Fortinet:SASE: Unterschied zwischen den Versionen

Aus Fortinet Wiki
Zur Navigation springen Zur Suche springen
Zeile 141: Zeile 141:


=== Wann solltest du EMS einsetzen?===
=== Wann solltest du EMS einsetzen?===
Du solltest FortiEMS einsetzen, wenn du eine robuste, zentralisierte Lösung zur Verwaltung und Absicherung deiner Endpoints benötigst –
unabhängig davon, ob sie im LAN, remote oder hybrid betrieben werden. FortiEMS ist sinnvoll, wenn:
* Zentrale Endpoint-Kontrolle benötigt wird – z. B. zur Verwaltung, Überwachung und Konfiguration von FortiClient-Installationen.
* Du Zero-Trust-Konzepten folgen möchtest, bei denen der Sicherheitsstatus eines Endgeräts vor dem Netzwerkzugriff geprüft wird.
* Du Endpoint-Telemetrie und Compliance-Checks brauchst (OS-Versionen, Patch-Status, AV-Status, Vulnerabilities).
* Du Automatisierung von Sicherheitsmassnahmen auf Endgeräten benötigst – etwa Quarantäne, Policy-Durchsetzung oder automatisierte Reaktionen auf Vorfälle.
* Endgeräte sowohl im Unternehmensnetz als auch remote konsistent abgesichert werden müssen.
* Du eine Integration mit FortiGate, FortiAnalyzer oder FortiSASE planst und eine robuste Endpoint-Security-Basis benötigst.
Kurz: FortiEMS ist die richtige Wahl, wenn Du Endgeräte aktiv verwalten, überwachen und absichern willst – unabhängig davon, wo sich die Nutzer befinden.
Typische Szenarien:
Typische Szenarien:
* ✔ Unternehmen mit starker On-Prem-Firewall-Infrastruktur
* ✅ Unternehmen mit starker On-Prem-Firewall-Infrastruktur
FortiGate + EMS ist ein klassisches Duo.
FortiGate + EMS ist ein klassisches Duo.
* ✔ Geräteverwaltung und Compliance im Fokus
* ✅ Geräteverwaltung und Compliance im Fokus
Wenn du granular steuern willst, wie Software, AV, Quarantäne, Realtime-Tags, etc. verwaltet werden.
Wenn du granular steuern willst, wie Software, AV, Quarantäne, Realtime-Tags, etc. verwaltet werden.
* ✔ VPN-first Unternehmen
* ✅ VPN-first Unternehmen
Wenn viele interne Applikationen über klassischen FortiClient VPN genutzt werden.
Wenn viele interne Applikationen über klassischen FortiClient VPN genutzt werden.
* ✔ Unternehmen, die noch nicht "Cloud-first" sind
* ✅ Unternehmen, die noch nicht "Cloud-first" sind
Oder ihre Security nicht aus der Cloud beziehen dürfen (Compliance).
Oder ihre Security nicht aus der Cloud beziehen dürfen (Compliance).
----
----
<small>add 21.11.2025 - 4Tinu <nowiki>|</nowiki>'' [https://cloud.also.mp/de/de/microsoft-copilot-trainings/ Microsoft Copilot] [[File:copilot-icon.png|20px|link=https://cloud.also.mp/de/de/microsoft-copilot-trainings/]] hat mir geholfen''</small>
===Wann solltest du FortiSASE einsetzen?===
===Wann solltest du FortiSASE einsetzen?===
Typische Funktionen, wo SASE klar überlegen ist:
Typische Funktionen, wo SASE klar überlegen ist:

Version vom 21. November 2025, 10:18 Uhr

Fortinet:SASE

Vorwort

Diese Seite erklärt das FortiSASE Produkt

Datenschutz

        *********************************************************************
        *                                                                   *
        *  THIS FILE MAY CONTAIN CONFIDENTIAL, PRIVILEGED OR OTHER LEGALLY  *
        *      PROTECTED INFORMATION. YOU ARE PROHIBITED FROM COPYING,      *
        *    DISTRIBUTING OR OTHERWISE USING IT WITHOUT PERMISSION FROM     *
        *                  ALSO SCHWEIZ AG SWITZERLAND.                     *
        *                                                                   *
        *********************************************************************

"Die in diesen Artikeln enthaltenen Informationen sind vertraulich und dürfen ohne
schriftliche Zustimmung von der ALSO Schweiz AG gegenüber Dritt-Unternehmen nicht 
                         bekannt gemacht werden"

FAQ

FortiSASE - Dokumentationen

Admin Guides

add 04.06.2025 - 4Tinu

Starthilfe Dokumente

add 04.06.2025 - 4Tinu

Referenz Guides

edit 22.07.2025 - 4Tinu

Release Notes

Version 25.2

add 04.06.2025 - 4Tinu

Deployment Guides





Instutitionen:

add 04.06.2025 - 4Tinu

FortiSASE oder FortiEMS

Welche Feature Unterscheiden den FortiEMS und das FortiSASE?

