
* using HTTP/2
* [HTTP/2] [1] OPENED stream for https://192.168.100.99/api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63
* [HTTP/2] [1] [:method: GET]
* [HTTP/2] [1] [:scheme: https]
* [HTTP/2] [1] [:authority: 192.168.100.99]
* [HTTP/2] [1] [:path: /api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63]
* [HTTP/2] [1] [user-agent: curl/8.7.1]
* [HTTP/2] [1] [accept: */*]
> GET /api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63 HTTP/2
> Host: 192.168.100.99
> User-Agent: curl/8.7.1
> Accept: */*
>
* Request completely sent off
< HTTP/2 401
< x-frame-options: SAMEORIGIN
< content-security-policy: frame-ancestors 'self'
< x-xss-protection: 1; mode=block
< strict-transport-security: max-age=63072000
< www-authenticate: error="invalid_token"
< date: Thu, 26 Mar 2026 02:48:46 GMT
<
* Connection #0 to host 192.168.100.99 left intact

相关信息

从 FortiSOAR 等第三方平台连接 FortiGate 时，也可能出现类似错误：Unauthorized. Wrong API key provided OR check user/VDOM/API key permission。

问题原因

从 FortiOS v7.4.5 和 v7.6.1 开始，系统默认禁止通过 URL 参数传递 access_token。此变更是出于安全最佳实践的考虑：token 直接拼在 URL 中，会被记录在浏览器历史、代理日志、服务器访问日志中，存在泄露风险。

新版本要求 access_token 必须通过 HTTP Header 传递，即使用 Authorization: Bearer 的方式。

解决方法

使用 HTTP Header 传递 token（推荐）

将 API token 放在请求 Header 中，不会出现在 URL 里，更安全。正常返回 API 结果：

curl -vk 'https://192.168.100.99/api/v2/cmdb/system/vdom' \
    --header 'Authorization: Bearer 785yfsnmc3NzjnHj0jNkh87fdNcb63'
*   Trying 192.168.100.99:443...
* Connected to 192.168.100.99 (192.168.100.99) port 443
* ALPN: curl offers h2,http/1.1
* (304) (OUT), TLS handshake, Client hello (1):
* (304) (IN), TLS handshake, Server hello (2):
* (304) (IN), TLS handshake, Unknown (8):
* (304) (IN), TLS handshake, Certificate (11):
* (304) (IN), TLS handshake, CERT verify (15):
* (304) (IN), TLS handshake, Finished (20):
* (304) (OUT), TLS handshake, Finished (20):
* SSL connection using TLSv1.3 / AEAD-AES256-GCM-SHA384 / [blank] / UNDEF
* ALPN: server accepted h2
* Server certificate:
*  subject: C=US; ST=California; L=Sunnyvale; O=Fortinet Ltd.; OU=FortiGate; CN=FortiGate
*  start date: Mar 16 07:59:45 2026 GMT
*  expire date: Jun 18 07:59:45 2028 GMT
*  issuer: C=US; ST=California; L=Sunnyvale; O=Fortinet; OU=Certificate Authority; CN=FG101FTK20007637; emailAddress=support@fortinet.com
*  SSL certificate verify ok.
* using HTTP/2
* [HTTP/2] [1] OPENED stream for https://192.168.100.99/api/v2/cmdb/system/vdom
* [HTTP/2] [1] [:method: GET]
* [HTTP/2] [1] [:scheme: https]
* [HTTP/2] [1] [:authority: 192.168.100.99]
* [HTTP/2] [1] [:path: /api/v2/cmdb/system/vdom]
* [HTTP/2] [1] [user-agent: curl/8.7.1]
* [HTTP/2] [1] [accept: */*]
* [HTTP/2] [1] [authorization: Bearer 785yfsnmc3NzjnHj0jNkh87fdNcb63]
> GET /api/v2/cmdb/system/vdom HTTP/2
> Host: 192.168.100.99
> User-Agent: curl/8.7.1
> Accept: */*
> Authorization: Bearer 785yfsnmc3NzjnHj0jNkh87fdNcb63
>
* Request completely sent off
< HTTP/2 200
< content-security-policy: frame-ancestors 'self'; script-src 'self'; object-src 'none';
< strict-transport-security: max-age=63072000
< date: Thu, 26 Mar 2026 03:02:35 GMT
< etag: EE8EF382372E2A3C07F45B9C09FB034AD9564AD6B64F1EAF5510A7C7374DCF8A
< cache-control: no-cache, must-revalidate
< content-length: 377
< content-type: application/json
<
* Connection #0 to host 192.168.100.99 left intact
{"http_method":"GET","size":1,"limit_reached":false,"matched_count":1,"next_idx":0,"revision":"9b107552a7c5cc639bb9c77dc3cf43b2","results":[{"name":"root","q_origin_key":"root","short-name":"root","vcluster-id":0,"flag":0}],"vdom":"root","path":"system","name":"vdom","action":"","status":"success","http_status":200,"serial":"FG101FTK20007637","version":"v7.6.6","build":3652}%

允许 URL 传递 token（不推荐）

如果确实需要通过 URL 参数传递 access_token（例如第三方平台暂不支持 Header 方式），可以通过以下命令启用：

警告

启用此选项会将 API 密钥暴露在 URL 中，存在被日志记录、浏览器历史、代理服务器等截获的风险。建议优先使用 HTTP Header 方式传递 token。

config system global
    set rest-api-key-url-query enable
end

随后使用 URL 传递 token 的方式访问，可以正常返回 API 结果：

curl -vk 'https://192.168.100.99/api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63'
*   Trying 192.168.100.99:443...
* Connected to 192.168.100.99 (192.168.100.99) port 443
* ALPN: curl offers h2,http/1.1
* (304) (OUT), TLS handshake, Client hello (1):
* (304) (IN), TLS handshake, Server hello (2):
* (304) (IN), TLS handshake, Unknown (8):
* (304) (IN), TLS handshake, Certificate (11):
* (304) (IN), TLS handshake, CERT verify (15):
* (304) (IN), TLS handshake, Finished (20):
* (304) (OUT), TLS handshake, Finished (20):
* SSL connection using TLSv1.3 / AEAD-AES256-GCM-SHA384 / [blank] / UNDEF
* ALPN: server accepted h2
* Server certificate:
*  subject: C=US; ST=California; L=Sunnyvale; O=Fortinet Ltd.; OU=FortiGate; CN=FortiGate
*  start date: Mar 16 07:59:45 2026 GMT
*  expire date: Jun 18 07:59:45 2028 GMT
*  issuer: C=US; ST=California; L=Sunnyvale; O=Fortinet; OU=Certificate Authority; CN=FG101FTK20007637; emailAddress=support@fortinet.com
*  SSL certificate verify ok.
* using HTTP/2
* [HTTP/2] [1] OPENED stream for https://192.168.100.99/api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63
* [HTTP/2] [1] [:method: GET]
* [HTTP/2] [1] [:scheme: https]
* [HTTP/2] [1] [:authority: 192.168.100.99]
* [HTTP/2] [1] [:path: /api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63]
* [HTTP/2] [1] [user-agent: curl/8.7.1]
* [HTTP/2] [1] [accept: */*]
> GET /api/v2/cmdb/system/vdom?access_token=785yfsnmc3NzjnHj0jNkh87fdNcb63 HTTP/2
> Host: 192.168.100.99
> User-Agent: curl/8.7.1
> Accept: */*
>
* Request completely sent off
< HTTP/2 200
< content-security-policy: frame-ancestors 'self'; script-src 'self'; object-src 'none';
< strict-transport-security: max-age=63072000
< date: Thu, 26 Mar 2026 03:04:03 GMT
< etag: 27F6559DB07096435FA668AA55B19681FB124B76DA8D32FA77E125F613074EC1
< cache-control: no-cache, must-revalidate
< content-length: 377
< content-type: application/json
<
* Connection #0 to host 192.168.100.99 left intact
{"http_method":"GET","size":1,"limit_reached":false,"matched_count":1,"next_idx":0,"revision":"9b107552a7c5cc639bb9c77dc3cf43b2","results":[{"name":"root","q_origin_key":"root","short-name":"root","vcluster-id":0,"flag":0}],"vdom":"root","path":"system","name":"vdom","action":"","status":"success","http_status":200,"serial":"FG101FTK20007637","version":"v7.6.6","build":3652}%

多个拨号隧道使用相同 IP 池

Wed, 25 Mar 2026 08:43:12 GMT

问题描述

当多个拨号（dial-up）IPsec 隧道配置了相同的 IP 地址池时，即使每个隧道配置了不同的用户组，同一时间也只能有一个 VPN 用户保持连接。第一个连接的 VPN 用户会在第二个用户连接后立即被断开。

原因分析

这是 FortiOS 的设计行为：相同的 IP 池不能在 FortiGate 上的多个 IPsec 隧道中同时使用。

如果在不同的拨号 IPsec 隧道上配置了相同的 IP 池，如下所示：

config vpn ipsec phase1-interface
    edit <tunnel_A>
        set type dynamic
        set authusrgrp <group_A>
        set ipv4-start-ip 10.180.1.1
        set ipv4-end-ip 10.180.1.10
    next
    edit <tunnel_B>
        set type dynamic
        set authusrgrp <group_B>
        set ipv4-start-ip 10.180.1.1
        set ipv4-end-ip 10.180.1.10
    next
end

在 IKE 协商过程中，IKE 守护进程会根据 phase1 中配置的用户组将 IPsec 隧道映射到用户。用户认证成功后，IP 池中第一个可用的 IP 会被分配给该用户。当第二个用户连接 VPN 并认证成功后，IKE 守护进程会尝试将该隧道 IP 池中的第一个 IP 分配给第二个用户，此时会释放第一个已连接 VPN 用户的 IP 地址。

结果就是：第一个已连接的 VPN 用户被断开，第二个 VPN 用户成功连接。

问题配置举例

以下配置示例使用两个不同的用户组（本地用户和 LDAP 组），debug 输出展示了当两个隧道配置相同 IP 池时，第一个 VPN 用户在第二个用户连接后被断开的过程。

配置用户组

为每个拨号 IPsec 隧道配置不同的用户组：

config user local
    edit "tester"
        set type password
        set passwd *****
    next
end

config user group
    edit "ldap.users"
        set member "fortiserver.ldap" "zilan"
        config match
            edit 1
                set server-name "fortiserver.ldap"
                set group-name "CN=ldap.group,DC=fortiserver,DC=com"
            next
        end
    next
    edit "local.users"
        set member "tester"
    next
end

配置拨号 IPsec 隧道

为不同用户组配置两个拨号 IPsec 隧道（phase1 和 phase2）：

config vpn ipsec phase1-interface
    edit "fct.1"
        set type dynamic
        set interface "port4"
        set mode aggressive
        set mode-cfg enable
        set proposal aes128-sha256 aes256-sha256
        set xauthtype auto
        set authusrgrp "local.users"        # ← 本地用户组
        set ipv4-start-ip 10.180.1.1
        set ipv4-end-ip 10.180.1.10
        set psksecret ENC *****
    next
    edit "fct.2"
        set type dynamic
        set interface "port4"
        set mode aggressive
        set mode-cfg enable
        set proposal aes128-sha1 aes256-sha1
        set xauthtype auto
        set authusrgrp "ldap.users"         # ← LDAP 用户组
        set ipv4-start-ip 10.180.1.1
        set ipv4-end-ip 10.180.1.10
        set psksecret ENC *****
    next
end

config vpn ipsec phase2-interface
    edit "fct.1"
        set phase1name "fct.1"
        set proposal aes128-sha256
        set dhgrp 2
    next
    edit "fct.2"
        set phase1name "fct.2"
        set proposal aes128-sha256
        set dhgrp 5
    next
end

Debug 分析

第一个用户连接：本地用户 tester 连接 VPN，IKE 守护进程从 IP 池中分配第一个 IP 10.180.1.1：

2025-06-30 13:59:39.847399 ike V=root:0:fct.1:1720: add route 10.180.1.1/255.255.255.255 gw 10.180.1.1 oif fct.1(1364) metric 15 priority 1
2025-06-30 13:59:39.849412 ike V=root:0:fct.1_0:1065:fct:1720: tunnel 1 of VDOM limit 0/0
2025-06-30 13:59:39.850493 ike V=root:0:fct.1_0:1065:fct:1720: add IPsec SA: SPIs=14b059d8/08b06a3f

通过 diagnose vpn ike gateway list 确认用户 tester 已连接并被分配 IP 10.180.1.1：

# diagnose vpn ike gateway list

vd: root/0
name: fct.1_0
...
xauth-user: tester                                 # ← 本地用户
assigned IPv4 address: 10.180.1.1/255.255.255.255  # ← 分配的 IP
...

第二个用户连接：LDAP 用户 zilan 连接 VPN 后，IKE 守护进程将路由从 fct.1 移动到 fct.2，释放第一个用户的 IP 并重新分配给第二个用户：

2025-06-30 13:59:54.415801 ike V=root:0:fct.1:1720: moving route 10.180.1.1/255.255.255.255 oif fct.1(1364) metric 15 priority 1 to 0:fct.2:1727
                                                 # ↑ 将路由从 fct.1 移动到 fct.2

2025-06-30 13:59:54.417456 ike V=fct.1:0:fct.1:1720: del route 10.180.1.1/255.255.255.255 tunnel 10.180.1.1 oif fct.1(1364) metric 15 priority 1
                                                  # ↑ 删除 fct.1 的路由

2025-06-30 13:59:54.419296 ike V=root:0:fct.1_0: going to be deleted
                                                  # ↑ fct.1 隧道准备删除

2025-06-30 13:59:54.423117 ike V=root:0:fct.1_0: deleting IPsec SA with SPI 08b06a3f
                                                  # ↑ 删除 fct.1 的 IPsec SA

2025-06-30 13:59:54.464700 ike V=root:0:fct.1_0: mode-cfg release 10.180.1.1/255.255.255.255
                                                  # ↑ 释放第一个用户的 IP 地址

2025-06-30 13:59:54.466634 ike V=root:0:fct.2:1727: add route 10.180.1.1/255.255.255.255 gw 10.0.0.12 oif fct.2(1362) metric 15 priority 1
                                                  # ↑ 为第二个用户在 fct.2 上添加路由

通过 diagnose vpn ike gateway list 确认用户 zilan 已连接并使用了同一个 IP 10.180.1.1：

# diagnose vpn ike gateway list

vd: root/0
name: fct.2_0
...
xauth-user: zilan                                  # ← LDAP 用户
assigned IPv4 address: 10.180.1.1/255.255.255.255  # ← 使用了同一个 IP
...

