FortiGate сам работает как контроллер Wi-Fi, поэтому точки доступа FortiAP управляются из одного места без отдельного контроллера. В этой статье вы настроите Wi-Fi для сотрудников и гостей, выберете каналы и мощность и разберётесь с типичными проблемами. Названия меню приведены для FortiOS 7.x.
1. Подключение и авторизация FortiAP
- Подключите FortiAP к PoE-коммутатору или PoE-инжектору. FortiAP должна получить адрес по DHCP.
- На интерфейсе FortiGate, за которым находятся AP (Network → Interfaces), в разделе Administrative Access включите Security Fabric Connection – это разрешает протокол CAPWAP, по которому AP общаются с контроллером. Для отдельной сети AP можно выбрать режим адресации Dedicated to FortiAP.
- Откройте WiFi & Switch Controller → Managed FortiAPs. Через несколько минут AP появится в списке. Нажмите правой кнопкой и выберите Authorize.
- Дайте каждой AP понятное имя, например «AP-2этаж-переговорная», чтобы потом было легко понять, где проблема.
2. SSID для сотрудников и гостей
SSID создаются в WiFi & Switch Controller → SSIDs. Небольшому офису обычно хватает двух:
- SSID сотрудников – лучше всего WPA2/WPA3-Enterprise, где каждый сотрудник входит под своей учётной записью (через RADIUS, например Microsoft Entra ID или локальный сервер). Когда человек уходит, его учётную запись отключают, и общий пароль менять не нужно. В небольшом офисе подойдёт и WPA2/WPA3-Personal (PSK) с длинным паролем, но тогда пароль нужно менять при каждом увольнении.
- Гостевой SSID – своя подсеть и DHCP (например, SSID в tunnel-режиме, для которого FortiGate создаёт отдельный интерфейс). Политика файрвола (Policy & Objects → Firewall Policy) разрешает из гостевой сети только интернет, а не внутреннюю сеть. При желании можно добавить Captive Portal с условиями использования.
Не создавайте лишних SSID – каждый дополнительный SSID занимает эфирное время и снижает скорость.
3. Каналы, мощность и размещение
- Каналы – радионастройки находятся в WiFi & Switch Controller → FortiAP Profiles. Включите автоматический выбор каналов (Distributed Automatic Radio Resource Provisioning, DARRP), тогда FortiGate подбирает каналы с учётом помех от соседей. В диапазоне 2,4 ГГц используйте только каналы 1, 6 и 11 с узкой шириной 20 МГц. В 5 ГГц для офиса обычно разумно 20 или 40 МГц.
- Мощность – «максимум» не лучший вариант. Слишком громкая AP притягивает дальние устройства, которые не могут ответить так же громко, и устройства перестают переключаться между AP. Используйте автоматическое управление мощностью (Auto TX Power Control) или уменьшите мощность, если точек много.
- Размещение – AP вешают высоко на потолок или стену, в центре зоны, а не в шкафу или за металлическим коробом. Бетонные стены и стеклянные перегородки сильно ослабляют сигнал; лучше несколько AP с меньшей мощностью, чем одна мощная.
- Роуминг – на всех AP должен быть одинаковый SSID с одинаковыми настройками безопасности, тогда устройства сами переходят между точками. Для звонков помогает поддержка 802.11r/k/v, если её поддерживают клиентские устройства.
4. Прошивка
Держите прошивку FortiAP совместимой с версией FortiOS на FortiGate – совместимые комбинации указаны в Release Notes FortiAP. Обновить можно, выбрав AP на странице Managed FortiAPs, или вместе с обновлением FortiGate в System → Firmware & Registration. Обновляйте в нерабочее время, так как AP перезагружается.
5. Частые проблемы
- AP не появляется в списке – проверьте, получила ли AP адрес по DHCP и включён ли на интерфейсе CAPWAP (Security Fabric Connection). Если AP находится в другой подсети, чем FortiGate, она не найдёт контроллер через broadcast; тогда адрес контроллера передают DHCP-опцией 138 или задают на AP статически. CAPWAP использует UDP-порты 5246 и 5247 – они не должны блокироваться по пути.
- AP перезагружается или не работает радио – часто дело в PoE. Проверьте, соответствуют ли PoE-бюджет коммутатора (общая мощность в ваттах) и стандарт порта (802.3af/at) требованиям AP.
- Гости видят внутреннюю сеть – проверьте политики файрвола: из гостевой сети во внутреннюю не должно быть разрешающего правила.
- Низкая скорость – в мониторах WiFi & Switch Controller посмотрите загрузку каналов и уровень сигнала клиентов; часто решение – дополнительная AP или лучшее место установки.
Когда обращаться к специалисту
Если офис большой, на нескольких этажах или с толстыми стенами, стоит спланировать покрытие до покупки AP – потом места установки менять сложно. Настройку Enterprise-аутентификации и RADIUS тоже лучше доверить специалисту. Подходящие точки доступа вы найдёте на странице FortiAP; по вопросам звоните +372 53 888 229.