先了解这张认证
Fortinet NSE 4 FortiGate Security 是 Fortinet 认证体系里第一个需要付费的级别，验证你能独立完成 FortiGate 防火墙的日常策略、NAT、VPN、用户认证和 Security Profile 配置。考试代码 NSE4_FGT-7.2，60 题 / 105 分钟，通过分约 70%，考试费 $400 USD（Pearson VUE），证书有效期 2 年，续证靠重考或考 NSE 5/6/7 升级。
为什么 Fortinet 单独值得学一套而不是只考 PCNSA：根据 IDC Worldwide Security Appliance Tracker，Fortinet 的防火墙出货量（按 unit shipment）在 2023 年起已经连续超过 Palo Alto、Cisco、CheckPoint 成为全球第一，市场份额约 35-40%。金额上 PA 仍然领先（PA 单价高），但 Fortinet 赢在中端市场的广度 —— 澳洲和东南亚的 MSP、电信运营商（Telstra、Optus、Singtel）、州政府部门、医院、学校、连锁零售几乎全是 FortiGate 环境。Fortinet 自己公布的持证人数超过 70 万，远高于 Palo Alto PCNSA 的规模，这意味着 JD 池子更大。
NSE 4 和 PCNSA 最大的区别在设计哲学：Palo Alto 的核心卖点是 App-ID + Single-Pass 架构，策略必须理解 L7 应用识别；Fortinet 的卖点是 Security Fabric（安全架构联动）+ 基于 ASIC 的硬件加速（NP/SP/CP 芯片）。NSE 4 考卷更偏"实操配置路径"而不是"设计理念" —— 很多题直接问 CLI 命令的执行顺序、GUI 里哪个页面配什么、Policy 匹配时查表的顺序。这对有 Cisco ASA / 华为 USG 背景的工程师非常友好，概念迁移成本低。
考卷四大核心领域：(1) Firewall Policy + NAT（SNAT / DNAT / VIP / Central NAT vs Policy NAT）；(2) VPN（IPsec Phase 1/2 协商、SSL VPN 的 Web Mode 和 Tunnel Mode）；(3) User Authentication + FSSO（Fortinet Single Sign-On 对接 AD）；(4) Security Profile（Antivirus / Web Filter / IPS / Application Control / SSL Inspection）。Policy 和 VPN 加起来约占 50% 权重，是背题重点。
没有真机怎么练：Fortinet 官方提供 FortiGate VM 的免费 15 天试用 license（从 support.fortinet.com 注册获取），可以在 VMware Workstation / ESXi / KVM 上跑。NSE 4 的所有 lab 场景在 VM 上都能复现。另外 Fortinet 有一个容易被忽略的免费资源 —— NSE Training Institute（training.fortinet.com），注册后可以免费看 NSE 1-3 的完整课程，NSE 4 的部分视频也开放。这比 Palo Alto 的 EDU-210 更友好一些。
考试档案
- 考试代码
- NSE4_FGT-7.2
- 发证机构
- 其他
- 题型
- 单选题 / 多选题
- 考试语言
- English
- 证书有效期
- 2 年
- 考试费
- $400
你会学到的技能
学完能做什么
- 通过 Fortinet NSE 4 FGT 7.2 认证考试，进入 Fortinet Partner 认证体系
- 独立部署 FortiGate HA 双机环境与 VDOM 多租户隔离
- 编写 Firewall Policy + NAT 规则，区分 SNAT 和 DNAT 的应用场景
- 搭建 SSL VPN（Web / Tunnel 模式）+ IPsec Site-to-Site 跨站点互联
- 集成 Active Directory 做 FSSO 单点登录，实现用户级策略
- 配置 Security Profiles 并掌握 SSL Deep Inspection 的合规与性能权衡
- 用原生 FortiGate SD-WAN 实现多链路负载 + SLA 故障切换
- 为进阶考取 NSE 5（FortiAnalyzer / FortiManager / FortiSIEM）打下基础
适合这样的你
- 防火墙运维工程师 — FortiGate / Palo Alto / Check Point / Cisco ASA 背景任一
- Network Security Engineer — 企业内网防护线运维
- Fortinet Partner 售前 / 实施工程师 — 合作伙伴等级要求 NSE 4+
- MSP / MSSP 客户防火墙运维团队
- 有 CCNA Security 或 CompTIA Security+ 基础想转 Fortinet 的工程师
开始前需要什么
- 6-12 个月任意品牌防火墙运维经验（理解 Zone / Policy / NAT 概念）
