Tổng quan Fortinet & vị trí FortiGate trong hệ sinh thái Security Fabric

1. Liên hệ thực tế

Anh Nam vừa được sếp giao nhiệm vụ thay thế con firewall cũ đã hết hỗ trợ tại công ty bằng một thiết bị mới. Sau khi tham khảo vài đối tác, anh nhận ra hầu hết các đề xuất đều xoay quanh một cái tên: FortiGate.

Anh Nam thắc mắc: "Tại sao thị trường firewall doanh nghiệp lại nhắc đến FortiGate nhiều đến vậy? Nó khác gì so với router có tính năng firewall, hay so với các hãng khác như Cisco, Palo Alto?"

Chị Lan, người phụ trách tư vấn giải pháp cho khách hàng tại VNExperts, giải thích: "FortiGate không chỉ là một firewall theo nghĩa cổ điển — nó là một Next-Generation Firewall (NGFW), tích hợp hàng chục lớp bảo vệ trong một thiết bị, và quan trọng hơn, nó xử lý được lưu lượng lớn nhờ chip xử lý chuyên dụng riêng của Fortinet. Đó là lý do các doanh nghiệp từ SMB đến Enterprise đều cân nhắc FortiGate."

Bài học này sẽ giúp anh Nam (và các bạn) hiểu Fortinet là ai, FortiGate là gì, và tại sao kiến trúc phần cứng của nó lại là một lợi thế cạnh tranh quan trọng.

---

2. Kiến thức cốt lõi

2.1 Fortinet là ai?

Fortinet được thành lập năm 2000 bởi hai anh em Ken Xie và Michael Xie tại Sunnyvale, California. Sản phẩm đầu tiên — cũng là sản phẩm chủ lực — chính là FortiGate, ra mắt năm 2002. Công ty niêm yết cổ phiếu (IPO) vào tháng 11/2009 (mã Nasdaq: FTNT).

Điểm khác biệt cốt lõi giúp Fortinet cạnh tranh được với các hãng bảo mật kỳ cựu: thay vì chỉ chạy phần mềm bảo mật trên phần cứng phổ thông (x86), Fortinet phát triển chip xử lý chuyên dụng (ASIC) riêng để tăng tốc các tác vụ bảo mật — đây là nền tảng cho dòng sản phẩm FortiGate.

2.2 FortiGate là gì?

FortiGate là dòng thiết bị Next-Generation Firewall (NGFW) của Fortinet, tích hợp nhiều lớp bảo vệ trong cùng một thiết bị (Unified Threat Management — UTM), bao gồm:

• Firewall (Stateful Inspection)
• VPN (IPSec, SSL-VPN)
• Antivirus / Anti-malware
• Intrusion Prevention System (IPS)
• Web Filtering
• Application Control
• SD-WAN
• SSL Inspection (giải mã và kiểm tra traffic HTTPS)

Khác với firewall truyền thống chỉ kiểm tra IP/Port (Layer 3/4), NGFW như FortiGate có khả năng nhận diện và kiểm soát traffic ở tầng ứng dụng (Layer 7) — ví dụ: phân biệt được traffic Facebook Chat với Facebook Video, thay vì chỉ thấy "traffic HTTPS đến facebook.com".

2.3 Vì sao FortiGate xử lý được lưu lượng lớn? — Sơ lược về FortiASIC

Một lý do quan trọng khiến FortiGate cạnh tranh tốt về hiệu năng: thay vì để CPU thông thường (x86) gánh toàn bộ tác vụ bảo mật (mã hóa VPN, quét virus, kiểm tra IPS...), Fortinet trang bị thêm các chip xử lý chuyên dụng (FortiASIC), gọi chung là Security Processing Unit (SPU) — gồm hai dòng chính: NP (Network Processor), hiện tại là thế hệ NP7, đảm nhận tăng tốc ở tầng mạng; và CP (Content Processor), hiện tại là thế hệ CP9, đảm nhận tăng tốc xử lý nội dung (SSL, IPS, Antivirus).

Nhờ vậy, các dòng FortiGate tầm trung/cao vẫn giữ hiệu năng ổn định dù bật đồng thời nhiều tính năng bảo mật — đây cũng là yếu tố then chốt khi chọn model FortiGate. Cơ chế hoạt động chi tiết của NP7/CP9 (fastpath session offload, các biến thể CP9/CP9Lite/CP9XLite theo từng dòng máy...) sẽ được trình bày sâu ở Bài 2.

