Was ist FortiSwitch? Auswahlratgeber für FortiLink-Switches

FortiSwitch ist die Familie verwalteter Enterprise-Switches von Fortinet, die sich über das FortiLink-Protokoll mit einer FortiGate-Firewall verbinden und als deren logische Erweiterung arbeiten. VLANs, Ports, PoE und Zugriffsrichtlinien werden ohne separate Switch-Konsole aus der FortiGate-Oberfläche verwaltet; das richtige Modell ergibt sich aus Portanzahl, PoE-Budget, Uplink-Geschwindigkeit und der Verwaltungskapazität der vorhandenen FortiGate.

Was ist FortiSwitch und worin unterscheidet er sich von einem klassischen Managed Switch?

FortiSwitch ist die Access- und Campus-Switch-Familie von Fortinet. Der grundlegende Unterschied zu einem klassischen Managed Switch: Sobald er über FortiLink mit einer FortiGate verbunden ist, ist er kein eigenständiges Netzwerkgerät mehr, sondern Teil der Richtlinien-Engine der Firewall. Die kabelgebundene Zugangsschicht unterliegt damit derselben Sichtbarkeit und Kontrolle wie der Perimeter.

In einer klassischen Installation hat der Switch ein eigenes Betriebssystem, eine eigene Management-IP, eigene Benutzerkonten und eine eigene Backup-Routine. Die Firewall wiederum weiß nicht, welches Gerät an welchem Port hängt; sie sieht nur den Verkehr, der sie erreicht. FortiSwitch beseitigt diesen Bruch: Port-, VLAN-, PoE- und Authentifizierungsinformationen werden auf der FortiGate zusammengeführt. Der Benutzer-, Anwendungs- und Bedrohungskontext der FortiGate-Firewall wird direkt bis zum Zugangsport durchgereicht.

Das Fortinet-Portfolio umfasst zwei Hauptserien. Die Secure-Access-Serie (108F, 124F, 148F, 124G und ähnliche) bietet bis zu 48 Zugangsports in einem 1-HE-Gehäuse mit Uplinks bis 10GE und richtet sich an Filialen und Etagenverteiler. Die Secure-Campus-Serie (500, 600, 1000 und T1000) bietet Uplinks bis 100GE und höhere PoE-Budgets für Distributions- und Core-Schicht im Campus. Dieser Leitfaden konzentriert sich auf die Secure-Access-Serie, die KMU und mittelständische Unternehmen am häufigsten bewerten. Einen aktuellen Überblick über die Familie finden Sie auf unserer FortiSwitch-Lösungsseite.

FortiSwitch arbeitet in drei Verwaltungsmodi: FortiLink (über die FortiGate), Standalone (klassische Switch-Verwaltung) und FortiEdge Cloud (Verwaltung mehrerer Standorte aus der Cloud). Ist eine FortiGate vorhanden, ist FortiLink die Standardwahl; der Rest dieses Leitfadens geht von diesem Szenario aus.

Wie funktioniert FortiLink und was bringt die zentrale Verwaltung?

FortiLink ist das Protokoll, das einen FortiSwitch an die Verwaltungsebene der FortiGate anbindet. Ein am FortiLink-Interface angeschlossener Switch wird automatisch erkannt und autorisiert; danach erfolgen VLAN-Definition, Portzuweisung, PoE ein/aus, Trunk-Konfiguration und Firmware-Updates aus der FortiGate-Oberfläche. Eine separate Switch-Konsole, ein separates Konfigurations-Backup und separates CLI-Wissen sind nicht erforderlich.

Der Gewinn ist mehr als „eine Konsole weniger". Da Sicherheitsrichtlinie und Netzwerkkonfiguration am selben Ort definiert werden, erfordert das Isolieren einer Benutzergruppe oder das Verschieben einer Geräteklasse in ein anderes Segment keine Abstimmung zweier Teams. In unserer Projekterfahrung senkt das den Betriebsaufwand in KMU mit ein- oder zweiköpfigen IT-Teams spürbar: Die Antwort auf „wer hat wann was geändert" liegt auf der Switch-Seite bereits im Ereignisprotokoll der FortiGate.

