فایروال فورتی گیت سری G نسل جدید سختافزارهای امنیتی شرکت فورتینت است که با بهرهگیری از تراشه اختصاصی SP5، توان پردازش الگوهای امنیتی را بدون کاهش پهنای باند شبکه در لایههای بالا فراهم میکند. این تجهیزات با هدف یکپارچهسازی قابلیتهای SD-WAN و سیستمهای پیشگیری از نفوذ (IPS) در شبکههای سازمانی با ترافیک سنگین طراحی و تولید شدهاند.
ارتقای زیرساخت امنیتی در سازمانهای دولتی و ارگانهای بزرگ، نیازمند نگاهی فراتر از کاتالوگهای تجاری است. در معماری شبکههای بزرگ (Enterprise)، گلوگاههای اصلی معمولاً در زمان فعالسازی قابلیتهای عمیق امنیتی مانند دکشنریهای IPS، بازرسی ترافیک رمزنگاریشده (SSL/TLS Inspection) و آنتیویروس تحت شبکه نمایان میشوند. سری G فورتیگیت با معماری نوین پردازندههای سیگنال تخصصی خود، این چالش قدیمی دپارتمانهای IT را برطرف کرده است.
انتخاب یک پلتفرم امنیتی برای ارگانهای دولتی با ابعاد دادهای وسیع، مستلزم درک دقیق لایههای سختافزاری است. فایروال فورتی گیت سری G صرفاً یک بهروزرسانی در شماره مدلها نیست، بلکه یک تغییر رادیکال در نحوه پردازش ترافیک ناهمگام در لایه هسته شبکه محسوب میشود که پایداری سرویسهای حیاتی را در شرایط زیر بار رفتن شدید تضمین میکند.
بررسی معماری تراشه SP5 و تفاوت عملکردی لایهها در نسل جدید
تراشه SP5 (Security Processing 5) در سری G، یک پردازنده مدار مجتمع با کاربرد خاص (ASIC) است که وظیفه شتابدهی سختافزاری به قابلیتهای امنیتی و شبکهای را به صورت همزمان بر عهده دارد. این تراشه با جداسازی مسیر داده (Data Plane) از مسیر کنترل (Control Plane)، مانع از قفل شدن فایروال در زمان حملات DDoS میشود.
در نسلهای قبلی، فعالسازی ویژگی SSL Inspection به شدت منابع پردازنده اصلی (CPU) را درگیر میکرد و در ارگانهای بزرگ دولتی که هزاران درخواست همزمان به سمت سامانهها سرازیر میشد، این امر به کندی شدید یا قطعی سرویس میانجامید. معماری سری G به گونهای طراحی شده است که عملیات رمزگشایی و رمزنگاری مجدد ترافیک مانیتورینگ، به طور کامل روی واحد سختافزاری تراشه SP5 دلیور میشود. این موضوع نرخ تاخیر (Latency) شبکه را به حداقلِ ممکن در مقیاس میکروثانیه میرساند.
بسیاری از سازمانها هنگام خرید تجهیزات لبه شبکه، متوجه افت کیفیت پهنای باند پس از فعالسازی لایههای امنیتی نسل جدید (NGFW) میشوند. فورتینت در سری G با تغییر معماری مدارها، ترابری دادهها را بهینهسازی کرده است. برای درک بهتر این تغییرات سختافزاری، ویژگیهای کلیدی این معماری عبارتند از:
- کاهش مصرف انرژی دستگاه تا ۸۰ درصد نسبت به نسلهای سنتی فایروالها
- افزایش ۷ برابری سرعت پردازش فایروال در لایه ۴ شبکه
- شتابدهی سختافزاری به پروتکل امنیتی VXLAN برای محیطهای ابری و دیتاسنترها
- توانایی بازرسی ترافیک رمزنگاریشده TLS 1.3 بدون ایجاد گلوگاه پردازشی
سناریوی واقعی: اورهال امنیتی و عیبیابی در یک سازمان دولتی با ابعاد بزرگ
در یکی از پروژههای ملی نظارت بر ترافیک دادههای سازمانی، با ساختاری مواجه شدیم که به دلیل اشتباه در برآورد لود ترافیک، از تجهیزات فاقد تراشههای اختصاصی پردازش لایه امنیتی استفاده شده بود. فعالسازی ماژولهای IPS و به طور همزمان SSL Inspection بر روی پورتهای ۱۰ گیگابیت، لود پردازنده دستگاه را به ۱۰۰ درصد رسانده و شبکه دچار لوپهای عیبیابی بیپایان شده بود.
پس از تحلیل دقیق رفتاری الگوهای ترافیکی در لایههای ۷ و ۴ شبکه، تصمیم بر آن شد که کل زیرساخت لبه شبکه سازمان اورهال شود. راهکار فنی، مهاجرت به معماری توزیعشده فایروالهای سری G بود. با جایگزینی تجهیزات قدیمی و توزیع بار، سیستم مانیتورینگ متمرکز فعال شد. در این فاز، بهینهسازی بودجه با بررسی دقیق قیمت فایروالها انجام پذیرفت؛ به طوری که برای نقاط اتصال استانی، بررسی و استعلام قیمت fortigate 70g در دستور کار قرار گرفت و توانست پایداری کاملی در شعب با پهنای باند متوسط ایجاد کند.
