Austausch FortiGate 60C

[GCCM]

Hallo Zusammen

Da der Support meiner FortiGate 60C langsam ausläuft und bevor ich wieder Support dazu kaufe möchte ich schauen ob es gute Alternativen gibt mit aktuellerer Hardware.

Das Gerät sollte folgende Funktionen mit sich bringen:

• Advanced Routing (Damit ich auch IP TV wieder geschützt habe)
• IPv6 (mindestens für den WAN Port, da bei uns sehr auf IPv6 gesetzt wird im WAN)

- VPN (SSL VPN - bis max. 5 Users)

• AntiVirus (Sprich die Traffic wird kurz gescannt)
• Application Control (ist mehr nice to Have)
• Data Loss Provention (nice to Have, wäre aber wieder richtig geil)
• E-Mail Filter
• Endpoint Control (Sofern es sowas wie einen forticlient gibt)
• Intrusion Protection
• Web Filter
• SSL VPN Portal (also für externe Zugriffe)
• Vulnerabillity Scan
• Erstellen von Regeln was rein und was raus darf

Diese Funktionen wären toll.
Ich weiss gewisse Funktionen bringen als Privat Person nicht viel, da ich jedoch auch als Selbständiger unterwegs bin und hier einen Server stehen habe welcher mit Webservern Kommuniziert möchte ich es schon etwas sicherer haben als eine Normale Privat Person aber auch nicht übertrieben Richtung Bank

WAN Port reicht 1 Stk. Lan wäre ab 2 Stk. in Ordnung.

Netzwerk ist so aufgebaut:
Router (Provider) --> FortiGate 60C --> Switch. Von dem Switch geht es auf die End Geräte sowie einen Asus Router, welcher mir den WLAN Part übernimmt. Dies wird auch so bleiben. Sprich ich benötige einen ersatz für die FortiGate 60C. Evtl. falls man es beim neuen Gerät einrichten kann auch gleich den Router vom Provider (aber das wird wieder eine Sache für sich..)

Ich bin auf folgendes Aufmerksam geworden:
Router USG UniFi Security Gateway
Sind die gut? Ich kenne die UniFi noch gar nicht selbst. Nur immer wieder gesehen.
Budget sollte nicht höher als 180 CHF sein wenn möglich.

Vielen lieben Dank!

 

[.Sentinel.]

@GCCM
Was muss das Ding denn an NGF- Durchsatz (Durchsatz bei Aktivierung der von Dir genannten Features) liefern?
Das Featureset der Fortigate sieht ein gutes Stück umfassender aus.

LG
Zero

 

[GCCM]

Also Grundsätzlich bin ich von der Leistung welche die FortiGate bietet zu frieden - Also SSL VPN Durchsatz usw.
Aktuell ist unser Anschluss auf 200MB/s download und 50 MB/s upload begrenzt. Bald soll jedoch Glasfaser für Gigabit synchron folgen.
bei den VPN's geht es mehr darum Zugriffe auf RDP sowie von Programmen den Zugriff auf die Datenbank der Warenwirtschaft zu ermöglichen. Deswegen ist hierbei der Durchsatz nicht sooooo enorm wichtig.
Der Wichtigste Durchsatz ist auf jedenfalls für intern nach Extern, dass man dort möglichst an den Speed heran kommt.

Hoffe du verstehst was ich meine.
Also sprich ein Aktuelles Gerät mit den selbigen Leistungen wie die Fortigate oder besser wäre ideal
Falls sich kein Gerät finden würde, muss ich eben bei der Firewall bleiben und wieder eine neue Subscription machen, aber eben alte Hardware.. Sollte mal ausgewechselt werden

 

[mcbarney]

Hi,

schau mal auf der Seite https://networkguy.de/. Und schaue dir mal die Themen Sophos UTM Home Edition an.

Habe Sie selbst seit 4 Jahren am laufen. Du musst nur die HW kaufen. Ggf. kannst Du die SW auch auf deiner Fortigate HW installieren. SW ist komplett kostenlos.

Gruß

Dirk

 

[Raijin]

Da der Support meiner FortiGate 60C langsam ausläuft und bevor ich wieder Support dazu kaufe möchte ich schauen ob es gute Alternativen gibt mit aktuellerer Hardware.

Das klingt so als wenn es dir rein um den "Support" geht. Bist du denn ansonsten mit dem FortiGate zufrieden? Hast du den kostenpflichtigen Support regelmäßig genutzt?

