FortiGate 7.0 SD-WAN实战生产环境WAN接口迁移与净化全指南当企业网络从传统单线架构升级到多线智能调度时FortiGate的SD-WAN功能无疑是提升带宽利用率和业务连续性的利器。但在实际部署中许多管理员都会遇到一个棘手的现实问题——那些已经承载着生产流量的WAN接口往往因为绑定了大量策略和路由而无法直接被SD-WAN调用。本文将深入解析接口净化的核心逻辑与实操方法论帮助您在不中断业务的前提下完成平滑迁移。1. 理解SD-WAN接口的干净要求FortiGate对SD-WAN成员接口有着严格的纯净度要求这并非设计缺陷而是架构使然。当系统检测到接口存在以下任一关联项时该接口将不会出现在SD-WAN成员选择列表中防火墙策略包括入站/出站策略、本地策略等静态路由特别是以该接口为出口的路由条目策略路由基于接口的PBR规则VPN配置IPSec、SSL VPN等隧道绑定负载均衡链路负载均衡组配置其他高级功能如WAN优化、流量整形等关键例外SSL VPN绑定不会阻止接口加入SD-WAN但需注意VPN客户端将无法通过SD-WAN虚拟接口连接通过CLI快速检查接口关联的完整命令diagnose sys checkused system.interface.name 接口名称2. 生产环境接口迁移四步法2.1 关联项全面审计在开始操作前建议通过以下两种方式建立完整的配置关联图谱方法一GUI可视化审计进入【网络】→【接口】右键点击表头勾选关联项显示列按关联数排序重点关注数值大于0的接口方法二CLI深度扫描# 查看接口所有策略关联 diagnose firewall policy list | grep 接口名称 # 查看路由关联 get router info routing-table static | grep 接口名称 # 检查策略路由 get router info policy-route | grep 接口名称2.2 配置备份与回滚准备在修改任何配置前必须建立可靠的回滚方案全配置备份execute backup full-config 文件名关键配置片段备份show firewall policy policy_backup.txt show router static route_backup.txt创建维护窗口建议在业务低峰期操作并提前通知相关方2.3 关联配置迁移策略针对不同类型的关联项应采用差异化的处理方式关联类型推荐处理方案风险等级防火墙策略修改出接口为virtual-wan-link中静态路由删除后重建指向SD-WAN高策略路由整体迁移到SD-WAN规则高VPN配置保留SSL VPN除外低负载均衡禁用后改用SD-WAN负载算法中特别注意对于关键业务的出站策略建议采用分阶段迁移首先复制原有策略将出接口改为virtual-wan-link保持原策略启用但降低优先级监控新策略流量正常后再禁用旧策略2.4 接口净化操作流程通过GUI执行标准净化步骤进入【网络】→【接口】点击目标接口的关联项数字在弹出窗口中对普通策略直接点击删除对路由配置记录详情后删除对VPN绑定评估是否必须保留重复检查直至关联数降为0SSL VPN除外操作警示删除静态路由会导致瞬时流量中断务必先配置好SD-WAN路由再删除原路由3. 特殊场景处理技巧3.1 混合接入环境处理当WAN接口采用不同接入方式时需注意PPPoE接口自动获取网关无需手动配置静态IP接口必须在SD-WAN成员配置中指定网关4G/LTE接口需额外注意APN配置继承典型配置差异对比# PPPoE接口自动获取网关 config system virtual-wan-link set status enable config members edit 1 set interface wan1 set gateway 自动检测 next end end # 静态IP接口手动指定网关 config system virtual-wan-link set status enable config members edit 2 set interface wan2 set gateway 203.0.113.1 set cost 10 next end end3.2 业务策略迁移方案将传统策略迁移到SD-WAN架构时推荐两种模式模式一统一出口策略所有出站流量使用virtual-wan-link作为统一出口优点配置简单易于管理缺点无法精细控制各物理链路模式二混合控制策略普通流量走virtual-wan-link关键业务通过SD-WAN规则指定物理接口典型配置示例config system sdwan config service edit 1 set name VIP_Service set dst VIP_Server_IP set priority-members wan1 next end end3.3 路由优先级管理SD-WAN引入后路由系统会发生重要变化SD-WAN生成的路由默认管理距离为1最高优先级原有静态路由应调整为更高距离值如10动态路由协议需重新调整权重查看路由优先级的有效命令get router info routing-table all4. 