NSE 4 FortiGate 7.2 考试难度如何？

NSE 4 考试包含约 60 道题，时间 105 分钟，通过分约 70%。考试涵盖 FortiGate 防火墙策略配置、NAT、用户认证、SSL VPN、IPsec VPN、FSSO（Fortinet Single Sign-On）等核心内容。考试偏实操，很多题目基于配置场景和故障排除，建议有至少 3 个月的 FortiGate 使用经验。

NSE 4 考试费用和认证有效期是多少？

NSE 4 FortiGate 7.2 考试费用为 $400 USD，通过 Pearson VUE 预约。认证有效期为 2 年。Fortinet 的认证体系从 NSE 1-3（免费在线）→ NSE 4（Associate）→ NSE 5-6 → NSE 7（Professional）→ NSE 8（Expert），NSE 4 是第一个需要付费考试的级别。

NSE 4 考试重点考哪些技术领域？

考试重点包括：(1) 防火墙策略（Firewall Policy）配置与匹配逻辑；(2) NAT（SNAT/DNAT/VIP）配置；(3) 用户认证与 FSSO 集成；(4) SSL VPN（Web 模式和隧道模式）；(5) IPsec VPN（站点到站点）配置；(6) Security Profile（AntiVirus、Web Filter、IPS、Application Control）应用。其中防火墙策略和 VPN 占比最高。

NSE 4 考试需要先完成 NSE 1-3 吗？

不需要。虽然 Fortinet 建议按 NSE 1 → 2 → 3 → 4 的顺序学习，但 NSE 4 考试没有前置认证要求，可以直接报考。不过 NSE 1-3 是免费在线课程，完成它们可以帮助你了解 Fortinet 产品体系和基础安全概念，建议在备考 NSE 4 前顺便完成。

FortiGate 7.2 和 7.4 版本考试有什么区别？

Fortinet 的认证考试与 FortiOS 版本绑定。7.2 和 7.4 在考试范围上有部分重叠，但 7.4 会新增一些功能点（如增强的 SD-WAN 功能）。如果你目前工作环境使用 7.2 版本，可以先考 7.2；如果在准备阶段，建议关注 Fortinet 官网确认最新可用版本。两个版本的认证在有效期内同等有效。

NSE 4 认证对职业发展有什么帮助？

Fortinet 是全球防火墙市场份额最大的厂商之一，尤其在中小企业和 MSSP 市场占据主导地位。NSE 4 是 Fortinet 认证体系的核心级别，是大多数 Fortinet 合作伙伴要求工程师持有的最低认证。持有 NSE 4 可以显著提升在网络安全岗位的竞争力，特别是在使用 Fortinet 设备的企业中。

其他助理级🔒 安全

Fortinet NSE 4 FortiGate Security 7.2

NSE 4 FortiGate 7.2 是 Fortinet 认证体系里第一个付费级别（NSE 1-3 免费），Associate 级，考 FortiGate 防火墙策略 / NAT / 用户认证 / SSL & IPsec VPN / FSSO / Security Profiles / SD-WAN。60 题 120 分钟 70% 通过 $400 2 年有效期。本课程 102 题对齐 7.2 版本 CLI/GUI。

开始刷题查看学习路径

单次题量

102

题库总量

120m

考试时长

60/1000

及格分

$400

考试费

✓

一句话定论 · 值得考

目标是进 MSP / 电信 / 政府 / 中型企业做防火墙运维，Fortinet NSE 4 是最实用的一张厂商证；如果你的环境是纯 Palo Alto 或纯云防火墙，这张帮助有限。

这张认证到底考什么

先把考试形式、适合人群、备考时长和学习范围讲清楚，再决定要不要投入时间。

Fortinet NSE 4 FortiGate Security 是 Fortinet 认证体系里第一个需要付费的级别，验证你能独立完成 FortiGate 防火墙的日常策略、NAT、VPN、用户认证和 Security Profile 配置。考试代码 NSE4_FGT-7.2，60 题 / 105 分钟，通过分约 70%，考试费 $400 USD（Pearson VUE），证书有效期 2 年，续证靠重考或考 NSE 5/6/7 升级。

