Các dòng thiết bị FortiGate & cách chọn model theo nhu cầu

1. Liên hệ thực tế

Một khách hàng gọi điện cho VNExperts: "Công ty tôi có khoảng 80 nhân viên, muốn mua FortiGate để thay firewall cũ, tư vấn giúp model nào phù hợp?" Anh Nam định báo giá FortiGate 60F vì đọc thấy đây là model phổ biến cho văn phòng nhỏ. Nhưng chị Lan hỏi lại: "Công ty khách hàng có dự định bật SSL Inspection cho toàn bộ traffic không? Có bao nhiêu kết nối VPN đồng thời?"

Anh Nam nhận ra: chỉ dựa vào "số lượng nhân viên" để chọn model là chưa đủ. Bài học này sẽ giúp hiểu đúng cách Fortinet phân nhóm sản phẩm, và chỉ số nào thực sự quan trọng khi tư vấn chọn model cho khách hàng.

2. Kiến thức cốt lõi

2.1 Ba nhóm sản phẩm chính thức của FortiGate

Theo trang sản phẩm chính thức của Fortinet (fortinet.com/products/next-generation-firewall), dòng thiết bị FortiGate được phân thành 3 nhóm chính, cộng thêm 1 hình thức triển khai riêng:

• Entry-Level (Branch) — dành cho văn phòng nhỏ, chi nhánh. Ví dụ các model: FortiGate 30G, 40F, 50G, 60F, 70F, 70G, 80F, 90G.
• Mid-Range (Campus) — dành cho doanh nghiệp vừa, campus, chi nhánh lớn. Ví dụ: FortiGate 120G, 200G, 400F, 400G, 700G, 900G.
• High-End (Data Center) — dành cho trung tâm dữ liệu, doanh nghiệp lớn. Ví dụ: FortiGate 1000F, 1200G, 1800F, 2600F, 3000F/3000G, 3200F, 3500F/3500G, 3700F, 3800G, 4200F, 4400F, 4800F, 7081F, 7121F.
• FortiGate-as-a-Service — hình thức thuê bao FortiGate quản lý bởi Fortinet, không cần đầu tư phần cứng.

⚠️ Lưu ý: Chữ cái cuối tên model (F, G...) thể hiện thế hệ phần cứng — model có hậu tố G thường dùng thế hệ FortiASIC mới hơn model hậu tố F cùng phân khúc. Danh sách model của Fortinet thay đổi theo thời gian (model cũ ngừng bán, model mới ra mắt), nên khi báo giá thực tế cho khách hàng, luôn cần đối chiếu lại model còn đang bán trên trang chính thức hoặc qua kênh đại lý ủy quyền.

2.2 Chỉ số quan trọng nhất khi chọn model: Threat Protection Throughput

Đây là điểm nhiều người mới dễ nhầm lẫn nhất. Fortinet công bố nhiều chỉ số throughput khác nhau cho mỗi model, nhưng khi tư vấn chọn model, chỉ số cần nhìn vào là Threat Protection Throughput — tức throughput khi đã bật đầy đủ tính năng bảo mật (IPS, Antivirus, Application Control...), không phải throughput Firewall thuần túy (chỉ NAT + Policy, chưa bật security profile).

Lý do: throughput Firewall thuần thường cao hơn Threat Protection Throughput rất nhiều lần (đã học ở Bài 2 — traffic cần xử lý qua CP/proxy engine khi bật UTM sẽ không đi hết được fast path). Nếu chỉ nhìn thông số Firewall throughput để chọn model, khách hàng dễ mua model quá yếu so với nhu cầu thực tế khi bật đầy đủ tính năng bảo mật.

Một số ví dụ Threat Protection Throughput công bố chính thức từ Fortinet (theo trang sản phẩm), xếp theo 3 nhóm:

🔄 Lưu ý về số liệu: Các con số Threat Protection Throughput trên được Fortinet công bố dựa trên điều kiện lab lý tưởng ("Enterprise Mix traffic"), thực tế triển khai có thể thấp hơn tùy cấu hình, số lượng policy, và loại traffic thật. Danh mục model và thông số có thể thay đổi theo thời gian — luôn kiểm tra lại datasheet chính thức mới nhất khi báo giá.

