ในหน้านี้
คำถามที่เราได้รับจริง
"Subscription ไฟร์วอลล์ของเราจะหมดเดือนหน้า และใบเสนอราคาต่ออายุเพิ่งมาถึง ควรต่ออายุ หรือย้ายไป Fortinet, Sophos หรือ SonicWall ดี? เรามีสำนักงานใหญ่ที่เวียงจันทน์และสาขาในต่างแขวงอีกสามแห่ง ยี่ห้อมีผลจริงไหม?"
สำหรับการบล็อกทราฟฟิก ยี่ห้อมีผลน้อยกว่าที่คนคิด ทั้งสามเจ้าทำไฟร์วอลล์ได้ดี แต่มีผลมากกับการบริหารหลายไซต์ สิ่งที่ต้องดูตอนต่ออายุ และความเร็วในการแพตช์เมื่อมีช่องโหว่ remote access ตัวใหม่ประกาศออกมา คู่มือนี้เปรียบเทียบทั้งสามในประเด็นเหล่านี้ ถ้าต้องการพื้นฐานการเลือกขนาดและความต่างของ UTM กับ NGFW อ่านคู่มือเลือกซื้อไฟร์วอลล์ก่อน
เทียบสามยี่ห้อ
| เกณฑ์ | Fortinet (FortiGate) | Sophos Firewall | SonicWall |
|---|---|---|---|
| บริหารจากส่วนกลาง | FortiGate Cloud สำหรับไม่กี่เครื่อง, FortiManager (on-prem หรือ cloud) สำหรับหลายเครื่อง | Sophos Central บนคลาวด์อย่างเดียว คอนโซลเดียวกับ Sophos endpoint | บริหารผ่านคลาวด์ด้วย Network Security Manager มีแบบ on-prem ด้วย |
| SD-WAN | มีในตัว เสถียร ตัวเลือกเยอะ | มีในตัว รูปแบบ policy ง่ายกว่า | มีในตัว ครอบคลุมงานสาขาทั่วไป |
| ระบบนิเวศ | จัดการ FortiSwitch และ FortiAP จากไฟร์วอลล์ | ไฟร์วอลล์แชร์สัญญาณสุขภาพกับ agent ของ Sophos endpoint | มี access point, สวิตช์ และ endpoint client ของตัวเอง |
| อะไหล่และการซัพพอร์ต | ส่วนใหญ่มาผ่านตัวแทนจำหน่ายในไทย หาช่างที่รู้จักได้ง่าย | ผ่านช่องทางในไทย คนหน้างานที่ชำนาญมีน้อยกว่า | ผ่านช่องทางในไทย ตรวจสต็อกรุ่นที่ต้องการก่อนตัดสินใจ |
| นิสัยการออกเฟิร์มแวร์ | ออกบ่อย มีหลายสายพร้อมกัน เลือกเวอร์ชันที่ผู้ผลิตระบุว่า mature | hotfix ติดตั้งอัตโนมัติได้ อัปเกรดใหญ่ทำเอง | แพตช์ทำเอง เคยมีประกาศเตือนเรื่อง remote access ต้องติดตามใกล้ชิด |
| จุดแข็งจริง | throughput ต่อเครื่องสูงเพราะใช้ชิปของตัวเอง ฟีเจอร์ลึกมาก | คอนโซลหลายไซต์ที่ใช้ง่ายที่สุดสำหรับทีมไอทีเล็ก | รุ่นสำนักงานเล็กใช้ง่าย ช่างติดตั้ง SME หลายรายคุ้นเคย |
| จุดอ่อนจริง | ซับซ้อน ตั้งค่าผิดแล้วมองไม่เห็นได้ง่าย | คุ้มที่สุดเมื่อใช้ Sophos endpoint ด้วย | เครื่องมือบริหารเปลี่ยนไปหลายครั้ง เครื่องรุ่นเก่ารู้สึกล้าสมัย |
