ເລືອກ Firewall ໃຫ້ຖືກຂະໜາດ: UTM ກັບ NGFW ຕ່າງກັນແທ້ຢູ່ໃສ

ຄຳຈົ່ມທີ່ພວກເຮົາໄດ້ຍິນເລື້ອຍທີ່ສຸດ

"ຊື້ Firewall ໃໝ່ມາ ແຕ່ອິນເຕີເນັດກັບຊ້າລົງ." ສ່ວນຫຼາຍເຄື່ອງບໍ່ໄດ້ເສຍ. ມັນຖືກເລືອກຕາມຕົວເລກໃຫຍ່ທີ່ສຸດໃນ Datasheet, ແລ້ວມີຄົນເປີດ IPS, Web Filtering ແລະ SSL Inspection, ຄວາມໄວແທ້ຈຶ່ງຫຼຸດລົງເຫຼືອພຽງສ່ວນໜຶ່ງຂອງຕົວເລກນັ້ນ. ບົດນີ້ອະທິບາຍວິທີຫຼີກລ່ຽງບັນຫານີ້ ແລະ ຄວາມໝາຍແທ້ຂອງ UTM ກັບ NGFW ເມື່ອຊື້ໃນປີ 2026.

UTM ແລະ NGFW: ສອງຊື່, ເກືອບເປັນສິນຄ້າດຽວກັນ

UTM (Unified Threat Management) ເລີ່ມຕົ້ນເປັນເຄື່ອງ "ລວມທຸກຢ່າງໃນກ່ອງດຽວ" ສຳລັບສະຖານທີ່ນ້ອຍ: Stateful Firewall, VPN, Antivirus ທີ່ Gateway, Web Filtering, IPS ແລະ Anti-spam ພາຍໃຕ້ License ຊຸດດຽວ.

NGFW (Next-Generation Firewall) ເລີ່ມຈາກອີກດ້ານ. ຈຸດເດັ່ນຂອງມັນແມ່ນຮູ້ຈັກ Application ໂດຍບໍ່ຂຶ້ນກັບ Port (Facebook, YouTube, Microsoft 365, RDP ທີ່ແລ່ນຢູ່ Port ແປກ), ຜູກ Rule ກັບຜູ້ໃຊ້ ແລະ ກຸ່ມຈາກ Active Directory ຫຼື Entra ID, ແລະ ກວດ Traffic ທີ່ເຂົ້າລະຫັດ TLS.

ປັດຈຸບັນຜູ້ຜະລິດເກືອບທຸກລາຍໃສ່ຄຸນສົມບັດທັງສອງຊຸດໄວ້ໃນລະບົບປະຕິບັດການດຽວກັນ. ສິ່ງທີ່ແຍກ "UTM" ອອກຈາກ "NGFW ລະດັບອົງກອນ" ແທ້ໆ ແມ່ນ:

ສະນັ້ນຄຳຖາມບໍ່ແມ່ນ "UTM ຫຼື NGFW?" ແຕ່ແມ່ນ "ຈະເປີດຄຸນສົມບັດໃດແທ້ ແລະ ຕ້ອງໃຫ້ Traffic ຜ່ານໄດ້ເທົ່າໃດ ເມື່ອເປີດທັງໝົດນັ້ນ?"

ວິທີອ່ານ Datasheet

ຜູ້ຜະລິດປະກາດຕົວເລກ Throughput ຫຼາຍແບບ. ທຸກຕົວເລກແມ່ນຈິງ ແຕ່ວັດໃນເງື່ອນໄຂຕ່າງກັນ.

