FortiSwitch và FortiAP: Quản lý tập trung từ FortiGate

FortiSwitch và FortiAP khi kết nối về tường lửa FortiGate (hoặc FortiGate Rugged) được quản lý tập trung ngay trên giao diện FortiOS qua giao thức FortiLink (mạng LAN có dây) và CAPWAP (mạng Wi-Fi), không cần máy chủ điều khiển rời và không tốn phí bản quyền controller hay NAC cơ bản. Kiến trúc Security-Driven Networking (SD-Branch) này tự động cấp phát cấu hình Zero-Touch, đồng bộ chính sách tường lửa, IPS, phân vùng VLAN/IoT và cô lập cổng nhiễm mã độc cho văn phòng, nhà máy hoặc một trạm biến áp 110kV. Bài viết đối chiếu giới hạn quản lý trên FortiGate cùng thông số FortiSwitch Secure Access, FortiSwitch Rugged và FortiAP theo Datasheet Fortinet tháng 08 - 10/2026.

Hiểu nhanh bằng hình

1. Cơ chế quản lý tập trung FortiSwitch (FortiLink) và FortiAP (CAPWAP) từ FortiGate

Theo FortiSwitch Secure Access Data Sheet (FS-SA-DAT-R68-20261008) và FortiAP Series Data Sheet (FAP-DAT-R81-20260826), hệ điều hành FortiOS hợp nhất tường lửa biên, bộ điều khiển switch và bộ điều khiển Wi-Fi vào một giao diện quản trị:

• FortiLink biến FortiSwitch thành mô-đun mở rộng của FortiGate: Khi cắm cáp RJ45 hoặc quang SFP/SFP+ từ cổng FortiLink xuống FortiSwitch / FortiSwitch Rugged, tường lửa tự phát hiện thiết bị (Auto Discovery), đồng bộ NTP, đẩy VLAN, định tuyến liên VLAN và gom cụm dự phòng MCLAG (Multi-Chassis Link Aggregation).
• Network Access Control (NAC) miễn phí bản quyền: FortiLink NAC tự nhận diện máy tính, camera IP, PLC/IoT không cần máy chủ 802.1X rời, tự gán VLAN, chặn lưu lượng ngang hàng (Block Intra-VLAN Traffic) và cách ly cổng (Host Quarantine) khi phát hiện xâm nhập.
• Bộ điều khiển WLAN qua CAPWAP tăng tốc phần cứng: Quản lý FortiAP ở hai chế độ SSID gồm Tunnel Mode (đóng gói lưu lượng Wi-Fi qua đường hầm CAPWAP về chip SPU để quét IPS, Application Control, Web Filter) và Local-Bridge Mode (chuyển mạch cục bộ tại cổng AP).
• Không phát sinh phí license controller trên FortiGate: Trang 17 Datasheet FS-SA-DAT-R68-20261008 xác nhận quản lý FortiSwitch và FortiAP từ FortiGate không cần mua thêm giấy phép controller; thuê bao rời chỉ dùng khi quản trị độc lập trên đám mây (FortiManagement Cloud, FortiSASE) hoặc FortiSwitchNMS.

2. Bảng năng lực quản lý FortiSwitch và FortiAP trên các dòng FortiGate thương mại

Khi thiết kế mạng văn phòng, nhà máy hoặc trạm điện, cần đối chiếu số FortiSwitch tối đa, số FortiAP tối đa (Tổng / Tunnel Mode) và cổng FortiLink trên từng model FortiGate đang thương mại:

Số liệu trích từ Datasheet Fortinet: FGFWF-70G-DAT-R10, FG-80F-DAT-R48, FG-90G-DAT-R18, FG-120G-DAT-R19, FG-200G-DAT-R12 và FGR-DAT-R59 (tháng 09 - 10/2026).

