เลือก Firewall ให้ถูกขนาด: UTM กับ NGFW ต่างกันจริงตรงไหน

เสียงบ่นที่เราได้ยินบ่อยที่สุด

"ซื้อ Firewall ใหม่มา แต่เน็ตกลับช้าลง" ส่วนใหญ่เครื่องไม่ได้เสีย มันถูกเลือกจากตัวเลขที่ใหญ่ที่สุดใน Datasheet จากนั้นมีคนเปิด IPS, Web Filtering และ SSL Inspection ความเร็วจริงจึงเหลือแค่เศษเสี้ยวของตัวเลขนั้น บทความนี้อธิบายวิธีเลี่ยงปัญหานี้ และความหมายจริงของ UTM กับ NGFW เมื่อซื้อในปี 2026

UTM และ NGFW: สองชื่อ แต่แทบเป็นสินค้าเดียวกัน

UTM (Unified Threat Management) เริ่มต้นจากเครื่อง "รวมทุกอย่างในกล่องเดียว" สำหรับไซต์ขนาดเล็ก ได้แก่ Stateful Firewall, VPN, Antivirus ที่ Gateway, Web Filtering, IPS และ Anti-spam ภายใต้ License ชุดเดียว

NGFW (Next-Generation Firewall) เริ่มจากอีกฝั่ง จุดขายคือรู้จัก Application โดยไม่ขึ้นกับ Port (Facebook, YouTube, Microsoft 365 หรือ RDP ที่วิ่งบน Port แปลก ๆ) ผูก Rule กับผู้ใช้และกลุ่มจาก Active Directory หรือ Entra ID และตรวจ Traffic ที่เข้ารหัส TLS

ทุกวันนี้ผู้ผลิตแทบทุกรายใส่ฟีเจอร์ทั้งสองชุดไว้ในระบบปฏิบัติการเดียวกัน สิ่งที่แยก "UTM" ออกจาก "NGFW ระดับองค์กร" จริง ๆ คือ

ดังนั้นคำถามไม่ใช่ "UTM หรือ NGFW" แต่คือ "จะเปิดฟีเจอร์ไหนจริง และต้องให้ Traffic ผ่านได้เท่าไรเมื่อเปิดทั้งหมด"

อ่าน Datasheet อย่างไร

ผู้ผลิตประกาศตัวเลข Throughput หลายแบบ ทุกตัวเป็นตัวเลขจริง แต่วัดในเงื่อนไขต่างกัน

• Firewall Throughput วัดด้วย UDP Packet ขนาดใหญ่ (มัก 1518 Byte) และไม่เปิดการตรวจใด ๆ อย่าใช้ตัวเลขนี้คำนวณขนาด
• IPS Throughput และ NGFW Throughput (Firewall + Application Control + IPS) ใกล้ความจริงกว่า
• Threat Protection Throughput เพิ่ม Anti-malware เข้าไปอีกชั้น ถ้าซื้อชุดป้องกันเต็ม ให้คำนวณจากตัวเลขนี้
• TLS/SSL Inspection Throughput มักเป็นตัวเลขต่ำที่สุดในเอกสาร ถ้าวางแผนถอดรหัส Traffic ให้ยึดตัวเลขนี้
• IPsec VPN Throughput จำนวน Tunnel สูงสุด และจำนวนผู้ใช้ VPN พร้อมกัน สำคัญสำหรับสาขาและพนักงานนอกสถานที่
• Concurrent Sessions และ New Sessions per Second สำคัญกับโรงแรม โรงเรียน และที่ที่มีมือถือต่อ Wi-Fi จำนวนมาก

แต่ละแบรนด์นิยาม "Threat Protection" ด้วยรูปแบบ Traffic ของตัวเอง การเทียบสองแบรนด์ด้วยตัวเลขนี้จึงเป็นแค่การประมาณ ให้เทียบรุ่นภายในแบรนด์เดียวกัน และถามผู้ขายว่าทดสอบในเงื่อนไขไหน

ตัวอย่างที่ 1: สำนักงาน 60 คน

สำนักงาน 60 คนในเวียงจันทน์ มีสาย Fiber 300 Mbps และสายสำรอง 100 Mbps จาก ISP อีกราย ใช้ SD-WAN กระจาย Traffic ทั้งสองสาย รวม 400 Mbps เราจะเลือกรุ่นที่มี Threat Protection Throughput อย่างน้อย 600–800 Mbps (1.5–2 เท่า) เผื่อการขยายตลอดอายุใช้งาน 3–5 ปี ถ้าผู้บริหารต้องการเปิด TLS Inspection กับ Web Traffic ทั้งหมดด้วย ให้ดูตัวเลข TLS แทน ซึ่งในรุ่น Entry หลายรุ่นหมายถึงต้องขยับขึ้นอีกหนึ่งขนาด

