简介这份PDF培训资料围绕FortiGate基础架构路由技术展开面向网络运维工程师、安全管理员及防火墙路由配置初学者目标是帮助读者掌握FortiGate上静态路由、策略路由与动态路由协议的配置和排障思路。压缩包内共有1个文件文件类型为PDF整体大小约6.25MB内容编排紧凑便于按章节阅读。目前已有119人学习。文档从IP路由基本概念讲起说明路由表条目如何手动或自动生成并重点解析FortiGate作为三层路由器时的两次路由表查找机制与会话转发关系随后介绍静态路由、基于策略的路由匹配条件以及RIP、OSPF、BGP、IS-IS等动态路由协议的协商与选路逻辑。此外内容还涵盖Internet服务路由、IPv6路由、路由监视器、路由表监控及Distance、Metric、Priority等路由属性并配有知识测试和ECMP等价多路径的冗余与负载均衡讲解。通过这份资料读者可以形成FortiGate实际组网中的路由配置方法学会用策略路由分流特定流量并对路由表进行监控与优化。1. Fortinet基础架构路由培训先从一张路由表说起路由是Fortinet基础架构里最容易被低估的一层。之前帮客户排查过一台FortiGate去程静态路由配得完好回程方向少了一条默认路由业务表现就是单向通、反向就断。问题不在防火墙策略在路由表但很多人一开始都在策略列表里翻了一下午。FortiGate的转发决策是先查路由、再查策略路由错了策略写得再漂亮也不会命中。下面这套内容围绕Fortinet基础架构路由技术展开把路由行为模型、配置路径、排错方法和培训落地会用到的检查清单一次讲透适合网络运维、安全交付和Fortinet设备维护的工程师。看完可以独立把一张静态路由拓扑从规划配到能通并且知道流量不通时该在哪一步停下来判断。2. FortiGate路由决策模型路由表、FIB与策略路由的分工2.1 路由查找不是查一张表而是查两层FortiGate在数据平面上并不直接用路由表做转发。静态配置和动态协议先写进控制平面的路由表系统在选路完成之后把最优路径生成FIB数据包到达时直接查FIB。这个区分在排错时很重要你修改了一条静态路由路由表里能看到新条目但如果FIB没有刷新流量仍然会走老路径。很多培训文档不强调这一点导致学员在路由表明明是对的这个假象上浪费大量时间。查看两层信息的命令并不相同动手前先分清get router info routing-table all # 控制平面的核心路由表 diagnose ip route list # 下发到数据平面的FIB条目第一条命令看到的是路由协议和静态配置汇聚后的完整路由表第二条看到的才是数据包实际去匹配的转发条目。路由表有条目而FIB没有常见原因有两个出接口处于down状态或者反向路径检查RPF认为回程路径不匹配。FortiGate的接口默认启用RPF接口下可以单独关闭但生产环境不建议全局关更稳妥的做法是调整路由设计避免非对称路径触发RPF丢包。2.2 管理距离与ECMP选路的第一道闸门FortiGate的选路顺序和管理距离强相关。管理距离越小优先级越高metric只在同一种路由协议内部做比较。直连路由为0静态路由默认10OSPF默认110RIP默认120BGP默认200。静态路由本身没有metric概念所以两条静态路由要调整优先级靠的就是改distance。以下是常见路由来源的默认管理距离建议直接放进培训材料路由来源默认管理距离比较依据Connected0不参与比较Static10需要时手动调distanceOSPF110costRIP120hop countBGP200本地优先级、MED等当多条路径的管理距离相同、metric也相同时FortiGate会把它们同时下发到FIB做ECMP默认最多4条。ECMP使用哈希选路同一个会话尽量固定到同一条链路新建会话才重新哈希。这里有一个培训中常见的认知偏差改完ECMP配置后存量会话不会立刻切换必须等会话老化或手动执行diagnose sys session clear才能看到新路径。如果不提前讲清楚学员会误以为配置没生效或者以为设备出了问题。2.3 策略路由的匹配优先级策略路由在FortiGate上的匹配优先级高于普通路由表。它配置在config router policy下按输入接口、源地址、目的地址匹配一旦命中就使用策略指定的输出接口和网关不会再去查普通静态或动态路由。需要注意策略路由决定的是往哪里走数据包之后仍然要过防火墙策略检查防火墙策略拒绝时照样丢包。这个先后关系在排错时经常被忽略策略路由没配错防火墙策略也没问题但流量就是不通根因是没有理解两个阶段的执行顺序。常见做法是把策略路由当作路由阶段的例外规则来用比如总部到分公司的流量走专线、其余流量走默认出口。配置时建议把匹配范围收敛到具体网段避免用any匹配把正常流量带偏。策略条目按edit编号从小到大顺序匹配命中即停止编号越小的策略优先级越高。培训文档里要提醒学员不要依赖GUI拖拽后的隐式顺序CLI里看到什么编号就是什么顺序。3. 路由配置落地静态路由与策略路由的GUI/CLI对照3.1 GUI最小路径三步操作做完一条静态路由FortiGate的GUI路径是Network - Static Routes - Create New填写目的地址、掩码、网关、接口点击OK。