FortiGate 100F fin de vie : dates, le 120G et le coût du statu quo

Les FortiGate 100F et 101F ont atteint leur fin de commande le 16 avril 2026. Le support Fortinet se poursuit jusqu'au 16 avril 2031, et la dernière date pour renouveler ou prolonger un contrat de support est le 16 avril 2030. Les deux modèles exécutent toujours les versions actuelles de FortiOS, y compris 7.6 et 8.0.

L'appareil n'est donc pas encore en difficulté. Les questions utiles sont ailleurs : quel 100F avez-vous réellement, que change le successeur dans votre baie, combien coûte une année de plus avec l'ancienne paire, et un site de taille moyenne a-t-il encore besoin d'un pare-feu de cette taille ? Cette page répond aux quatre.

FortiGate 100F : les dates de fin de vie

Fortinet a annoncé la fin de vie des FortiGate 100F et 101F le 16 janvier 2026. La fin de commande a suivi le 16 avril 2026. La dernière date d'extension de service est le 16 avril 2030 et la fin de support intervient le 16 avril 2031. D'ici là, les appareils sous contrat actif reçoivent le support, le firmware et les mises à jour de sécurité.

Source : cycle de vie des produits Fortinet. La fin de support intervient cinq ans après la fin de commande ; la dernière date d'extension de service se situe un an avant la fin de support.

La chronologie de fin de vie des FortiGate reprend les mêmes dates pour tous les autres modèles, dont le 60F et le 40F.

Ce que chaque étape arrête

La fin de commande met fin à la vente de nouveau matériel. Rien ne change pour les appareils installés. Les appareils de remplacement fournis sous contrat de remplacement anticipé proviennent désormais du stock existant.

La dernière date d'extension de service est le dernier jour où Fortinet accepte un renouvellement ou une prolongation de FortiCare et FortiGuard pour ce modèle. Après le 16 avril 2030, vous ne pouvez plus acheter de couverture : tout contrat en cours arrive simplement à échéance.

La fin de support met fin à tout : support technique, remplacement du matériel, firmware et mises à jour de sécurité. À partir du 16 avril 2031, un 100F continue de transmettre le trafic, mais plus personne ne le corrige.

Deux dates logicielles tombent dans cette fenêtre et pèsent souvent davantage. FortiOS 7.4 atteint la fin du support d'ingénierie le 11 mai 2027 et la fin de support le 11 novembre 2028 ; l'article sur FortiOS 7.4 traite de cette transition. Par ailleurs, FortiOS 7.6.3 a supprimé le mode tunnel SSL VPN sur tous les modèles FortiGate. Selon les notes de version de Fortinet, ces paramètres ne sont pas repris lors d'une mise à niveau depuis une version antérieure et les clients doivent migrer avant de mettre à niveau. Si vos utilisateurs distants se connectent encore via FortiClient SSL VPN, c'est là votre véritable échéance, pas 2031.

Quel 100F avez-vous ? Première ou deuxième génération

Tous les 100F ne sont pas identiques. Une note technique de Fortinet distingue les appareils de première génération, dotés de 4 Go de RAM, de ceux de deuxième génération, dotés de 8 Go. Exécutez get hardware status en CLI : un appareil de première génération affiche environ 3 614 Mo de RAM et la révision matérielle Rev1, un appareil de deuxième génération environ 7 587 Mo et Rev2.

La différence se voit. Selon la même note, un appareil de première génération utilise environ 38 % de sa mémoire avec la configuration d'usine, contre environ 15 % pour la deuxième génération. Ajoutez l'inspection SSL, le filtrage en mode proxy et une configuration SD-WAN chargée, et des administrateurs sur r/fortinet signalent des appareils de 4 Go qui passent en conserve mode, l'état dans lequel le FortiGate se protège en refusant les nouvelles sessions et en suspendant l'inspection. Si vous exploitez des appareils de 4 Go avec des fonctions proxy, passez l'inspection en flow mode ou remontez l'appareil dans votre liste de remplacement.

Le successeur : FortiGate 120G, ce que vous gagnez et perdez

Le FortiGate 120G (et le 121G avec un SSD de 480 Go) est le modèle 1U que les revendeurs et partenaires Fortinet présentent comme remplaçant. Il repose sur le processeur SP5, plus récent, de Fortinet et double à peu près la plupart des débits. Il compte aussi moins de ports cuivre et pas de port DMZ dédié.

