Fortinet Firewall Nasıl Çalışır? FortiGate Packet Flow Rehberi (2026)

Fortinet firewall nasıl çalışır sorusunun pratik karşılığı, çoğu kurum için FortiGate'in bir paketi nasıl karşıladığı, hangi policy ile eşleştirdiği, oturumu nasıl stateful olarak takip ettiği, NAT ve güvenlik profillerini hangi noktada uyguladığı ve hangi trafik tipini hızlandırabildiğini anlamaktır. Kısa cevap şudur: FortiGate, ilk pakette route ve policy kararını verir, session table üzerinde durumu takip eder, uygun trafikte NAT ve inspection uygular, bazı oturumları ise koşullar sağlanırsa donanım hızlandırma katmanına offload eder.

Bu rehber özellikle şu ekipler içindir:

• ağ ve güvenlik ekipleri
• FortiGate yöneticileri
• SOC ve operasyon ekipleri
• firewall davranışını yalnız kural listesi değil, packet flow mantığıyla anlamak isteyen BT yöneticileri

Hızlı Özet

• FortiGate, stateful firewall mantığıyla çalışır; yani tek tek paketlerden çok oturumların durumunu izler.
• Fortinet dokümanına göre her oturum session table içinde tutulur ve policy numarası, NAT bilgisi ve protokol durumu bu kayıt üstünden izlenebilir.
• Firewall policy match, Source_interfaces / Protocol / Source_Address / Destination_Address ile birlikte ilgili source-port ve dst-port alanlarına göre değerlendirilir.
• Fortinet’in NP7 / NP7lite packet flow açıklamasına göre ilk paket, oturumun fast path için uygun olup olmadığını belirler.
• Proxy tabanlı inspection yoksa ve uygunluk koşulları sağlanıyorsa birçok oturum donanım hızlandırmaya offload edilebilir.
• HA tarafında Fortinet, active-passive cluster için group-id 1, device priority 128+ ve ha1/ha2 heartbeat örneğini resmi dokümanda verir.

İçindekiler

• Fortinet Firewall Tam Olarak Ne Yapar?
• Stateful Firewall Mantığı Neden Kritiktir?
• Policy Match ve NAT Kararı Nasıl Verilir?
• Packet Flow ve NP Offload Nasıl Çalışır?
• HA ve Süreklilik Katmanı Neden Ayrı Düşünülmemelidir?
• En Sık Yapılan Hatalar Nelerdir?
• İlgili İçerikler
• Kontrol Listesi
• LeonX ile Sonraki Adım
• Sık Sorulan Sorular
• Kaynaklar

Görsel: Wikimedia Commons - Fortinet FortiGate 6501F.

Fortinet Firewall Tam Olarak Ne Yapar?

Fortinet firewall pratikte yalnız “izin ver / engelle” cihazı değildir. FortiGate bir trafiği değerlendirirken aynı anda birden fazla kontrol uygular:

• route ve interface kararını değerlendirir
• policy eşleşmesini bulur
• session oluşturur
• gerekiyorsa NAT uygular
• UTM veya NGFW profillerini bağlar
• uygun trafikte donanım hızlandırma kararı verir

Bu yüzden FortiGate davranışını anlamak için yalnız firewall policy ekranına bakmak yeterli değildir. Gerçekte cihazın mantığı, ilk pakette verdiği kararlarla başlar ve session table üzerinden sürer.

Fortinet dokümanında FortiGate’in session table yapısı açık biçimde anlatılır: her oturumun kaydı vardır ve bu kayıt yalnız bağlantının varlığını değil, hangi policy ile eşleştiğini, NAT durumunu ve protokol state bilgisini de taşır. Bu nedenle troubleshooting sırasında policy id, proto_state, nsrc ve nport gibi alanlar yorumlama için kritiktir.

Stateful Firewall Mantığı Neden Kritiktir?

Fortinet’in administration guide metni burada ana mantığı net verir: stateful firewall, yalnız tek tek paketleri değil, oturumun durumunu takip eder ve yalnız oturum durumuna uygun paketlerin geçmesine izin verir.

Bu ne anlama gelir?

• TCP oturumunun ilk SYN paketi ile sonrasındaki paketler aynı mantıkla değerlendirilmez
• dönüş trafiği için ayrı ayrı kural yazmak gerekmez; mevcut session kararı kullanılır
• NAT, traffic shaping, IPS ve logging gibi davranışlar session bağlamı üstünden uygulanır

Fortinet session table dokümanında TCP için 2 haneli proto_state, UDP için ise reply görülüp görülmediğini tanımlayan state mantığı açıkça listelenir. Bu, FortiGate’in UDP gibi stateless kabul edilen protokollerde bile davranışı izlenebilir hale getirdiğini gösterir.

