Wenn Ihre FortiGate 60F plötzlich alle neuen SSL-VPN-Verbindungen abbricht und die Konsolenprotokolle Fehlermeldungen ausgeben kernel: System enters conserve modeSie erleben wahrscheinlich gerade die praktischen Auswirkungen von Lizenzierungs- und Inspektionsmodus-Inkompatibilitäten. Für Netzwerktechniker, die Sicherheitsgateways in Deutschland, Großbritannien und Australien einsetzen, ist die Dimensionierung einer Fortinet-Firewall nicht einfach eine Frage des Abgleichs der Benutzeranzahl mit den Durchsatzangaben im Datenblatt. Sie erfordert ein tiefes Verständnis dafür, wie FortiOS Speicher für Proxy-basierte Sicherheits-Daemons (WAD) im Vergleich zur Flow-basierten Auslagerung auf die Security Processing Unit (SPU) zuweist und wie sich die Wahl zwischen Advanced Threat Protection (ATP)-, Unified Threat Protection (UTP)- und Enterprise Protection (EP)-Lizenzen auf den Hardware-Ressourcenverbrauch auswirkt.
Architektur auf Siliziumebene: Dynamik der SPU-, CP9- und NP6XLite-Pipeline
Um zu verstehen, warum Lizenzentscheidungen die Hardware-Dimensionierung bestimmen, müssen wir uns die Siliziumtechnologie ansehen. Fortinets Wettbewerbsvorteil beruht auf proprietären anwendungsspezifischen integrierten Schaltungen (ASICs) anstelle generischer x86-CPU-Architekturen.
- System on a Chip 4 (SOC4): Der im Einsteigermodell FortiGate 60F verbaute SOC4 integriert eine Quad-Core-ARM-CPU mit einem Content Processor 9 (CP9) und einem Network Processor 6 Lite (NP6XLite) auf einem einzigen Chip.
- Spezielle CP9- und NP6XLite-/NP6-Versionen: Diese Plattformen, die in den FortiGate 100F und FortiGate 200F der Mittelklasse zu finden sind, trennen die CPU von dedizierten CP9- und NP6/NP6XLite-Chips und bieten dadurch deutlich größere Paketpuffer und Sitzungstabellen.
Der NP6/NP6XLite-Prozessor übernimmt das Fast-Path-Offloading, das IPv4/IPv6-Routing, NAT, die IPsec-VPN-Verschlüsselung/-Entschlüsselung sowie grundlegende Stateful-Firewall-Funktionen in Leitungsgeschwindigkeit. Der CP9-Prozessor fungiert als Co-Prozessor und lagert ressourcenintensive kryptografische Operationen (SSL/TLS-Entschlüsselung) und Mustererkennung für die Intrusion-Prevention-System- (IPS) und Antivirus-Engines (AV) aus.
Der architektonische Engpass liegt jedoch in der Inspektionsmodus:
- Durchflussbasierte Inspektion: Die IPS-Engine analysiert Pakete in Echtzeit, während sie die SPU passieren. Sie puffert keine ganzen Dateien, was zu extrem niedriger Latenz und minimaler RAM-Auslastung führt.
- Proxybasierte Inspektion: Der FortiOS WAD (Worker Application Daemon) fängt die Verbindung ab, puffert die gesamte Nutzlast im System-RAM und führt eine gründliche Überprüfung durch.
Wenn Sie die Lizenzierung UTP or Unternehmensschutz Beim Bündeln und Konfigurieren von Richtlinien im Proxy-Modus auf einer FortiGate 60F (die nur über 2 GB Arbeitsspeicher verfügt) belegen die WAD-Prozesse schnell den gesamten Arbeitsspeicher. Wie häufig im Subreddit r/networking berichtet wird, können Firmware-Fehler oder Spitzenwerte bei gleichzeitigen Sitzungen verhindern, dass der WAD-Daemon Speicher freigibt. Dies führt zu einem Speicherleck, das den FortiOS-Energiesparmodus auslöst. Im Energiesparmodus umgeht die Firewall entweder die Sicherheitsprüfung oder verwirft neue Sitzungen vollständig, abhängig von den konfigurierten Fail-Open/Fail-Closed-Richtlinien.
