FortiGate 900G

Die FortiGate 900G ist eine für den Backbone großer Campus-Netze und die Eingangsschicht des Rechenzentrums ausgelegte Firewall im oberen Mid-Range-Segment mit 1 HE. Laut offiziellem Datenblatt liefert sie bei 1518-Byte-UDP-Paketen 164 Gbps IPv4 Firewall Throughput, 42 Gbps IPS, 30 Gbps Threat Protection und 16,7 Gbps SSL Inspection Throughput; sie trägt 28 Millionen gleichzeitige TCP-Sitzungen und wird von den Prozessoren SPU NP7 und CP9 in Hardware beschleunigt (FortiGate 900G Series Data Sheet, 2026).

Für welche Unternehmensgröße eignet sich die FortiGate 900G?

Die 900G richtet sich an Organisationen, die weniger über die Anwenderzahl als über das Volumen des inspizierten Datenverkehrs skalieren: Campus-Netze mit mehr als 1.500 Anwendern, Universitäts- und Klinikgelände mit mehreren Gebäuden, regionale Rechenzentren und mandantenfähige Hosting-Umgebungen. Ihr Unterscheidungsmerkmal ist nicht die reine Firewall-Geschwindigkeit, sondern die Leistung, die bei eingeschalteten Sicherheitsdiensten erhalten bleibt: Bei gleichzeitigem Betrieb von Firewall, IPS und Applikationskontrolle werden 31 Gbps NGFW gemessen; kommt der Malware-Schutz hinzu, sind es 30 Gbps Threat Protection. CyberRatings.org berichtet, dass mehr als 95 % des weltweiten Web-Verkehrs verschlüsselt sind und einige Produkte bei der Inspektion verschlüsselten Verkehrs deutliche Leistungseinbußen zeigen (CyberRatings.org, 2025); genau für diese Last ist die SSL-Inspection-Obergrenze der 900G von 16,7 Gbps relevant. Das Gerät nimmt im 1-HE-Gehäuse durchschnittlich 170 W und maximal 313 W auf und arbeitet in einem Temperaturbereich von 0-45 °C.

Worin unterscheiden sich FortiGate 900G, 600F und 1000F?

In einer Tabelle, in der alle drei Modelle im selben Segment erscheinen, zeigt sich der tatsächliche Unterschied erst auf Kennzahlenebene. Zwischen der FortiGate 600F und der 900G liegt der Abstand beim IPv4-Firewall-Durchsatz bei rund 18 % (139 Gbps gegenüber 164 Gbps); beim inspizierten Datenverkehr verdreifacht sich der Unterschied jedoch: IPS 14 Gbps gegenüber 42 Gbps, Threat Protection 10,5 Gbps gegenüber 30 Gbps, gleichzeitige Sitzungen 8 Millionen gegenüber 28 Millionen. Die eine Stufe höher angesiedelte FortiGate 1000F liegt beim reinen Firewall-Durchsatz vorn (198 Gbps) und bietet 100GE-QSFP28-Schnittstellen, kommt aber nur auf 13 Gbps Threat Protection und 7,5 Millionen gleichzeitige Sitzungen – bei der Sicherheitsinspektion bleibt sie also hinter der 900G zurück. Die entscheidende Frage lautet: Werden 100-Gigabit-Schnittstellen benötigt oder ein höherer inspizierter Durchsatz und mehr Sitzungskapazität?

Wie sind Schnittstellenaufbau und Hardwarebeschleunigung der FortiGate 900G?

Schnittstellen: Auf der 900G befinden sich vier 25GE-SFP28-/10GE-SFP+-Slots mit Ultra Low Latency, vier 10GE-SFP+-/GE-SFP-Slots, acht GE-SFP-Slots und 16 GE-RJ45-Switch-Ports; ergänzt werden sie durch einen 2,5GE/GE-HA-Port und einen GE-Management-Port. Das Gerät bietet keine 40GE- oder 100GE-Schnittstellen; die Backbone-Anbindung entsteht durch die Bündelung der 25GE-SFP28-Ports per LACP. An den Ultra-Low-Latency-Ports sinkt die Firewall-Latenz bei 64-Byte-UDP-Paketen auf 2,5 Mikrosekunden, an den Standard-Ports beträgt sie 3,78 Mikrosekunden; die Paketverarbeitungskapazität wird mit 229,5 Mpps veröffentlicht. Dieses Latenzprofil ist ausschlaggebend für Börsenanbindungen, Zahlungs-Switching-Systeme und Echtzeit-Verkehr in der Produktionssteuerung.

Hardwarebeschleunigung mit SPU NP7 + CP9: In Fortinets offiziellen Bestellinformationen wird die FortiGate 900G als "SPU NP7 and CP9 hardware accelerated" geführt. Der Netzwerkprozessor NP7 übernimmt die Sitzungsverarbeitung von der CPU und sorgt so für Fastpath-Beschleunigung; laut Fortinet-Dokumentation unterstützt ein einzelner NP7 über zwei 100-Gigabit-Schnittstellen maximal 200 Gbps Datenrate und bis zu 12 Millionen Sitzungen (Fortinet Document Library, 2026). Der Content-Prozessor CP9 liefert bei flussbasierter Inspektion eine Mustererkennungsbeschleunigung von mehr als 10 Gbps und führt IPsec-Massenverschlüsselung sowie Public-Key-Operationen in Hardware aus (Fortinet Document Library, 2026). Die Werte der 900G von 42 Gbps IPS und 16,7 Gbps SSL-Inspection sind das Ergebnis dieser Architektur. Im Gerät befinden sich außerdem ein Trusted Platform Module (TPM), das kryptografische Schlüssel in Hardware erzeugt und speichert, sowie ein Bluetooth-Low-Energy-Modul (BLE).

