Was ist FortiAP? Enterprise Wi-Fi 6, 6E und Wi-Fi 7 Access Points richtig auswählen

FortiAP ist die Familie von Enterprise-WLAN-Access-Points von Fortinet und deckt die Generationen Wi-Fi 6, Wi-Fi 6E und Wi-Fi 7 ab. Eine separate WLAN-Controller-Appliance ist nicht erforderlich: Die Access Points werden über den integrierten Controller der FortiGate, über FortiEdge Cloud oder über FortiSASE verwaltet, und der Funkverkehr durchläuft dieselbe Sicherheitsrichtlinie wie der kabelgebundene Verkehr. Dieser Leitfaden erklärt die Kriterien für die Wahl der richtigen Generation und des passenden Modells.

Was ist FortiAP und worin unterscheidet es sich von der klassischen WLAN-Controller-Architektur?

FortiAP ist eine Enterprise-WLAN-Familie, die die Verwaltungsebene aus einer dedizierten Controller-Box herauslöst und in die Fortinet Security Fabric verlagert. In der klassischen Architektur hängen die Access Points an einem redundanten Paar von WLAN-Controllern; bei FortiAP übernehmen diese Rolle der integrierte Controller der FortiGate, das FortiEdge-Cloud-Portal oder FortiSASE.

Ein herkömmliches Unternehmens-WLAN besteht aus drei getrennten Komponenten: den Access Points, dem WLAN-Controller, der sie verwaltet, und der Firewall, die den Verkehr prüft. Jede Komponente hat ihre eigene Verwaltungsoberfläche, ihr eigenes Regelwerk und ihren eigenen Log-Strom. Weil die Richtlinie für einen WLAN-Client und die Richtlinie für einen kabelgebundenen Client an unterschiedlichen Stellen definiert werden, driften sie mit der Zeit auseinander. FortiAP vereinfacht diese Struktur: Die Access Points registrieren sich direkt an der FortiGate, und der Funkverkehr durchläuft die dort konfigurierten Profile für IPS, Applikationskontrolle und Webfilter.

Diese Konsolidierung bringt dem Netzwerkteam drei konkrete Vorteile. Erstens muss kein separates Regelwerk pro SSID gepflegt werden; ein WLAN-Nutzer sieht dieselbe Richtlinie wie ein kabelgebundener Nutzer. Zweitens findet die Vorfallsanalyse in einem einzigen Log-Strom statt; das WLAN-Authentifizierungsereignis und das Firewall-Ereignis werden auf derselben Zeitachse gelesen. Drittens entfällt eine Appliance, die verwaltet, gepatcht und gesichert werden muss. Laut dem Fortinet FortiAP Series Datenblatt werden die Access Points zentral über den integrierten WLAN-Controller der FortiGate verwaltet, und NAC-Funktionen sind bei FortiGate-verwalteten Installationen integriert.

Die Produktfamilie umfasst Innen-, Außen- und robuste Modelle. Auf der Wi-Fi-7-Seite sind die FAP-441K und FAP-443K mit vier Radios und vier räumlichen Streams die Flaggschiffe; die FAP-241K und FAP-243K haben ebenfalls vier Radios (drei für den Zugang, eines zum Scannen), bieten aber zwei räumliche Streams sowie einen 10-Gigabit- und einen 1-Gigabit-Port und sind für Bereiche mittlerer Dichte positioniert; die robusten Wi-Fi-6E-Außenmodelle sind FAP-432G und FAP-234G. Die aktuelle Modellliste und die technischen Werte finden Sie im Fortinet FortiAP Series Datenblatt; unseren Installations- und Beschaffungsumfang in der Türkei beschreibt unsere FortiAP-Lösungsseite.

Welche Verwaltungsmodelle unterstützt FortiAP, und welches passt zu Ihnen?

FortiAP arbeitet mit einem von drei Verwaltungsmodellen: dem integrierten WLAN-Controller der FortiGate, dem Bereitstellungs- und Verwaltungsportal FortiEdge Cloud oder FortiSASE. Ist am Standort oder in der Zentrale bereits eine FortiGate vorhanden, erfordert das erste Modell keine Zusatzinvestition; Cloud-Verwaltung passt zu Organisationen mit vielen Standorten ohne IT vor Ort, FortiSASE zu Kleinstniederlassungen und Homeoffices.