为什么 Fortinet 单独值得学一套而不是只考 PCNSA：根据 IDC Worldwide Security Appliance Tracker，Fortinet 的防火墙出货量（按 unit shipment）在 2023 年起已经连续超过 Palo Alto、Cisco、CheckPoint 成为全球第一，市场份额约 35-40%。金额上 PA 仍然领先（PA 单价高），但 Fortinet 赢在中端市场的广度 —— 澳洲和东南亚的 MSP、电信运营商（Telstra、Optus、Singtel）、州政府部门、医院、学校、连锁零售几乎全是 FortiGate 环境。Fortinet 自己公布的持证人数超过 70 万，远高于 Palo Alto PCNSA 的规模，这意味着 JD 池子更大。

NSE 4 和 PCNSA 最大的区别在设计哲学：Palo Alto 的核心卖点是 App-ID + Single-Pass 架构，策略必须理解 L7 应用识别；Fortinet 的卖点是 Security Fabric（安全架构联动）+ 基于 ASIC 的硬件加速（NP/SP/CP 芯片）。NSE 4 考卷更偏"实操配置路径"而不是"设计理念" —— 很多题直接问 CLI 命令的执行顺序、GUI 里哪个页面配什么、Policy 匹配时查表的顺序。这对有 Cisco ASA / 华为 USG 背景的工程师非常友好，概念迁移成本低。

考卷四大核心领域：(1) Firewall Policy + NAT（SNAT / DNAT / VIP / Central NAT vs Policy NAT）；(2) VPN（IPsec Phase 1/2 协商、SSL VPN 的 Web Mode 和 Tunnel Mode）；(3) User Authentication + FSSO（Fortinet Single Sign-On 对接 AD）；(4) Security Profile（Antivirus / Web Filter / IPS / Application Control / SSL Inspection）。Policy 和 VPN 加起来约占 50% 权重，是背题重点。

没有真机怎么练：Fortinet 官方提供 FortiGate VM 的免费 15 天试用 license（从 support.fortinet.com 注册获取），可以在 VMware Workstation / ESXi / KVM 上跑。NSE 4 的所有 lab 场景在 VM 上都能复现。另外 Fortinet 有一个容易被忽略的免费资源 —— NSE Training Institute（training.fortinet.com），注册后可以免费看 NSE 1-3 的完整课程，NSE 4 的部分视频也开放。这比 Palo Alto 的 EDU-210 更友好一些。

你会反复碰到的核心服务

FortiGate 7.2FortiOSFirewall PolicySNAT / DNATVirtual IPIP PoolHA (Active-Passive / A-A)VDOMSSL VPNIPsec Site-to-SiteADVPNFSSOLDAP / RADIUS / SAMLFortiTokenSecurity Profiles (AV / IPS / Web Filter / App Control)SSL Deep InspectionSD-WANFortiAnalyzerPacket Capture / Debug Flow

学完以后你能带走什么

通过 Fortinet NSE 4 FGT 7.2 认证考试，进入 Fortinet Partner 认证体系
独立部署 FortiGate HA 双机环境与 VDOM 多租户隔离
编写 Firewall Policy + NAT 规则，区分 SNAT 和 DNAT 的应用场景
搭建 SSL VPN（Web / Tunnel 模式）+ IPsec Site-to-Site 跨站点互联

考试详情

考试代码

NSE4_FGT-7.2

发证机构

其他认证机构

时长

120 分钟

题目数

60 题

及格分

60/1000

有效期

2 年

考试费用

$400 USD

题型

单选题、多选题

考试语言

English

官方页面

打开官方页面

适合谁考

适合人群

防火墙运维工程师 — FortiGate / Palo Alto / Check Point / Cisco ASA 背景任一
Network Security Engineer — 企业内网防护线运维
Fortinet Partner 售前 / 实施工程师 — 合作伙伴等级要求 NSE 4+
MSP / MSSP 客户防火墙运维团队
有 CCNA Security 或 CompTIA Security+ 基础想转 Fortinet 的工程师

