Міжмережевий екран нового покоління (Next-Generation Firewall, NGFW) — це пристрій або віртуальна машина, яка, окрім класичної фільтрації трафіку за адресами й портами, розпізнає застосунки та користувачів, розшифровує й перевіряє зашифрований трафік, блокує вторгнення та шкідливий код і отримує дані про нові загрози з хмари вендора в реальному часі. Класичний фаєрвол відповідає на питання «звідки і куди йде з’єднання», NGFW — «хто, що саме і навіщо передає, і чи безпечно це».

Fortinet — один із двох-трьох світових лідерів цього ринку: за даними аналітичної компанії 650 Group, на FortiGate припадає понад половину всіх міжмережевих екранів, що поставляються у світі, а у вересні 2026 року Gartner другий рік поспіль назвала Fortinet лідером Magic Quadrant for Hybrid Mesh Firewall із найвищою позицією за здатністю до виконання. Причина — не маркетинг, а архітектура: власні процесори безпеки FortiASIC і єдина операційна система FortiOS, у якій NGFW, SD-WAN, ZTNA та керування мережею працюють як одна система.

У цій статті пояснюємо, чим NGFW відрізняється від традиційного фаєрвола, що саме вміє FortiGate, як він вбудовується в екосистему Fortinet Security Fabric, які моделі підходять малому бізнесу, корпораціям, дата-центрам і хмарам, і як впровадити його у наявну мережу без кардинальних змін.

Що таке NGFW і чим він відрізняється від традиційного фаєрвола

Обмеження класичного фаєрвола

Традиційний міжмережевий екран працює на третьому й четвертому рівнях моделі OSI: він ухвалює рішення за п’ятьма параметрами з’єднання — адресами відправника й отримувача, портами та протоколом — і відстежує стан сесій (stateful inspection). Для мережі 2000-х цього вистачало, але сьогодні понад 90 % корпоративного трафіку зашифровано TLS, а сотні застосунків — від Microsoft 365 до месенджерів і засобів віддаленого доступу — ходять через один і той самий 443-й порт. Класичний фаєрвол бачить лише «HTTPS до хмари» і не може відрізнити корпоративний Teams від несанкціонованого хмарного диска чи трафіку шкідливого коду до сервера керування.

Що додає міжмережевий екран нового покоління

NGFW піднімає інспекцію на сьомий рівень: глибокий аналіз пакетів визначає застосунок незалежно від порту, політики прив’язуються до користувачів і груп із каталогу Active Directory або хмарного провайдера ідентичності, зашифрований трафік розшифровується і перевіряється, а система запобігання вторгненням, антивірус, веб-фільтрація та пісочниця працюють в одному пристрої, а не як окремі «коробки». Ключова відмінність від UTM-пристроїв попереднього покоління — інтегрована архітектура: усі механізми обробляють пакет за один прохід, тому увімкнення захисту не «вбиває» продуктивність.

Чому Fortinet — один зі світових лідерів ринку мережевої безпеки

Fortinet заснована у 2000 році і, на відміну від більшості конкурентів, займається виключно кібербезпекою: у 2025 році компанія заробила 6,8 млрд доларів, заявляє про понад мільйон клієнтів і 17,2 млн відвантажених пристроїв. FortiGate — лідер Gartner Magic Quadrant для міжмережевих екранів багато років поспіль: тринадцять квадрантів Network Firewalls до 2022 року й обидва випуски нового Magic Quadrant for Hybrid Mesh Firewall у 2025 та 2026 роках. У незалежному тесті CyberRatings 2025 року FortiGate 200G показав ефективність захисту 99,24 % і рейтинг Recommended, а користувачі Gartner Peer Insights сьомий рік поспіль обирають Fortinet у категорії SD-WAN. Не менш важливо для українських компаній, що Fortinet припинив діяльність у росії ще в березні 2022 року, а обладнання постачається через авторизованих дистриб’юторів в Україні.