解决方法

为每个拨号 IPsec 隧道配置不同的、不重叠的 IP 地址池：

config vpn ipsec phase1-interface
    edit "fct.1"
        set type dynamic
        set authusrgrp "local.users"
        set ipv4-start-ip 10.180.1.1
        set ipv4-end-ip 10.180.1.10       # ← IP 池 1：10.180.1.1 - 10.180.1.10
    next
    edit "fct.2"
        set type dynamic
        set authusrgrp "ldap.users"
        set ipv4-start-ip 10.180.2.1
        set ipv4-end-ip 10.180.2.10       # ← IP 池 2：10.180.2.1 - 10.180.2.10
    next
end

将被拒绝的组播会话加入会话表

Wed, 25 Mar 2026 06:32:33 GMT

功能简介

可以为被拒绝的组播流量创建会话并纳入会话表中，使后续数据包能够直接匹配并丢弃，从而降低 CPU 使用率并提高性能。

config system setting
    set ses-denied-multicast-traffic {disable | enable}
end

disable（默认）：不将被拒绝的组播会话添加到会话表中（默认，每次拒绝流量都会创建新的拒绝会话并立即删除）。
enable：将被拒绝的组播会话包含在会话表中（只创建一次拒绝流量的会话并保持在会话表中）。

配置示例

在此示例中，被拒绝的组播会话被包含在 VDOM 的会话表中。创建一条拒绝（deny）组播策略，然后发送命中该策略的数据包。检查组播会话列表可以看到被拒绝的组播会话已被创建。

启用 ses-denied-multicast-traffic。

config system setting
    set ses-denied-multicast-traffic enable
end

在组播策略表中创建拒绝策略。

config firewall multicast-policy
    edit 1
        set name "Deny_Multicast_Policy"
        set srcintf "port1"
        set dstintf "port3"
        set srcaddr "172.16.200.0"
        set dstaddr "230.0.0.1"
        set action deny
        set logtraffic all
        set auto-asic-offload disable
    next
end

发送数据包命中拒绝策略后，检查组播会话列表。输出中显示的第二个会话为被拒绝的组播会话：

FortiGate # diagnose sys mcast-session list

session info: id=259 vf=1 proto=17 172.16.200.55.34896->230.0.0.10.7878
used=2 path=1 duration=8 expire=174 indev=9 pkts=4 bytes=2160
state=00000000:
session-npu-info: ipid/vlifid=0/0 vlanid/vtag_in=0/0 in_npuid=0 tae_index=0 qid=0 fwd_map=0x00000000
path: log npu-deny policy=2, outdev=11, tos=0xff

session info: id=260 vf=1 proto=17 172.16.200.55.33488->230.0.0.1.7878
used=2 path=0 duration=6 expire=177 indev=9 pkts=5 bytes=2700
state=00000200: deny
session-npu-info: ipid/vlifid=0/0 vlanid/vtag_in=0/0 in_npuid=0 tae_index=0 qid=0 fwd_map=0x00000000
Total 2 sessions

可以看到第二个会话的 state 字段标记为 deny，表示该组播会话已被策略拒绝并记录在会话表中，后续被拒绝的流量直接匹配该会话被丢弃，不需要重新建立拒绝会话。

更新日志

Mon, 23 Mar 2026 07:51:09 GMT

基于状态过滤会话

Tue, 17 Mar 2026 10:00:39 GMT

概述

diagnose sys session filter 命令提供了 session-state1 和 session-state2 两个参数，可以根据会话的状态标志对会话表进行精确过滤。

命令格式如下：

diagnose sys session filter <session-state1|session-state2> <state_bits> <state_bits_mask>

state_bits：指定要过滤的状态位，多个状态可以通过相加（按位或）的方式组合使用。
state_bits_mask：
- 若设置为 ffffffff：只匹配 仅包含指定状态的会话（精确匹配）。
- 若设置为与 state_bits 相同的值：匹配包含指定状态的会话（含其他状态也可命中）。

session-state1 状态位

在命令行输入以下命令（不加参数），可查看 session-state1 支持的所有状态位：

FortiGate # diagnose sys session filter session-state1
Arguments: state_bits state_bits_mask

state1 bits:
|00000001: new               |00000002: redir             |00000004: log               |00000008: block
|00000010: oe                |00000020: re                |00000040: wccp              |00000080: dirty
|00000100: local             |00000200: may_dirty         |00000400: per_ip            |00000800: auth
|00001000: nb                |00002000: ndr               |00004000: nds               |00008000: br
|00010000: npu               |00020000: npd               |00040000: src-vis           |00080000: ssc
|00100000: nlb               |00200000: dst-vis           |00400000: 3way              |00800000: pol_sniff
|01000000: authed            |02000000: need_sync         |04000000: synced            |08000000: os
|10000000: rs                |20000000: ha_replicate      |40000000: ndri

提示

CLI 帮助中未显示的额外状态位：80000000: EXPECT (f31)

常用 session-state1 状态位说明：

| 状态位 | 状态名 | 说明 | |

使用附加 IP 时隧道无法建立

Mon, 16 Mar 2026 08:50:45 GMT

问题现象

在本端 FortiGate 的接口 wan1（202.1.1.2）上配置了附加 IP（Secondary IP）202.1.1.3。

config system interface
    edit "wan1"
        set vdom "root"
        set ip 202.1.1.2 255.255.255.0
        config secondaryip
            edit 1
                set ip 202.1.1.3 255.255.255.0
            next
        end
    next
end

IPSec 连接绑定接口为 wan1。

config vpn ipsec phase1-interface
    edit "IPSec_Dialup"
        set type dynamic
        set interface "wan1"
        set ike-version 2
......
    next
end

config vpn ipsec phase2-interface
    edit "IPSec_Dialup"
        set phase1name "IPSec_Dialup"
        set replay disable
    next
end

对端设备将 VPN 隧道的 Remote Gateway 配置为该附加 IP（202.1.1.3）时，隧道无法正常建立，开启 IKE Debug 后出现 no proposal chosen 报错（即使对端发起的安全提议和本端配置的安全提议完全一致）：

comes 39.183.172.30:64916->202.1.1.3:500,ifindex=41,vrf=0,len=373....
......
ike V=root:0:93bce19daab14410/0000000000000000:3056: incoming proposal:
ike V=root:0:93bce19daab14410/0000000000000000:3056: proposal id = 1:
ike V=root:0:93bce19daab14410/0000000000000000:3056:   protocol = IKEv2:
ike V=root:0:93bce19daab14410/0000000000000000:3056:      encapsulation = IKEv2/none
ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=ENCR, val=AES_CBC (key_len = 128)
ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=INTEGR, val=AUTH_HMAC_SHA_96
ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=PRF, val=PRF_HMAC_SHA
ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=DH_GROUP, val=ECP384.
......
ike V=root:0:93bce19daab14410/0000000000000000:3056: my proposal, gw IPSec_Dialup:
ike V=root:0:93bce19daab14410/0000000000000000:3056: proposal id = 1:
ike V=root:0:93bce19daab14410/0000000000000000:3056:   protocol = IKEv2:
ike V=root:0:93bce19daab14410/0000000000000000:3056:      encapsulation = IKEv2/none
ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=ENCR, val=AES_CBC (key_len = 128)
ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=INTEGR, val=AUTH_HMAC_SHA_96
ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=PRF, val=PRF_HMAC_SHA
ike V=root:0:93bce19daab14410/0000000000000000:3056:         type=DH_GROUP, val=ECP384.
ike V=root:0:93bce19daab14410/0000000000000000:3056: lifetime=86400
......
ike V=root:0:93bce19daab14410/0000000000000000:3056: no proposal chosen

问题原因

FortiGate 默认使用接口的主 IP 进行 IKE 协商，当需要使用附加 IP 建立 VPN 隧道时，必须在 Phase 1 配置中通过 local-gw 参数显式指定。
当对端发起到附加 IP 的 VPN 连接时，本端 FortiGate 仍会尝试用主 IP 进行协商，导致 IP 地址不匹配，最终报 no proposal chosen 错误。

解决方法

在 IPSec 一阶段配置中，通过 local-gw 显式指定附加 IP，使 FortiGate 使用该 IP 进行 IKE 协商：

重要

local-gw 指定的 IP 必须已在对应接口上完成配置（主 IP 或附加 IP 均可）。
```
config vpn ipsec phase1-interface
    edit "IPSec_Dialup"
        set interface "wan1"
        set local-gw 202.1.1.3
    next
end
```

配置完成后，对端与 FortiGate 建立 IPSec 时，IKE Debug 中显示协商成功：

......
ike V=root: SA proposal chosen, matched gateway IPSec_Dialup
ike V=root:0:Tunnel1:Tunnel1: created connection: 0xb5be700 9 39.183.172.30->202.1.1.3:1012

IPsec 绑定 Loopback 时无法建立

Fri, 13 Mar 2026 09:43:46 GMT

问题现象

IPSec 隧道绑定到 loopback 接口，且公网出口存在多 ISP 的 ECMP 场景时，IPSec 隧道可能无法建立。

FortiGate 有两个 ISP 出口，默认路由在两个 ISP 出口上等价负载。

FortiGate #   get router info routing-table all
......
Routing table for VRF=0
S*      0.0.0.0/0 [10/0] via 101.1.1.1, wan1, [1/0]
                  [10/0] via 202.1.1.1, wan2, [1/0]
......

IPSec 连接绑定在 loopback 接口，local-gw 配置为 wan2 的 IP 地址，NAT-T 配置为默认的开启状态（set nattraversal enable）。

config vpn ipsec phase1-interface
    edit "IPSec_Dialup"
        set type dynamic
        set interface "loopback1"
        set ike-version 2
        set peertype any
        set net-device disable
        set mode-cfg enable
        set dpd on-idle
        set eap enable
        set eap-identity send-request
        set authusrgrp "IPSec-Group"
        set ipv4-start-ip 10.13.0.129
        set ipv4-end-ip 10.13.0.254
        set dns-mode auto
        set ipv4-split-include "intranet"
        set nattraversal enable
        set psksecret xxxxxxxx
    next
end

FortiClient 连接 FortiGate 的 IPSec，拨号连接失败。在 FortiClient 侧抓包可以看到一直在重发 IKEv2 第一个协商包 IKE_SA_INIT (Initiator Request)，但没有收到 FortiGate 的任何响应。

1 16:10:20.828351600 192.168.1.10 202.1.1.2 a69f9452f9fc9bc4 IKE_SA_INIT MID=00 Initiator Request
2 16:10:23.506134300 192.168.1.10 202.1.1.2 a69f9452f9fc9bc4 IKE_SA_INIT MID=00 Initiator Request
3 16:10:26.510410100 192.168.1.10 202.1.1.2 a69f9452f9fc9bc4 IKE_SA_INIT MID=00 Initiator Request
4 16:10:29.511326300 192.168.1.10 202.1.1.2 a69f9452f9fc9bc4 IKE_SA_INIT MID=00 Initiator Request
......

从 FortiGate 处抓包可以看到 FortiGate 从 wan2 接收了 FortiClient 发送的 IKE_SA_INIT (Initiator Request)，但从 wan1 接口返回了 IKEv2 第 2 个包 IKE_SA_INIT (Responder Response)，没有源进源出。

R2-601F # diagnose sniffer packet any "host 60.247.121.226" 4 0 l
interfaces=[any]
filters=[host 60.247.121.226]
2026-03-13 11:14:58.393925 wan2 in 60.247.121.226.500 -> 202.1.1.2.500: udp 328
2026-03-13 11:14:58.393985 wan1 out 202.1.1.2.500 -> 60.247.121.226.500: udp 268
2026-03-13 11:15:04.403999 wan2 in 60.247.121.226.500 -> 202.1.1.2.500: udp 328
2026-03-13 11:15:04.404026 wan1 out 202.1.1.2.500 -> 60.247.121.226.500: udp 268
......

在 FortiGate 上查看 IKEv2 会话，reply 没有遵循 session 优先的原则源进源出，而是独立进行了 RIB 的查找。

session info: proto=17 proto_state=01 duration=0 expire=179 timeout=0 refresh_dir=both flags=00000000 socktype=0 sockport=0 av_idx=0 use=3
origin-shaper=
reply-shaper=
per_ip_shaper=
class_id=0 ha_id=0 policy_dir=0 tunnel=/ vlan_cos=0/0
state=log local may_dirty 
statistic(bytes/packets/allow_err): org=401/1/1 reply=288/1/1 tuples=2
tx speed(Bps/kbps): 0/0 rx speed(Bps/kbps): 0/0
orgin->sink: org pre->in, reply out->post dev=41->46/46->39 gwy=0.0.0.0/0.0.0.0
hook=pre dir=org act=noop 60.247.121.226:21733->202.1.1.2:500(0.0.0.0:0)
hook=post dir=reply act=noop 202.1.1.2:500->60.247.121.226:21733(0.0.0.0:0)
misc=0 policy_id=101 pol_uuid_idx=16314 auth_info=0 chk_client_info=0 vd=0
serial=7a971a9d tos=ff/ff app_list=0 app=0 url_cat=0
rpdb_link_id=00000000 ngfwid=n/a
npu_state=0x001000
no_ofld_reason:  local

问题原因

在未开启强制 NAT-T（set nattraversal forced）的情况下，IKE（IPSec 一阶段）与 ESP（IPSec 二阶段）是独立会话。隧道绑定到 loopback 且存在冗余 ISP 时，IKE 与 ESP 流量可能走不同路径，入向与出向 IKE 协商可能经过不同接口，导致部分客户端无法建立隧道。

解决方法

在 IPSec 一阶段配置中开启 loopback-asymroute 控制 IKE 流量是否允许异步路由，该命令仅在一阶段绑定接口为 loopback 时可见。

config vpn ipsec phase1-interface
    edit <name>
        set interface <loopback interface name>
        set loopback-asymroute {enable | disable}
    next
end

enable（默认）：允许入向/出向 IKE 流量走不同接口（允许异步）。
disable：要求入向/出向 IKE 流量走同一接口（源进源出）。

过期 License 强制升级

Thu, 05 Mar 2026 03:17:20 GMT

触发条件

在 7.4.8、7.6.4、8.0.0 及以后版本，以下情况会触发强制自动升级（FortiGate 所有型号），不受有效 License 自动升级设置的影响：

过期的 Firmware & General Updates 合同：若设备未绑定有效的 FMGR 合同（Firmware & General Updates）或该合同已过期，系统将强制升级至最新补丁版本（主次版本号保持不变，例如 7.4.X 会升级到 7.4 最新的版本，而不会升级到 7.6.X）。
固件版本支持周期终止：当设备固件达到官方 工程支持终止日期（End of Engineering Support，简称 EOES，该时间可以登录 https://support.fortinet.com/support/#/lifecycle 查询）时，系统将强制升级至最新版本（主次版本号保持不变，例如 7.4.X 会升级到 7.4 最新的版本，而不会升级到 7.6.X）。
提示

注意 EOES 时间并非 EOS（End of Support）时间，通常比 EOS 时间要早：
- EOES 指 Fortinet 不再对该版本做代码更新（除非是 critical 级别的问题）。
- EOS 指 Fortinet 不再对该版本提供技术支持。
- 关于产品生命周期的更多信息请参考系统管理 → 固件与配置管理 → 固件版本管理 → 产品生命周期章节。
相关信息

2026-03-31，Fortinet 发布公告 CSB-260330-1：FortiOS、FortiManager、FortiAnalyzer 的 7.4 与 7.6 版本支持生命周期延长 12 个月，EOES 与 EOS 日期整体顺延 1 年。

因此，7.4.x/7.6.x 分支基于 EOES 触发的强制升级时间点也会相应后移；请以 https://support.fortinet.com/support/#/lifecycle 页面显示时间为准。
如果设备已经加入了 FortiManager 管理，强制升级机制会被禁用。

避免强制升级的 Workaround

将设备加入 FortiManager 管理（推荐）。
```
config system central-management
    set type fortimanager
end

The Serial Number for FortiManager is not entered.
In order to verify identity of FortiManager serial number is needed.
If serial number is not set, connection will be set as unverified.
FortiGate can establish a connection to obtain the serial number now.Do you want to try to connect now? (y/n)n
```
提示
- 配置中不需要填写实际的 FortiManager IP 地址。只要启用了 FortiManager 管理类型，强制升级机制就会被禁用。
- 在执行上述命令后，系统可能会弹出确认信息，键入 n 以提交配置。
- 启用 fortimanager 模式并不会自动开放防火墙的入站端口。接口的访问权限是由接口下的 fgfm 选项独立控制的。
- 如果实际环境中并不使用 FortiManager，建议检查并确保所有网络接口上的 fgfm 选项已被禁用（该选项仅用于 FortiManager 主动连接 FortiGate 的模式，如果是 FortiGate 主动连接 FortiManager，也不需要开启 fgfm）。
```
FortiGate # show sys int | grep fgfm -f
config system interface
    edit "wan1"
        set vdom "root"
        set ip 192.168.100.99 255.255.255.0
        set allowaccess ping https ssh http fgfm <
```

管理员登录锁定

Mon, 02 Mar 2026 02:36:24 GMT

功能简介

默认情况下，管理员密码连续输错 3 次后，账户会被锁定 60 秒。

如果需要提高设备管理面的安全性，可以通过 CLI 调整管理员密码的重试次数与锁定时长。

配置方法

config system global
    set admin-lockout-threshold <failed_attempts>
    set admin-lockout-duration <seconds>
end

admin-lockout-threshold：管理员登录失败后触发锁定的阈值，默认值为 3，范围 1~10。
admin-lockout-duration：触发锁定后的等待时间，单位为秒，默认值为 60，范围 1~2147483647。