验证与优化闭环4.1 基础功能验证清单完成配置后必须验证以下核心功能连通性测试execute ping-options source 源IP execute ping 目标IP interface 成员接口流量路径验证diagnose sys sdwan service 服务ID故障转移测试手动断开主链路观察切换时间4.2 性能优化参数在config system virtual-wan-link中可调整以下关键参数health-check设置探测频率和目标load-balance-mode选择源IP/会话模式service-hold-down-time设置故障恢复等待期neighbor-hold-timeBGP邻居保持时间4.3 常见故障处理问题1加入SD-WAN后部分业务访问异常检查策略路由是否完全清除验证SD-WAN规则匹配顺序确认没有残留的接口绑定ACL问题2链路切换延迟过高调整health-check间隔默认10秒检查探测包是否被中间设备过滤考虑启用BFD等快速检测协议问题3流量分配不均检查成员接口的cost值设置确认load-balance-mode匹配业务特征排除策略路由残留影响在实际项目部署中我们发现多数配置问题都源于未彻底清理的关联项。某次金融客户迁移时就因为遗留的一条策略路由导致网银流量始终无法通过SD-WAN优化路径。通过diagnose sys sdwan service命令逐跳排查最终定位到是某条基于接口的策略路由优先级高于SD-WAN规则。这也印证了接口净化阶段彻底性的重要程度。
FortiGate 7.0 SD-WAN配置避坑：如何把正在上网的WAN口“洗干净”加入虚拟链路
发布时间：2026/5/28 22:15:36
FortiGate 7.0 SD-WAN实战生产环境WAN接口迁移与净化全指南当企业网络从传统单线架构升级到多线智能调度时FortiGate的SD-WAN功能无疑是提升带宽利用率和业务连续性的利器。但在实际部署中许多管理员都会遇到一个棘手的现实问题——那些已经承载着生产流量的WAN接口往往因为绑定了大量策略和路由而无法直接被SD-WAN调用。本文将深入解析接口净化的核心逻辑与实操方法论帮助您在不中断业务的前提下完成平滑迁移。1. 理解SD-WAN接口的干净要求FortiGate对SD-WAN成员接口有着严格的纯净度要求这并非设计缺陷而是架构使然。当系统检测到接口存在以下任一关联项时该接口将不会出现在SD-WAN成员选择列表中防火墙策略包括入站/出站策略、本地策略等静态路由特别是以该接口为出口的路由条目策略路由基于接口的PBR规则VPN配置IPSec、SSL VPN等隧道绑定负载均衡链路负载均衡组配置其他高级功能如WAN优化、流量整形等关键例外SSL VPN绑定不会阻止接口加入SD-WAN但需注意VPN客户端将无法通过SD-WAN虚拟接口连接通过CLI快速检查接口关联的完整命令diagnose sys checkused system.interface.name 接口名称2. 生产环境接口迁移四步法2.1 关联项全面审计在开始操作前建议通过以下两种方式建立完整的配置关联图谱方法一GUI可视化审计进入【网络】→【接口】右键点击表头勾选关联项显示列按关联数排序重点关注数值大于0的接口方法二CLI深度扫描# 查看接口所有策略关联 diagnose firewall policy list | grep 接口名称 # 查看路由关联 get router info routing-table static | grep 接口名称 # 检查策略路由 get router info policy-route | grep 接口名称2.2 配置备份与回滚准备在修改任何配置前必须建立可靠的回滚方案全配置备份execute backup full-config 文件名关键配置片段备份show firewall policy