其他助理级🔒 安全

Fortinet NSE 4 FortiGate Security 7.2

NSE 4 FortiGate 7.2 是 Fortinet 认证体系里第一个付费级别（NSE 1-3 免费），Associate 级，考 FortiGate 防火墙策略 / NAT / 用户认证 / SSL & IPsec VPN / FSSO / Security Profiles / SD-WAN。60 题 120 分钟 70% 通过 $400 2 年有效期。本课程 102 题对齐 7.2 版本 CLI/GUI。

Start Practice Browse Learning Path

Questions per exam

102

Question bank total

120m

Exam Duration

60/1000

Passing Score

$400

Exam Fee

✓

Bottom line · Worth it

目标是进 MSP / 电信 / 政府 / 中型企业做防火墙运维，Fortinet NSE 4 是最实用的一张厂商证；如果你的环境是纯 Palo Alto 或纯云防火墙，这张帮助有限。

What this certification covers

This page is structured for quick scanning first: exam format, fit, prep time, and the actual study scope.

Fortinet NSE 4 FortiGate Security 是 Fortinet 认证体系里第一个需要付费的级别，验证你能独立完成 FortiGate 防火墙的日常策略、NAT、VPN、用户认证和 Security Profile 配置。考试代码 NSE4_FGT-7.2，60 题 / 105 分钟，通过分约 70%，考试费 $400 USD（Pearson VUE），证书有效期 2 年，续证靠重考或考 NSE 5/6/7 升级。

为什么 Fortinet 单独值得学一套而不是只考 PCNSA：根据 IDC Worldwide Security Appliance Tracker，Fortinet 的防火墙出货量（按 unit shipment）在 2023 年起已经连续超过 Palo Alto、Cisco、CheckPoint 成为全球第一，市场份额约 35-40%。金额上 PA 仍然领先（PA 单价高），但 Fortinet 赢在中端市场的广度 —— 澳洲和东南亚的 MSP、电信运营商（Telstra、Optus、Singtel）、州政府部门、医院、学校、连锁零售几乎全是 FortiGate 环境。Fortinet 自己公布的持证人数超过 70 万，远高于 Palo Alto PCNSA 的规模，这意味着 JD 池子更大。

NSE 4 和 PCNSA 最大的区别在设计哲学：Palo Alto 的核心卖点是 App-ID + Single-Pass 架构，策略必须理解 L7 应用识别；Fortinet 的卖点是 Security Fabric（安全架构联动）+ 基于 ASIC 的硬件加速（NP/SP/CP 芯片）。NSE 4 考卷更偏"实操配置路径"而不是"设计理念" —— 很多题直接问 CLI 命令的执行顺序、GUI 里哪个页面配什么、Policy 匹配时查表的顺序。这对有 Cisco ASA / 华为 USG 背景的工程师非常友好，概念迁移成本低。

考卷四大核心领域：(1) Firewall Policy + NAT（SNAT / DNAT / VIP / Central NAT vs Policy NAT）；(2) VPN（IPsec Phase 1/2 协商、SSL VPN 的 Web Mode 和 Tunnel Mode）；(3) User Authentication + FSSO（Fortinet Single Sign-On 对接 AD）；(4) Security Profile（Antivirus / Web Filter / IPS / Application Control / SSL Inspection）。Policy 和 VPN 加起来约占 50% 权重，是背题重点。

没有真机怎么练：Fortinet 官方提供 FortiGate VM 的免费 15 天试用 license（从 support.fortinet.com 注册获取），可以在 VMware Workstation / ESXi / KVM 上跑。NSE 4 的所有 lab 场景在 VM 上都能复现。另外 Fortinet 有一个容易被忽略的免费资源 —— NSE Training Institute（training.fortinet.com），注册后可以免费看 NSE 1-3 的完整课程，NSE 4 的部分视频也开放。这比 Palo Alto 的 EDU-210 更友好一些。

You will work with

FortiGate 7.2FortiOSFirewall PolicySNAT / DNATVirtual IPIP PoolHA (Active-Passive / A-A)VDOMSSL VPNIPsec Site-to-SiteADVPNFSSOLDAP / RADIUS / SAMLFortiTokenSecurity Profiles (AV / IPS / Web Filter / App Control)SSL Deep InspectionSD-WANFortiAnalyzerPacket Capture / Debug Flow