提示

admin-lockout-threshold 设置得越大，管理员密码被暴力猜测成功的风险也越高。
如果从第一次登录失败开始，到达到锁定阈值的那次失败为止，时间间隔小于 admin-lockout-duration，则会触发锁定。
管理员锁定配置会同时影响本地管理员（包括 API 管理员）与远程认证管理员。

例如，设置管理员密码输错 1 次即锁定，锁定时间为 5 分钟。

config system global
    set admin-lockout-threshold 1
    set admin-lockout-duration 300
end

过期 License 升级限制

Mon, 02 Mar 2026 02:36:24 GMT

功能介绍

FortiGate 的固件升级能力由 Firmware & General Updates (FMWR) 合同控制。

从 FortiOS 7.4.2 开始，系统会阻止“支持合同已过期”的设备升级到不满足许可条件的目标版本（主要版本、次要版本以及相关补丁版本）。

版本号概念说明

FortiOS 版本通常写作 x.y.z，例如 7.6.3：

x：主要版本（Major），例如 7.x 到 8.x。
y：次要版本（Minor），例如 7.4.x 到 7.6.x。
z：补丁版本（Patch），例如 7.6.1 到 7.6.2。

本文提到的“相关补丁版本”，指的是属于某个主/次版本分支的补丁版本。例如在 7.6.x 分支中，7.6.1、7.6.2、7.6.3 都是该分支的相关补丁版本。

重要

本文中的 GA 日期示例用于解释许可证校验机制，不代表 FortiOS 官方发布时间计划。

许可证校验规则

设备升级到目标版本前，会比较以下两个时间：

当前 FMWR 合同到期日期。
目标版本所属主/次版本的首个 GA .0 发布日期。

判定规则如下：

到期日期 晚于或等于目标 GA .0 发布日期：允许升级。
到期日期早于目标 GA .0 发布日期：拒绝升级。

例如，目标版本是 7.6.3，实际对比的是 7.6.0 GA 的发布日期，而不是 7.6.3 的发布日期。

升级权限示例

假设各次版本首个 GA 版本发布日期如下（示例）：

License 到期的影响

Thu, 12 Feb 2026 10:25:49 GMT

License 到期的影响当 FortiGate 的一个或多个 FortiGuard 许可证过期时，以下功能可能会受到影响。提示 FortiGuard 服务为连续服务模式，任何服务中断，在续费时都需要补齐至合同到期日的服务周期。详情参考：系统管理 → FortiGuard 管理 → 服务指南 → FortiCare 服务介绍章节。

组播转发

Wed, 04 Feb 2026 10:00:51 GMT

功能简介

在术语使用上，组播 "转发（forwarding）" 和 "路由（routing）" 这两个功能有时会让人混淆。这两个功能不应同时进行：

当 FortiGate 处于 NAT 模式并且需要在组播路由器和接收者之间转发组播数据包时，应启用组播转发。
当 FortiGate 本身作为组播路由器运行，或者具有使用组播的适用路由协议时，应启用 PIM 协议。

重要

组播转发不支持 EMAC VLAN 接口。要在 EMAC VLAN 接口上使用组播，请使用 PIM 协议。

组播转发行为

组播转发的行为在 NAT 模式和透明模式下有所区别。

NAT 模式

config system settings
    set multicast-forward {enable | disable}
end

enable（默认）：FortiGate 会将 TTL ≥ 2 的所有组播 IP 数据包转发到所有接口和 VLAN 接口（接收接口除外）。IP 报文头中的 TTL 值会减 1，必须添加组播策略以允许组播数据包通过 FortiGate。

相关信息

如需转发 TTL=1 的组播，请参考：路由 → 组播 → TTL=1 的组播无法转发章节。
disable：不会转发任何组播报文，即使配置了放通的组播策略。

透明模式

config system settings
    set multicast-skip-policy disable
end

enable：允许通过 FortiGate 传输组播流量，无需创建组播策略。
disable（默认）：需要配置组播策略才能放通对应的组播流量（但透明模式下默认存在一条 any ↔any 的全放通组播策略，所以组播在默认配置下是放通的）。

组播策略

提示

IPv4 和 IPv6 组播策略可以在 GUI 中配置。进入系统管理 > 可见功能，启用组播策略和 IPv6。

config firewall multicast-policy
    edit <policy_id>
        set name ""
        set srcintf ""
        set dstintf ""
        set srcaddr ""
        set dstaddr ""
        set action {accept | deny}
        set status {enable | disable}
        set snat {enable | disable}          # 是否启用源 NAT
        set snat-ip <IP_address>             # SNAT 转换的 IP 地址
        set dnat <IP_address>                # 目标 NAT 地址
        set comments ""
    next
end

默认配置下，无论是 NAT 模式还是透明模式，组播数据包都需要组播策略才能允许数据包从一个接口传递到另一个接口。
与防火墙策略类似，在组播策略中，需要指定源接口和目标接口，以及数据包源地址和目标地址允许的地址范围。还可以使用组播策略为组播数据包配置 SNAT 和 DNAT。

配置示例

FortiGate（NAT 模式）接受从 IP 地址为 192.168.100.77 的 PC 发送到目标地址范围 239.168.4.0-255 的组播数据包。该策略允许组播数据包进入 lan 接口，然后从 wan1 接口发出。当数据包离开 wan1 接口时，其源地址将转换为 10.10.12.2。

创建源地址对象。

config firewall address
    edit "192.168.100.77/32"
        set subnet 192.168.100.77 255.255.255.255
    next
end

创建组播目标地址对象。

config firewall multicast-address
    edit "239.168.4.0/24"
        set start-ip 239.168.4.0
        set end-ip 239.168.4.255
    next
end

配置包含 SNAT 的组播策略。

提示

SNAT 转换的源地址默认为出接口 wan1 的 IP。
如需修改 SNAT 转换的源地址，需要在 CLI 中配置。

config firewall multicast-policy
    edit 1
        set srcintf "lan"
        set dstintf "wan1"
        set srcaddr "192.168.100.77/32"
        set dstaddr "239.168.4.0/24"
        set snat enable         # 启用 SNAT
        set snat-ip 10.10.12.2  # SNAT 转换后的 IP 地址
    next
end

多 VDOM 模式

在 FortiGate 开启多 VDOM 模式时，避免创建全通（any-to-any）的全通组播策略引起组播网络环路。

默认情况下，在支持 NPU 虚拟链路的型号上，将 vdom-mode 更改为 multi-vdom 时会在同一个 root VDOM 中创建一对 npu0_vlink0 和 npu0_vlink1 接口。
由于全通组播策略和 npu0_vlink 接口实际上是虚拟连接的，因此会形成组播网络环路。

因此，在开启多 VDOM 模式时：

在将 FortiGate 切换到多 VDOM 模式之前，确保不存在全通的组播策略。
如果必须定义全通组播策略，确保没有两个相连的接口（如 npu0_vlink0 和 npu0_vlink1）属于同一个 VDOM。

组播环路配置示例

警告

如下配置可能会引起组播环路。

启用 multi-VDOM 模式。

config system global
    set vdom-mode multi-vdom
end

配置全放通的组播策略。

config firewall multicast-policy
    edit 1
        set logtraffic enable
        set srcintf "any"
        set dstintf "any"
        set srcaddr "all"
        set dstaddr "all"
    next
end

查看接口配置，两个 vlink 接口都在同一个 root VDOM 中。

show system interface
config system interface
    edit "npu0_vlink0"
        set vdom "root"    ←

IPSec 多用户组访问控制

Fri, 30 Jan 2026 09:16:11 GMT

功能简介

在 IPsec VPN 远程接入场景中，用户组用于在建立隧道前对远程用户进行身份认证。一个 IPsec VPN 隧道可以关联单个用户组或多个用户组。

用户组在 IPSec VPN 隧道中的配置位置可以存在于 2 处位置：

配置在 IPSec Phase 1（P1）中：只能使用一个用户组。
配置在防火墙策略（Policy）中：
- 同一条防火墙策略可以同时配置多个用户组。
- 不同的防火墙策略可以配置不同的用户组，为不同的用户组分配不同的访问权限。
- 类似 SSL VPN 的 Portal（门户）功能，这在将 SSL VPN 迁移到 IPSec 时非常有用。

网络拓扑

用户 user1、user2 属于用户组 group1，用户 user3 属于用户组 group2。
user1/user2/user3 分别通过 FortiClient IPSec VPN 拨号连接 FortiGate，访问 Server1/Server2。
在防火墙策略中控制：
- 用户组 group1（user1/user2）拨号后只能访问 Server1，无法访问 Server2。
- 用户组 group2（user3）拨号后只能访问 Server2，无法访问 Server1。

配置方法

基础网络配置略。

IPSec 一阶段配置用户组

只能使用一个用户组，配置方法请参考：VPN → IPSec VPN → 拨号 VPN → FortiClient 拨号章节。参考配置如下：

config vpn ipsec phase1-interface
    edit "IPSec_Dialup"
        set type dynamic
        set interface "port1"
        set ike-version 2
        set peertype any
        set net-device disable
        set mode-cfg enable
        set proposal aes128-sha256 aes256-sha256 aes128gcm-prfsha256 aes256gcm-prfsha384 chacha20poly1305-prfsha256
        set dhgrp 20 21
        set eap enable
        set eap-identity send-request
        set authusrgrp "group1"
        set transport udp
        set ipv4-start-ip 10.100.1.100
        set ipv4-end-ip 10.100.1.200
        set dns-mode auto
        set ipv4-split-include "Server"
        set save-password enable
        set psksecret xxxxxx
    next
end

config vpn ipsec phase2-interface
    edit "IPSec_Dialup"
        set phase1name "IPSec_Dialup"
        set proposal aes128-sha1 aes256-sha1 aes128-sha256 aes256-sha256 aes128gcm aes256gcm chacha20poly1305
        set dhgrp 20 21
    next
end

防火墙策略配置用户组

根据网络拓扑中的内容创建用户与用户组。

config user local
    edit "guest"
        set type password
        set xxxxxx
    next
    edit "user1"
        set type password
        set passwd xxxxxx
    next
    edit "user2"
        set type password
        set passwd xxxxxx
    next
    edit "user3"
        set type password
        set xxxxxx
    next
end

config user group
    edit "group1"
        set member "user1" "user2"
    next
    edit "group2"
        set member "user3"
    next
end

进入“VPN → VPN 向导”页面，模板选择“远程访问”，填写隧道名称，并点击“开始”按钮。
配置 VPN 隧道相关信息。
- 认证方法：根据需求选择，这里以预共享密钥为例。
- IKE：由于 FortiClient 在 7.4.4 版本开始不再支持 IKEv1，这里推荐使用 IKEv2。
- 传输：使用 UDP，如使用 UDP 协商失败，再尝试使用自动方式。
- EAP 对等体识别：使用默认的 EAP 认证。
- 用户身份验证方法：选择“从策略继承”，并选择用户组 group1 和 group2。如果选择“阶段 1 接口”，则只能选择一个用户组。
  提示
  - FortiOS 7.6 以下版本的 GUI 向导没有“从策略继承”选项，可以在 GUI 向导配置时先选择一个用户组，在向导配置结束后，修改 IPSec 隧道配置，在 XAUTH 处将用户组的模式修改为“从策略继承”。
  - 也可以在 IPSec 一阶段的 CLI 配置中取消引用用户组，即可达到“从策略继承”相同的配置效果。
    config vpn ipsec phase1-interface edit "IPSec_Dialup" unset authusrgrp "group1" next end
配置给客户端分配的 IP 地址范围。
配置本地 FortiGate 相关信息。
- 与隧道绑定的输入接口：选择用于接入 VPN 的互联网接口。
- 本地接口：面向内网服务器 Server1 和 Server2 的接口。
- 本地地址：客户端拨号成功后访问的内网资源（隧道分割），这里以 Server1 和 Server2 所在的网段为例。
检查配置无误后，提交配置（可以修改自动生成的隧道分割地址/地址组、防火墙策略名称）。

向导自动生成的隧道分割地址组与 IPSec 一阶段/二阶段配置 CLI 命令。

config firewall addrgrp
    edit "IPSec_Dialup_split"
        set member "Server1_10.10.1.0/24" "Server2_10.10.2.0/24"
        set comment "VPN: IPSec_Dialup -- Created by VPN wizard"
        set uuid be3f392e-fdaf-51f0-431c-681b8197a201
    next
end

config vpn ipsec phase1-interface
    edit "IPSec_Dialup"
        set type dynamic
        set interface "port1"
        set ike-version 2
        set peertype any
        set net-device disable
        set mode-cfg enable
        set proposal aes128-sha256 aes256-sha256 aes128gcm-prfsha256 aes256gcm-prfsha384 chacha20poly1305-prfsha256
        set comments "VPN: IPSec_Dialup -- Created by VPN wizard"
        set dhgrp 20 21
        set eap enable
        set eap-identity send-request
        set wizard-type dialup-forticlient
        set transport udp
        set ipv4-start-ip 10.100.1.100
        set ipv4-end-ip 10.100.1.200
        set dns-mode auto
        set ipv4-split-include "Server"
        set save-password enable
        set psksecret ENC aZFKK834W6UFV39Tkp9enmmHi5ke2PbXeCsnrExTfzHtYHqaUgcirBnxASvBdeCVQjph+8WW2MJXd59ZWSr2OcfpbNK5k3AGqNBzbXvSY/Is4Yo5nUKmhBEH9oPkuUlhyp4+ibXcYd4Eq1Di0aIfloxfPCFCn5MNPQDOQ0YH6BTu+gCTcU8kIaiysXW7gytAEa0HLllmMjY3dkVA
    next
end

config vpn ipsec phase2-interface
    edit "IPSec_Dialup"
        set phase1name "IPSec_Dialup"
        set proposal aes128-sha1 aes256-sha1 aes128-sha256 aes256-sha256 aes128gcm aes256gcm chacha20poly1305
        set dhgrp 20 21
        set comments "VPN: IPSec_Dialup -- Created by VPN wizard"
    next
end

查看自动生成的防火墙策略，只有 1 条。

config firewall policy
    edit 1
        set name "vpn_IPSec_Dialup_local_allow"
        set uuid be44468a-fdaf-51f0-0db3-180ea9115c6d
        set srcintf "IPSec_Dialup"
        set dstintf "port2"
        set action accept
        set srcaddr "IPSec_Dialup_range"
        set dstaddr "Server1_10.10.1.0/24" "Server2_10.10.2.0/24"
        set schedule "always"
        set service "ALL"
        set nat enable
        set groups "group1" "group2"
        set comments "VPN: IPSec_Dialup -- Created by VPN wizard"
    next
end

为了实现网络拓扑中的需求，需要将其拆分成 2 条策略。

提示

VPN 向导自动创建的防火墙策略开启了 NAT，在此拓扑下防火墙策略不需要 NAT（Server 配置的网关均为 FortiGate），所以这里关闭了 2 条防火墙策略的 NAT。
为了后续验证结果，开启了防火墙策略的日志记录功能，与隐含策略的日志记录功能。

重要

不要在 IPSec 一阶段（config vpn ipsec phase1-interface）和防火墙策略（config firewall policy）中同时配置用户组，可能会产生匹配逻辑问题。

