FortiGate防火墙下WireGuard UDP Hole Punching实现P2P Mesh网络的流量通行问题咨询

各位同行好，我目前在推进一个基于WireGuard和UDP Hole Punching技术的P2P mesh网络项目，大部分节点部署在普通家庭网关后面时，打洞建立的隧道都能正常工作，但最近碰到了个头疼的问题：

我的客户那边用的是FortiGate防火墙，而且是单公网IP配置，现在防火墙完全不允许非发起端的响应流量通过，直接导致WireGuard的P2P打洞连接建立失败。

我之前特意和Fortinet的三级技术支持开了沟通会，结果对方给出的结论是“没办法解决”，说这是FortiGate的防护机制决定的。我也承认UDP Hole Punching确实有点“野路子”的感觉，但它现在是P2P领域很常用的技术了，本来以为FortiGate会有类似“应用辅助（helper）”的功能来适配这种场景，结果并没有。

目前我们临时给客户的内部设备加了一台家用防火墙，这样打洞就能正常工作了，但这显然不是长久之计——额外的设备不仅增加了成本，后续维护也很麻烦。

想请教大家有没有遇到过类似的情况？有没有什么针对FortiGate的配置方案，不需要在客户边界部署中继服务器，就能让它放行WireGuard的UDP打洞流量？比如调整NAT规则、会话超时设置，或者有没有什么隐藏的功能开关可以启用？

备注：内容来源于stack exchange，提问作者PrecisionPete