FortiGate: как выбрать модель межсетевого экрана
Коротко: FortiGate — линейка межсетевых экранов нового поколения (NGFW) Fortinet на ОС FortiOS: от настольных FG-30G и FG-40F до шасси для ЦОД. Модель выбирают не по «firewall throughput», а по Threat Protection — скорости с включёнными IPS, контролем приложений и антивирусом: у FG-60F это 700 Мбит/с при 10 Гбит/с чистой фильтрации, у FG-120G — 2,8 Гбит/с, у FG-400G — 13 Гбит/с (по матрице Fortinet, октябрь 2026). Защита по актуальным базам требует подписок FortiGuard.
Что такое FortiGate и какие задачи он закрывает
FortiGate — межсетевой экран нового поколения (NGFW, next-generation firewall). Кроме фильтрации по адресам и портам он выполняет глубокую проверку трафика: систему предотвращения вторжений (IPS), распознавание приложений, антивирусную проверку, веб- и DNS-фильтрацию, расшифровку и проверку HTTPS. В той же коробке — маршрутизация (OSPF, BGP), VPN (IPsec), SD-WAN и контроллер для точек FortiAP и коммутаторов FortiSwitch.
Типовые сценарии: периметр офиса или ЦОД, шлюз филиала с несколькими каналами связи, сегментация внутренней сети, терминация VPN для удалённых сотрудников. Одно устройство часто заменяет отдельные файрвол, VPN-концентратор, прокси и IPS.
Как читать название модели
Число в названии — класс производительности, буква — поколение платформы. FG-60F — модель класса 60 поколения F, FG-120G — класса 120 поколения G. Префикс FWF означает модель со встроенным Wi-Fi (FortiWiFi).
- FG-30G…FG-90G — настольные модели для малого офиса и филиала, медные порты 1G, у старших — 10G;
- FG-100F…FG-200G — стоечные 1U для среднего офиса и крупного филиала, порты SFP и SFP+;
- FG-400F…FG-900G — периметр крупного офиса и небольшого ЦОД, порты 10G и 25G;
- FG-1000F…FG-4800F — ЦОД и операторский класс, порты 25, 40, 100 и 400G;
- FG-7000 — шасси для крупных ЦОД.
Суффиксы: -POE — порты с питанием PoE для телефонов и точек (о стандартах — в статье PoE, PoE+ и PoE++), -DSL — встроенный модем, -3G4G и -5G — сотовый модем, -DC — питание постоянным током. Цифра 1 вместо 0 (FG-61F, FG-101F, FG-401F) означает модель с локальным накопителем для журналов.
Поколения E, F, G и аппаратное ускорение
Производительность FortiGate обеспечивают специализированные процессоры Fortinet (SPU). NP (Network Processor) ускоряет передачу пакетов и IPsec, CP (Content Processor) — проверку содержимого и SSL, SoC и SP объединяют функции на одном чипе в младших моделях.
- E — предыдущее поколение (NP6, CP9, SoC3). Ещё встречается в эксплуатации, но актуальные версии FortiOS поддерживает не на всех моделях.
- F — массовое поколение последних лет: младшие модели на SoC4, старшие (400F, 600F, 1000F, 1800F и выше) — на NP7 и CP9.
- G — новое поколение: модели начального и среднего уровня (FG-120G, FG-200G) построены на процессоре SP5.
В официальной матрице Fortinet за октябрь 2026 года средний сегмент уже представлен G-моделями (120G, 200G, 400G, 700G, 900G). Модели 100F, 200F, 400F и 600F при этом широко используются и доступны на рынке.
Какой throughput смотреть: пять разных цифр
В даташите FortiGate — несколько значений производительности, и разница между ними кратная.
- Firewall Throughput — фильтрация без проверки содержимого на пакетах 1518 байт. Самая большая цифра и наименее показательная.
- IPS Throughput — с включённой системой предотвращения вторжений на смешанном трафике (Enterprise Mix).
- NGFW Throughput — межсетевой экран, IPS и контроль приложений.
- Threat Protection Throughput — межсетевой экран, IPS, контроль приложений и защита от вредоносного ПО. По этой цифре и выбирают модель для периметра.