In der Praxis ist das erste Modell die häufigste Wahl. Besitzt die Organisation bereits eine FortiGate, wird für den WLAN-Controller keine zusätzliche Hardware gekauft; welches Einstiegsgerät zu welchem Büro passt, haben wir in unserem Vergleich FortiGate 40F, 60F, 70G und 90G behandelt. Für ein Unternehmen ohne FortiGate ist die Reihenfolge entscheidend: zuerst die Firewall, dann die Zugangsschicht. Deshalb empfehlen wir, vor einem WLAN-Projekt unseren Firewall-Auswahlleitfaden für KMU zu lesen.

Ein Detail wird oft übersehen: Access Points der neuen Generation setzen eine Mindestversion von FortiOS voraus. Die Wi-Fi-7-Modelle werden seit dem FortiOS-7.4-Zweig unterstützt, und jede FortiAP-Firmware setzt auf der FortiGate eine Mindestversion von FortiOS voraus; so nennen Fortinets Release-Notes zu FortiAP 7.4.7 für diese Firmware FortiOS 7.4.9 und höher. Läuft Ihre vorhandene FortiGate auf einer älteren Version, sollte zusammen mit dem Kauf der Access Points ein Upgrade-Fenster eingeplant werden; prüfen Sie die Zuordnung von Modell und Version immer anhand der aktuellen Release-Notes.

Was ist der Unterschied zwischen Wi-Fi 6, Wi-Fi 6E und Wi-Fi 7?

Der Unterschied liegt im nutzbaren Spektrum und in der Kanalbreite. Wi-Fi 6 (802.11ax) nutzt die Bänder 2,4 und 5 GHz effizienter; Wi-Fi 6E bringt dasselbe Radio in das vergleichsweise freie 6-GHz-Band; Wi-Fi 7 (802.11be) ergänzt 6 GHz um 320-MHz-Kanäle, 4K-QAM und Multi-Link Operation (MLO) und erhöht damit Kapazität und Latenzstabilität.

Die drei Neuerungen von Wi-Fi 7 bedeuten in der Praxis Folgendes. Multi-Link Operation (MLO) lässt einen Client gleichzeitig auf mehreren Bändern verbunden bleiben; wird ein Band voll, wandert der Verkehr auf ein anderes, was bei Sprach- und Videositzungen zu stabilerer Latenz führt. 320-MHz-Kanäle sind nur im 6-GHz-Band möglich und heben die theoretische Obergrenze für einen einzelnen Client. 4K-QAM setzt eine sehr gute Signalqualität voraus; in einem typischen Büro profitieren davon nur Clients in der Nähe des Access Points. Die Spitzenraten im Datenblatt sind daher theoretische PHY-Werte pro Band und nicht die Geschwindigkeit, die ein einzelner Nutzer sieht.

Ein konkretes Beispiel: Laut Fortinet-Datenblatt liegen die theoretischen Maximaldatenraten der FAP-441K und FAP-443K bei 1,148 Gbit/s auf 2,4 GHz, 8,648 Gbit/s auf 5 GHz und 11,53 Gbit/s auf 6 GHz (4x4 MU-MIMO). Der reale Durchsatz hängt von der Generation des Client-Bestands, dem Kanalplan, den Wandmaterialien, der Störung durch Nachbargebäude und der Uplink-Kapazität ab. Ein weiterer wichtiger Punkt: Das 6-GHz-Band wird länderspezifisch reguliert. In der Türkei öffnen die technischen Kriterien der Regulierungsbehörde BTK für frequenzzuteilungsfreie Funkanlagen das untere Band 5945–6425 MHz für WLAN. Dieser 480-MHz-Bereich schränkt die Optionen für 320-MHz-Kanäle stark ein; Unternehmensdesigns mit vielen Access Points bevorzugen deshalb meist schmalere Kanäle für die Kanalwiederverwendung. Prüfen Sie Leistungsgrenzen und Nutzungsbedingungen vor Projektbeginn anhand der aktuellen technischen Kriterien der BTK und der für das Land freigegebenen Produktkonfiguration.

Auch die Client-Seite muss berücksichtigt werden. Vorhandene Wi-Fi-6- und 6E-Geräte verbinden sich problemlos mit einem Wi-Fi-7-Access-Point, können aber Funktionen wie MLO nicht nutzen. Besteht der Notebook- und Mobilgerätebestand überwiegend aus Wi-Fi 6, zeigt sich der Nutzen von Wi-Fi 7 nicht heute, sondern in den Jahren, in denen der Bestand erneuert wird. Das ist kein Grund, Wi-Fi 7 aufzuschieben, sondern ein Grund, es zusammen mit der Verkabelung richtig zu terminieren.

Welche FortiAP-Generation für welche Umgebung?

