macOS 上的 FortiClient：托管还是手动，以及要准备哪些信息
安装前先决定托管还是手动，然后收集网关要的协议、网关、端口和身份。只知道一个主机名是不够的。
FortiClient 的安装起点是你要接入的服务，而不是界面上先出现的那个 VPN 按钮。公司统一管理的 Mac 与个人自行配置的客户端，可能需要不同的安装包、不同的策略负责人和不同的注册步骤。先把这套模式定下来，能省下一小时装错安装包再重来的时间。
先确定归属模式
如果组织部署了 FortiClient EMS，并希望集中下发连接、配置文件和各个安全模块，就选托管。只有当管理员确认你的账号与设备允许手动配置时，才选手动。把这个选择写下来，和设备记录放在一起。以后再改就是重新注册，而不是勾一个复选框。
这两种模式事后无法互换。托管配置文件可能被锁定，而为了露出手动选项去解除管理，本质上是把策略变更伪装成故障排查。如果被锁定的配置文件挡住了你需要的连接，那应该去找负责人沟通，而不是在本地绕开。
收集连接所需的约定
安装之前先收集五项信息：VPN 协议、网关主机名、非默认端口、认证方式，以及涉及到的证书或令牌。同时确认连接是由 EMS 下发，还是需要你手工配置。
账号登录、客户端证书身份和注册令牌三者要分开保管。它们可能出现在同一个流程里，但并不等于可以互相替代的凭据。除非部署说明明确要求，否则不要把完整的浏览器登录 URL 粘进网关字段。
让协议与网关版本相匹配
可用协议由网关软件决定，而不是客户端菜单。Fortinet 的文档说明，FortiOS 7.6.3 及更高版本不再支持SSL VPN隧道模式，因此旧的 SSL-VPN 操作指南不能代替管理员给出的最新说明。选协议之前先问网关提供哪种模式。把模式记进连接备注里。下一个人会用到它。
在受支持的 SSL-VPN 部署中，FortiClient 文档中的表单需要填写连接名称、Remote Gateway 和一个可选的定制端口。IPsec 有自己的设置，选中它并不等于把 SSL 配置文件转换过去。把两者的字段互相照抄，得到的连接看起来配置完整，却永远建立不起来。
安装、批准、下发
运行与目标部署相符的、经过批准的安装程序，然后完成它请求的 macOS 授权。在批准系统扩展和 VPN 配置时，核对发布者与所请求的组件，因为权限的名称和位置在不同 macOS 版本之间会变化，一张旧截图不能成为削弱启动安全的理由。
如果这台 Mac 由组织管理，就让授权策略来下发连接，不要覆盖它。若允许手动配置，打开「远程访问」，填入你收集到的那些约定。然后用对方提供的认证流程连接，包括浏览器单点登录或第二因素，并校验服务器身份，而不是对意料之外的证书警告直接点继续。
验证资源，而不是那个绿色图标
隧道建立之后，打开被授权访问的内部应用，确认它的内部名称能按预期解析。已连接指示灯并不能证明每条路由或每个 DNS 域都已下发，更不能证明你需要的那个应用真的可达。
《FortiClient 连接指南》是分版本的，请阅读与所装安装包对应的那一份。如果安装失败，上报客户端版本、macOS 版本、配置文件身份、时间以及第一条有意义的报错，并且不要把导出的密钥和私钥写进报告。
配置成功意味着：经过批准的客户端、策略负责人、认证方式和资源路径四者相互吻合。它并不意味着每台 Mac 都需要全部安全模块，也不意味着每个权限弹窗都应该不看内容就点同意。