Um die Unterschiede zwischen FortiEMS und FortiSASE zu verstehen, betrachtest du zwei Lösungen, die unterschiedliche Schwerpunkte innerhalb der Endpoint- und Cloud-Security-Architektur setzen. Während FortiEMS primär auf das zentrale Management und die Absicherung von Endgeräten ausgerichtet ist, kombiniert FortiSASE Netzwerk- und Security-Funktionen zu einem cloudbasierten Zugriffsmodell.

Diese Unterscheidung bildet den Rahmen für die folgenden Feature-Vergleiche.

- FortiEMS (klassisch / on-prem / Cloud EMS) FortiSASE (Cloud SASE + integrierte EMS-Lite)
Fokus: Endpoint-Management Sicheres Arbeiten von überall
Features ✅

✅ Tiefes Endpoint-Management
✅ Vollständige FortiClient-Policy-Kontrolle
✅ Patching / Vulnerability / Branding / Quarantäne / Tags
✅ Volle ZTNA Device Posture
✅ AD-Integration, Tags zur FortiGate Fabric
✅ Ideal für klassische VPN / On-Prem Security

✅ Integrierte EMS-Cloud (für FortiClient Management)
✅ Secure Web Gateway (SWG)
✅ Cloud-Firewall / FWaaS
✅ CASB (Inline & API)/
✅ DLP in der Cloud/
✅ ZTNA Universal Access
✅ SD-WAN On-Ramp / Private App Zugriff
✅ Digital Experience Monitoring (DEM)
✅ Globale PoPs → niedrige Latenz

Features ❌

❌ Keine Cloud-Security
❌ Keine globalen PoPs
❌ Kein SWG / CASB / FWaaS
❌ Kein SASE-Datenverkehrslenkung

❌ FortiSASE-EMS ist nicht so tief wie On-Prem EMS
❌ Einige alte EMS-Features fehlen (z. B. spezielle AV-/Patch-Profile)
❌ Weniger granular bei Endpoint-Posture als volles EMS

Bemerkung: EMS ist ein Management-Tool – keine Security-Cloud. SASE ist eine Sicherheitsplattform – kein vollständiges Endpoint-Management.

add 21.11.2025 - 4Tinu | Microsoft Copilot Copilot-icon.png hat mir geholfen

Wann solltest du EMS einsetzen?

Du solltest FortiEMS einsetzen, wenn du eine robuste, zentralisierte Lösung zur Verwaltung und Absicherung deiner Endpoints benötigst – unabhängig davon, ob sie im LAN, remote oder hybrid betrieben werden. FortiEMS ist sinnvoll, wenn:

  • Zentrale Endpoint-Kontrolle benötigt wird – z. B. zur Verwaltung, Überwachung und Konfiguration von FortiClient-Installationen.
  • Du Zero-Trust-Konzepten folgen möchtest, bei denen der Sicherheitsstatus eines Endgeräts vor dem Netzwerkzugriff geprüft wird.
  • Du Endpoint-Telemetrie und Compliance-Checks brauchst (OS-Versionen, Patch-Status, AV-Status, Vulnerabilities).
  • Du Automatisierung von Sicherheitsmassnahmen auf Endgeräten benötigst – etwa Quarantäne, Policy-Durchsetzung oder automatisierte Reaktionen auf Vorfälle.
  • Endgeräte sowohl im Unternehmensnetz als auch remote konsistent abgesichert werden müssen.
  • Du eine Integration mit FortiGate, FortiAnalyzer oder FortiSASE planst und eine robuste Endpoint-Security-Basis benötigst.

Kurz: FortiEMS ist die richtige Wahl, wenn Du Endgeräte aktiv verwalten, überwachen und absichern willst – unabhängig davon, wo sich die Nutzer befinden.

Typische Szenarien:

  • ✅ Unternehmen mit starker On-Prem-Firewall-Infrastruktur

FortiGate + EMS ist ein klassisches Duo.