Drei Variablen bestimmen die Wahl: die Generation des Client-Bestands, die Nutzerdichte pro Quadratmeter und die Restlebensdauer der Verkabelung. Läuft eine bestehende Wi-Fi-6-Installation problemlos, muss sie nicht nur wegen eines Generationssprungs ersetzt werden; bei Neubau oder umfassender Erneuerung sollte Wi-Fi 7 zusammen mit Verkabelung und PoE geplant werden.

Das Prinzip hinter der Tabelle ist einfach: Verkabelung ist eine weit langlebigere Investition als ein Access Point. Wer heute Cat6A-Kabel und 802.3bt-fähige Switches installiert und Wi-Fi-6E-Access-Points montiert, kann in einigen Jahren durch den Austausch allein der Access Points auf Wi-Fi 7 wechseln. Der umgekehrte Weg, ein Wi-Fi-7-Access-Point an einem 1G-Port eines 802.3at-Switches, zwingt das Gerät in einen reduzierten Leistungsmodus und macht den Uplink zum Engpass.

Für Leser, die eine Alternative außerhalb von Fortinet prüfen möchten, führt unser Portfolio auch Ruijie; bei Projekten mit anderem Abdeckungs- und Budgetprofil ist unser Artikel zum Ruijie RG-AP Enterprise Access Point zum Vergleich hilfreich. Ist die vorhandene Infrastruktur jedoch auf FortiGate aufgebaut, gibt der Vorteil einer einzigen Verwaltungsoberfläche und einer einzigen Richtlinie meist den Ausschlag.

Wie plant man PoE-Budget, Verkabelung und FortiSwitch?

Die PoE-Klasse des Access Points muss zur Leistung passen, die der Switch-Port liefern kann. Je nach Modell benötigt FortiAP 802.3at (PoE+) oder 802.3bt (PoE++); Wi-Fi-7-Flaggschiffmodelle brauchen für volle Leistung 802.3bt und besitzen 10-Gigabit-Uplinks. Switch, Kabel und Access Point müssen als ein Projekt dimensioniert werden.

Die Falle auf der Stromseite ist ein Access Point, der mit reduzierter Leistung scheinbar „funktioniert". Das Fortinet-Datenblatt definiert für FAP-441K und FAP-443K zwei PoE-Modi: Der Vollmodus (802.3bt, zwei 802.3at-Ports oder DC-Versorgung) betreibt 4x4-Radios mit maximaler Leistung; der Hochmodus (eine einzelne 802.3at-Einspeisung) reduziert die Radios auf 2x2 und die Sendeleistung auf 17 dBm und deaktiviert den USB-Port. Ein Wi-Fi-7-Flaggschiff an einem älteren PoE+-Switch liefert also Konnektivität, aber ein Teil der bezahlten Kapazität bleibt ungenutzt. Dieselben Modelle kommen mit zwei Multi-Gigabit-RJ45-Ports (100M/1G/2,5G/5G/10G) und unterstützen 802.3bt an beiden, was eine unterbrechungsfreie PoE-Umschaltung ermöglicht.

Auf der Einspeisungsseite unterstützen alle Modelle der Familie FortiSwitch Secure Access PoE+; ausgewählte Modelle liefern mit 802.3bt 90 W pro Port und skalieren im 1-HE-Gehäuse auf bis zu 48 Access-Ports mit 10GE-Uplinks. Die Anbindung des FortiSwitch an die FortiGate per FortiLink bedeutet, dass die Richtlinie für kabelgebundene Ports und die SSID-Richtlinie über dieselbe Oberfläche verwaltet werden. PoE-Budgets, Uplink-Geschwindigkeiten und FortiLink-Topologie haben wir in unserem Auswahlleitfaden für FortiSwitch und FortiLink ausführlich behandelt.

Punkte, die Sie bei der Planung prüfen sollten:

• Gesamtes PoE-Budget: Klasse pro Access Point (at/bt) mal Stückzahl, plus weitere PoE-Verbraucher wie Kameras und IP-Telefone; das gesamte PoE-Budget des Switches ist eine eigene Grenze, unabhängig von der Portanzahl.
• Uplink-Geschwindigkeit: 2,5G reicht für Wi-Fi 6E in den meisten Szenarien; Wi-Fi-7-Modelle sollten den 10G-Port nutzen.
• Kabelkategorie: Cat6A bei Neuverlegung; bei vorhandenen Cat5e-Strecken müssen Multi-Gig-Geschwindigkeit und Längenbegrenzungen getestet werden.
• Deckenhöhe und Montage: Gewicht und Antennencharakteristik der Wi-Fi-7-Modelle beeinflussen die Platzierung; eine Funkausleuchtung vor Ort legt die Montagepunkte fest.
• Redundanz: doppelte PoE-Einspeisung in kritischen Bereichen und Abdeckungsüberlappung benachbarter Access Points.