Source : fiches techniques Fortinet des séries FortiGate 100F et 120G.

Ce que vous gagnez : près de trois fois plus de capacité de protection contre les menaces et d'inspection SSL, deux fois plus de sessions et quatre liaisons montantes 10G au lieu de deux. Un site qui poussait un 100F à ses limites avec une inspection complète sur une ligne gigabit retrouve de la marge.

Ce que vous perdez mérite d'être dit clairement. Le 120G compte quatre ports cuivre de moins et pas d'interface DMZ dédiée, si bien qu'un 100F dont tous les ports cuivre sont occupés ne peut pas être recâblé à l'identique. Prévoyez de réaffecter des ports de switch internes à la DMZ et d'acheter des transceivers cuivre pour les emplacements SFP si vous avez besoin de plus de RJ45. Le 120G pèse aussi 2,2 kg de plus et chauffe davantage, ce qui compte dans une armoire murale encombrée. Les premières builds de FortiOS 7.4 sur matériel SP5 ont suscité des signalements de bugs dans la communauté, notamment des problèmes IPsec pour lesquels des administrateurs ont désactivé l'accélération matérielle (hardware offload) en guise de contournement. Choisissez donc une version recommandée et éprouvée avant la mise en production.

Ce que coûte une année de plus avec le 100F

Rester sur un 100F jusqu'en 2030 est un choix légitime. Il a un prix, et la licence n'en est qu'une partie.

Prix revendeur : LicenseWise (Pays-Bas), octobre 2026, pour les lignes 100F ; prix catalogue de revendeurs allemands pour les lignes 120G. Les prix partenaires et de trade-up diffèrent.

Sur la base de ces chiffres, garder une paire HA de 100F sous UTP coûte environ 13 000 € sur trois ans, pour un matériel qui sort du support un an plus tard. Acheter deux 120G coûte un peu plus au départ et remet le compteur à zéro. Le reste du coût du statu quo n'apparaît pas sur un devis :

• Des remplacements reconditionnés. Depuis la fin de commande, les appareils de remplacement proviennent du stock en dépôt. Un appareil de deuxième génération peut revenir sous la forme d'un appareil de première génération, avec moitié moins de mémoire.
• Des tokens qui ne suivent pas. Selon une note technique de Fortinet, les licences FortiToken Mobile livrées à partir du 4 août 2025 ne peuvent pas être transférées vers un autre appareil, sauf en cas de RMA. Les tokens achetés aujourd'hui pour un 100F devront être rachetés pour son remplaçant.
• Une migration de l'accès distant incontournable. Rester à jour sur FortiOS implique de perdre le mode tunnel SSL VPN, donc la reconstruction de l'accès distant aura lieu de toute façon.

Le programme de trade-up de Fortinet adoucit la transition. Les appareils ayant dépassé la fin de commande avec des services valides, ou dont les services ont expiré au cours des 12 derniers mois, peuvent transférer le support et les services de sécurité restants vers un nouvel appareil figurant dans la matrice de trade-up, via la gestion des actifs FortiCloud, avec un identifiant de trade-up. Demandez la référence de trade-up à votre partenaire avant de chiffrer un simple remplacement. Le guide des prix des pare-feu managés met ces chiffres en regard d'autres modèles.

Migrer un 100F en HA ou utilisé comme hub SD-WAN

Un 100F est souvent le pare-feu du site principal, le hub du SD-WAN, ou les deux, généralement en paire HA. La migration devient alors une bascule, pas un simple échange.