- SSL Inspection Throughput — проверка с расшифровкой HTTPS; нужна, если вы включаете глубокую инспекцию TLS.
Правило: измерьте пиковый трафик через периметр, умножьте на 1,5–2 для запаса на рост и подбирайте модель, у которой Threat Protection не ниже этой величины. Если планируется расшифровка HTTPS, сверяйтесь с SSL Inspection.
Производительность популярных моделей
| Модель | Firewall (1518 байт) | Threat Protection | SSL Inspection | Сессий одновременно | Порты |
| FG-40F | 5 Гбит/с | 600 Мбит/с | 310 Мбит/с | 700 тыс. | 5×1G RJ45 |
| FG-60F | 10 Гбит/с | 700 Мбит/с | 630 Мбит/с | 700 тыс. | 10×1G RJ45 |
| FG-90G | 28 Гбит/с | 2,2 Гбит/с | 2,6 Гбит/с | 3 млн | 8×1G RJ45, 2 пары 10G |
| FG-120G | 39 Гбит/с | 2,8 Гбит/с | 3 Гбит/с | 3 млн | 18×1G RJ45, 8×1G SFP, 4×10G SFP+ |
| FG-200G | 39 Гбит/с | 6 Гбит/с | 7 Гбит/с | 11 млн | 10×1G, 8×5G RJ45, 4×1G SFP, 8×10G SFP+ |
| FG-400F | 79,5 Гбит/с | 9 Гбит/с | 8 Гбит/с | 7,8 млн | 16×1G RJ45, 8×1G SFP, 4×10G SFP+ и др. |
| FG-400G | 164 Гбит/с | 13 Гбит/с | 11,5 Гбит/с | 28 млн | 4×25G SFP28, 4×10G SFP+, 16×1G SFP, 8×5G RJ45 |
| FG-900G | 164 Гбит/с | 30 Гбит/с | 16,7 Гбит/с | 28 млн | 4×25G SFP28, 4×10G SFP+, 8×1G SFP, 17×1G RJ45 |
| FG-1000F | 198 Гбит/с | 13 Гбит/с | 10 Гбит/с | 7,5 млн | 2×100G QSFP28, 8×25G SFP28 и др. |
| FG-1800F | 198 Гбит/с | 15 Гбит/с | 12 Гбит/с | 12 млн | 4×100G QSFP28, 12×25G SFP28 и др. |
Значения — «до», по матрице Fortinet за октябрь 2026 года и даташитам серий 400F и 1000F. Реальная скорость зависит от политик, профилей защиты и версии FortiOS. Для FG-100F и FG-200F Fortinet указывает Threat Protection 1 и 3 Гбит/с соответственно.
Лицензии FortiGuard и поддержка FortiCare
Без подписок FortiGate маршрутизирует, фильтрует по правилам, строит IPsec VPN и SD-WAN. Подписки нужны для функций, которые зависят от обновляемых баз Fortinet.
- IPS — сигнатуры атак и уязвимостей;
- антивирус и защита от вредоносного ПО, в том числе облачная песочница;
- веб- и DNS-фильтрация — категории сайтов и доменов;
- контроль приложений — база сигнатур для распознавания приложений.
Сервисы продаются по отдельности и пакетами: ATP (Advanced Threat Protection), UTP (Unified Threat Protection) и Enterprise Protection — от базового к расширенному набору. Контракт FortiCare даёт техническую поддержку, замену оборудования и доступ к прошивкам на портале Fortinet. Без действующих подписок защита работает на устаревших базах — для боевого периметра это недопустимо.
Отказоустойчивость, SD-WAN и Security Fabric
HA-кластер (протокол FGCP) собирают из двух одинаковых моделей с одинаковой версией FortiOS: режимы active-passive и active-active, синхронизация сессий и конфигурации. Для кластера нужны выделенные порты heartbeat.
SD-WAN встроен в FortiOS без отдельной лицензии: несколько каналов (провайдеры, LTE) объединяются в зону, трафик направляется по правилам с учётом задержек, потерь и джиттера (SLA). Это одна из причин популярности FortiGate в сетях филиалов.