ตัวอย่างที่ 2: โรงแรม 120 ห้อง

อินเทอร์เน็ต 500 Mbps ไม่ใช่ปัญหาหลัก ปัญหาคือจำนวนอุปกรณ์ แขกห้องละ 2–3 เครื่อง บวกพนักงานและระบบโรงแรม รวมราว 400–450 เครื่องช่วงหัวค่ำ มือถือแต่ละเครื่องเปิด session พร้อมกันได้หลายร้อย จึงต้องดู Concurrent Sessions และ New Sessions per Second ก่อน สำหรับ VLAN ของแขก เราเปิด Firewall, Application Control และจำกัด Bandwidth ต่อคน แต่ไม่ถอดรหัส TLS ของแขก การตรวจเต็มรูปแบบเก็บไว้ให้ VLAN ของพนักงานและระบบบัญชี

เลือกระดับไหน สำหรับไซต์แบบไหน

Remote access: SSL-VPN กำลังถูกเปลี่ยน

SSL-VPN portal เป็นเป้าหมายต้น ๆ ของแฮกเกอร์ในปี 2024–2025 ในทุกแบรนด์ ผู้ผลิตจึงเริ่มเปลี่ยนทิศ ตัวอย่างเช่น Fortinet ยกเลิก SSL-VPN tunnel mode ตั้งแต่ FortiOS 7.6.3 และแนะนำให้ใช้ IPsec VPN (ซึ่งวิ่งผ่าน TCP 443 ได้) แทน การตั้งค่า SSL-VPN เดิมไม่ถูกแปลงให้อัตโนมัติ จึงต้องย้ายก่อนอัปเกรด Firmware ไม่อย่างนั้นพนักงานนอกสถานที่จะเข้าไม่ได้ในเช้าวันรุ่งขึ้น ไม่ว่าแบรนด์ไหน ให้ใส่ MFA ทุกบัญชี VPN ผูกกับ Directory แทนบัญชีในเครื่อง และพิจารณา ZTNA สำหรับแอปสำคัญ รายละเอียดอยู่ใน คู่มือ VPN และ ZTNA

สิ่งที่ต้องเช็กก่อนจ่ายเงิน ในบริบทของลาว

เครื่องและ License มาจากไหน อุปกรณ์ส่วนใหญ่สำหรับลาวมาผ่านตัวแทนจำหน่ายในไทย ถามให้ชัดว่าเครื่องลงทะเบียนใช้งานในลาวได้หรือไม่ ใครเป็นผู้ลงทะเบียน License และการรับประกัน/RMA ยังมีผลหรือไม่เมื่อติดตั้งในลาว บางแบรนด์ผูกการ Support ไว้กับภูมิภาคที่ขาย ให้บัญชี portal ของผู้ผลิตอยู่ในชื่อบริษัทคุณ ไม่ใช่ชื่อผู้ขาย

รุ่นที่ใกล้หมดอายุ ตรวจวัน End-of-Sale และ End-of-Support ก่อนซื้อ โดยเฉพาะเครื่องที่ราคาถูกผิดปกติ ตัวอย่างเช่น Hardware ของ Sophos รุ่น XG หมดอายุและหมดการ Support เมื่อ 31 มีนาคม 2025 SFOS v20 เป็นเวอร์ชันสุดท้ายที่รองรับ และรุ่นที่ใช้แทนคือ XGS แบรนด์อื่นก็มีตารางแบบนี้เช่นกัน

Backup Config เก็บที่ไหน เก็บไฟล์ Config ไว้นอกเครื่องและถือเป็นข้อมูลลับ เพราะมี VPN key และรายละเอียดเครือข่าย ในเดือนตุลาคม 2025 SonicWall ยืนยันว่ามีผู้ไม่ได้รับอนุญาตเข้าถึงไฟล์ Backup ของลูกค้าทุกรายที่ใช้บริการ cloud backup ของตน ถ้า Config ของคุณเคยเก็บไว้ในที่แบบนั้น ให้เปลี่ยนรหัสผ่านและ VPN key

ระยะเวลาเปลี่ยนเครื่อง (RMA) ถ้าเครื่องเสีย เครื่องทดแทนมักข้ามมาจากไทย และศุลกากรอาจเพิ่มเวลาอีกหลายวัน สำหรับไซต์ที่หยุดไม่ได้ HA สองเครื่องหรืออย่างน้อยมีเครื่องสำรองเก็บไว้ ถูกกว่าการไม่มีอินเทอร์เน็ตหนึ่งสัปดาห์