开始前最好先有

6-12 个月任意品牌防火墙运维经验（理解 Zone / Policy / NAT 概念）
熟悉 TCP/IP、子网掩码、基础路由（静态 / OSPF 任一）
理解 VPN 基本概念（IPsec Phase 1/2，SSL VPN 模式）
了解 Active Directory / LDAP 结构（FSSO 需要）
推荐先完成 NSE 1-3 免费课程（Fortinet Training Institute 可免费注册）
有 FortiGate VM 实验环境（Fortinet Product Demo Center 或本地 60 天评估版）

值不值得考？职业价值

Fortinet NSE 4 FGT 7.2 持证人的薪资区间、对应岗位、以及真实的职业影响。

澳洲

$85K-130KAUD

美国

$80K-125KUSD

新加坡

$60K-95KSGD

中国

¥150K-320KCNY

Network Security EngineerFirewall EngineerMSP Network EngineerSecurity Operations EngineerManaged Services Engineer防火墙工程师网络安全运维工程师售前/售后技术工程师（Fortinet 合作伙伴）Telco Security Engineer

NSE 4 的求职定位：MSP / 中型企业 / 电信 / 政府的通行证

和 Palo Alto PCNSA 偏向大型企业边界防火墙不同，Fortinet NSE 4 的价值集中在**"广而不尖"的中端市场**。Fortinet 以性价比在 SMB 和中型企业市场占据绝对优势，加上 Fortinet Partner Program 的返利机制，几乎所有系统集成商、MSP、Telco 的技术服务岗都要求工程师至少持有 NSE 4。

澳洲市场的真实情况：Seek 上搜 "Fortinet" + "Sydney/Melbourne"，长期在招 400-500 个岗位，数量明显多于 Palo Alto（约 300）。持 NSE 4 的 Junior / Mid Network Security Engineer 起薪约 AUD $85-105K，MSP 环境下 Mid-level 到 $105-130K。大型 Telco 和政府项目（Telstra、Optus、NBN Co、Services Australia 的子承包商）会更高一档，NSE 7 可以冲到 $140-160K。要注意的是：在同等经验下，PCNSA 持证者的薪资通常比 NSE 4 高 5-10%，这是 PA 市场单价高的红利；但 NSE 4 的岗位数量是 PCNSA 的 1.3-1.5 倍，找工作的选择面更广。

适合考 NSE 4 的三类人：

在 MSP / 系统集成商 / Fortinet 合作伙伴做一线运维：公司合同里规定工程师必须持 NSE 4 才能上门维保，这种情况下考证直接关联你的 billable hours 和晋升。MSP 市场 Fortinet 的占比远高于 PA。
从 Cisco ASA / 华为 USG / 深信服迁移到 Fortinet 的网工：Fortinet 的 CLI 风格（"config system interface" / "edit "port1"" 这种层级式命令）和华为最像，和 Cisco ASA 也有大量共通概念。3-5 周能拿证。
中型企业（员工 500-5000）的内部 IT / 安全运维：这个规模的公司大概率用 FortiGate 而不是 PA，NSE 4 是你往安全方向转岗的最直接证书。

不建议考 NSE 4 的人：

纯云架构师（AWS / Azure / GCP）：FortiGate on Cloud 存在但是非主流，云原生防火墙（AWS Network Firewall / Azure Firewall / GCP Cloud Armor）和 FortiGate 的配置范式完全不同。考 AWS SCS-C02 或 AZ-500 更直接。
目标是 Palo Alto shop 的大型企业：四大银行、澳洲联邦政府核心部门、美国 Fortune 100 多数是 PA 环境，简历上 PCNSA 比 NSE 4 更对口。
Kubernetes / Container 安全方向：CKS 或 Prisma Cloud 更合适。
只想刷证书不碰设备的人：NSE 4 有大量基于 CLI 输出和配置截图的场景题，没上手过 FortiGate VM 的纯理论考生通过率明显偏低。