policy_backup.txt show router static route_backup.txt创建维护窗口建议在业务低峰期操作并提前通知相关方2.3 关联配置迁移策略针对不同类型的关联项应采用差异化的处理方式关联类型推荐处理方案风险等级防火墙策略修改出接口为virtual-wan-link中静态路由删除后重建指向SD-WAN高策略路由整体迁移到SD-WAN规则高VPN配置保留SSL VPN除外低负载均衡禁用后改用SD-WAN负载算法中特别注意对于关键业务的出站策略建议采用分阶段迁移首先复制原有策略将出接口改为virtual-wan-link保持原策略启用但降低优先级监控新策略流量正常后再禁用旧策略2.4 接口净化操作流程通过GUI执行标准净化步骤进入【网络】→【接口】点击目标接口的关联项数字在弹出窗口中对普通策略直接点击删除对路由配置记录详情后删除对VPN绑定评估是否必须保留重复检查直至关联数降为0SSL VPN除外操作警示删除静态路由会导致瞬时流量中断务必先配置好SD-WAN路由再删除原路由3. 特殊场景处理技巧3.1 混合接入环境处理当WAN接口采用不同接入方式时需注意PPPoE接口自动获取网关无需手动配置静态IP接口必须在SD-WAN成员配置中指定网关4G/LTE接口需额外注意APN配置继承典型配置差异对比# PPPoE接口自动获取网关 config system virtual-wan-link set status enable config members edit 1 set interface wan1 set gateway 自动检测 next end end # 静态IP接口手动指定网关 config system virtual-wan-link set status enable config members edit 2 set interface wan2 set gateway 203.0.113.1 set cost 10 next end end3.2 业务策略迁移方案将传统策略迁移到SD-WAN架构时推荐两种模式模式一统一出口策略所有出站流量使用virtual-wan-link作为统一出口优点配置简单易于管理缺点无法精细控制各物理链路模式二混合控制策略普通流量走virtual-wan-link关键业务通过SD-WAN规则指定物理接口典型配置示例config system sdwan config service edit 1 set name VIP_Service set dst VIP_Server_IP set priority-members wan1 next end end3.3 路由优先级管理SD-WAN引入后路由系统会发生重要变化SD-WAN生成的路由默认管理距离为1最高优先级原有静态路由应调整为更高距离值如10动态路由协议需重新调整权重查看路由优先级的有效命令get router info routing-table all4. 验证与优化闭环4.1 基础功能验证清单完成配置后必须验证以下核心功能连通性测试execute ping-options source 源IP execute ping 目标IP interface 成员接口流量路径验证diagnose sys sdwan service 服务ID故障转移测试手动断开主链路观察切换时间4.2 性能优化参数在config system virtual-wan-link中可调整以下关键参数health-check设置探测频率和目标load-balance-mode选择源IP/会话模式service-hold-down-time设置故障恢复等待期neighbor-hold-timeBGP邻居保持时间4.3 常见故障处理问题1加入SD-WAN后部分业务访问异常检查策略路由是否完全清除验证SD-WAN规则匹配顺序确认没有残留的接口绑定ACL问题2链路切换延迟过高调整health-check间隔默认10秒检查探测包是否被中间设备过滤考虑启用BFD等快速检测协议问题3流量分配不均检查成员接口的cost值设置确认load-balance-mode匹配业务特征排除策略路由残留影响在实际项目部署中我们发现多数配置问题都源于未彻底清理的关联项。某次金融客户迁移时就因为遗留的一条策略路由导致网银流量始终无法通过SD-WAN优化路径。通过diagnose sys sdwan service命令逐跳排查最终定位到是某条基于接口的策略路由优先级高于SD-WAN规则。这也印证了接口净化阶段彻底性的重要程度。
