Fortinet Firewall: como escolher o FortiGate certo

Para escolher o FortiGate certo, não parta do número de funcionários: parta do throughput que o firewall entrega com as inspeções de segurança ligadas, do número de usuários e sessões simultâneas e de quais recursos ativos (IPS, antivírus, inspeção SSL, controle de aplicações) a rede vai exigir. Este guia mostra como transformar esses três critérios em um modelo da linha FortiGate, usando a ficha técnica da Fortinet e uma margem de crescimento realista.

Por que o throughput de datasheet engana e qual número realmente usar

O número de firewall throughput que aparece em destaque na ficha técnica de um FortiGate não é o que você vai ver em produção. Para dimensionar o equipamento, use o valor de Threat Protection, que reflete o desempenho com os perfis de segurança ativos.

O firewall throughput é medido com pacotes UDP grandes e sem nenhuma inspeção de conteúdo. Esse teste mostra o limite do encaminhamento de pacotes, e o tráfego real de uma empresa não se parece com ele. Tráfego corporativo mistura sessões TCP, pacotes menores, HTTPS, aplicações web e downloads, e cada função de segurança ligada exige processamento adicional.

Por isso a ficha técnica traz outras linhas, e todas ficam bem abaixo do valor bruto:

• IPS throughput: desempenho com o sistema de prevenção de intrusões ativo.
• NGFW throughput: desempenho com IPS e controle de aplicações habilitados.
• Threat Protection throughput: desempenho com IPS, controle de aplicações e proteção contra malware ativos ao mesmo tempo.

Em geral, quanto mais funções de inspeção você liga, menor o desempenho disponível. A queda entre o valor bruto e o de Threat Protection costuma ser grande, e o tamanho exato varia por modelo. Compare as linhas do datasheet do modelo que você está avaliando em vez de assumir um percentual fixo.

Na hora de ler a ficha, siga este roteiro:

• Descubra quais perfis você vai ativar: IPS, antivírus, filtro web, controle de aplicações.
• Escolha a linha da ficha que corresponde a esse conjunto, normalmente Threat Protection.
• Confira as condições do teste, como o tamanho de pacote e o tipo de tráfego descritos nas notas de rodapé.
• Verifique se há inspeção SSL. Ela tem uma linha própria e reduz ainda mais o desempenho.
• Deixe uma margem para crescimento de usuários e de tráfego.

Compare o pico de tráfego real da sua rede com o valor de Threat Protection, não com o de firewall. Os datasheets oficiais estão na página de firewalls de nova geração da Fortinet. Se tiver dúvida sobre qual linha usar no seu cenário, nossa equipe técnica pode ajudar no dimensionamento.

Como converter usuários e dispositivos em banda e sessões simultâneas

Para converter usuários em banda e sessões, multiplique usuários ativos por dispositivos e por consumo médio de cada perfil, aplique um fator de simultaneidade e compare o resultado com o link contratado. Depois estime as sessões concorrentes e as novas conexões por segundo (CPS), porque são esses limites que costumam esgotar primeiro no FortiGate.

Comece pelo pico, não pela média. Conte os usuários ativos no horário mais crítico, não o total de funcionários. Some os dispositivos por usuário (notebook, celular, IoT, impressoras, câmeras), pois cada um abre conexões próprias. Depois atribua um consumo médio a cada perfil: videoconferência, SaaS e navegação, backup em nuvem. Meça esses valores no seu ambiente (relatórios do firewall, do provedor ou das plataformas de videoconferência) em vez de copiar tabelas genéricas.

• Banda de pico = soma de (usuários simultâneos × consumo médio do perfil), por perfil.
• Sessões concorrentes = usuários ativos × dispositivos por usuário × sessões médias por dispositivo.
• Novas conexões por segundo = sessões concorrentes ÷ duração média da sessão, com margem para picos como o início do expediente.

A banda raramente é o gargalo. Navegadores, aplicativos SaaS e dispositivos IoT abrem muitas conexões curtas, e a inspeção de SSL e o IPS aumentam o custo de cada uma. Por isso, compare o resultado com os valores de sessões concorrentes, CPS e throughput com inspeção ativa no datasheet do modelo, não com o throughput de firewall puro. Deixe folga para crescimento e para ativar mais serviços de segurança no futuro.

Como ponto de partida, associe o link ao perfil de uso e valide sempre com medição própria:

• Links menores: escritórios com poucos usuários e uso leve de nuvem.
• Links intermediários: dezenas de usuários com videoconferência frequente e SaaS crítico.
• Links grandes: centenas de usuários, muitos dispositivos por pessoa e backup em nuvem no horário comercial.

Com esses números em mãos, o próximo passo é filtrar os modelos FortiGate cujo desempenho com inspeção ativa cobre o seu pico com folga.