备考节奏

有 AWS 实操经验

3-5 周

零基础切入

8-12 周

建议日投入

1.5-2 小时/天

学习路径预览

5 章

Fortinet NSE 4 FGT 7.2 考试概述与备考指南

45 min

Firewall Policies

70 min

Security Profiles

70 min

Authentication

70 min

考前冲刺与实战演练

60 min

分阶段备考路径

过来人总结的分阶段备考节奏，按周拆分，不是空话。

第一阶段：NSE Training Institute 免费官方课程（2-3 周）

到 **training.fortinet.com** 注册免费账号，先把 NSE 1、NSE 2、NSE 3 三门过一遍（各 1-2 小时，相当于 Fortinet 产品体系扫盲），然后主攻 **NSE 4 FortiGate Security 7.2 Self-Paced Course**（官方正式备考课程，之前收费现在部分模块开放免费）。重点章节：Firewall Policies、Network Address Translation、Authentication、SSL VPN、IPsec VPN、Antivirus、Web Filtering、Intrusion Prevention。不要跳 Lab Guide 附带的命令示例 —— 考试里直接考 CLI 片段。

第二阶段：FortiGate VM 免费试用实验（2-3 周）

到 **support.fortinet.com** 注册（可用企业邮箱），申请 FortiGate VM 的 15 天 free trial license（过期可重新申请），下载 KVM / VMware / Hyper-V 镜像。搭一个三口拓扑：port1 = WAN / port2 = Internal / port3 = DMZ。**必做 lab 清单**：(1) 配 Interface 的 IP 和 role；(2) 写第一条 Firewall Policy 让 Internal → WAN 放行 HTTP/HTTPS，看 Policy Lookup（CLI `diagnose firewall proute list`）；(3) 配 Central SNAT + IP Pool，对比 Policy-based NAT 的差异；(4) 配 VIP 把内网 web 发布出去，注意 Security Policy 的目的 IP 应该写 VIP 的 external address 而不是 mapped address —— 这是高频考点；(5) 配 Site-to-Site IPsec VPN（Phase 1 IKEv2 + Phase 2 AES256-SHA256），故意制造 Phase 1 proposal mismatch 看 `diagnose debug application ike -1` 的输出；(6) 配 SSL VPN Tunnel Mode，分配 IP Pool 给 FortiClient。**把 CLI `diagnose sys session list` 和 `diagnose debug flow` 用到熟为止**，考试里大量题目以这些命令的输出作为题干。

第三阶段：刷题 + 官方 Study Guide（1-2 周）

Fortinet 官方不出模考题库（和 AWS / 微软不同），市面上可靠的题源：**Boson ExSim for NSE4**（约 $99 USD，最接近真实考试难度）、**NSE4 Study Guide PDF**（Fortinet 官网免费，从第一页刷到最后一页对照知识点）。**千万不要用 ExamTopics 的 dump** —— Fortinet 考卷每个季度换题，旧 dump 答案有相当比例是错的，更严重的是 Fortinet 会对使用 dump 的考生进行取消成绩处理。每做完一套 Boson 模考，错题回查 Study Guide 对应章节并在 FortiGate VM 上复现一遍。

第四阶段：冲刺 + 预约考试（最后 1 周）

最后一周集中背三张表：(1) **IPsec Phase 1 和 Phase 2 默认参数**（Phase 1：IKEv2 / AES256 / SHA256 / DH14 / 86400s；Phase 2：AES256 / SHA256 / PFS on / 43200s），考试直接问默认值或让你定位不匹配的参数；(2) **Security Profile 的作用层级**（Antivirus 在 Proxy/Flow 模式下的区别，Web Filter 的 FortiGuard 分类 vs URL Filter 顺序）；(3) **FSSO 的三种部署模式**（Polling Mode / Agent Mode / NTLM）。考前 2 天停止学新东西，只刷 Boson 错题本。Fortinet 考试可以选线下 Pearson VUE 或在家 OnVUE，首考建议线下 —— NSE4 的考试界面比 PCNSA 朴素，图文较多，在家考万一网断很麻烦。

通过者的真实经验

过来人的备考时长、分数、以及踩过的坑。

我在一家做 state government 外包的 MSP 工作，客户环境 90% 是 FortiGate 60F / 100F / 200F，老板直接说拿不到 NSE 4 就没有资格独立接单。有 2 年 Cisco ASA 底子，前两周基本在适应 CLI 风格差异 —— Fortinet 的 `config / edit / set / next / end` 层级一开始反人类，熟了之后比 ASA 的 access-list 清晰得多。真正让我上手的是 FortiGate VM，**把 `diagnose debug flow filter addr x.x.x.x` + `diagnose debug enable` 这一组命令用会之后，所有 Policy 匹配题瞬间变送分题**。考试 86% 过，VPN 部分拿满分，靠的就是实验环境里反复配 Site-to-Site。