Security Fabric — управление точками FortiAP и коммутаторами FortiSwitch прямо из FortiGate. Лимиты зависят от модели: например, FG-40F управляет до 16 точек и 8 коммутаторов, FG-60F — до 64 точек и 24 коммутаторов. Общий подход к беспроводной сети — в статье Как выбрать корпоративный Wi-Fi.
Совместимость: FortiOS, оптика и соседние системы
- Версия FortiOS должна поддерживаться моделью: старые E-модели не получают новых веток, а у ряда функций есть ограничения по памяти. Например, по данным Fortinet, SSL VPN не поддерживается в FortiOS 7.6 и новее на моделях с 2 ГБ ОЗУ, а для портов 100G в FG-1800F нужна FortiOS 7.4 и новее.
- Оптика: FortiGate работает с модулями Fortinet и совместимыми; для 25G и 100G проверяйте список поддерживаемых модулей. Подробнее — в статье SFP и QSFP модули.
- Соседние системы: стандартные протоколы маршрутизации и IPsec позволяют строить туннели с оборудованием других вендоров и с роутерами MikroTik (см. MikroTik RouterOS).
- Централизованное управление парком — FortiManager, журналы и отчёты — FortiAnalyzer.
Как выбрать FortiGate: 6 шагов
- Измерьте пиковый трафик через периметр и число одновременных сессий.
- Определите профиль защиты: только межсетевой экран и VPN или полный набор (IPS, антивирус, веб-фильтр), нужна ли расшифровка HTTPS.
- Выберите модель по Threat Protection (или SSL Inspection) с запасом 1,5–2.
- Проверьте порты: число и скорость (1G, 10G, 25G), медь или SFP, нужны ли PoE и сотовый модем.
- Решите вопрос отказоустойчивости: одиночное устройство или HA-пара из двух одинаковых моделей.
- Подберите подписки FortiGuard и контракт FortiCare на нужный срок.
Какая модель под задачу
| Задача | Ориентир по Threat Protection | Модели |
| Микроофис, удалённый сотрудник | до 0,5–0,6 Гбит/с | FG-30G, FG-40F |
| Офис или филиал до 50 человек | 0,7–1,3 Гбит/с | FG-60F, FG-70G, FG-80F |
| Офис 50–200 человек, несколько каналов | 2–3 Гбит/с | FG-90G, FG-100F, FG-120G |
| Центральный офис, периметр | 3–13 Гбит/с | FG-200F, FG-200G, FG-400F, FG-400G, FG-600F |
| Периметр ЦОД, порты 25G | 26–30 Гбит/с | FG-700G, FG-900G |
| ЦОД, порты 100G | 13–25 Гбит/с | FG-1000F, FG-1800F, FG-2600F |
Число пользователей — лишь ориентир: решающим остаётся измеренный трафик и набор включённых функций.
Покупка б/у FortiGate: что проверить
- Модель и версия FortiOS: поддерживает ли модель нужную ветку ПО.
- Регистрация: устройство должно быть снято с учёта в аккаунте FortiCloud прежнего владельца, иначе вы не сможете зарегистрировать его на себя и подключить подписки.
- Остаток подписок: подписки привязаны к серийному номеру; проверьте срок по серийному номеру и закладывайте новые.
- Сброс конфигурации к заводским настройкам и отсутствие чужих сертификатов и ключей.
- Комплектность: блоки питания (в стоечных старших — два), кронштейны, SFP-модули.
- Для HA — две строго одинаковые модели одной ревизии с одной версией FortiOS.
Мы проверяем FortiGate на стенде, сообщаем версию ПО и состояние по серийному номеру, помогаем подобрать подписки и совместимую оптику.
Что учесть при закупке
- Партномер полностью: модель, вариант (-POE, -DC, FWF), наличие накопителя (1 вместо 0 в номере).
- Подписки отдельными позициями в спецификации: пакет FortiGuard и FortiCare с указанием срока.
- Оптика и кабели под аплинки и HA-соединение.
- Две одинаковые единицы для HA, если отказоустойчивость нужна сразу или позже.
- Гарантия и сроки: для новых — по программе Fortinet, для б/у — гарантия магазина.
Сравнение с другими NGFW — в статье Palo Alto и Check Point: как выбрать NGFW. Модели в наличии — в подборке межсетевые экраны FortiGate.
Смотреть межсетевые экраны и безопасность в наличии →