 ❀ 01. 解锁高端防火墙的PPPoE拨号 ❀ FortiGate 配置指南)
1. 为什么高端防火墙默认隐藏PPPoE功能第一次接触FortiGate 500E这类高端防火墙时很多工程师都会遇到一个奇怪现象明明在中低端设备上常见的PPPoE拨号选项在这里却神秘消失了。这其实不是系统bug而是Fortinet工程师的刻意设计。高端防火墙通常部署在企业核心网络或数据中心出口这些场景99%都会使用固定IP专线。想象一下你花几十万买的设备结果用来拨ADSL宽带就像用跑车去拉货一样不匹配。因此从FortiOS 6.4开始对200E/500E/1000F等高端型号默认隐藏了PPPoE功能。但现实情况往往比设计更复杂。我遇到过不少客户临时用高端防火墙做测试环境或者分支机构初期用ADSL过渡的场景。这时候就需要用到CLI命令这个后门了。通过命令行启用PPPoE的功能一直存在只是官方文档很少提及这也算是个隐藏彩蛋吧。2. 实战配置四步走2.1 接口角色设置误区在port1接口配置界面新手最容易犯的错误就是忽略角色选择。有次帮客户远程调试他反复说找不到PPPoE选项截图一看才发现接口角色还保持默认的Undefined。正确操作是进入【网络】-【接口】双击目标接口如port1在角色下拉菜单选择WAN特别注意此时界面仍不会显示PPPoE选项这是正常现象这里有个技术细节选择WAN角色后系统会自动关闭该接口的DHCP客户端功能。如果你之前用这个接口做过内网测试记得检查IP地址是否已清空。2.2 CLI命令解锁核心功能接下来就是关键操作了打开右上角的命令行图标长得像_的符号依次输入config system interface edit port1 set mode pppoe end这组命令我称之为PPPoE三件套注意几个易错点必须进入config system interface上下文环境接口名要写对大小写敏感port1≠Port1输入end后记得回车执行直接关闭窗口会丢失配置实测发现FortiOS 7.2之后命令执行成功会有绿色提示而老版本没有任何反馈容易让人误以为没生效。这时候多刷新几次页面就能看到变化。2.3 拨号参数配置技巧PPPoE选项出现后别急着填账号密码。根据我的踩坑经验建议先做三件事别名必填给接口起个像Internet_ADSL这样的名字三个月后你还记得它是干什么的单臂嗅探慎用除非你清楚知道自己在做什么否则这个高级功能可能引发广播风暴密码加密勾选密码字段旁边的加密选项防止配置备份泄露敏感信息拨号失败时先检查这些基本项账号是否带后缀如telecom163.gdMTU值是否设为1492ADSL标准值是否误开启按需拨号2.4 验证拨号成功的三种方式等待30秒后如何确认拨号真的成功了推荐三个诊断方法接口状态检查IP地址栏出现非169.254开头的公网IP状态指示灯变绿物理连接逻辑连接都正常路由表验证get router info routing-table all查找包含ppp字样的默认路由连通性测试execute ping 114.114.114.114如果能通说明PPPoE链路已正常工作3. 配套网络策略配置3.1 自动生成的隐形路由很多工程师发现一个神奇现象明明没配静态路由却能上网。这是因为FortiGate自动创建了PPP路由通过以下命令可以看到diagnose netlink route list这条路由有几个特点接口类型显示为ppp而非物理接口度量值(metric)通常为0随PPPoE会话建立/断开动态变化3.2 防火墙策略的黄金法则光能拨号还不够内网用户要上网还得配策略。记住这个公式允许内网→外网 启用NAT 基本联网具体操作进入【策略与对象】-【防火墙策略】新建策略名称建议包含方向如LAN2WAN_PPPoE流入接口选内网口如port5流出接口选PPPoE接口port1动作ACCEPTNAT选项打勾有个客户曾反映策略不生效最后发现是源地址误选了all而实际上他自定义的地址对象里没包含DHCP地址池。建议初期测试时源地址确实可以用all但正式环境要细化控制。3.3 DNS配置的隐藏坑ADSL拨号获得的DNS可能不太稳定建议在内网DHCP配置中手动指定备用DNS阿里DNS223.5.5.5腾讯DNS119.29.29.29谷歌DNS8.8.8.8国际线路在【网络】-【DNS】设置里把指定改为覆盖这样内网设备就不会完全依赖ISP提供的DNS了。4. 高阶维护与排错4.1 查看完整PPPoE日志当拨号异常时这个命令能救命diagnose debug application pppd -1 diagnose debug enable输出内容包含PAP/CHAP认证过程LCP协商细节IPCP地址分配记录记得调试完成后用diagnose debug disable关闭调试否则会影响性能。4.2 定时重拨技巧动态IP过段时间会强制断线通过cron实现每天凌晨自动重拨config system auto-script edit reset_pppoe set interval 1440 set start 00:10 set script diag int reset ppp1 next end这个脚本会在每天00:10重置PPPoE连接适合需要保持IP稳定的场景。4.3 带宽监控方案虽然ADSL上行带宽有限但监控流量仍有必要在接口页面开启SNMP监控使用FortiAnalyzer或PRTG采集数据设置阈值告警如上行超80%持续5分钟我曾经用这个方法帮客户发现内网摄像头异常上传节省了30%的上行带宽。