3. Chọn đúng dòng FortiSwitch và FortiAP cho văn phòng, nhà máy và ngoài trời

3.1. FortiSwitch Secure Access (100F / 100G Series) cho tủ rack văn phòng

Với phòng máy điều hòa (-5°C đến +45°C hoặc 0°C đến +45°C), dòng FortiSwitch 100G trang bị cổng Multi-Gigabit 2.5G / 5G, PoE++ IEEE 802.3bt (90W) và uplink 10G SFP+ nuôi Wi-Fi 6E / Wi-Fi 7:

• FS-110G-FPOE (Desktop không quạt IP30): 2 cổng 5GE PoE++ 802.3bt + 8 cổng 2.5GE PoE+ 802.3af/at + 4 khe 10G SFP+, PoE 200 W, chuyển mạch 140 Gbps (208 Mpps).
• FS-124G và FS-124G-FPOE (Rack 1RU): 24 cổng 2.5G/1G RJ45 + 6 khe 10G/1G SFP+, đạt 240 Gbps (355 Mpps), trễ dưới 1 µs, 32K MAC, 4K VLAN. Bản FS-124G không quạt (43,5 W); bản FS-124G-FPOE cấp PoE 780 W (8 cổng 802.3bt 90W + 16 cổng 802.3af/at 30W).
• FS-148F-FPOE (Rack 1RU 48 cổng): 48 cổng GE RJ45 PoE+ (740 W) + 4 khe 10GE SFP+, đạt 176 Gbps (260 Mpps).

3.2. FortiSwitch Rugged (FSR Series) cho phân xưởng và trạm biến áp

Tại nhà máy nóng bụi hoặc một trạm biến áp 110kV đi kèm FortiGate Rugged, dòng FortiSwitch Rugged (FSR-DAT-R36-20260827) có vỏ không quạt IP40, dải nhiệt -40°C đến +75°C (FSR-424F-POE là -40°C đến +70°C), nguồn DC kép, MTBF trên 30 năm, đạt IEC 61850-3, IEEE 1613 và hỗ trợ MRP, PRP, HSR, IEEE 1588v2 PTP, MCLAG:

• FSR-108F và FSR-112F-POE (DIN-rail IP40): FSR-108F có 6 GE RJ45 + 2 GE SFP (16 Gbps, 17W). FSR-112F-POE có 8 cổng GE PoE++ 802.3bt (90W, tổng 240 W) + 4 khe GE SFP (24 Gbps), nguồn kép +/-12 đến +/-57 VDC.
• FSR-216F-POE (DIN-rail IP40 uplink 10G): 16 cổng GE PoE++ 802.3bt (90W, tổng 360 W) + 4 khe 1G/10G SFP+, đạt 112 Gbps (166 Mpps).
• FSR-424F-POE (Rack 1RU IP40 L2/L3 nguồn 24-125 VDC): Định tuyến L3 phần cứng, gồm 12 cổng 1/2.5 GE PoE 60W (421 W) + 12 khe 1/2.5 GE SFP + 4 khe 10G SFP+ + 2 khe 40G QSFP+, đạt 360 Gbps (536 Mpps), đấu thẳng ắc quy 48V / 110 VDC.

3.3. FortiAP trong nhà (Wi-Fi 6 / Wi-Fi 7) và ngoài trời IP67, chống cháy nổ C1D2

Theo FortiAP Series Data Sheet (FAP-DAT-R81-20260826), các dòng FortiAP tích hợp sẵn radio quét WIPS 24/7 và BLE/ZigBee:

