Межсетевые экраны FortiGate — линейка NGFW от Fortinet

Fortinet начала выпускать FortiGate в 2002 году. С тех пор линейка разрослась до нескольких десятков моделей: от настольного устройства с пятью гигабитными портами до шасси, которое пропускает больше терабита в секунду. Один и тот же FortiOS работает и на коробке за 60 тысяч рублей, и на шасси для ЦОД — этим линейка и держит рынок.

Ниже — разбор по сегментам, технологии, критерии подбора и лицензирование. Если модель уже выбрана, переходите в раздел межсетевых экранов каталога — там 458 позиций FortiGate с наличием и ценами.

Линейки FortiGate по сегментам

FortiGate не делится на «младшие» и «старшие» внутри одной серии. Серия — это платформа под конкретный класс нагрузки, и перепутать их между собой дорого.

Настольные модели различаются в первую очередь портовой конфигурацией и наличием PoE. FortiGate 40F — это пять гигабитных RJ45 и заявленные 5 Гбит/с firewall throughput. У 60F портов десять, паспортная производительность 10 Гбит/с, и именно эта модель чаще всего уходит в проекты для офиса на 30–50 человек. Серия 70G и 90G — свежая, на процессорах NP7, с портами 2.5 GE и 10 GE, они приходят на смену 60F и 80F там, где канал уже вырос за гигабит.

Стоечные 100F и 200F закрывают кампус и распределённую сеть. У 100F порядка 20 Гбит/с firewall throughput и 10 гигабитных портов, у 200F — вдвое выше. Дальше начинаются 400F и 600F с модульными слотами расширения: там можно добавить 10 GE, 40 GE или SFP+ по мере роста сети, не меняя устройство.

Модели 900G и выше — это уже не «экран на выходе в интернет», а элемент инфраструктуры с резервированием по питанию, горячей заменой компонентов и пропускной способностью, измеряемой сотнями гигабит. Их ставят перед ЦОД, на границу оператора, для сегментации внутри крупной сети.

Технологии: чем FortiGate отличается от софтверного файрвола

Главное отличие — специализированные процессоры безопасности, SPU. Это отдельные чипы внутри устройства, которые берут на себя шифрование, проверку сессий и разбор трафика. У серии F это NP6 и CP9, у серии G — NP7 и CP10. Центральный CPU при этом остаётся свободен для задач управления.

Практический эффект простой. Софтверный файрвол на сервере с двумя гигабитными картами падает, когда вы включаете инспекцию TLS: каждое зашифрованное соединение приходится расшифровывать, проверять и шифровать обратно. FortiGate с SPU делает то же в железе.

Дальше — FortiOS. Единая операционная система на всех моделях означает, что настройки, политики и шаблоны переносятся между устройствами разных сегментов. Настройка, снятая с 40F, ляжет в основу конфигурации для 200F.

Security Fabric — это способ собрать всё оборудование Fortinet в одну управляемую сеть. FortiGate видит, что происходит на FortiSwitch и FortiAP, и умеет автоматически изолировать порт коммутатора, если на подключённом компьютере сработала сигнатура. FortiManager раздаёт политики на сотни устройств, FortiAnalyzer собирает логи и строит отчёты. Отдельно стоит экосистема FortiGuard Labs: её специалисты обновляют базы сигнатур, и без подписки эти обновления не приходят.

Функции NGFW

Помимо собственно фильтрации по адресам и портам, FortiGate умеет:

• предотвращение вторжений (IPS) на основе сигнатур и поведенческого анализа;
• контроль приложений — блокировка или ограничение конкретных сервисов независимо от порта;
• веб-фильтрация по категориям с учётом репутации домена;
• антивирус на потоке, включая проверку файлов внутри архивов;
• защита от ботнетов и отражение DDoS-атак;
• инспекция шифрованного трафика TLS и SSL;
• SD-WAN с выбором маршрута по качеству канала — для распределённых сетей это часто важнее, чем сам файрвол;
• IPsec и SSL VPN для сотрудников и связи между площадками.

Из этого списка заказчика обычно интересуют IPS, контроль приложений и SD-WAN. Инспекция TLS — самая тяжёлая операция, и именно она определяет реальную нагрузку на устройство.

Как выбрать модель: считайте по Threat Protection, а не по паспорту

Производители указывают в даташитах четыре разных числа, и разница между ними — разы. Разберём на FortiGate 100F: firewall throughput около 20 Гбит/с, IPS — 2,6 Гбит/с, NGFW — 1,6 Гбит/с, Threat Protection — столько же. Firewall throughput измеряют на простом правиле «пропустить всё» с крупными пакетами. Это цифра для маркетинга, а не для проектирования.

Обычный совет — «бери модель с запасом по пропускной способности» — на практике приводит к другому перекосу: заказчик берёт 40F под гигабитный канал, включает инспекцию TLS, контроль приложений и антивирус, и получает 300–400 Мбит/с вместо ожидаемого гигабита. Потому что Threat Protection у 40F — это как раз порядка 600 Мбит/с в лабораторных условиях, а на реальном трафике с TLS будет ниже.