【实战篇 / WAN】(7.0) ❀ 01. 解锁高端防火墙的PPPoE拨号 ❀ FortiGate 配置指南
发布时间：2026/5/27 9:54:35
1. 为什么高端防火墙默认隐藏PPPoE功能第一次接触FortiGate 500E这类高端防火墙时很多工程师都会遇到一个奇怪现象明明在中低端设备上常见的PPPoE拨号选项在这里却神秘消失了。这其实不是系统bug而是Fortinet工程师的刻意设计。高端防火墙通常部署在企业核心网络或数据中心出口这些场景99%都会使用固定IP专线。想象一下你花几十万买的设备结果用来拨ADSL宽带就像用跑车去拉货一样不匹配。因此从FortiOS 6.4开始对200E/500E/1000F等高端型号默认隐藏了PPPoE功能。但现实情况往往比设计更复杂。我遇到过不少客户临时用高端防火墙做测试环境或者分支机构初期用ADSL过渡的场景。这时候就需要用到CLI命令这个后门了。通过命令行启用PPPoE的功能一直存在只是官方文档很少提及这也算是个隐藏彩蛋吧。2. 实战配置四步走2.1 接口角色设置误区在port1接口配置界面新手最容易犯的错误就是忽略角色选择。有次帮客户远程调试他反复说找不到PPPoE选项截图一看才发现接口角色还保持默认的Undefined。正确操作是进入【网络】-【接口】双击目标接口如port1在角色下拉菜单选择WAN特别注意此时界面仍不会显示PPPoE选项这是正常现象这里有个技术细节选择WAN角色后系统会自动关闭该接口的DHCP客户端功能。如果你之前用这个接口做过内网测试记得检查IP地址是否已清空。2.2 CLI命令解锁核心功能接下来就是关键操作了打开右上角的命令行图标长得像_的符号依次输入config system interface edit port1 set mode pppoe end这组命令我称之为PPPoE三件套注意几个易错点必须进入config system interface上下文环境接口名要写对大小写敏感port1≠Port1输入end后记得回车执行直接关闭窗口会丢失配置实测发现FortiOS 7.2之后命令执行成功会有绿色提示而老版本没有任何反馈容易让人误以为没生效。这时候多刷新几次页面就能看到变化。2.3 拨号参数配置技巧PPPoE选项出现后别急着填账号密码。根据我的踩坑经验建议先做三件事别名必填给接口起个像Internet_ADSL这样的名字三个月后你还记得它是干什么的单臂嗅探慎用除非你清楚知道自己在做什么否则这个高级功能可能引发广播风暴密码加密勾选密码字段旁边的加密选项防止配置备份泄露敏感信息拨号失败时先检查这些基本项账号是否带后缀如telecom163.gdMTU值是否设为1492ADSL标准值是否误开启按需拨号2.4 验证拨号成功的三种方式等待30秒后如何确认拨号真的成功了推荐三个诊断方法接口状态检查IP地址栏出现非169.254开头的公网IP状态指示灯变绿物理连接逻辑连接都正常路由表验证get router info routing-table all查找包含ppp字样的默认路由连通性测试execute ping 114.114.114.114如果能通说明PPPoE链路已正常工作3. 配套网络策略配置3.1 自动生成的隐形路由很多工程师发现一个神奇现象明明没配静态路由却能上网。这是因为FortiGate自动创建了PPP路由通过以下命令可以看到diagnose netlink route list这条路由有几个特点接口类型显示为ppp而非物理接口度量值(metric)通常为0随PPPoE会话建立/断开动态变化3.2 防火墙策略的黄金法则光能拨号还不够内网用户要上网还得配策略。记住这个公式允许内网→外网 启用NAT 基本联网具体操作进入【策略与对象】-【防火墙策略】新建策略名称建议包含方向如LAN2WAN_PPPoE流入接口选内网口如port5流出接口选PPPoE接口port1动作ACCEPTNAT选项打勾有个客户曾反映策略不生效最后发现是源地址误选了all而实际上他自定义的地址对象里没包含DHCP地址池。建议初期测试时源地址确实可以用all但正式环境要细化控制。3.3 DNS配置的隐藏坑ADSL拨号获得的DNS可能不太稳定建议在内网DHCP配置中手动指定备用DNS阿里DNS223.5.5.5腾讯DNS119.29.29.29谷歌DNS8.8.8.8国际线路在【网络】-【DNS】设置里把指定改为覆盖这样内网设备就不会完全依赖ISP提供的DNS了。4. 高阶维护与排错4.1 查看完整PPPoE日志当拨号异常时这个命令能救命diagnose debug application pppd -1 diagnose debug enable输出内容包含PAP/CHAP认证过程LCP协商细节IPCP地址分配记录记得调试完成后用diagnose debug disable关闭调试否则会影响性能。4.2 定时重拨技巧动态IP过段时间会强制断线通过cron实现每天凌晨自动重拨config system auto-script edit reset_pppoe set interval 1440 set start 00:10 set script diag int reset ppp1 next end这个脚本会在每天00:10重置PPPoE连接适合需要保持IP稳定的场景。4.3 带宽监控方案虽然ADSL上行带宽有限但监控流量仍有必要在接口页面开启SNMP监控使用FortiAnalyzer或PRTG采集数据设置阈值告警如上行超80%持续5分钟我曾经用这个方法帮客户发现内网摄像头异常上传节省了30%的上行带宽。