After preparation

通过 Fortinet NSE 4 FGT 7.2 认证考试，进入 Fortinet Partner 认证体系
独立部署 FortiGate HA 双机环境与 VDOM 多租户隔离
编写 Firewall Policy + NAT 规则，区分 SNAT 和 DNAT 的应用场景
搭建 SSL VPN（Web / Tunnel 模式）+ IPsec Site-to-Site 跨站点互联

Exam details

Exam Code

NSE4_FGT-7.2

Provider

其他认证机构

Duration

120 minutes

Question Count

60 questions

Passing Score

60/1000

Validity

2 years

Exam Fee

$400 USD

Question Types

Single choice, Multiple select

Languages

English

Official Page

Open AWS page

Who should take it

Good fit

防火墙运维工程师 — FortiGate / Palo Alto / Check Point / Cisco ASA 背景任一
Network Security Engineer — 企业内网防护线运维
Fortinet Partner 售前 / 实施工程师 — 合作伙伴等级要求 NSE 4+
MSP / MSSP 客户防火墙运维团队
有 CCNA Security 或 CompTIA Security+ 基础想转 Fortinet 的工程师

Before you start

6-12 个月任意品牌防火墙运维经验（理解 Zone / Policy / NAT 概念）
熟悉 TCP/IP、子网掩码、基础路由（静态 / OSPF 任一）
理解 VPN 基本概念（IPsec Phase 1/2，SSL VPN 模式）
了解 Active Directory / LDAP 结构（FSSO 需要）
推荐先完成 NSE 1-3 免费课程（Fortinet Training Institute 可免费注册）
有 FortiGate VM 实验环境（Fortinet Product Demo Center 或本地 60 天评估版）

Is it worth it? Career value

Salary ranges, target job titles, and the real career impact of holding Fortinet NSE 4 FGT 7.2.

澳洲

$85K-130KAUD

美国

$80K-125KUSD

新加坡

$60K-95KSGD

中国

¥150K-320KCNY

Network Security EngineerFirewall EngineerMSP Network EngineerSecurity Operations EngineerManaged Services Engineer防火墙工程师网络安全运维工程师售前/售后技术工程师（Fortinet 合作伙伴）Telco Security Engineer

NSE 4 的求职定位：MSP / 中型企业 / 电信 / 政府的通行证

和 Palo Alto PCNSA 偏向大型企业边界防火墙不同，Fortinet NSE 4 的价值集中在**"广而不尖"的中端市场**。Fortinet 以性价比在 SMB 和中型企业市场占据绝对优势，加上 Fortinet Partner Program 的返利机制，几乎所有系统集成商、MSP、Telco 的技术服务岗都要求工程师至少持有 NSE 4。

澳洲市场的真实情况：Seek 上搜 "Fortinet" + "Sydney/Melbourne"，长期在招 400-500 个岗位，数量明显多于 Palo Alto（约 300）。持 NSE 4 的 Junior / Mid Network Security Engineer 起薪约 AUD $85-105K，MSP 环境下 Mid-level 到 $105-130K。大型 Telco 和政府项目（Telstra、Optus、NBN Co、Services Australia 的子承包商）会更高一档，NSE 7 可以冲到 $140-160K。要注意的是：在同等经验下，PCNSA 持证者的薪资通常比 NSE 4 高 5-10%，这是 PA 市场单价高的红利；但 NSE 4 的岗位数量是 PCNSA 的 1.3-1.5 倍，找工作的选择面更广。

适合考 NSE 4 的三类人：

在 MSP / 系统集成商 / Fortinet 合作伙伴做一线运维：公司合同里规定工程师必须持 NSE 4 才能上门维保，这种情况下考证直接关联你的 billable hours 和晋升。MSP 市场 Fortinet 的占比远高于 PA。
从 Cisco ASA / 华为 USG / 深信服迁移到 Fortinet 的网工：Fortinet 的 CLI 风格（"config system interface" / "edit "port1"" 这种层级式命令）和华为最像，和 Cisco ASA 也有大量共通概念。3-5 周能拿证。
中型企业（员工 500-5000）的内部 IT / 安全运维：这个规模的公司大概率用 FortiGate 而不是 PA，NSE 4 是你往安全方向转岗的最直接证书。

不建议考 NSE 4 的人：

纯云架构师（AWS / Azure / GCP）：FortiGate on Cloud 存在但是非主流，云原生防火墙（AWS Network Firewall / Azure Firewall / GCP Cloud Armor）和 FortiGate 的配置范式完全不同。考 AWS SCS-C02 或 AZ-500 更直接。
目标是 Palo Alto shop 的大型企业：四大银行、澳洲联邦政府核心部门、美国 Fortune 100 多数是 PA 环境，简历上 PCNSA 比 NSE 4 更对口。
Kubernetes / Container 安全方向：CKS 或 Prisma Cloud 更合适。
只想刷证书不碰设备的人：NSE 4 有大量基于 CLI 输出和配置截图的场景题，没上手过 FortiGate VM 的纯理论考生通过率明显偏低。

