FortiGate 400F

Die FortiGate 400F ist eine 1U-Enterprise-Firewall der nächsten Generation, positioniert für Campus-Umgebungen und mittelgroße bis große Zentralen mit 500–1000 Anwendern. Laut offiziellem Fortinet-Datenblatt beträgt der IPv4- und IPv6-Firewall-Durchsatz mit UDP-Paketen von 1518/512/64 Byte 79,5 / 78,5 / 70 Gbps, der IPS-Durchsatz 12 Gbps, der NGFW-Durchsatz 10 Gbps, der Threat-Protection-Durchsatz 9 Gbps und der SSL-Inspection-Durchsatz 8 Gbps. Das Gerät trägt 7,8 Millionen gleichzeitige TCP-Sitzungen und kann 500.000 neue Sitzungen pro Sekunde öffnen. Dieses Profil macht die 400F von einem Niederlassungsgerät zum Prüfpunkt zwischen Campus-Backbone und Rechenzentrum.

In dieser Größenordnung ist nicht die rohe Geschwindigkeit entscheidend, sondern die Geschwindigkeit unter aktiver Prüfung. Laut dem Global Threat Landscape Report 2026 der FortiGuard Labs erreichte die Zahl bestätigter Ransomware-Opfer im Jahr 2025 7.831, und die Zeit bis zur Ausnutzung kritischer Schwachstellen sank auf 24–48 Stunden (Fortinet, 2026). In diesem Tempo ist es keine realistische Option, IPS und Malware-Schutz zu deaktivieren, um Durchsatz zu gewinnen. Deshalb orientieren wir uns bei der Dimensionierung der 400F nicht am Firewall-Wert von 79,5 Gbps, sondern an den bei vollständig aktivierten Profilen gültigen Werten von 9 Gbps Threat Protection und 8 Gbps SSL-Inspection.

Für welche Unternehmensgröße eignet sich die FortiGate 400F?

Die 400F richtet sich an Organisationen, die an einem einzigen Prüfpunkt 500–1000 aktive Anwender, campusinternen Serververkehr und in der Zentrale terminierte Niederlassungs-VPNs gemeinsam tragen müssen. Das Datenblatt nennt 500.000 neue Sitzungen pro Sekunde und 7,8 Millionen gleichzeitige Sitzungen; das ist genau die Kennzahl, die in Campus-Umgebungen entscheidend ist, in denen die Dichte an Studierenden oder Beschäftigten in den Morgenstunden sprunghaft ansteigt – gegenüber den 280.000 neuen Sitzungen pro Sekunde der FortiGate 200F ist das nahezu das Doppelte. Auf der IPsec-VPN-Seite stehen bei 512-Byte-Paketen mit AES256-SHA256 ein Durchsatz von 55 Gbps sowie eine Kapazität von 2.000 Gateway-to-Gateway- und 50.000 Client-to-Gateway-Tunneln zur Verfügung; auf der SSL-VPN-Seite liegt die empfohlene maximale Anzahl gleichzeitiger Anwender bei 5.000. Die 400F kann außerdem 512 FortiAP (256 davon im Tunnelmodus) und auf der FortiSwitch-Seite 96 Switches verwalten; für die Unterstützung von 96 Switches ist FortiOS 7.6.1 oder höher erforderlich, frühere Versionen kommen auf bis zu 72 Switches.

Hat die FortiGate 400F einen 25GE-SFP28-Port?

Nein. Das ist die Falschinformation, der wir im Feld am häufigsten begegnen, und sie beeinflusst die Kaufentscheidung unmittelbar. Die schnellsten Schnittstellen der FortiGate 400F sind 10GE-SFP+-Slots: 4 standardmäßige 10GE SFP+ und 4 10GE SFP+ Ultra Low Latency, also insgesamt 8 Stück. Daneben gibt es 16 hardwarebeschleunigte GE-RJ45-Ports, 8 GE-SFP-Slots und 2 GE-RJ45-Management-Ports; im Lieferumfang sind 2 SFP-Transceiver (SX 1 GE) enthalten. Das nächsthöhere Modell in diesem Lineup, das 25GE SFP28 bietet, ist die FortiGate 600F (4 Slots 25GE SFP28 Ultra Low Latency). Wenn Ihr Backbone auf 25GE ausgelegt ist, sollte statt der 400F direkt die 600F geplant werden; es gibt keinen Weg, mit der 400F eine 25GE-Verbindung herzustellen. Ebenso wenig verfügt die 400F über 40GE-QSFP+- oder 100GE-QSFP28-Ports.

Wofür sind die Ultra-Low-Latency-Ports gut?