Pratikte şu sorunlar bu katman anlaşılmadan çözülemez:

• trafik policy’ye düşüyor gibi görünüyor ama oturum açılmıyor
• NAT var ama dış tarafta beklenen kaynak adres görünmüyor
• inspection profili açılmış ama ilgili session hiç oraya bağlanmıyor
• HA sonrası session pickup bekleniyor ama oturum davranışı farklılaşıyor

Policy Match ve NAT Kararı Nasıl Verilir?

Fortinet’in firewall policy dokümanında policy match açık biçimde tanımlanır. Eşleşme yalnız adres bazlı değil; şu kombinasyona göre değerlendirilir:

• Source_interfaces
• Protocol
• Source_Address
• Destination_Address
• ilgili source-port
• ilgili dst-port

Bu çok önemli bir ayrımdır, çünkü birçok ekip yalnız source ve destination adresine bakarak policy’nin doğru olduğunu varsayar. Oysa:

• yanlış ingress interface
• hatalı servis/port tanımı
• route eksikliği
• transparent mode sınırlaması

gibi detaylar yüzünden beklenen policy bulunamaz.

Fortinet ayrıca policy match çalıştırmadan önce gerekli route’un mevcut olması gerektiğini özellikle not eder. Bu yüzden “policy doğru ama trafik geçmiyor” vakalarında routing tablosu ayrı doğrulanmalıdır.

NAT tarafında da session table rehberi kritik ipucu verir. Fortinet, dış taraftan troubleshooting yapılırken nsrc ve nport alanlarıyla NAT’lenen kaynak bilgisinin session üstünden görülebileceğini söyler. Bu, özellikle çok sayıda iç IP aynı dış IP’ye NAT ediliyorsa önemlidir.

Packet Flow ve NP Offload Nasıl Çalışır?

Fortinet’in Packet flow: first packet of an NP session dokümanı, performans tarafındaki temel mantığı netleştirir. Buna göre:

• ilk paket CPU tarafında değerlendirilir
• FortiGate oturumun fast path şartlarını sağlayıp sağlamadığını kontrol eder
• uygun trafikte session key ve ilgili action donanım işleyiciye aktarılır
• sonraki paketler network processor üstünde daha hızlı işlenebilir

Buradaki kritik nokta şudur: her trafik otomatik olarak offload edilmez.

Fortinet aynı dokümanda şu sınırı açıkça koyar:

• proxy-based UTM/NGFW yoksa
• trafik fast path gereksinimlerini sağlıyorsa
• cihazda NP7 veya NP7lite varsa

birçok oturum offload edilebilir.

Bu yüzden performans analizi yapılırken şu yanlış cümlelerden kaçınılmalıdır:

• “FortiGate donanımlı, her trafik ASIC’ten akar”
• “CPU yüksek değilse firewall tarafı sorunsuzdur”
• “inspection açmak throughput’u aynı bırakır”

Aslında doğru yaklaşım, session hangi path’te işlendi, neden offload edilmedi ve inspection katmanı bu kararı nasıl etkiledi sorularını birlikte sormaktır.

HA ve Süreklilik Katmanı Neden Ayrı Düşünülmemelidir?

Fortinet’in HA active-passive cluster setup dokümanı, active-passive cluster kurulumunu GUI veya CLI ile açık biçimde tarif eder. Resmi örnek yapı şu temel değerleri içerir:

• mode: Active-Passive
• device priority: 128 veya daha yüksek
• group-id: 1
• heartbeat interfaces: ha1 ve ha2

Doküman ayrıca cluster üyeleri arasında device priority dışında ayarların aynı olması gerektiğini ve FGCP müzakeresi sırasında arayüz MAC adresleri değişirken kısa bağlantı kaybı yaşanabileceğini not eder.

Bu, firewall çalışma mantığı açısından neden önemlidir?

• FortiGate yalnız policy motoru değildir; aynı zamanda yüksek erişilebilirlik tasarımının parçasıdır
• session pickup, failover davranışı ve state continuity doğrudan operasyonel tasarımı etkiler
• heartbeat, interface monitoring ve cluster tasarımı doğru değilse policy doğruluğu tek başına yeterli olmaz

Bu nedenle Fortinet firewall tasarımında ana hizmet bağlantıları şu mantıkla birlikte düşünülmelidir:

• genel altyapı için Donanım & Yazılım Hizmetleri
• cihaz devreye alma ve entegrasyon için Router, Switch ve Firewall Kurulum Hizmeti
• yönetişim ve kural standardı için İş ve Yönetim Hizmetleri
• politika standardı için Ağ Güvenlik Politika Yönetimi
• teklif ve planlama için İletişim

En Sık Yapılan Hatalar Nelerdir?