FortiLink-Topologien skalieren vom einzelnen Switch bis zu mehrstufigen Designs. Switches lassen sich in Kette (Daisy Chain) oder Stern verbinden; wo Hochverfügbarkeit gefordert ist, bilden zwei FortiSwitches ein MCLAG-Paar, an das nachgelagerte Switches mit doppelten Uplinks angebunden werden. Laut Fortinet-Dokumentation erfordert eine dreistufige FortiLink-MCLAG-Topologie FortiOS 6.2.3 und FortiSwitchOS 6.2.3 oder neuer; MCLAG-Peer-Gruppen der zweiten und dritten Stufe lassen sich vom FortiGate-Switch-Controller aus ohne Konsolenzugriff auf die Switches ausrollen (Fortinet FortiLink Guide, MCLAG-Topologien).

Ist die FortiGate selbst ein HA-Paar, bindet sich FortiLink an dieses Paar; fällt die primäre Einheit aus, wandert die Switch-Verwaltung auf die sekundäre. Die Zugangsschicht muss daher bei der Planung der Firewall-Hochverfügbarkeit mitgedacht werden; unser Leitfaden zur FortiGate-HA-Konfiguration beschreibt die Details.

Welche FortiGate verwaltet wie viele FortiSwitches?

Die Zahl der FortiSwitches, die eine einzelne FortiGate verwalten kann, liegt je nach Modell zwischen 8 und 300 (Fortinet FortiSwitch Secure Access Datenblatt, 2026). Die FortiGate 40F verwaltet 8, die 60F/70G/80F/90G 24, die 100F 32, die 120G 48, die 200F 64, die 400F 96, die 600F 128, die 900G 196 und leistungsstarke FortiGate-VM-Instanzen 300. Diese Werte sind Obergrenzen; planen Sie Wachstumsreserve ein.

Die folgende Tabelle zeigt die aus den offiziellen Datenblättern der jeweiligen FortiGate-Modelle verifizierten Höchstwerte sowie den Typ des FortiLink-Interfaces. Beachten Sie, dass dieselbe FortiGate gleichzeitig FortiAP-Access-Points verwaltet; beide Kapazitäten sind gemeinsam zu bewerten.

Daraus folgen zwei praktische Schlüsse. Erstens: Bei den Einstiegsmodellen (40F–90G) ist das FortiLink-Interface 1 Gbit RJ45; in Designs, in denen der gesamte Zugangsverkehr die Firewall passiert, kann diese Verbindung zum Engpass werden. 100F, 120G und 200F heben diese Grenze mit 10GE-SFP+-FortiLink-Ports auf. Zweitens: Die Höchstwerte für 120G, 400F, 600F und 900G gelten für FortiOS 7.6.1 und neuer; eine 120G auf einer älteren Version verwaltet 32 Switches, nicht 48. Dimensionieren Sie die Kapazität nicht, bevor das Upgrade geplant ist.

Welche FortiGate zu welchem Büro passt, zeigt unser Vergleich FortiGate 40F, 60F, 70G und 90G; den Gesamtrahmen der Firewall-Auswahl beschreibt unser Leitfaden zur Firewall-Auswahl für KMU. Die komplette Modellfamilie finden Sie auf unserer FortiGate-Lösungsseite.

Wie dimensioniert man Portdichte und PoE-Budget?