Study preparation

With hands-on AWS

3-5 weeks

From scratch

8-12 weeks

Daily pace

1.5-2 hours/day

Learning path preview

5 chapters

Fortinet NSE 4 FGT 7.2 考试概述与备考指南

45 min

Firewall Policies

70 min

Security Profiles

70 min

Authentication

70 min

考前冲刺与实战演练

60 min

Step-by-step preparation

A concrete week-by-week plan from past test-takers — not generic advice.

第一阶段：NSE Training Institute 免费官方课程（2-3 周）

到 **training.fortinet.com** 注册免费账号，先把 NSE 1、NSE 2、NSE 3 三门过一遍（各 1-2 小时，相当于 Fortinet 产品体系扫盲），然后主攻 **NSE 4 FortiGate Security 7.2 Self-Paced Course**（官方正式备考课程，之前收费现在部分模块开放免费）。重点章节：Firewall Policies、Network Address Translation、Authentication、SSL VPN、IPsec VPN、Antivirus、Web Filtering、Intrusion Prevention。不要跳 Lab Guide 附带的命令示例 —— 考试里直接考 CLI 片段。

第二阶段：FortiGate VM 免费试用实验（2-3 周）

到 **support.fortinet.com** 注册（可用企业邮箱），申请 FortiGate VM 的 15 天 free trial license（过期可重新申请），下载 KVM / VMware / Hyper-V 镜像。搭一个三口拓扑：port1 = WAN / port2 = Internal / port3 = DMZ。**必做 lab 清单**：(1) 配 Interface 的 IP 和 role；(2) 写第一条 Firewall Policy 让 Internal → WAN 放行 HTTP/HTTPS，看 Policy Lookup（CLI `diagnose firewall proute list`）；(3) 配 Central SNAT + IP Pool，对比 Policy-based NAT 的差异；(4) 配 VIP 把内网 web 发布出去，注意 Security Policy 的目的 IP 应该写 VIP 的 external address 而不是 mapped address —— 这是高频考点；(5) 配 Site-to-Site IPsec VPN（Phase 1 IKEv2 + Phase 2 AES256-SHA256），故意制造 Phase 1 proposal mismatch 看 `diagnose debug application ike -1` 的输出；(6) 配 SSL VPN Tunnel Mode，分配 IP Pool 给 FortiClient。**把 CLI `diagnose sys session list` 和 `diagnose debug flow` 用到熟为止**，考试里大量题目以这些命令的输出作为题干。

第三阶段：刷题 + 官方 Study Guide（1-2 周）

Fortinet 官方不出模考题库（和 AWS / 微软不同），市面上可靠的题源：**Boson ExSim for NSE4**（约 $99 USD，最接近真实考试难度）、**NSE4 Study Guide PDF**（Fortinet 官网免费，从第一页刷到最后一页对照知识点）。**千万不要用 ExamTopics 的 dump** —— Fortinet 考卷每个季度换题，旧 dump 答案有相当比例是错的，更严重的是 Fortinet 会对使用 dump 的考生进行取消成绩处理。每做完一套 Boson 模考，错题回查 Study Guide 对应章节并在 FortiGate VM 上复现一遍。

第四阶段：冲刺 + 预约考试（最后 1 周）

最后一周集中背三张表：(1) **IPsec Phase 1 和 Phase 2 默认参数**（Phase 1：IKEv2 / AES256 / SHA256 / DH14 / 86400s；Phase 2：AES256 / SHA256 / PFS on / 43200s），考试直接问默认值或让你定位不匹配的参数；(2) **Security Profile 的作用层级**（Antivirus 在 Proxy/Flow 模式下的区别，Web Filter 的 FortiGuard 分类 vs URL Filter 顺序）；(3) **FSSO 的三种部署模式**（Polling Mode / Agent Mode / NTLM）。考前 2 天停止学新东西，只刷 Boson 错题本。Fortinet 考试可以选线下 Pearson VUE 或在家 OnVUE，首考建议线下 —— NSE4 的考试界面比 PCNSA 朴素，图文较多，在家考万一网断很麻烦。

Real test-taker experiences

What it actually took for real candidates to pass — prep time, scores, and lessons learned.

