เลือก Firewall Fortinet FortiGate รุ่นไหนดี ให้เหมาะกับองค์กร

เมื่อเดือนที่แล้ว ผมได้รับสายด่วนจาก IT Manager ของโรงงานแห่งหนึ่งในนิคมอุตสาหกรรมชลบุรี เสียงเขาดูเครียดและตื่นตระหนกมาก เพราะระบบเครือข่ายภายในองค์กรถูกโจมตีด้วย Ransomware แถมอินเทอร์เน็ตสายไฟเบอร์ความเร็ว 1Gbps ที่เพิ่งอัปเกรดมา กลับช้าจนพนักงานทำงานไม่ได้ พอผมเปิดระบบเข้าไปตรวจสอบหน้า Dashboard ของ Firewall ตัวเดิมที่พวกเขาซื้อมาติดตั้งเอง พบว่า CPU ค้างอยู่ที่ 100% ตลอดเวลา เพราะตัวเครื่องประมวลผลการสแกนไวรัสและตรวจสอบการรับส่งข้อมูลไม่ไหว

ปัญหานี้ไม่ได้เกิดจากสายอินเทอร์เน็ตชำรุด หรืออุปกรณ์มีปัญหาแต่อย่างใดครับ แต่เกิดจากการเลือกรุ่นอุปกรณ์ Firewall ไม่สอดคล้องกับปริมาณ Traffic และจำนวนผู้ใช้งานจริง ทำให้เกิดคอขวดขึ้นทันทีที่เปิดใช้งานฟังก์ชันความปลอดภัยระดับสูง คำถามที่ผมมักจะได้รับจากผู้ดูแลระบบและเจ้าของธุรกิจอยู่เสมอคือ เลือก Firewall Fortinet FortiGate รุ่นไหนดี ถึงจะคุ้มค่า ไม่โดนวางยา และรองรับการเติบโตขององค์กรได้จริง บทความนี้ผมจะสรุปจากประสบการณ์ตรงในการวางระบบ Network Security ให้กับลูกค้า SIAM-LOGIN ครับ

ทำไมดูแค่ความเร็ว Firewall Throughput อย่างเดียวถึงไม่พอ?

หนึ่งในความเข้าใจผิดที่เจอบ่อยที่สุด คือการเปิดสเปกชีตดูช่อง Firewall Throughput แล้วเห็นว่ารุ่นเล็กๆ ทำได้สูงถึง 5Gbps หรือ 10Gbps ก็คิดว่าเพียงพอสำหรับเน็ตบ้านหรือเน็ตองค์กรความเร็ว 1Gbps แล้ว แต่ในความเป็นจริง การทำงานของ Fortinet FortiGate ยุคปัจจุบัน เราไม่ได้ใช้มันเป็นแค่ Router สำหรับส่งผ่านข้อมูลอย่างเดียวครับ

เมื่อเราเปิดใช้งานฟีเจอร์ด้านความปลอดภัยแบบจัดเต็ม หรือที่เรียกว่า FortiGuard UTP (Unified Threat Protection) ซึ่งรวมถึง Antivirus, Intrusion Prevention System (IPS), Web Filtering และการทำ Deep Packet Inspection หรือ SSL Inspection ตัว Firewall จะต้องถอดรหัสและชันสูตรแพ็กเกจข้อมูลทุกใบ ซึ่งต้องใช้พลังการประมวลผลสูงมาก ค่าความเร็วที่ใช้งานจริงจึงลดลงมาเหลือเพียง Threat Protection Throughput เท่านั้น ถ้าเลือกเผื่อไว้น้อยเกินไป CPU และ Memory ของเครื่องจะทำงานหนักจนทำให้ระบบเครือข่ายสะดุดทันที

จัดกลุ่ม FortiGate รุ่นยอดนิยมให้เหมาะกับขนาดองค์กร

เพื่อให้เห็นภาพชัดเจน ผมขอแบ่งรุ่นของ Fortinet FortiGate ตามขนาดองค์กรและปริมาณผู้ใช้งานที่ผมมักจะแนะนำให้ลูกค้า SIAM-LOGIN ดังนี้ครับ

1. องค์กรขนาดเล็ก Branch Office และ SME (ผู้ใช้งาน 1 - 50 คน)

สำหรับออฟฟิศขนาดเล็ก หน้าร้าน หรือสาขาย่อยที่มีผู้ใช้งานไม่เกิน 50 คน และมีอินเทอร์เน็ตความเร็ว 500Mbps ถึง 1Gbps อุปกรณ์กลุ่ม Desktop Form Factor ถือว่าตอบโจทย์ได้สมบูรณ์แบบครับ

• FortiGate 40F: เหมาะสำหรับสำนักงานสาขา หรือออฟฟิศที่มีผู้ใช้งานประมาณ 1 - 20 คน ตัวเครื่องใช้ชิปประมวลผล SOC4 ประสิทธิภาพสูง แม้จะเป็นรุ่นเริ่มต้นแต่สามารถทำ Threat Protection Throughput ได้ราวๆ 600 Mbps เพียงพอสำหรับการใช้งานทั่วไปอย่างสบายๆ
• FortiGate 60F / 70F: รุ่นยอดนิยมตลอดกาลสำหรับ SME ไทย รองรับผู้ใช้งาน 20 - 50 คน มีพอร์ตเชื่อมต่อ Gigabit LAN หลายพอร์ต พร้อมหน่วยความจำ RAM ที่มากขึ้น รองรับการเชื่อมต่อ SSL-VPN ของพนักงานที่ทำงานจากภายนอกได้ราบรื่น