| เหมาะกับ | หลายไซต์ โรงงาน ไซต์ทราฟฟิกหนัก | SME ที่มีไอทีหนึ่งถึงสองคนและหลายสาขา | สำนักงานเดียวและสาขาเล็กที่มีช่างในพื้นที่ |
ไม่มีคอลัมน์ไหนชนะทุกแถว นั่นคือประเด็นของตารางนี้
การบริหาร: เครื่องเดียวง่าย ยี่สิบเครื่องคือบททดสอบจริง
ถ้ามีสำนักงานเดียว เว็บคอนโซลในเครื่องของทั้งสามเจ้าใช้ได้หมด ปัญหาเริ่มตอนมีไซต์ที่สี่หรือห้า มีคนแก้กฎที่สาขาหนึ่งแล้วลืมสาขาอื่น หกเดือนต่อมาไม่มีใครรู้ว่าทำไมสาขา 3 เข้าเซิร์ฟเวอร์บัญชีได้แต่สาขา 4 เข้าไม่ได้
Fortinet มีสองระดับ FortiGate Cloud ดูแลการมอนิเตอร์พื้นฐานและสำรองคอนฟิกสำหรับไม่กี่เครื่อง FortiManager คือเครื่องมือจริงจัง: ส่ง policy package ไปหลายไฟร์วอลล์ เก็บประวัติการแก้ไข และตั้งเวลาอัปเกรดเฟิร์มแวร์ ทรงพลังแต่ต้องฝึกจึงจะใช้ได้ดี
Sophos Central เรียนรู้ง่ายที่สุด ไฟร์วอลล์ endpoint และ access point ของ Sophos อยู่ในคอนโซลคลาวด์เดียว ตั้งเวลาเฟิร์มแวร์จากที่นั่นได้ และ policy แบบกลุ่มใช้กับหลายไซต์ได้ ข้อแลกคือเป็นคลาวด์อย่างเดียว การบริหารจึงขึ้นกับลิงก์อินเทอร์เน็ตของคุณและคลาวด์ของผู้ผลิต
Network Security Manager ของ SonicWall บริหารไฟร์วอลล์หลายตัวจากคลาวด์หรือ on-prem มี template และ zero-touch deployment ทำงานได้ ประสบการณ์ขึ้นกับว่าฮาร์ดแวร์ของคุณใหม่แค่ไหน
กฎของเรา: ถ้าจะมีมากกว่าสามไซต์ ให้เลือกเครื่องมือบริหารก่อน แล้วค่อยเลือกตัวเครื่อง
SD-WAN และ VPN ระหว่างไซต์
ทั้งสามมี SD-WAN อยู่ในไฟร์วอลล์ จึงไม่ต้องซื้ออุปกรณ์แยกสำหรับสาขาทั่วไปในลาวที่มีไฟเบอร์หนึ่งเส้นพร้อม 4G หรืออินเทอร์เน็ตดาวเทียม LEO เป็นสำรอง สิ่งที่คุณซื้อคือ policy engine: วัด latency และ packet loss ของแต่ละลิงก์ ส่งเสียงและวิดีโอไปเส้นที่ดีกว่า และสลับเส้นเมื่อไฟเบอร์ขาดจากงานถนน Fortinet มีตัวเลือก SD-WAN ลึกที่สุด Sophos และ SonicWall ครอบคลุมกรณีทั่วไปโดยตั้งค่าน้อยกว่า ดูSD-WAN สำหรับสาขาว่าเราออกแบบอย่างไร
สำหรับลิงก์ site-to-site, IPsec VPN ทำงานดีทั้งสามเจ้า ส่วน remote access ของพนักงานคือจุดที่ผู้ผลิตกำลังเปลี่ยน: พอร์ทัล SSL VPN ตกเป็นเป้าการโจมตีร้ายแรงทั่วทั้งอุตสาหกรรม และผู้ผลิตผลักผู้ใช้ไปทาง IPsec client และ ZTNA ไม่ว่าเลือกยี่ห้อไหน ให้ใส่ MFA กับ remote access และอย่าเปิดหน้าแอดมินออกอินเทอร์เน็ต คู่มือ VPN และ ZTNAของเราลงรายละเอียดมากกว่านี้