برای بخش مرکزی دیتاسنتر این ارگان که نیاز به پردازش فوقسریع لایههای امنیتی داشت، به سراغ مدلهای بالاتر رفتیم. موازنه بار ترافیکی و بررسیهای مالی نشان داد که تحلیل قیمت fortigate 900g و بهکارگیری آن در لایه Core دیتاسنتر، نه تنها گلوگاه پردازش ترافیک رمزنگاریشده سازمان را به طور کامل مرتفع ساخت، بلکه پایداری سرویسدهی اتوماسیون اداری را به ۱۰۰ درصد رساند.
مرزبندی فنی مدلهای سری G برای بخشهای مختلف ارگانهای دولتی
مرزبندی مدلهای فایروال سری G بر اساس ظرفیت پهنای باند فایروال (Firewall Throughput)، تعداد نشستهای همزمان (Concurrent Sessions) و نوع پورتهای فیزیکی دستگاه انجام میشود. انتخاب مدل نامناسب با ابعاد سازمان، یا منجر به هدررفت بودجه دولتی شده و یا شبکه را با ریسک جدی عدم پایداری مواجه میکند.
برای لبه شبکه ارگانهای متوسط یا شعب استانی سازمانهای بزرگ، مدلهای رده پایین تا متوسط سری G طراحی شدهاند. مدلهایی مانند fortigate 50g و 70G برای محیطهایی با تعداد کاربران محدود و ترافیک زیر ۵ گیگابیت مناسب هستند. در لایههای بالاتر که نیاز به پورتهای SFP+ با سرعت ۱۰ گیگابیت وجود دارد، سوییچ به مدلهای بالاتر اجتنابناپذیر است.
شایان ذکر است که مدلهای دارای پسوند “۱” (مانند 91G یا 121G) دارای حافظه ذخیرهسازی داخلی بر روی بورد دستگاه (Onboard SSD Storage) هستند که برای ذخیره مستقیم لاگها و گزارشگیریهای محلی در سازمانهایی که فاقد سرور اختصاصی لاگ (FortiAnalyzer) هستند، الزامی است.
بررسی تخصصی تجهیزات رده مدیوم سری G: از 90G تا 121G
تجهیزات رده مدیوم فورتی گیت سری G شامل مدلهای 90G، 91G، 120G و 121G، راهکار استاندارد لبه شبکه (Gateway) برای سازمانهای دولتی با ساختار اداری متمرکز و ترافیک لایه کاربردی بالا هستند. این تجهیزات با دارا بودن پورتهای ۱۰ گیگابیتی فیزیکی، امکان اتصال مستقیم به سوییچهای Core دیتاسنتر را بدون نیاز به مبدل فراهم میکنند.
در طراحی زیرساخت شبکههای حساس، مدیران خرید سازمانها اغلب بین مدلهای مختلف دچار تردید میشوند. برای نمونه، بررسی و مقایسه قیمت fortigate 90g در کنار ارزیابی فنی نیازهای پهنای باند، نشان میدهد این دستگاه برای لبه شبکه سازمانهایی با ۲۰۰ الی ۴۰۰ کاربر همزمان فوقالعاده بهینه است. در صورتی که نیاز به لاگبرداری مستقیم سختافزاری در لایه دسترسی محلی باشد، استعلام قیمت fortigate 91g به دلیل داشتن حافظه داخلی ۱۲۰ گیگابایتی SSD، انتخاب فنی و مهندسی دقیقتری به شمار میرود.
با افزایش حجم پکتهای ارسالی در ثانیه (PPS) و فشردهتر شدن پهنای باند در ارگانهای دولتی مادر، نیاز به توان پردازشی فراتر مطرح میشود. در این سطح، معماران شبکه با بررسی و مقایسه قیمت fortigate 120g اقدام به طراحی افزونگی (High Availability) در لبه دیتاسنتر میکنند. همزمان، در سناریوهایی که پایداری گزارشهای سیستمی اهمیت حیاتی دارد، ارزیابی قیمت fortigate 121g به دلیل برخورداری از فضای ذخیرهسازی داخلی، راهکار پایدارتری برای لایه امنیت یکپارچه ارگانهای حاکمیتی محسوب میشود.
ارزیابی و موازنه سختافزاری مدلهای Enterprise: فایروالهای 200G و 900G
فایروالهای Enterprise فورتی گیت سری G نظیر مدلهای 200G و 900G، پلتفرمهای سختافزاری سنگین با اینترفیسهای پرسرعت ۲۵ و ۱۰۰ گیگابیت هستند که برای دیتاسنترهای ملی و ارگانهای دولتی با حجم دادههای کلان طراحی شدهاند. این تجهیزات قادرند میلیونها کانکشن همزمان را بدون چالش سرریز حافظه (Memory Conservation Mode) پردازش کنند.