Le protocole de clustering de Fortinet ne mélange pas les modèles. Selon les termes de Fortinet : "All FortiGates in the cluster must be the same model and have the same firmware installed." Vous ne pouvez pas ajouter un 120G à un cluster de 100F et basculer. La séquence qui fonctionne :

1. Préparez un nouveau cluster à côté de l'ancien. Installez les deux 120G en baie, ne raccordez que la gestion et amenez-les à la même version de FortiOS que celle sur laquelle la configuration a été construite.
2. Traduisez la configuration. Un fichier de configuration de 100F ne se restaure pas proprement sur un 120G, car les interfaces diffèrent. Utilisez FortiConverter ou modifiez le mappage des interfaces : la DMZ passe sur un port interne réaffecté, les liens des ports partagés 17 à 20 passent sur des emplacements SFP et les ports FortiLink sont mappés sur les ports 10G du 120G.
3. Montez le routage en mode passif. Si le hub utilise BGP ou OSPF, faites peerer le nouveau cluster via un chemin moins préféré pour qu'il apprenne les routes sans transporter de trafic.
4. Basculez en une seule fenêtre. Déplacez les circuits WAN et les liens en aval, rendez le nouveau cluster préféré et vérifiez que chaque spoke SD-WAN rétablit ses tunnels.
5. Laissez l'ancienne paire en baie. Gardez les 100F éteints mais câblés pendant quelques semaines comme solution de repli.

Avant la bascule, sortez l'accès distant du mode tunnel SSL VPN et réglez la question des tokens. Une fois l'ancienne paire retirée, la checklist de mise hors service d'un pare-feu couvre les licences, les sauvegardes de configuration et l'effacement des disques.

Si l'accès distant est de toute façon la partie à reconstruire, il vaut la peine de vérifier s'il doit vraiment résider sur le pare-feu. Vous pouvez essayer Jimber gratuitement avec un groupe d'utilisateurs pendant que le 100F continue de tourner.

Quand ne pas remplacer le 100F à l'identique

Certains sites ont besoin d'un pare-feu de cette taille sur place. Les sites de production dotés de technologies opérationnelles ont besoin d'une inspection locale du trafic entre segments. Les réseaux de campus avec un trafic interne important, comme l'imagerie ou le stockage, ont besoin d'un routage multigigabit entre VLAN. Les sites sur des liaisons limitées ou satellitaires ne peuvent pas envoyer leur trafic vers le cloud et le faire revenir. Pour eux, le 120G est le bon choix.

Beaucoup de 100F font autre chose. Ils se trouvent dans un bureau où la plupart des applications sont en SaaS et où le personnel travaille en partie à distance, et ils assurent trois fonctions :

• L'accès distant, via FortiClient SSL VPN ou IPsec. Le remplacement recommandé par Fortinet pour le SSL VPN est l'IPsec dial-up, qui donne toujours aux utilisateurs une route vers le réseau et nécessite toujours une passerelle exposée à Internet. Le zero trust network access donne plutôt accès à des applications précises, sans portail en écoute. L'article sur FortiOS 7.2 explique comment les branches plus anciennes gèrent ce point.
• La sortie Internet, avec filtrage web et inspection SSL. Les utilisateurs distants passent souvent d'abord par le bureau. Une secure web gateway dans le cloud inspecte le trafic au plus près de l'utilisateur.
• La connectivité entre sites, en tant que hub SD-WAN. Ce rôle peut passer à un SD-WAN fourni depuis le cloud, avec un équipement plus léger sur chaque site.

Ce qui reste généralement en local, c'est la segmentation entre réseaux internes et tout ce qui doit fonctionner sans Internet. Jimber couvre les trois fonctions déplaçables sur une seule plateforme européenne, avec le firewall-as-a-service, le ZTNA, une secure web gateway et le SD-WAN, et des données traitées dans l'UE. La voie cloud de Fortinet est FortiSASE ; l'article ce que les clients FortiGate paient pour FortiSASE détaille cette comparaison.

Les arguments pour rester chez FortiGate

Un administrateur Fortinet avancera trois arguments recevables.

« La sécurité cloud n'aide pas pour mon trafic interne. » C'est exact. Un 120G route et inspecte le trafic entre segments internes à plusieurs dizaines de gigabits, avec une latence de l'ordre de la microseconde et sans frais de données. Si votre site a un trafic est-ouest important, gardez un pare-feu local pour cela. C'est un argument en faveur d'un point d'application local, pas forcément pour y faire passer les utilisateurs distants et le trafic Internet.

« La Security Fabric relie tout. » FortiGate, FortiSwitch et FortiAP sous FortiLink, gérés ensemble, c'est efficace, et une deuxième plateforme signifie une deuxième console. La question est de savoir si cette intégration justifie un renouvellement matériel tous les cinq ans pour des fonctions qui ne dépendent plus du bâtiment.