อะไรหยุดทำงานเมื่อไม่ต่ออายุ
ใบเสนอราคาต่ออายุคือชุด security subscription รวมกับซัพพอร์ตฮาร์ดแวร์ เมื่อหมดอายุ ตัวเครื่องมักยังไม่หยุด routing สิ่งที่หยุดคือส่วนที่ทำให้มันเป็นอุปกรณ์ความปลอดภัย
| มักยังทำงาน | มักหยุดหรือไม่อัปเดต |
|---|---|
| กฎไฟร์วอลล์, NAT, routing | อัปเดต signature ของ IPS |
| IPsec VPN แบบ site-to-site | signature แอนติไวรัสและมัลแวร์ |
| failover ลิงก์ SD-WAN พื้นฐาน | หมวดเว็บฟิลเตอร์และฐานข้อมูลแอปพลิเคชัน |
| การเข้าแอดมินในเครื่อง | วิเคราะห์ sandbox, DNS filtering, ฟีเจอร์คลาวด์ |
| การเปลี่ยนฮาร์ดแวร์ (RMA) และซัพพอร์ตจากผู้ผลิต |
พฤติกรรมจริงต่างกันตามผู้ผลิต รุ่น และชุดบริการ ก่อนถึงวันหมดอายุ ให้ขอให้ผู้ขายยืนยันเป็นลายลักษณ์อักษรว่ารุ่นของคุณจะปิดอะไรบ้าง ไฟร์วอลล์ที่ใช้ signature IPS อายุหนึ่งปีดูเหมือนปลอดภัยบนแดชบอร์ดแต่ไม่ได้ปลอดภัยจริง และตรวจด้วยว่าการดาวน์โหลดเฟิร์มแวร์ต้องมีสัญญาซัพพอร์ตหรือไม่ เพราะถ้าไม่มีก็แพตช์ไม่ได้
Throughput ใน datasheet กับ throughput จริง
ตัวเลขใหญ่ใน datasheet มักเป็น firewall throughput ที่วัดด้วยแพ็กเก็ตขนาดใหญ่และไม่เปิดการตรวจ ทราฟฟิกจริงในสำนักงานเป็นแพ็กเก็ตเล็กปนกัน ส่วนใหญ่เข้ารหัส และคุณต้องการเปิด IPS, application control และเว็บฟิลเตอร์ ตัวเลขที่ต้องดูคือ "threat protection throughput" (แต่ละเจ้าเรียกต่างกันเล็กน้อย) และเมื่อเปิด TLS inspection ตัวเลขจะลดลงอีก
ตัวอย่างคำนวณ สำนักงานใหญ่มีอินเทอร์เน็ตสองเส้น 300 Mbps และ 200 Mbps ใช้งานพร้อมกัน WAN รวม = 300 + 200 = 500 Mbps เราเผื่อ 30% สำหรับการเติบโตและช่วงพีก: 500 × 1.3 = 650 Mbps ดังนั้นเราหารุ่นที่ threat-protection throughput อย่างน้อย 650 Mbps ไม่ใช่รุ่นที่ตัวเลข firewall หัวกระดาษเท่ากับ 650 Mbps ถ้าวางแผนเปิด TLS inspection กับทราฟฟิกส่วนใหญ่ ให้เทียบตัวเลข TLS inspection แยกกับ 650 Mbps เดียวกัน และเตรียมขยับขึ้นอีกรุ่น
ความร้อนก็มีผล ไฟร์วอลล์ตั้งโต๊ะตัวเล็กในตู้ปิดในห้อง 35 °C จะลดประสิทธิภาพและเสียเร็วขึ้น วางให้อากาศถ่ายเท และต่อ UPS
วินัยการแพตช์เฟิร์มแวร์