Fortinet-Lizenzpakete im Detail: ATP vs. UTP vs. Enterprise Protection
Die Wahl des richtigen Lizenzpakets hat direkten Einfluss darauf, welche Sicherheitsdienste auf der CPU ausgeführt werden und wie viel Speicher für Signaturdatenbanken reserviert wird.
1. Erweiterter Bedrohungsschutz (ATP)
Das ATP-Paket ist das Basissicherheitspaket. Es umfasst ein Intrusion Prevention System (IPS), das weitgehend auf CP9 ausgelagert ist, Advanced Malware Protection (AMP) mit FortiSandbox Cloud-Integration und Application Control. Da es primär auf IPS und Application Control basiert, kann nahezu der gesamte Datenverkehr im Flow-basierten Modus verarbeitet werden, wodurch die SPU-Auslastung maximiert und die RAM-Nutzung gering gehalten wird.
2. Einheitlicher Bedrohungsschutz (UTP)
Das UTP-Bundle ist der Branchenstandard für Edge-Bereitstellungen in Unternehmen. Es umfasst Webfilterung (kategorienbasiert), Anti-Spam (AS) und Content Disarm & Reconstruction (CDR). Webfilterung und CDR erfordern häufig eine Proxy-basierte Prüfung, um Dateien wiederherzustellen oder Sperrseiten einzufügen. Wenn Sie UTP auf einer FortiGate 60F einsetzen, müssen Sie Ihre Richtlinien sorgfältig so gestalten, dass nach Möglichkeit eine Flow-basierte Prüfung verwendet wird, um Speicherengpässe zu vermeiden.
3. Unternehmensschutz (EP)
Entwickelt für komplexe Umgebungen, Compliance-orientierte Unternehmen und OT-Netzwerke (Operational Technology). Es bietet IoT-Erkennung, Sicherheitsbewertung, Inline-CASB und industrielle Sicherheitsdienste. Enterprise Protection führt eine größere Anzahl von Hintergrundprozessen aus. Auf kleineren Hardwarekomponenten wie dem 60F kann die Aktivierung des vollen Funktionsumfangs von EP die Speicherauslastung im Leerlauf auf über 60 % erhöhen, wodurch kaum Spielraum für Lastspitzen bleibt.
Hardware-Dimensionierungsmatrix: FortiGate 60F vs. 100F vs. 200F
Um Leistungseinbußen zu vermeiden, müssen Sie Ihre Lizenzanforderungen an die physikalischen Fähigkeiten der Hardware anpassen. Die folgende Tabelle gibt einen Überblick über die Leistungsgrenzen von die FortiGate 60F, 100F und 200F unter verschiedenen Inspektionsbelastungen.
| Spezifikation / Metrisch | Fortigate 60F | Fortigate 100F | Fortigate 200F |
|---|---|---|---|
| ASIC-Architektur | SOC4 (Integriertes CP9 + NP6XLite) | Dedizierter CP9 + NP6XLite | Dedizierter CP9 + Dual NP6XLite |
| Arbeitsspeicher (RAM) | 2 GB | 4 GB | 8 GB |
| Firewall-Durchsatz (1518 B) | 10 Gbps | 20 Gbps | 27 Gbps |
| IPS-Durchsatz | 1.4 Gbps | 2.6 Gbps | 5 Gbps |
| NGFW-Durchsatz | 1 Gbps | 1.6 Gbps | 3.5 Gbps |
| Durchsatz des Bedrohungsschutzes | 700 Mbps | 1 Gbps | 3 Gbps |
| SSL-Inspektionsdurchsatz | 750 Mbps | 1 Gbps | 4 Gbps |
| Gleichzeitige TCP-Sitzungen | 700,000 | 1.5 Million | 3 Million |
| Empfohlene Benutzergrößen (UTP) | 1 - 25 Benutzer | 25 - 150 Benutzer | 150 - 350+ Nutzer |
Das Datenblatt der FortiGate 60F wirbt zwar mit 700 Mbit/s Bedrohungsschutz, dieser Wert wurde jedoch unter optimalen, flussbasierten Bedingungen gemessen. Bei Aktivierung der erweiterten SSL-Inspektion und der Proxy-basierten UTP-Funktionen sinkt der realistische Durchsatz aufgrund von CPU- und RAM-Engpässen auf etwa 150–200 Mbit/s. Für eine effektive Bereitstellungsplanung empfiehlt sich die Analyse der folgenden Punkte: FortiGate 60F: Preis- und Lizenzoptionen um Ihr Budget mit diesen Leistungsgrenzen in Einklang zu bringen.