• Firewall Throughput ວັດດ້ວຍ UDP Packet ຂະໜາດໃຫຍ່ (ມັກ 1518 Byte) ແລະ ບໍ່ເປີດການກວດໃດໆ. ຢ່າໃຊ້ຕົວເລກນີ້ຄິດໄລ່ຂະໜາດ.
• IPS Throughput ແລະ NGFW Throughput (Firewall + Application Control + IPS) ໃກ້ຄວາມຈິງກວ່າ.
• Threat Protection Throughput ເພີ່ມ Anti-malware ເຂົ້າໄປອີກ. ຖ້າຊື້ຊຸດປ້ອງກັນເຕັມ ໃຫ້ຄິດໄລ່ຈາກຕົວເລກນີ້.
• TLS/SSL Inspection Throughput ມັກເປັນຕົວເລກຕ່ຳທີ່ສຸດໃນເອກະສານ. ຖ້າວາງແຜນຖອດລະຫັດ Traffic ໃຫ້ອີງໃສ່ຕົວເລກນີ້.
• IPsec VPN Throughput, ຈຳນວນ Tunnel ສູງສຸດ ແລະ ຈຳນວນຜູ້ໃຊ້ VPN ພ້ອມກັນ ສຳຄັນສຳລັບສາຂາ ແລະ ພະນັກງານທາງໄກ.
• Concurrent Sessions ແລະ New Sessions per Second ສຳຄັນສຳລັບໂຮງແຮມ, ໂຮງຮຽນ ແລະ ບ່ອນທີ່ມີໂທລະສັບເຊື່ອມ Wi-Fi ຫຼາຍ.

ແຕ່ລະຍີ່ຫໍ້ກຳນົດ "Threat Protection" ດ້ວຍຮູບແບບ Traffic ຂອງຕົນເອງ, ການທຽບສອງຍີ່ຫໍ້ດ້ວຍຕົວເລກນີ້ຈຶ່ງເປັນພຽງການປະມານ. ທຽບລຸ້ນໃນຍີ່ຫໍ້ດຽວກັນ ແລະ ຖາມຜູ້ສະໜອງວ່າທົດສອບໃນເງື່ອນໄຂໃດ.

ຕົວຢ່າງທີ 1: ຫ້ອງການ 60 ຄົນ

ຫ້ອງການ 60 ຄົນໃນວຽງຈັນ ມີສາຍ Fiber 300 Mbps ແລະ ສາຍສຳຮອງ 100 Mbps ຈາກ ISP ອີກເຈົ້າໜຶ່ງ, ໃຊ້ SD-WAN ແບ່ງ Traffic ທັງສອງສາຍ. ລວມ 400 Mbps. ພວກເຮົາຈະເລືອກລຸ້ນທີ່ມີ Threat Protection Throughput ຢ່າງໜ້ອຍ 600–800 Mbps (1.5–2 ເທົ່າ) ເພື່ອໃຫ້ມີບ່ອນຂະຫຍາຍໃນອາຍຸການໃຊ້ງານ 3–5 ປີ. ຖ້າຜູ້ບໍລິຫານຢາກເປີດ TLS Inspection ທຸກ Web Traffic ນຳ, ໃຫ້ເບິ່ງຕົວເລກ TLS ແທນ; ໃນລຸ້ນ Entry ຫຼາຍລຸ້ນ ນັ້ນໝາຍເຖິງຕ້ອງຂຶ້ນໄປອີກໜຶ່ງຂະໜາດ.

ຕົວຢ່າງທີ 2: ໂຮງແຮມ 120 ຫ້ອງ

ຄວາມໄວອິນເຕີເນັດ 500 Mbps ບໍ່ແມ່ນບັນຫາຫຼັກ. ບັນຫາແມ່ນຈຳນວນອຸປະກອນ: ແຂກ 2–3 ເຄື່ອງຕໍ່ຫ້ອງ ບວກພະນັກງານ ແລະ ລະບົບໂຮງແຮມ ລວມປະມານ 400–450 ເຄື່ອງ ໃນຊ່ວງຄ່ຳ. ໂທລະສັບແຕ່ລະເຄື່ອງເປີດ session ພ້ອມກັນໄດ້ຫຼາຍຮ້ອຍ, ສະນັ້ນໃຫ້ເບິ່ງ Concurrent Sessions ແລະ New Sessions per Second ກ່ອນ. ສຳລັບ VLAN ຂອງແຂກ, ພວກເຮົາເປີດ Firewall, Application Control ແລະ ຈຳກັດ Bandwidth ຕໍ່ຄົນ ແຕ່ບໍ່ຖອດລະຫັດ TLS ຂອງແຂກ. ການກວດເຕັມຮູບແບບ ເກັບໄວ້ໃຫ້ VLAN ຂອງພະນັກງານ ແລະ ລະບົບບັນຊີ.