ส่วนนี้ตัดสินว่าไฟร์วอลล์ของคุณเป็นเกราะหรือเป็นทางเข้า ในช่วงหลายปีที่ผ่านมา ผู้ผลิตทั้งสามเจ้าต่างประกาศช่องโหว่ร้ายแรงในส่วน VPN และหน้าแอดมิน และผู้โจมตีสแกนหาเครื่องที่ยังไม่แพตช์ภายในไม่กี่วัน ไม่มียี่ห้อไหนรอด นิสัยจึงสำคัญกว่าโลโก้
สิ่งที่เราทำในไซต์ที่ดูแล:
- สมัครรับประกาศความปลอดภัยของผู้ผลิตและอ่านในวันที่ออก
- ไม่เปิดหน้าแอดมินทาง WAN บริหารผ่านคอนโซลกลางหรือ VPN เท่านั้น
- แพตช์ช่องโหว่ remote access ร้ายแรงภายในไม่กี่วัน ไม่รอรอบรายไตรมาส
- สำรองคอนฟิกก่อนอัปเกรดทุกครั้ง และเก็บสำเนาไว้นอกเครื่อง
- อยู่บนสายเวอร์ชันที่เสถียร บน Fortinet เวอร์ชันที่ระบุว่า mature ปลอดภัยกว่าเป็นค่าเริ่มต้น บน Sophos ให้เปิด hotfix อัตโนมัติไว้
- วางแผนอัปเกรดนอกเวลางานและเลี่ยงช่วงไฟตก 17:00–19:00 โดยเครื่องต่อ UPS อยู่
ถ้าในบริษัทไม่มีใครทำเรื่องนี้ ให้ตั้งงบสำหรับคนที่จะทำ ดูไฟร์วอลล์ยุคใหม่ว่าเราดูแลอย่างไร
เราจะเลือกยี่ห้อไหนสำหรับ
- สำนักงานเล็ก ไซต์เดียว มีช่างในพื้นที่: SonicWall หรือ Sophos ทั้งคู่ตรงไปตรงมา เลือกตัวที่ช่างของคุณรู้จักและดูแลได้ในแขวงของคุณ
- สำนักงานใหญ่พร้อมหลายสาขา ทีมไอทีเล็ก: Sophos เพราะ Sophos Central เห็นทุกไซต์ในหน้าเดียวโดยไม่ต้องมีเซิร์ฟเวอร์เพิ่ม Fortinet กับ FortiGate Cloud ตามมาติดๆ
- หลายสาขา ทราฟฟิกหนัก มีวิศวกรเครือข่ายในบริษัท: Fortinet เพราะ SD-WAN ลึก, FortiManager และ throughput ต่อเครื่อง
- โรงงานหรือเหมืองที่มีเครือข่าย OT และใช้ไฟจากเครื่องปั่นไฟ: Fortinet เพราะรุ่นให้เลือกมากและฟีเจอร์แบ่งเครือข่าย โดยต้องมีคนจัดการความซับซ้อนได้ ใช้คู่กับ zero-trust NAC ถ้าผู้รับเหมาเสียบแล็ปท็อปเข้าเครือข่าย
- โรงแรม: ยี่ห้อไหนก็ได้ในสามเจ้า เลือกขนาดตามทราฟฟิกแขก สิ่งสำคัญคือแยกเครือข่าย Wi-Fi แขก, PMS และ CCTV ให้ขาดจากกัน ไม่ใช่ยี่ห้อ
- บริษัทที่ใช้ Sophos endpoint อยู่แล้ว: ไฟร์วอลล์ Sophos เพื่อใช้สัญญาณสุขภาพร่วมกัน
ขั้นต่อไป
ก่อนต่ออายุหรือเปลี่ยนยี่ห้อ ส่งสามอย่างให้เราทาง WhatsApp: ภาพหน้าจอแดชบอร์ดไฟร์วอลล์ปัจจุบัน (รุ่น, เวอร์ชันเฟิร์มแวร์, วันหมดอายุ subscription), ความเร็วอินเทอร์เน็ตของแต่ละไซต์ และจำนวนไซต์ที่มี เราจะบอกว่าควรต่ออายุหรือไม่ อะไรต้องแก้ก่อน และยี่ห้อไหนในสามเจ้าเข้ากับโครงสร้างของคุณ
คำถามที่พบบ่อย
ถ้าไม่ต่ออายุ subscription ไฟร์วอลล์จะเกิดอะไรขึ้น?
