Fortigate如何终止后台持续Ping进程？

Question

在FortiGate防火墙设备上，有时管理员会发现系统后台存在持续的Ping进程（如诊断模式下发起的长Ping），导致CPU占用率升高或会话表资源浪费。该问题常见于通过`execute ping`命令测试网络连通性后未及时终止，系统仍在后台持续发送ICMP报文。如何准确识别并终止这些不受控的Ping进程，成为运维中的典型难题。尤其在生产环境中，未及时处理可能影响设备稳定性。需结合诊断命令查看当前运行的Ping任务，并使用特定指令强制中断，同时避免误操作影响正常业务。

Answer 1

1. 问题背景与典型场景分析

在FortiGate防火墙的日常运维中，管理员常通过CLI执行execute ping <host>命令测试网络连通性。然而，若未明确指定发送次数（如使用count参数），系统将默认持续发送ICMP Echo请求，形成“长Ping”进程。此类进程在后台持续运行，导致CPU占用率异常升高，并不断生成新的会话条目，消耗宝贵的会话表资源。

尤其在生产环境中，这类未受控的Ping任务可能引发性能瓶颈，甚至影响关键业务流量的处理效率。更严重的是，由于该进程运行于诊断模式下，常规监控工具难以直观识别，容易被忽视。

以下为常见触发场景：

• 管理员在排查网络延迟时执行了无限制的ping命令
• 脚本自动化测试中遗漏终止条件
• 远程维护过程中连接中断，导致无法手动结束进程
• 多用户同时操作设备，未及时沟通已启动的诊断任务

2. 识别当前运行的Ping进程

要准确识别正在运行的Ping任务，需进入诊断模式并使用特定命令查看系统进程状态。以下是关键诊断步骤：

1. 登录FortiGate设备CLI，切换至diag模式：
   diagnose debug enable
2. 查看当前所有活动的诊断进程：
   diagnose sys top 5 1
3. 观察输出中是否存在ping或icmp_send相关进程
4. 进一步确认具体PID（进程ID）：
   ps aux | grep ping

示例输出片段：

PID   PPID USER    STAT   VSZ CPU% COMMAND
3421  1     admin   R      4840 12.3 ping 8.8.8.8

其中PID为3421的进程即为正在运行的Ping任务，其CPU占用率达12.3%，属于异常水平。

3. 终止不受控Ping进程的操作流程

一旦识别出异常Ping进程，应立即采取措施终止，防止资源持续消耗。操作需谨慎，避免误杀系统核心进程。

步骤	命令	说明
1	get system performance status	确认整体系统负载是否异常
2	diag sys session list | grep icmp	查看ICMP会话数量是否激增
3	kill <PID>	强制终止指定PID的进程（如kill 3421）
4	diag sys session clear	清理残留ICMP会话条目（慎用）

4. 防范机制与最佳实践建议

为避免类似问题反复发生，应建立标准化操作规范和预防机制。

graph TD A[发起Ping测试] --> B{是否指定count?} B -->|是| C[执行 execute ping count 5 host x.x.x.x] B -->|否| D[警告: 将产生长Ping] D --> E[强制要求添加count参数] C --> F[测试完成后自动退出] F --> G[记录操作日志]

推荐做法包括：

• 始终使用带count参数的ping命令，例如：
  execute ping count 10 8.8.8.8
• 启用命令审计功能：config log memory setting
• 定期巡检系统进程状态，纳入日常检查清单
• 对远程维护会话设置超时自动登出
• 培训团队成员掌握diag和ps等底层诊断命令

5. 深层原理剖析：Ping进程的系统级行为

从操作系统层面看，FortiGate基于Linux内核定制的专有系统，其execute ping命令实际调用的是用户空间的诊断模块。该模块绕过常规策略控制，直接构造原始套接字（raw socket）发送ICMP包，因此不会受到防火墙策略的限制。

每个Ping任务作为一个独立进程运行，由init（PID 1）派生。若未设置终止条件，该进程将持续驻留内存，每秒发送一个ICMP请求（默认间隔），并等待响应。这不仅占用CPU周期，还会在会话表中创建双向会话记录（ICMP type 8 / type 0），导致会话表膨胀。

当会话表接近上限时，新连接可能无法建立，进而影响NAT、SSL-VPN等依赖会话机制的功能模块。

可通过以下命令验证会话增长趋势：

diag sys session stat
# 输出示例：
icmp        total: 987 active: 987