Ohne speziell das Modell 60C zu kennen, gehe ich stark davon aus, dass das USG vom Funktionsumfang deutlich schlechter aufgestellt ist. Gerade was du als "aktuelle Hardware" bezeichnest trifft auf das USG nicht zu, da es auf derselben Hardware-Basis aufbaut wie der EdgeRouter-Lite derselben Firma, der nu schon einige Nachfolger bekommen hat.

Wenn du mit der FortiGate zufrieden bist, wüsste ich nicht was du daran ändern solltest. Selbst wenn die Kiste EOL wäre oder gar ist, heißt das nicht, dass da plötzlich aus dem Nichts 38 Sicherheitslücken auftauchen.

Ansonsten kann man sonst zu einem Firewall-OS raten, das auch auf handelsüblicher PC-Hardware installiert werden kann. Beispielsweise Sophos UTM, pfSense/OPNSense oder dergleichen.

Ergänzung (19. Mai 2019)

Die Sicherheit einer (semi)professionellen Firewall kommt im übrigen nicht von allein, sondern hängt 100%ig von der Konfiguration ab. Das heißt, dass selbst eine 1000€ Firewall nicht zwingend sicherer ist als ein 08/15 Heimrouter ist, wenn die Konfiguration nicht stimmt. Das ist so als wenn man ein Auto mit super Airbags und Sicherheitsgurten fährt, die Airbags aber abschaltet und sich nicht anschnallt. Die Konfiguration ist also entscheidend.

 

[GCCM]

@mcbarney

Danke für den Input. Ich schaue es mir einmal an

@Raijin

Auch dir danke für den Input.
Es geht mir mehr darum auch neue Firmware zu erhalten und somit auch die neuesten Viren Definitionen etc. dies erhält man leider bei Fortinet nicht, wenn kein "Support Bundle" abgeschlossen ist. Ist leider etwas schade..
Natürlich ist mir bewusst, dass ein Heimrouter genau so sicher sein kann wie eine Next Gen Firewall, jedoch 1. ist der Heimrouter praktisch nicht konfigurierbar und 2. zumindest hier in der Schweiz kann die Swisscom alle Geräte anschauen etc. welche hinter ihrem Router sind, welches ich nicht möchte.

Die Fortigate ist aktuell auch schon aus anfangs 2014 (zumindest war damals noch die letzte Bestellung des Gerätes möglich). Also ist die Hardware gegen 9 Jahre alt..

Was könntest du mir denn Empfehlen? Mir gefällt eigentlich das konzept von Ubiquiti relativ gut, denn sollte mein Asus Router sterben, könnte ich aufrüsten mit einem AP ohne das ich nachher wieder ein neues Gerät anpassen muss bzw. alles dann über die FW steuern kann.

 

[Raijin]

Wie gesagt, das USG ist ein EdgeRouter-Lite mit an das USG-Gehäuse angepasstem Board-Layout. Der Lite hat auch schon 6 Jahre hinter sich. Unifi ist zwar toll, aber mit deinen Anforderungen ist das USG keine Verbesserung, wenn es denn überhaupt auf Augenhöhe ist.

So gut die Access Points aus Ubiquitis Unifi-Serie auch sind - ich habe selbst welche und empfehle sie regelmäßig - so ehrlich muss ich sagen, dass die übrigen Unifi-Produkte es sehr schwer haben, mit der Konkurrenz mitzuhalten. Weder USG noch die US (Unifi-Switches) würde ich selbst einsetzen. Nur wenn man explizit das komplette Unifi-Ökosystem nutzen möchte, was zugegeben extrem komfortabel ist, ist es sinnvoll, USG und US einzusetzen. Sobald man aber Wert auf den Funktionsumfang legt, sind USG und US nicht die richtige Wahl.

Wenn du wirklich Wert auf Features legst, solltest du ernsthaft über besagte Sophos UTM, pfSense, o.ä. nachdenken. Die kannst du auf mehr oder weniger beliebige Hardware installieren.

Solltest du dennoch mit Ubiquiti liebäugeln, würde ich eher zum EdgeRouter-4 greifen, dem Quasi-Nachfolger des EdgeRouter-Lite und somit des USG, aber natürlich ohne Unifi. Der ER4 ist deutlich performanter als ERL/USG. Aber auch da gilt wieder : Ab Werk sind die Kisten nackt und die Sicherheit kommt erst mit der fachgerechten Konfiguration!