ເລືອກລະດັບໃດ ສຳລັບສະຖານທີ່ໃດ

Remote access: SSL-VPN ກຳລັງຖືກປ່ຽນ

SSL-VPN portal ເປັນເປົ້າໝາຍອັນດັບຕົ້ນໆຂອງແຮັກເກີໃນປີ 2024–2025 ທົ່ວທຸກຍີ່ຫໍ້. ຜູ້ຜະລິດຈຶ່ງເລີ່ມປ່ຽນທິດ. ຕົວຢ່າງ, Fortinet ຍົກເລີກ SSL-VPN tunnel mode ຕັ້ງແຕ່ FortiOS 7.6.3 ແລະ ແນະນຳໃຫ້ໃຊ້ IPsec VPN (ທີ່ແລ່ນຜ່ານ TCP 443 ໄດ້) ແທນ. ການຕັ້ງຄ່າ SSL-VPN ເກົ່າ ບໍ່ຖືກແປງໃຫ້ອັດຕະໂນມັດ, ສະນັ້ນຕ້ອງຍ້າຍກ່ອນອັບເກຣດ Firmware, ບໍ່ດັ່ງນັ້ນພະນັກງານທາງໄກຈະເຂົ້າບໍ່ໄດ້ໃນເຊົ້າມື້ຕໍ່ມາ. ບໍ່ວ່າຍີ່ຫໍ້ໃດ: ໃສ່ MFA ທຸກບັນຊີ VPN, ຜູກກັບ Directory ແທນບັນຊີໃນເຄື່ອງ, ແລະ ພິຈາລະນາ ZTNA ສຳລັບແອັບທີ່ສຳຄັນ. ລາຍລະອຽດຢູ່ໃນ ຄູ່ມື VPN ແລະ ZTNA.

ສິ່ງທີ່ຕ້ອງກວດກ່ອນຈ່າຍເງິນ ໃນສະພາບຂອງລາວ

ເຄື່ອງ ແລະ License ມາຈາກໃສ. ອຸປະກອນສ່ວນຫຼາຍສຳລັບລາວມາຜ່ານຕົວແທນຈຳໜ່າຍໃນໄທ. ຖາມໃຫ້ຊັດວ່າເຄື່ອງລົງທະບຽນໃຊ້ໃນລາວໄດ້ບໍ່, ໃຜເປັນຜູ້ລົງທະບຽນ License ແລະ ການຮັບປະກັນ/RMA ຍັງມີຜົນບໍ່ ເມື່ອເຄື່ອງຕິດຕັ້ງຢູ່ລາວ. ບາງຍີ່ຫໍ້ຜູກການ Support ກັບພາກພື້ນທີ່ຂາຍ. ໃຫ້ບັນຊີ portal ຂອງຜູ້ຜະລິດຢູ່ໃນຊື່ບໍລິສັດທ່ານ, ບໍ່ແມ່ນຊື່ຜູ້ຂາຍ.

ລຸ້ນທີ່ໃກ້ໝົດອາຍຸ. ກວດວັນ End-of-Sale ແລະ End-of-Support ກ່ອນຊື້ ໂດຍສະເພາະເຄື່ອງລາຄາຖືກຜິດປົກກະຕິ. ຕົວຢ່າງ: Hardware Sophos ລຸ້ນ XG ໝົດອາຍຸ ແລະ ໝົດການ Support ໃນວັນທີ 31 ມີນາ 2025, SFOS v20 ເປັນລຸ້ນສຸດທ້າຍທີ່ຮອງຮັບ, ແລະ ລຸ້ນທີ່ໃຊ້ແທນແມ່ນ XGS. ຍີ່ຫໍ້ອື່ນກໍມີຕາຕະລາງແບບນີ້ຄືກັນ.