- 熟悉 TCP/IP、子网掩码、基础路由（静态 / OSPF 任一）
- 理解 VPN 基本概念（IPsec Phase 1/2，SSL VPN 模式）
- 了解 Active Directory / LDAP 结构（FSSO 需要）
- 推荐先完成 NSE 1-3 免费课程（Fortinet Training Institute 可免费注册）
- 有 FortiGate VM 实验环境（Fortinet Product Demo Center 或 本地 60 天评估版）
一步一步，准备好考试
5 个章节 · 学习路径
安排你的备考
- 课程学习时长
- 40h
- 有相关实操经验
- 3-5 周
- 从基础开始
- 8-12 周
- 建议日投入
- 1.5-2h
备考支持
- 按 Fortinet NSE 4 FGT 7.2 官方 Blueprint 七大领域切章节
- 164 道练习题覆盖 GUI 和 CLI 两种配置路径，含命令级配置题
- VPN 章节覆盖 SSL VPN Web/Tunnel 模式 + IPsec Phase 1/2 双侧完整配置
- Security Profiles 章节区分 Proxy-based vs Flow-based 两种 inspection 模式
- SD-WAN 章节对齐 7.2 版本新增的 SLA Health Check 和 ADVPN 2.0
- 故障排查章节给出 Packet Capture / Debug Flow / Session 表 三层排查法
- 60 题 120 分钟仿真模拟，贴合真实考场题目密度
1. 第一阶段：NSE Training Institute 免费官方课程（2-3 周）
到 training.fortinet.com 注册免费账号，先把 NSE 1、NSE 2、NSE 3 三门过一遍（各 1-2 小时，相当于 Fortinet 产品体系扫盲），然后主攻 NSE 4 FortiGate Security 7.2 Self-Paced Course（官方正式备考课程，之前收费现在部分模块开放免费）。重点章节：Firewall Policies、Network Address Translation、Authentication、SSL VPN、IPsec VPN、Antivirus、Web Filtering、Intrusion Prevention。不要跳 Lab Guide 附带的命令示例 —— 考试里直接考 CLI 片段。
2. 第二阶段：FortiGate VM 免费试用实验（2-3 周）
到 support.fortinet.com 注册（可用企业邮箱），申请 FortiGate VM 的 15 天 free trial license（过期可重新申请），下载 KVM / VMware / Hyper-V 镜像。搭一个三口拓扑：port1 = WAN / port2 = Internal / port3 = DMZ。必做 lab 清单：(1) 配 Interface 的 IP 和 role；(2) 写第一条 Firewall Policy 让 Internal → WAN 放行 HTTP/HTTPS，看 Policy Lookup（CLI diagnose firewall proute list）；(3) 配 Central SNAT + IP Pool，对比 Policy-based NAT 的差异；(4) 配 VIP 把内网 web 发布出去，注意 Security Policy 的目的 IP 应该写 VIP 的 external address 而不是 mapped address —— 这是高频考点；(5) 配 Site-to-Site IPsec VPN（Phase 1 IKEv2 + Phase 2 AES256-SHA256），故意制造 Phase 1 proposal mismatch 看 diagnose debug application ike -1 的输出；(6) 配 SSL VPN Tunnel Mode，分配 IP Pool 给 FortiClient。把 CLI diagnose sys session list 和 diagnose debug flow 用到熟为止，考试里大量题目以这些命令的输出作为题干。
3. 第三阶段：刷题 + 官方 Study Guide（1-2 周）
Fortinet 官方不出模考题库（和 AWS / 微软不同），市面上可靠的题源：Boson ExSim for NSE4（约 $99 USD，最接近真实考试难度）、NSE4 Study Guide PDF（Fortinet 官网免费，从第一页刷到最后一页对照知识点）。千万不要用 ExamTopics 的 dump —— Fortinet 考卷每个季度换题，旧 dump 答案有相当比例是错的，更严重的是 Fortinet 会对使用 dump 的考生进行取消成绩处理。每做完一套 Boson 模考，错题回查 Study Guide 对应章节并在 FortiGate VM 上复现一遍。
4. 第四阶段：冲刺 + 预约考试（最后 1 周）