Das PoE-Budget wird durch die SKU-Wahl bestimmt, nicht durch den Modellnamen: Jede Serie hat Varianten ohne PoE, mit halber PoE-Bestückung (-POE) und mit voller PoE-Bestückung (-FPOE), und Fortinet veröffentlicht für jede SKU einen eigenen Wert „PoE Power Budget". Die richtige Methode ist, den tatsächlichen Verbrauch der realen Geräteliste (Access Points, IP-Telefone, Kameras, IoT) zu addieren statt eine Vollbelegung aller Ports anzunehmen, und dann Wachstumsreserve hinzuzurechnen.

Die Portdichte hat drei Eingangsgrößen: Ports pro Benutzer, die Liste der PoE-versorgten Geräte und die Uplink-Kapazität. In der Secure-Access-Serie bietet der FS-108F 8 Ports mit 2x GE SFP Uplinks, der FS-124F 24 Ports mit 4x 10GE SFP+ Uplinks und der FS-148F 48 Ports mit 4x 10GE SFP+ Uplinks. Ein einzelnes 48-Port-Gerät ist bei Rackplatz und Verwaltung effizient; ein einzelner Ausfall legt jedoch die gesamte Etage lahm. Auf Etagen mit geringer Ausfalltoleranz sind zwei 24-Port-Switches mit Uplinks über unabhängige Wege das sicherere Design.

Die Werte sind die maximale PoE-Leistung laut den Fortinet-Datenblättern FortiSwitch Secure Access und Secure Campus (2026); sie bedeuten nicht, dass alle Ports gleichzeitig die Höchstleistung erhalten. Bei den Halb-PoE-SKUs (-POE) ist nur ein Teil der Ports versorgt: beim FS-124F-POE die ersten 12, beim FS-148F-POE die ersten 24. Bemerkenswert ist der FS-548D-FPOE: Das zweite Netzteil kauft nicht nur Fehlertoleranz, sondern nutzbares PoE-Budget. Auf PoE-intensiven Etagen kann ein mit einem Netzteil kalkuliertes Design bei der Inbetriebnahme an die Grenze stoßen.

Auch der PoE-Standard bestimmt die Wahl. 802.3af/at (PoE/PoE+) liefert 30 W pro Port und reicht für IP-Telefone, feste Kameras und Access Points der Klasse 802.3at. 802.3bt (PoE++) liefert 90 W pro Port; die Wi-Fi-7-Flaggschiffe FAP-441K und FAP-443K von Fortinet verlangen 10-Gigabit-Ethernet-Ports und 802.3bt-Versorgung (Fortinet FortiAP Series Datenblatt, 2026). Beide Anforderungen treten auf der Switch-Seite gemeinsam auf: ein 802.3bt-Port und eine Zugangsgeschwindigkeit über 1 Gbit. Die WLAN-Seite behandeln wir in unserem Leitfaden zu FortiAP und Enterprise-WLAN; werden FortiAP-Access-Points und FortiSwitch gemeinsam geplant, landen beide Posten in derselben Rechnung.

Auswahlkriterien für FortiSwitch: Checkliste mit 7 Punkten

Die FortiSwitch-Auswahl wird klar, sobald sieben Fragen beantwortet sind: Verwaltungskapazität und FortiLink-Interface-Geschwindigkeit der vorhandenen FortiGate, benötigte Portanzahl, PoE-Geräteliste und -Standard, Uplink-Geschwindigkeit, Redundanzbedarf, Verwaltungsmodus und Supportlaufzeit. Diese Checkliste verhindert die falsche SKU im Angebot und Überraschungen bei der Inbetriebnahme.

Die Kriterien vier und fünf hängen zusammen. Ein Design, das nur das PoE-Budget prüft und die Portgeschwindigkeit ignoriert, kann die Wi-Fi-7-Investition nicht ausschöpfen; ein Design, das nur die Portgeschwindigkeit betrachtet und die PoE-Rechnung auslässt, lässt Access Points im Sparmodus laufen. In unseren Projekten leiten wir beide Posten Gerät für Gerät in einer einzigen Tabelle ab.

