Fortinet
Por qué lo recomiendo para redes SMB y mid-market
He estado desplegando FortiGates en producción desde 2018, en FortiOS 6.x, 7.4 y 7.6, sobre hardware desde el 30E hasta clusters 200F. Este es el caso que les hago a los clientes que están evaluando su próximo firewall, y las partes que ningún vendedor imprime en su brochure.
Por qué Fortinet funciona
Cuatro razones se sostienen en todos los deployments.
Security Fabric unificado
Una sola consola para firewall, switch, AP y endpoint. FortiManager empuja config a cada capa; FortiAnalyzer guarda los logs.
Última migración: colapsó Cisco Prime, Aruba AirWave, ASDM y un Splunk free tier en FortiManager + FortiAnalyzer. ~1 hora recuperada por ingeniero por día.
Precio/desempeño sweet spot
El 60F al 100F está por debajo de un ASA 5506-X o PA-440 una vez que sumas tres años de soporte. Los números de throughput del datasheet se sostienen en producción con IPS y SSL inspection on.
60F + FortiManager + 3 años FortiCare 24x7 UTP vs PA-440 + Panorama + 3 años Premium para sucursal de 100 usuarios: 25–35% delta de TCO.
Madurez de FortiOS + VDOMs
Los VDOMs hacen que una caja física actúe como múltiples firewalls lógicos (tenants, sitios, zonas de confianza separados), con un VDOM de gestión dedicado. La paridad CLI con GUI te deja scriptear y reproducir un deployment completo.
Corrí un solo 100F como cinco firewalls lógicos para una oficina multi-tenant. El cliente todavía cree que cada tenant tiene su propio appliance. Mira el walkthrough de VDOMs.
Ecosistema que sale junto
FortiSwitch y FortiAP se gestionan desde el FortiGate. FortiClient EMS maneja postura de endpoint y ZTNA, lo que importa porque la deprecación del SSL VPN en FortiOS 7.6 forzó la reconstrucción alrededor de ZTNA en 2025.
Mismo reporte de compliance de FortiAnalyzer entregado a un auditor SOC 2 Type II y a un PCI QSA en el mismo trimestre. Ninguno preguntó nada de seguimiento.
Dónde encaja mejor
No para todas las empresas. El encaje es más nítido cuando uno de estos te describe:
Tres vendedores en el edge hoy (firewall, switch, wireless) más un cuarto para agregación de logs. Fortinet colapsa eso a un solo stack.
Mismo OS en edge y core: misma memoria muscular, misma sintaxis de políticas, mismo playbook de upgrade en toda la organización.
TAC regional de FortiCare le gana a la presencia in-region de Palo; el margen de canal tolera negociación real. He cerrado 20% bajo lista en MX y CO.
Ambos funcionan, ninguno es de segunda clase. Ayuda cuando un ingeniero prefiere la GUI y el siguiente solo confía en un script.
Los tradeoffs honestos
Marketing no va a imprimir estos. Yo sí, en producción. Toca para expandir.
LicenciaLa matemática de bundles FortiCare + FortiGuard es genuinamente difícil
Bundle UTP vs. Enterprise vs. suscripciones FortiGuard à la carte, sobre FortiCare 8x5 vs. 24x7, multiplicado por términos de 1/3/5 años. Docenas de combinaciones válidas, solo unas pocas correctas para cualquier cliente dado. Modo de falla más común: el cliente subcontrató en la PO 1, chocó con un gap de feature (usualmente IPS o DNS filtering), renovó a mitad de fiscal a precio de lista. Pídele a tu partner que cotice tres escenarios antes de firmar.
CLIQuirks entre versiones mayores de FortiOS
config router static tiene sintaxis ligeramente distinta en 6.x vs. 7.4, y patrones de referencia a objetos cambiaron en 7.2. Nada que rompa, pero suficiente para que cualquier script de automatización necesite un check de versión al inicio y tus runbooks estén versionados. Prueba los upgrades en un VDOM de lab primero.
HAEl failover activo-pasivo tiene casos borde documentados
Modos de falla que he visto en producción: el session sync se pone lento bajo carga pesada de NAT con miles de flujos UDP, y la IP de la interfaz de gestión ocasionalmente falla en desadherirse durante el failback, dejándote bloqueado fuera del secundario hasta que entres por consola. Ambos documentados, ambos manejables. Ninguno aparece en un datasheet.