WLAN-Sicherheit: WPA3, Rogue APs und Gasttrennung

Das WLAN sollte als eigene Vertrauenszone entworfen werden. WPA3 mit 802.1X-Authentifizierung auf der Unternehmens-SSID, getrennte SSIDs und VLANs für Gäste und IoT, eine Default-Deny-Regel dazwischen und kontinuierliche Rogue-AP-Scans; bei FortiAP werden diese Kontrollen über die FortiGate-Richtlinie an einer Stelle angewendet.

Laut FortiAP-Datenblatt unterstützt die Authentifizierung WPA, WPA2 und WPA3 mit 802.1X oder Pre-Shared Key, ein Web-Captive-Portal und MAC-Listen; auf Funkebene können Rogue-Scans und WIPS/WIDS im Hintergrund oder mit dediziertem Radio laufen. Modelle mit dediziertem Scan-Radio hören die Umgebung dauerhaft ab, ohne die Client-Radios zu bremsen; das ist die Grundkontrolle, um einen unbefugt ins Firmennetz gesteckten Access Point oder ein gefälschtes Netz, das die Unternehmens-SSID imitiert, zu erkennen.

Der eigentliche Unterschied liegt auf der Richtlinienseite. Durchläuft der Funkverkehr die FortiGate-Profile, gelten IPS, Applikationskontrolle und Webfilter auch für den WLAN-Client; es braucht keine separate Regel auf einem separaten Controller, damit ein Gerät in der Gast-SSID das Servernetz nicht erreicht. Auch die SSID-Modi prägen das Design: Das Datenblatt listet die Modi Local-Bridge, Mesh und Tunnel. Im Tunnel-Modus wird der gesamte Funkverkehr zur FortiGate transportiert und vollständig geprüft; im Local-Bridge-Modus wird der Verkehr ins lokale VLAN gelegt und der Uplink der Niederlassung geschont. Welche SSID in welchem Modus läuft, ist eine Abwägung zwischen Sicherheitsanforderung und Bandbreite der Niederlassung.

Auf der Compliance-Seite ist der Referenztext in der Türkei der von der Datenschutzbehörde (KVKK) veröffentlichte Leitfaden zur Sicherheit personenbezogener Daten (technische und administrative Maßnahmen), der Netzwerk-Firewalls und Zugriffsautorisierung zu den technischen Maßnahmen zählt. Für ein WLAN heißt das praktisch: Gastnetz von Unternehmensressourcen trennen, Authentifizierungs- und Sitzungsprotokolle zentral speichern, administrativen Zugriff einschränken. Konkrete Pflichten und Aufbewahrungsfristen sollten Sie anhand der aktuellen Gesetzgebung und der offiziellen Leitlinien prüfen; dieser Artikel ist keine Rechtsberatung.

Was bestimmt die Kosten eines FortiAP-Projekts?

Die Gesamtkosten sind kein einzelner Listenpreis, sondern die Summe aus sechs Posten: Modell und Generation, die aus der Funkplanung abgeleitete Stückzahl, das Verwaltungsmodell, PoE-Switches und Verkabelung, die FortiCare-Supportlaufzeit sowie der Umfang von Installation und Managed Services. Eine Zahl, die vor Klärung dieser Posten genannt wird, ist kein vergleichbares Angebot.

Modell und Generation sind der erste Posten; der Unterschied zwischen einem Wi-Fi-7-Flaggschiff mit vier räumlichen Streams und einem Modell mit zwei räumlichen Streams liegt nicht nur im Gerätepreis, sondern in der Portanzahl, der PoE-Redundanzoption und der benötigten Switch-Kapazität. Der zweite Posten ist die Stückzahl, und die legt nicht eine Schätzung, sondern eine Funkausleuchtung vor Ort fest: Wandmaterial, Grundriss und Dichteprofil verlangen für dieselbe Fläche unterschiedlich viele Access Points. Der dritte Posten ist das Verwaltungsmodell; reicht die Kapazität der FortiGate, entstehen keine Zusatzkosten, während FortiEdge Cloud ein Abonnement und FortiSASE eine Lizenzierung pro Nutzer mit sich bringt.

Der vierte Posten sind PoE-Switches und Verkabelung, in den meisten Projekten der am häufigsten übersehene Teil des Budgets. Der fünfte ist die FortiCare-Supportlaufzeit: 1, 3 oder 5 Jahre Abdeckung für Hardwaretausch und Software-Updates verändern die Gesamtbetriebskosten unmittelbar. Der sechste sind Installation, Funkmessung zur Abnahme und ein anschließend gewünschter Managed Service. Als unabhängiger Lösungspartner legt Sora Yazılım diese sechs Posten in einem einzigen Angebot mit ausgewiesenem Umfang vor; Projekt, Beschaffung, Installation und Managed Services werden von demselben Team betreut.

