文章总结： 本文记录了飞塔防火墙ADVPN在Web配置因评估许可证限制丢失后，通过命令行CLI重新配置HUB与Spoke的全过程。详细展示了配置命令，验证了Spoke间直连功能与超过300Mbps的高性能，并强调了命令行配置相比Web界面在许可证限制下的更高稳定性。 综合评分： 85 文章分类： 网络安全,解决方案,实战经验

飞塔ADVPN Web配置会丢失？我用命令行重新部署，性能稳如泰山！

原创

衡水铁头哥 衡水铁头哥

铁军哥

2026年2月12日 07:44 北京

前言

本文记录飞塔防火墙ADVPN的Web配置因评估许可证限制丢失后，转而使用命令行CLI重新配置的全过程。详细展示了HUB与Spoke的配置命令，并验证了Spoke间直连功能与300Mbps+的高性能，稳定性极佳。

在上次实验中（不只有华三！飞塔ADVPN同样强大，配置更简单，性能超预期！），我们发现飞塔防火墙的ADVPN还是挺好用的，通过使用配置向导和Easy Config Key，大幅降低了部署难度。而且，优异的转发性能也能确保网络质量。

但是，乐极生悲！不知道是不是我正在使用评估许可证的问题（简单了解一下FortiFirewall、FortiGate和FortiOS的试用授权情况），今天重启之后发现有部分配置竟然不翼而飞！包括ADVPN隧道接口的IP地址、BGP邻居等配置；最关键的，HUB设备上的BGP邻居没有SPOKE了。

这就导致，虽然在SPOKE设备上看，VPN隧道是协商成功的，但是没有流量，因为BGP路由没有发布核学习。

所以，我又看了一下评估许可证的限制。

可以看到，评估许可证不会过期。但评估VM许可证存在以下使用限制：

1、仅支持低加密操作，这也就是我们在配置IPsec VPN时，算法只有DES、MD5这些的原因；

2、最多支持1个CPU和2 GiB内存，这个我们已经了解了，对于测试而言已经足够；

3、最多三个接口、防火墙策略和路由，这个问题就相对严重一些了，因为在使用web页面进行配置时，他会频繁的创建对象和策略，需要用到比较多的资源；

4、没有FortiCare支持，这个无所谓，只要有手册就行。但是手册也存在更新不及时的情况。

可以看到，手册中写的版本是7.6.5，但是界面确实之前的风格，像是7.4或者7.2的风格。

为此，我打算换用命令行进行配置，来看看环境是不是能稳定一些，同时将路由协议切换为跟华三一样的OSPF（ADVPN：Full-Mesh模型组网实验）。组网拓扑如下所示：

其中，3台FortiGate的版本均为v7.6.5 build3651，互联地址如图所示，并且配置了全放通的安全策略。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：铁军哥 衡水铁头哥 衡水铁头哥《飞塔ADVPN Web配置会丢失？我用命令行重新部署，性能稳如泰山！》