Lock-inSecurity Fabric es un stack, no solo un firewall
Una vez que FortiManager es la fuente de verdad también para switches y APs, salirse es un proyecto, no un fin de semana. Volver a un edge multi-vendor significa re-aprender otros tres planos de gestión y reescribir tu monitoreo. No es razón para evitar Fortinet. Es razón para entrar con los ojos abiertos.
Ninguno es un dealbreaker. Son el tipo de cosa que quieres saber antes de poner tu nombre en el proyecto.
¿Es lo correcto para tu empresa?
Cuatro dimensiones para revisar antes de comprometerte:
- Tamaño: 50–2.000 empleados. Por debajo de 50, hasta el 60F se siente como exagerar; mira FortiGate Cloud-managed en su lugar. Por arriba de 2.000, la conversación se vuelve más matizada (SD-WAN multi-sitio, herramienta de SOC dedicada, FortiManager HA). Tráela conmigo y hablamos de los específicos.
- Madurez de IT: Una a tres personas dedicadas a red o seguridad. Alguien que sepa qué es un ACL, haya tocado un firewall antes, y entienda routing, pero no estás corriendo un SOC 24x7 con threat hunters dedicados.
- Stack existente: No casado con Cisco DNA Center o Palo Cortex. Si cualquiera de los dos está profundamente metido con pipelines de automatización y operadores entrenados, cambiar tiene que pasar una vara más alta que “es más barato”.
- Geografía: LATAM funciona particularmente bien: TAC regional de FortiCare, red de partners con manos localmente para RMA, y pricing en USD con margen de canal negociable. Norteamérica y EU también son fuertes; APAC depende mucho del país.
Si tres de los cuatro coinciden, Fortinet está en la shortlist. Si los cuatro coinciden, probablemente es la respuesta correcta.
Quién lo implementa
Internamente, el implementador líder debería ser un ingeniero de red senior con al menos dos años de exposición a FortiOS. NSE 4 es la baseline práctica; NSE 5 una vez que estén corriendo el Security Fabric a través de switches y APs. No tienen que ser la única persona que toque la caja, pero tienen que ser quien diseñe el layout de VDOMs y la estructura de políticas del firewall en el día uno. Esas decisiones son caras de deshacer seis meses después, cuando el tráfico de producción está fluyendo a través de la forma que sea que la tabla de políticas terminó tomando.
La ayuda externa vale la pena para primeros deployments y para entrenamiento de handover. Los partners de Fortinet hacen esto profesionalmente; los consultores independientes (yo incluido) también. La razón no es que Fortinet sea difícil. La GUI es accesible y la documentación es genuinamente buena. Es que los hábitos operativos quedan horneados en la configuración en la semana uno, y son caros de refactorizar en la semana 52. Paga una vez por alguien que haya hecho esto veinte veces, ahórrate un año de fricción.
Si estás levantando tu primer cluster de FortiGate, hablemos — arrancamos con una llamada de scoping de 30 minutos; si encaja, especificamos un engagement de una semana desde ahí.
Primeros pasos
- Lee la guía de campo de FortiGate. El camino del practicante a través de los posts de producción de este sitio: recuperar una caja con acceso bloqueado, construir VDOMs y túneles IPsec, planear la salida del SSL VPN. Te ahorra el scroll cronológico.
- Elige un tier de hardware antes de especificar cualquier otra cosa. Mis cortes actuales (throughput del mundo real, no marketing tipo "lab con IPS apagado"):
- 60F — hasta ~25 usuarios, ≤1 Gbps WAN, sitio único.
- 80F — hasta ~50 usuarios, ≤2 Gbps WAN, sucursal.
- 100F — hasta ~100 usuarios, ≤3 Gbps WAN, oficina central / agregación.
- 200F+ — 150+ usuarios, multi-WAN con SD-WAN, agregación de datacenter.
- Planea la estrategia de VDOMs antes de desempacar. El post de VDOMs cubre los tradeoffs de diseño: cuántos VDOMs, qué separar, cómo el VDOM de gestión se mantiene distinto. Hacer esto en papel te ahorra un factory reset.
Más allá de los primeros pasos: tomo trabajo de deployment, migración y auditoría de FortiGate para clientes SMB y mid-market en LATAM y remoto globalmente. Hablemos de tu deployment — Te digo en 30 minutos si es trabajo de Fortinet, trabajo de Palo, o trabajo de ‘arregla lo que tienes’.