Backup Config ຢູ່ໃສ. ເກັບໄຟລ໌ Config ໄວ້ນອກເຄື່ອງ ແລະ ຖືເປັນຂໍ້ມູນລັບ ເພາະມັນມີ VPN key ແລະ ລາຍລະອຽດເຄືອຂ່າຍ. ໃນເດືອນຕຸລາ 2025, SonicWall ຢືນຢັນວ່າມີຜູ້ບໍ່ໄດ້ຮັບອະນຸຍາດ ເຂົ້າເຖິງໄຟລ໌ Backup ຂອງລູກຄ້າທຸກລາຍທີ່ໃຊ້ບໍລິການ cloud backup ຂອງຕົນ. ຖ້າ Config ຂອງທ່ານເຄີຍເກັບໄວ້ບ່ອນແບບນັ້ນ, ໃຫ້ປ່ຽນລະຫັດຜ່ານ ແລະ VPN key.

ເວລາປ່ຽນເຄື່ອງ (RMA). ຖ້າເຄື່ອງເສຍ ເຄື່ອງທົດແທນມັກຂ້າມມາຈາກໄທ ແລະ ພາສີອາດເພີ່ມເວລາອີກຫຼາຍມື້. ສຳລັບບ່ອນທີ່ຢຸດບໍ່ໄດ້, HA ສອງເຄື່ອງ ຫຼື ຢ່າງໜ້ອຍມີເຄື່ອງສຳຮອງໄວ້ໃນສາງ ຖືກກວ່າການບໍ່ມີອິນເຕີເນັດໜຶ່ງອາທິດ.

ໄຟຟ້າ. ໄຟອ່ອນຊ່ວງຄ່ຳ ເມື່ອທຸກບ້ານໃຊ້ໄຟພ້ອມກັນ ແລະ ໄຟດັບສັ້ນໆຕອນມີພາຍຸ ແມ່ນເລື່ອງປົກກະຕິໃນຫຼາຍແຂວງ. Firewall ທີ່ດັບລະຫວ່າງອັບເດດ Firmware ຫຼື ໄຟຕົກຊ້ຳໆ ອາດເຮັດໃຫ້ Config ເສຍ. ໃຫ້ຕໍ່ UPS ພ້ອມກັບ Core Switch ແລະ Router ຂອງ ISP.

ຄວາມຮ້ອນ ແລະ ຝຸ່ນ. ໃນຫ້ອງການໜ້າບໍ່ແຮ່ ແລະ ຫ້ອງຄວບຄຸມໂຮງງານ ພວກເຮົາມັກເຫັນ Firewall ໂຕນ້ອຍວາງເທິງຊັ້ນໃນຫ້ອງ 35 °C. ກວດອຸນຫະພູມການເຮັດວຽກໃນ Datasheet ແລະ ເກັບໄວ້ໃນຕູ້ Rack ທີ່ມີພັດລົມ ແລະ ແຜ່ນກອງຝຸ່ນ.

ສອງ ISP ທີ່ໃຊ້ເສັ້ນທາງດຽວກັນ. ສັນຍາສອງເຈົ້າບາງຄັ້ງຍັງໃຊ້ເສົາໄຟ ຫຼື ເສັ້ນທາງຕົ້ນທາງດຽວກັນ. ຖາມ ISP ວ່າສາຍເຂົ້າອາຄານຂອງທ່ານທາງໃດ ກ່ອນຈະອີງໃສ່ SD-WAN Failover.

License: ສ່ວນທີ່ໝົດອາຍຸ

ເມື່ອ Subscription ໝົດອາຍຸ ເຄື່ອງຍັງສົ່ງ Traffic ໄດ້ຕາມປົກກະຕິ ຈຶ່ງບໍ່ມີໃຜສັງເກດ. ແຕ່ Signature ຂອງ IPS, ຖານຂໍ້ມູນ Application, ໝວດ Web Filtering ແລະ Sandbox ຢຸດອັບເດດ, ແລະ ການ Support ຈາກຜູ້ຜະລິດກໍຢຸດ. ວາງງົບຕໍ່ອາຍຸຕັ້ງແຕ່ມື້ທຳອິດ, ໃສ່ວັນໝົດອາຍຸໃນປະຕິທິນຂອງຜູ້ຮັບຜິດຊອບ, ແລະ ເວລາທຽບໃບສະເໜີລາຄາ ໃຫ້ທຽບຍອດລວມ 3 ຫຼື 5 ປີ ດ້ວຍຊຸດ License ດຽວກັນ.

