Dimensionador FortiGate

Como dimensionar um FortiGate corretamente?

O erro mais comum ao escolher um firewall FortiGate é dimensionar pelo número de usuários. O modelo correto é determinado por quatro métricas principais: Threat Protection Throughput, SSL Inspection Throughput, sessões simultâneas e capacidade de VPN. A quantidade de usuários é apenas um dos sinais para estimar essas métricas — não um critério direto.

Throughput de Threat Protection vs. Firewall

Os datasheets FortiGate apresentam múltiplos valores de throughput. O valor de Firewall Throughput é o mais alto — corresponde ao processamento de tráfego sem inspeção profunda. O Threat Protection Throughput ativa IPS, antivírus e controle de aplicações simultaneamente, e pode ser 5 a 10 vezes menor. Ambientes corporativos devem dimensionar pelo Threat Protection, não pelo Firewall.

Inspeção SSL: o fator mais restritivo

Mais de 85% do tráfego web atual é criptografado (HTTPS). Sem inspeção SSL, ameaças podem passar despercebidas. Com a inspeção habilitada, o FortiGate precisa descriptografar, analisar e recriptografar cada pacote — o que consome processamento significativo. O SSL Inspection Throughput é geralmente a métrica mais restritiva e deve guiar a escolha do modelo quando a inspeção SSL está nos requisitos.

Sessões concorrentes e novas sessões por segundo

Cada conexão de rede (TCP, UDP, ICMP) ocupa uma entrada na tabela de sessões do FortiGate. Ambientes com muitos dispositivos IoT, câmeras, sistemas ERP e múltiplos serviços em nuvem geram um volume alto de sessões simultâneas. O número de novas sessões por segundo é crítico em ambientes de datacenter e servidores web com muitas conexões de curta duração.

VPN: usuários simultâneos ou throughput?

Para VPN de acesso remoto (FortiClient), o critério mais comum é o número de usuários simultâneos, não o total de licenças. O throughput IPsec determina a capacidade de tráfego criptografado — importante em VPNs site-to-site com filiais ou parceiros. O número de túneis IPsec suportados é um limite físico dos modelos menores (200 túneis no 40F vs. 16.000 no 1000F).

Headroom e crescimento: por que planejar para 36 meses?

Firewalls têm ciclo de vida de 5 a 7 anos. Um equipamento adquirido no limite de capacidade hoje estará sobrecarregado em 18 meses. O dimensionador aplica automaticamente 30% de headroom mínimo sobre os requisitos calculados, acrescido do crescimento informado para 36 meses — garantindo que a recomendação tenha folga técnica adequada.