โดยทั่วไปไฟร์วอลล์ยังคง routing ใช้กฎ และรัน VPN แบบ site-to-site ได้ แต่ signature ของ IPS, แอนติไวรัส, หมวดเว็บฟิลเตอร์, sandbox และฟีเจอร์คลาวด์จะหยุดอัปเดต และสิทธิ์เปลี่ยนฮาร์ดแวร์สิ้นสุด พฤติกรรมจริงขึ้นกับผู้ผลิต รุ่น และชุดบริการ จึงควรขอให้ผู้ขายยืนยันเป็นลายลักษณ์อักษรก่อนวันหมดอายุ ไฟร์วอลล์ที่ signature เก่าดูเหมือนปลอดภัยบนแดชบอร์ด แต่ไม่ได้บล็อกภัยใหม่แล้ว
ทำไมไฟร์วอลล์ช้ากว่า throughput ใน datasheet?
ตัวเลขหัวกระดาษมักวัดด้วยแพ็กเก็ตใหญ่และไม่เปิดการตรวจ เมื่อเปิด IPS, application control, เว็บฟิลเตอร์ และโดยเฉพาะ TLS inspection throughput จริงจะลดลงมาก ให้เลือกขนาดจากตัวเลข threat-protection throughput ตัวอย่าง: สองเส้น 300 และ 200 Mbps รวมเป็น 500 Mbps เผื่อ 30% แล้วต้องมี threat-protection throughput อย่างน้อย 650 Mbps
Fortinet, Sophos และ SonicWall มี SD-WAN ในตัวทุกเจ้าไหม?
มี ทั้งสามเจ้าใส่ SD-WAN ไว้ในไฟร์วอลล์ สาขาที่มีไฟเบอร์พร้อม 4G หรือดาวเทียม LEO เป็นสำรองจึงไม่ต้องซื้ออุปกรณ์แยก ความต่างอยู่ที่ความลึก: Fortinet มีตัวเลือกมากที่สุดและควบคุมจากส่วนกลางผ่าน FortiManager ส่วน Sophos และ SonicWall ครอบคลุมการวัดลิงก์ การเลือกเส้นทาง และ failover ทั่วไปโดยตั้งค่าน้อยกว่า
ควรอัปเดตเฟิร์มแวร์ไฟร์วอลล์บ่อยแค่ไหน?
อ่านประกาศความปลอดภัยของผู้ผลิตในวันที่ออก ช่องโหว่ร้ายแรงใน VPN หรือหน้าแอดมินควรแพตช์ภายในไม่กี่วัน เพราะผู้โจมตีสแกนหาเครื่องที่ยังไม่แพตช์อย่างรวดเร็ว อัปเดตอื่นทำตามรอบรายเดือนหรือรายไตรมาสได้ อยู่บนสายเฟิร์มแวร์ที่เสถียร สำรองคอนฟิกก่อน ไม่เปิดหน้าแอดมินออกอินเทอร์เน็ต และอัปเกรดนอกเวลางานโดยต่อ UPS
ไฟร์วอลล์ยี่ห้อไหนบริหารหลายสาขาง่ายที่สุด?
สำหรับทีมไอทีเล็ก Sophos Central มักเรียนรู้ง่ายที่สุด: ไฟร์วอลล์ endpoint และ access point อยู่ในคอนโซลคลาวด์เดียว ไม่ต้องดูแลเซิร์ฟเวอร์ FortiManager ควบคุม FortiGate จำนวนมากได้ละเอียดกว่าแต่ต้องฝึก Network Security Manager ของ SonicWall ก็บริหารหลายเครื่องได้จากคลาวด์หรือ on-prem เมื่อมีมากกว่าสามไซต์ ให้เลือกเครื่องมือบริหารก่อน
- #firewall
- #fortinet
- #sophos
- #sonicwall
- #sd-wan
- #multi-site