ສິ່ງທີ່ພວກເຮົາພົບເມື່ອເຂົ້າໄປກວດ

• Rule "Any to Any Allow" ທີ່ເປີດໄວ້ຊົ່ວຄາວມື້ຕິດຕັ້ງ ຍັງຢູ່ຫຼາຍປີຕໍ່ມາ.
• ໜ້າ Admin ເຂົ້າໄດ້ຈາກອິນເຕີເນັດ ແລະ Firmware ເກົ່າ.
• VPN ໃຊ້ບັນຊີໃນເຄື່ອງ ລວມທັງບັນຊີຂອງພະນັກງານທີ່ລາອອກແລ້ວ ແລະ ບໍ່ມີ MFA.
• Log ເກັບແຕ່ໃນເຄື່ອງ ແລະ ຖືກຂຽນທັບພາຍໃນບໍ່ເທົ່າໃດມື້.
• ບໍ່ມີ Backup Config, ເມື່ອເຄື່ອງເສຍຕ້ອງຕັ້ງຄ່າໃໝ່ຈາກຄວາມຈຳ.
• Port Forward ໄປຫາ RDP ຫຼື ກ້ອງ CCTV ໂດຍກົງຈາກອິນເຕີເນັດ.

ກ່ອນເຊັນໃບສັ່ງຊື້

1. ຄິດໄລ່ຈາກ Threat Protection (ຫຼື TLS Inspection) Throughput, ບໍ່ແມ່ນ Firewall Throughput.
2. ຊຸດ License, ວັນເລີ່ມ ແລະ ວັນໝົດອາຍຸ ຂຽນໄວ້ໃນໃບສະເໜີລາຄາ.
3. ກວດວັນ End-of-Sale ແລະ End-of-Support ຂອງລຸ້ນແລ້ວ.
4. ຢືນຢັນເງື່ອນໄຂ RMA ແລະ ເວລາປ່ຽນເຄື່ອງເຖິງສະຖານທີ່ຂອງທ່ານແທ້.
5. ຕົກລົງແຜນການຕັ້ງຄ່າ: Rule Base, VPN ພ້ອມ MFA, ບ່ອນສົ່ງ Log ແລະ Backup Config.
6. ມີຊື່ຜູ້ຮັບຜິດຊອບອັບເດດ Firmware ແລະ ທົບທວນ Rule ທຸກໄຕມາດ.

ຍີ່ຫໍ້ທີ່ພວກເຮົາສະໜອງ ແລະ ຕິດຕັ້ງ ລວມມີ Fortinet, Palo Alto Networks, Check Point, Sophos, WatchGuard ແລະ SonicWall. ສຳລັບຫ້ອງການຕ່ຳກວ່າ 50 ຄົນ ລຸ້ນ Entry ຂອງຍີ່ຫໍ້ເຫຼົ່ານີ້ໃຊ້ໄດ້ທັງໝົດ ຖ້າເລືອກຂະໜາດຖືກ. ຄວາມແຕກຕ່າງທີ່ເຫັນຊັດແມ່ນຢູ່ທີ່ການຈັດການຈາກສູນກາງ, Report ແລະ ທີມຂອງທ່ານຄຸ້ນເຄີຍກັບໜ້າຈໍໃດ. ເບິ່ງຂອບເຂດງານຕິດຕັ້ງໄດ້ທີ່ໜ້າ Next-Gen Firewall.

ສົ່ງຕົວເລກສອງຢ່າງມາໃຫ້ພວກເຮົາ

ບອກຄວາມໄວອິນເຕີເນັດຂອງແຕ່ລະສະຖານທີ່ (ສາຍຫຼັກ ແລະ ສາຍສຳຮອງ) ແລະ ຈຳນວນຜູ້ໃຊ້/ອຸປະກອນທີ່ຢູ່ຫຼັງ Firewall ແຕ່ລະເຄື່ອງ. ພວກເຮົາຈະຕອບກັບເປັນຂະໜາດລຸ້ນຂອງແຕ່ລະສະຖານທີ່, ຕົວເລກ Throughput ທີ່ໃຊ້ຄິດໄລ່ ແລະ License ທີ່ແຕ່ລະເຄື່ອງຕ້ອງມີ.