操作本身不难但有两个高频错误一是不选接口或选错接口二是下一跳网关和接口不在同一直连网段。GUI会对明显的地址格式做校验但不会拦住逻辑错误的组合。网关与接口网段不一致时配置能够保存路由表里却不会出现条目这一类配置保存成功但没生效的场景是培训现场最常见的困惑点。配置完成后不要直接关掉页面先点Dashboard里的Routing Table图标或者执行get router info routing-table static确认路由已下发。如果路由表里没有回到接口页面确认接口状态是up再检查网关是否与接口IP在同一子网。批量交付时GUI效率偏低多台设备的静态路由写入建议直接用CLI脚本避免在界面上重复点选。3.2 CLI配置config router static的每个字段CLI是排查和批量化交付的主路径。一条常规静态路由的配置长这样config router static edit 1 set device port2 set dst 192.168.20.0 255.255.255.0 set gateway 10.0.10.1 set distance 10 set weight 1 set status enable next end参数说明device指定出接口必须存在且不要填成VLAN接口的物理口dst是目的网段加掩码gateway是下一跳正常情况下必须与device的直连网段一致FortiGate在递归下一跳场景下可以放宽这个限制但不建议在基础架构路由里默认依赖distance是管理距离默认10weight用于ECMP权重权重越大的路径分配到的会话越多status enable明确启用这条路由在FortiGate里编辑后默认就是启用状态但培训文档里写清楚会让脚本更安全。批量新增路由时可以用edit 0让系统自动分配ID避免手动编号冲突。已有路由做修改时要确认device和gateway一起更新只改目标网段不改出口的情况经常出现在变更脚本里造成的后果比不改更隐蔽。3.3 策略路由的CLI格式与匹配顺序策略路由用config router policy配置一个典型的多出口分流条目如下config router policy edit 1 set input-device port1 set src 10.0.10.0/24 set dst 192.168.30.0/24 set output-device port3 set gateway 172.16.30.1 set protocol 0 next endinput-device是入口接口src和dst至少填一个建议都填上避免策略意外匹配到无关流量。output-device指定出口gateway指定下一跳protocol为0时表示匹配所有协议填6匹配TCP、17匹配UDP。策略按edit编号从小到大检测命中即停止所以编号越小的规则优先级越高。同一个需求如果要同时匹配TCP和UDP需要写两条策略不要指望一条策略自动覆盖所有四层条件。策略路由配完之后记得在防火墙策略里放行对应的源目地址否则流量会卡在策略检查阶段。这个衔接点在GUI配置时不明显CLI排错时非常关键。培训文档里建议把配置后的验证步骤整理成一张表检查项命令或路径作用配置是否生效get router info routing-table static确认控制平面路由表有条目出口和网关是否正确get router info routing-table all查看flag确认转发条目指向的接口策略是否放行diagnose firewall iprope lookup或GUI策略列表确认防火墙策略命中连通性验证execute ping-options execute ping确认转发面可通4. 路由排错实操从路由表到数据平面的逐层定位4.1 第一层get router info routing-table all怎么读路由排错的第一步是看路由表命令固定为get router info routing-table all。输出里每个条目包含destination、gateway、interface、flag、distance、metric。flag字段里S表示静态路由C表示直连R是RIPO是OSPFB是BGP*表示默认路由。看到S前缀的条目说明静态路由已经在控制平面落地。如果期望的条目完全不存在问题方向基本锁定在配置阶段而不是转发阶段。接口状态对路由表的影响比很多人想象的大。静态路由的出接口down掉之后路由表条目会直接消失而不是保留一个不可达的状态。所以路由表里看不到静态路由时第一件事是检查对应接口是否up不要一头扎进路由协议配置里。接口状态用以下命令确认get hardware nic status更细的双工、速率和错误计数可以用diagnose hardware deviceinfo nic port2查看。培训时建议让学员把两条命令的差异说清楚前者看管理状态后者看物理状态。4.2 第二层diagnose ip route list与get router info的差别get router info输出的是控制平面路由表diagnose ip route list输出的是数据平面实际使用的FIB条目。两者不一致时优先以FIB为准因为数据包实际查的是FIB。