最后一周集中背三张表：(1) IPsec Phase 1 和 Phase 2 默认参数（Phase 1：IKEv2 / AES256 / SHA256 / DH14 / 86400s；Phase 2：AES256 / SHA256 / PFS on / 43200s），考试直接问默认值或让你定位不匹配的参数；(2) Security Profile 的作用层级（Antivirus 在 Proxy/Flow 模式下的区别，Web Filter 的 FortiGuard 分类 vs URL Filter 顺序）；(3) FSSO 的三种部署模式（Polling Mode / Agent Mode / NTLM）。考前 2 天停止学新东西，只刷 Boson 错题本。Fortinet 考试可以选线下 Pearson VUE 或在家 OnVUE，首考建议线下 —— NSE4 的考试界面比 PCNSA 朴素，图文较多，在家考万一网断很麻烦。
这张认证的职业价值
NSE 4 的求职定位：MSP / 中型企业 / 电信 / 政府 的通行证
和 Palo Alto PCNSA 偏向大型企业边界防火墙不同，Fortinet NSE 4 的价值集中在**"广而不尖"的中端市场**。Fortinet 以性价比在 SMB 和中型企业市场占据绝对优势，加上 Fortinet Partner Program 的返利机制，几乎所有系统集成商、MSP、Telco 的技术服务岗都要求工程师至少持有 NSE 4。
澳洲市场的真实情况：Seek 上搜 "Fortinet" + "Sydney/Melbourne"，长期在招 400-500 个岗位，数量明显多于 Palo Alto（约 300）。持 NSE 4 的 Junior / Mid Network Security Engineer 起薪约 AUD $85-105K，MSP 环境下 Mid-level 到 $105-130K。大型 Telco 和政府项目（Telstra、Optus、NBN Co、Services Australia 的子承包商）会更高一档，NSE 7 可以冲到 $140-160K。要注意的是：在同等经验下，PCNSA 持证者的薪资通常比 NSE 4 高 5-10%，这是 PA 市场单价高的红利；但 NSE 4 的岗位数量是 PCNSA 的 1.3-1.5 倍，找工作的选择面更广。
适合考 NSE 4 的三类人：
- 在 MSP / 系统集成商 / Fortinet 合作伙伴做一线运维：公司合同里规定工程师必须持 NSE 4 才能上门维保，这种情况下考证直接关联你的 billable hours 和晋升。MSP 市场 Fortinet 的占比远高于 PA。
- 从 Cisco ASA / 华为 USG / 深信服 迁移到 Fortinet 的网工：Fortinet 的 CLI 风格（"config system interface" / "edit "port1"" 这种层级式命令）和华为最像，和 Cisco ASA 也有大量共通概念。3-5 周能拿证。
- 中型企业（员工 500-5000）的内部 IT / 安全运维：这个规模的公司大概率用 FortiGate 而不是 PA，NSE 4 是你往安全方向转岗的最直接证书。
不建议考 NSE 4 的人：
- 纯云架构师（AWS / Azure / GCP）：FortiGate on Cloud 存在但是非主流，云原生防火墙（AWS Network Firewall / Azure Firewall / GCP Cloud Armor）和 FortiGate 的配置范式完全不同。考 AWS SCS-C02 或 AZ-500 更直接。
- 目标是 Palo Alto shop 的大型企业：四大银行、澳洲联邦政府核心部门、美国 Fortune 100 多数是 PA 环境，简历上 PCNSA 比 NSE 4 更对口。
- Kubernetes / Container 安全方向：CKS 或 Prisma Cloud 更合适。
- 只想刷证书不碰设备的人：NSE 4 有大量基于 CLI 输出和配置截图的场景题，没上手过 FortiGate VM 的纯理论考生通过率明显偏低。
- 澳洲
- AUD 85,000 – 130,000
- 美国
- USD 80,000 – 125,000
- 新加坡
- SGD 60,000 – 95,000
- 中国
- CNY 150,000 – 320,000
备考时，做好这些事
- **60 题 / 105 分钟 = 平均 105 秒/题**，比 CCNA 宽松很多，时间充裕，慢慢读题不要急。
- **多选题明确标注 "Choose two" 或 "Choose three"** —— 少选或多选都 0 分，注意看括号里的数字。
- **大量题目以 CLI 输出或 GUI 截图作为题干**，先快速看输出的关键行（比如 `diagnose sys session list` 里的 policy id、`diagnose debug flow` 里的 forwarded / denied），再回来读问题，不要被冗长的命令输出吓到。
- **遇到 IPsec 协商失败题直接对比两端 Phase 1 / Phase 2 参数表格**，逐行对照（Encryption / Hash / DH Group / Lifetime），不匹配的那行就是答案。