O impacto dos recursos de segurança ativos: IPS, antivírus e inspeção SSL/TLS

Cada recurso de segurança ativado reduz a vazão real do FortiGate em relação ao número de datasheet do firewall puro. Por isso, dimensionar o modelo pelo throughput de firewall é o erro mais comum: o que define o equipamento é a vazão com os perfis de segurança ligados, que a Fortinet publica em colunas separadas (IPS, NGFW e Threat Protection).

O custo de processamento cresce conforme a profundidade da análise:

• Firewall com controle de aplicações: inspeciona cabeçalhos e assinaturas de aplicação, com impacto moderado.
• Filtro web: consulta categorias por URL ou DNS, com impacto relativamente baixo.
• IPS: compara o fluxo com milhares de assinaturas, exigindo remontagem de sessões e análise de payload.
• Antivírus: precisa reconstruir arquivos inteiros antes de escanear, o que consome CPU e memória.
• Inspeção SSL/TLS profunda: o firewall descriptografa, entrega o conteúdo aos demais motores e criptografa de novo, com duas sessões por conexão.

A inspeção SSL profunda é o maior redutor porque a maior parte do tráfego hoje é criptografada. Sem ela, IPS, antivírus e controle de aplicações ficam cegos para a maioria dos fluxos. Com ela, todos esses motores passam a trabalhar sobre um volume muito maior de dados. Na prática, a vazão com inspeção SSL costuma ser bem inferior à de IPS em tráfego aberto, e é essa coluna do datasheet que você deve comparar com a sua demanda.

A Fortinet endereça isso com processadores dedicados. Os NP (Network Processors) aceleram o encaminhamento de pacotes e sessões, aliviando a CPU do tráfego que não precisa de análise profunda. Os CP (Content Processors), parte da família SPU, aceleram tarefas como criptografia, descriptografia SSL e parte da inspeção de conteúdo. Modelos com esses chips sustentam muito melhor a combinação de recursos do que equipamentos que dependem só da CPU. Confirme no datasheet qual processador cada modelo traz.

Combinar IPS, antivírus, controle de aplicações e filtro web com SSL profundo empurra você para um modelo de faixa superior ao que o throughput de firewall sugere. Dimensione sempre pela coluna de Threat Protection, com folga para crescimento.

Vale desativar a inspeção profunda em categorias sensíveis, como bancos e saúde, por privacidade, conformidade (como a LGPD) e porque esses serviços costumam usar certificate pinning, que quebra a conexão. Use exceções por categoria de URL e mantenha a inspeção profunda no restante do tráfego. Essas exceções também reduzem a carga e podem permitir um modelo menor.

Qual linha FortiGate escolher: série 40F-70F, 80F-100F, 200F-600F e acima

A escolha da linha FortiGate segue três critérios: throughput com as proteções ativas (IPS, filtro de aplicação e inspeção SSL), quantidade e velocidade das portas, e o número de usuários e links simultâneos. A seguir, o mapeamento por porte. Os valores são ordens de grandeza; confirme cada modelo na ficha técnica vigente da Fortinet, pois as especificações mudam entre revisões.

• Escritórios e filiais pequenas (40F, 60F, 70F): atendem lojas, consultórios e unidades remotas com poucas dezenas de usuários e links de internet de centenas de Mbps até cerca de 1 Gbps. O throughput com proteção ativa fica na faixa de algumas centenas de Mbps a poucos Gbps. Têm poucas portas Gigabit em cobre, e alguns modelos oferecem Wi-Fi integrado. Costumam ser a base de projetos SD-WAN com várias filiais.
• Médias empresas e sedes regionais (80F, 100F, 200F): indicadas para centenas de usuários, VPNs site a site e mais de um link WAN. O throughput protegido sobe para a casa de poucos Gbps. Há mais portas, com opções de SFP e alta disponibilidade em par, requisito comum quando a sede não pode parar.
• Grandes redes e campus (400F, 600F): pensadas para milhares de usuários, segmentação interna e links de 10 Gbps. O throughput com inspeção completa fica na ordem de dezenas de Gbps. Trazem portas SFP+ e processadores dedicados de segurança, que sustentam a inspeção de tráfego criptografado.
• Datacenter e operadoras (1000F em diante e chassis): voltadas a backbones, nuvens privadas e alto volume de sessões. Operam com interfaces de 25, 40 e 100 Gbps, e os chassis escalam com lâminas adicionais. Aqui o dimensionamento por sessões simultâneas e novas conexões por segundo pesa tanto quanto o throughput.

Compare sempre o número de proteção ativa, não o de firewall puro, que costuma ser muito maior e engana o dimensionamento. Considere também uma margem de crescimento de pelo menos 30% a 50% sobre o tráfego atual. Valide o modelo na ficha técnica vigente antes de fechar o orçamento.

Requisitos além do desempenho: VPN, SD-WAN, alta disponibilidade e portas

Throughput de firewall não é o único critério na escolha de um FortiGate. VPN, SD-WAN, alta disponibilidade e portas costumam definir o modelo final, porque cada um tem capacidade própria na ficha técnica (datasheet), separada do número de firewall.

