FortiClient VPN 怎么用？Windows、macOS、手机端配置与连接排查

更新于 2026-10-19 · fxvpn.lol

简答：如果你已经拿到公司或服务方提供的远程网关、端口、账号和认证方式，先在 Fortinet 官方下载页面选择对应系统的 FortiClient VPN-only 或适合企业管理的版本，再按 SSL VPN 或 IPsec VPN 填写参数。FortiClient 不是注册后即可独立使用的公共 VPN，能否连接取决于对端 FortiGate 或企业 VPN 网关是否已配置。本文不是 Fortinet 官方页面，而是依据公开官方文档整理；不同版本的菜单名称可能不同，请以当前客户端和对应版本文档为准。

定义：FortiClient VPN 是用于连接已配置企业 VPN 网关的客户端，常见连接方式包括 SSL VPN 和 IPsec VPN，不等同于可自行注册使用的公共 VPN 服务。

先准备这 6 项信息，再开始配置

如果客户端已经安装但不知道字段怎么填，先向企业管理员或 VPN 服务提供方索取以下信息。缺少其中一项时，不要用猜测的域名、端口或密钥替代。

需要确认的项目	它决定什么	常见取得方式
VPN 协议	决定选择 SSL VPN 还是 IPsec VPN	向管理员确认，不能仅凭客户端名称判断
远程网关	客户端连接的服务器地址	管理员提供的域名或 IP 地址
端口	决定连接使用的服务端口	SSL VPN 常见默认值为 443，但自定义端口必须以管理员提供的信息为准
用户名和密码	完成账号认证	企业账号、统一身份认证或服务方账号
验证码、证书或预共享密钥	完成多因素、证书或 IPsec 认证	管理员、认证应用或证书部署流程
连接后验证方式	判断是否真正进入内网	内网网址、文件服务器、业务系统或管理员指定的测试地址

Fortinet 官方文档说明，VPN-only 客户端用于基本的 SSL VPN 和 IPsec VPN 连接，完整版本还涉及 EMS 集中管理等能力；具体功能会随版本和部署方式变化。可先查看 Fortinet 官方产品下载页面和 FortiClient 独立 VPN 客户端说明。

下载安装：按设备选择版本，不要混用安装包

Windows

打开 Fortinet 官方产品下载页面，选择 Windows 对应的 VPN-only 或企业版本。
运行安装程序。官方 Windows 安装文档要求使用具备管理员权限的账户完成安装。
首次打开客户端后，接受免责声明或按企业要求完成 EMS 注册；仅需要手动连接企业 VPN 时，使用 VPN-only 版本通常更直接。
进入 Remote Access 或 VPN 页面，选择新增连接。菜单名称可能因版本不同而变化。

Fortinet 的 Windows 文档还列出了 VPN-only 安装包、标准安装包和命令行工具等不同文件，文件名和架构应以当前下载页面及对应版本发布说明为准，不能把旧版本文件名当成固定下载地址。参考 FortiClient Windows 安装文档。

macOS

下载与 macOS 系统和处理器架构匹配的安装包，打开安装程序并完成授权。
首次安装后，按系统提示允许 FortiClient 的系统扩展和相关权限。
如果系统阻止扩展加载，进入系统设置中的隐私与安全性或系统扩展页面，检查是否有待允许的 FortiClient 项目。
打开 FortiClient，在 Remote Access 或 VPN 页面新增 SSL VPN 或 IPsec VPN 配置。

官方 macOS 文档指出，手动安装后可能需要激活系统扩展，并提示 FortiClient 使用 198.19.0.0/16 子网；如果本地环境已经占用该网段，需要先向管理员确认。界面名称请以当前 macOS 版本为准，参考 FortiClient macOS 安装与权限文档。

Android 与 iPhone

从当前系统的正规应用分发入口或 Fortinet 官方下载页面获取 FortiClient。
打开应用，进入 VPN 或 Remote Access 页面，新增连接。
选择 SSL VPN 或 IPsec VPN，填写管理员提供的网关、端口、认证方式和账号信息。
首次连接时，系统可能显示 VPN 权限、证书或自签名证书确认提示；只有在确认网关来源可信且符合企业要求时才继续。

Fortinet 的 Android 文档提供了手动创建 SSL VPN 连接的路径：进入应用菜单中的 VPN，选择 New VPN，再选择 SSL VPN。iOS 文档则列出手动配置、配置文件或集中下发等方式；手机端菜单会随应用版本变化，参考 Android SSL VPN 配置文档和 iOS SSL VPN 文档。

SSL VPN 和 IPsec VPN：字段与连接逻辑不同

普通用户最容易遇到的问题，是把 SSL VPN 的网关和端口填写方式，套用到 IPsec VPN。先确认协议，再打开对应配置页。

对比项目	SSL VPN	IPsec VPN
基本参数	连接名、远程网关、端口、账号认证	远程网关、认证方法、XAuth 或账号认证、IKE 版本
证书或密钥	可能需要客户端证书或服务器证书确认	可能需要 X.509 证书或预共享密钥
端口理解	官方 SSL VPN 配置文档列出的默认端口为 443，但管理员可以设置其他端口	不能直接套用 SSL VPN 的端口，需要按 IPsec 网关策略确认
版本与部署限制	受 FortiGate、FortiOS、客户端版本和认证方式影响	受 IKE、阶段一和阶段二参数、EMS 或网关部署方式影响

