Comment choisir un firewall FortiGate

Pourquoi la gamme FortiGate domine le marché NGFW

Fortinet est #2 mondial sur le marché des firewalls selon IDC, avec 30%+ de croissance annuelle depuis 5 ans. L'avantage n'est pas marketing : c'est architectural. Fortinet est le seul constructeur à concevoir ses propres ASIC (NP7, CP9, SP5) qui accélèrent matériellement firewall, IPS, VPN, SSL inspection et SD-WAN. À prix équivalent, un FortiGate fournit 2 à 4× plus de débit threat protection qu'un firewall concurrent x86.

La gamme FortiGate s'étend de l'entrée de gamme PME (FortiGate 40F à 450€) jusqu'au datacenter haute performance (FortiGate 7000 series à 100K€+). Ce guide vous aide à choisir le bon modèle selon votre nombre d'utilisateurs, votre bande passante et vos services de sécurité activés.

La gamme FortiGate : 12 modèles à connaître

Desktop / petite branche (5-50 utilisateurs)

• FortiGate 40F (FG-40F) : 5 Gbps FW / 600 Mbps Threat. 5 ports GbE. Pour 5-20 utilisateurs. Prix OPTINOC : ~450€ HT. Licence UTP 1 an : ~350€.
• FortiGate 60F (FG-60F) : 10 Gbps FW / 700 Mbps Threat. 7 ports GbE + 2 SFP. Pour 20-80 utilisateurs. Le best-seller mondial. Prix : ~700€ HT. Licence UTP : ~550€/an.
• FortiGate 80F (FG-80F) : 10 Gbps FW / 1.4 Gbps Threat. 16 ports GbE + 2 SFP. Pour 50-150 utilisateurs. Prix : ~1 600€ HT.

Branche / ETI (100-1000 utilisateurs)

• FortiGate 100F (FG-100F) : 11.5 Gbps FW / 1 Gbps Threat. 22 ports GbE + 2 SFP28. Pour 100-300 utilisateurs. Prix : ~2 800€ HT.
• FortiGate 200F (FG-200F) : 27 Gbps FW / 3 Gbps Threat. 18 ports GbE + 8 SFP + 4 SFP+. Pour 300-1000 utilisateurs. Prix : ~5 500€ HT.
• FortiGate 400F (FG-400F) : 37 Gbps FW / 5 Gbps Threat. 36 ports GbE + 4 SFP+ + 4 SFP28. Pour 500-1500 utilisateurs. Prix : ~12 000€ HT.

Datacenter / grande entreprise (1000-10000+ utilisateurs)

• FortiGate 600F (FG-600F) : 36 Gbps FW / 5.6 Gbps Threat. 24 ports GbE + 16 SFP+ + 4 SFP28. Pour 1000-3000 users. Prix : ~16 000€ HT.
• FortiGate 1800F (FG-1800F) : 118 Gbps FW / 15 Gbps Threat. 16 ports SFP+ + 4 SFP28 + 2 QSFP28. Pour datacenter. Prix : ~45 000€ HT.
• FortiGate 3000-4000F : 200+ Gbps FW. Grand datacenter. Prix : 80-150K€.
• FortiGate 7000 series : chassis modulaire jusqu'à 1 Tbps. Opérateur / hyperscale. Prix : 200K€+.

Dimensionnement : la règle terrain

Erreur #1 : dimensionner sur le débit firewall brut. Ce chiffre est mesuré avec des paquets UDP 1518 octets sans aucun service activé — personne n'a ce profil de trafic. Le bon critère est le débit Threat Protection (IPS + AV + App Control activés simultanément).

• Formule : bande passante WAN réelle × 1.2 (marge 20%) = débit threat minimum nécessaire.
• Exemple : fibre 1 Gbps symétrique → besoin 1.2 Gbps threat → FortiGate 100F (1 Gbps Threat) JUSTE suffisant, FortiGate 200F (3 Gbps Threat) confortable.
• Ajouter 50% de marge pour les pics : saturation Teams + téléchargements OneDrive simultanés.
• Multi-sites : le hub central doit avoir 3-5× le débit d'une branche (il concentre le trafic IPsec entrant).

Licences FortiGuard : quel bundle choisir

• Bundle UTP (Unified Threat Protection) : IPS, Antivirus, App Control, Web Filter, Antispam, DNS Filter, FortiCare 8×5. ~40-50% du prix matériel/an. Couvre 90% des besoins enterprise. C'est le bundle par défaut.
• Bundle ATP (Advanced Threat Protection) : tout UTP + FortiSandbox cloud (analyse zero-day) + FortiCloud logging. ~55% du prix matériel/an. Pour les entreprises avec SOC.
• Bundle Enterprise : tout ATP + IoT Detection + OT Security + Inline CASB + DLP. ~75% du prix matériel/an. Pour industries réglementées (santé, finance, OT).
• ASE (Advanced Security) : ATP + SOC Services 24/7 managés par Fortinet. Pour organisations sans SOC interne.

Haute disponibilité (HA cluster)

Tout firewall critique doit être en cluster HA. Perte d'un firewall seul = coupure Internet = perte business. Le cluster HA Fortinet a deux modes :

• Active-Passive (A-P) : un firewall actif, l'autre en standby. Failover en 1-3 secondes. Simple, fiable. 95% des déploiements.
• Active-Active (A-A) : les deux firewalls traitent du trafic simultanément (load balancing). Plus complexe, débit doublé. Pour les besoins extrêmes.
• Link : 2 ports dédiés entre les firewalls (heartbeat + sync). Utiliser les ports dédiés HA1/HA2 des modèles 100F+.
• Coût : doubler le budget matériel + licence sur le secondaire. Oui c'est cher, non vous n'avez pas le choix en production.

VDOM : multi-tenancy natif

Les Virtual Domains (VDOM) permettent de diviser un FortiGate physique en plusieurs firewalls logiques indépendants. Chaque VDOM a ses propres politiques, routes, interfaces, VPN. Idéal pour :

• MSSP : un FortiGate 200F peut servir 10-50 clients avec VDOMs séparés.
• Grande entreprise : isoler DMZ, production, admin, OT sur un même hardware.
• Conformité : PCI-DSS exige séparation du CDE — un VDOM dédié fait l'affaire.
• Limites : 10 VDOMs inclus sur 200F+, extension jusqu'à 250 en licence additionnelle.

SD-WAN inclus nativement

C'est LE différenciateur Fortinet : le SD-WAN est intégré dans FortiOS sans licence supplémentaire. Un FortiGate 60F fait firewall NGFW + SD-WAN sans coût additionnel. Chez Cisco, un Catalyst 8200 + licence Viptela = ~6000€. Chez Fortinet, FortiGate 60F tout compris = ~1 250€ la première année.

Recommandations OPTINOC par profil

• PME 10-30 users, 1 site, fibre 100-500 Mbps : FortiGate 40F ou 60F + UTP. Budget année 1 : 1 000-1 250€.
• PME 30-100 users, fibre 500 Mbps-1 Gbps : FortiGate 60F ou 100F cluster HA + UTP. Budget : 3 000-7 000€.
• ETI 100-500 users, multi-sites : FortiGate 100F en branches + 200F central cluster HA + FortiManager. Budget : 30-80K€.
• Grande entreprise 500+ users : FortiGate 600F+ en DC + FortiManager + FortiAnalyzer. ATP minimum. Budget : 100K€+.

OPTINOC distribue toute la gamme FortiGate en garantie constructeur avec licences FortiGuard activées. Configuration initiale et déploiement HA possibles sur demande. Livraison Europe 24-72h.