Ключові технологічні переваги FortiGate

Власні процесори безпеки FortiASIC

Головна інженерна відмінність Fortinet — спеціалізовані процесори (Security Processing Units), які виконують найважчі операції апаратно, а не на центральному процесорі загального призначення. Мережевий процесор NP7 прискорює маршрутизацію, міжмережевий екран та IPsec, контентний процесор CP9 — інспекцію SSL/TLS та IPS, а система на кристалі SP5 (7 нм, 2023 рік) поєднує обидва для молодших і середніх моделей. За даними Fortinet, SP5 дає до 17 разів вищу продуктивність міжмережевого екрана і в 32 рази швидше шифрування порівняно зі стандартними CPU за на 88 % меншого енергоспоживання. Практичний результат — швидкість інспекції не падає в рази при увімкненні всіх сервісів безпеки, а компактний FortiGate 70G забезпечує 10 Гбіт/с у режимі міжмережевого екрана, споживаючи менше 9 Вт, що особливо цінно для роботи від ДБЖ під час відключень.

Єдина операційна система FortiOS

Усі FortiGate — від настільної моделі для філії до шасі дата-центру, віртуальної машини в Azure і сервісу FortiGate-as-a-Service — працюють на одній FortiOS. Це означає одну логіку політик, один інтерфейс, один API та одну кваліфікацію інженерів для всієї інфраструктури. У FortiOS інтегровано понад 30 функцій безпеки й мережі: NGFW, IPS, антивірус, веб- і DNS-фільтрація, SSL-інспекція, Secure SD-WAN, ZTNA-шлюз, IPsec VPN, контролер FortiSwitch і FortiAP, маршрутизація, NAT, віртуальні домени. Версія FortiOS 8.0, що вийшла у квітні 2026 року, додала контроль генеративних AI-застосунків і «тіньового AI», асистента FortiAI для адміністратора, постквантову криптографію для IPsec і концепцію SASE Outpost, коли локальний FortiGate стає точкою присутності хмарного FortiSASE. Централізоване керування десятками й сотнями пристроїв забезпечують FortiManager і FortiAnalyzer або хмарний FortiCloud.

Основний функціонал безпеки FortiGate

Глибока інспекція пакетів і розшифрування SSL/TLS

FortiGate аналізує не лише заголовки, а й вміст пакетів, визначаючи застосунок, файл, команду чи шкідливий патерн незалежно від порту. Для зашифрованого трафіку доступні два режими: інспекція сертифікатів (перевірка домену й довіри без розшифрування) і глибока інспекція, коли FortiGate виступає довіреним посередником, розшифровує сесію, перевіряє вміст усіма сервісами безпеки й шифрує знову. Підтримується TLS 1.3, а винятки для банківських, медичних та інших конфіденційних категорій налаштовуються однією політикою. Завдяки апаратному прискоренню CP9/SP5 глибока інспекція не стає вузьким місцем: FortiGate 120G, наприклад, перевіряє до 3 Гбіт/с SSL-трафіку в настільному корпусі — на x86-платформах без прискорення цей показник зазвичай нижчий у рази.

Система запобігання вторгненням, антивірус і веб-фільтрація

IPS FortiGate блокує експлуатацію вразливостей у серверах, робочих станціях, IoT- та OT-пристроях за сигнатурами, які FortiGuard Labs оновлює кілька разів на день, і забезпечує віртуальний патчинг — захист систем, які не можна оновити негайно. Антивірус перевіряє файли у веб-, поштовому та файловому трафіку, а невідомі об’єкти відправляє в пісочницю FortiSandbox, у пакетах Enterprise доступне AI-блокування шкідливого коду «на льоту». Веб-фільтрація спирається на базу FortiGuard, що охоплює близько 500 мільйонів категоризованих сайтів і обробляє 238 мільярдів запитів на добу, блокуючи понад 265 мільйонів небезпечних доменів; DNS-фільтрація зупиняє звернення до фішингових і командних серверів ще на етапі резолвінгу.Ці сервіси постачаються пакетами: Advanced Threat Protection (IPS, антивірус, пісочниця, контроль застосунків), Unified Threat Protection (плюс веб-, DNS- і відеофільтрація, захист від ботнетів) та Enterprise Protection (плюс DLP, моніторинг поверхні атаки, AI-аналіз).

