مقایسه فایروال های FortiGate 1800F و PA-5200

هنگامی که صحبت از مقایسه دو فایروال قدرتمند و رده بالا به میان می‌آید، ارزیابی ویژگی‌های فنی سخت است، زیرا هریک مزایا، نقاط قوت و ضعف خاص خود را دارند. در دنیای امنیت شبکه، رقابت بین دو غول بزرگ یعنی شرکت‌های فورتی‌نت (Fortinet) و پالو آلتو نتورکس (Palo Alto Networks) همواره در جریان است. سری FortiGate 1800F و سری PA-5200 هر دو به عنوان فایروال‌های نسل بعدی در رده محصولات سازمانی و دیتاسنتری قرار می‌گیرند و در گزارش‌های گارتنر به عنوان رهبران بازار شناخته می‌شوند. فورتی‌نت با تکیه بر تراشه‌های اختصاصی خود به دنبال دستیابی به بالاترین کارایی و کمترین تاخیر است، در حالی که پالو آلتو بر هوشمندی نرم‌افزاری تاکید دارد و همواره به این نکته اشاره دارد که فایروال‌های این شرکت از اولین محصولات این حوزه هستند که یادگیری ماشین (ML-Powered) را مورد استفاده قرار داده‌اند. در این مقاله قصد داریم دو فایروال هم‌رده و قدرتمند در حوزه دیتاسنتر یعنی فایروال‌های FortiGate 1800F و سری PA-5200 را از منظر جنبه‌های فنی، عملیاتی و مدل‌های لایسنسینگ مورد مقایسه قرار می‌دهیم.

معماری فنی و قدرت سخت‌افزاری

تفاوت بنیادین این دو فایروال در معماری پردازشی آن‌ها نهفته است. سری FortiGate 1800F از واحدهای پردازش امنیتی اختصاصی (SPU) شامل پردازنده شبکه NP7 و پردازنده محتوا CP9 استفاده می‌کند. پردازنده NP7 وظایف سنگین شبکه مانند محاسبات فرامقیاس، ایجاد سریع نشست‌ها و پایان هوشمندانه ترافیک VPN و VXLAN را به صورت سخت‌افزاری انجام می‌دهد تا تاخیر به حداقل (۳.۲۲ میکروثانیه) برسد. در مقابل، سری PA-5200 از معماری تک-گذر (Single-Pass) بهره می‌برد که در آن شناسایی اپلیکیشن، رمزگشایی، و بازرسی تهدیدات تنها در یک مرحله پردازش می‌شوند. پالو آلتو در این سری از پردازنده و حافظه اختصاصی در ارتباط با بخش‌های مختلف مدیریت، شبکه و امنیت استفاده کرده است تا عملکردی پیش‌بینی‌پذیر هنگام فعال‌سازی تمام سرویس‌های امنیتی ارائه دهد.

از نظر پورت‌ها و واسط‌های ارتباطی، FortiGate 1800F مجهز به 4 پورت 100 گیگابیتی QSFP28 به همراه 12 پورت 25 گیگابیتی و پورت‌های مسی متعددی است که انعطاف‌پذیری بالایی را در یک شاسی 2 یونیت ارائه می‌کند. در سمت دیگر، مدل‌های بالاتر سری PA-5200 مانند PA-5260/5280 نیز از پورت‌های 100 گیگابیتی QSFP28 پشتیبانی می‌کنند، اما شاسی آن‌ها بزرگ‌تر بوده و فضای 3 یونیت از یک رک استاندارد را اشغال می‌کنند.

مقایسه عملکرد و توان عملیاتی

از منظر توان عملیاتی، اعداد و ارقام در نوع خود جالب توجه هستند. فورتی‌گیت 1800F در لایه شبکه یا همان Layer 4 با توان 198 گیگابیت بر ثانیه پیشتاز است. با این حال، عملکرد پالو آلتو را بر اساس ترافیک واقعی اپلیکیشن‌ها است که برای مدل PA-5260 معادل 55 گیگابیت بر ثانیه است. در بخش محافظت در برابر تهدیدات (Threat Protection) که تمام سرویس‌های امنیتی فعال هستند، فورتی‌گیت توان 15 گیگابیت بر ثانیه را ارائه می‌دهد، در حالی که پالو آلتو در سناریوی مشابه برای مدل PA-5260 توان 31 گیگابیت بر ثانیه را ارائه می‌دهد. این تفاوت نشان می‌دهد فورتی‌گیت در ترافیک‌های حجیم لایه 4 بسیار قدرتمند است، اما پالو آلتو در پردازش‌های عمیق امنیتی لایه 7 پایداری بالایی از خود نشان می‌دهد.