Vier der 10GE-SFP+-Slots der 400F sind als Ultra Low Latency (ULL) definiert. Der Unterschied im Datenblatt ist messbar: Während die Firewall-Latenz an Standardports für 64-Byte-UDP-Pakete 4,19 µs beträgt, sinkt sie an den ULL-Ports auf 2,5 µs. Die gesamte Paketverarbeitungskapazität liegt bei 105 Mpps. Werden latenzempfindliche Workloads – Finanztransaktionsströme, Echtzeit-Fertigungstelemetrie, Storage- oder Cluster-Verkehr mit niedriger Latenzanforderung – über diese Ports geführt, bleibt die von der Firewall hinzugefügte Verzögerung im Mikrosekundenbereich. In der Designphase empfehlen wir, die ULL-Ports nicht wahllos zu verteilen, sondern gezielt den Segmenten mit engem Latenzbudget zuzuweisen; der übrige Verkehr wird über die standardmäßigen 10GE-SFP+- und GE-Ports geführt.

Was leisten die Hardwarebeschleunigung NP7 und CP9?

Die FortiGate 400F kombiniert den Netzwerkprozessor NP7 mit dem Content-Prozessor CP9; zusätzlich enthält sie ein TPM-Modul, das kryptografische Schlüssel in Hardware erzeugt und speichert. Der NP7 liefert eine Fastpath-Beschleunigung, die die Paketverarbeitung etablierter Sitzungen von der CPU der FortiGate auf den ASIC verlagert; laut Fortinet-Dokumentation kann der NP7 je nach Plattform und Lizenz zudem Sitzungsaufbau, Carrier Grade NAT, Hardware-Logging, HA-Hardware-Sitzungssynchronisation und DoS-Schutz von der CPU übernehmen (Fortinet Document Library, 2026). Für die Dimensionierung sind nicht die allgemeinen Fähigkeiten des ASIC maßgeblich, sondern die Werte des Gerätedatenblatts selbst: für die 400F 7,8 Millionen gleichzeitige Sitzungen und 79,5 Gbps Firewall-Durchsatz. Der CP9 wiederum liefert bei der flussbasierten Prüfung eine Mustererkennungs-Beschleunigung von über 10 Gbps. Das praktische Ergebnis dieses Gespanns zeigt sich im Datenblatt: Lasten, die an den ASIC übergeben werden können, bleiben hoch – Application-Control-Durchsatz 28 Gbps, CAPWAP-Durchsatz 65 Gbps, IPsec-VPN 55 Gbps –, während sich die vollständige Inhaltsprüfung bei 9 Gbps einpendelt. Genau an dieser Stelle liegt der deutlichste Sprung gegenüber der Kombination NP6XLite + CP9 der 200F.

Was unterscheidet die FortiGate 400F von der 200F und der 600F?

Um den Upgrade-Pfad richtig zu bestimmen, müssen die offiziellen Datenblattwerte der drei Modelle nebeneinandergestellt werden. Der Blick auf eine einzelne Durchsatzzahl verdeckt, wo der Unterschied zwischen diesen drei Geräten tatsächlich entsteht.

Der Bruch in der Tabelle liegt zwischen 200F und 400F, nicht zwischen 400F und 600F. Beim Wechsel von der 200F zur 400F steigt der Firewall-Durchsatz um etwa den Faktor 2,9, die Threat Protection um Faktor 3, die SSL-Inspection um Faktor 2, das IPsec-VPN um Faktor 4,2 und die Anzahl gleichzeitiger Sitzungen um Faktor 2,6 – zudem wechselt die ASIC-Generation von NP6XLite auf NP7. Beim Wechsel von der 400F zur 600F fällt der Zuwachs bei den Kennzahlen der Sicherheitsprüfung dagegen vergleichsweise gering aus (IPS 17 %, Threat Protection 17 %, SSL-Inspection 13 %); der eigentliche Unterschied der 600F liegt im rohen Firewall-Durchsatz (139 Gbps), in den 25GE-SFP28-Schnittstellen, in der dreimal größeren Richtlinienbasis (30.000) und in der doppelten VDOM-Obergrenze. Die Entscheidung vereinfacht sich damit wie folgt: Für Kapazität bei der Sicherheitsprüfung geht man von der 200F auf die 400F; für Backbone-Geschwindigkeit, Porttyp, Richtlinien- und Mandantenzahl von der 400F auf die 600F. Sämtliche Modelle und ihre Positionierung finden Sie im Vergleich auf unserer FortiGate-Produktseite.

Wie viele VDOMs, welche Strom- und Rackplanung sind erforderlich?