Das siebte Kriterium wird häufig übersehen. FortiSwitch-Hardware wird mit einem FortiCare-Supportvertrag ausgeliefert; läuft dieser ab, arbeitet das Gerät weiter, doch FortiSwitchOS-Updates und RMA-Anspruch enden. Ein Switch überlebt die Firewall im Betrieb meist; die Supportlaufzeit am FortiGate-Lizenzzyklus auszurichten, bündelt die Verlängerungen auf einen Termin.

Segmentierung und NAC auf der Zugangsschicht

Die FortiLink-Integration bringt vier Fähigkeiten mit, die das Fortinet-Datenblatt als grundlegendes NAC ohne Zusatzkosten beschreibt: Geräteprofilierung, automatische Segmentierung für IoT, Port-Quarantäne bei Verstoß und virtuelles Patching für nicht aktualisierbare Geräte. Sie arbeiten als Fortsetzung der FortiGate-Richtlinien, ohne separaten NAC-Server, separate Konsole oder separaten Betriebsaufwand.

Was die Ausbreitung von Schadsoftware von einem Endpunkt auf das gesamte LAN begrenzt, ist nicht die Perimeter-Firewall, sondern die Segmentierung auf dem Switch, an dem der Benutzerport hängt. Werden Drucker, IP-Kameras, Zutrittspanels und IP-Telefone per Profilierung erkannt und automatisch in definierte Segmente gelegt, teilen sie keine Broadcast-Domäne mehr mit dem Benutzernetz. Ein Gerät, das sich außerhalb der Richtlinie verhält, wird an seinem Port isoliert; die Reaktion wartet nicht darauf, dass ein Techniker zum Verteiler geht und das Kabel zieht.

Bei der Authentifizierung unterstützt FortiSwitch laut Datenblatt portbasiertes und MAC-basiertes 802.1X, MAC Access Bypass (MAB), dynamische VLAN-Zuweisung über RADIUS-Attribute (RFC 4675) und RADIUS CoA. Als Identitätsquelle kann die vorhandene RADIUS/NPS-Infrastruktur oder FortiAuthenticator dienen. Wichtig: Die Port-Sicherheitsautomatik von FortiLink-NAC setzt 802.1X nicht voraus. Organisationen ohne 802.1X-Infrastruktur können mit profilbasierter Segmentierung beginnen und 802.1X später einführen, zunächst im Überwachungs-, dann im Erzwingungsmodus.

Ein häufiger Fehler im Segmentierungsdesign ist, das Anlegen weiterer VLANs mit Segmentierung zu verwechseln. Segmente trennt nicht das VLAN-Tag, sondern die Prüfung des Verkehrs zwischen ihnen. Genau hier zahlt sich die Positionierung von FortiSwitch neben der FortiGate aus: Der Verkehr zwischen Segmenten durchläuft dieselben Richtlinien und Sicherheitsprofile wie der Perimeter-Verkehr. Für Audit und Compliance muss aus Aufzeichnungen nachweisbar sein, welches Gerät in welchem Segment sitzt und wie der Verkehr zwischen Segmenten geprüft wird; diese Nachweisebene liefert FortiAnalyzer. Bei KVKK-, DSGVO- und ähnlichen Pflichten empfehlen wir, die aktuelle Gesetzeslage und die offiziellen Leitfäden zu prüfen.

Wie laufen Beschaffung und Installation ab?

Beschaffung und Installation von FortiSwitch verlaufen in fünf Schritten: Erfassung von Inventar und Topologie, Entwurf des Ziel-Segmentierungsmodells auf der FortiGate, SKU-Auswahl und Angebot, Inbetriebnahme einer Pilotetage über FortiLink und nach der Validierung die stufenweise Migration der übrigen Etagen. Die Migration ist kein Wochenendtausch aller Switches, sondern ein Projekt, das Etage für Etage voranschreitet.