用户组 group1（user1/user2）拨号后只能访问 Server1，无法访问 Server2。
用户组 group2（user3）拨号后只能访问 Server2，无法访问 Server1。

config firewall policy
    edit 1
        set name "IPSec_Dialup_Server1"
        set srcintf "IPSec_Dialup"
        set dstintf "port2"
        set action accept
        set srcaddr "IPSec_Dialup_range"
        set dstaddr "Server1_10.10.1.0/24"
        set schedule "always"
        set service "ALL"
        set logtraffic all
        set groups "group1" "group2"
    next
    edit 2
        set name "IPSec_Dialup_Server2"
        set srcintf "IPSec_Dialup"
        set dstintf "port3"
        set action accept
        set srcaddr "IPSec_Dialup_range"
        set dstaddr "Server2_10.10.2.0/24"
        set schedule "always"
        set service "ALL"
        set logtraffic all
        set groups "group2"
    next
end

config log setting
    set fwpolicy-implicit-log enable
end

结果验证

用户组 group1（user1/user2）拨号后只能访问 Server1，无法访问 Server2

user1 在 FortiClient 客户端（这里以 FortiClient 7.4.5 为例）创建新的 VPN 连接。

配置 IPSec VPN 服务器 IP、预共享密钥、用户名等信息。
配置 IKE 版本为 IKEv2，封装模式选择 IKE UDP Port，保存配置。
在已创建的 IPSec VPN 连接处点击“Connect”按钮。
填写账号与密码信息后，连接成功，客户端获取到 IP 地址。

在 FortiGate 查看 IPSec VPN 连接状态，可以看到用户、分配 IP 等信息。

FortiGate # diagnose vpn ike gateway list

vd: root/0
name: IPSec_Dialup_0
version: 2
interface: port1 3
addr: 192.168.100.2:4500 -> 192.168.100.177:60054
tun_id: 10.100.1.100/::10.0.0.3
remote_location: 0.0.0.0
network-id: 0
transport: UDP
created: 226s ago
eap-user: user1
2FA: no
groups:
  group1 2
peer-id: Summerices-MacBook-Pro.local
peer-id-auth: no
FortiClient UID: 20835405F599455B9842348F3C690201
assigned IPv4 address: 10.100.1.100/255.255.255.255
nat: me peer
pending-queue: 0
PPK: no
IKE SA: created 1/1  established 1/1  time 90/90/90 ms
IPsec SA: created 1/1  established 1/1  time 0/0/0 ms

  id/spi: 1 6407f45520af6972/d9cb1bf711638b46
  direction: responder
  status: established 226-226s ago = 90ms
  proposal: aes128-sha256
  child: no
  SK_ei: 9efb8e596a94ba16-e8413fbb04e8b1e4
  SK_er: 18498c9de912c217-262cf929e0f6fb69
  SK_ai: 07232eb37b90dc57-dc1fff11d04b9aa9-a4243c35bd248fe6-a5184bfd5cface85
  SK_ar: 576c723eb43b4c88-bdedd73cafa477e2-da3e2da3074321e9-3c603271b327927e
  PPK: no
  message-id sent/recv: 0/17
  QKD: no
  PQC-KEM (IKE): no
  PQC-KEM (all IPsec): no
  lifetime/rekey: 86400/85903
  DPD sent/recv: 00000000/00000000
  peer-id: Summerices-MacBook-Pro.local

在 user1 的 PC 查看路由表，可以看到 FortiGate 给 user1 的 PC 推送了 Server1 和 Server2 两个网段的路由。

提示

这里以 macOS 为例，Windows 请在 CMD 下使用 route print -4 命令查看。

user1 # netstat -nr -f inet
Routing tables

Internet:
Destination        Gateway            Flags               Netif Expire
......
10.10.1/24         10.100.1.100       UGSc                utun8
10.10.2/24         10.100.1.100       UGSc                utun8
......

user1 的 IPSec 拨号成功后，访问 Server1，可以正常访问，相关流量日志显示匹配防火墙策略 ID 1。

user1 # ping 10.10.1.100 -c 3
PING 10.10.1.100 (10.10.1.100): 56 data bytes
64 bytes from 10.10.1.100: icmp_seq=0 ttl=127 time=4.712 ms
64 bytes from 10.10.1.100: icmp_seq=1 ttl=127 time=4.943 ms
64 bytes from 10.10.1.100: icmp_seq=2 ttl=127 time=3.157 ms

FortiGuard 更新服务器位置

Thu, 29 Jan 2026 09:31:54 GMT

功能简介

FortiGate 可以指定 FortiGuard 更新服务器的地理位置，用于控制 FortiGate 在进行以下云服务通信时所连接的服务器区域，该配置常用于优化访问延迟与稳定性或满足合规要求（如数据或流量需限定在特定区域）：

安全特征库更新（AV/IPS/应用控制等）。
Web Filter/DNS Filter/Email Filter 等分类与评级服务查询。
IoT 识别与相关云服务。

可选服务器位置

FortiGate 当前支持 3 种更新服务器位置策略。

最低延迟配置（automatic）

推荐配置，FortiGate 根据网络条件自动选择时延最低的 FortiGuard 服务器（可能位于不同区域）。

适用场景：
- 硬件 FortiGate 的默认配置。
- 追求最优性能与更新/查询速度。
Anycast 域名：
- globalupdate.fortinet.net
- globalguardservice.fortinet.net
非 Anycast 域名：
- update.fortiguard.net
- UDP：service.fortiguard.net
- HTTPS：securewf.fortiguard.net

仅欧洲（eu）

FortiGate 仅使用位于欧盟区域的 FortiGuard 服务器。

适用场景：
- 欧盟数据合规（如 GDPR）。
- 明确要求 FortiGuard 相关流量不得出 EU。
Anycast 域名：
- euupdate.fortinet.net
- euguardservice.fortinet.net

仅美国（us）

FortiGate 仅使用位于美国的 FortiGuard 服务器。

适用场景：
- 私有云/VM FortiGate 的默认配置。
- 网络出口明确位于美国。
Anycast 域名：
- usupdate.fortinet.net
- usguardservice.fortinet.net
非 Anycast 域名：
- usupdate.fortiguard.net
- UDP：usservice.fortiguard.net
- HTTPS：ussecurewf.fortiguard.net

默认行为

| 设备类型 | 默认更新服务器位置 | |

保护 SSL 服务器

Mon, 26 Jan 2026 08:53:53 GMT

功能简介

保护 SSL 服务器（Protecting SSL Server）是 SSL/SSH 检测配置文件中的一种工作模式，主要用于入站（Inbound）HTTPS 流量的解密与安全检测。

该功能通常应用在互联网客户端访问位于 FortiGate 后端的真实服务器的场景中（反向代理），通常在映射真实服务器的 VIP 策略中调用，例如：

公网用户访问内网 Web Server。
反向代理/发布服务器场景。
对外提供 HTTPS 服务的业务系统。

工作模式

在启用“保护 SSL 服务器”模式后，FortiGate 的工作方式如下：

FortiGate 使用真实服务器的 SSL 证书。
FortiGate 模拟真实服务器，与客户端建立 SSL 会话：
- FortiGate 并不使用自签名 CA 证书，而是直接向客户端发送真实服务器的证书。
- 如果使用的真实服务器证书是公网权威 CA 颁发的证书（或客户端手动信任了该证书），客户端不会出现证书不信任提示。
- 真实服务器可以是 HTTP（实现 SSL 卸载），也可以是 HTTPS。
FortiGate 解密 HTTPS 流量。
对解密后的流量执行安全检测（如 IPS、AV 等）。
再将流量转发给真实服务器（反向代理）。

适用场景

“保护 SSL 服务器”模式适用于以下场景：

需要对入站 HTTPS 流量进行深度安全检测（如 IPS、AV 等）。
服务器证书（需要携带私钥，如 PFX/PKCS#12 格式）可以导出并部署在 FortiGate 上。
希望客户端看到的证书与服务器真实证书一致。
业务允许 FortiGate 作为 SSL 解密终端。

不适用场景：

服务器证书无法导出。
不允许中间设备接触服务器私钥。
仅需基础证书检查、不希望解密流量。

网络拓扑

FortiGate 通过 VIP 策略发布 HTTPS 网站 https://support.fortinet.com.cn。
HTTPS 网站的 SSL 证书安装在 FortiGate 上，并对访问 VIP 的 HTTPS 流量做 IPS 检查。
客户端的 DNS 服务器将 support.fortinet.com.cn 解析到 FortiGate 的 VIP 地址。
客户端通过 Internet 访问 support.fortinet.com.cn，看到的网站 SSL 证书为 FortiGate 提供。

配置方法

前置条件

已获取服务器的 SSL 证书文件，通常包含：
- 证书（Certificate）。
- 私钥（Private Key），PFX/PKCS#12 格式的公钥和私钥在一个文件中。
- 可能还包含中间证书链。
FortiGate 具备导入本地证书的权限。
该证书 SAN 与服务器域名匹配。

配置步骤

导入服务器的 SSL 证书（含私钥，如 PFX/PKCS#12 格式，步骤参考：系统管理 → 系统设置 → 证书管理章节）。
重要
- 网站证书的 SAN（Subject Alternative Name）字段需要是网站真实的 FQDN（也可以是通配符方式）。否则访问时会产生证书告警。如下所示，网站 support.fortinet.com.cn 所使用的网站 SSL 证书的 SAN 为 *.fortinet.com.cn（通配符方式）。
- 网站的 SSL 证书需要是公网权威 CA 颁发的证书（或客户端手动信任了该证书），否则客户端访问时会出现证书不信任提示。

创建或编辑 SSL/SSH 检测配置文件，在“启用 SSL 检测”处选择“保护 SSL 服务器”，在“服务器证书”处选择上步导入的服务器证书，保存配置。

config firewall ssl-ssh-profile
    edit "test-protecting-ssl-server"
        config https
            set ports 443
            set status deep-inspection
            set quic inspect
        end
        config ftps
            set status disable
        end
        config imaps
            set status disable
        end
        config pop3s
            set status disable
        end
        config smtps
            set status disable
        end
        config ssh
            set ports 22
            set status disable
        end
        config dot
            set status disable
            set quic inspect
        end
        set server-cert-mode replace
        set server-cert "fortinet.com.cn"
    next
end

在 Web 服务器的 VIP 映射策略中应用上步创建的 SSL/SSH 检测配置文件，

config firewall vip
    edit "Web_Server_VIP"
        set extip 10.10.12.100
        set mappedip 192.168.100.77
        set extintf wan1
        set portforward enable
        set extport 443
        set mappedport 443
    next
end

config firewall policy
    edit 7
        set name "Web_Server_SSL_Protect"
        set srcintf "wan1"
        set dstintf "lan"
        set action accept
        set srcaddr "all"
        set dstaddr "Web_Server_VIP"
        set schedule "always"
        set service "ALL"
        set utm-status enable
        set ssl-ssh-profile "test-protecting-ssl-server"
        set ips-sensor "default"
    next
end

客户端通过 FortiGate 的 VIP 访问 https://support.fortinet.com.cn，网站 SSL 证书由 FortiGate 提供，未出现证书告警。

相关流量日志在“本地流量”分类中显示，源 IP 为 FortiGate 的 wan1 接口 IP。

提示

上步中引用 VIP 的防火墙策略 ID 为 7，从配置上看客户端是通过防火墙策略 + VIP 的方式访问 support.fortinet.com.cn，直觉上相关日志应该在“转发流量”分类中显示。
但实际上相关流量日志在“本地流量”分类中显示，这说明 FortiGate 是使用反向代理的方式访问真实服务器。

date=2026-01-26 time=16:31:42 eventtime=1769416301197951804 tz="+0800" logid="0001000014" type="traffic" subtype="local" level="notice" vd="root" srcip=192.168.100.99 srcport=23235 srcintf="root" srcintfrole="undefined" dstip=192.168.100.77 dstport=443 dstintf="lan" dstintfrole="lan" srccountry="China" dstcountry="China" sessionid=3629352 proto=6 action="close" policyid=0 service="HTTPS" trandisp="noop" app="HTTPS" duration=5 sentbyte=3076 rcvdbyte=19676 sentpkt=28 rcvdpkt=24

常见问题

客户端是否需要安装 CA 证书。

在“保护 SSL 服务器”模式下，SSL/SSH 检测配置文使用的是服务器真实证书，不是自签名 CA 证书。如果使用的真实服务器证书是公网权威 CA 颁发的证书（或客户端手动信任了该证书所属的 CA 证书），客户端不会出现证书不信任提示。
会不会影响服务器端 SSL 配置？

FortiGate 只是作为中间解密设备，不会修改服务器自身的 SSL 配置。
私钥安全风险？

是的，这是需要重点评估的风险点：
- 服务器私钥需要存放在 FortiGate 上。
- 建议限制 FortiGate 管理权限、定期更换证书、明确安全合规要求后再启用。
与其他 SSL 检测模式有什么区别？

| 模式 | 是否解密 | 使用证书 | 典型场景 | |

deep-inspection

Wed, 21 Jan 2026 08:55:35 GMT

注意

基于以下限制，大部分常见场景下更推荐使用 certificate-inspection 模式，而不是 deep-inspection：

对性能消耗更大，并可能影响某些对证书绑定/校验严格的应用（需通过白名单/例外策略保障兼容性）。
需要每个终端信任 CA 证书，否则可能出现证书告警或连接失败。
要求“中间人解密”与重签名的证书必须是 CA 证书或 Sub CA 证书，不能使用用户证书。

功能简介

深度检测（deep-inspection）是 FortiGate 在 SSL/TLS 加密流量场景下提供的一种安全检测机制。通过对加密流量进行解密、检测和重新加密，FortiGate 能够识别并阻断隐藏在加密通道中的恶意行为，从而避免攻击绕过传统的安全防护措施。

深度检测支持 HTTPS 以及多种基于 SSL/TLS 的常见协议，例如 SMTPS、POP3S、IMAPS 和 FTPS。

能力与限制：

可对加密流量应用 AV/IPS/Web Filter/DLP 等内容级检测，安全能力最强。
对性能消耗更大，并可能影响某些对证书绑定/校验严格的应用（需通过白名单/例外策略保障兼容性）。
需要每个终端信任 CA 证书，否则可能出现证书告警或连接失败。
要求“中间人解密”与重签名的证书必须是 CA 证书或 Sub CA 证书，不能使用用户证书。

工作模式

虽然 HTTPS 等加密协议为互联网通信提供了隐私保护，但攻击者同样可以利用加密流量隐藏恶意内容，例如：

在加密的电子商务会话中下载携带病毒的文件。
钓鱼邮件中的“看似正常”附件，在本地执行后建立到 C & C（Command and Control）服务器的加密连接。
通过加密通道下载或回传恶意程序数据。

由于上述通信过程均处于加密状态，如果不进行解密检测，相关攻击可能绕过网络安全设备的防护。

启用深度检测后，FortiGate 会执行以下操作：

模拟目标服务器，与客户端建立 SSL/TLS 会话。
解密并检查流量内容，识别威胁并执行放通/阻断。
重新加密流量，再转发至真实的目标服务器。

证书告警提示

在重新加密流量时，FortiGate 会使用本地存储的 CA 证书进行签名，例如：Fortinet_CA_SSL、Fortinet_CA_Untrusted、管理员自行上传的 CA 证书。

在应用 deep-inspection 的防火墙策略中，由于客户端浏览器默认不信任这些内置/自定义 CA 证书，客户端在访问时会收到“证书不受信任”的安全警告（不代表配置错误，点击“继续前往”仍可以显示目标网站）。

消除证书告警

为避免客户端出现访问网站时的 HTTPS 证书警告，需要在终端设备上安装 deep-inspection 配置文件使用的 CA 证书并信任。获取 CA 证书步骤如下：

进入安全配置文件 → SSL/SSH 检测。
编辑当前防火墙策略所使用的 SSL/SSH 检测配置文件，如上所示为系统预置的 deep-inspection 配置文件。
在 CA 证书右侧点击“下载”按钮。
提示
- 内置的 certificate-inspection 配置文件默认使用的 CA 为 Fortinet_CA_SSL，无法修改。
- 可在设备证书库中导入自定义 CA 证书（参考：系统管理 → 系统设置 → 证书管理章节，必须导入带私钥的 CA 证书或 SubCA 证书，不能使用用户证书），并克隆或新建 SSL/SSH 检测配置文件调用自定义 CA 证书。
- 导入的自定义 CA 证书位于“本地证书”分类中。
将下载的 CA 证书加入客户端系统或者浏览器的信任列表。
重要
- Chrome/Edge 依赖系统的证书信任列表。
- 而 Firefox 有自己的信任列表，需要在浏览器设置中添加，或在浏览器的证书设置中开启“允许 Firefox 自动信任您安装的第三方证书”，开启后 Firefox 也会信任系统的证书信任列表。
客户端再次访问该网站时，会直接显示出目标网页，页面显示连接安全，不会弹出证书告警页面。

