Линейка FortiGate большая, а в даташитах много цифр, которые небольшому офису мало что говорят. Самая частая ошибка – выбрать модель по самому большому числу «Firewall throughput», а потом обнаружить, что с включёнными функциями безопасности интернет медленный. Ниже – чек-лист, который поможет выбрать устройство на несколько лет.
Что важно при выборе
- Скорость интернета – текущая и та, что вероятно будет. Если по договору 1 Гбит/с, устройство должно пропускать эту скорость со всеми функциями безопасности.
- Пользователи и устройства – посчитайте также телефоны, принтеры, камеры и гостевые устройства. Устройств обычно в 2–3 раза больше, чем людей.
- VPN – сколько людей работает из дома, нужно ли соединение между офисами. Учтите, что в FortiOS 7.6 SSL VPN убирают, и Fortinet рекомендует перевести удалённый доступ на IPsec VPN (IKEv2) с FortiClient; первым SSL VPN исчез на младших моделях с 2 ГБ памяти. Для нового устройства сразу планируйте IPsec VPN.
- Порты и PoE – сколько нужно LAN-портов, нужны ли два WAN-порта (два канала интернета), SFP-порт для оптики или PoE для питания телефонов и точек доступа. Часто лучше добавить FortiSwitch, чем искать FortiGate с большим числом портов.
- Встроенный Wi-Fi – модели FortiWiFi подходят для очень маленького помещения. В офисе побольше лучше FortiGate с отдельными FortiAP, потому что файрвол в серверной не покроет всю площадь.
- Настольный или в стойку – младшие модели настольные (desktop); если есть серверный шкаф, проверьте наличие комплекта для монтажа в стойку или выберите rackmount-модель.
- Отказоустойчивость (HA) – если офис не может работать без интернета, рассмотрите два одинаковых устройства в HA-кластере. Помните, что лицензия нужна на оба.
- Запас на 3–5 лет – файрвол меняют редко. Выбирайте модель, которая справится и тогда, когда людей станет больше, а канал быстрее.
Как читать цифры в даташите
| Показатель | Что он означает |
|---|---|
| Firewall throughput | Только пересылка пакетов без проверки содержимого, в идеальных лабораторных условиях. Самое большое число и наименее полезное на практике. |
| IPS throughput | Скорость только с системой предотвращения вторжений (IPS). |
| NGFW throughput | Файрвол + IPS + контроль приложений. |
| Threat Protection throughput | Файрвол + IPS + контроль приложений + защита от вредоносного ПО. Самый важный показатель для небольшого офиса. |
| SSL Inspection throughput | Расшифровка и проверка зашифрованного трафика. Самый тяжёлый режим; важен, если вы используете deep inspection. |
| IPsec VPN throughput | Скорость VPN-туннелей, важна для связи между офисами. |
Практическое правило: показатель Threat Protection должен быть заметно выше скорости вашего интернета, чтобы оставался запас. Если планируете SSL deep inspection, смотрите и на SSL Inspection.
Младшие модели вкратце
Для небольших офисов предназначены настольные серии 40F, 50G, 60F, 70G и 90G. Чем больше число, тем больше производительность, портов и памяти. 40F и 50G подходят для очень маленького офиса с более медленным каналом; 60F и 70G – частый выбор для типичного офиса на 10–30 человек; 90G даёт больше запаса для быстрого канала, большего числа устройств или SSL-инспекции. У многих есть вариант с Wi-Fi (FortiWiFi). Точные цифры производительности всегда проверяйте в актуальном даташите конкретной модели – они зависят от модели и прошивки.
Лицензии и общая стоимость
Без лицензии FortiGate может работать как простой файрвол, но без обновлений прошивки и актуальных сигнатур. Обычно устройство покупают вместе с пакетом:
- FortiCare – поддержка, обновления прошивки и замена устройства при поломке (RMA);
- UTP (Unified Threat Protection) – добавляет IPS, антивирус, веб-фильтр и др.; самый распространённый выбор для небольшого офиса;
- ATP (Advanced Threat Protection) – более узкий пакет, ориентированный на защиту от угроз; Enterprise Protection – шире UTP, для компаний с более строгими требованиями.
Сравнивайте общую стоимость за 3–5 лет: устройство плюс лицензия на весь срок. Многолетний пакет обычно дешевле в пересчёте на год, а лицензия для старшей модели дороже – ещё одна причина не покупать устройство с избыточным запасом.
Когда обращаться к специалисту
Если у вас несколько офисов, два интернет-канала, требование HA или строгие требования к безопасности, модель лучше выбирать вместе со специалистом, который посмотрит и на текущий трафик. Модели и лицензии можно посмотреть на странице FortiGate; за советом звоните в ITABIKS: +372 53 888 229.