L. Zhao86%

MSP Network Engineer, Melbourne · 备考 5 周

之前 3 年华为 USG 运维，跳槽到一家电信做 Fortinet，公司给 4 周时间过 NSE 4。华为和 Fortinet 的 CLI 思路几乎一样，概念迁移几乎零成本。卡住的是 **FSSO 的三种模式**：Collector Agent / DC Agent / Polling，我一直分不清 DC Agent 是装在哪里、用什么协议。后来搭了 Windows Server 2019 AD 配合 FortiGate VM 挨个试了一遍才理顺。另一个坑是 **Central NAT vs Policy NAT** —— 很多题让你判断某条 Policy 应该用哪种模式，默认禁用 Central NAT 的情况下题目问切换后 Policy 还会不会生效，要很清楚两者互斥关系。

K. Singh78%

从华为 USG 转 FortiGate · 备考 4 周

零 Fortinet 经验，只有 CCNA 底子。10 周备考，前 6 周走 NSE Training Institute 官方课程，后 4 周泡在 FortiGate VM。最难啃的部分是 **IPsec Phase 1 的 IKE 协商过程**，考试里有 3 道题给你一段 `diagnose debug application ike -1` 的输出让你判断失败在哪一步。没真正跑过 `ike negotiation` 的 debug 日志根本猜不出。74% 险过，**建议零基础至少留 10 周，不要信"3 周速成"的说法**。

网络安全工程师 2 年74%

中型企业内部 IT → 安全岗转型 · 备考 10 周

同赛道认证对比

	Fortinet NSE 4 FGT 7.2	Palo Alto PCNSA	Cisco CCNA
机构	其他	其他	Cisco
级别	助理级	助理级	助理级
考试费	$400	$250	$330
时长	120 min	120 min	120 min
单次考试题量	60	80	100
有效期	2 年	2 年	3 年

备考技巧与常见失误

💡

**60 题 / 105 分钟 = 平均 105 秒/题**，比 CCNA 宽松很多，时间充裕，慢慢读题不要急。

💡

**多选题明确标注 "Choose two" 或 "Choose three"** —— 少选或多选都 0 分，注意看括号里的数字。

💡

**大量题目以 CLI 输出或 GUI 截图作为题干**，先快速看输出的关键行（比如 `diagnose sys session list` 里的 policy id、`diagnose debug flow` 里的 forwarded / denied），再回来读问题，不要被冗长的命令输出吓到。

💡

**遇到 IPsec 协商失败题直接对比两端 Phase 1 / Phase 2 参数表格**，逐行对照（Encryption / Hash / DH Group / Lifetime），不匹配的那行就是答案。

💡

**Best Practice 类题选最安全 + 最符合 Fortinet 官方推荐的选项** —— 比如 SSL VPN 推荐 Tunnel Mode 而不是 Web Mode，Security Profile 推荐 Proxy-based 扫深度恶意文件，SD-WAN 推荐用 Performance SLA 做健康检查。

💡

**考前 30 分钟过一遍 IPsec 默认参数**（IKEv2/AES256/SHA256/DH14）和 **FSSO 三种模式**（Polling/DC Agent/Collector Agent）—— 这两块几乎必出 3-5 道题，死记硬背送分。

💡

**OnVUE 在家考的监考比 Palo Alto 严**，要求清空桌面只留 1 张白纸（不能写字），摄像头 360° 环境检查，建议首考直接去 Pearson VUE 线下中心。

⚠️

**混淆 Security Profile 和 Firewall Policy 的关系** —— Firewall Policy 是"允许/拒绝"这条流量，Security Profile（AV/Web Filter/IPS/AppControl）是"允许之后进一步检查内容"。没有 Policy Allow 做前提，Profile 永远不生效。新手经常配了 AV Profile 发现不拦病毒，其实是 Policy 本身就 Deny 了。考题常出"为什么 AV 没命中"类场景，答案往往是 Policy 没 Allow 或 SSL Inspection 没开。