Контроль застосунків на рівні L7

Application Control розпізнає тисячі застосунків і їхніх окремих функцій — можна дозволити Microsoft Teams, але заборонити в ньому передачу файлів, дозволити YouTube лише для відділу маркетингу або обмежити смугу для стрімінгу в робочий час. База сигнатур застосунків оновлюється кожні кілька днів, а Internet Service Database містить адреси хмарних сервісів, що дозволяє будувати політики не за IP-діапазонами, а за назвами сервісів на кшталт «Microsoft 365» чи «Zoom». У FortiOS 8.0 контроль застосунків доповнено видимістю генеративних AI-інструментів, тож компанія бачить, хто й куди вивантажує дані в ChatGPT або подібні сервіси, і може обмежити це політикою.

Вбудований Secure SD-WAN для філіальних мереж

На відміну від рішень, де SD-WAN — окремий пристрій або платна підписка, у FortiGate він є функцією FortiOS і доступний на всіх моделях без додаткової ліцензії. SD-WAN вимірює затримку, джитер і втрати на кожному каналі — оптоволокні, радіоканалі, LTE чи Starlink — і автоматично скеровує критичні застосунки найкращим шляхом відповідно до SLA, а при деградації каналу перемикає трафік без розриву сесій. Оверлей між філіями будується на IPsec із динамічними тунелями ADVPN, а оркестрація виконується безкоштовним Fabric Overlay Orchestrator або FortiManager. Головна перевага — трафік філії інспектується тим самим NGFW, через який він маршрутизується, тож не потрібен другий пристрій. Gartner в останньому Magic Quadrant for SD-WAN (2024) визнала Fortinet лідером із найвищою здатністю до виконання, а користувачі сім років поспіль обирають його у Gartner Peer Insights Customers’ Choice. Як ми проєктуємо резервування каналів для розподілених мереж — на сторінці побудови мережевої архітектури.

Хмарна аналітика загроз FortiGuard Labs і штучний інтелект

Усі сервіси безпеки FortiGate живляться даними FortiGuard Labs — дослідницького підрозділу Fortinet, який обробляє понад 100 мільярдів подій безпеки на добу з сенсорів по всьому світу. У 2024 році сервіси FortiGuard заблокували 3,1 трильйона спроб атак і 2,5 мільярда доставок шкідливого коду; звіт Global Threat Landscape 2026 зафіксував зростання кількості жертв програм-вимагачів на 389 % за рік і скорочення часу від публікації вразливості до її масової експлуатації до 24–48 годин. Саме тому оновлення надходять безперервно: репутації адрес і URL — у реальному часі, антивірусні сигнатури — щогодини, IPS — кілька разів на день. Моделі машинного навчання використовуються в IPS-рушії, у виявленні невідомого шкідливого коду, у класифікації сайтів і в аналізі аномалій, а вбудований у FortiOS асистент FortiAI пояснює події, будує запити й пропонує зміни політик природною мовою.

Інтеграція в екосистему Fortinet Security Fabric

Security Fabric — це архітектура, у якій FortiGate стає центром керування й обміну даними для інших компонентів Fortinet і понад 500 сторонніх рішень партнерської програми Fabric-Ready. Замість набору незалежних продуктів із власними консолями компанія отримує єдину площину видимості й політик: комутатори, точки доступу, кінцеві точки, пісочниця, поштовий шлюз, WAF і хмарні коннектори бачать одні й ті самі об’єкти й реагують на інциденти узгоджено. У консолі FortiGate це виглядає як топологія всієї мережі з оцінкою Security Rating — автоматичним аудитом конфігурації за найкращими практиками з конкретними рекомендаціями.

FortiSwitch і FortiAP: мережа доступу під керуванням фаєрвола

Через протокол FortiLink FortiGate керує комутаторами FortiSwitch і точками доступу FortiAP без окремих контролерів і ліцензій: VLAN, політики портів, автентифікація 802.1X, гостьовий Wi-Fi, виявлення пристроїв і функції NAC налаштовуються в тому самому інтерфейсі, що й правила міжмережевого екрана. Це дає мікросегментацію на рівні порту й SSID: політика безпеки застосовується до пристрою в момент підключення незалежно від того, у яку розетку його увімкнули. Для філії на 20–200 користувачів це означає один пристрій керування замість трьох і повну видимість «хто, з якого порту, з яким рівнем ризику».