Die Kapazität an virtuellen Domains der 400F beträgt standardmäßig 10, maximal 25 VDOMs. Gegenüber der Obergrenze von 10/10 der 200F ist das eine echte Erweiterung: Für Holding- und Campus-Strukturen, die über die grundlegenden Aufteilungen wie Produktion, Test, OT, DMZ und Gastnetz hinaus eine Trennung nach Beteiligungsgesellschaft oder Mandant vornehmen, reichen 25 VDOMs in den meisten Szenarien aus. Auf der Seite der physischen Planung hat die 400F den Formfaktor Rackmontage 1 HE (44,45 x 432 x 380 mm, 6,4 kg), nimmt durchschnittlich 154,8 W und maximal 189,2 W auf und erzeugt 48 dBA Geräuschpegel. Die Netzteile kommen als hot-swap-fähiges doppeltes AC-Netzteil mit 1+1-Redundanz; für Umgebungen mit 48–60 VDC Versorgung gibt es zudem eine DC-Variante. Das ist gegenüber dem nicht hot-swap-fähigen doppelten internen Netzteil der 200F ein wichtiger betrieblicher Unterschied: Bei einem Netzteildefekt kann ohne Wartungsfenster eingegriffen werden. Onboard-Speicher ist in der Standard-400F nicht vorhanden; für Organisationen mit Bedarf an lokalem Log und Archiv wird die Variante FG-401F mit 2 SSDs zu je 480 GB angeboten.

Hochverfügbarkeit und Versionsplanung: Das Datenblatt der 400F nennt Active-Active-, Active-Passive- und Clustering-Konfigurationen. Beim Aufbau eines HA-Paares treten zwei Punkte hervor, die für die 400F spezifisch sind. Erstens sollten für Heartbeat und Sitzungssynchronisation keine Ultra-Low-Latency-Ports verbraucht werden; der Wert dieser vier Ports zeigt sich im latenzempfindlichen Produktivverkehr, die HA-Verbindung sollte über standardmäßige 10GE-SFP+- oder GE-Ports aufgebaut werden. Zweitens erfordert die Wartung der Netzteile bei der 400F kein Herausnehmen des Geräts aus dem HA-Verbund, da die Netzteile hot-swap-fähig sind – bei der 200F verlangt derselbe Vorgang ein geplantes Wartungsfenster. Fortinet veröffentlicht keine Kennzahl für die Failover-Dauer; da die Übernahmezeit vom Heartbeat-Intervall, vom Umfang der synchronisierten Sitzungen und vom Konvergenzverhalten der benachbarten Switches abhängt, muss sie bei der Inbetriebnahme gemessen und dokumentiert werden. Auf der Versionsseite sind Kapazitäts-Versions-Abhängigkeiten – etwa dass die Unterstützung von 96 FortiSwitch FortiOS 7.6.1+ voraussetzt – gemeinsam mit dem angestrebten Umfang der Zugangsebene zu bewerten.

Türkischer Kontext und Compliance: Die Kapazität von 25 VDOMs der 400F liefert auf der Compliance-Seite einen konkreten Gegenwert. Die von der KVKK (türkisches Datenschutzgesetz) erwartete Zugriffsbeschränkung, die Notwendigkeit, den PCI-DSS-Geltungsbereich für Segmente mit Kartendaten einzugrenzen, und die in BDDK-Prüfungen (türkische Banken-Aufsichtsbehörde) geforderte segmentbezogene Nachvollziehbarkeit lassen sich auf einem einzigen Gerät erfüllen, indem pro Einheit oder Beteiligungsgesellschaft ein eigenes VDOM definiert wird; jedes VDOM bildet mit eigener Richtlinienbasis und eigener Administratorrolle eine separate Prüfgrenze. Da die Standard-400F keinen Onboard-Speicher besitzt – lokale Speicherung ist nur mit den 2x 480 GB SSDs der FG-401F möglich –, ist die Weiterleitung des Log-Stroms an einen zentralen Collector zwingend; in unseren Installationen definieren wir je VDOM einen eigenen Log-Strom und eine eigene Berichtsvorlage und trennen so die Prüfausgabe jeder Einheit voneinander. Sora Yazılım liefert als autorisierter Fortinet-Channel-Partner für die FortiGate 400F Lizenzierung, Installation, Migration von der bestehenden NGFW, HA-Clustering, SD-WAN-Orchestrierung und Managed Services.

Wenn Sie uns Ihre Campus-Topologie, den Porttyp Ihres Backbones (10GE oder 25GE), die geplanten Sicherheitsprofile und Ihren VDOM-Bedarf mitteilen, vergleichen wir die Datenblattkapazität der 400F mit Ihrer realen Last und erstellen eine Dimensionierungsnotiz; weist das Ergebnis auf das nächstkleinere Modell (200F) oder das nächstgrößere (600F) hin, sagen wir Ihnen das ebenso deutlich. Für Umfangsermittlung, Installationsplan und Angebot erreichen Sie uns über unsere Kontaktseite.