Fortigate EMS VPN MSI erstellen

Hallo zusammen,

weiß jemand, wie sich Fortinet den Rollout von seinem FortiClient im best Case denkt?
Wir testen das gerade mit einer Fortigate und EMS.
Es soll rein zunächst ein VPN Client beim User ausgerollt werden, bspw. mit unserem Sofwaremgmt.
Bevor der User aber mit EMS kommunizieren kann, müsste er den Client bekommen und insgesamt müsste auch der Port, die GW IP und die EMS Adresse mitgegeben werden. Das funktioniert aber scheinbar nur, wenn der Client eine direkte Verbindung zum EMS Server hat. ( Dieser soll aber nur intern erreichbar sein)

Wie rollt ihr den Client aus?

Vielen Dank im Voraus!!