2.4 Fortinet Security Fabric — không chỉ là một chiếc firewall

Một khái niệm quan trọng cần nắm ngay từ đầu: Fortinet không định vị FortiGate như một thiết bị đơn lẻ, mà là trung tâm của một hệ sinh thái gọi là Security Fabric, kết nối nhiều lớp bảo vệ:

• FortiGate — Firewall trung tâm (Network Security)
• FortiSwitch — Switch quản lý tập trung qua FortiGate
• FortiAP — Access Point Wi-Fi quản lý tập trung qua FortiGate
• FortiClient — Endpoint protection, tích hợp Zero Trust
• FortiAnalyzer — Thu thập & phân tích log tập trung
• FortiManager — Quản lý cấu hình tập trung nhiều FortiGate

Lợi ích của mô hình Fabric: khi một thành phần phát hiện mối đe dọa (ví dụ FortiClient phát hiện endpoint bị nhiễm mã độc), thông tin được chia sẻ tự động tới FortiGate để cách ly thiết bị đó khỏi mạng — mà không cần admin thao tác thủ công.

Trong khóa học này, trọng tâm là FortiGate, nhưng các bài sau (nhóm Security Fabric) sẽ giới thiệu cách FortiGate "nói chuyện" với các thành phần khác.

Sơ đồ dưới đây minh họa vị trí trung tâm của FortiGate trong mô hình Security Fabric:

2.5 FortiOS — hệ điều hành của FortiGate

FortiOS là hệ điều hành chạy trên mọi thiết bị FortiGate (cả phần cứng vật lý và máy ảo). Khóa học này bám theo FortiOS 7.0, nhưng phần lớn kiến thức kiến trúc/nguyên lý sẽ áp dụng được cho các bản 7.2, 7.4 về sau — chỉ khác nhau ở vị trí menu GUI hoặc một vài lệnh CLI mới. Mỗi bài có thao tác cụ thể sẽ được ghi chú rõ theo version để bạn dễ đối chiếu khi FortiOS được nâng cấp.

---

3. Hỏi & Đáp

Hỏi: FortiGate có phải chỉ dành cho doanh nghiệp lớn không?

Không. Fortinet có dải sản phẩm rất rộng, từ dòng Entry-level (ví dụ FortiGate 40F, 60F) phù hợp văn phòng nhỏ/chi nhánh, đến dòng Mid-range (100F, 200F...) cho doanh nghiệp vừa, và dòng High-end/Data Center (1800F, 3000F trở lên...) cho hạ tầng lớn. Việc chọn model phụ thuộc vào băng thông cần xử lý, số lượng kết nối VPN đồng thời, và có cần SSL Inspection hay không.

Hỏi: FortiOS 7.0 với các bản mới hơn (7.2, 7.4) khác nhau nhiều không, có nên học bản cũ hơn không?

Kiến trúc và nguyên lý xử lý (packet flow, policy-based, cách NP/CP hoạt động) gần như không đổi. Khác biệt chủ yếu nằm ở giao diện GUI, một số tính năng mới (ví dụ ZTNA được mở rộng, SASE tích hợp sâu hơn ở các bản sau), và một vài lệnh CLI bổ sung. Học FortiOS 7.0 vẫn là nền tảng vững chắc — khóa học sẽ ghi chú riêng phần "khác biệt version" ở các bài có thao tác cụ thể.

Hỏi: Có cần biết Cisco/networking trước khi học FortiGate không?

Nên có kiến thức networking cơ bản (IP, Subnet, Routing, VLAN) vì FortiGate hoạt động chặt chẽ với hạ tầng mạng. Nếu bạn đã học qua khóa CCNA của VNExperts, phần lớn kiến thức nền (routing, NAT, VLAN) sẽ áp dụng lại được ngay trong khóa này.

4. Quiz

Câu 1: Hai dòng chip ASIC chuyên dụng của Fortinet, giúp tăng tốc xử lý mạng và nội dung (SSL, IPS, Antivirus) trên FortiGate, có tên gọi lần lượt là gì?

• A. CPU và GPU
• B. NP (Network Processor) và CP (Content Processor)
• C. RAM và SSD chuyên dụng
• D. ASIC và FPGA

Câu 2: Trong mô hình Fortinet Security Fabric, thành phần nào chịu trách nhiệm thu thập và phân tích log tập trung từ nhiều FortiGate?

• A. FortiManager
• B. FortiSwitch
• C. FortiAnalyzer
• D. FortiClient

👉 Đáp án:

Câu 1: B — NP và CP là hai dòng chip FortiASIC chuyên dụng; NP (hiện tại là NP7) tăng tốc tầng mạng, CP (hiện tại là CP9) tăng tốc xử lý nội dung.

Câu 2: C — FortiAnalyzer đảm nhận vai trò Logging/Analytics tập trung; FortiManager chỉ lo quản lý cấu hình, không phải nơi lưu trữ và phân tích log.

📚 Bài viết thuộc khóa học FortiGate của VNExperts

🧭 Điều hướng