2. องค์กรขนาดกลาง และสำนักงานใหญ่ (ผู้ใช้งาน 50 - 200 คน)

เมื่อองค์กรเติบโตขึ้น ปริมาณ Concurrent Sessions และจำนวนอุปกรณ์ IoT รวมถึง Server ภายในจะเพิ่มขึ้นอย่างรวดเร็ว อุปกรณ์ในกลุ่มนี้จะเริ่มมีพอร์ต SFP+ ความเร็ว 10Gbps เพื่อเชื่อมต่อกับ Core Switch

• FortiGate 80F: สำหรับองค์กรที่มีผู้ใช้ 50 - 100 คน จุดเด่นคือมีพอร์ต Bypass และพอร์ต SFP รองรับ Link Aggregation เพิ่มความเสถียรของระบบเครือข่าย
• FortiGate 100F / 120F: รุ่น Rackmount ขนาด 1U ที่ได้รับความนิยมสูงสุดสำหรับ Mid-Enterprise รองรับผู้ใช้ 100 - 200 คน มาพร้อมพอร์ต 10GbE SFP+ และแหล่งจ่ายไฟแบบ Dual Power Supplies เพิ่มความน่าเชื่อถือ มีชิป CP9 ทำงานร่วมกับ NP6XLITE ช่วยเร่งความเร็วการทำ SSL Inspection และ VPN Encryption

3. องค์กรขนาดใหญ่ โรงงานอุตสาหกรรม และ Campus Network (ผู้ใช้งาน 200 - 1,000+ คน)

องค์กรระดับนี้ต้องการความเสถียรสูงสุด ความช้าเพียงไม่กี่วินาทีอาจส่งผลกระทบต่อไลน์การผลิตหรือการให้บริการลูกค้าทันที

• FortiGate 200F / 400F: ออกแบบมาเพื่อรองรับผู้ใช้งานระดับ 200 - 800+ คน มีชิปประมวลผลเฉพาะทาง NP7 (Network Processor 7) และ CP9 (Content Processor 9) ทำงานแยกกันอย่างเป็นเอกเทศ ให้ค่า Threat Protection Throughput ระดับหลาย Gigabits ต่อวินาที รองรับการทำ High Availability (HA) แบบ Active-Passive หรือ Active-Active เพื่อป้องกันระบบล่ม 100%

3 เทคนิคประเมินความต้องการก่อนตัดสินใจสั่งซื้อ

จากประสบการณ์ที่ผมเข้าไปรีโนเวทระบบ Network Security ให้กับหลายบริษัท ผมแนะนำให้ใช้ 3 หลักการนี้ในการประเมินเสมอครับ

1. นับจำนวน Concurrent Sessions และ Devices ไม่ใช่แค่จำนวนคน: ปัจจุบันพนักงาน 1 คนไม่ได้มีแค่คอมพิวเตอร์ 1 เครื่อง แต่อาจมีทั้งสมาร์ตโฟน แท็บเล็ต และนาฬิกาอัจฉริยะ นอกจากนี้ยังมีอุปกรณ์ IoT เช่น กล้องวงจรปิด IP Camera และ Access Point อีกด้วย การคำนวณต้องคูณ 3 ถึง 4 เข้าไปจากจำนวนพนักงานจริง

2. วางแผนการทำ Deep Packet Inspection (SSL Inspection): ทราฟฟิกบนอินเทอร์เน็ตมากกว่า 90% ในปัจจุบันเป็น HTTPS ที่มีการเข้ารหัสไว้ หากคุณต้องการให้ Firewall ตรวจจับมัลแวร์หรือบล็อกเว็บไซต์ที่ไม่เหมาะสมได้จริง เครื่องจะต้องทำการถอดรหัส SSL ซึ่งใช้พลัง CPU สูงมาก ให้ยึดค่า Threat Protection Throughput เป็นหลักในการเลือกรุ่นเสมอ

3. สำรอง Expansion Margin เผื่ออนาคตอย่างน้อย 30%: สัญญาการรับประกันและ License ของ FortiGate มักจะครอบคลุมระยะเวลา 1 ถึง 5 ปี ดังนั้นอย่าเลือกรุ่นที่สเปกพอดีเป๊ะกับปัจจุบัน เพราะหากองค์กรขยายทีมงานในอีก 1-2 ปีข้างหน้า คุณอาจต้องเสียเงินซื้อเครื่องใหม่ซ้ำซ้อน

สรุปการเลือกรุ่น FortiGate ให้คุ้มค่าที่สุด

การเลือก Fortinet FortiGate ไม่ใช่การเลือกซื้อรุ่นที่แพงที่สุด แต่คือการเลือกอุปกรณ์ที่มีสเปกประมวลผลสอดคล้องกับพฤติกรรมการใช้งานจริง Security Policy ที่ต้องการเปิดใช้ และแผนการเติบโตของธุรกิจในอนาคต หากคุณไม่แน่ใจว่าทราฟฟิกในออฟฟิศของคุณเหมาะกับรุ่นไหน หรือต้องการออกแบบระบบ Network Security ที่ปลอดภัยและไม่กระทบความเร็วอินเทอร์เน็ต สามารถปรึกษาผมและทีมงาน SIAM-LOGIN ได้ตลอดเวลาครับ