  • ✅ Geräteverwaltung und Compliance im Fokus

Wenn du granular steuern willst, wie Software, AV, Quarantäne, Realtime-Tags, etc. verwaltet werden.

  • ✅ VPN-first Unternehmen

Wenn viele interne Applikationen über klassischen FortiClient VPN genutzt werden.

  • ✅ Unternehmen, die noch nicht "Cloud-first" sind

Oder ihre Security nicht aus der Cloud beziehen dürfen (Compliance).

add 21.11.2025 - 4Tinu | Microsoft Copilot Copilot-icon.png hat mir geholfen

Wann solltest du FortiSASE einsetzen?

Typische Funktionen, wo SASE klar überlegen ist:

  • ✔ Remote-Work / Home-Office / weltweites Arbeiten

Traffic geht direkt zum PoP → niedrige Latenz.

  • ✔ Absicherung von Internet + SaaS + Remote-User

Du bekommst: SWG, CASB, DLP, FWaaS, DNS-Protection, ZTNA, DEM.

  • ✔ Standortlose Benutzer oder kleine Niederlassungen

Kein Backhauling mehr zur Zentrale.

  • ✔ Zero Trust Access ohne VPN

Schneller, moderner, flexibler.

  • ✔ Unternehmen, die "Firewall in der Cloud" wollen

SASE ersetzt oder ergänzt die FortiGate am Edge.

Wann ist welche Loesung Sinnvoll?

Empfehlung 1: Modernes Remote-Work Unternehmen → FortiSASE Wenn du viele mobile User hast: SASE first. Empfehlung 2: Klassisches Netzwerk + Geräteverwaltung → EMS On-Prem-Netzwerk, viele Windows-Clients: EMS lohnt sich. Empfehlung 3: Kombi sinnvoll → Wenn starke Endpoint-Kontrolle + SASE benötigt Beispiele:

  • regulierte Branchen
  • Unternehmen mit komplexem Client-Hardening
  • „Hybrid Infrastructure“: On-Prem + Cloud-Security

Kann man von EMS auf SASE migrieren?

Ja — es gibt einen offiziellen Migrationspfad. ABER:

  • ⚠ EMS-Konfiguration wird NICHT 1:1 übernommen.
  • ⚠ Profile müssen neu in der SASE-EMS erstellt werden.
  • ⚠ Einige Funktionen fehlen in der SASE-EMS.

Für die meisten Kunden gilt: → Kombination aus EMS jetzt + später SASE ist problemlos möglich.

Integration mit FortiGate Sehr gut, aber:

  • Policies sind NICHT 1:1 identisch
  • SASE hat eigene Policy-Engines (SWG/FWaaS/ZTNA)
  • FortiGate kann über Secure Edge / SD-WAN angebunden werden
  • Dynamische EMS-Tags können weiter genutzt werden

➡ Wird laufend besser, aber noch keine komplette Policy-Fusion.

Wann macht EMS + SASE zusammen wirklich Sinn?

Beste Kombination in diesen Fällen: Szenario Empfehlung Tiefe Device-Posture + Cloud Security EMS + SASE Starke Governance / Compliance Anforderungen EMS + SASE Gemischte Remote + On-Prem Workforce EMS + SASE SASE-Pilot, vorbereitende Phase EMS jetzt, später SASE Nur Cloud-Remote-Worker SASE reicht aus Nur On-Prem VPN EMS reicht aus

Zusammenfassung als Executive Summary

  • ✔ EMS = Endpoint-Management
  • ✔ SASE = Cloud-Security für User überall auf der Welt
  • ✔ SASE enthält EMS, aber ersetzt nicht alle EMS-Features
  • ✔ Beides zusammen = maximale Kontrolle + moderne Cloud Security

FortiSASE - Registration

Wie kann ich die FortiSASE Instanz aktiveren?

Um die FortiSASE Instanz zu aktivieren muss man diese vorab im Supportportal registrieren:

Wenn man die SASE Instanz erworben hat, bekommt man ein PDF Dokument mit dem Registrierungs Key. Dieser muss im Portal auf dem entsprechenden Account aktiviert werden. 

FortiSASE-0001.png

FortiSASE-0002.png

FortiSASE-0003.png

FortiSASE-0004.png

FortiSASE-0005.png

FortiSASE-0006.png

Kann ich eine EMS Cloud Instanz und eine FortiSASE Instanz auf dem selben FortiCloud Account betreiben?