提示

同时诸如 Web Filter 阻断页面的 FortiGate 替换页面的证书告警也会消失，参考：UTM → SSL/SSH 检查 → certificate-inspection 章节。

自定义 deep-inspection 配置文件

默认的 deep-inspection 配置文件为只读，无法修改任何配置（使用出厂自带的 Fortinet_CA_SSL 作为 CA 证书等），当有如下配置需求（包含但不限），必须新建或克隆一个证书检查配置文件：

需要使用自定义的 CA 证书。
其他自定义参数，如针对无效 SSL 证书配置处理方式，例如允许、阻断、根据不同证书错误类型设置不同动作等，请参考：UTM → SSL/SSH 检查 → SSL/SSH 检测配置文件章节。

进入安全配置文件 → SSL/SSH 检测，新建或克隆 deep-inspection 配置文件。
在“SSL 检测选项”中配置自定义的 CA 证书，保存配置。
提示
- 可在设备证书库中导入自定义 CA 证书（参考：系统管理 → 系统设置 → 证书管理章节，必须导入带私钥的 CA 证书或 SubCA 证书，不能使用用户证书），并克隆或新建 SSL/SSH 检测配置文件调用自定义 CA 证书。
- 导入的自定义 CA 证书位于“本地证书”分类中。

对应的 SSL/SSH 检查配置文件 CLI 命令如下。

config firewall ssl-ssh-profile
    edit "test-deep-inspection"
        config https
            set ports 443
            set status deep-inspection
            set quic inspect
        end
        config ftps
            set ports 990
            set status deep-inspection
        end
        config imaps
            set ports 993
            set status deep-inspection
        end
        config pop3s
            set ports 995
            set status deep-inspection
        end
        config smtps
            set ports 465
            set status deep-inspection
        end
        config ssh
            set ports 22
            set status disable
        end
        config dot
            set status disable
            set quic inspect
        end
        set caname "testca_bing"
    next
end

在防火墙策略中调用该 SSL/SSH 检测配置文件。

提示

使用 deep-inspection 类型的配置文件时，必须在防火墙策略中至少调用一个 UTM 配置文件，否则深度检测功能不会生效。

config firewall policy
    edit 1
        set name "to_Internet1"
        set srcintf "lan"
        set dstintf "wan1"
        set action accept
        set srcaddr "all"
        set dstaddr "all"
        set schedule "always"
        set service "ALL"
        set utm-status enable
        set ssl-ssh-profile "test-deep-inspection"
        set webfilter-profile "default"
        set nat enable
    next
end

随后客户端访问 HTTPS 443 或 8443 端口的网站时，FortiGate 的阻断页面证书会被替换成自定义 CA 证书。

其他选项

免除 SSL 检查

提示

此功能仅支持 deep-inspection 模式。

在某些场景下，可能因隐私或合规要求需要跳过深度检测。

在“免除 SSL 检查”中配置需要跳过深度检测的内容，可免除以下类型的目标地址（按需开启“记录 SSL 免除日志”，相关的日志可以在“日志 & 报表 → 安全事件 → 日志”下的 SSL 分类中查看）：

Web Filter 分类。
提示
- 默认配置下，在执行“免除 SSL 检查”功能时，网站域名与其 IP 地址会同时被 FortiGuard 评级，且返回的分类结果不一致时，FortiGate 会优先采用 IP 地址的分类结果。
- 可以通过如下 CLI 关闭 IP 地址评级，在执行“免除 SSL 检查”功能时，FortiGate 不会再使用 IP 分类结果，仅基于域名的 FortiGuard 分类进行判断。
- 该命令只针对“免除 SSL 检查”功能生效。
```
config firewall ssl-ssh-profile
    edit <profile-name>
        set ssl-exemption-ip-rating disable
    next
end
```
IP/IP 范围/IP 子网/地址位置/FQDN/通配符 FQDN。
启用“信誉良好的网站”，可跳过 FortiGuard 认定的常见可信网站。

config firewall ssl-ssh-profile
    edit "test-deep-inspection"
        config ssl-exempt
            edit 1
                set type address
                set address "10.10.1.1-10.10.1.100"
            next
            edit 2
                set type address
                set address "192.168.100.0/24"
            next
            edit 3
                set type address
                set address "China"
            next
            edit 4
                set type address
                set address "support.fortinet.com.cn"
            next
            edit 5
                set type wildcard-fqdn
                set wildcard-fqdn "*.fortilab.com"
            next
            edit 6
                set fortiguard-category 33
            next
            edit 7
                set fortiguard-category 31
            next
        end
        set ssl-exemption-log enable
    next
end

SSL/TLS 版本检测

提示

此功能仅支持 deep-inspection 模式。

FortiGate 提供两种方式限制深度检测适用的 SSL/TLS 版本。

全局配置：启用后，系统默认将最低允许的 SSL/TLS 版本设置为 TLS 1.1（默认开启）。
```
config system global
    set strong-crypto enable
end
```
深度检测配置文件配置：当客户端或服务器尝试使用低于最低允许版本的 SSL/TLS 时阻断会话（默认为 tls-1.0）。

提示

当检测模式为 certificate-inspection 时，无法设置 min-allowed-ssl-version，因为此模式下 FortiGate 不会代理与服务器协商具体的 SSL/TLS 版本。
```
config firewall ssl-ssh-profile
    edit <name>
        config {ssl | https | ftps}
            set min-allowed-ssl-version {ssl-3.0 | tls-1.0 | tls-1.1 | tls-1.2 | tls-1.3}
        end
    next
end
```

不支持 SSL 版本的处理策略

当客户端或服务器尝试使用 FortiGate 无法识别的 SSL/TLS 版本协商时的动作，默认为 block。

config firewall ssl-ssh-profile
    edit <name>
        config {ssl | https | ftps | imaps | pop3s | smtps | dot}
            set unsupported-ssl-version {allow | block}
        end
    next
end

检测所有端口

为优化系统资源，FortiGate 支持针对特定协议启用或禁用协议端口映射。每种协议都有默认的 TCP 端口，管理员可以根据实际需要修改端口配置，以便对非标准端口上的加密流量进行检测。FortiGate 会根据数据包头部信息识别协议类型。支持的协议包括：

HTTPS
SMTPS
POP3S
IMAPS
FTPS
DNS over TLS（DoT）

“检测所有端口”的实际效果，取决于防火墙检测模式（flow/proxy）和 SSL 检查深度（certificate-inspection/deep-inspection）的配置。

相关信息

防火墙策略的检测模式介绍可参考：故障排查 → 数据包处理流程 → 安全检测模式章节。
在 Flow-based + deep-inspection 检测模式下，FortiGate 会对所有端口进行检测，而不受端口映射配置影响。

certificate-inspection

Tue, 20 Jan 2026 09:45:23 GMT

注意

当希望兼顾安全与兼容性/性能，且主要关注证书异常与基础风险控制时。大部分情况下推荐此配置（防火墙策略中的默认配置），而不是 deep-inspection。

功能简介

FortiGate 支持 SSL/TLS 证书检查（certificate-inspection）。与 deep-inspection 相比，certificate-inspection 模式仅检查至 SSL/TLS 证书层级的报文头信息，不会解密或检查加密后的实际内容。

该模式主要适用于以下场景：

不希望对 HTTPS 流量进行深度解密（出于隐私或合规考虑）。
仍需要基于证书信息对网站访问进行控制。
结合 Web Filter、认证、告警等安全策略使用。
若需要内容级安全检测，应使用深度检查模式（参考：UTM → SSL/SSH 检查 → certificate-inspection 章节）。

FortiGate 默认提供预置的 certificate-inspection 配置文件，可直接使用（但无法修改配置），也可以克隆或新建 SSL/SSH 配置文件。

工作模式

在应用 certificate-inspection 的防火墙策略中：

config firewall policy
    edit 1
        set name "to_Internet1"
        set srcintf "lan"
        set dstintf "wan1"
        set action accept
        set srcaddr "all"
        set dstaddr "all"
        set schedule "always"
        set service "ALL"
        set utm-status enable
        set ssl-ssh-profile "certificate-inspection"
        set webfilter-profile "default"
        set nat enable
    next
end

FortiGate 会解析 HTTPS 连接的 SSL/TLS 证书信息。
根据证书信息触发 Web Filter、认证或阻断动作。
不解密 HTTPS 会话内容。
当访问被拦截或触发替换页面时，返回的 HTTPS 页面由 FortiGate 生成，并使用 FortiGate CA 证书进行签名。

替换页面与证书提示

在以下情况下，用户访问 HTTPS 网站时可能会看到替换页面：

网站被 Web Filter 分类阻断。
Web Filter 分类触发告警页面。
访问需要用户认证的页面。
其他策略触发的 HTTPS 拦截行为。

替换页面默认使用 FortiGate CA 证书签名（也可以替换成导入的自定义 CA 证书），因此：

若客户端未信任该 CA，会提示证书不受信任（仅针对 FortiGate 替换页面，不会影响真实业务访问的目标网站）。
属于正常现象，不代表配置错误。

客户端证书信任配置

为避免客户端出现 HTTPS 证书警告，需要在终端设备上安装 FortiGate 使用的 CA 证书并信任。获取 CA 证书步骤如下：

进入安全配置文件 → SSL/SSH 检测。
编辑当前防火墙策略所使用的 SSL/SSH 检测配置文件，如上所示为系统预置的 certificate-inspection 配置文件。
在 CA 证书右侧点击“下载”按钮。
提示
- 内置的 certificate-inspection 配置文件默认使用的 CA 为 Fortinet_CA_SSL，无法修改。
- 可在设备证书库中导入自定义 CA 证书（参考：系统管理 → 系统设置 → 证书管理章节，必须导入带私钥的 CA 证书或 SubCA 证书，不能使用用户证书），并克隆或新建 SSL/SSH 检测配置文件调用自定义 CA 证书。
- 导入的自定义 CA 证书位于“本地证书”分类中。
将下载的 CA 证书加入客户端系统或者浏览器的信任列表。
重要
- Chrome/Edge 依赖系统的证书信任列表。
- 而 Firefox 有自己的信任列表，需要在浏览器设置中添加，或在浏览器的证书设置中开启“允许 Firefox 自动信任您安装的第三方证书”，开启后 Firefox 也会信任系统的证书信任列表。
客户端再次访问该网站时，会直接显示出 FortiGate 的阻断页面（或登录页面），不会弹出证书告警页面。

自定义 certificate-inspection 配置文件

默认的 certificate-inspection 配置文件为只读，无法修改任何配置（仅监听 TCP 443 端口，使用出厂自带的 Fortinet_CA_SSL 作为 CA 证书等），当有如下配置需求（包含但不限），必须新建或克隆一个证书检查配置文件。

需要检查非标准 HTTPS 端口（例如 8443）。
需要使用自定义的 CA 证书。
需要自定义网站证书无效时的动作。
其他自定义参数，如针对无效 SSL 证书配置处理方式，例如允许、阻断、根据不同证书错误类型设置不同动作等，请参考：UTM → SSL/SSH 检查 → SSL/SSH 检测配置文件章节。

进入安全配置文件 → SSL/SSH 检测，新建或克隆 certificate-inspection 配置文件。

在“协议端口映射”中配置 HTTPS 端口，如 443、8443，在“SSL 检测选项”中配置自定义的 CA 证书，根据需要配置其他选项。

提示

内置的 certificate-inspection 配置文件默认使用的 CA 为 Fortinet_CA_SSL，无法修改。
可在设备证书库中导入自定义 CA 证书（参考：系统管理 → 系统设置 → 证书管理章节，必须导入带私钥的 CA 证书或 SubCA 证书，不能使用用户证书），并克隆或新建 SSL/SSH 检测配置文件调用自定义 CA 证书。
导入的自定义 CA 证书位于“本地证书”分类中。

config firewall ssl-ssh-profile
    edit "test-certificate-inspection"
        config https
            set ports 443 8443
            set status certificate-inspection
            set quic bypass
            set encrypted-client-hello allow
        end
        config ftps
            set status disable
        end
        config imaps
            set status disable
        end
        config pop3s
            set status disable
        end
        config smtps
            set status disable
        end
        config ssh
            set ports 22
            set status disable
        end
        config dot
            set status disable
            set quic inspect
        end
        set caname "testca_bing"
    next
end

保存配置，并在防火墙策略中调用该 SSL/SSH 检测配置文件。

config firewall policy
    edit 1
        set name "to_Internet1"
        set srcintf "lan"
        set dstintf "wan1"
        set action accept
        set srcaddr "all"
        set dstaddr "all"
        set schedule "always"
        set service "ALL"
        set utm-status enable
        set ssl-ssh-profile "test-certificate-inspection"
        set webfilter-profile "default"
        set nat enable
    next
end

随后客户端访问 HTTPS 443 或 8443 端口的网站时，FortiGate 的阻断页面证书会被替换成自定义 CA 证书。

其他选项

不支持 SSL 版本的处理策略

当客户端或服务器尝试使用 FortiGate 无法识别的 SSL/TLS 版本协商时的动作，默认为 block。

config firewall ssl-ssh-profile
    edit <name>
        config {ssl | https | ftps | imaps | pop3s | smtps | dot}
            set unsupported-ssl-version {allow | block}
        end
    next
end

检测所有端口

HTTPS
SMTPS
POP3S
IMAPS
FTPS
DNS over TLS（DoT）

“检测所有端口”的实际效果，取决于防火墙检测模式（flow/proxy）和 SSL 检查深度（certificate-inspection/deep-inspection）的配置。

相关信息

防火墙策略的检测模式介绍可参考：故障排查 → 数据包处理流程 → 安全检测模式章节。
在 Flow-based + deep-inspection 检测模式下，FortiGate 会对所有端口进行检测，而不受端口映射配置影响。

HA 虚拟 MAC

Fri, 16 Jan 2026 10:01:55 GMT

功能简介

在 FortiGate HA（FGCP）集群中，主设备（primary）的接口会使用虚拟 MAC（VMAC）。这样在故障切换（failover）后，新的主设备可以继承与旧的主设备相同的 VMAC 与 IP，使上下联交换机等网络设备仍把它识别为“同一台设备”，从而更快恢复转发与通信。

接口的两类 MAC

Current_HWaddr：接口当前在网络中可见的 MAC 地址，在 standalone（单机）模式下可通过 CLI 修改。
Permanent_HWaddr：网卡出厂写入的物理 MAC，不可更改。
默认配置（standalone 模式）下二者相同，开启 HA FGCP 后，主设备接口对外可见的 MAC（Current_HWaddr）会改为 HA VMAC（与 VDOM/接口/HA group ID 等因素相关）。

VMAC 工作模式

NAT 模式：
- 主设备每个接口通常获得不同的 VMAC。
- VLAN 子接口继承其所在物理口的 VMAC（EMAC VLAN 是个例外）。
- 冗余/聚合（802.3ad）接口继承列表中第一个成员接口的 VMAC。
Transparent 模式：
- FGCP 将 VMAC 分配给主设备的管理 IP。
- 由于管理 IP 可从任意接口访问，表现为“所有接口看起来像同一个 VMAC”。
HA 独立管理口：会保留原始 MAC，不会变成 VMAC。
备设备（Secondary）：接口 MAC 不会变为 VMAC，仍然使用原始 MAC。

查看接口 MAC/VMAC

Standalone 模式：同时显示 Current_HWaddr 与 Permanent_HWaddr，未手动修改接口 MAC 的情况下，二者通常相同（物理 MAC）。

