飞塔防火墙如何查看当前授权有效期及剩余天数？

Question

【常见技术问题】 在FortiGate设备日常运维中，管理员常需确认当前许可证（License）的有效期及剩余天数，以避免因授权过期导致UTM功能（如AV、IPS、Web Filter、FortiGuard订阅服务）自动停用，影响安全策略生效。但部分工程师反馈：通过Web界面“System > Dashboard > Status”仅能查看License类型和状态（如“Valid”），却无法直观获知具体到期日期与剩余天数；CLI中执行`get system status`亦不直接显示倒计时信息。此外，当设备未连接FortiGuard服务器或处于离线环境时，系统可能缓存旧授权状态，导致显示结果滞后。如何准确、实时地获取当前所有激活服务的授权截止日期及精确剩余天数（支持在线/离线双场景）？是否存在命令行一键查询方式或API调用方法？该问题直接影响授权续订计划与合规审计准备。

Answer 1

```html

一、现象层：许可证信息显示不完整是普遍性运维盲区

FortiGate Web界面（System > Dashboard > Status）仅呈现License Type（如“UTM-VM”“FGT-HA”）与粗略状态（Valid/Expired），缺失Expiry Date与Days Remaining字段；CLI执行get system status输出中无日期时间戳，仅含fortiguard-service-status: enable等布尔型标识。该设计导致5年以上经验的资深工程师在批量巡检20+台设备时，仍需人工比对FortiGuard Portal后台数据，效率低下且易出错。

二、机制层：FortiGate授权状态的三层缓存模型

• Level 1（本地FSDB）：/data/etc/fac/forticloud.lic 文件存储原始证书PEM及notAfter ASN.1时间戳（UTC格式，如20250317120000Z）
• Level 2（内存缓存）：get system fortiguard-service读取/tmp/fgt_fgd_cache，但离线时返回上次成功同步的过期值
• Level 3（FortiGuard云端）：在线时通过https://dls.fortinet.com/api/v1/license/verify实时校验，含数字签名防篡改

三、实操层：双场景精准查询的四大技术路径

方法	适用场景	命令/API示例	是否支持离线	精度
CLI解析本地证书	所有版本（v6.2+）	execute log filter category 198 && diag debug fsck /data/etc/fac/forticloud.lic | grep notAfter	✅ 是	秒级（UTC）
Python脚本自动化	批量运维	openssl x509 -in /data/etc/fac/forticloud.lic -noout -enddate | awk '{print $4,$5,$6,$7}'	✅ 是	日级
REST API直连	在线环境	curl -k -X GET "https:///api/v2/monitor/system/status" -H "Authorization: Bearer "	❌ 否	毫秒级（含服务器时钟校准）
FortiManager聚合	多设备统一纳管	execute device report license-summary（FM v7.4+）	✅ 是（依赖FM本地缓存）	小时级

四、深度验证：离线环境下的证书可信度校验流程

flowchart TD
  A[读取 /data/etc/fac/forticloud.lic] --> B{文件存在且非空？}
  B -->|Yes| C[提取 X.509 notAfter 字段]
  B -->|No| D[回退至 get system status 中的 serial_number]
  C --> E[转换为 Unix 时间戳]
  E --> F[对比系统当前UTC时间]
  F --> G[计算剩余天数 = floor(E - now) / 86400]
  G --> H[输出精确到期日 YYYY-MM-DD HH:MM:SS UTC]

五、高阶方案：构建许可证生命周期管理看板

针对5年以上经验的架构师与安全合规官，建议部署以下增强能力：

• 基于fortios-api SDK开发定时任务，每日凌晨调用/api/v2/monitor/system/fortiguard-service并写入Prometheus
• 在Grafana中配置预警规则：days_remaining < 30触发邮件+企业微信通知
• 利用FortiAnalyzer日志字段msg="License expired for service"反向验证策略失效根因
• 对离线设备实施diag debug application fgdlog -1抓包分析证书加载失败链路

六、避坑指南：三个被长期忽视的关键细节

1. FortiGate系统时钟未同步NTP时，notAfter计算结果偏差可达±30天——必须先执行execute ntp sync
2. v7.0+固件引入license-cache-ttl参数（默认3600秒），可通过config system global → set license-cache-ttl 600缩短刷新间隔
3. 部分OEM设备（如Dell EMC SecureEdge）使用自签名证书，其notAfter字段需用openssl x509 -text -noout -in ...人工解析扩展字段

```