Momentan ist es nur möglich eine INstanz pro Account zu haben. Entweder eine FortiEMS Cloud Instanz oder dann eine FortiSASE Instanz.

Versucht man eine FortiSASE Instanz zu aktivieren aber es ist noch eine FortiEMS Cloud Instanz aktiv, wird folgende Fehlermeldung angezeigt. 

FortiSASE-0007.png

Mann kann dann über ein Customer Service Ticket die bestehende Instanz auf einen anderen Account verschieben lassen.

edit 21.11.2025 - 4Tinu

Wie kann ich bei einer FortiSASE Instanz die Lizenz um ein weiteres Jahr verlängern?

Fortinet-3477.jpg

Fortinet-3478.jpg

Fortinet-3479.jpg

Fortinet-3480.jpg

Fortinet-3481.jpg

Fortinet-3482.jpg

add 06.01.2024 - 4Tinu

FortiSASE - Authentifizierung

Wie kann ich auf der FortiGate die Public IP Adressen von FortiSASE einbinden?

Es gibt die Möglichkeit über einen Feed die IP Adressen von FortiSASE auf die FortiGate einzubinden. Dies hat der Vorteil, dass explizit Firewallregeln von oder zu FortiSASE erstellt werden können.

Folgende URL muss im Feed konfiguriert werden: https://portal.prod.fortisase.com/api/v1/public/egress/ips

Config webgui.png Konfiguration über das WebGui: 
FortiSASE-0008.png

Navigiere über Security Fabric → External Connectors im Abschnitt Thread Feeds den Button IP Adress auswählen

Feed definieren: 

FortiSASE-0009.png
  • Im Namen Feld einen Sinnvollen Namen definieren. Das Objekt findet man bei den Firewallregeln dann unter diesem Namen.
  • Die Update Methode ist der External Feed (dies ist die default Einstellung)
  • Die folgende URL im URL of external resource eintragen: https://portal.prod.fortisase.com/api/v1/public/egress/ips
  • Die HTTP basic authentication Option deaktivieren.
  • in der Refresh rate kann definiert werden, in welchem Zeitinterval die Liste auf der FortiGate abgeglichen wird (Default 5 Minuten)

Erfolgskontrolle:
Solange das Rote x angezeigt wird, ist der Feed nicht erfolgreich gezogen worden. Mit dem Refresh Button kann der Synch forciert werden. 

FortiSASE-0010.png

Sobald der Feed erfolgreich auf die FortiGate gezogen wurde, erscheint ein grünen Hacken. Die Liste ist jetzt aktiv auf der FortiGate vorhanden 

FortiSASE-0011.png

Wenn mit dem Mauscursor direkt auf das grüne Icon navigiert wird, öffnet sich ein Menu. Es werden Informationen über den letzten Synch angezeigt. Weiter ist es möglich unter dem Menupunkt View Entries die IP Adressen, welche in der Liste sind, anzeigen zu lassen 

FortiSASE-0012.png
Config cli.png Konfiguration über die CLI: 
 
config system external-resource
    edit "FortiSASE-IP-PublicCloud"
        set type address
        set comments "IP Adressen FortiSASE Cloud"
        set resource "https://portal.prod.fortisase.com/api/v1/public/egress/ips"
    next
end

add 25.03.2024 - 4Tinu

Wie kann ich einen User in die FortiSASE Instanz integrieren?

Im folgenden Beispiel zeige ich euch, wie man einen neuen Client mit Benutzer im FortiSASE onboardet und den FortiClient auf dem Endgerät installiert:

Als erstes musst du dich in die SASE Instanz einloggen:

Config webgui.png Konfiguration im SASE Portal: 
Fortinet-3450.jpg
  1. Über das Seiten Menu Configuration → Users & Groups kommst die in die User Verwaltung
  2. Mit + Create kann ein neuer User erstellt werden
Fortinet-3451.jpg

Du bist jetzt im folgenden Menu: 

Fortinet-3452.jpg

Wir legen in diesem Beispiel einen Lokalen User auf der SASE Instanz an:

  1. Wähle den Menupunkt User
  2. Mit Next gelangst du in das User Erstellung Fenster
Fortinet-3453.jpg
  1. Über die Email Adresse wird dem User der aktivierungs Link zugestellt
  2. Es kann ein Temporäres Adminpasswort optional gesetzt werden
  3. Der Aktivierungscode kann hier rauskopiert werden, es wird aber im User der Code per Email automatisch zugestellt
  4. Mit OK wird der User erstellt und ein initiales Email an den User gesendet, damit er Installations Instruktionen bekommt.
Fortinet-3454.jpg
Config webgui.png Konfiguration beim Client:

Der User bekommt eine Email an die konfigurierte Email Adresse mit Instruktionen. 

