Sophos XG135 oder FortiGate 80F

[owl2010]

Guten Morgen,
ja also ich glaube auch, wenn ich die XG mit neuer Hardware und Lizenzen günstiger bekomme als nur eine reine Lizenzverlängerung meiner jetzt bestehenden SG dann werde ich auf die XG setzen. Ich denke ja auch, dass diese immer weiter gepflegt und optimiert wird seitens Sophos. Wie gestalte ich denn am besten dann die Ablösung der SG durch die XG - kann ich die XG irgendwie parallel mit anpassen?

 

[Rubbiator]

Guten Morgen,
Ich würde mir ein Interface völlig außerhalb deiner eigentlichen Netze fertig machen, welches du später nicht mehr benötigst und dann nach und nach die Interfaces, die du brauchst einrichten und dann von SG auf XG umstecken, um direkt alles für dieses Interface testen zu können.
Störst den laufenden Betrieb damit nicht und kannst dir in Ruhe alles fertig machen.
Dann kannst du in Ruhe bei der SG spicken

 

[owl2010]

Kann ich denn auch einfach per Laptop/PC direkt auf die XG gehen und alle Regeln etc. offline in dieser Einstellen ohne dass die XG einen Internetzugang hat?

 

[Joe Dalton]

Kann ich denn auch einfach per Laptop/PC direkt auf die XG gehen und alle Regeln etc. offline in dieser Einstellen ohne dass die XG einen Internetzugang hat?

Du gibst einfach der XG eine interne IP in einem Deiner Netze (LAN, Internetzugang via alte FW) und kannst sie konfigurieren. Während der Migration schaltest Du nur noch die Interfaces scharf und passt ggfs. das Routing/Default Gateway an. Die Gelegenheit solltest Du nutzen, um das alte Regelwerk von Altlasten zu befreien.

Solltest Du noch keinen FW-Cluster haben: Sieh zu, dass Du nach Möglichkeit die gleiche HW-Revision wie die bestehende SG kaufst. Dann kannst Du im Nachgang einen active-passive Cluster aufbauen - ohne zusätzliche Lizenzen.

 

[owl2010]

Danke für die Info!
Was genau meinst du mit FW-Cluster? Meinst du, dass ich dann eine Backup-Firewall habe, wenn die XG ausfallen sollte?

 

[Joe Dalton]

Danke für die Info!
Was genau meinst du mit FW-Cluster? Meinst du, dass ich dann eine Backup-Firewall habe, wenn die XG ausfallen sollte?

Genau, weil am Ende des Tages möchte man nicht auf den Händen sitzen müssen, wenn die FW-Hardware die Flügel streckt.

 

[owl2010]

D.h. es würden dann beide FW laufen oder nur die XG und die SG lasse ich stromlos, bis die XG ausfällt?
Wie soll das Ganze denn mit den Lizenzen funktionieren?

 

[Joe Dalton]

D.h. es würden dann beide FW laufen oder nur die XG und die SG lasse ich stromlos, bis die XG ausfällt?
Wie soll das Ganze denn mit den Lizenzen funktionieren?

Vielleicht wäre RTFM zum Thema High Availability angebracht und zwar bevor Du etwas kaufst.

Im HA-Cluster laufen beide FW-Appliances parallel: Der Master leitet den Traffic, verwaltet die Konfiguration/Sessions etc. und hat u.a. die aktive Lizenz. Der Slave/Standby wartet auf den Ausfall des Master und übernimmt dann seine Funktionen. Auf beiden Geräten läuft die gleiche Software (wahlweise UTM oder XG).

Das geht aber nur, wenn beide Appliances gleich sind (nicht nur gleicher Typ wie SG135, sondern auch gleiche Revision). Meines Wissens ist der Hardwareteil bei den UTMs und XGs gleich: sollte aber geprüft werden, ob das immer noch so ist.

Was habt ihr denn aktuell? Eine einzelne SG135? Mit oder ohne den Premium Support?
Wie schlimm trifft euch der Ausfall der Firewall, wenn ihr 24 h nicht online gehen könnt?

 

[owl2010]

Wir haben aktuell eine SG135 rev.2 ohne Premium Support, aber mit Standard-Support.
D.h. wenn ich mir eine XG zulegen würde, müsste die SG eh auf eine XG upgegraded werden?


Ein Ausfall ist nicht so schlimm. Wenn es z.B. die Internetleitung ist, sind wir ja ebenso aufgeschmissen.

 

[Joe Dalton]

D.h. wenn ich mir eine XG zulegen würde, müsste die SG eh auf eine XG upgegraded werden?

Nicht die HW, nur die Software. Bei Revision 2 ist das Thema wahrscheinlich durch: Zumindest bei Infinigate sehe ich nur noch Rev. 3 in der Preisliste.

 

[owl2010]

Ok, das könnte ich dann ja beim DL nachfragen.
Aber angenommen die Revisionen passen zusammen - wie bekomme ich denn die XG-Software darauf? Kann ich das selbst machen oder muss das der DL machen bzw. macht der sowas dann überhaupt?

 

[Joe Dalton]

Ok, das könnte ich dann ja beim DL nachfragen.
Aber angenommen die Revisionen passen zusammen - wie bekomme ich denn die XG-Software darauf? Kann ich das selbst machen oder muss das der DL machen bzw. macht der sowas dann überhaupt?

Wenn die HW soweit passt, dann kannst Du sie selbst installieren. Dokumentation sollte es bei Sophos geben und einen USB-Stick wirst Du sicherlich haben.