Считать нужно так:

• Пропускная способность канала — по цифре Threat Protection, не по firewall.
• Число пользователей — прикиньте 1,5–2 Мбит/с на активного пользователя в момент пиковой нагрузки, плюс запас на инспекцию TLS.
• Одновременные сессии — важны для серверных сегментов и сетей с большим числом коротких HTTP-соединений.
• Число VPN-туннелей — по количеству филиалов и удалённых сотрудников, а не «сколько влезет».
• Интерфейсы — 10 GE нужен там, где есть коммутатор с 10 GE; заказывать модель с ними «на будущее» бессмысленно, если магистраль гигабитная.

Отдельный пункт для госзаказчиков и компаний с требованиями регулятора: если нужен сертифицированный ФСТЭК межсетевой экран, сертификат привязан к конкретной модели и версии FortiOS. Проверять актуальный реестр нужно перед сделкой, потому что статус меняется.

Важная деталь про серию E. FortiGate 60E, 100E, 200E и другие модели серии E снимаются с поддержки — конечные даты по многим из них приходятся на 2026 год. На вторичном рынке они дешевле новых F и G, и это выглядит как выгодная сделка. На практике вы получаете устройство без обновлений сигнатур: FortiGuard перестаёт отдавать базы, IPS и антивирус превращаются в набор пустых модулей, остаётся обычная фильтрация пакетов. Считайте остаточный срок поддержки до покупки.

Лицензирование FortiGate

Без подписки FortiGate работает как обычный межсетевой экран: маршрутизация, NAT, фильтрация по адресам и портам, VPN, SD-WAN. Всё, что делает его NGFW, живёт на подписках FortiGuard.

Основные пакеты:

• UTP (Unified Threat Protection) — IPS, антивирус, контроль приложений, веб-фильтрация, защита от ботнетов. Базовый набор для большинства.
• ATP (Advanced Threat Protection) — UTP плюс облачная песочница FortiSandbox для анализа неизвестных файлов.
• Enterprise — расширенный набор с поддержкой IoT-устройств и дополнительными сервисами оценки рисков.
• FortiCare — техническая поддержка и обновления FortiOS. Без неё не будет и обновлений прошивки.

Сроки — год, три года, пять лет. Брать пять лет обычно выгоднее: цена подписки на год продлевается по прайсу на момент продления, а он меняется вместе с курсом.

Кому подходит FortiGate

Малому офису — настольная модель 40F или 60F с подпиской UTP. Распределённой сети с филиалами — стоечные 100F и 200F, где SD-WAN и централизованное управление через FortiManager экономят время администратора. ЦОД и крупному предприятию — модели от 900G и выше, с резервированием и модулями расширения. Для сегментации внутренней сети FortiGate тоже подходит: внутренние интерфейсы с политиками между ними закрывают задачу разделения гостевого, серверного и пользовательского трафика.

Почему Servernova

Мы подбираем конфигурацию под задачу, а не по прайс-листу. Инженер уточнит пропускную способность канала, число площадок и требуемые сервисы, посчитает нагрузку при включённых защитах и предложит модель с подпиской нужного срока. Поставляем официально, с гарантией от 1 до 3 лет и полным комплектом документов. Отгрузка со склада в Москве — 3–5 рабочих дней, со складов партнёров — 5–10, под заказ — от 4 до 6 недель. Доставка по всей России, включая регионы ЕАЭС.

Частые вопросы

FortiGate и Fortinet — это одно и то же? 

Fortinet — производитель, FortiGate — название линейки межсетевых экранов этого производителя. У Fortinet есть и другое оборудование: коммутаторы FortiSwitch, точки доступа FortiAP, средства анализа FortiAnalyzer.

Чем FortiGate отличается от Sophos XGS или Cisco Firepower? 

Все три линейки закрывают задачи NGFW, разница в архитектуре и экосистеме. У FortiGate сильнее интеграция с собственными коммутаторами и средствами централизованного управления, а также шире модельный ряд — от настольных устройств до шасси.

Можно ли использовать FortiGate без подписки FortiGuard? 

Да, но только базовые функции: маршрутизация, NAT, фильтрация по портам, VPN. IPS, антивирус и веб-фильтрация без обновления баз теряют смысл.

Нужен ли отдельный коммутатор, если есть FortiGate 60F? 

У 60F десять гигабитных портов, для офиса на 20–30 человек их хватает. Когда понадобится больше портов или PoE для точек доступа, добавите FortiSwitch — он управляется из интерфейса FortiGate.

Как быстро FortiGate защитит офис после покупки? 

Типовая конфигурация под офисную сеть — это несколько часов работы инженера. Сложность добавляют инспекция TLS и настройка SD-WAN между площадками.

Что выбрать для двух филиалов и одного офиса? 

Две настольные модели в филиалах и стоечная в офисе, объединённые IPsec-туннелями, плюс FortiManager для единых политик. Точную модель стоит считать по каналу и числу пользователей.

Смотрите также

• Межсетевые экраны в каталоге — 458 моделей FortiGate
• Cisco — межсетевые экраны Firepower и маршрутизаторы
• Sophos — линейка XGS с синхронизированной защитой
• Huawei — решения HiSecEngine
• Коммутаторы (свитчи) — для сегментации за межсетевым экраном