FortiGate # diagnose hardware deviceinfo nic wan1 | grep HWaddr
Current_HWaddr       e0:23:ff:67:e3:9c
Permanent_HWaddr     e0:23:ff:67:e3:9c

FortiGate # fnsysctl ifconfig wan1
wan1    Link encap:Ethernet  HWaddr e0:23:ff:67:e3:9c
        inet addr:10.10.12.2  Bcast:10.10.12.255  Mask:255.255.255.0
        inet addr6: 2100::2 prefixlen 64
        link-local6: fe80::e223:ffff:fe67:e39c prefixlen 64
        UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
        RX packets:179819739 errors:0 dropped:0 overruns:0 frame:0
        TX packets:124048087 errors:0 dropped:0 overruns:0 carrier:0
        collisions:0 txqueuelen:1000
        RX bytes:203328470553 (189.4 GB)  TX bytes:60298053563 (56.2 GB)

HA 模式：

主设备：Current_HWaddr 变为 HA VMAC，而 Permanent_HWaddr 仍是物理 MAC，ifconfig 命令看到的 HWaddr 为 HA VMAC。

FortiGate # diagnose hardware deviceinfo nic wan1 | grep HWaddr
Current_HWaddr       00:09:0f:09:07:00
Permanent_HWaddr     94:f3:92:53:ae:7a

FortiGate # fnsysctl ifconfig wan1
wan1    Link encap:Ethernet  HWaddr 00:09:0F:09:00:00
        inet addr:172.22.6.65  Bcast:172.22.7.255  Mask:255.255.254.0
        UP BROADCAST RUNNING PROMISC MULTICAST  MTU:1500  Metric:1
        RX packets:336270575 errors:0 dropped:0 overruns:0 frame:0
        TX packets:213599289 errors:0 dropped:0 overruns:0 carrier:0
        collisions:0 txqueuelen:1000
        RX bytes:316749603468 (294.10 GB)  TX bytes:110547160311 (102.10 GB)

备设备：Current_HWaddr 与 Permanent_HWaddr 相同，为真实物理 MAC，ifconfig 命令看到的 HWaddr 为真实物理 MAC。

FortiGate #  diagnose hardware deviceinfo nic wan1 | grep HWaddr
Current_HWaddr       ac:71:2e:fd:21:be
Permanent_HWaddr     ac:71:2e:fd:21:be

FortiGate # fnsysctl ifconfig wan1
wan1    Link encap:Ethernet  HWaddr AC:71:2E:FD:21:BE
        inet addr:172.22.6.65  Bcast:172.22.7.255  Mask:255.255.254.0
        UP BROADCAST RUNNING PROMISC MULTICAST  MTU:1500  Metric:1
        RX packets:37615511 errors:0 dropped:0 overruns:0 frame:0
        TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
        collisions:0 txqueuelen:1000
        RX bytes:6160997309 (5.7 GB)  TX bytes:0 (0  Bytes)

接口 MAC/VMAC 映射表

FortiGate # diagnose sys ha mac

HA mac msg
serial#=FGT61FTK2206xxxx Primary
prio=0, phy_index= 0, itf_name=  wan1, mac=94.f3.92.53.ae.7a, vmac=00.09.0f.09.07.00, linkfail=0
prio=0, phy_index= 1, itf_name=  wan2, mac=94.f3.92.53.ae.7b, vmac=00.09.0f.09.07.01, linkfail=0
prio=0, phy_index= 2, itf_name=   dmz, mac=94.f3.92.53.ae.7c, vmac=00.09.0f.09.07.02, linkfail=0
prio=0, phy_index= 3, itf_name=internal1, mac=94.f3.92.53.ae.7d, vmac=--.--.--.--.--.--, linkfail=0
prio=0, phy_index= 4, itf_name=internal2, mac=94.f3.92.53.ae.7e, vmac=--.--.--.--.--.--, linkfail=1
prio=0, phy_index= 5, itf_name=internal3, mac=94.f3.92.53.ae.7f, vmac=00.09.0f.09.07.05, linkfail=1
prio=0, phy_index= 6, itf_name=internal4, mac=94.f3.92.53.ae.80, vmac=00.09.0f.09.07.06, linkfail=1
prio=0, phy_index= 7, itf_name=internal5, mac=94.f3.92.53.ae.81, vmac=00.09.0f.09.07.07, linkfail=0
prio=0, phy_index= 8, itf_name=     a, mac=94.f3.92.53.ae.82, vmac=00.09.0f.09.07.08, linkfail=1
prio=0, phy_index= 9, itf_name=     b, mac=94.f3.92.53.ae.83, vmac=00.09.0f.09.07.08, linkfail=1
prio=0, phy_index=10, itf_name=internal, mac=94.f3.92.53.ae.7e, vmac=00.09.0f.09.07.04, linkfail=1
prio=0, phy_index=11, itf_name=fortilink, mac=94.f3.92.53.ae.82, vmac=00.09.0f.09.07.08, linkfail=1
prio=0, phy_index=12, itf_name=emacvlan1, mac=9a.f3.92.53.ae.7a, vmac=00.09.0f.09.07.0c, linkfail=0
serial#=FGT61FTK22053887 Secondary
prio=1, phy_index= 0, itf_name=  wan1, mac=ac.71.2e.fd.21.be, vmac=--.--.--.--.--.--, linkfail=0
prio=1, phy_index= 1, itf_name=  wan2, mac=ac.71.2e.fd.21.bf, vmac=--.--.--.--.--.--, linkfail=0
prio=1, phy_index= 2, itf_name=   dmz, mac=ac.71.2e.fd.21.c0, vmac=--.--.--.--.--.--, linkfail=0
prio=1, phy_index= 3, itf_name=internal1, mac=ac.71.2e.fd.21.c1, vmac=--.--.--.--.--.--, linkfail=0
prio=1, phy_index= 4, itf_name=internal2, mac=ac.71.2e.fd.21.c2, vmac=--.--.--.--.--.--, linkfail=1
prio=1, phy_index= 5, itf_name=internal3, mac=ac.71.2e.fd.21.c3, vmac=--.--.--.--.--.--, linkfail=1
prio=1, phy_index= 6, itf_name=internal4, mac=ac.71.2e.fd.21.c4, vmac=--.--.--.--.--.--, linkfail=1
prio=1, phy_index= 7, itf_name=internal5, mac=ac.71.2e.fd.21.c5, vmac=--.--.--.--.--.--, linkfail=0
prio=1, phy_index= 8, itf_name=     a, mac=ac.71.2e.fd.21.c6, vmac=--.--.--.--.--.--, linkfail=1
prio=1, phy_index= 9, itf_name=     b, mac=ac.71.2e.fd.21.c7, vmac=--.--.--.--.--.--, linkfail=1
prio=1, phy_index=10, itf_name=internal, mac=ac.71.2e.fd.21.c2, vmac=--.--.--.--.--.--, linkfail=1
prio=1, phy_index=11, itf_name=fortilink, mac=ac.71.2e.fd.21.c6, vmac=--.--.--.--.--.--, linkfail=1
prio=1, phy_index=12, itf_name=emacvlan1, mac=b2.71.2e.fd.21.be, vmac=--.--.--.--.--.--, linkfail=0

输出包含每个接口的 phy_index、itf_name、mac（物理）、vmac（虚拟）、linkfail 等字段。
这个输出对排查“某个接口当前应该用哪个 VMAC”很直观。

VMAC 分配方式

有 3 种 VMAC 分配方式：默认方式、自动分配、手动分配。

默认方式

相关信息

以下 VMAC 算法仅适用于比较常见的情况：vcluster_integer = 0 或 1， group-id < 256，phy_index < 128的情况。
其他情况下的 VMAC 算法会有所区别，具体请参考官方 Docs 文档。

默认配置下，HA VMAC 地址根据以下公式确定：

\langle group\text{-}prefix\rangle:\langle group\text{-}id_hex\rangle:(\langle vcluster\_{integer}\rangle+\langle phy\_{index}\rangle)

HA 配置示例：

config system ha
    set group-id 0
    set group-name "summerice"
    set mode a-p
    set password ENC 8d7WHMRiOFwjt7pOVnRmVrs9+rVayb7F2h1BKknc/3NsIjK1iEetIIVMzaGcdy3ONs7YzupDTFE09VWflnewYi91ZZ9V63QFh+EsKYhxjphPRf8cBmkQAq9Dcu6ymAo/Sm60+yVAUl5T+sUFbBivGJIG55rGnVV6BuN8VB3UYupQAUFOA9hZovr0TE6GcKkM/+lBf1lmMjY3dkVA
    set hbdev "port4" 0
    set override disable
end

group-prefix：此情况下固定为 00:09:0f:09，占据 VMAC 的前 4 段（32 bit）。
group-id_hex：vluster 的 group-id 转换为十六进制的形式，占据 VMAC 的第 5 段。下表列出了为每个 group-id 设置的 VMAC 地址。
相关信息
- 可用 get system ha | grep group-id 查看 group-id。
| Integer Group ID | Hexadecimal Group ID| | :

检测模式

Fri, 16 Jan 2026 10:01:55 GMT

SSL（Secure Sockets Layer）内容扫描与检查功能用于对加密流量执行安全检测，使系统能够在 SSL/TLS 加密通信中应用 IPS、AV、Web Filter 等安全功能。

SSL/SSH 检测配置文件可直接应用于防火墙策略中。FortiOS 默认内置四种 SSL/SSH 检测配置文件，其中三种为只读配置，可被克隆并修改使用：

certificate-inspection（只读，可克隆）
deep-inspection（只读，可克隆）
no-inspection（只读，可克隆）
custom-deep-inspection（可编辑）

SSL/SSH 检测配置文件通常应用于出口防火墙策略，适用于目标地址不明确的流量场景。根据策略需求，可配置以下检查参数：

用于解密 SSL 加密流量的 CA 证书
参与检查的 SSL 协议类型
各 SSL 协议对应的检测端口
是否允许无效 SSL 证书
是否对 SSH 流量执行检查
可绕过 SSL 检查的地址或 Web 分类白名单

检测模式对比

在实际策略应用中，主要关注以下三种模式：no-inspection、certificate-inspection、deep-inspection。它们的差异核心在于：是否解密流量、可获取的信息深度、对业务/性能的影响。

certificate-inspection

工作方式：不解密业务内容，仅检查 TLS 握手阶段的证书与部分协议特征，防火墙策略中的默认配置。
可见信息：服务器证书、证书链、有效期、签发者、以及部分 TLS 握手信息（例如 SNI 等）。
能力与限制：
- 可基于证书可信性/异常证书进行阻断或告警（例如过期、吊销、校验失败等）。
- 相比 deep-inspection，对性能影响更小、对业务兼容性更高。
- 由于不解密载荷，无法对加密内容（如 HTTPS）执行深度的 AV/IPS/Web Filter 等检测。
典型场景：大多数通用出口流量的“轻量检测”、对业务敏感但仍希望拦截恶意/异常证书的网站。

no-inspection

工作方式：不对 SSL/TLS 流量进行检查与解密，流量保持端到端加密直通。
可见信息：仅检查/记录最基础的连接层信息（如源/目的 IP、端口、会话信息等）。
能力与限制：
- 无法对加密内容执行 AV/IPS/Web Filter 等基于内容的检测。
- 适用于对隐私/合规要求极高或无法安装证书的场景。
典型场景：银行/医疗等敏感业务、第三方应用不允许解密、故障排查期间临时放行等。

deep-inspection

工作方式：对 SSL/TLS 流量进行“中间人解密”与重签名，解密后将明文交给安全模块（如 IPS/AV/Web Filter）检测，再重新加密转发。通常需要在终端侧部署并信任 FortiGate（或自颁发）的 CA 证书。
可见信息：完整的应用层内容（HTTP/HTTPS 内容、文件下载内容、URL/Host 等更完整的特征）。
能力与限制：
- 可对加密流量应用 AV/IPS/Web Filter/DLP 等内容级检测，安全能力最强。
- 对性能消耗更大，并可能影响某些对证书绑定/校验严格的应用（需通过白名单/例外策略保障兼容性）。
- 需要每个终端信任 CA 证书，否则可能出现证书告警或连接失败。
- 要求“中间人解密”与重签名的证书必须是 CA 证书或 Sub CA 证书，不能使用用户证书。
典型场景：对外网访问需要强安全管控的办公终端、重点部门出网、对下载/恶意网站拦截要求高的环境。

配置建议

certificate-inspection：当希望兼顾安全与兼容性/性能，且主要关注证书异常与基础风险控制时。大部分情况下推荐此配置（防火墙策略中的默认配置）。
no-inspection：当业务明确要求不解密、或对解密高度敏感/不具备终端证书部署条件时。
deep-inspection：当组织允许终端部署证书、且需要最大化加密流量可视化与防护能力时。

SSL/SSH 检测配置文件

Wed, 14 Jan 2026 09:35:17 GMT

配置方法

GUI

进入安全配置文件 → SSL/SSH 检测，点击新建按钮。

相关信息

预置的 custom-deep-inspection 配置文件也可直接编辑使用。

SSL 检测选项：
- 启用 SSL 检测：
  - 多个客户端连接到多个服务器：用于目标未知的通用策略，常用于出站互联网流量。
  - 保护 SSL 服务器：用于特定 SSL 服务器，需在“服务证书”配置处指定服务器证书。
- 检查方法：
  - SSL 证书检查（certificate-inspection）：仅检查证书（到 SSL/TLS 层的头部信息），不检查加密内容。可对 ECH 做允许或阻断。
  - 完整 SSL 检查（deep-inspection）：检查 SSL/TLS 加密载荷内容。
- CA 证书：从已安装证书中选择用于检查/解密的 CA 证书。可点击 Download 下载证书。
- 恶意证书：配置阻断或允许潜在恶意证书。可通过“查看恶意证书定义”查看被阻断证书列表（含原因、SHA1 指纹与日期）。
- 未受信任 SSL 证书：配置服务器证书非受信任 CA 签发时的动作。
  - 允许（默认）。
  - 阻断。
  - 忽略：仅对“deep-inspection”有效，重新签名为受信任。说明：在 GUI 中对证书检查模式配置 Ignore 不生效且不会保存。
  - 可通过“查看信任 CA 列表”查看 FortiGate 信任的内置与导入 CA。
- 服务器证书 SNI 检查：检查 SSL Client Hello 消息中的 SNI 与服务器证书 CN 或 SAN 是否匹配。
  - 启用（默认）：不匹配时使用证书 CN 进行 URL 过滤。
  - 严格：不匹配时关闭连接。
  - 禁用：禁用检查。
- 强制 SSL 加密算法合规：启用/禁用 SSL 密码套件合规性检查，仅“deep-inspection”可用。
- 强制 SSL 协商过程合规：启用/禁用 SSL 协商合规性检查，仅“deep-inspection”可用。
- 基于 HTTPS 的 RPC：启用/禁用 RPC over HTTPS 流量检查，仅“deep-inspection”可用。
- 基于 HTTPS 的 MAPI：启用/禁用 MAPI over HTTPS 流量检查。
协议端口映射：
- 检查所有端口：启用后使用 IPS 引擎检查所有端口。可选择是否禁用 DNS over TLS。
- HTTPS/SMTPS/POP3S/IMAPS/FTPS：若未启用“检查所有端口”，可在对应协议旁指定需要检查的端口。
- 基于 TLS 的 DNS：启用/禁用 DNS over TLS 检查。
- 加密的客户端 Hello：允许或阻止使用加密 Client Hello（ECH）的 TLS 连接，仅在“检查方法”为 certificate-inspection 时可用。
- HTTP/3 协议：
  - 当检查方法为“SSL 证书检查”或 HTTPS 被禁用时，HTTP/3 固定为 Bypass 且不可修改。
  - 当检查方法为“deep-inspection”时，可选 Inspect、旁路、阻断。
- 基于 QUIC 的 DNS：当检查方法为检查方法 deep-inspection 时可用。可选 Inspect、旁路或阻断。
免除 SSL 检查：
- 信誉良好的网站：仅“deep-inspection”可用。用于指定信誉网站、FortiGuard Web 分类或地址对象的豁免。可启用日志记录豁免。
SSH 检测选项：
- SSH 深度检测：启用/禁用 SSH 协议深度扫描；启用后 SSH 端口可配置。
- SSH 端口：定义要检测的 SSH 协议数据包的端口：
  - 任何：检测所有 SSH 流量。
  - 指定：仅检测指定 TCP 端口。
通用选项：
- 无效的 SSL 证书：配置无效证书的放行/阻断策略。设为自定义时可分别配置过期、回收（吊销）、验证超时、验证失败等场景。深度检查下可选“保持不受信任 & 允许”、“阻断”、“信任 & 允许”。
- 记录 SSL 异常日志：启用后记录包含无效证书的会话日志，默认启用。日志生成在安全事件日志类型下的 SSL 子类型。