Häufig gestellte Fragen

Brauche ich für FortiAP eine separate WLAN-Controller-Appliance?

Nein. FortiAP-Access-Points werden über den integrierten WLAN-Controller der FortiGate, das FortiEdge-Cloud-Portal oder FortiSASE verwaltet. Ist bereits eine FortiGate vorhanden, wird keine zusätzliche Controller-Hardware gekauft; geprüft werden nur die Anzahl der vom FortiGate-Modell verwaltbaren Access Points und die FortiOS-Version.

Wie viele FortiAPs kann eine FortiGate verwalten?

Die Anzahl hängt vom FortiGate-Modell ab, eine pauschale Zahl wäre irreführend. In der Planung wird die im offiziellen Datenblatt des gewählten FortiGate-Modells angegebene Anzahl verwaltbarer Access Points geprüft und mit Wachstumsreserve dimensioniert; reicht die Kapazität nicht, kommt ein größeres Modell oder Cloud-Verwaltung in Betracht.

Ist der Wechsel zu Wi-Fi 7 jetzt sinnvoll?

Ja, bei Neubau, umfassender Erneuerung oder neuer Verkabelung; Verkabelung überdauert Access Points bei weitem, und Wi-Fi-7-Flaggschiffe kommen mit 10-Gigabit-Ports. Läuft eine bestehende Wi-Fi-6-Installation gut und ist der Client-Bestand älter, muss sie nicht nur wegen eines Generationssprungs ersetzt werden.

Welche PoE-Klasse benötigt FortiAP?

Je nach Modell 802.3at (PoE+) oder 802.3bt (PoE++). Die Wi-Fi-7-Flaggschiffe FAP-441K und FAP-443K benötigen für volle Leistung 802.3bt; bei einer einzelnen 802.3at-Einspeisung fallen die Radios auf 2x2 zurück und USB wird deaktiviert. Bei der Switch-Wahl sollte das gesamte PoE-Budget getrennt von der Portanzahl geprüft werden.

Wie trennen wir das Gast-WLAN vom Unternehmensnetz?

Mit eigener SSID, eigenem VLAN und eigenem Regelwerk. Vom Gast-VLAN zum Servernetz wird eine Default-Deny-Regel gesetzt, Authentifizierungs- und Sitzungsprotokolle werden zentral gesammelt. In einer FortiGate-verwalteten FortiAP-Installation werden diese Regeln in derselben Oberfläche wie die kabelgebundene Richtlinie definiert.

Wann wird eine Mesh-SSID eingesetzt?

Dort, wo kein Ethernet-Kabel gezogen werden kann. FortiAP unterstützt die SSID-Modi Local-Bridge, Mesh und Tunnel; im Mesh-Modus bindet sich der Access Point über einen drahtlosen Backhaul ans Netz an. Da Kapazität und Latenz schlechter als bei einer Kabelverbindung sind, sollte Mesh Ausnahmepunkten vorbehalten bleiben und nicht als Hauptabdeckung dienen.

Fazit

FortiAP macht aus dem Unternehmens-WLAN statt einer Hardwareliste einen Teil der Sicherheitsarchitektur: Der Controller sitzt in der FortiGate, es gibt eine Richtlinie und ein Log. Kriterien für die Generation sind Client-Bestand, Dichte und Lebensdauer der Verkabelung; Wi-Fi 6 erneuert eine bestehende Installation wirtschaftlich, Wi-Fi 6E bietet den Ausweg aus überfülltem Spektrum, und Wi-Fi 7 sollte für Neubauten und hohe Dichte zusammen mit der Verkabelung geplant werden. PoE-Klasse, Uplink-Geschwindigkeit und die FortiSwitch-Zugangsschicht sind untrennbarer Teil dieser Entscheidung; auf der Sicherheitsseite sollten WPA3, Rogue-Scans und SSID/VLAN-Trennung Standard sein.

Nach unserer Projekterfahrung liefern die Projekte die besten Ergebnisse, die mit einer Funkausleuchtung beginnen und Switches, Kabel, Access Points und Supportlaufzeit in einem Umfang behandeln. Für eine WLAN-Erneuerung, ein Neubaudesign oder eine Migration auf Wi-Fi 6E/7 können Sie ein kostenloses Erstgespräch anfragen und ein Angebot für die zu Ihrer Infrastruktur passende Kombination aus Modell und Support erhalten.