FortiGate 600F

Die FortiGate 600F ist eine 1U-Next-Generation-Firewall für Organisationen mit hohem Datenaufkommen auf Campus-Ebene. Laut offiziellem Datenblatt erreicht sie bei 1518-Byte-UDP-Paketen 139 Gbps IPv4 Firewall Throughput, 14 Gbps IPS und 10,5 Gbps Threat Protection; mit 8 Millionen gleichzeitigen TCP-Sitzungen und vier 25GE-SFP28-Slots mit Ultra Low Latency trägt sie den Backbone großer Campus-Netze (FortiGate 600F Series Data Sheet, 2026).

Für welche Organisationen ist die FortiGate 600F das richtige Gerät?

Das Flaggschiff des Mid-Range-Segments: Während die FortiGate 200F ideal für die Unternehmenszentrale ist, wurde die 600F für Umgebungen mit deutlich höherer Lastdichte entworfen – große Universitäten, Holdings mit vielen Einzelgesellschaften, Hauptgebäude öffentlicher Einrichtungen. Mit 139 Gbps IPv4-Firewall-Durchsatz übernimmt sie die Eingangsschicht des Rechenzentrums (North-South); gleichzeitig beherbergt sie für die Mikrosegmentierung innerhalb des Campus über Multi-VDOM bis zu 50 isolierte virtuelle Firewalls. Das Gerät arbeitet im Rack-Formfaktor mit 1 HE und nimmt durchschnittlich 169 W, maximal 255 W auf – das bedeutet eine sehr hohe Inspektionskapazität auf einer einzigen Höheneinheit.

Welches sind die schnellsten Schnittstellen der FortiGate 600F?

25GE-SFP28-Slots mit Ultra Low Latency und die Anbindung ans Rechenzentrum: Einen 40GE-QSFP+-Port gibt es in der 600F nicht. Die schnellsten Schnittstellen des Geräts sind vier 25GE-SFP28-/10GE-SFP+-Slots mit Ultra Low Latency; ergänzt werden sie durch vier 10GE-SFP+/GE-SFP-Slots, acht GE-SFP-Ports, 16 GE-RJ45-Ports sowie zwei GE-RJ45-Ports für MGMT/HA. Die Anbindung an den Backbone erfolgt typischerweise durch die Bündelung dieser vier SFP28-Slots per LACP zu einem logischen Link. Für die ULL-Slots weist das Datenblatt bei 64-Byte-UDP-Paketen eine Firewall-Latenz von 2,5 Mikrosekunden aus; an den Standard-Ports des Geräts liegt der entsprechende Wert bei 4,12 Mikrosekunden. Auf der Inspektionsseite beträgt der SSL Inspection Throughput 9 Gbps und der IPS Throughput 14 Gbps; der Threat Protection Throughput, gemessen bei gleichzeitig aktiver Firewall, IPS, Applikationskontrolle und Malware-Schutz, wird mit 10,5 Gbps veröffentlicht.

Was bringt die Hardwarebeschleunigung mit NP7 und CP9 in der 600F?

Warum sind 105 Mpps Paketverarbeitung möglich? In den offiziellen Bestellinformationen wird die FG-600F als "SPU NP7 and CP9 hardware accelerated" geführt, und zwischen den beiden Prozessoren besteht eine klare Arbeitsteilung. Das Datenblatt verbindet den Netzwerkprozessor NP7 mit Hyperscale-Firewall, beschleunigtem Sitzungsaufbau, ultraniedriger Latenz, VXLAN-Terminierung, hardwarebasiertem Logging und der Verarbeitung von Elephant Flows; die veröffentlichten Werte der 600F von 139 Gbps Firewall-Durchsatz und 8 Millionen Sitzungen bleiben innerhalb der Obergrenze von 200 Gbps und 12 Millionen Sitzungen, die die Fortinet-Dokumentation für einen NP7 nennt (Fortinet Document Library, 2026). Der Content-Prozessor CP9 übernimmt die SSL-Entschlüsselung inklusive TLS 1.3, das IPS-Vorscanning, die Signaturkorrelation sowie die Antivirus-Verarbeitung; bei flussbasierter Inspektion liefert er eine Mustererkennungsbeschleunigung von mehr als 10 Gbps (Fortinet Document Library, 2026). Auch die veröffentlichten Werte von 105 Mpps Paketverarbeitung und 550.000 neuen Sitzungen pro Sekunde sind das Ergebnis dieser Arbeitsteilung. Zusätzlich enthält das Gehäuse ein Trusted Platform Module (TPM) für die hardwarebasierte Schlüsselerzeugung und -speicherung sowie ein Bluetooth-Low-Energy-Modul (BLE); ein Signed Firmware Hardware Switch ist für dieses Modell nicht gelistet.