2.3 Các yếu tố khác cần hỏi khách hàng trước khi chọn model

Ngoài Threat Protection Throughput, cần thu thập thêm các thông tin sau để chọn đúng model (không chỉ dựa vào số lượng nhân viên):

• Có bật SSL Inspection (Deep Inspection) cho phần lớn traffic không? Nếu có, cần xem thêm chỉ số SSL Inspection Throughput riêng — thường thấp hơn cả Threat Protection Throughput.
• Số lượng kết nối VPN đồng thời (SSL-VPN users, IPSec tunnels)? Mỗi model có giới hạn khuyến nghị riêng, các dòng nhỏ (RAM thấp) thậm chí có model không hỗ trợ SSL-VPN trên các bản FortiOS mới.
• Có cần SD-WAN với nhiều đường truyền Internet không? Ảnh hưởng đến số lượng cổng WAN cần thiết.
• Nhu cầu mở rộng trong 3-5 năm tới? Nên chọn model có headroom, tránh vừa mua đã phải nâng cấp.

2.4 FortiGate-VM — lựa chọn không cần phần cứng

Ngoài thiết bị phần cứng, Fortinet cũng cung cấp FortiGate-VM — chạy đầy đủ FortiOS dưới dạng máy ảo trên các nền tảng ảo hóa (VMware, Hyper-V) hoặc cloud (AWS, Azure, GCP). FortiGate-VM chạy cùng một mã nguồn FortiOS như bản phần cứng, nhưng không có FortiASIC (NP/CP) — hiệu năng phụ thuộc hoàn toàn vào tài nguyên phần cứng máy chủ host, và một số tính năng tăng tốc phần cứng (như NP offload đã học ở Bài 2) sẽ không khả dụng.

3. Hỏi & Đáp

Công ty 80 nhân viên nên chọn thẳng model nào?

Không có câu trả lời cố định chỉ dựa vào số nhân viên — cần biết thêm băng thông Internet thực tế, có bật SSL Inspection toàn bộ hay không, và số kết nối VPN cần thiết. Đây chính là lý do chị Lan hỏi lại thêm thông tin ở đầu bài, thay vì báo giá ngay theo kinh nghiệm "nhìn số người".

Vì sao không nên chỉ nhìn Firewall Throughput để chọn model?

Vì Firewall Throughput chỉ đo hiệu năng khi traffic đi qua NAT + Policy match cơ bản (đã học ở Bài 3), chưa bật security profile. Threat Protection Throughput mới phản ánh đúng hiệu năng thực tế khi vận hành đầy đủ tính năng NGFW.

FortiGate-VM có phù hợp thay thế hoàn toàn phần cứng không?

Tùy nhu cầu — FortiGate-VM phù hợp cho môi trường cloud/ảo hóa hoặc lab test, nhưng vì không có FortiASIC nên hiệu năng các tác vụ nặng (SSL Inspection, IPSec VPN throughput lớn) sẽ không bằng phần cứng cùng tầm giá, do thiếu cơ chế NP/CP offload đã học ở Bài 2.

4. Quiz

Câu 1: Chỉ số nào là quan trọng nhất khi chọn model FortiGate theo nhu cầu thực tế vận hành đầy đủ tính năng NGFW?

• A. Firewall Throughput (chưa bật security profile)
• B. Threat Protection Throughput (đã bật đầy đủ IPS, Antivirus, Application Control...)
• C. Số lượng cổng LAN có sẵn
• D. Giá bán thiết bị

Câu 2: FortiGate-VM khác gì so với FortiGate phần cứng về mặt hiệu năng?

• A. Không có sự khác biệt, hiệu năng hoàn toàn giống nhau
• B. FortiGate-VM không có FortiASIC (NP/CP), hiệu năng phụ thuộc tài nguyên máy chủ host
• C. FortiGate-VM luôn nhanh hơn vì chạy trên cloud
• D. FortiGate-VM chỉ dùng được cho SSL-VPN, không hỗ trợ Firewall Policy

👉 Đáp án

Câu 1: B — Threat Protection Throughput phản ánh đúng hiệu năng thực tế khi FortiGate vận hành đầy đủ tính năng bảo mật NGFW, trong khi Firewall Throughput chỉ đo khi chưa bật các tính năng này.

Câu 2: B — FortiGate-VM chạy cùng mã nguồn FortiOS nhưng không có chip FortiASIC (NP/CP) tăng tốc phần cứng, nên hiệu năng phụ thuộc hoàn toàn vào tài nguyên CPU/RAM của máy chủ host.

📚 Bài viết thuộc khóa học FortiGate của VNExperts

🧭 Điều hướng