Fortinet、Sophos、SonicWall 防火墙怎么选：老挝多站点

我们实际被问到的问题

"我们的防火墙订阅下个月到期，续费报价刚到。是续费，还是换 Fortinet、Sophos 或 SonicWall？我们总部在万象，外省还有三个分支，品牌到底有没有区别？"

单说拦截流量，品牌的区别比大家想的小，三家的防火墙都够用。真正有区别的是：多站点怎么管、续费时要盯什么、下一个远程访问漏洞公布后你能多快打补丁。本文就按这几点对比三家。关于选型尺寸和 UTM 与 NGFW 的区别，请先看防火墙选购指南。

三家对比

没有哪一列每行都赢，这正是这张表要说明的。

管理：一台很简单，二十台才是真考验

只有一个办公室时，三家的本地 Web 控制台都够用。问题从第四、第五个站点开始：有人在一个分支改了规则，忘了改其他分支，半年后没人知道为什么分支 3 能访问财务服务器、分支 4 却不行。

Fortinet 有两个层级。FortiGate Cloud 负责少量设备的基础监控和配置备份。FortiManager 才是正经工具：向多台防火墙下发策略包、保留修改记录、计划固件升级。功能强，但要培训才能用好。

Sophos Central 学习成本最低。防火墙、终端和 Sophos AP 都在同一个云控制台，可以在那里安排固件升级，分组策略可用于多个站点。代价是只有云端，管理面依赖你的网络和厂商的云。

SonicWall 的 Network Security Manager 可从云端或本地管理多台防火墙，有模板和 zero-touch 部署。能用，体验取决于你的硬件有多新。

我们的原则：超过三个站点，先选管理工具，再选设备。

站点间的 SD-WAN 和 VPN

三家都把 SD-WAN 内置在防火墙里。老挝常见的分支是一条光纤加 4G 或 LEO 卫星互联网备份，不需要另买设备。你真正买的是策略引擎：测量每条链路的延迟和丢包、把语音和视频走更好的线路、修路挖断光纤时自动切换。Fortinet 的 SD-WAN 选项最深，Sophos 和 SonicWall 用更少的配置覆盖常见场景。我们的设计方法见分支 SD-WAN。

站点到站点用 IPsec VPN，三家都稳定。员工远程访问是厂商正在调整的方向：SSL VPN 门户在整个行业都成了严重攻击的目标，厂商在推用户转向 IPsec 客户端和 ZTNA。不管选哪家，远程访问都要加 MFA，管理页面不要暴露到公网。详见VPN 与 ZTNA 指南。

不续费会失效什么

续费报价是一组安全订阅加硬件支持。到期后，设备通常还会继续路由，停掉的是让它成为安全设备的那部分。

具体表现因厂商、型号和套餐而异。到期前，请卖方书面确认你的型号会关掉哪些功能。IPS 特征库停在一年前的防火墙，在仪表盘上看着有保护，实际没有。还要确认下载固件是否需要有效的支持合同，没有的话就打不了补丁。

Datasheet 吞吐量与真实吞吐量

Datasheet 上最大的数字通常是大包、不开检测时的防火墙吞吐量。真实办公流量是混合小包，大部分加密，而且你要开 IPS、应用控制和 Web 过滤。要看的是"威胁防护吞吐量"（各家叫法略有不同），开了 TLS 检测还会再降。

计算示例：总部有两条线路，300 Mbps 和 200 Mbps，同时使用。WAN 合计 = 300 + 200 = 500 Mbps。为增长和突发预留 30%：500 × 1.3 = 650 Mbps。所以要找威胁防护吞吐量至少 650 Mbps 的型号，而不是防火墙标称值等于 650 Mbps 的型号。如果计划对大部分流量开 TLS 检测，就拿单独的 TLS 检测指标和同样的 650 Mbps 比，并做好升一档型号的准备。

温度也有影响。小型桌面防火墙放在 35 °C 房间的封闭柜里，会降频并提前损坏。放在通风处，接 UPS。

固件补丁纪律

这一节决定你的防火墙是防线还是入口。近几年三家厂商都公布过 VPN 和管理界面的严重漏洞，攻击者几天内就开始扫描未打补丁的设备。没有哪个品牌能幸免，所以习惯比标志更重要。

我们在维护的站点上这样做：

• 订阅厂商安全公告，发布当天就看。
• 管理界面不开放到 WAN，只通过集中控制台或 VPN 管理。
• 严重的远程访问漏洞几天内打补丁，不等季度窗口。
• 每次升级前备份配置，并在设备外保留一份。
• 停留在稳定分支。Fortinet 默认选标注 mature 的版本；Sophos 保持自动 hotfix 开启。
• 在下班时间升级，避开 17:00–19:00 停电高峰，设备接好 UPS。

如果公司里没人做这件事，就要为找人做预留预算。我们的运维方式见下一代防火墙。

不同场景我们会怎么选

• 小办公室、单站点、有本地安装商：SonicWall 或 Sophos。两者都直接，选你的安装商熟悉、在你所在省份能支持的那家。
• 总部加多个分支、IT 团队小：Sophos，因为 Sophos Central 不用额外服务器就能在一个界面看到所有站点。Fortinet 加 FortiGate Cloud 紧随其后。
• 分支多、流量大、有自己的网络工程师：Fortinet，看重 SD-WAN 深度、FortiManager 和单机吞吐。
• 有 OT 网络、靠发电机供电的工厂或矿山：Fortinet，型号范围广、分段功能强，前提是有人能驾驭它的复杂度。如果承包商会接笔记本电脑，配合零信任 NAC。
• 酒店：三家都可以，按客人流量选型。重点是把客人 Wi-Fi、PMS 和 CCTV 网络干净地隔离，而不是品牌。
• 已经在用 Sophos 终端的公司：选 Sophos 防火墙，用上共享的健康状态。

下一步

续费或更换之前，通过 WhatsApp 发给我们三样东西：当前防火墙仪表盘截图（型号、固件版本、订阅到期日）、各站点的网速、站点数量。我们会告诉你续费是否值得、先修什么、三家里哪家适合你的架构。