ไฟฟ้า ไฟตกช่วงหัวค่ำที่มีการใช้ไฟสูง และไฟดับสั้น ๆ ตอนพายุเข้า เป็นเรื่องปกติในหลายแขวง Firewall ที่ดับระหว่างอัปเดต Firmware หรือไฟกระชากซ้ำ ๆ อาจทำให้ Config เสีย ให้ต่อ UPS พร้อมกับ Core Switch และ Router ของ ISP

ความร้อนและฝุ่น ในสำนักงานหน้าเหมืองและห้องควบคุมโรงงาน เรามักเห็น Firewall ตัวเล็กวางบนชั้นในห้อง 35 °C ให้เช็กอุณหภูมิใช้งานใน Datasheet และเก็บไว้ในตู้ Rack ที่มีพัดลมและแผ่นกรองฝุ่น

สอง ISP ที่ใช้เส้นทางเดียวกัน สัญญาสองรายบางครั้งยังใช้เสาไฟหรือเส้นทางต้นทางเดียวกัน ถาม ISP ว่าสายเข้าอาคารของคุณอย่างไร ก่อนจะฝากความหวังไว้กับ SD-WAN Failover

License: ส่วนที่หมดอายุ

เมื่อ Subscription หมดอายุ เครื่องยังส่ง Traffic ได้ตามปกติ จึงไม่มีใครสังเกต แต่ Signature ของ IPS ฐานข้อมูล Application หมวด Web Filtering และ Sandbox หยุดอัปเดต และการ Support จากผู้ผลิตก็หยุดไปด้วย ตั้งงบต่ออายุตั้งแต่วันแรก ใส่วันหมดอายุในปฏิทินของผู้รับผิดชอบ และเวลาเทียบใบเสนอราคา ให้เทียบยอดรวม 3 หรือ 5 ปีด้วยชุด License เดียวกัน

สิ่งที่เราเจอเมื่อเข้าไปตรวจ

• Rule "Any to Any Allow" ที่เปิดไว้ชั่วคราววันติดตั้ง ยังอยู่หลายปีต่อมา
• หน้า Admin เข้าได้จากอินเทอร์เน็ต และ Firmware เก่า
• VPN ใช้บัญชีในเครื่อง รวมบัญชีพนักงานที่ลาออกแล้ว และไม่มี MFA
• Log เก็บแค่ในเครื่อง และถูกเขียนทับภายในไม่กี่วัน
• ไม่มี Backup Config เมื่อเครื่องเสียต้องตั้งค่าใหม่จากความจำ
• Port Forward ไปยัง RDP หรือกล้อง CCTV ตรงจากอินเทอร์เน็ต

ก่อนเซ็นใบสั่งซื้อ

1. คำนวณจาก Threat Protection (หรือ TLS Inspection) Throughput ไม่ใช่ Firewall Throughput
2. ชุด License วันเริ่ม และวันหมดอายุ ระบุไว้ในใบเสนอราคา
3. ตรวจวัน End-of-Sale และ End-of-Support ของรุ่นแล้ว
4. ยืนยันเงื่อนไข RMA และเวลาเปลี่ยนเครื่องถึงไซต์ของคุณจริง
5. ตกลงแผนตั้งค่า: Rule Base, VPN พร้อม MFA, ปลายทาง Log และ Backup Config
6. มีชื่อผู้รับผิดชอบอัปเดต Firmware และทบทวน Rule ทุกไตรมาส

แบรนด์ที่เราจัดหาและติดตั้ง ได้แก่ Fortinet, Palo Alto Networks, Check Point, Sophos, WatchGuard และ SonicWall สำหรับสำนักงานไม่เกิน 50 คน รุ่น Entry ของแบรนด์เหล่านี้ใช้ได้ทั้งหมดถ้าเลือกขนาดถูก ความต่างที่เห็นชัดอยู่ที่การจัดการจากส่วนกลาง รายงาน และทีมของคุณถนัดหน้าจอของใคร ดูขอบเขตงานติดตั้งได้ที่หน้า Next-Gen Firewall

ส่งตัวเลขสองตัวมาให้เรา

บอกความเร็วอินเทอร์เน็ตของแต่ละไซต์ (สายหลักและสายสำรอง) และจำนวนผู้ใช้/อุปกรณ์หลัง Firewall แต่ละตัว เราจะตอบกลับเป็นขนาดรุ่นของแต่ละไซต์ ตัวเลข Throughput ที่ใช้คำนวณ และ License ที่แต่ละเครื่องต้องมี