【简介】FortiGate防火墙除了常规在接口上配置PPPoE拨号之外，还有一种创建PPPoE虚拟接口的拨号，相信很多人都没有用过，下面我们来看看它们之间有什么不同。
常规PPPoE拨号
首先我们来配置常规PPPoE拨号。
① 将ADSL拨号宽带接入防火墙的Wan1口，默认Wan1口是DHCP状态，因此会自动从光猫获得192.168.1.X网段的IP地址，由于internal也是192.168.1.X网段，因此菜单接口会显示一个红色的报错提示，选择Wan1接口，点击【编辑】。
② 首先输入宽带的别名，这在有多条宽带的时候容易区分，一般建议用运营商+带宽命名，也可以加入宽带类型，例如拨号、固定IP、专线等。寻址模式选择【PPPoE】，在用户名和密码处，输入你的ADSL拨号宽带帐号和密码，管理距离默认为5，如果有多条不同类型的宽带，建议修改为10，因为固定IP默认路由下的管理距离默认为10，只有管理距离相同，才能同时使用多条宽带。最后点击【确认】。
③ 回到接口界面，如果PPPoE拨号成功，在Wan1口会出现IP地址，如果只是显示0.0.0.0/0.0.0.0，说明没有拨号成功，需要耐心等待一段时间，如果仍未拨号成功，而且确定帐号密码无误，可以将光猫断电重启，再耐心等待。
④ 如果Wan1接口显示出了IP地址，恭喜你，PPPoE拨号成功了。下一步，就是修改内网IP地址了，由于192.168.1.X网段使用太频繁，有可能会引起冲突，因此建议修改内网网段，点击internal接口，选择【编辑】。
⑤ 将IP地址从192.168.1.99改为192.168.128.1，可以为以后VPN互联时避开内网地址冲突。DHCP的地址范围也要做同步修改，这里建议地址范围取20～200，为其它设备空出部分IP。DNS服务器选择【指定】，输入当前宽带的DNS地址，这样解析速度最快，如果不知道当家宽带DNS地址，也可以输入通用地址，例如114.114.114.114、8.8.8.8，最后点击【确认】。
⑥ 由于连接防火墙接口的IP地址已改，会显示丢失连接。
⑦ 电脑网卡启用DHCP，将从防火墙internal接口上获得新的IP地址。
⑧ 用新地址192.168.128.1登录防火墙。外网口和内网口都配置好了，下面就差上网策略了。选择菜单【策略&对象】-【防火墙策略】，默认已经有一条internal接口到wan1接口的上网策略，选择策略，点击【编辑】。
⑨ 给策略输入自定义的名称，当策略很多的时候容易区分。上网策略主要由流入接口、流出接口、源、目标、服务、NAT组成，默认是由internal接口到wan1接口，不限制internal接口IP，也不限制wan1接口IP，不限制访问端口，上网策略必须启用NAT。为了保护上网安全，建议启用反病毒和IPS，反病毒配置文件选择【default】，IPS配置文件选择【protect_client】，这是因为上网策略中，电脑访问互联网，电脑是客户端，只要保护客户端就可以了。启用反病毒后，SSL检查必须选择【certificate-inspection】，点击【OK】。
⑩ 在电脑的命令窗口ping baidu.com，如果能解析出IP地址并ping通，说明上网正常了。
⑪ 进入测速网站，选择同运营商的最近的测速点进行测速，多运行几次，取最后的稳定值，下次再测速时，测速点不变。
PPPoE虚拟接口拨号
下面我们来测试PPPoE虚拟接口拨号。
① 选择菜单【网络】-【接口】，点击Wan1口，弹出菜单选择【编辑】。
② 去掉别名，寻址模式选择【静态】，IP地址改为【0.0.0.0/0.0.0.0】，点击【确认】。
③ 回到接口界面，选择子菜单【新建】-【接口】。
④ 输入虚拟接口名称，点击类型下拉按钮，弹出菜单中选择【PPPoE接口】。
⑤ 点击接口下拉按钮，弹出菜单中选择【wan1】，表示这个虚拟接口是创建的wan1接口下。
⑥ 然后输入宽带帐号和密码，管理距离由默认的5改成10，点击【确认】。
⑦ 返回接口界面，可以看到在wan1接口下显示新建的PPPoE虚拟接口，并且很快就拨号成功。那是不是就立即可以上网了呢？其实还不行。
⑧ 不行的原因在上网策略上，上网策略中内网是到wan1口，但wan1口的IP是0.0.0.0/0.0.0.0，显然是无法上网的。选择上网策略，点击【编辑】。
⑨ 点击流出接口下拉按钮，弹出菜单中选择刚刚创建的PPPoE虚拟接口。其它都不动，点击【确认】。
⑩ 现在的上网策略就是内网到PPPoE虚拟接口了。
⑪ 中断的网络又通了。
⑫ 同样的环境再次测速，网速几乎没有变动。
PPPoE虚拟接口的优势
即然上面的测试证明虚拟PPPoE接口和接口下直接配置PPPoE拨号速度完全一样，那为什么还需要PPPoE虚拟接口呢？
① PPPoE虚拟接口配置更灵活，可以在一个物理接口下配置多个PPPoE接口。可独立于物理接口配置每个PPPoE虚拟接口的属性。
② 在防火墙策略、SDWAN等引用接口时更加直观和灵活。
③ PPPoE虚拟接口为动态获取网关，与策略路由配合使用时，策略路由可以正常获取到PPPoE的网关，不需要手动填写网关。
④ 防火墙接口上直接配置PPPoE拨号，修改接口下与 PPPoE 拨号无关的参数（如 DNS 覆盖、接口管理协议、MTU、inbandwidth/outbandwidth 等），PPPoE 会重新拨号，影响业务。而 PPPoE 虚拟接口修改与 PPPoE 拨号无关的参数，PPPoE 不会重新拨号，不会影响业务。
⑤ 在FortiGate设备上配置PPPoE连接时，调整 tcp-mss 参数是解决部分网站无法访问或数据包分片问题的关键步骤。由于 PPPoE 封装会在标准以太网 MTU（1500 字节）基础上增加 8 字节开销，导致有效 MTU 变为 1492 字节，若不调整 TCP 最大段大小（MSS），可能导致带有 DF（Don't Fragment）标志的大数据包被丢弃 。在防火墙接口上直接配置PPPoE拨号，拨号成功后，会动态创建 ppp 接口，无法指定动态创建的 ppp 接口的tcp-mss。而在PPPoE虚拟接口下可以设置tcp-mss参数，这在解决PPPoE环境下产生的TCP分片丢包问题非常有用。
