用途：该技能面向 FortiGate 设备面的只读运维查询，依托服务器 fortinet-mcp、命令 $FORTINET_MCP_CMD，采用 stdio 传输并调用 FortiOS REST API（bearer token）。需要 FORTIGATE_HOST 与 FORTIGATE_API_TOKEN。技能为完全只读，无任何写入路径。
主要能力（6 个工具，均只读）：fgt_system_status 查询主机名、序列号、版本、HA 模式及响应的成员；fgt_list_interfaces 查询接口链路、地址、速率、错误计数，按 VDOM 区分；fgt_get_routes 查询实际路由表，可加协议过滤；fgt_vpn_tunnels 查询 IPsec 隧道，阶段1与阶段2始终分开报告，并返回 phase1_status、phase2_status 与 phase2_selectors[]；fgt_get_policies 查询设备上实际运行的防火墙策略；fgt_compare_with_manager 对比意图与实际状态的差异。
使用方式：响应固定携带 plane 与 scope（如 device、VDOM），scope 缺失将返回错误而非无范围结果。查隧道时先看阶段1，阶段1 down 多为 IKE/对端/PSK/路由问题，可用 fgt_get_routes 检查；阶段1 up、阶段2 down 通常是 selector/proxy-ID 不匹配，需查看 phase2_selectors[]；两者皆 up 但无流量则应转向策略或分析器面。差异检测中 only_in_device 表示设备上存在而策略包中没有的规则，only_in_manager 表示策略包新增但尚未安装。
适用场景：FortiGate 设备状态核查、VPN 故障定位、越权直改检测，以及与 fortimanager-ops、fortianalyzer-ops、fwrule-analyzer、multivendor-raw-cli、pyats-troubleshoot 等技能组合使用；所有操作经 GAIT 审计。
限制：只读，不能修改 FortiGate；策略变更需走 fortimanager-ops。不可将阶段1与阶段2合并为单一状态；设备不可达时不得用管理器数据填充；必须携带 VDOM。评估许可的 FortiGate-VM 限制为 1 vCPU、2 GB 内存、3 接口、3 路由、3 策略，小规则集属实验限制；未授权设备会拒绝 REST 认证并返回 401，若全部调用报 auth_expired，应先检查 License Status 是否为 Valid。