هنگام طراحی زیرساخت برای ارگانهایی که هاب ارتباطی چندین سازمان دیگر هستند، فایروال نباید تنها به عنوان یک سد امنیتی، بلکه باید به عنوان یک سوئیچ-روتر با قابلیتهای عمیق بازرسی امنیتی عمل کند. در این سطح از ابعاد سازمانی، بررسی مشخصات و قیمت fortigate 200g به ما نشان میدهد که دستگاه با اتکا به پردازندههای کمکی نسل جدید، ظرفیت بینظیری را برای پیادهسازی معماری Zero Trust (ZTNA) در اختیار سازمان قرار میدهد. این مدل مرز بین تجهیزات مدیوم و بزرگ سازمانی است.
بسیاری از سازمانهای بزرگ به دلیل خرید مدلهای ضعیفتر و مواجهه با پدیده افت کارایی در زمان اوج ترافیک اداری، ناچار به صرف هزینههای مجدد میشوند. به عنوان یک معمار زیرساخت، توصیه میشود در صورت وجود ارتباطات فیبر نوری پرسرعت و نیاز به کنترل ترافیک بین زونهای مختلف دیتاسنتر، از ابتدا مستندات فنی و رنج قیمتی مدلهای رده بالا بررسی شود تا سیستم با چالش افت پهنای باند مواجه نگردد.
تامین تخصصی و پیادهسازی مهندسی؛ فراتر از یک خرید ساده سازمانی
تامین تجهیزات امنیت شبکه برای سازمانهای بزرگ و ارگانهای حاکمیتی، نیازمند یک بازوی فنی و بازرگانی توانمند است که توانایی تحلیل سناریوها، تست کارایی (Proof of Concept) و تامین مستقیم قطعات یدکی را داشته باشد. در پروژههای دولتی، خدمات پس از فروش فنی و اصالت کالا، وزنهای برابر با خود سختافزار دارد.
مجموعه وینو سرور با درک عمیق از نیازمندیهای خاص و الزامات حراستی ارگانهای دولتی، خود را نه به عنوان یک فروشنده کالا، بلکه به عنوان یک تامینکننده تخصصی و ارائهدهنده راهکارهای جامع (Solution Provider) در حوزه زیرساخت فناوری اطلاعات معرفی میکند. فرآیند همکاری با سازمانها در این مجموعه با تحلیل دقیق معماری فعلی شبکه، برآورد ترافیک واقعی متناسب با ظرفیت تراشههای سختافزاری و ارائه پروپوزالهای فنی بهینهسازی بودجه آغاز میشود.
در پروژههای حساس که حتی چند دقیقه قطعی در لبه شبکه منجر به اختلال در خدماترسانی کشوری میشود، تکیه بر شریک ساختاری که توانایی تامین فوری تجهیزات جایگزین و لایسنسهای معتبر امنیتی را داشته باشد، تضمینکننده امنیت پایدار سازمان است. وینو سرور با تکیه بر کارنامه درخشان در پروژههای بزرگ کلانشهری و دولتی، بستر فنی لازم برای گذار امن به تجهیزات نسل جدید فورتی گیت سری G را فراهم آورده است.
راهنمای نهایی تصمیمگیری و بهینهسازی بودجه برای مدیران IT و خرید
تصمیمگیری نهایی برای انتخاب مدل فایروال فورتی گیت سری G باید بر اساس فرمول “حداکثر ترافیک زمان اوج با احتساب فعالسازی قابلیت Threat Protection” اتخاذ شود، نه صرفاً بر اساس تعداد کل کاربران یا پورتهای فیزیکی دستگاه. برای بهینهسازی واقعی بودجه سازمان، هرگز نباید مدلی را انتخاب کرد که توان لایه امنیتی آن کمتر از پهنای باند ورودی اینترنت و شبکه MPLS سازمان باشد.
اگر مدیریت خرید یا IT یک شعب استانی با پهنای باند محدود (زیر ۱ گیگابیت) را بر عهده دارید، انتخاب مدلهای بالاتر هدررفت بودجه است؛ در این سناریو حتی بررسی قیمت fortigate 50 g یا حداکثر مدل 70G پاسخگوی کامل نیازها خواهد بود. اما اگر با یک ساختمان مرکزی ستادی با حدود ۵۰۰ کاربر و اتصالات متعدد روبرو هستید، تمرکز خود را بر روی رده مدیوم (نظیر 90G تا 121G) بگذارید. در نهایت، برای لایه Core دیتاسنترهای سازمانی بزرگ، صرفاً مدلهای کلان مانند سری 200G به بالا تضمینکننده عدم ایجاد گلوگاه فنی در شبکه ارگان شما هستند. مشاوره با تیمهای مهندسی زیرساخت پیش از خرید، ریسکهای مالی و فنی سازمان را به صفر میرساند.
