首先可以在命令行输入一下GUI的优化脚本：

config system settings

     set gui-switch-controller enable

    set gui-multiple-utm-profiles enable

    set gui-allow-unnamed-policy enable

    set gui-multiple-interface-policy enable

end

config system global

    set admintimeout 30

    set language simch

    set timezone 55

    set  revision-backup-on-logout enable

end

GUI查看HA的选举结果和状态：

确认HA状态正常，确认HA独立管理工作正常。后续所有的配置可以都在主防火墙上完成，配置会自动同步到备防火墙，备防火墙可以登录GUI上去查看状态等信息，无需配置。

1.FGT配置聚合端口, 并设置split为enable模式。

2.上线Core-FSW1和Core-FSW2, 将FGT和Core-FSW1以及Core-FSW2连接起来。

3.分别登录到Core-FSW1和Core-FSW2上, 配置二者直连的ISL 接口为“mclag-icl enable”。配置为ICL堆叠线路（Inter-Chassis-Link），形成两台核心交换机的堆叠。

4.配置FGT聚合端口为split disable模式。

5.上线Access-FSW1和Access-FSW2。

6.上线FortiAP和有线PC, 并测试无线网络和有线网络的连通性。

注意: 如果Switch上线时, 有的Switch是旧的版本, 最好先升级Switch的版本后, 再组建mclag或是让交换机成环。

config system ntp   // 用于FGT和FSW之间的时间同步

    set ntpsync enable

    set server-mode enable

    set interface "fortilink"

end

config system dhcp server    // 用于给FortiSwitch分配IP地址，以便FGT和FSW之间的通信

end

config system interface     // PortChannel开启fortilink

先接Core-FSW1的线，然后授权并上线Core-FSW1，再接Core-FSW1和Core-FSW2互联的线，然后授权并上线Core-FSW2：

 

此时我们看防火墙的Fortilink聚合接口，此时应该只有port1或port2其中一个物理接口是UP的，这是FortiLink split interface enable的结果：

配置Core-FSW1和Core-FSW2设备的互联接口MCLAG-ICL enable注意，先不要把所有的线都接上去，一台一台的来操作，这个命令尽量可以Console去配置，而不是GUI，有时候由于在Fortilink计算和收敛会导致GUI连接不上去，或者先将CORE-FSW1下线，先单独配置CORE-FSW2，然后再将CORE-FSW2下线，再单独配置CORE-FSW1，然后再将二者互联的线接上去，这样是最稳妥的办法，避免GUI的CLI连不上的情况出现。而接入交换机这个时候是不建议接入的，等CORE-FSW1和CORE-FSW2的堆叠形成了之后，再将接入层交换机接线并授权。

另外还要一个注意的事情是：老版本不支持从GUI直接SSH到交换机，这个时候是需要先去防火墙的DHCP Moniter那边查看到交换机的具体IP地址，然后再在防火墙的CLI里面通过命令：exec ssh admin@169.254.1.3登陆到具体的交换机上。

结果查看：

配置FortiGate聚合接口，将split设置为disable，让聚合接口（Port1和Port2）全部UP起来，充分利用聚合接口的资源，实现FortiGate与两台交换机（堆叠 ）的跨交换机聚合：

命令行：

FGT101E_Master_379 # config system interface

FGT101E_Master_379 (interface) # edit fortilink

FGT101E_Master_379 (fortilink) # show

config system interface

    edit "fortilink"

        set vdom "root"

        set fortilink enable

        set ip 169.254.1.1 255.255.255.0

        set allowaccess ping fabric

        set type aggregate

        set member "port1" "port2"

        set alias "PortChannel_FortiLink"

        set lldp-reception enable

        set lldp-transmission enable

        set snmp-index 10

        set fortilink-split-interface disable

    next

end

结果查看：

FGT101E_Master_379 # execute ssh admin@169.254.1.4

Core-FSW1 # config switch trunk

Core-FSW1 (trunk) # show

config switch trunk

    edit "D243Z17000085-0"

        set mode lacp-active

        set auto-isl 1

        set mclag-icl enable           // icl手工开启，用于建立核心交换机的堆叠

            set members "port17" "port18"            

    next

    edit "__FoRtI1LiNk0__"        // 共享的堆叠交换机的聚合口1 与FortiGate*2的HA互联  Core-FSW1的Port23和Port24

        set mode lacp-active

        set mclag enable

            set members "port23" "port24"            

    next

    edit "8DP3W16000061-0"         // 共享的堆叠交换机的聚合口2 与ACCESS-FSW1的Port47互联

        set mode lacp-active

        set auto-isl 1

        set mclag enable

            set members "port21"            

    next

    edit "8DP3W16000060-0"         // 共享的堆叠交换机的聚合口3 与ACCESS-FSW2的Port47互联

        set mode lacp-active

        set auto-isl 1

        set mclag enable

            set members "port22"            

    next

end     

Core-FSW1 (trunk) # end

Core-FSW1 # exit

Connection to 169.254.1.4 closed.