Kapazität und Zugangsschicht: Die 900G unterstützt 50.000 Firewall-Richtlinien, 10 VDOMs standardmäßig und maximal 50, dazu 2.000 Gateway-to-Gateway- und 50.000 Client-to-Gateway-IPsec-Tunnel. Der IPsec-VPN-Durchsatz beträgt mit 512-Byte-Paketen 55 Gbps (gemessen mit AES256-SHA256). In der Zugangsschicht werden 2.048 FortiAPs (davon 1.024 im Tunnel-Modus) und ab FortiOS 7.6.1 auch 196 FortiSwitches aus demselben Gerät verwaltet; in älteren Versionen liegt die FortiSwitch-Grenze bei 96. Damit werden der kabelgebundene und der drahtlose Campus-Zugang zur logischen Erweiterung der Firewall, ohne dass eine separate Controller-Ebene aufgebaut werden muss. In Organisationen, die eine einheitliche Managementebene über das gesamte Gelände wünschen, kommt mit FortiAnalyzer eine zentrale Log- und Reporting-Ebene hinzu; die bei Prüfungen nach KVKK (türkisches Datenschutzgesetz), PCI-DSS und BDDK (türkische Bankenaufsicht) geforderte Langzeitaufbewahrung wird auf dieser Ebene erfüllt.

Wann ist der Wechsel in die Klasse 1000F oder 1800F nötig?

Es gibt drei konkrete Schwellen, die einen Wechsel oberhalb der 900G erforderlich machen. Erstens die Schnittstellengeschwindigkeit: Ist eine 40GE- oder 100GE-Anbindung zwingend, reicht die 900G nicht aus; die FortiGate 1000F beginnt mit zwei 100GE-QSFP28-/40GE-QSFP+-Slots, die FortiGate 1800F bietet vier 100GE-QSFP28-Slots (für 100GE-Unterstützung sind FortiOS 7.0.16+, 7.2.8+, 7.4+ oder 7.6+ erforderlich). Zweitens der VDOM- und Richtlinien-Maßstab: Ist die Grenze von 50 VDOMs oder 50.000 Richtlinien ausgeschöpft, werden die 250 VDOMs und 100.000 Richtlinien der 1000F benötigt. Drittens der inspizierte Durchsatz: Hier wird häufig der Fehler gemacht, anzunehmen, dass mit steigender Modellnummer auch die Sicherheitsinspektion schneller wird. Der Threat-Protection-Wert der 900G von 30 Gbps liegt über dem vieler höher positionierter Modelle, darunter 1000F (13 Gbps), 1800F (15 Gbps) und 2600F (25 Gbps). Wenn Sie an diese Obergrenze stoßen, ist die Lösung nicht die nächsthöhere Nummer, sondern der Wechsel in die Rechenzentrumsklasse: Beim Threat-Protection-Durchsatz ist die FortiGate 3700F mit 75 Gbps das erste Modell, das die 900G übertrifft. Den vollständigen Modellvergleich und die Auswahlkriterien finden Sie auf unserer FortiGate-Produktseite.

Hochverfügbarkeit und Betriebskontinuität: In Produktivumgebungen wird die 900G als Cluster aus zwei Geräten positioniert. Das Datenblatt unterstützt die Konfigurationen Active-Active, Active-Passive und Clustering; für den Heartbeat-Verkehr steht ein dedizierter 2,5GE/GE-HA-Port zur Verfügung. Das Gerät kommt standardmäßig mit zwei im laufenden Betrieb tauschbaren 80-Plus-Netzteilen und wird sowohl als AC- (100-240 V) als auch als DC-Modell (48-60 V) angeboten – damit lässt sich der DC-Speisungsbedarf in Telekommunikations- und Kolokationsumgebungen abdecken. Der gemessene Geräuschpegel wird mit 58 dBA und die Wärmeabgabe mit 1.069 BTU/h veröffentlicht; bei der Planung des Campus-Technikraums fließen diese beiden Werte in die Kühlungsberechnung ein.

Version und Lebenszyklus: Die FortiGate 900G läuft auf den aktuellen FortiOS-Zweigen 7.4 und 7.6. Gemäß Bulletin CSB-260330-1 vom März 2026 wurde der Engineering-Support für FortiOS 7.4 bis zum 11. Mai 2027 und das volle Supportende bis zum 11. November 2028 verlängert; für FortiOS 7.6 gelten entsprechend der 25. Juli 2028 und der 25. Januar 2030 (Fortinet Community, CSB-260330-1, 2026). Da einige Kapazitäten wie die Verwaltung von 196 FortiSwitches erst ab FortiOS 7.6.1 freigeschaltet sind, wird für Neuinstallationen der 7.6-Zweig empfohlen. Für Organisationen, die ihr Supportfenster über diese Termine hinaus verlängern wollen, verweist das Datenblatt auf FortiCare Elite: Neben verbesserten SLAs und einem dedizierten Support-Team bietet es 18 Monate verlängerten Engineering-Support (Extended End-of-Engineering-Support).

Verkehrsprofilanalyse, HA- und VDOM-Design, 25GE-Backbone-Integration, Konfigurationsmigration von der 600F oder von Geräten früherer Generationen sowie die Inbetriebnahme führen wir für die FortiGate 900G als autorisierter Fortinet-Channel-Partner durch. Um gemeinsam die richtige Wahl zwischen 600F, 900G und 1000F für Ihre Organisation zu treffen und ein Hardware- und Subskriptionsangebot zu erhalten, erreichen Sie uns über unsere Kontaktseite.