Mandantenfähiger Betrieb mit Multi-VDOM: Die 600F unterstützt standardmäßig 10 und maximal 50 VDOMs. Im Hauptgebäude einer Holding lässt sich der Datenverkehr jeder Gesellschaft in einer eigenen VDOM isolieren; für eine Gruppe mit 30 Gesellschaften genügt ein einziges 600F-HA-Paar. Jede VDOM verfügt über eine eigene Routing-Tabelle, ein eigenes Regelwerk und einen eigenen administrativen Verantwortungsbereich; eine fehlerhafte Regeländerung in einer VDOM beeinträchtigt den Datenverkehr der anderen nicht. Insgesamt erlaubt das Gerät 30.000 Firewall-Richtlinien, 2.000 Gateway-to-Gateway- und 50.000 Client-to-Gateway-IPsec-Tunnel; auf der drahtlosen und kabelgebundenen Zugangsseite werden bis zu 1.024 FortiAPs (davon 512 im Tunnel-Modus) und mit FortiOS 7.6.1+ bis zu 128 FortiSwitches aus demselben Gehäuse verwaltet – in Versionen vor FortiOS 7.6.1 liegt diese Obergrenze bei 96 Switches.

Wann reicht die 600F nicht mehr aus?

Die Entscheidung für ein Upgrade fällt nicht anhand des reinen Firewall-Durchsatzes, sondern anhand der Obergrenze für inspizierten Datenverkehr. Die 600F erreicht 10,5 Gbps Threat Protection und 9 Gbps SSL-Inspection; wenn Sie den gesamten verschlüsselten Datenverkehr inspizieren wollen und sich dieser Grenze nähern, kommt die FortiGate 900G ins Spiel. Sie bietet im selben 1-HE-Gehäuse 30 Gbps Threat Protection, 42 Gbps IPS, 16,7 Gbps SSL-Inspection und 28 Millionen gleichzeitige Sitzungen. Für eine kleinere Zentrale kann die FortiGate 400F ausreichen; werden 100GE-Schnittstellen oder 250 VDOMs benötigt, geht es hinauf in die Klasse der 1000F. Die gesamte Produktfamilie und die Auswahlkriterien finden Sie im Vergleich auf unserer FortiGate-Produktseite.

HA-Cluster und Ausfallsicherheit: In Produktivumgebungen wird die 600F fast immer als Cluster aus zwei Geräten positioniert. Das Datenblatt listet als unterstützte Hochverfügbarkeitsmodi Active-Active, Active-Passive und Clustering; Standard in der Praxis ist FGCP (Active-Passive), in kritischen Umgebungen mit Anforderung an Sitzungssynchronisation FGSP. Die zwei als MGMT/HA nutzbaren GE-RJ45-Ports werden für den Heartbeat-Verkehr reserviert. Ab Werk kommt das Gerät mit zwei 80-Plus-zertifizierten, im laufenden Betrieb tauschbaren Netzteilen; der Ausfall eines einzelnen Netzteils führt nicht zu einer Betriebsunterbrechung. Bei der 600F ist ausschließlich eine Speisung mit 100-240 V AC vorgesehen; in Kolokationsumgebungen mit DC-Speisung muss dieser Unterschied von Anfang an berücksichtigt werden. Diese Auslegung ist entscheidend für Umgebungen, in denen Ausfälle teuer sind – Bankfilialen, Krankenhausinformationssysteme oder SCADA-Netze in der Fertigung.

Integrierter Betrieb mit FortiManager und FortiAnalyzer: Für Organisationen der 600F-Klasse ist die Kombination aus FortiManager (Richtlinienverwaltung), FortiAnalyzer (Log-Analyse) und FortiSIEM (SOC) der Standard. Über FortiManager wird die Richtlinienverwaltung verteilter Organisationen mit vielen Standorten zentral gesteuert; FortiAnalyzer erzeugt mit seiner Langzeit-Log-Speicherung Berichte für KVKK- (türkisches Datenschutzgesetz) und PCI-DSS-Audits; FortiSIEM eskaliert kritische Ereignisse an die SOC-Betreiber. Für die Versionsplanung maßgeblich ist Fortinets Bulletin CSB-260330-1 vom März 2026: Im 7.4-Zweig endet der Engineering-Support am 11. Mai 2027, der volle Support am 11. November 2028; im 7.6-Zweig liegen diese beiden Termine beim 25. Juli 2028 und beim 25. Januar 2030 (Fortinet Community, CSB-260330-1, 2026). Bei Neuinstallationen wird wegen des längeren Supportfensters der 7.6-Zweig bevorzugt.

Dimensionierung, HA-Design, VDOM-Planung, 25GE-Backbone-Integration und die Konfigurationsmigration vom Bestandsgerät führen wir als autorisierter Fortinet-Channel-Partner für die FortiGate 600F durch. Lassen Sie uns Ihr Verkehrsprofil und Ihre Inspektionsziele gemeinsam durchgehen und klären, ob 400F, 600F oder 900G die richtige Wahl ist; für ein Hardware- und Subskriptionsangebot erreichen Sie uns über unsere Kontaktseite.