قابلیت‌های امنیتی و هوش مصنوعی

هر دو محصول از هوش مصنوعی و یادگیری ماشین برای مقابله با تهدیدات مدرن استفاده می‌کنند. پالو آلتو در سری PA-5200 یادگیری ماشین را در هسته سیستم‌عامل (PAN-OS) گنجانده است تا بدافزارهای ناشناخته و حملات فیشینگ را به صورت آنلاین و بدون نیاز به بررسی امضا شناسایی کند. همچنین، ویژگی App-ID در پالو آلتو ترافیک را بر اساس ماهیت برنامه و نه پورت شناسایی می‌کند. فورتی‌نت نیز از سرویس‌های FortiGuard بهره می‌برد که شامل جلوگیری از بدافزارهای روز صفر (Zero-day) به صورت آنلاین و با تکیه بر هوش مصنوعی است. همچنین، فورتی‌گیت اولین فایروالی است که قابلیت دسترسی شبکه با اعتماد صفر (ZTNA) را به صورت داخلی یکپارچه کرده تا کنترل دقیقی بر دسترسی کاربران به اپلیکیشن‌ها در اختیار سازمان‌ها و کارشناسان امنیتی قرار دهد.

این فایروال‌ها در چه سناریوهایی بهترین عملکرد را دارند؟

سری FortiGate 1800F بهترین گزینه برای محیط‌های فرامقیاس و دیتاسنترهایی است که به تعداد نشست‌های بسیار بالا و تاخیر ناچیز نیاز دارند. همچنین به دلیل پشتیبانی سخت‌افزاری از استانداردهای 4G/5G و CGNAT، برای اپراتورهای موبایل بسیار ایده‌آل است. همچنین، فورتی‌گیت به دلیل قابلیت‌های داخلی SD-WAN، برای سازمان‌هایی که به دنبال تجمیع امنیت و شبکه در شعب خود هستند، بسیار کاربردی است.

سری PA-5200 در نقش دروازه اینترنتی (Internet Gateway) سازمان‌های بزرگ که نیاز به بازرسی دقیق ترافیک وب و شناسایی اپلیکیشن‌های SaaS دارند، می‌درخشد. این سری به دلیل قدرت بالا در شناسایی دستگاه‌های اینترنت اشیا بدون نیاز به سنسور اضافی، برای محیط‌های صنعتی و بیمارستانی که تجهیزات متصل زیادی دارند، توصیه می‌شود. همچنین برای سازمان‌هایی که از مدیریت متمرکز قدرتمند Panorama استفاده می‌کنند، پالو آلتو تجربه مدیریتی یکپارچه‌تری را فراهم می‌سازد.

سیستم لایسنس‌دهی و خدمات

مدل لایسنس‌دهی در این دو برند متفاوت است. فورتی‌نت معمولا سرویس‌های خود را در قالب باندل‌های امنیتی ارائه می‌دهد و در مقایسه با پالو آلتو مقرون به صرفه‌تر است. این باندل‌ها شامل Enterprise Protection، Unified Threat Protection و Advanced Threat Protectionهستند. هر باندل مجموعه‌ای از سرویس‌ها مانند IPS، آنتی‌ویروس، فیلترینگ وب و Sandbox را شامل می‌شود. همچنین، برای فعال‌سازی ویژگی‌های خاص سخت‌افزاری در دیتاسنترهای عظیم، لایسنس جداگانه‌ای تحت عنوان Hyperscale Firewall License مورد نیاز است.

پالو آلتو از مدل اشتراک‌های امنیتی استفاده می‌کند که هر یک باید به صورت جداگانه یا در قالب بسته‌های پیشنهادی خریداری شوند که به آن‌ها باندل می‌گویند. این اشتراک‌ها شامل Advanced Threat Prevention برای IPS به همراه Command-and-Control و Advanced WildFire برای تحلیل فایل‌های مخرب Advanced URL Filtering، DNS Security، IoT Security و SaaS Security هستند. همچنین در پالو آلتو، افزایش تعداد سیستم‌های مجازی (Virtual Systems) فراتر از ظرفیت پایه، مستلزم خرید لایسنس جداگانه است.

مزایا و معایب

هنگامی که صحبت از مزایا و معایب به میان می‌آید، تمرکز بیشتر بر مزایا است، زیرا هر دو محصول در نوع خود از بهترین‌های بازار هستند. به طور کلی، مزایای FortiGate 1800F را می‌توان در موارد زیر خلاصه کرد:

• عملکرد سخت‌افزاری فوق‌العاده و تاخیر بسیار کم به دلیل تراشه‌های ASIC.

• قیمت به صرفه‌تر به ازای هر گیگابیت توان عملیاتی.

• یکپارچگی قابلیت‌های SD-WAN و ZTNA بدون هزینه اضافی در سطح سیستم‌عامل.

• مصرف برق بهینه و ابعاد کوچکتر در ابعاد 2 یونیت.

معایب

• پیچیدگی تنظیمات در برخی سناریوهای پیشرفته به دلیل ماهیت سخت‌افزار-محور.

• گزارش‌گیری داخلی محدودتر نسبت به پلتفرم‌های مدیریتی رقیب.