配置 SSL VPN 时，进入 Remote Access，选择 Configure VPN 和 SSL-VPN，填写连接名、Remote Gateway，并在需要时启用自定义端口。Fortinet 官方文档还提示，FortiOS 7.6.3 及更高版本不再支持 SSL VPN 隧道模式，因此是否继续使用 SSL VPN 需要由网关管理员确认；不要把旧版教程直接套到新网关。参考 FortiClient SSL VPN 配置文档。

配置 IPsec VPN 时，客户端可能要求选择 X.509 Certificate 或 Pre-shared Key，再设置 XAuth、用户名、IKE Version 以及高级的阶段一和阶段二参数。若管理员只给了一个域名、账号和密码，却没有说明 IPsec 的 IKE、加密算法或预共享密钥，不要自行猜测，应要求对方提供匹配的配置资料。可对照 FortiClient IPsec VPN 配置文档。

连接失败时，按现象排查而不是反复改密码

现象	先检查什么	下一步
服务器地址无法连接	远程网关拼写、网络是否在线、端口是否为管理员提供的值	在浏览器或网络工具中只能做基础连通性检查；端口可达不代表 VPN 认证一定成功
提示认证失败	用户名、密码、验证码时间、账号是否被锁定	确认企业身份认证方式，避免连续尝试导致临时锁定
出现证书警告	网关域名是否正确、证书是否属于该企业、系统时间是否准确	无法确认证书来源时停止连接，让管理员核对证书链或下发方式
IPsec 无法建立	IKE 版本、预共享密钥或证书、XAuth、阶段一和阶段二参数	把客户端配置页中的参数与网关端配置逐项比对
显示已连接但打不开内网	访问的地址是否属于企业内网、是否需要内部 DNS、是否为分流策略	先访问管理员指定的内网测试地址，再检查 DNS 和路由，不要只看客户端状态
macOS 安装后无法正常工作	系统扩展、网络权限、隐私与安全性设置	重新打开系统设置检查待批准项目，并确认客户端版本与系统版本匹配

如果使用 Android，并且管理员明确要求启用 DTLS，Fortinet 文档说明 Android 7.2.1 及更高版本支持该功能，但客户端默认可能关闭，需要在设置中启用 Prefer DTLS Tunnel；这项设置只有在网关侧也启用 DTLS 时才有意义。参考 FortiClient Android DTLS 文档。

判断连接成功时，不要只看“Connected”或系统 VPN 图标。应访问管理员提供的内网域名、业务系统或文件服务，并确认 DNS 解析、路由和权限均符合预期。若只有公网网页可访问，不能据此证明企业内网已经打通。

使用前的安全与版本清单

下载入口：优先从 Fortinet 官方产品下载页面或企业管理员提供的安装包获取客户端。
版本匹配：记录客户端版本、系统版本、网关端 FortiOS 版本和 VPN 协议；官方文档的菜单和支持范围会因版本不同而变化。
认证材料：不要把密码、验证码、证书和预共享密钥发到公开群组或交给不明人员。
证书确认：首次遇到证书警告时，先核对网关域名和证书归属，再决定是否继续。
连接验证：使用企业指定的内网资源验证，不要以普通网站能否打开作为唯一判断。
问题反馈：向管理员提供客户端版本、操作系统、协议、错误现象和发生时间，避免只说“连不上”。

如果你需要进一步判断延迟、丢包或本地网络是否影响连接，可以参考站内的延迟、丢包与速度对比方法；它用于网络观测，不替代企业 VPN 网关配置。

常见问题

FortiClient VPN 可以像公共 VPN 一样注册后直接使用吗？

通常不可以。FortiClient 主要用于连接已配置的企业 VPN 网关，至少需要远程网关和对应认证信息。客户端本身不会替你提供可直接使用的企业内网入口。

FortiClient SSL VPN 的端口是不是固定为 443？

官方 SSL VPN 配置文档列出的默认端口是 443，但管理员可以配置自定义端口。若对方提供了其他端口，应以该端口为准，不要只填写 443。

SSL VPN 和 IPsec VPN 应该选哪个？

不能由用户单独决定，应根据企业网关已经启用的协议选择。SSL VPN 常见字段是远程网关、端口和账号认证；IPsec VPN 可能还需要 IKE 版本、预共享密钥、证书、XAuth 以及阶段一和阶段二参数。

FortiClient 显示已连接，但企业系统打不开怎么办？

先访问管理员指定的内网测试地址，再检查内部 DNS、分流路由和账号权限。客户端显示已连接只说明隧道建立，不一定表示所有内网资源都已获得访问权限。

macOS 安装 FortiClient 后为什么还要开启系统扩展？

macOS 会限制网络扩展和相关系统组件。Fortinet 官方安装文档说明，手动安装后可能需要激活系统扩展和处理系统权限；请在系统设置中检查待批准项目，并以当前 macOS 界面为准。