 

[owl2010]

Ok, alles klar!
Dann werde ich mal in Erfahrung bringen, ob es die XG auch noch in der Rev. 2 gibt.

 

[DerGast]

Soweit ich mich erinnere hatten die Rev. einen höheren Durchsatz, wäre also eher nicht so der Hit jetzt wegen eines möglich HA-Failovers auf eine alte Hardware zu switchen...
Von hunderten verbauten Astaros und Sophos SGs, kann ich echt mit gutem Gewissen sagen, dass die Ausfallquote extrem gering war. Ich habe selbst ne 120er zu Hause.. 5 Jahre alt.
Wird täglich hart an- und ausgeschaltet (Knöpfchen gedrückt...)..
Zur NOT hast Du ja noch die alte SG die Du theoretisch auch "ready" konfigurieren kannst.
Und wenn Du HA möchtest nutze eben die Promo.. 50% auf die Hardware wäre also 100% für zwei SGs/XGs.

 

[owl2010]

Ok, das Argument ist natürlich dann einleuchtend!
Könnte ich denn dann so vorgehen:
Kaufe mir jetzt die XG mit Lizenzen. Wenn die soweit läuft, nehme ich die alte SG vom Netz. Dann würde ich die alte SG auf eine XG hochziehen. Könnte ich dann die Konfiguration von der neuen XG auf die SG/XG ziehen? Und sollte die neue XG dann mal ausfallen, würde ich die SG/XG ans Netz bringen. Wie sieht es hier mit der Lizenzübertragung aus? Wie mache ich das?

 

[Ortan]

Mhh bzgl. der Lizenzen: Wir haben hier 2 x SG210 (HA) auf UTM laufen und soweit ich das von meinem Sophos Partner weiß, könnte ich kostenlos auf XG umsteigen (für die Laufzeit der UTM Lizenz).
Eventuelle solltest da mal nachfragen ob das auch geht, dann hättest du beide Optionen offen.

 

[Joe Dalton]

Moin,

Soweit ich mich erinnere hatten die Rev. einen höheren Durchsatz, wäre also eher nicht so der Hit jetzt wegen eines möglich HA-Failovers auf eine alte Hardware zu switchen...

Rev. 3 bietet mehr Durchsatz, aber hast Du Dir seine Auslastung angesehen? Ob er 50% oder 75% der Leistung brachliegen lässt, spielt eigentlich keine Rolle. Auch wenn ich ungern Leistung freiwillig hergebe.

Von hunderten verbauten Astaros und Sophos SGs, kann ich echt mit gutem Gewissen sagen, dass die Ausfallquote extrem gering war. Ich habe selbst ne 120er zu Hause.. 5 Jahre alt.
Wird täglich hart an- und ausgeschaltet (Knöpfchen gedrückt...)..
Zur NOT hast Du ja noch die alte SG die Du theoretisch auch "ready" konfigurieren kannst.
Und wenn Du HA möchtest nutze eben die Promo.. 50% auf die Hardware wäre also 100% für zwei SGs/XGs.

Cluster oder den besseren Support: Im Privatbereich ist der Ausfall häufig halb so wild, aber im geschäftlichen Kontext würde ich das Risiko minimieren wollen.

Die direkte Übernahme der Konfiguration inkl. Zertifikaten und Lizenz zwischen Appliances unterschiedlicher Revisionen habe ich noch nicht getestet. Keine Ahnung, wie gut das funktioniert.

 

[DerGast]

Rev. 3 bietet mehr Durchsatz, aber hast Du Dir seine Auslastung angesehen? Ob er 50% oder 75% der Leistung brachliegen lässt, spielt eigentlich keine Rolle. Auch wenn ich ungern Leistung freiwillig hergebe.

Nee, habe ich nicht. Es macht einfach wirtschaftlich betrachtet keinen Sinn jetzt auf die Rev.2 zu "downgraden" um 500 Euro zu sparen - auch mit Hinblick auf einen späteren Wechsel auf die XG.

Cluster oder den besseren Support: Im Privatbereich ist der Ausfall häufig halb so wild, aber im geschäftlichen Kontext würde ich das Risiko minimieren wollen.

Die direkte Übernahme der Konfiguration inkl. Zertifikaten und Lizenz zwischen Appliances unterschiedlicher Revisionen habe ich noch nicht getestet. Keine Ahnung, wie gut das funktioniert.

Recht haste.
Die Promo ist hier für die HA Konfiguration dienlich. Ob er sie benötigt? Keinen Schimmer.
Man könnte nun natürlich auch den Premium Support dazu buchen, dann wäre eine neue Hardware innerhalb von 24 h da.
Allerdings zahlt man auch den schlechten Support... hat man einen Partner in der Ecke der Sophos vertreibt, hilft dieser i.d.R. auch schnell mit "alter" Hardware aus. So war das zumindest bei uns.
Ich persölich würde da auch eher 2x Hardware kaufen und dafür dann Tickets beim Partner - er wäre im Zweifel eh der erste Ansprechpartner und brechnet in der Regel auch den Kontakt zu Sophos. Das wäre dann sozusagen abgefrühstückt.

Der Wechsel von SG und XG ist einfach manuelle Arbeit, alles andere kann aber muss nicht funktionieren - tauchen Fehler auch, schlägt selbst der Support die Hände über'm Kopf zusammen. Das nervt derbe ab.