« Le matériel est un coût connu. » Une paire de 120G amortie sur cinq ans, avec un débit limité uniquement par l'ASIC, est prévisible. Les abonnements par utilisateur augmentent avec les effectifs. Pour des équipes stables qui travaillent au bureau, cela peut faire pencher la balance vers le matériel. Pour des équipes hybrides, intégrez à la même comparaison la reconstruction de l'accès distant, le rachat des tokens et le prochain renouvellement en 2031.

Conclusion

Le FortiGate 100F est supporté jusqu'en avril 2031, mais les décisions arrivent plus tôt : le mode tunnel SSL VPN a disparu dans FortiOS 7.6.3, les appareils de première génération peinent face à l'inspection moderne, et les contrats ne peuvent être prolongés que jusqu'en avril 2030. Vérifiez quelle génération vous exploitez, alignez vos dates de contrat et décidez, site par site, lesquelles des fonctions du 100F ont encore besoin d'un boîtier.

Si l'accès distant et la sécurité web sont les principales raisons d'être de votre 100F, essayez gratuitement avec un site ou un groupe d'utilisateurs. Ou réservez une démo et nous passerons ensemble en revue votre parc FortiGate.

Questions fréquentes

Quelle est la date de fin de vie du FortiGate 100F ?

Fortinet a annoncé la fin de vie le 16 janvier 2026. La fin de commande a eu lieu le 16 avril 2026, la dernière date d'extension de service est le 16 avril 2030 et la fin de support le 16 avril 2031. Le FortiGate 101F suit les mêmes dates.

Mon FortiGate 100F cesse-t-il de fonctionner après la fin de commande ?

Non. La fin de commande arrête uniquement la vente de nouveau matériel. Avec un contrat actif, le 100F continue de recevoir le support, le firmware et les mises à jour de sécurité jusqu'au 16 avril 2031.

Quel modèle remplace le FortiGate 100F ?

Le FortiGate 120G, ou le 121G avec stockage interne. Il double à peu près les débits pare-feu et NGFW et triple presque la protection contre les menaces, mais compte 18 ports cuivre au lieu de 22 et pas de port DMZ dédié.

Quelles versions de FortiOS le 100F prend-il en charge ?

Les 100F et 101F exécutent les versions actuelles, dont FortiOS 7.6 et 8.0. FortiOS 7.6.3 et les versions ultérieures ne prennent plus en charge le mode tunnel SSL VPN : l'accès distant doit donc passer à IPsec ou à une autre solution avant la mise à niveau.

Comment savoir si mon 100F est de première ou de deuxième génération ?

Exécutez get hardware status en CLI. Les appareils de première génération affichent environ 3 614 Mo de RAM et la révision matérielle Rev1 ; ceux de deuxième génération environ 7 587 Mo et Rev2. Les appareils de première génération ont moins de marge pour l'inspection SSL et les fonctions proxy.

Puis-je combiner un 100F et un 120G dans un même cluster HA ?

Non. Fortinet exige que tous les membres du cluster soient du même modèle avec le même firmware. Remplacer une paire HA implique de préparer un nouveau cluster de 120G et de basculer en une seule fenêtre de maintenance.

Puis-je restaurer une configuration de 100F sur un 120G ?

Pas directement. Les interfaces diffèrent, notamment en raison de l'absence de port DMZ et des ports partagés. Traduisez la configuration avec FortiConverter ou remappez les interfaces avant la restauration.

Les licences existantes peuvent-elles passer d'un 100F à un 120G ?

Grâce au programme de trade-up de Fortinet, le support et les services de sécurité restants peuvent être transférés vers un modèle de la matrice de trade-up. Les licences FortiToken Mobile livrées à partir du 4 août 2025 ne peuvent pas être transférées, sauf en cas de RMA.

Quelle est la dernière date pour renouveler le support d'un 100F ?

Le 16 avril 2030, la dernière date d'extension de service. Ensuite, Fortinet n'accepte plus aucun renouvellement et la couverture arrive simplement à échéance, au plus tard le 16 avril 2031.