常见的排查组合get router info routing-table all | grep 192.168.20.0 diagnose ip route list | grep 192.168.20.0如果控制平面有条目而FIB没有优先怀疑两个方向出接口down或者RPF丢弃。FortiGate在接口上启用RPF后会校验数据包的源地址是否能够通过同一接口回到源端回程路由不一致时数据包在入接口就会被丢掉表现就是路由表完全正常但ping不通。临时验证方法是在接口下关掉RPF再测确认后恢复原状。这个手法在培训现场很管用能够让学员直观理解非对称路由导致的丢包行为。4.3 第三层debug flow抓转发决策路由表和FIB都正常、但业务依然不通时需要看数据包在FortiGate内部的处理过程。debug flow是标准手段收敛的开启方式如下注意debug flow 的 filter 必须收敛到具体地址全流量 debug 在稍大一点的网络里就会打满 CPU生产设备上尤其要避免。diagnose debug disable diagnose debug reset diagnose debug flow filter saddr 10.0.10.5 diagnose debug flow trace start 100 diagnose debug enablefilter用的源地址也可以换成daddr过滤目的地址但地址一定要收敛。trace start 100表示最多跟踪100个数据包够用即可。在另一个终端从10.0.10.5发起ping观察CLI输出。重点看route-lookup-result字段是否found以及matched policy是否命中了预期的策略编号。结束调试时按以下顺序关闭diagnose debug disable diagnose debug flow trace stop漏掉trace stop的话后续流量可能继续被debug模块跟踪造成日志膨胀。这个细节在培训检查单里值得单独列一行。4.4 常见故障模式与判断方向结合前面三层命令四种高频现象分别对应不同的排查方向整理成表直接发给学员现象路由表FIB防火墙策略主要排查方向静态路由条目消失无无-出接口down、网关不在直连网段配置在但没进路由表无无-配置未保存、status disable、设备未选中路由表有FIB无有无-接口状态或RPF问题路由表和FIB都有业务不通有有deny或未命中防火墙策略、NAT、回程路由配置在但没进路由表这一类本质就是路由配置没有正确地挂到接口或路由表上检查顺序是先看接口up状态再看网关一致性最后确认status。回程路由缺失在培训环境里最常见两侧FortiGate只配了去程方向忘了配回程业务表现为单向能通。排查顺序就是从本端路由表确认去程再登录对端确认回程两边各跑一遍get router info routing-table all就能定位。5. 把路由基线固化成培训检查单的三种验证技巧5.1 变更前导一份完整路由快照培训操作不可避免要反复改路由最实用的做法是在改之前把路由表和静态路由配置导出为文本快照get router info routing-table all /tmp/route_before.txt show full-configuration | grep -A 25 config router static /tmp/route_before.txt变更完成后再导一份route_after.txt用diff对比。这个习惯能在回滚时节省大量时间。注意show full-configuration在大配置设备上输出较慢用grep收敛到config router static之后输出量会降到可读范围。5.2 三条命令覆盖三种视角一条路由真正生效需要同时满足三个条件控制平面有配置、数据平面有FIB条目、转发面能通。对应的验证命令组合如下get router info routing-table static diagnose ip route list | grep 192.168.20.0 execute ping-options source 10.0.10.1 execute ping 192.168.20.1 -c 3第一条确认静态路由在控制平面第二条确认FIB里确实有192.168.20.0/24的条目第三条和第四条组合起来从正确的源地址发起ping验证真实转发路径。有些场景下ping能通但业务端口不通那就要看防火墙策略这一步已经不属于路由排错范畴。培训检查单里建议把这三条命令按顺序列出来每个学员配完路由后都跑一遍三关都过才算这条路由配置合格。5.3 接口状态与网关一致性放在最前面前面4.4里提到配置没有正确地挂到接口或路由表这类问题排在首位的根因永远是接口没有up或网关不在同一子网。培训检查单的第一项就应该是接口状态检查第二步才是路由表核对。FortiGate的静态路由在接口down时条目会直接消失这个行为和不少传统路由器保留路由表条目的做法不同学员第一次接触时几乎都会踩中。培训文件的显著位置应该写下这句话接口up不代表有路由路由表有条目不代表FIB有条目FIB有条目不代表防火墙策略放行。每一层都要单独验证不要用一次ping的成功来反推所有层都正确。本文还有配套的精品资源点击获取