1. Inventar. Nicht erfasste Switches in Verteilern, undokumentierte VLANs, noch produktive Alt-Telefonanlagen-Anschlüsse und IoT-Geräte ohne bekannten Eigentümer tauchen typischerweise in dieser Phase auf. Wir behandeln das Inventar nicht als Formalität vor der Migration, sondern als erstes Projektergebnis; das Segmentierungsmodell lässt sich nur auf einem korrekten Inventar aufbauen. Auch die PoE-Geräteliste entsteht in diesem Schritt.

2. Design. Ziel-VLAN- und Segmentplan, FortiLink-Topologie (Einzelswitch, Kette, MCLAG), Uplink-Wege und die 802.1X-Stufung werden festgelegt. Verwaltungskapazität und FortiOS-Version der vorhandenen FortiGate werden hier verifiziert; bei Bedarf wird eine Firewall-Erneuerung ins Projekt aufgenommen.

3. SKU-Auswahl und Angebot. Portanzahl, PoE-Klasse, Uplink-Typ und FortiCare-Laufzeit werden festgelegt. Das sind die kostenbestimmenden Posten; da der Betrag von Geräteinventar und Supportumfang abhängt, wird das Angebot projektspezifisch erstellt. Weil Fortinet das Portfolio auf SKU-Ebene aktualisiert, wird das aktuelle offizielle Datenblatt der gewählten SKU in jedem Projekt erneut bestätigt (Fortinet FortiSwitch Secure Access Datenblatt).

4. Pilotetage. Zwei Kriterien leiten die Pilotauswahl: repräsentative Benutzerdichte und kein kritischer Geschäftsprozess auf dieser Etage. Die Validierungsliste umfasst FortiLink-Erkennung und -Autorisierung, VLAN- und Trunk-Zuweisungen, sauberes Hochfahren der PoE-Geräte nach Neustart, Priorisierung des Sprachverkehrs, den 802.1X-Ablauf und das Failover über den redundanten Uplink. Für die Vorarbeiten auf der FortiGate-Seite weist unser Leitfaden zur FortiGate-Installation und Erstkonfiguration den Weg.

5. Stufenweise Migration und Übergabe. Die übrigen Etagen werden nacheinander migriert; das Ergebnis jeder Phase wird schriftlich übergeben, ein Rückfallplan ist vorab definiert. Zum Projektabschluss werden Konfigurationsdokument, Port-Geräte-Karte und Supportvertragskalender übergeben.

Ein Ein-Hersteller-LAN ist nicht in jeder Umgebung die richtige Wahl. In Projekten, in denen das Budget die entscheidende Restriktion ist oder die reine Portdichte wichtiger ist als die Sicherheitsintegration, bewerten wir auch Alternativen wie die Ruijie-RG-NBS-Enterprise-Switch-Familie. Das Entscheidungskriterium ist klar: Wird eine FortiGate-zentrierte Sicherheitsarchitektur aufgebaut und Richtlinienkonsistenz auf der Zugangsschicht gefordert, ist der Nutzen von FortiSwitch hoch.

Häufig gestellte Fragen

Benötigt FortiSwitch eine separate Lizenz?

Für die FortiLink-Verwaltung und das grundlegende NAC ist keine separate Lizenz nötig; diese Funktionen kommen mit dem Switch-Controller der FortiGate. Die Hardware wird mit einem FortiCare-Supportvertrag verkauft, der Firmware-Updates, technischen Support und RMA-Anspruch abdeckt. Nach Ablauf läuft der Switch weiter, Update- und Austauschrechte enden jedoch.

Was ist der Unterschied zwischen FortiLink-Modus und Standalone-Modus?

Im FortiLink-Modus steuert die FortiGate den Switch; VLANs, Ports, PoE und Zugriffsrichtlinien werden aus der FortiGate-Oberfläche verwaltet und das grundlegende NAC ist aktiv. Im Standalone-Modus wird der Switch wie ein klassischer Managed Switch über seine eigene Oberfläche konfiguriert. Standalone eignet sich für Standorte ohne FortiGate.