• Trong nhà (0°C đến +50°C): FAP-831F (Wi-Fi 6 4x4 + 8x8 + scanning, PHY 5,95 Gbps, cổng 5GE + 1GE, tối đa 33W); FAP-231K (Wi-Fi 7 3 băng tần 2x2 đạt 688M + 2,882G + 5,765G, cổng 5GE nhận 802.3at 15,2W, UL2043); FAP-441K (Wi-Fi 7 4 radio 4x4 + scanning tới 1,148 + 8,648 + 11,530 Gbps, 2 cổng 10GE 802.3bt Hit-less PoE, tối đa 41,7W, hỗ trợ Lightweight UTP).
• Ngoài trời và công nghiệp (IP67, -40°C đến +60°C / +70°C): FAP-234G (Wi-Fi 6E 2x2, 10 ăng-ten ngầm gồm 8 Wi-Fi + BLE + GPS, cổng 2.5GE + 1GE, 802.3at 28W, đạt chống cháy nổ C1D2 / ATEX Certified); FAP-432FR (Wi-Fi 6 công nghiệp 4x4, 6 ăng-ten ngoài gồm 5 N-Type Wi-Fi + 1 BLE, cổng 2.5GE + 1GE PSE out, 802.3bt, đạt UL C1D2); FAP-244K (Wi-Fi 7 ngoài trời -40°C đến +70°C, có 1 cổng 5GE 802.3bt + 1 khe quang 1G/10G SFP+ kéo quang thẳng ra bãi xa).

4. Cấu hình mẫu FortiOS: Uplink FortiLink, phân vùng VLAN và phát SSID FortiAP

Trên FG-120G gom 2 cổng quang 10G x1, x2 làm nhánh fortilink xuống FS-124G-FPOE hoặc FSR-216F-POE, tự động nhận switch, tạo VLAN và phát SSID chế độ Tunnel qua FortiAP:

config system interface
    edit "fortilink"
        set member "x1" "x2"
        set auto-auth-extension-device enable
        set fortilink enable
        set fortilink-split-interface disable
    next
    edit "VLAN20_CORP_WIFI"
        set vdom "root"
        set ip 10.20.0.1 255.255.254.0
        set interface "fortilink"
        set vlanid 20
    next
end
config wireless-controller vap
    edit "SSID_NTCOM_CORP"
        set ssid "NTCOM-Enterprise"
        set security wpa3-sae
        set passphrase "ENC_STRONG_PASSPHRASE"
        set schedule "always"
        set local-bridging disable
    next
end
config wireless-controller wtp-profile
    edit "PROFILE_FAP_231K_CORP"
        config platform
            set type 231K
        end
        config radio-1
            set mode ap
            set vaps "SSID_NTCOM_CORP"
        end
        config radio-2
            set mode ap
            set vaps "SSID_NTCOM_CORP"
        end
    next
end

5. FortiSwitch và FortiAP trong hồ sơ mời thầu (HSMT)

5.1. Cách ghi yêu cầu kỹ thuật đồng bộ trong HSMT

• Quản lý hợp nhất không tốn phí license controller: Ghi rõ "Switch truy nhập và bộ phát Wi-Fi quản lý tập trung trực tiếp từ tường lửa NGFW qua FortiLink / CAPWAP, hỗ trợ Zero-Touch Provisioning và NAC cơ bản không phát sinh phí bản quyền controller theo từng thiết bị".
• Định cỡ cổng Multi-Gigabit và chuẩn PoE++ 802.3bt: Với AP Wi-Fi 6E / Wi-Fi 7 (FAP-441K, FAP-244K), yêu cầu switch có cổng 2.5G/5G RJ45, uplink 10G SFP+ và cấp nguồn IEEE 802.3bt (60W - 90W) như FS-124G-FPOE hoặc FSR-216F-POE (nếu chỉ cấp 802.3at cho FAP-441K, AP hạ xuống 2x2 / 17 dBm và tắt USB).
• Tiêu chuẩn công nghiệp và chống cháy nổ: Tủ ngoài trời/trạm điện yêu cầu switch không quạt IP40, -40°C đến +75°C, nguồn DC kép, đạt IEC 61850-3 và IEEE 1613; kho hóa chất hoặc bồn xăng dầu yêu cầu AP vỏ IP67, -40°C đến +60°C, đạt C1D2 / ATEX (FAP-234G, FAP-432FR).