- **Best Practice 类题选最安全 + 最符合 Fortinet 官方推荐的选项** —— 比如 SSL VPN 推荐 Tunnel Mode 而不是 Web Mode，Security Profile 推荐 Proxy-based 扫深度恶意文件，SD-WAN 推荐用 Performance SLA 做健康检查。
- **考前 30 分钟过一遍 IPsec 默认参数**（IKEv2/AES256/SHA256/DH14）和 **FSSO 三种模式**（Polling/DC Agent/Collector Agent）—— 这两块几乎必出 3-5 道题，死记硬背送分。
- **OnVUE 在家考的监考比 Palo Alto 严**，要求清空桌面只留 1 张白纸（不能写字），摄像头 360° 环境检查，建议首考直接去 Pearson VUE 线下中心。
这些误区要避开
- **混淆 Security Profile 和 Firewall Policy 的关系** —— Firewall Policy 是"允许/拒绝"这条流量，Security Profile（AV/Web Filter/IPS/AppControl）是"允许之后进一步检查内容"。没有 Policy Allow 做前提，Profile 永远不生效。新手经常配了 AV Profile 发现不拦病毒，其实是 Policy 本身就 Deny 了。考题常出"为什么 AV 没命中"类场景，答案往往是 Policy 没 Allow 或 SSL Inspection 没开。
- **FortiGuard Dynamic Update 的频率和依赖关系搞不清** —— IPS Engine 和 Antivirus 签名默认每小时/每天更新，Web Filter 和 Application Control 靠 **实时查询 FortiGuard Cloud**（默认走 UDP 53/8888）而不是本地签名库。如果 FortiGate 连不上 FortiGuard，Web Filter 会 **fail open 或 fail close** 取决于配置。考试直接问"哪些功能需要实时云端查询" → Web Filter + App Control。
- **VDOM（Virtual Domain）的概念范围** —— VDOM 是 FortiGate 上的虚拟化，默认只开 root VDOM。启用多 VDOM 后每个 VDOM 有独立的路由表、Policy、Interface 归属，但 **License 和硬件资源是共享的**。常见错题：以为启用 VDOM 就需要额外 license（错，默认支持 10 个 VDOM），或者以为 VDOM 之间流量默认互通（错，必须通过 Inter-VDOM Link 并配 Policy）。
- **SD-WAN 规则匹配顺序** —— FortiGate SD-WAN 的流量导向靠 **SD-WAN Rules**（也叫 Service Rules），匹配顺序是 **从上到下 First Match**，和 Firewall Policy 一样。没命中任何 Rule 的流量走 **Implicit Rule**（默认基于 SD-WAN Zone 的 Source IP 负载均衡）。新手经常写了规则但流量不走预期路径，原因是上面有更宽泛的规则抢先匹配。考试会给 Rule 列表让你判断某流量走哪个 Member。
- **IPsec Phase 1 vs Phase 2 协商参数不匹配** —— 最经典送命题。Phase 1 协商 IKE SA（加密 IKE 本身的通道），Phase 2 协商 IPsec SA（加密实际数据）。两端必须 **Encryption / Hash / DH Group / Lifetime 完全一致**。考试给你两端的配置截图让你找出不匹配的一行 —— 如果没在 VM 上实际制造过 proposal mismatch 看 `diagnose debug application ike -1` 的 `no SA proposal chosen` 报错，纯看概念很难答对。另一个高频坑：**Phase 2 的 Quick Mode Selectors（本地/远端子网）必须两端镜像对称**，写反就建不起来。
- **Flow-based 和 Proxy-based Inspection 的区别** —— Antivirus 和 Web Filter 可以选 Flow-based（基于 IPS Engine 逐包扫描，性能高，功能略少）或 Proxy-based（把整个文件缓存到内存扫完再放行，延迟高但支持更多检测如 Deep Scan）。默认是 Flow-based。考试会问"哪种模式支持 XX 功能"或"哪种模式延迟更低"。
- **SSL Inspection 的 Certificate Inspection vs Deep Inspection** —— Certificate Inspection 只看 SNI/证书信息（不解密内容），用于 Web Filter 基础分类，不需要装 CA 证书到客户端；Deep Inspection 做中间人解密（MITM），能扫到加密流量里的病毒和 URL，但需要把 FortiGate 的 CA 证书推到每台客户端。考题问"哪种模式可以扫加密流量里的 virus" → Deep Inspection。
报名之前，你可能想问
NSE 4 FortiGate 7.2 考试难度如何？