VPN para trabalho remoto e filiais. Levante quantos usuários remotos conectam ao mesmo tempo (não o total de funcionários) e quantas filiais terão túnel IPsec permanente. Compare esses números com dois valores do datasheet: o máximo de túneis IPsec suportados e o throughput de VPN IPsec. Esse throughput considera a criptografia e costuma ser bem menor que o de firewall puro. Se a empresa usa inspeção SSL ou VPN SSL em larga escala, consulte também os valores específicos desses recursos.

SD-WAN com múltiplos links. O SD-WAN está integrado ao FortiOS e permite combinar links de operadoras diferentes, com regras de roteamento por aplicação e por qualidade do link. Para usar bem, defina quantos links cada unidade terá, quais aplicações são críticas e se o tráfego de nuvem sairá direto pela filial. Isso afeta o número de portas WAN e o throughput exigido na borda.

Alta disponibilidade. Em cluster ativo-passivo, dois equipamentos iguais operam em par: se o primário falhar, o secundário assume. A compra muda em três pontos: são dois equipamentos, é preciso conferir o licenciamento de cada unidade e é necessário reservar portas para o heartbeat e a sincronização. Avalie o custo de uma parada contra o custo do segundo equipamento.

Portas e integração. Confirme o tipo e a quantidade de portas (GE cobre, SFP, SFP+ para 10G e PoE quando houver) e o tipo de uplink dos switches. Se a rede terá FortiSwitch e FortiAP, o FortiGate pode gerenciá-los centralmente, o que exige portas suficientes para eles.

• Usuários remotos simultâneos e número de filiais com túnel IPsec
• Throughput de VPN IPsec exigido, comparado ao datasheet
• Quantidade de links WAN e aplicações críticas para SD-WAN
• Necessidade de cluster ativo-passivo e portas dedicadas ao heartbeat
• Portas GE, SFP, SFP+ e PoE, com folga para crescimento
• Quantidade de FortiSwitch e FortiAP a gerenciar
• Licenças e suporte para cada equipamento do cluster

Com essa lista preenchida, você compara modelos pelo conjunto de requisitos, e não só pelo throughput de firewall.

Margem de crescimento, licenciamento e checklist final de decisão

O preço do equipamento é só uma parte da conta. Para escolher o FortiGate certo, dimensione pelo pico de uso, some uma margem de crescimento e compare o custo total de propriedade (TCO) ao longo da vida útil, não o valor de tabela do appliance.

Parta do pico estimado de throughput com inspeção ativa, sessões simultâneas, usuários e túneis VPN. Sobre esse pico, aplique uma margem de 30% a 50% para um ciclo de 3 a 5 anos. Ela cobre crescimento de headcount, novas filiais, aumento de tráfego criptografado (SSL/TLS) e a ativação futura de mais funções de segurança, que reduzem o desempenho real em relação aos números de datasheet. Use a margem menor se o ciclo for curto e o ambiente estável; a maior se o ciclo for longo ou a empresa estiver em expansão.

O segundo ponto é o licenciamento FortiGuard, vendido em bundles que definem quais serviços de segurança ficam ativos:

• UTP (Unified Threat Protection): reúne os serviços essenciais de proteção, como antivírus, IPS, filtro web e antispam. Atende bem à maioria das empresas que precisam de proteção completa de borda.
• ATP (Advanced Threat Protection): foca em ameaças avançadas e desconhecidas, com IPS, antimalware e inteligência de ameaças.
• Enterprise Protection: o nível mais amplo, que acrescenta serviços adicionais aos do UTP. Faz sentido quando há requisitos maiores de segurança e conformidade.

A composição exata de cada bundle varia conforme o modelo e a versão do FortiOS. Confirme no datasheet do modelo e com o especialista antes de decidir.

O TCO soma equipamento, licenças e suporte pelos anos de uso, além de renovações e eventual troca antecipada por subdimensionamento. Um modelo barato que satura em dois anos costuma sair mais caro do que um modelo com folga bem calculada.

Checklist final de dimensionamento

• Throughput de pico com os serviços de segurança ativos, não o valor de firewall puro.
• Sessões simultâneas e novas conexões por segundo.
• Percentual de tráfego com inspeção SSL.
• Número de usuários, filiais e túneis VPN (site-to-site e remoto).
• Portas e interfaces necessárias (cobre, fibra, velocidades).
• Necessidade de alta disponibilidade (HA).
• Margem de 30% a 50% aplicada sobre o pico.
• Bundle FortiGuard e período de suporte definidos.

Próximo passo: levante esses dados da sua rede e solicite uma cotação com um especialista. Assim você evita tanto o subdimensionamento, que gera lentidão e troca precoce, quanto o superdimensionamento, que imobiliza orçamento em capacidade que você não vai usar.