CLI

config firewall ssl-ssh-profile
    edit <name>
        set allowlist [enable|disable]
        set block-blocklisted-certificates [disable|enable]
        set caname {string}
        set comment {var-string}
        config dot
            Description: Configure DNS over TLS options.
            set cert-validation-failure [allow|block|...]
            set cert-validation-timeout [allow|block|...]
            set client-certificate [bypass|inspect|...]
            set expired-server-cert [allow|block|...]
            set proxy-after-tcp-handshake [enable|disable]
            set quic [inspect|bypass|...]
            set revoked-server-cert [allow|block|...]
            set sni-server-cert-check [enable|strict|...]
            set status [disable|deep-inspection]
            set udp-not-quic [allow|block]
            set unsupported-ssl-cipher [allow|block]
            set unsupported-ssl-negotiation [allow|block]
            set unsupported-ssl-version [allow|block]
            set untrusted-server-cert [allow|block|...]
        end
        config ech-outer-sni
            Description: ClientHelloOuter SNIs to be blocked.
            edit <name>
                set sni {string}
            next
        end
        config ftps
            Description: Configure FTPS options.
            set cert-validation-failure [allow|block|...]
            set cert-validation-timeout [allow|block|...]
            set client-certificate [bypass|inspect|...]
            set expired-server-cert [allow|block|...]
            set min-allowed-ssl-version [ssl-3.0|tls-1.0|...]
            set ports {integer}
            set revoked-server-cert [allow|block|...]
            set sni-server-cert-check [enable|strict|...]
            set status [disable|deep-inspection]
            set unsupported-ssl-cipher [allow|block]
            set unsupported-ssl-negotiation [allow|block]
            set unsupported-ssl-version [allow|block]
            set untrusted-server-cert [allow|block|...]
        end
        config https
            Description: Configure HTTPS options.
            set cert-probe-failure [allow|block]
            set cert-validation-failure [allow|block|...]
            set cert-validation-timeout [allow|block|...]
            set client-certificate [bypass|inspect|...]
            set encrypted-client-hello [allow|block]
            set expired-server-cert [allow|block|...]
            set min-allowed-ssl-version [ssl-3.0|tls-1.0|...]
            set ports {integer}
            set proxy-after-tcp-handshake [enable|disable]
            set quic [inspect|bypass|...]
            set revoked-server-cert [allow|block|...]
            set sni-server-cert-check [enable|strict|...]
            set status [disable|certificate-inspection|...]
            set udp-not-quic [allow|block]
            set unsupported-ssl-cipher [allow|block]
            set unsupported-ssl-negotiation [allow|block]
            set unsupported-ssl-version [allow|block]
            set untrusted-server-cert [allow|block|...]
        end
        config imaps
            Description: Configure IMAPS options.
            set cert-validation-failure [allow|block|...]
            set cert-validation-timeout [allow|block|...]
            set client-certificate [bypass|inspect|...]
            set expired-server-cert [allow|block|...]
            set ports {integer}
            set proxy-after-tcp-handshake [enable|disable]
            set revoked-server-cert [allow|block|...]
            set sni-server-cert-check [enable|strict|...]
            set status [disable|deep-inspection]
            set unsupported-ssl-cipher [allow|block]
            set unsupported-ssl-negotiation [allow|block]
            set unsupported-ssl-version [allow|block]
            set untrusted-server-cert [allow|block|...]
        end
        set mapi-over-https [enable|disable]
        config pop3s
            Description: Configure POP3S options.
            set cert-validation-failure [allow|block|...]
            set cert-validation-timeout [allow|block|...]
            set client-certificate [bypass|inspect|...]
            set expired-server-cert [allow|block|...]
            set ports {integer}
            set proxy-after-tcp-handshake [enable|disable]
            set revoked-server-cert [allow|block|...]
            set sni-server-cert-check [enable|strict|...]
            set status [disable|deep-inspection]
            set unsupported-ssl-cipher [allow|block]
            set unsupported-ssl-negotiation [allow|block]
            set unsupported-ssl-version [allow|block]
            set untrusted-server-cert [allow|block|...]
        end
        set rpc-over-https [enable|disable]
        set server-cert <name1>, <name2>, ...
        set server-cert-mode [re-sign|replace]
        config smtps
            Description: Configure SMTPS options.
            set cert-validation-failure [allow|block|...]
            set cert-validation-timeout [allow|block|...]
            set client-certificate [bypass|inspect|...]
            set expired-server-cert [allow|block|...]
            set ports {integer}
            set proxy-after-tcp-handshake [enable|disable]
            set revoked-server-cert [allow|block|...]
            set sni-server-cert-check [enable|strict|...]
            set status [disable|deep-inspection]
            set unsupported-ssl-cipher [allow|block]
            set unsupported-ssl-negotiation [allow|block]
            set unsupported-ssl-version [allow|block]
            set untrusted-server-cert [allow|block|...]
        end
        config ssh
            Description: Configure SSH options.
            set inspect-all [disable|deep-inspection]
            set ports {integer}
            set proxy-after-tcp-handshake [enable|disable]
            set ssh-algorithm [compatible|high-encryption]
            set ssh-tun-policy-check [disable|enable]
            set status [disable|deep-inspection]
            set unsupported-version [bypass|block]
        end
        config ssl
            Description: Configure SSL options.
            set cert-probe-failure [allow|block]
            set cert-validation-failure [allow|block|...]
            set cert-validation-timeout [allow|block|...]
            set client-certificate [bypass|inspect|...]
            set encrypted-client-hello [allow|block]
            set expired-server-cert [allow|block|...]
            set inspect-all [disable|certificate-inspection|...]
            set min-allowed-ssl-version [ssl-3.0|tls-1.0|...]
            set revoked-server-cert [allow|block|...]
            set sni-server-cert-check [enable|strict|...]
            set unsupported-ssl-cipher [allow|block]
            set unsupported-ssl-negotiation [allow|block]
            set unsupported-ssl-version [allow|block]
            set untrusted-server-cert [allow|block|...]
        end
        set ssl-anomaly-log [disable|enable]
        config ssl-exempt
            Description: Servers to exempt from SSL inspection.
            edit <id>
                set address {string}
                set address6 {string}
                set fortiguard-category {integer}
                set regex {string}
                set type [fortiguard-category|address|...]
                set wildcard-fqdn {string}
            next
        end
        set ssl-exemption-ip-rating [enable|disable]
        set ssl-exemption-log [disable|enable]
        set ssl-handshake-log [disable|enable]
        set ssl-negotiation-log [disable|enable]
        config ssl-server
            Description: SSL server settings used for client certificate request.
            edit <id>
                set ftps-client-certificate [bypass|inspect|...]
                set https-client-certificate [bypass|inspect|...]
                set imaps-client-certificate [bypass|inspect|...]
                set ip {ipv4-address-any}
                set pop3s-client-certificate [bypass|inspect|...]
                set smtps-client-certificate [bypass|inspect|...]
                set ssl-other-client-certificate [bypass|inspect|...]
            next
        end
        set ssl-server-cert-log [disable|enable]
        set supported-alpn [http1-1|http2|...]
        set untrusted-caname {string}
        set use-ssl-server [disable|enable]
    next
end

检测所有端口

HTTPS
SMTPS
POP3S
IMAPS
FTPS
DNS over TLS（DoT）

“检测所有端口”的实际效果，取决于防火墙检测模式（flow/proxy）和 SSL 检查深度（certificate-inspection/deep-inspection）的配置。

相关信息

防火墙策略的检测模式介绍可参考：故障排查 → 数据包处理流程 → 安全检测模式章节。

AV/IPS 内存高排查

Mon, 12 Jan 2026 09:50:27 GMT

背景介绍

在使用 Antivirus/IPS 的场景中，内存保护模式的触发可能属于高负载条件下的正常保护机制，并不一定表示系统异常或缺陷。

本文以常用的 flow mode 下的 ipsengine + antivirus 为示例，用一台 4GB 内存的 FortiGate 演示：穿过 FortiGate 对一个 2MB 文件发起大量 HTTP: 80 下载请求，目标是制造多个下载同时处于 pending 与 buffered 状态。后续主要聚焦 antivirus 与 ipsengine 的表现与关联，并给出采集、判断与改进方向。

问题现象

系统挂起（System hangs）

当发起下载且文件总大小大于 512KB 时，系统会分配 1MB Cached RAM（用于后续缓冲与处理）。
示例：若同时启动 1024 个 4MB 文件传输：
- 初始预分配约 1MB * 1024 = 1GB RAM。
- 在传输接近结束且多数会话同时处于 pending 状态时，可能累积到 4MB * 1024 = 4GB 的缓冲需求，从而占满 4GB 设备的可用内存。
ipsengine 没有缓存限制。
此类极端场景可能导致系统 hang：转发与管理均不可用。

系统死锁（System deadlock）

在高内存压力下，系统可能耗尽可用 cached memory。
ipsengine 进入“S”（sleeping）状态，等待 cache 资源可用以继续缓存流量。
该状态可能导致业务中断。

排查准则

必须在问题发生当下采集数据：在所有内存保护模式场景中，应在问题发生期间采集调试数据。内存指针、进程内存分配、潜在内存泄漏迹象等关键证据通常只会在异常发生时体现。如果在系统恢复正常或接近正常后再采集，很多现象不会出现在数据中，影响判断。
需要观察一段时间内的变化趋势：不少场景需要通过脚本或周期性采集，在一段时间内观察内存使用的演化过程，判断是否存在持续增长、周期性峰值、或与流量/会话变化一致的波动关系。

初步排查

diagnose sys top 2

2表示每 2 秒刷新一次。
在 top 输出界面中：
- 按“m”按内存排序。
- 按“p”按 CPU 排序。
记录进程 PID，用于后续追踪。
建议连续采集一段时间，观察 CPU 与内存是否波动、是否同步变化，并尝试总结规律。

diagnose sys top-mem 10

列出内存消耗最高的 10 个进程。
在较大平台上可适当提高显示进程数。
重点关注：
- 哪个进程消耗最高。
- 该进程与其他进程合计占用多少。
- 这几个进程内存之和占系统总内存比例。

diagnose hardware sysinfo conserve

当前 FortiGate 是否进入了内存保护模式。
内存占用率是否超过 red threshold。
如果进入了内存保护模式，则比较其值是否高于 red threshold。

diagnose hardware sysinfo memory

可能看到 Cached 占用非常高（例如 3.3GB/4GB）。
其他可能较高的 bucket 包括 Inactive、Inactive (anon)、Shmem。
该输出与 Linux 的/proc/meminfo（cat/proc/meminfo）一致，可参考 Linux 文档进一步理解各 counter 含义。

get system performance status

该输出包含实时与历史统计，例如：
- 过去 30 分钟平均网络使用。
- 最近 10/30 分钟会话数变化。
若设备在几分钟前经历过流量冲击，部分非实时的变化在其他命令中不易直接观察，但在此统计中可能更直观。

总结

此例中，ipsengine 是主要的内存占用者（示例中 PID 257）。
scanunitd（一个或多个 worker）是主要 CPU 消耗者（示例中 PID 12262、12260）。
设备处于内存保护模式且超过 red threshold。
内存主要被 Cached、Inactive、Inactive (anon)、Shmem 占用。
基于以上现象，下一步应重点排查：ipsengine 为何占用大量内存，以及其与 antivirus（scanunitd 高 CPU）之间的关联关系。

ipsengine/antivirus 计数器

本章节目标是确定“pending 状态文件传输缓存用于 AV 检测导致 ipsengine 内存上升”。

diagnose sys process dump 254

查看进程 PID 254（前文中查看的 ipsengine 进程 PID，示例因设备重启导致 PID 变化，请忽略 PID 差异）的状态：
- 进程状态：running（表示进程正在工作）。
- VmSize：示例约 3.6GB，表示该进程正在分配/映射大量内存。
继续向下滚动输出结果：
- 在 shm（shared memory）目录下出现大量标记为“deleted”的文件映射。
- ipsengine 创建了这些文件并删除它们。
- 这些文件位于 shm（共享内存空间），通常表示 ipsengine 将数据放入共享内存供其他处理组件使用，或处于等待相邻处理完成的状态。
- 对 scanunitd 做类似的 process dump，通常可看到相同的 shm 文件处理模式。
- ipsengine/scanunitd 可能会派生多个 worker，PID 可能变化，建议在问题发生时尽快采集。

ipsengine/scanunitd debug

启用 Debug：

diagnose ips debug enable av
diagnose ips debug enable content
diagnose ips debug status show
diagnose sys scanunit debug all enable
diagnose sys scanunit debug level verbose
diagnose sys scanunit debug show
diagnose debug enable

运行数秒后结束 Debug（调试输出可能非常多，一般不需要运行超过 10 秒）：

diagnose ips debug disable all
diagnose ips debug status show
diagnose sys scanunit debug all disable
diagnose sys scanunit debug reset
diagnose sys scanunit debug show

收集 Debug 输出结果：
- 可以看到“ips_flowav_append”任务持续处理多个 query/task。
- 多个下载会话不断接收 1448 字节的 chunk，但未完成。
- 未出现如下“scanunit 任务完整完成”相对应的输出，判断以上 scanunit 任务处于“pending”状态。

diagnose test application ipsmonitor 24

查看 ipsmonitor 统计中的 antivirus 统计信息：
- file open 在 ipsengine 需要缓存一个传输会话并将数据交给 antivirus 做进一步检查时递增。
- file close 在对应会话完成/关闭后递增。
- 若传输正常完成，file open 与 file close 通常应保持相对一致的增长趋势。
- 4152（file open） - 2002（file close） = 2150，存在约 2150 个 pending 状态的传输任务正在被缓存，从而消耗 Cached memory。
继续向下滚动 ipsmonitor 输出，可见 total allocated memory（Bytes）。
- 2761613312 Bytes 约为 2.7GB。
- 该数值可能与其他命令观察略有差异，因为会话仍在动态处理，但数量级仍处于较高水平。

排查结论

当前现象可理解为系统在压力条件下的正常表现：由用户流量与配置组合触发资源占用上升。内存保护模式的触发可能属于高负载条件下的正常保护机制，并不一定表示系统异常或缺陷。
ipsengine 内存飙升主要由大量 pending 文件传输引起。这些传输需要被缓存，才能由 Antivirus 完成检测。
在 flow mode 下，如果不对文件内容进行缓存，将无法完成 Antivirus 检测流程。原因是 Antivirus 首先需要计算 MD5 校验，而 MD5 只能在获取完整文件内容后计算。
当 Antivirus 完成 allow/block 判定且会话关闭后，相关缓存内存会随之释放。
优化方向：
- 选择更高型号平台，以提供更高的资源上限来承载更多并发 pending 文件传输与 Antivirus 检测。
- 评估是否必须对特定业务流量启用 Antivirus。
- 提升带宽：目标是降低 pending 状态传输任务的数量与持续时间，减少重叠并发带来的缓存累积。
- 配置优化：参考：开局与日常维护 → 2GB 内存设备配置优化章节。