NSE 4 考试包含约 60 道题，时间 105 分钟，通过分约 70%。考试涵盖 FortiGate 防火墙策略配置、NAT、用户认证、SSL VPN、IPsec VPN、FSSO（Fortinet Single Sign-On）等核心内容。考试偏实操，很多题目基于配置场景和故障排除，建议有至少 3 个月的 FortiGate 使用经验。
NSE 4 考试费用和认证有效期是多少？
NSE 4 FortiGate 7.2 考试费用为 $400 USD，通过 Pearson VUE 预约。认证有效期为 2 年。Fortinet 的认证体系从 NSE 1-3（免费在线）→ NSE 4（Associate）→ NSE 5-6 → NSE 7（Professional）→ NSE 8（Expert），NSE 4 是第一个需要付费考试的级别。
NSE 4 考试重点考哪些技术领域？
考试重点包括：(1) 防火墙策略（Firewall Policy）配置与匹配逻辑；(2) NAT（SNAT/DNAT/VIP）配置；(3) 用户认证与 FSSO 集成；(4) SSL VPN（Web 模式和隧道模式）；(5) IPsec VPN（站点到站点）配置；(6) Security Profile（AntiVirus、Web Filter、IPS、Application Control）应用。其中防火墙策略和 VPN 占比最高。
NSE 4 考试需要先完成 NSE 1-3 吗？
不需要。虽然 Fortinet 建议按 NSE 1 → 2 → 3 → 4 的顺序学习，但 NSE 4 考试没有前置认证要求，可以直接报考。不过 NSE 1-3 是免费在线课程，完成它们可以帮助你了解 Fortinet 产品体系和基础安全概念，建议在备考 NSE 4 前顺便完成。
FortiGate 7.2 和 7.4 版本考试有什么区别？
Fortinet 的认证考试与 FortiOS 版本绑定。7.2 和 7.4 在考试范围上有部分重叠，但 7.4 会新增一些功能点（如增强的 SD-WAN 功能）。如果你目前工作环境使用 7.2 版本，可以先考 7.2；如果在准备阶段，建议关注 Fortinet 官网确认最新可用版本。两个版本的认证在有效期内同等有效。
NSE 4 认证对职业发展有什么帮助？
Fortinet 是全球防火墙市场份额最大的厂商之一，尤其在中小企业和 MSSP 市场占据主导地位。NSE 4 是 Fortinet 认证体系的核心级别，是大多数 Fortinet 合作伙伴要求工程师持有的最低认证。持有 NSE 4 可以显著提升在网络安全岗位的竞争力，特别是在使用 Fortinet 设备的企业中。
听听学过的人怎么说
评价加载中…
我在一家做 state government 外包的 MSP 工作，客户环境 90% 是 FortiGate 60F / 100F / 200F，老板直接说拿不到 NSE 4 就没有资格独立接单。有 2 年 Cisco ASA 底子，前两周基本在适应 CLI 风格差异 —— Fortinet 的 config / edit / set / next / end 层级一开始反人类，熟了之后比 ASA 的 access-list 清晰得多。真正让我上手的是 FortiGate VM，把 diagnose debug flow filter addr x.x.x.x + diagnose debug enable 这一组命令用会之后，所有 Policy 匹配题瞬间变送分题。考试 86% 过，VPN 部分拿满分，靠的就是实验环境里反复配 Site-to-Site。
L. Zhao
MSP Network Engineer, Melbourne · 86% · 5 周
之前 3 年华为 USG 运维，跳槽到一家电信做 Fortinet，公司给 4 周时间过 NSE 4。华为和 Fortinet 的 CLI 思路几乎一样，概念迁移几乎零成本。卡住的是 FSSO 的三种模式：Collector Agent / DC Agent / Polling，我一直分不清 DC Agent 是装在哪里、用什么协议。后来搭了 Windows Server 2019 AD 配合 FortiGate VM 挨个试了一遍才理顺。另一个坑是 Central NAT vs Policy NAT —— 很多题让你判断某条 Policy 应该用哪种模式，默认禁用 Central NAT 的情况下题目问切换后 Policy 还会不会生效，要很清楚两者互斥关系。
K. Singh
从华为 USG 转 FortiGate · 78% · 4 周
零 Fortinet 经验，只有 CCNA 底子。10 周备考，前 6 周走 NSE Training Institute 官方课程，后 4 周泡在 FortiGate VM。最难啃的部分是 IPsec Phase 1 的 IKE 协商过程，考试里有 3 道题给你一段 diagnose debug application ike -1 的输出让你判断失败在哪一步。没真正跑过 ike negotiation 的 debug 日志根本猜不出。74% 险过，建议零基础至少留 10 周，不要信"3 周速成"的说法。
网络安全工程师 2 年
中型企业内部 IT → 安全岗转型 · 74% · 10 周
从第一章，开始你的备考。
前 2 章免费试学 · 完整备考 $29 起