命令语法

2026/10/14CLI 管理7.X.X大约 3 分钟

命令语法

CLI 命令由命令关键字、参数和配置值组成。输入必须满足命令要求的数据类型及取值范围，不符合语法的命令会被拒绝。配置示例通过缩进表示嵌套层级。

语法符号

尖括号 < > 表示需要替换的变量。例如，<address_ipv4> 表示 IPv4 地址，<name_str> 表示名称字符串。
花括号 { } 表示必须填写的参数或选项。
方括号 [ ] 表示可选参数。不填写该参数时，命令仍然有效。
竖线 | 表示互斥选项，只能选择其中一个。
空格分隔的选项可以组合使用。

可选参数

show system interface [<name_str>] 中的接口名称可选。

不填写名称，查看所有接口配置。
```
# show system interface
```
填写 port1，只查看该接口配置。
```
# show system interface port1
```

互斥选项

举例：在 config system interface 的接口配置中，set status {up | down} 用于启用或禁用接口。up 表示启用，down 表示禁用，只能选择其中一个。例如，将 port1 接口设置为启用。

config system interface
    edit "port1"
        set status up
    next
end

多选列表

allowaccess 可以同时包含多个管理访问协议，选项之间使用空格。例如，允许 PING、HTTPS 和 SSH。

config system interface
    edit "port1"
        set allowaccess ping https ssh
    next
end

重要

set 命令会替换原有列表，执行前应确认所需协议完整。只想增加 SSH 时，应使用 append allowaccess ssh。列表增删方法参见系统管理 → 管理方式 → CLI 管理 → CLI 基础。

可选值与范围

举例：在 config firewall service custom 的自定义服务配置中，tcp-portrange 用于指定 TCP 目标端口，可以填写单个端口、端口范围或多个值。

set tcp-portrange <port_or_range1> [<port_or_range2> ...]

<port_or_range1> 是首个端口或范围，例如 443 或 8080-8090。
方括号表示可以继续添加其他端口或范围，多个值之间用空格分隔。
... 表示可以继续添加，不需要原样输入。

创建自定义服务 web_demo，同时包含 TCP 端口 443 和端口范围 8080-8090。

config firewall service custom
    edit "web_demo"
        set tcp-portrange 443 8080-8090
    next
end

next 与 end

next 和 end 都用于保存配置，但退出的层级不同。

next：保存当前条目，退出当前 edit，仍停留在所属表中。
end：保存当前配置，退出当前 config。嵌套配置只返回其上一级配置环境。

使用 next

进入 DHCP 服务器的地址池配置。下面使用服务器条目 10 和地址池条目 1 演示嵌套层级。

config system dhcp server
    edit 10
        set interface "port1"
        set default-gateway 192.168.10.1
        set netmask 255.255.255.0
        config ip-range
            edit 1
                set start-ip 192.168.10.100
                set end-ip 192.168.10.200
            next
FortiGate (ip-range) #

执行内层的 next 后，提示符返回 ip-range 层级。可以继续配置其他地址池条目。

使用 end

在相同的内层 edit 环境直接执行 end。

config system dhcp server
    edit 10
        set interface "port1"
        set default-gateway 192.168.10.1
        set netmask 255.255.255.0
        config ip-range
            edit 1
                set start-ip 192.168.10.100
                set end-ip 192.168.10.200
        end
FortiGate (10) #

此时内层地址池条目和 ip-range 表被保存，并退出内层 config ip-range，提示符返回外层条目 10。