Fortinet-3455.jpg

Um den Account zu aktivieren auf den Button Activate klicken.

Es öffnet sich eine Seite der SASE Instanz um ein Passwort zu definieren: 

Fortinet-3456.jpg
  1. Der Display Name kann definiert werden.
  2. Passwort zweimal gleich eingeben
  3. Mit Activate wird der User aktiviert.
Fortinet-3457.jpg

Der User kann sich jetzt anmelden: 

Fortinet-3458.jpg
  1. Die AccountID wird automatisch übernommen
  2. Username eingeben
  3. Passwort eingeben
  4. mit Loging sich anmelden

Wenn der User sich erfolgreich angemeldet hat, kann er den FortiClient herunterladen und den aktivierungs Kode entnehmen: 

Fortinet-3459.jpg
  1. Die entsprechende FortiClient Version auswählen
  2. Der Aktivierungscode am besten in eine Textdatei kopieren, wir brauchen diesen nach der Installation.

Die ausgewählte FortiClient Version wird heruntergeladen: 

Fortinet-3460.jpg

Nach dem herunterladen die Datei ausführen um die Installation zu starten.

Es öffnet sich der Installations Wizard: 

Fortinet-3461.jpg
  1. Die Lizenzvereinbarungen gut durchlesen
  2. Wenn die Lizenzvereinbarung durchgelesen und verstanden ist kann dies bestätigt werden
  3. Mit Next wird der Installationsprozess vorangetrieben, mit Cancel wird die Installation abgebrochen.
Fortinet-3462.jpg
  1. Die gewünschten Features anwählen welche Installiert werden sollen.
  2. weiter mit Next

ATP/Webfilter Services: 

Fortinet-3463.jpg
  1. Die gewünschten UTP Services können aktiviert werden
  2. Mit Next geht es weiter
Fortinet-3464.jpg
  1. Installationspfad wird vorgeschlagen
  2. Installationspfad ändern
  3. Mit Next geht es weiter
Fortinet-3465.jpg
  1. Mit Install wird die Installation mit den angegebenen Parametern gestartet

Windows kann eine Sicherheitsabfrage aufpoppen lassen: 

Fortinet-3466.jpg

Bestätige mit Ja und falls erforderlich gib das Administrations Passwort ein.

Die Installation läuft: 

Fortinet-3467.jpg

Sobald die Installation durchgeführt ist, wird sich der Client melden: 

Fortinet-3468.jpg

Mit Finish verlässt du das Installations Programm.

Starte das FortiClient Programm 

Fortinet-3469.jpg

Um dich an die SASE Instanz anzumelden, musst du den Client aktivieren: 

Fortinet-3470.jpg
  1. Navigiere auf ZERO TRUST TELEMTRIE
  2. gib den vorher kopierte Aktivierungscode ein
  3. wähle Verbinden um den Code zu übermitteln. Hab ein paar Sekunden geduld und warte bis die Authentifizierung im SASE verifiziert wurde.

Gratuliere, der User ist jetzt über das FortiSASE verbunden: 

Fortinet-3471.jpg
Config webgui.png Konfiguration im SASE Portal:

Auf der SASE Instanz findest du jetzt den User von Toni als angemeldet: 

Fortinet-3472.jpg
  1. Navigiere auf Dashboards → Status
  2. suche das Widget Managed Endpoints und klicke ins Widget rein.
Fortinet-3473.jpg

Du siehst den angemeldeten User in der Übersicht.

add 24.07.2024 - 4Tinu

FortiSASE - Betrieb

Wie binde ich eine FortiGate im FortiSASE ein?

Auf der FortiGate: 

Fortinet-3542.jpg

Fortinet-3543.jpg

Fortinet-3544.jpg

Fortinet-3545.jpg

Auf der SASE Instanz: 

Fortinet-3537.jpg

Fortinet-3538.jpg

Fortinet-3539.jpg

Fortinet-3540.jpg

Auf der FortiGate: 

Fortinet-3541.jpg

add 10.10.2025 - 4Tinu

Abgerufen von „http://fortinet.also.ch/wiki/index.php?title=Fortinet:SASE&oldid=42937“