⚠️

**FortiGuard Dynamic Update 的频率和依赖关系搞不清** —— IPS Engine 和 Antivirus 签名默认每小时/每天更新，Web Filter 和 Application Control 靠 **实时查询 FortiGuard Cloud**（默认走 UDP 53/8888）而不是本地签名库。如果 FortiGate 连不上 FortiGuard，Web Filter 会 **fail open 或 fail close** 取决于配置。考试直接问"哪些功能需要实时云端查询" → Web Filter + App Control。

⚠️

**VDOM（Virtual Domain）的概念范围** —— VDOM 是 FortiGate 上的虚拟化，默认只开 root VDOM。启用多 VDOM 后每个 VDOM 有独立的路由表、Policy、Interface 归属，但 **License 和硬件资源是共享的**。常见错题：以为启用 VDOM 就需要额外 license（错，默认支持 10 个 VDOM），或者以为 VDOM 之间流量默认互通（错，必须通过 Inter-VDOM Link 并配 Policy）。

⚠️

**SD-WAN 规则匹配顺序** —— FortiGate SD-WAN 的流量导向靠 **SD-WAN Rules**（也叫 Service Rules），匹配顺序是 **从上到下 First Match**，和 Firewall Policy 一样。没命中任何 Rule 的流量走 **Implicit Rule**（默认基于 SD-WAN Zone 的 Source IP 负载均衡）。新手经常写了规则但流量不走预期路径，原因是上面有更宽泛的规则抢先匹配。考试会给 Rule 列表让你判断某流量走哪个 Member。

⚠️

**IPsec Phase 1 vs Phase 2 协商参数不匹配** —— 最经典送命题。Phase 1 协商 IKE SA（加密 IKE 本身的通道），Phase 2 协商 IPsec SA（加密实际数据）。两端必须 **Encryption / Hash / DH Group / Lifetime 完全一致**。考试给你两端的配置截图让你找出不匹配的一行 —— 如果没在 VM 上实际制造过 proposal mismatch 看 `diagnose debug application ike -1` 的 `no SA proposal chosen` 报错，纯看概念很难答对。另一个高频坑：**Phase 2 的 Quick Mode Selectors（本地/远端子网）必须两端镜像对称**，写反就建不起来。

⚠️

**Flow-based 和 Proxy-based Inspection 的区别** —— Antivirus 和 Web Filter 可以选 Flow-based（基于 IPS Engine 逐包扫描，性能高，功能略少）或 Proxy-based（把整个文件缓存到内存扫完再放行，延迟高但支持更多检测如 Deep Scan）。默认是 Flow-based。考试会问"哪种模式支持 XX 功能"或"哪种模式延迟更低"。

⚠️

**SSL Inspection 的 Certificate Inspection vs Deep Inspection** —— Certificate Inspection 只看 SNI/证书信息（不解密内容），用于 Web Filter 基础分类，不需要装 CA 证书到客户端；Deep Inspection 做中间人解密（MITM），能扫到加密流量里的病毒和 URL，但需要把 FortiGate 的 CA 证书推到每台客户端。考题问"哪种模式可以扫加密流量里的 virus" → Deep Inspection。

常见问题

如果你准备考 Fortinet NSE 4 FGT 7.2，先从真题型练习开始。

102 道练习题、章节学习路径、模考、错题复盘和 AI 导师都在备考页里。

进入备考页

$29 起 · 前 2 章可免费试学

学员评价

评价加载中…

Fortinet NSE 4 FortiGate Security 7.2

这张认证到底考什么

你会反复碰到的核心服务

学完以后你能带走什么

考试详情

适合谁考

适合人群

开始前最好先有

值不值得考？职业价值

备考节奏

有 AWS 实操经验

零基础切入

建议日投入

学习路径预览

分阶段备考路径

第一阶段：NSE Training Institute 免费官方课程（2-3 周）

第二阶段：FortiGate VM 免费试用实验（2-3 周）

第三阶段：刷题 + 官方 Study Guide（1-2 周）

第四阶段：冲刺 + 预约考试（最后 1 周）

通过者的真实经验

同赛道认证对比

备考技巧与常见失误

常见问题

如果你准备考 Fortinet NSE 4 FGT 7.2，先从真题型练习开始。

学员评价

你可能顺手也会看这些

Palo Alto PCNSA

Cisco CCNA

CompTIA Network+