FortiGate Cloud-Native Firewall (CNF)

FortiGate CNF (Cloud-Native Firewall) ist nach Fortinets offizieller Definition ein Software-as-a-Service-Dienst, der die Cloud-Netzwerksicherheit vereinfacht und zugleich Verfügbarkeit und Skalierbarkeit sicherstellt; er beseitigt die Notwendigkeit, die Firewall-Softwareinfrastruktur zu konfigurieren, bereitzustellen und zu warten (FortiGate CNF Administration Guide 25.3.a, 2025). Der Dienst ist sowohl auf AWS als auch auf Azure produktiv unterstützt – die häufig anzutreffende Aussage, die AWS-Seite befinde sich in der Beta-Phase, trifft nicht zu.

Für welche Organisation und welche Architektur eignet sich FortiGate CNF?

FortiGate CNF richtet sich an Unternehmen, die Workloads in der Cloud betreiben, die Firewall selbst aber nicht als Infrastrukturkomponente betreiben wollen. Die Instanzen werden in derselben Region wie der geschützte Workload auf AWS- oder Azure-Infrastruktur gehostet; dass der Datenverkehr die Region nicht verlässt, ist für Unternehmen mit Anforderungen an Datenlokalisierung und KVKK (türkisches Datenschutzgesetz) ein entscheidendes Kriterium. Der eigentliche architektonische Gewinn liegt im Geltungsbereich der Richtlinie: Eine einzelne Instanz kann mehrere VPCs, Availability Zones und AWS-Konten einer Region mit einer gemeinsamen Richtlinie schützen; auf der Azure-Seite gilt dieselbe Struktur für Virtual Networks und Azure-Konten. In einer Landing Zone mit Dutzenden Konten bedeutet das, statt einer eigenen Firewall pro Konto ein einziges Richtlinienset zu verwalten. Der Geltungsbereich beschränkt sich allerdings auf AWS und Azure; geht es um GCP, OCI oder eine Private Cloud, ist FortiGate-VM erforderlich.

Auch die Zeitleiste korrigiert einen verbreiteten Irrtum: Fortinet stellte den Cloud-Native-Firewall-Dienst am 28. November 2022 zunächst auf AWS im AWS Marketplace allgemein zur Verfügung (Fortinet Newsroom, 2022); die Azure-Unterstützung kam später hinzu.

Worin unterscheiden sich FortiGate CNF und FortiGate-VM?

Die Entscheidungsregel lautet: Wollen Sie den Betriebsaufwand abgeben und regionsweit eine einzige Richtlinie führen, nehmen Sie FortiGate CNF; brauchen Sie die volle Kontrolle über FortiOS, die VDOM-Trennung oder eine andere Plattform als AWS und Azure, nehmen Sie FortiGate-VM. Die beiden Modelle schließen einander nicht aus – in einer Multi-Cloud-Architektur werden sie gemeinsam eingesetzt, und beide sind Teil derselben FortiGate-Produktfamilie.

Welche Sicherheitsdienste bietet FortiGate CNF und wie wird er verwaltet?

Die offizielle Dokumentation nennt von FortiGuard Labs gestützte IPS-Profile, DNS-Filterung, Geo-IP-Blockierung, das Filtern bekannter bösartiger IP-Adressen und Geo-Fencing. Die Aktualität von Signaturen und Reputationsdaten liegt in diesem Modell vollständig auf Seiten des Dienstes; genau darin liegt der Unterschied: Laut dem 2026 Global Threat Landscape Report der FortiGuard Labs ist die Zeit bis zur Ausnutzung bei kritischen Meldungen auf 24 bis 48 Stunden gesunken, und die weltweiten Exploit-Versuche nahmen im Jahresvergleich um 25,49 % zu (Fortinet, 2026). Die Verwaltungsebene bilden das CNF-Portal und die REST-API; auf der AWS-Seite steuert die Integration mit dem Firewall Manager die organisationsweite Ausbreitung des Rollouts. Die Aussage, die Konfiguration erfolge ausschließlich über das Azure-Portal, deckt sich nicht mit der aktuellen Dokumentation.

Wie plant man die Kapazität und wann wechselt man zu Hardware?

Fortinet veröffentlicht für FortiGate CNF keine Werte für Durchsatz, gleichzeitige Sitzungen oder neue Sitzungen pro Sekunde. Der Grund dafür ist keine lückenhafte Dokumentation, sondern das Bereitstellungsmodell: Der Dienst skaliert als SaaS und wird nicht über eine feste Kapazitätsgrenze positioniert. In der Praxis tritt an die Stelle der Kapazitätsplanung die Richtlinienplanung. Verlangt eine Regulierung oder ein Ausschreibungstext einen gemessenen Gbps-Wert, ist Hardware erforderlich: Die FortiGate 400F bietet 79,5 Gbps IPv4-Firewall- und 9 Gbps Threat-Protection-Durchsatz, die FortiGate 1000F 198 Gbps IPv4-Firewall- und 13 Gbps Threat-Protection-Durchsatz. Die Wahl ist kein Leistungswettbewerb, sondern die Frage, wo die Verantwortung liegen soll.

Als autorisierter Fortinet-Channel-Partner übernimmt Sora Yazılım die Inbetriebnahme von FortiGate CNF in Ihrer AWS- und Azure-Umgebung, die Übertragung bestehender Richtlinien in die gemeinsame CNF-Richtlinie, die Gestaltung von IPS-Profil, DNS-Filterung und Geo-Fencing-Regeln nach Ihrer Unternehmensrichtlinie sowie den Managed Service. Regionswahl, Log-Fluss und Datenlokalisierung im Geltungsbereich der KVKK klären wir zu Projektbeginn. Für ein Angebot erreichen Sie uns über unsere Kontaktseite.