#fortinet

Fortinet to producent urządzeń i oprogramowania sieciowego, a do małych firm trafia przede wszystkim jego linia FortiGate, czyli urządzenia stojącego na granicy między siecią firmy a internetem. Porównanie, które oddaje logikę zakupu, to drukarka. Samo urządzenie kupuje się raz, ale bez materiałów eksploatacyjnych drukuje coraz gorzej, a rachunek za trzy lata jest sumą obu pozycji, nie ceny z metki.

Co robi takie urządzenie

FortiGate łączy w jednej obudowie kilka funkcji, które kiedyś wymagały osobnych pudełek. Zapora sieciowa rozstrzyga, jaki ruch przechodzi między sieciami. Kanały szyfrowane pozwalają pracownikom sięgnąć do zasobów biura z domu, a oddziałom łączyć się między sobą. Rozdzielenie sieci na wydzielone części oddziela od siebie księgowość, produkcję, kamery i sieć dla gości. Do tego dochodzi filtrowanie treści oraz sprawdzanie ruchu pod kątem znanych ataków.

Wszystko to konfiguruje się z jednego panelu i właśnie dlatego firmy sięgają po takie rozwiązanie zamiast składać je z kilku urządzeń różnych producentów.

Sprzęt to jedna pozycja, usługi to druga

Tu leży rzecz, która najczęściej zaskakuje przy odnowieniu. Fortinet rozdziela dwie kategorie usług i sprzedaje je osobno.

FortiCare to obsługa klienta: wsparcie techniczne producenta oraz wymiana uszkodzonego sprzętu. FortiGuard to subskrypcje usług bezpieczeństwa, czyli tego, co karmi urządzenie wiedzą o świecie: rozpoznawanie ataków, ochrona przed szkodliwym oprogramowaniem, filtrowanie stron i zapytań o adresy.

Rozdzielenie ma bezpośredni skutek finansowy. Urządzenie kupuje się raz, a funkcje bezpieczeństwa działają na subskrypcjach odnawianych cyklicznie, więc o wydatku w perspektywie trzech lat decyduje w większym stopniu druga pozycja niż pierwsza. Ofertę porównuje się więc w takim właśnie oknie czasowym, a nie po cenie samego pudełka.

Jak czytać parametry z karty katalogowej

Karty katalogowe podają kilka różnych przepustowości i nie są one wymienne. Wartość dla samej zapory jest zawsze najwyższa, bo opisuje przepuszczanie ruchu bez zaglądania do środka. Wartości dla sprawdzania ruchu pod kątem ataków i dla pełnej ochrony są niższe, czasem wielokrotnie, bo każda kolejna funkcja to praca, którą urządzenie musi wykonać na każdym pakiecie.

Osobną pozycją jest sprawdzanie ruchu szyfrowanego. Ponieważ dziś prawie cały ruch w internecie jest szyfrowany, to właśnie ta liczba, a nie pierwsza z listy, opisuje odczucia użytkowników. Wszystkie te wartości pochodzą z pomiarów w warunkach opisanych przez producenta w karcie i rzeczywista wydajność w firmie zależy od włączonych funkcji oraz od charakteru ruchu.

Praktyczny wniosek jest jeden: model dobiera się do przepustowości łącza i do funkcji, które faktycznie będą włączone, z zapasem na wzrost. Urządzenie dobrane po najwyższej liczbie z karty zaczyna dławić łącze dokładnie wtedy, gdy administrator włączy pełne sprawdzanie ruchu.

Gdzie to stoi i co jeszcze wymaga uwagi

Zwykle w szafie przy łączu, jako jedyne urządzenie na granicy sieci. Z tego wynika najważniejsza właściwość takiej konstrukcji: wszystko w jednym pudełku znaczy również, że awaria tego pudełka odcina całą firmę od internetu i od zdalnego dostępu. Firmy, dla których przestój jest kosztowny, kupują drugie urządzenie i łączą je w parę, i to jest wydatek, o którym warto wiedzieć przy pierwszej rozmowie, a nie po awarii.

Druga sprawa to oprogramowanie. Urządzenie brzegowe jest widoczne z internetu, więc luki w jego oprogramowaniu są łakomym celem i wymagają aktualizacji, a te bywają odkładane, bo restart urządzenia oznacza przerwę w pracy całej firmy. Panel zarządzania wystawiony na internet zamiast na sieć wewnętrzną albo kanał szyfrowany jest osobnym, częstym błędem.

Kiedy to nie jest odpowiedni sprzęt

Biuro z kilkoma komputerami, bez oddziałów, bez pracy zdalnej i bez serwerów udostępnianych na zewnątrz nie wykorzysta połowy tych funkcji, a zapłaci za nie w subskrypcjach. Takie urządzenie nie zastąpi też ochrony na komputerach: ruch pracownika w domowej sieci nie przechodzi przez firmowy brzeg. I nie naprawi wolnego internetu, bo przepustowość łącza jest umową z dostawcą, a nie parametrem urządzenia.