Кінцеві точки: FortiClient, FortiEDR і FortiEndpoint

Агент FortiClient під керуванням FortiClient EMS повідомляє FortiGate про стан кожного ноутбука: версію ОС, наявність антивірусу, шифрування диска, виявлені вразливості. На основі цих даних FortiGate присвоює пристрою динамічні теги ZTNA і пускає до застосунків лише ті кінцеві точки, що відповідають політиці, — без класичного VPN і незалежно від того, у офісі користувач чи вдома. FortiEDR додає поведінкове виявлення та реагування на атаки на самій кінцевій точці, а анонсований у 2026 році FortiEndpoint об’єднує захист, EDR, ZTNA і DLP в одному агенті з однією консоллю та однією ліцензією. Про організацію захищених корпоративних робочих місць ми детально писали на сторінці рішень для робочих місць.

Автоматизація реагування на інциденти

Механізм Automation Stitches у FortiOS зв’язує подію з дією без участі адміністратора: виявлення зараженого хоста через FortiEDR або пісочницю автоматично переводить його в карантин на порту FortiSwitch чи в SSID FortiAP, блокує його адресу на FortiGate, відкликає теги ZTNA і надсилає сповіщення в Teams, Slack, електронною поштою або вебхуком у систему обліку інцидентів. Fabric-коннектори до AWS, Azure, Google Cloud, VMware, Kubernetes та Active Directory дозволяють будувати політики за динамічними об’єктами хмари — наприклад, за тегом віртуальної машини, а не за IP-адресою, яка змінюється. FortiAnalyzer збирає журнали з усіх компонентів, корелює події та формує звіти для аудиторів, а для великих інфраструктур на його базі працюють FortiSIEM, FortiSOAR і хмарний FortiSOC. Як ці інструменти вписуються в загальну стратегію захисту — на сторінці рішень із кібербезпеки.

Для кого підійде Fortinet NGFW

Лінійка FortiGate покриває діапазон від 500 Мбіт/с до 520 Гбіт/с захищеного трафіку в одному пристрої, а підбір моделі ведеться не за кількістю співробітників, а за показником Threat Protection — пропускною здатністю з усіма увімкненими сервісами безпеки на реальній суміші трафіку. У 2026 році актуальна серія G на процесорах SP5 і NP7; серія F залишається у продажу й підтримці.

Малий та середній бізнес

Для компанії на кілька десятків користувачів FortiGate 40F–80F або новіші 50G–90G закривають усе одразу: NGFW із повним пакетом захисту, IPsec VPN і ZTNA для віддалених співробітників, SD-WAN на двох інтернет-каналах, контролер для кількох FortiSwitch і FortiAP, гостьовий Wi-Fi та звітність — у пристрої, який споживає менше 10 Вт і не потребує виділеного інженера з безпеки. Це принципова відмінність від «роутера з антивірусом»: малий бізнес отримує ті самі механізми захисту й ті самі оновлення FortiGuard, що й корпорація.

Великі підприємства, дата-центри та філіальні мережі

Середні й старші моделі — від 100F/120G до 600F/900G і далі — працюють як периметр головного офісу, внутрішній сегментаційний фаєрвол між відділами й серверними зонами та хаб SD-WAN, до якого підключаються десятки філій на молодших FortiGate. У дата-центрі моделі 1200G–3800G з NP7 дають сотні гігабіт з мільйонами сесій, кластеризацію та інспекцію east-west трафіку між віртуальними машинами, а FortiManager і FortiAnalyzer забезпечують єдині політики й журнали для всієї мережі, від філії до ЦОД.

Віртуальні та хмарні середовища

FortiGate-VM — та сама FortiOS у вигляді віртуальної машини для VMware ESXi та NSX-T, Microsoft Hyper-V, KVM, Xen і Nutanix, а також образів у маркетплейсах AWS, Microsoft Azure, Google Cloud, Oracle Cloud, Alibaba Cloud та IBM Cloud. Ліцензування — за кількістю віртуальних процесорів у моделі BYOL, погодинна оплата в хмарі або гнучка модель FortiFlex, коли компанія купує пул балів і витрачає їх на будь-які продукти Fortinet у міру потреби. Це дозволяє захищати хмарні застосунки тими самими політиками, що й локальну мережу, будувати захищені тунелі між офісом і хмарою та розгортати резервний майданчик за години.

