在这上图显示的图表中，正常范围用蓝色表示。这条蓝线到底是什么?它表示平均值——我们的基线。这条粗黑的线是什么?这是当前的行为。当当前行为(黑线)离开正常范围时，发生了异常事件。
正常的测量和定义有很多方式。它可以是性能：预期的CPU和内存利用率、带宽和通信量。但是，它也可以是你的网络拓扑：每个节点上通常连接哪些设备。它也是行为：流量的流向，哪些协议被阻塞或代理，以及在一天、一周或一年的特定时间使用的协议和应用程序的分布。
正常行为的流和其他规范来自拓扑。因此，在故障排除过程中，网络图是必不可少的。如果使用Fortinet Technical Support创建票据，首先应该附上网络图。
网络图有时会合并两种类型的图：
● 物理
● 逻辑
通过物理图，可以了解建筑物与机柜之间线缆、端口、设备的连接情况。逻辑图显示了虚拟局域网、IP子网和路由器之间的关系(通常在OSI的第三层)。它还可以显示应用协议，如HTTP或DHCP。
例如，如果流量处理突然变慢，而FortiGate CPU使用率为75%，这说明了什么?如果CPU使用通常是60-69%，那么75%可能仍然是正常的。但如果正常水平是12-15%，那可能就有问题了。
获取时间和日期的典型最大值和最小值的数据。也就是说，在工作日或假日，网络图中的每个接口每秒应该输入或输出多少位元?
一些命令提供系统状态。get system status命令提供了大部分通用信息。输出显示了：
● 型号
● 序列号
● 固件版本
● 主机名称
● FortiGuard许可状态
● 系统时间
● FortiGuard防病毒、IPS、IP信誉数据库等的版本
在数据链路层，诊断通常分析有多少帧由于CRC错误或冲突而被丢弃。
根据型号和NIC驱动程序版本的不同，输出可能会有所不同。在所有情况下，输出都显示了物理MAC地址、管理状态和链路状态。
它显示了FortiGate接口、IP地址和关联的MAC地址。此命令列出连接到FortiGate所在局域网段的所有外部设备的信息。此处不包含FortiGate当前的IP地址和MAC地址。
IPv6也有同样的命令，例如:execute ping变为execute ping6。
记住：位置很重要。只有当您使用与正在进行故障排除的通信流量相同的路径时，测试才准确。要从FortiGate(例如FortiAnalyzer或FortiGuard)进行测试，请使用FortiGate执行ping和执行traceroute CLI命令。但是，要测试通过FortiGate的路径，还需要从终端(Windows、Linux或Mac OS X计算机)使用ping和tracert或traceroute，而不仅仅是从FortiGate命令行。
由于NAT和路由的原因，你可能需要指定一个不同的ping源IP地址——缺省地址是出接口的IP地址。如果没有响应，请检查目标器是否配置了应答ICMP echo请求的功能。
调试流程将逐步显示CPU如何处理每个包。
要使用调试流，请遵循以下步骤：
1. 定义一个过滤器。
2. 启用调试输出。
3. 启动跟踪。
4. 当跟踪完成时停止跟踪。
● 到达FortiGate的报文，包括源IP地址、目的IP地址、端口号和入接口
● FortiGate新建会话，表示会话ID
● 到达目的地址的路由，即下一跳地址和出接口
● 匹配并允许该流量的策略ID
● 源NAT是如何应用的
● 报文到达，再次表示源和目的IP地址、端口号和入方向接口
● 该流量的现有会话ID。过程中创建的会话的ID匹配SYN数据包。
● 目的NAT是如何应用的
● 到达目的地址的路由，再次指出下一跳地址和出接口
如果数据包被FortiGate丢弃，这个调试将显示该操作的原因。
这个工具对于许多其他故障排除案例非常有用，包括当你需要了解为什么一个包采用特定的路由，或者为什么应用特定的NAT IP地址。
还有什么能引起延迟?消除了物理介质和带宽使用问题后，应该检查FortiGate资源使用情况：CPU和内存。
如果使用率很高，有一些工具可以识别哪些特性消耗了最多的CPU。此外，如果你精确地知道哪个更改(如果有的话)与问题开始的时间相对应，那么你可以更快地进行故障排除。
在上图示例的顶部，输出显示这个FortiGate模型有四个cpu： CPU0、CPU1、CPU2和CPU3。接下来是RAM的使用。
在上图的例子底部，输出显示了网络流量。
一些常见的过程包括：
● Ipsengine、scanunitd等巡检流程
● reportd
● fqfmd用于FortiGuard和FortiManager连接
● forticron为调度
● 管理进程(newcli、miglogd、cmdb、sshd和httpsd)