Firewall’ı sadece ACL cihazı sanmak

FortiGate session, NAT, UTM, shaping ve HA katmanlarıyla çalışır. Sadece kural sırası bakışı eksik teşhis üretir.

Route ile policy ilişkisini ayırmak

Policy doğru olsa bile route eksikse trafik beklendiği gibi akmaz. Fortinet bunu policy match gereksinimlerinde açıkça vurgular.

Session table okumadan karar vermek

Hangi policy’ye düştüğü, NAT olup olmadığı ve protokol state’i session table üstünden görünmeden teşhis eksik kalır.

Inspection ile offload ilişkisini göz ardı etmek

Proxy-based inspection veya bazı güvenlik profilleri, fast path davranışını değiştirebilir. Bu performans yorumunu doğrudan etkiler.

HA kurulumunu sonradan düşünmek

Failover tasarımı baştan planlanmadığında, firewall “çalışıyor” görünse bile süreklilik standardı zayıf kalır.

İlgili İçerikler

• FortiGate SSL Inspection Nedir ve Nasıl Planlanır?
• Siber Güvenlik Danışmanlığı: KOBİ’ler İçin 2026 Kontrol Listesi
• VMware Network Not Working Sorunu Nasıl Çözülür?

Kontrol Listesi

• Trafiğin hangi interface üzerinden geldiği ve doğru route’un bulunduğu doğrulandı
• Policy match source, destination, protocol ve port seviyesinde test edildi
• Session table üzerinde policy ID, NAT ve state bilgisi incelendi
• Inspection profillerinin offload davranışını değiştirip değiştirmediği kontrol edildi
• Yüksek erişilebilirlik tasarımında heartbeat ve failover davranışı doğrulandı
• Router, switch ve firewall kuralları tek akış içinde birlikte değerlendirildi

LeonX ile Sonraki Adım

Fortinet firewall davranışını doğru okumak, yalnız cihaz kurulumunu değil; policy standardı, inspection mantığı, performans ve süreklilik tasarımını birlikte ele almayı gerektirir. LeonX, Donanım & Yazılım Hizmetleri altında özellikle Router, Switch ve Firewall Kurulum Hizmeti ile İş ve Yönetim Hizmetleri altındaki Ağ Güvenlik Politika Yönetimi çalışmalarını birlikte kurgulayarak FortiGate altyapınızı daha yönetilebilir hale getirir. Mevcut yapıyı gözden geçirmek veya teklif almak için İletişim sayfası üzerinden ilerleyebilirsiniz.

Sık Sorulan Sorular

Fortinet firewall nasıl çalışır sorusunun en kısa cevabı nedir?

FortiGate, ilk pakette route ve policy kararını verir, session oluşturur, gerekirse NAT ve inspection uygular, uygun trafikte ise donanım hızlandırma kullanır.

Session table neden bu kadar önemlidir?

Çünkü hangi policy’nin kullanıldığını, NAT bilgisini ve protokol state’ini aynı yerde gösterir. Troubleshooting için en değerli katmandır.

Her FortiGate trafiği ASIC üzerinden mi geçirir?

Hayır. Fortinet dokümanına göre ilk paket offload uygunluğunu belirler. Proxy-based inspection gibi bazı koşullar offload’u sınırlar.

Firewall policy doğruysa trafik mutlaka geçer mi?

Hayır. Route eksikliği, servis/port uyuşmazlığı veya interface yönü hatası policy doğru görünse bile akışı bozabilir.

HA neden firewall çalışma mantığının parçasıdır?

Çünkü failover ve session sürekliliği, gerçek üretim davranışını doğrudan etkiler. Tek kutu mantığıyla tasarlanan yapı operasyonel olarak eksik kalır.

Kaynaklar

• Fortinet Document Library - Using a session table (FortiGate / FortiOS 7.4.8 Administration Guide)
• Fortinet Document Library - Firewall policy (FortiGate / FortiOS 7.6.5 Administration Guide)
• Fortinet Document Library - Packet flow: first packet of an NP session (FortiGate / FortiOS 7.6.0)
• Fortinet Document Library - HA active-passive cluster setup (FortiGate / FortiOS 7.6.1 Administration Guide)
• Wikimedia Commons - Fortinet FortiGate 6501F