Гнучке впровадження у наявну інфраструктуру

Режими роботи FortiGate

FortiGate не вимагає перебудови мережі під себе. У режимі NAT/Route він працює як шлюз і маршрутизатор між сегментами з трансляцією адрес — класичне розміщення на периметрі. У прозорому режимі (Transparent) пристрій працює на другому рівні як «розумний кабель»: адресація, маршрутизація й шлюзи залишаються без змін, а весь трафік проходить інспекцію — ідеально, коли потрібно додати захист у працюючу мережу без вікна на перенастроювання. Virtual Wire Pair дозволяє прозоро вставити інспекцію між двома конкретними інтерфейсами, наприклад між ядром і серверною фермою, а режим одностороннього сніфера — спочатку лише спостерігати за трафіком і оцінити ризики перед блокуванням. Віртуальні домени (VDOM) ділять один фізичний FortiGate на кілька логічно незалежних фаєрволів із власними політиками й адміністраторами — для холдингів, провайдерів послуг або розділення виробничого й офісного контурів. Відмовостійкість забезпечує кластер FGCP у режимах Active-Passive або Active-Active з синхронізацією сесій.

Мультивендорна сумісність

FortiGate розрахований на роботу поруч з обладнанням інших виробників: стандартні VLAN 802.1Q, агрегація LACP, динамічна маршрутизація BGP, OSPF, RIP та IS-IS, IPsec за стандартами IKEv2 для тунелів до Cisco, Check Point, Palo Alto, MikroTik чи хмарних шлюзів. Ідентифікація користувачів працює через Active Directory, LDAP, RADIUS і SAML, зокрема Microsoft Entra ID, журнали віддаються в будь-яку SIEM у форматах syslog і CEF, а для Splunk і QRadar є готові застосунки. Найпоширеніша в українських компаніях архітектура — комутатори Cisco або HPE у ядрі й FortiGate на периметрі — працює без конфліктів, а для міграції з інших фаєрволів безкоштовний FortiConverter автоматично переносить об’єкти, політики, NAT і VPN з конфігурацій Cisco ASA/FTD, Meraki та інших вендорів.

Сегментація без кардинальних змін

Сегментація — найефективніший спосіб обмежити поширення атаки всередині мережі, і з FortiGate її можна впроваджувати поетапно. Перший крок — зони й VLAN: бухгалтерія, сервери, виробництво, гостьовий Wi-Fi та IoT-пристрої отримують окремі сегменти, а трафік між ними проходить через політики з інспекцією. Другий — DMZ для публічних сервісів і внутрішній сегментаційний фаєрвол перед критичними системами, який можна поставити у прозорому режимі, нічого не переадресовуючи. Третій — мікросегментація на рівні порту через FortiSwitch і динамічні політики за тегами пристроїв, коли принтер, камера чи ноутбук підрядника автоматично потрапляють у потрібний сегмент. Четвертий — ZTNA як заміна VPN: доступ надається до конкретного застосунку конкретному користувачеві на перевіреному пристрої, а не до всієї мережі. Кожен етап дає вимірюване зниження ризику й не вимагає зупинки бізнесу.

Впровадження FortiGate з IT Planet Group

IT Planet Group — партнер Fortinet: ми проводимо аудит периметра та наявних правил, підбираємо модель FortiGate під реальний трафік і плани зростання, проєктуємо сегментацію та SD-WAN для філій, впроваджуємо ZTNA й компоненти Security Fabric, мігруємо конфігурації з обладнання інших вендорів і беремо систему на супровід із моніторингом 24/7 у форматі Service Desk та IT-аутсорсингу. Перш ніж ухвалювати рішення, перевірте FortiGate на власному трафіку з увімкненою повною інспекцією: замовте пілот або розрахунок конфігурації в нашому Demo Lab.