5.2. Lưu ý khi điền bảng đáp ứng và bóc tách vật tư (BoM)

• Phân biệt giới hạn FortiAP Total và Tunnel Mode, tránh mã đã EoS: Ví dụ FG-70G và FG-80F hỗ trợ 96 / 48 FortiAP (tối đa 48 AP chạy Tunnel Mode); gói thầu 60 AP Tunnel Mode phải chọn từ FG-90G / FG-120G (128 / 64 FortiAP) hoặc FG-200G (256 / 128 FortiAP). Không chào mới các mã đã có lịch ngừng đặt hàng như FGR-60F hay FG-60F, chuyển sang FGR-60G, FGR-70G và FG-70G, FG-90G.
• Mã vùng tần số [RC] và hợp quy Bộ TT&TT cho FortiAP: Mã đặt hàng FortiAP có hậu tố vùng FAP-xxx-[RC] theo quy hoạch phổ tần quốc gia; khi chào thầu thiết bị thu phát sóng vô tuyến tại Việt Nam cần kiểm đúng mã vùng lưu hành và hồ sơ chứng nhận hợp quy, công bố hợp quy Bộ TT&TT.
• Điện áp nguồn DC cho FortiSwitch Rugged PoE++: FSR-112F-POE và FSR-216F-POE cần nguồn 52 đến 57 VDC khi cấp PoE++ 802.3bt (dùng nguồn DIN-rail 54 VDC SP-RGDIN-240-PS), còn FSR-424F-POE nhận 41 đến 125 VDC. Kê kèm FortiCare Premium / Elite theo số năm HSMT.

Xem chi tiết các model thương mại tại danh mục Switch và danh mục Firewall: FS-110G-FPOE, FS-124G, FS-124G-FPOE, FSR-108F, FSR-112F-POE, FSR-216F-POE, FSR-424F-POE, cùng bộ điều khiển FortiWiFi 70G, FortiGate 80F, FortiGate 120G, FortiGate 200G, FGR-60G và FGR-70G. Bài liên quan: FortiGate Rugged: firewall cho môi trường khắc nghiệt, FortiGate 70G: điểm mới so với 60F, Giấy phép FortiGate: UTP, Enterprise, FortiCare. Giá: liên hệ báo giá.

Nhận hỗ trợ hồ sơ thầu trong 24 giờ

Gửi cho NTCOM thông tin gói thầu kèm Phạm vi cung cấp (PVCC), datasheet, bảng thông số hoặc bảng điền đáp ứng. NTCOM tra mã sản phẩm, hãng sản xuất và điền đáp ứng kỹ thuật, phản hồi trong vòng 24 giờ. Báo giá ngay sau khi có đầy đủ hồ sơ, tên dự án, tên EU.

• Hotline: 0986 397 886
• Zalo: 0986397886
• Email: nguyen.cuong@ntcomvn.com

Nguồn tham khảo

• Fortinet FortiSwitch Secure Access Series Data Sheet (FS-110G-FPOE, FS-124G, FS-124G-FPOE, FS-148F-FPOE · Document ID: FS-SA-DAT-R68-20261008)
• Fortinet FortiSwitch Rugged Data Sheet (FSR-108F, FSR-112F-POE, FSR-216F-POE, FSR-424F-POE · Document ID: FSR-DAT-R36-20260827)
• Fortinet FortiAP Series Data Sheet (FAP-231K, FAP-441K, FAP-831F, FAP-234G, FAP-432FR, FAP-244K · Document ID: FAP-DAT-R81-20260826)
• Fortinet FortiGate 90G Data Sheet (FG-90G-DAT-R18-20260929), FortiGate 120G Data Sheet (FG-120G-DAT-R19-20260929), FortiGate 200G Data Sheet (FG-200G-DAT-R12-20260929) và FortiGate Rugged Data Sheet (FGR-DAT-R59-20260924)

Tài liệu mang tính tham khảo kỹ thuật; thông số có thể thay đổi theo phiên bản datasheet của hãng, cần đối chiếu trước khi lập hồ sơ.