FGT101E_Master_379 # execute ssh admin@169.254.1.3

Core-FSW2 # config switch trunk

Core-FSW2 (trunk) # show

config switch trunk

    edit "D24T418000339-0"

        set mode lacp-active

        set auto-isl 1

        set mclag-icl enable               // icl手工开启，用于建立核心交换机的堆叠

            set members "port17" "port18"            

    next

    edit "8DP3W16000061-0"     // 共享的堆叠交换机的聚合口2 与ACCESS-FSW1的Port48互联

        set mode lacp-active

        set auto-isl 1

        set mclag enable

            set members "port21"            

    next

    edit "8DP3W16000060-0"  // 共享的堆叠交换机的聚合口3 与ACCESS-FSW2的Port48互联

        set mode lacp-active

        set auto-isl 1

        set mclag enable

            set members "port22"            

    next

    edit "__FoRtI1LiNk0__"          // 共享的堆叠交换机的聚合口1 与FortiGate*2的HA互联  Core-FSW2的Port23和Port24

        set mode lacp-active

        set mclag enable

            set members "port24" "port23"            

    next

end     

Core-FSW2 (trunk) # end

Core-FSW2 # exit

Connection to 169.254.1.3 closed.

FGT101E_Master_379 # 

关于跨交换机的聚合接口逻辑上可以这样理解：

Core-FSW1和Core-FSW2二者互联接口由于开启了ICL，因此就形成了堆叠交换机，可以将两台交换机看成一台大的堆叠交换机：

这台大的堆叠交换机有三个聚合接口，每个Core-FSW上看到的名字一样的聚合接口，可以认为是一个跨交换机的聚合：

__FoRtI1LiNk0__        包括四个接口 Core-FSW1 Port23/24和Core-FSW2 Port23/24，对接FortiGate-Master Port1/Port2和FortiGate-Slave Port1/Port2。

8DP3W16000061-0  包括两个接口 Core-FSW1 Port21和Core-FSW2 Port21，对接的Access-FSW1的Port47/Port48。

8DP3W16000060-0  包括两个接口 Core-FSW1 Port22和Core-FSW2 Port22，对接的Access-FSW2的Port47/Port48。

授权并上线接入交换机1和接入交换机2：

给接入交换机一个名称和描述：

 

结果查看：

Access_FSW1和Access_FSW2这两条交换机是彼此独立的，没有任何关联，接入交换机之间不存在堆叠关系。

MCLAG的配置完毕！

FGT+FSW FortiLink拓扑图接线建议：

1.配置完防火墙之后，这个时候再去接FortiGate的FortiLink到FSW的线，以及FSW之间的线，严格按照拓扑图，从核心交换机往接入交换机这样的顺序接线。

2.FSW如果以前有使用过，建议都恢复一下出厂设置，然后再加入到FortiLink。

3.FSW的后面四个接口一般都默认开启了FortiLink接口属性，如果接前面的接口可能会无法加入到FortiLink，因此FSW的FortiLink最好都使用最后面的四个接口进行接线。如果FSW接口没有开启“auto-discovery-fortilink”则需要命令行手工开启一下。

登陆到交换机上进行确认接口是否开启了fortilink：

S248DP3W16000060 # config switch interface 

4.交换机之间如果接多根线，会自动进行聚合，但是FortiLink+自动聚合会花比较长的时间，建议可以先接单线，等FortiLink的拓扑较快的形成结束之后，再增加彼此之间的另外一根线，再进行自动聚合，这样效率会比较高一些。不这样操作也没事，稍微慢一点而已。

5.接线是很重要的步骤，仔细看拓扑图，做好接口标签，不要接错。

6.接好线之后，FSW和FGT之间会自动在后台进行Fortilink&CAPWAP&MSTP&聚合接口的协商加入等操作，等Fortilink的管理结束之后，在FGT上会看到一个网站的FSW拓扑图，和我们规划的拓扑图应该是一致的，应该再次仔细核对接线是否正确。

最后不要忘记了：在FortiLink的聚合接口和FortiLink管理配置完毕，记得把这个FortiLink聚合接口加入到HA的监控接口列表中，这样当主核心交换机挂了（比如断电）之后，业务才可以平稳切换到备防火墙上：

以上FortiLink的配置和FSW的管理完毕。