我在一家做 state government 外包的 MSP 工作，客户环境 90% 是 FortiGate 60F / 100F / 200F，老板直接说拿不到 NSE 4 就没有资格独立接单。有 2 年 Cisco ASA 底子，前两周基本在适应 CLI 风格差异 —— Fortinet 的 `config / edit / set / next / end` 层级一开始反人类，熟了之后比 ASA 的 access-list 清晰得多。真正让我上手的是 FortiGate VM，**把 `diagnose debug flow filter addr x.x.x.x` + `diagnose debug enable` 这一组命令用会之后，所有 Policy 匹配题瞬间变送分题**。考试 86% 过，VPN 部分拿满分，靠的就是实验环境里反复配 Site-to-Site。

L. Zhao86%

MSP Network Engineer, Melbourne · 5 weeks prep

之前 3 年华为 USG 运维，跳槽到一家电信做 Fortinet，公司给 4 周时间过 NSE 4。华为和 Fortinet 的 CLI 思路几乎一样，概念迁移几乎零成本。卡住的是 **FSSO 的三种模式**：Collector Agent / DC Agent / Polling，我一直分不清 DC Agent 是装在哪里、用什么协议。后来搭了 Windows Server 2019 AD 配合 FortiGate VM 挨个试了一遍才理顺。另一个坑是 **Central NAT vs Policy NAT** —— 很多题让你判断某条 Policy 应该用哪种模式，默认禁用 Central NAT 的情况下题目问切换后 Policy 还会不会生效，要很清楚两者互斥关系。

K. Singh78%

从华为 USG 转 FortiGate · 4 weeks prep

零 Fortinet 经验，只有 CCNA 底子。10 周备考，前 6 周走 NSE Training Institute 官方课程，后 4 周泡在 FortiGate VM。最难啃的部分是 **IPsec Phase 1 的 IKE 协商过程**，考试里有 3 道题给你一段 `diagnose debug application ike -1` 的输出让你判断失败在哪一步。没真正跑过 `ike negotiation` 的 debug 日志根本猜不出。74% 险过，**建议零基础至少留 10 周，不要信"3 周速成"的说法**。

网络安全工程师 2 年74%

中型企业内部 IT → 安全岗转型 · 10 weeks prep

Certification comparison

	Fortinet NSE 4 FGT 7.2	Palo Alto PCNSA	Cisco CCNA
Provider	其他	其他	Cisco
Level	助理级	助理级	助理级
Fee	$400	$250	$330
Duration	120 min	120 min	120 min
Questions per exam	60	80	100
Validity	2 yrs	2 yrs	3 yrs

Study tips and common mistakes

💡

**60 题 / 105 分钟 = 平均 105 秒/题**，比 CCNA 宽松很多，时间充裕，慢慢读题不要急。

💡

**多选题明确标注 "Choose two" 或 "Choose three"** —— 少选或多选都 0 分，注意看括号里的数字。

💡

**大量题目以 CLI 输出或 GUI 截图作为题干**，先快速看输出的关键行（比如 `diagnose sys session list` 里的 policy id、`diagnose debug flow` 里的 forwarded / denied），再回来读问题，不要被冗长的命令输出吓到。

💡

**遇到 IPsec 协商失败题直接对比两端 Phase 1 / Phase 2 参数表格**，逐行对照（Encryption / Hash / DH Group / Lifetime），不匹配的那行就是答案。

💡

**Best Practice 类题选最安全 + 最符合 Fortinet 官方推荐的选项** —— 比如 SSL VPN 推荐 Tunnel Mode 而不是 Web Mode，Security Profile 推荐 Proxy-based 扫深度恶意文件，SD-WAN 推荐用 Performance SLA 做健康检查。

💡

**考前 30 分钟过一遍 IPsec 默认参数**（IKEv2/AES256/SHA256/DH14）和 **FSSO 三种模式**（Polling/DC Agent/Collector Agent）—— 这两块几乎必出 3-5 道题，死记硬背送分。

💡

**OnVUE 在家考的监考比 Palo Alto 严**，要求清空桌面只留 1 张白纸（不能写字），摄像头 360° 环境检查，建议首考直接去 Pearson VUE 线下中心。

⚠️

**混淆 Security Profile 和 Firewall Policy 的关系** —— Firewall Policy 是"允许/拒绝"这条流量，Security Profile（AV/Web Filter/IPS/AppControl）是"允许之后进一步检查内容"。没有 Policy Allow 做前提，Profile 永远不生效。新手经常配了 AV Profile 发现不拦病毒，其实是 Policy 本身就 Deny 了。考题常出"为什么 AV 没命中"类场景，答案往往是 Policy 没 Allow 或 SSL Inspection 没开。