در سویی دیگر مزایای PA-5200را می‌توان در موارد زیر خلاصه کرد:

• دقت بسیار بالا در شناسایی اپلیکیشن‌ها (App-ID) و کنترل لایه 7.

• امنیت هوشمند مبتنی بر یادگیری ماشین در هسته سیستم‌عامل.

• شناسایی و امنیت عالی برای تجهیزات اینترنت اشیا.

• مدیریت متمرکز و بسیار قدرتمند از طریق Panorama.

از معایب PA-5200 به موارد زیر باید اشاره کرد:

• هزینه کل (TCO) معمولا بالاتر در مقایسه با فورتی‌گیت.

• اشغال فضای بیشتر در رک (3 یونیت) و مصرف برق بالاتر (تا ۸۷۰ وات).

• تاخیر پردازشی بیشتر نسبت به فایروال‌های مبتنی بر تراشه اختصاصی ASIC.

با توجه به توضیحاتی که ارائه کردیم باید بگوییم فایروال FortiGate 1800F برای دیتاسنترهایی با ترافیک بسیار حجیم و محیط‌های فرامقیاس مناسب‌تر است. ما فورتی‌گیت 1800F را به دلایل زیر به سازمان‌ها پیشنهاد می‌کنیم:

• توان عملیاتی بسیار بالا (Throughput): سری FortiGate 1800F توان عملیاتی فایروال (L4) را تا 198 گیگابیت بر ثانیه ارائه می‌دهد. در مقابل، بالاترین مدل‌های سری پالو آلتو PA-5200 مثل PA-5260 و PA-5280 توان عملیاتی فایروال را بر اساس ترافیک واقعی اپلیکیشن (Appmix) معادل 55 گیگابیت بر ثانیه ارائه می‌دهند.

• تاخیر بسیار ناچیز (Latency): فایروال فورتی‌گیت 1800F به دلیل بهره‌گیری از پردازنده شبکه اختصاصی NP7، تاخیری در حد 3.22 میکروثانیه دارد. این ویژگی برای دیتاسنترهایی که تراکنش‌های حساس به زمان دارند، حیاتی است.

• معماری سخت‌افزاری ASIC : فورتی‌نت از تراشه‌های اختصاصی SPU یا همان واحد پردازش امنیتی استفاده می‌کند که وظایف سنگین شبکه را از پردازنده اصلی دریافت کرده و فرآیند شتاب‌دهی سخت‌افزاری را انجام می‌دهد. این موضوع باعث می‌شود در محیط‌های با تراکنش بالا، فایروال به گلوگاه شبکه تبدیل نشود.

• مدیریت ترافیک حجیم (Elephant Flows): پردازنده NP7 در فورتی‌گیت 1800F به طور ویژه برای مدیریت جریان‌های داده بسیار بزرگ و طولانی و ایجاد و پیکربندی سریع نشست‌ها (Session Setup) طراحی شده است که در محیط‌های دیتاسنتری با ترافیک بالا بسیار رایج هستند.

• ظرفیت نشست‌های همزمان: با فعال‌سازی لایسنس Hyperscale Firewall، فورتی‌گیت 1800F می‌تواند تا 40 میلیون نشست همزمان TCP را پشتیبانی کند. اگرچه پالو آلتو PA-5280 تا 64 میلیون نشست را پشتیبانی می‌کند، اما از نظر سرعت پردازش خام ترافیک، فورتی‌گیت برتری عددی قابل توجهی دارد.

در مجموع، در حالی که سری پالو آلتو PA-5200 برای دیتاسنترهای با سرعت بالا و امنیت لایه 7 بسیار قدرتمند است، اما FortiGate 1800F به دلیل معماری سخت‌افزاری بهینه‌شده برای سرعت‌های فوق‌بالا، در سناریوهایی که حجم ترافیک و کاهش تاخیر اولویت اول هستند، گزینه برتر محسوب می‌شود.

کلام آخر

انتخاب بین این دو فایروال به نیازهای استراتژیک سازمان بستگی دارد. اگر سازمان شما دیتاسنتری بزرگ با حجم ترافیک عظیم است که سرعت، مقیاس‌پذیری بالا و تاخیر کم حرف اول را در آن می‌زنند، FortiGate 1800F با قدرت سخت‌افزاری NP7 خود برنده مطلق است. با این حال، اگر نیاز به امنیت فوق‌العاده دقیق در لایه اپلیکیشن، شناسایی هوشمند تهدیدات ناشناخته و مدیریت متمرکز پیشرفته دارید، سری PA-5200 پالو آلتو با وجود هزینه بالاتر، ابزارهای دقیق‌تری را در اختیار تیم امنیت قرار می‌دهد. هر دو محصول بالاترین سطح استانداردهای امنیتی را فراهم می‌کنند و پیاده‌سازی صحیح آن‌ها، امنیت شبکه شما را در برابر حملات پیچیده تضمین خواهد کرد.

حمیدرضا تائبی