Die FortiGate 100F ist die ideale Lösung für mittelgroße Büros. Mit 4 GB RAM und dedizierten CP9/NP6XLite-Chips bewältigt sie SSL-Inspektion und UTP-Funktionen für bis zu 150 Benutzer problemlos, sofern Sie übermäßige Proxy-basierte Richtlinien vermeiden. Einen umfassenderen Überblick darüber, wie diese Modelle in Ihr Netzwerkdesign passen, finden Sie in unserem ausführlichen Leitfaden. Fortinet FortiGate Firewall-Modelle – Leitfaden zur Netzwerkgröße.
Prüfen Sie den Lagerbestand, vergleichen Sie die Optionen oder sprechen Sie mit unserem Team.
Abschwächung des Energiesparmodus: FortiOS-Optimierungs-CLI für den Produktiveinsatz
Wenn Sie UTP oder Enterprise Protection auf ressourcenbeschränkter Hardware betreiben, müssen Sie FortiOS optimieren, um Speicherengpässe zu vermeiden. Die folgenden CLI-Befehle für den Produktiveinsatz konfigurieren die Firewall so, dass die flussbasierte Verarbeitung priorisiert, die Speicherzuweisung des WAD-Daemons optimiert und aggressive Sitzungs-Timeouts festgelegt werden.
Durch die Einschränkung der wad-worker-count Bei Geräten mit wenig RAM wie dem 60F wird durch die Reduzierung des Timeouts auf 2 der maximale Speicherverbrauch der Proxy-Engine begrenzt. Zusätzlich werden durch die Verringerung des standardmäßigen TCP-Sitzungs-Timeouts von 3600 Sekunden auf 300 Sekunden inaktive Sitzungen schnell aus der Statustabelle entfernt, wodurch wertvoller RAM freigegeben wird.
Strategische Beschaffung und Lebenszyklusmanagement
Bereitstellung von Lösungen für Unternehmen Portfolio für Next-Generation-Firewalls Die Versorgung globaler Märkte wie Deutschland, Großbritannien und Australien stellt oft erhebliche Herausforderungen für die Lieferkette dar. Traditionelle Vertriebskanäle erfordern häufig Vorlaufzeiten von sechs bis acht Wochen, was kritische Sicherheitsmigrationen verzögern und Netzwerke Sicherheitslücken aussetzen kann.
Router-Switch-Lösungen beheben diese Engpässe durch ein robustes, flaches Lieferkettenmodell:
- Sofortige Verfügbarkeit: Durch die Aufrechterhaltung eines Lagerbestands von über 20 Millionen US-Dollar in globalen Lagern gewährleistet Router-switch den Versand nach Deutschland, Großbritannien und Australien noch in derselben Woche und umgeht so die üblichen Aufschläge mehrstufiger Vertriebspartner.
- Nachweisbare Authentizität: Jede ausgelieferte FortiGate 60F, 100F und 200F ist garantiert 100% original und authentisch, die Seriennummern sind vollständig in den offiziellen Supportdatenbanken von Fortinet überprüfbar.
- Risikominderung: Um Ihre Betriebsabläufe vor Hardwareausfällen zu schützen, bietet Router-switch eine kostenlose 1:1-CCIE-technische Beratung und die 3-jährige RS Care-Garantieverlängerung mit schnellem RMA-Bereitschaftsaustausch, um Ihre mittlere Reparaturzeit (MTTR) zu minimieren.