⚠️

**FortiGuard Dynamic Update 的频率和依赖关系搞不清** —— IPS Engine 和 Antivirus 签名默认每小时/每天更新，Web Filter 和 Application Control 靠 **实时查询 FortiGuard Cloud**（默认走 UDP 53/8888）而不是本地签名库。如果 FortiGate 连不上 FortiGuard，Web Filter 会 **fail open 或 fail close** 取决于配置。考试直接问"哪些功能需要实时云端查询" → Web Filter + App Control。

⚠️

**VDOM（Virtual Domain）的概念范围** —— VDOM 是 FortiGate 上的虚拟化，默认只开 root VDOM。启用多 VDOM 后每个 VDOM 有独立的路由表、Policy、Interface 归属，但 **License 和硬件资源是共享的**。常见错题：以为启用 VDOM 就需要额外 license（错，默认支持 10 个 VDOM），或者以为 VDOM 之间流量默认互通（错，必须通过 Inter-VDOM Link 并配 Policy）。

⚠️

**SD-WAN 规则匹配顺序** —— FortiGate SD-WAN 的流量导向靠 **SD-WAN Rules**（也叫 Service Rules），匹配顺序是 **从上到下 First Match**，和 Firewall Policy 一样。没命中任何 Rule 的流量走 **Implicit Rule**（默认基于 SD-WAN Zone 的 Source IP 负载均衡）。新手经常写了规则但流量不走预期路径，原因是上面有更宽泛的规则抢先匹配。考试会给 Rule 列表让你判断某流量走哪个 Member。

⚠️

**IPsec Phase 1 vs Phase 2 协商参数不匹配** —— 最经典送命题。Phase 1 协商 IKE SA（加密 IKE 本身的通道），Phase 2 协商 IPsec SA（加密实际数据）。两端必须 **Encryption / Hash / DH Group / Lifetime 完全一致**。考试给你两端的配置截图让你找出不匹配的一行 —— 如果没在 VM 上实际制造过 proposal mismatch 看 `diagnose debug application ike -1` 的 `no SA proposal chosen` 报错，纯看概念很难答对。另一个高频坑：**Phase 2 的 Quick Mode Selectors（本地/远端子网）必须两端镜像对称**，写反就建不起来。

⚠️

**Flow-based 和 Proxy-based Inspection 的区别** —— Antivirus 和 Web Filter 可以选 Flow-based（基于 IPS Engine 逐包扫描，性能高，功能略少）或 Proxy-based（把整个文件缓存到内存扫完再放行，延迟高但支持更多检测如 Deep Scan）。默认是 Flow-based。考试会问"哪种模式支持 XX 功能"或"哪种模式延迟更低"。

⚠️

**SSL Inspection 的 Certificate Inspection vs Deep Inspection** —— Certificate Inspection 只看 SNI/证书信息（不解密内容），用于 Web Filter 基础分类，不需要装 CA 证书到客户端；Deep Inspection 做中间人解密（MITM），能扫到加密流量里的病毒和 URL，但需要把 FortiGate 的 CA 证书推到每台客户端。考题问"哪种模式可以扫加密流量里的 virus" → Deep Inspection。

Frequently Asked Questions

If you plan to take Fortinet NSE 4 FGT 7.2, start with real practice.

102 questions, chapter-by-chapter learning, mock exams, wrong-question review, and AI tutor support live in the exam page.

Go to exam prep

From $29 · 2 free chapters

Student reviews

Loading reviews…

Fortinet NSE 4 FortiGate Security 7.2

What this certification covers

You will work with

After preparation

Exam details

Who should take it

Good fit

Before you start

Is it worth it? Career value

Study preparation

With hands-on AWS

From scratch

Daily pace

Learning path preview

Step-by-step preparation

第一阶段：NSE Training Institute 免费官方课程（2-3 周）

第二阶段：FortiGate VM 免费试用实验（2-3 周）

第三阶段：刷题 + 官方 Study Guide（1-2 周）

第四阶段：冲刺 + 预约考试（最后 1 周）

Real test-taker experiences

Certification comparison

Study tips and common mistakes

Frequently Asked Questions

If you plan to take Fortinet NSE 4 FGT 7.2, start with real practice.

Student reviews

Related certifications

Palo Alto PCNSA

Cisco CCNA

CompTIA Network+