Wie viele FortiSwitches kann eine FortiGate 60F verwalten?

Laut Fortinet-Datenblatt verwaltet die FortiGate 60F bis zu 24 FortiSwitches und 64 FortiAPs (32 im Tunnelmodus); ihr FortiLink-Interface ist 2x GE RJ45. Das ist eine Obergrenze; da die 60F gleichzeitig Sicherheitsprüfung und VPN-Terminierung übernimmt, sollte im Design Wachstumsreserve bleiben.

Ist PoE++ für Wi-Fi-7-Access-Points zwingend?

Die Wi-Fi-7-Flaggschiffe FAP-441K und FAP-443K von Fortinet verlangen einen 10-Gigabit-Ethernet-Port und 802.3bt-PoE; ein 30-W-Port reicht dafür nicht. Im gesamten FortiAP-Portfolio variiert der PoE-Bedarf je nach Modell zwischen 802.3at und 802.3bt, daher ist die PoE-Klasse im Datenblatt jedes Access-Point-Modells gesondert zu prüfen.

Ein 48-Port-Switch oder zwei 24-Port-Switches?

Ein einzelnes 48-Port-Gerät ist bei Rackplatz und Verwaltung effizient, doch ein einzelner Ausfall bedeutet einen Ausfall der ganzen Etage. Auch das PoE-Budget spielt hinein: Der FS-124F-FPOE bietet 370 W, der FS-148F-FPOE 740 W. Auf Etagen mit geringer Ausfalltoleranz ist die Aufteilung auf zwei Geräte mit Uplinks über unabhängige Wege sicherer.

Wie lange dauert die Migration von bestehenden Cisco- oder HPE-Switches?

Die Dauer hängt von der Zahl der Verteiler und dem Dokumentationsstand des Inventars ab. Entscheidend ist nicht der Switch-Tausch, sondern Inventar und Segmentierungsdesign. Wir planen das Projekt in vier Phasen: Inventar, Zielmodell, Pilotetage und stufenweise Migration; jede Phase wird schriftlich übergeben, ein Rückfallplan ist vorab definiert.

Wie wird der FortiSwitch-Preis bestimmt?

Der Preis wird durch Portanzahl, PoE-Klasse (ohne PoE, -POE, -FPOE), Uplink-Typ, Serie (Secure Access oder Secure Campus) und die FortiCare-Supportlaufzeit bestimmt. Da diese Posten je Projekt variieren, veröffentlichen wir keinen festen Betrag; sobald Sie Geräteinventar und Etagenplan teilen, erstellen wir ein Angebot mit Modellempfehlung und PoE-Berechnung.

Fazit

In einer FortiGate-zentrierten Sicherheitsarchitektur bindet FortiSwitch die Zugangsschicht an denselben Richtliniensatz wie den Perimeter: eine Oberfläche, grundlegendes NAC ohne Zusatzlizenz, Segmentierung auf Portebene. Die Auswahlentscheidung reduziert sich auf vier Zahlen: wie viele Switches die vorhandene FortiGate verwalten kann, der Portbedarf pro Etage, das aus der realen Geräteliste abgeleitete PoE-Budget und die Uplink-Geschwindigkeit. Stimmen diese vier, ergibt sich die SKU-Wahl von selbst.

Lassen Sie uns gemeinsam ermitteln, wie viele Switches mit wie vielen Ports Sie benötigen, wie sich Ihr PoE-Budget aus der realen Geräteliste ergibt und wie viele Switches Ihre aktuelle FortiGate verwalten kann. Teilen Sie uns Ihre bestehende Topologie und Ihr Geräteinventar mit; wir erstellen ein Designdokument und ein Angebot mit Segmentierungsmodell, Modellempfehlung und Migrationsplan. Über unsere Kontaktseite können Sie ein kostenloses Erstgespräch anfragen.