限制认证并发源 IP 数

Fri, 09 Jan 2026 07:58:12 GMT

全局配置

policy-auth-concurrent 是 FortiGate 全局配置（config system global）下的一个参数，用于控制同一个用户是否允许在多个来源（Source IP）上同时保持认证状态（即同一账号从多个源 IP 同时进行防火墙策略认证/Portal 认证）。

config system global
    set policy-auth-concurrent (0-100)
end

0（默认）：表示不限制一个用户可关联的源 IP 数量。同一用户可以同时在多个源 IP 地址上被认证（对防火墙策略认证/Captiveportal 认证而言）。
1~100：
- 一旦某用户已达到允许的源 IP 并发数上限，该用户从新的源 IP 发起的后续认证请求会被拒绝。
- 在防火墙策略认证/Captive Portal 认证场景下，通常会看到浏览器告警/提示。
- 举例：同一个用户如果已经在 5 个源 IP 上完成认证，再从其他源 IP 发起认证会被拒绝。
```
config system global
    set policy-auth-concurrent 5
end
```

覆盖全局配置

可以在用户或用户组级别覆盖全局值。当在用户或用户组级别下启用 auth-concurrent-override 后，auth-concurrent-value 的配置会覆盖 config system global 下的 policy-auth-concurrent）配置。

重要

优先级：用户组 > 用户 > 全局配置

用户级别

config user local
    edit <user_name>
        set auth-concurrent-override enable
        set auth-concurrent-value (1-100)
    next
end

用户组级别

config user group
    edit <user_group_name>
        set auth-concurrent-override enable
        set auth-concurrent-value (1-100)
    next
end

注意事项

配置的并发源 IP 限制数是基于每 VDOM 生效的。
仅适用于防火墙策略认证/Captiveportal 认证，不适用于 VPN 用户、系统管理员。
IPsec VPN 不支持限制同一用户的并发连接数（即无法用该思路实现“只允许一个 IPsec 会话”）。
SSL VPN 可以限制同一用户同时在线会话数，但属于 SSL VPN 的单独机制（config vpn ssl web portal 下的 limit-user-logins）。
如果用户经常出现“认证后换网/换出口/多设备登录导致被拒绝”，请检查以上配置。
需要允许同用户多设备/多网络同时认证时，将其设为 0（无限制）或适当调大。

8008/8010/8015/8020 端口

Thu, 08 Jan 2026 09:13:07 GMT

问题现象

当在防火墙策略中应用 UTM Profiles（例如 Web Filter、AntiVirus、Application Control）后，在进行端口扫描或 PCI 合规检测（如外部安全审计）时，可能会发现 FortiGate 意外开放了一些非业务端口（8008/8010/8015/8020）。
即使目标网络内并不存在对应目的 IP，只要探测报文（TCP SYN）能够匹配到带 UTM 的策略，FortiGate 可能会对 8008/8010/8015/8020 端口返回 SYN ACK，使扫描结果显示这些端口为开启状态。
即使这些端口并未在防火墙策略中显式放行，扫描工具仍可能检测到端口状态异常，从而导致合规检测失败。

相关信息

该现象主要体现在端口探测时 FortiGate 的响应行为，导致合规扫描工具/安全基线检查看到“端口开放”。即便扫描结果显示端口为开启状态，流量并不会通过策略在这些端口“泄露/放通”，不会存在安全问题。

问题原因

当防火墙策略启用了 Web Filter/AV 等 UTM 配置文件后，FortiGate 可能会为以下功能开启临时监听内部端口，用于认证信息交互和替换页面内容传输，这些端口并非用于业务流量转发，而是 FortiGate 内部机制所需。

Authentication Override（当 UTM 动作为“认证”时的认证跳转页面）
Web Filter Replacement Message（阻断提示页面）

解决方法

如果出于安全合规要求，这些端口不能呈现开启状态，可通过以下配置让 FortiGate 关闭相关端口响应：

VDOM关闭状态下的命令：
config webfilter fortiguard
    set close-ports enable
end

VDOM开启状态下的命令：
config global
    config webfilter fortiguard
        set close-ports enable
    end
end

启用 `close-ports` 的影响

受影响的功能：

Web Filter 中 FortiGuard 分类的“警告（warning）”和“认证（authenticate）”动作将无法生效。
手动“临时放行/覆盖（override）被阻止的分类”功能将失效。
Web 过滤触发的替换页面（阻断页面）将不显示 Fortinet 的 Logo。

不受影响的功能：

Web Filter 中 FortiGuard 分类的“屏蔽（block）”动作仍然有效。
本地 URL Filter（白名单/黑名单）仍然生效。

配置建议

对于对合规性（PCI/安全扫描）要求高的生产环境，建议开启。
如果依赖用户认证覆盖或警告页面功能，请谨慎评估。

EMAC VLAN

Wed, 07 Jan 2026 09:19:50 GMT

警告

在 NP6XLite（SoC4）平台设备（如 60F/80F/100F/200F 等），请勿在 EMAC VLAN 相关流量被 NPU 加速的状态下使用此功能，否则可能会出现业务中断，其他平台设备可正常使用。
如必须在 NP6XLite（SoC4）平台设备使用此功能，请关闭 EMAC VLAN 相关的防火墙策略（config firewall policy）的 NPU 加速功能（set auto-asic-offload disable）。

功能简介

增强型 MAC VLAN（Enhanced MAC VLAN，以下简称 EMAC VLAN）是 FortiGate 设备中实现 VLAN 的一种方式。EMAC VLAN 主要用于需要通过同一物理接口模拟多个 VLAN 接口的情况。与传统的 MAC VLAN 不同，它增加了以下功能：

支持多个 MAC 地址：共享同一底层接口的每个 EMAC VLAN 都有一个唯一的 MAC 地址，可以与不同的 IP 地址和网络配置相结合。
VIP 和 IP Pool 支持：由于每个 EMAC VLAN 都具有唯一的 MAC 地址，每个 EMAC VLAN 接口都可以配置 VIP 和 IP Pool（普通的 VLAN 如果共享同一底层接口，由于多个 VLAN 的 MAC 地址相同，会使邻居路由器的 ARP 表无法区分）。
SNAT 支持：在策略中，可以选择禁用 SNAT，从而保留源 IP 地址的原始信息（原因与上条一致）。

工作原理

EMAC VLAN 并不会直接将数据包分配到底层交换机。在配置了 VLAN ID 的情况下，数据包会被打上 VLAN Tag，并通过底层接口的驱动程序进行处理。如果 VLAN Tag 不匹配，数据包将不会通过该接口。

使用 VLAN ID 的限制

在 EMAC VLAN 中配置 VLAN ID 时，VLAN ID 和底层接口必须唯一配对。所以即使是不同的 VDOM，也不能使用相同的 VLAN ID。

透明模式的限制

EMAC VLAN 不能在透明模式的 VDOM 中使用。在透明模式下，数据包会携带原始源的 MAC 地址，而不是接口的 MAC 地址，这与 EMAC VLAN 的工作方式冲突。

HA 中的处理

在 HA 配置中，EMAC VLAN 接口被视为物理接口，且有唯一的物理接口 ID。EMAC VLAN 接口的 MAC 表会与 HA 集群中的其他设备同步。在 HA 配置中，每个接口会被分配一个虚拟 MAC 地址。

配置示例

多个 VDOM 共享同一物理接口

FortiGate 有 4 个 VDOM：root（默认）、VDOM1、VDOM2、VDOM3，port1 接口属于 root VDOM。
FortiGate 通过 port1 连接到 Router，三个 VDOM 共享 port1。
每个 VDOM 配置一个 EMAC VLAN 接口，并且每个接口都有唯一的 MAC 地址，从而使得多个 VDOM 可以共享一个物理接口。

config global

config system interface
    edit "port1"
        set vdom "root"
        set type physical
        set snmp-index 9
    next
end

config system interface
    edit port1.emacvlan1
        set vdom VDOM1
        set ip 100.1.1.11 255.255.255.0
        set type emac-vlan
        set interface port1
    next
    edit port1.emacvlan2
        set vdom VDOM2
        set ip 100.1.1.12 255.255.255.0
        set type emac-vlan
        set interface port1
    next
    edit port1.emacvlan3
        set vdom VDOM3
        set ip 100.1.1.13 255.255.255.0
        set type emac-vlan
        set interface port1
    next
end
end

使用 NPU Vlink 接口进行连接

FortiGate 有 6 个 VDOM：root（默认）、VDOM1、VDOM2、VDOM3、VDOM4、VDOM5，VDOM1/VDOM3/VDOM5 通过 NPU Vlink 与 VDOM2/VDOM4 互联。
FortiGate NPU Vlink 为点对点连接，NPU Vlink 接口上的 VLAN 接口使用相同的 MAC 地址。由于 VLAN 接口共享相同 MAC 地址，不建议使用 NPU Vlink 和 VLAN 接口连接超过两个 VDOM。为避免同一 NPU Vlink 上 MAC 地址重叠，需要改用增强型 MAC VLAN。

config global
config system interface
    edit npu0_vlink0.emacvlan1
        set vdom VDOM1
        set ip 100.1.1.11 255.255.255.0
        set type emac-vlan
        set interface npu0_vlink0
    next
    edit npu0_vlink0.emacvlan2
        set vdom VDOM3
        set ip 100.1.1.13 255.255.255.0
        set type emac-vlan
        set interface npu0_vlink0
    next
    edit npu0_vlink0.emacvlan3
        set vdom VDOM5
        set ip 100.1.1.15 255.255.255.0
        set type emac-vlan
        set interface npu0_vlink0
    next
    edit npu0_vlink1.emacvlan1
        set vdom VDOM2
        set ip 100.1.1.12 255.255.255.0
        set type emac-vlan
        set interface npu0_vlink1
    next
    edit npu0_vlink1.emacvlan2
        set vdom VDOM4
        set ip 100.1.1.14 255.255.255.0
        set type emac-vlan
        set interface npu0_vlink1
    next
end
end

VLAN 接口使用独立的 MAC 地址

某些网络要求当 VLAN 接口共享同一物理端口时，每个 VLAN 接口必须拥有唯一的 MAC 地址。在此情况下，EMAC VLAN 接口的使用方式与普通 VLAN 接口相同。
还有一种情况是 FortiGate 做 HA 集群后，业务接口会使用 HA 的虚拟 MAC（如 00:09:0f:09:07:00，实际的物理 MAC 为 94:F3:92:53:AE:7A），某些运营商的 PPPoE Server 会对这种虚拟 MAC 地址做限制，导致 FortiGate 的 PPPoE 拨号失败。EMAC VLAN 在 HA 下会使用物理 MAC 地址（如 9A:F3:92:53:AE:7A，在 EMAC VLAN 上创建的 PPPoE 也会继承该物理 MAC 地址），从而规避该问题。
配置时使用 set vlanid 命令设置 VLAN Tag。VLAN ID 与接口必须构成唯一对应关系，即使它们属于不同的 VDOM。

config system interface
    edit emacvlan1
        set type emac-vlan
        set vlanid 10
        set interface wan1
    next
end

FortiGate # diagnose hardware deviceinfo nic emacvlan1
Description             EMacvlan Ethernet driver v1.0
System_Device_Name      emacvlan1
Lower_Device_Name       wan1
Current_HWaddr          9a:f3:92:53:ae:7a
Permanent_HWaddr        9a:f3:92:53:ae:7a
State                   up                                                           
Link                    up                                                            
npudev_oid              64                                                       
macvlan_id              0                                                        
vlan_id                 10                                                         
learn_mac               no                                                        
mode                    2

注意事项

每个物理接口最多可以创建 512 个增强型 MAC VLAN 接口。
所有接口的 MAC 地址总数不能超过 600 个，包括增强型 MAC VLAN 接口的 MAC 地址以及其他接口的 MAC 地址。

CLI 输出模式

Tue, 06 Jan 2026 08:01:27 GMT

功能简介

在 FortiGate 的 CLI 中，默认的输出行为为分页显示，即在输出内容达到屏幕上限时暂停显示，直到按下键盘上的某个键才能继续显示。这种分页模式对于 CLI 的输出非常常见，但如果希望查看完整的命令输出，或者将输出保存到日志文件中，则分页模式会频繁显示 --More--，影响阅读体验。

FortiGate 的 CLI 输出模式可以设置为 standard 模式（无暂停）或 more 模式（在屏幕满时暂停，按任意键继续）。此设置仅适用于 CLI 命令（Console、Web CLI、SSH/Telnet）的 show、?或 get 命令，而不影响 Debug 或 Sniffer 输出。

配置方法

config system console
    set output {standard | more}
end

standard：移除输出中的暂停，直接输出全部内容。

当需要通过 CLI 一次收集完整输出（如通过自动化收集），不希望输出受到分页干扰时，可以启用标准模式。
适用于通过 SSH 或其他 CLI 操作来执行配置文件导出等任务时，确保无间断输出。

FortiGate # show
......
config system global
    set admintimeout 60
    set alias "FortiGate-101F"
    set gui-auto-upgrade-setup-warning disable
    set gui-ipv6 enable
    set hostname "FortiGate-101F"
    set language simch
    set switch-controller enable
    set timezone "Asia/Shanghai"
    set virtual-switch-vlan enable
end
config system accprofile
    edit "prof_admin"
        set secfabgrp read-write
        set ftviewgrp read-write
        set authgrp read-write
        set sysgrp read-write
        set netgrp read-write
        set loggrp read-write
        set fwgrp read-write
        set vpngrp read-write
        set utmgrp read-write
        set wanoptgrp read-write
        set wifi read-write
        set cli-get enable
        set cli-show enable
        set cli-exec enable
        set cli-config enable
    next
......

more（默认）：分页模式，逐页查看输出结果，按任意键继续显示后续内容。

FortiGate # show
....
config system global
   set admin-scp enable
   set admin-sport 4443
   set admin-telnet disable
   set autorun-log-fsck enable
   set cfg-save manual
   set device-idle-timeout 60
   set gui-local-out enable
   set gui-theme onyx
   set management-port-use-admin-sport disable
   set proxy-auth-timeout 5
   set switch-controller enable
   set sys-perf-log-interval 1
   set timezone "Europe/Amsterdam"
end
config system accprofile
   edit "prof_admin"
       set secfabgrp read-write
       set ftviewgrp read-write
       set authgrp read-write
       set sysgrp read-write
       set netgrp read-write
       set loggrp read-write
--More--

总结

此设置是全局生效的，因此可能会对其他管理员产生影响，特别是在 Console 上使用时，由于 Console 打印速度较慢，如果没有中断的输出，执行如 show 的命令时，将会显示完整配置，直到输出完成为止。
该设置对 FortiManager 的 CLI 脚本特别有用，尤其是在通过 FGFM 隧道应用配置更改时。使用此设置可以确保配置不会因为分页而被中断。
此设置不影响 Debug 或 Sniffer 输出。

TTL=1 的组播无法转发

Mon, 05 Jan 2026 08:33:33 GMT

问题现象

在默认配置（启用 multicast-forward）下：

config system settings
    set multicast-forward enable
end

FortiGate 会丢弃 TTL（Time To Live）值为 1 的组播（Multicast）报文。
仅转发 TTL≥2 的组播 IP 报文（转发后变为 TTL=1）。

而 TTL=1 的组播流量在实际网络中非常常见，尤其用于链路本地（link-local）组播通信。在某些业务场景下（如特定协议或设备发现机制），需要 FortiGate 能够转发 TTL=1 的组播报文：

链路本地组播协议需要跨接口转发。
依赖 TTL=1 进行设备发现（如打印机发现）或服务通告的业务。
测试/实验环境中对组播 TTL 行为有明确控制需求。

解决方法

要允许 FortiGate 转发 TTL=1 的组播报文，需要启用 multicast-ttl-notchange 配置。启用后，FortiGate 不会修改组播报文的 TTL 值，即使 TTL=1，也允许进行组播转发。

config system settings
    set multicast-ttl-notchange enable
end

注意事项

multicast-forward 模式与 multicast-routing 不能同时启用，如果使用 multicast-forward，请确保 multicast-routing 已关闭。
组播相关配置可参考官方文档：https://docs.fortinet.com/document/fortigate/7.4.99/administration-guide/999756/multicast