按Shift+P按最高CPU使用率排序。按Shift+M按RAM使用率最高排序。
内存保护模式从来都不是理想的状态，因为它会影响用户流量。
FortiGate进入和退出保存模式时定义了三个不同的可配置阈值。如果内存使用率超过定义为红色阈值的总RAM的百分比，FortiGate将进入保护模式。设备所采取的操作取决于设备的配置。
如果内存使用持续增加，可能会超过极限阈值。当内存使用率高于这个最高阈值时，所有新的会话都会被删除。
第三个配置设置是绿色阈值。如果内存使用率低于这个阈值，FortiGate将退出保护模式。
● FortiGate不接受配置更改，因为它们可能会增加内存使用。
● FortiGate不运行任何隔离处理措施，包括将可疑文件转发到FortiSandbox。
● config ips global下的fail-open设置控制ips引擎在IPS发生故障时的行为。重要的是要理解，IPS失败打开不仅仅是为了保存模式。每当IPS失败时，它就会启动。最常见的故障可能是由于高CPU问题，也可能是由于高内存(保存模式)问题。启用后，在保护模式下(或其他IPS故障时)报文仍能正常传输，但不被IPS检测。如果禁用该设置，新进入的会话将丢弃数据包，但FortiOS将尝试使现有的会话像非保存模式一样工作。请记住，IPS引擎用于所有类型的基于流量的检查。当FortiGate必须识别网络应用时，也可以使用IPS引擎，而不管目的TCP/UDP端口(例如，用于应用控制)。
● off：表示不通过所有开启内容扫描的新建会话
● pass(默认)：所有新建会话都通过，不进行检查
● one-shot：类似于通行，交通不经检查就通过。然而，它将继续绕过AV代理，即使它离开保护模式。管理员必须更改此设置，或重新启动单元，以重新启动反病毒扫描。
但是，如果内存使用率超过了极端阈值，新的会话总是被丢弃，而不管FortiGate配置如何。
如果开启av-failopen-session, FortiGate允许所有的会话。否则，默认情况下，它会阻止需要基于代理的检查的新会话，直到新的套接字可用。
press any key to display configuration menu
当出现此提示时，按任意键中断启动过程，进入BIOS菜单。
如果固件损坏，或者管理员希望重新安装新固件，则可能需要这样做。但是请记住，格式化闪存会删除存储在闪存上的任何信息，比如固件镜像、配置和数字证书。
1. 运行TFTP服务器。
2. 在TFTP服务器上配置firmware镜像文件所在的文件夹。
3. 将PC机的以太网端口连接到FortiGate TFTP安装界面。
4.在BIOS菜单中选择get firmware image。
指定为TFTP安装接口的接口取决于型号。但是，在大多数情况下，它不是port1就是internal接口。
BIOS会问：
● TFTP服务器的IP地址
● FortiGate IP地址(必须与TFTP服务器在同一个c类子网中)
● 固件镜像的名称
如果一切正常，你应该会看到一系列的井号，表明设备正在下载图像。BIOS会验证文件的完整性，并提供以下三个选项：
● Save it as the default firmware
● Save it as the backup firmware
● Run the image without saving it
如果固件将在生产中使用，选择第一个选项：将其保存为默认固件。
最后一个选项(运行映像而不保存它)允许你在不覆盖flash中任何现有固件的情况下运行和测试固件。完成测试并准备回滚更改后，必须重新启动设备，并将使用以前存在的固件。
如果怀疑硬件故障，可以运行硬件测试。
如何运行硬件测试?这取决于FortiGate型号。
对于其他型号，你必须从Fortinet技术支持网站下载特殊的HQIP硬件测试图像。
上传硬件测试镜像的步骤与上传固件镜像的步骤相同。你可以运行硬件测试映像而不将其保存在闪存中，因此任何现有的固件映像都不会被覆盖。
崩溃日志中的一些日志可能指出问题。因此，Fortinet技术支持经常请求崩溃日志以进行故障排除。上图显示了获取崩溃日志必须使用的命令。
有两个命令可以显示崩溃日志中的信息：
● diagnose debug crashlog history: 列出已经崩溃的进程的摘要、发生了多少次崩溃以及最近一次崩溃的时间
● diagnose debug crashlog read：提供关于每次崩溃的详细信息，以及其他系统事件，例如保护模式进入和退出时间
通过掌握本课所涉及的目标，你学习了如何使用诊断命令和工具。
