“Kaç kullanıcımız var, hangi FortiGate’i almalıyız?” En sık duyduğumuz sorulardan biri budur. Cevabı tek bir sayıyla vermek mümkün değil. Aynı sayıda kullanıcısı olan iki işletmeden biri yalnızca web ve e-posta kullanırken diğeri bulut uygulamaları, video konferans, uzaktan bağlanan ekipler ve şubelerle çalışıyor olabilir. Bu yazıda belirli bir model önermiyoruz; model yelpazesi ve performans değerleri zaman içinde değişir. Bunun yerine FortiGate veri sayfasını nasıl okumanız ve ihtiyacınızı nasıl hesaplamanız gerektiğini anlatıyoruz. FortiGate’in genel yetenekleri için FortiGate güvenlik duvarı sayfamıza bakabilirsiniz.
En büyük rakam sizin rakamınız değildir
Bir güvenlik duvarının veri sayfasında birden fazla “throughput” değeri bulunur ve en büyüğü genellikle ilk sırada yer alır. Bu değer çoğunlukla yalnızca temel güvenlik duvarı işlevi açıkken, ideal paket boyutlarıyla ölçülür. Oysa bir FortiGate’i yeni nesil güvenlik duvarı olarak kullandığınızda saldırı önleme, uygulama kontrolü, antivirüs ve web filtreleme de devrededir. Her yeni denetim katmanı cihazdan daha fazla işlem gücü ister ve gerçek performans düşer.
Bu nedenle doğru soru “cihaz en fazla ne kadar trafik geçirir?” değil, “benim açacağım güvenlik hizmetleriyle ne kadar trafik geçirir?” sorusudur.
Veri sayfasındaki değerler ne anlatır?
Fortinet, veri sayfalarındaki IPS, NGFW ve Threat Protection değerlerini farklı uygulamalardan ve paket boyutlarından oluşan “kurumsal trafik karışımı” ile ölçtüğünü belirtir. Hangi değerin hangi hizmetlerle ölçüldüğü de tanımlıdır:
| Değer | Ölçülürken açık olan hizmetler | Ne için bakılır? |
|---|---|---|
| Firewall throughput | Yalnızca güvenlik duvarı | Cihazın ham kapasitesi; boyutlandırma için tek başına yanıltıcıdır. |
| IPS throughput | Güvenlik duvarı ve saldırı önleme, kayıt açık | Saldırı önlemenin yükünü görmek için. |
| NGFW throughput | Güvenlik duvarı, saldırı önleme ve uygulama kontrolü, kayıt açık | Uygulama kontrolüyle çalışan ortamlar için gerçekçi taban. |
| Threat Protection throughput | Güvenlik duvarı, saldırı önleme, uygulama kontrolü ve zararlı yazılım koruması, kayıt açık | Tam güvenlik paketiyle çalışacak çoğu işletme için asıl bakılması gereken değer. |
| SSL inspection throughput | Şifreli trafiğin açılıp denetlenmesi | Tam SSL denetimi yapılacaksa belirleyici olabilir. |
| IPsec VPN throughput | Şifreli tünel trafiği | Şube bağlantıları ve site-to-site tüneller için. |
| Eşzamanlı ve saniyedeki yeni oturum | Oturum tablosu kapasitesi | Kullanıcı ve cihaz sayısı yüksek, çok bağlantılı ortamlar için. |
Boyutlandırmada çoğu işletme için başlangıç noktası Threat Protection değeridir. Bu değer, internet hattınızın hızını ve büyüme payını rahatlıkla karşılamalıdır.
Boyutlandırma kriterleri
İnternet hattı ve gerçek trafik
İlk ölçüt, cihazın arkasındaki toplam internet hattı kapasitesidir. Birden fazla hattınız varsa ve SD-WAN ile birlikte kullanacaksanız toplamı düşünün. Ancak hat hızı tek başına yeterli değildir; şubeler arası trafik, sunucularınıza dışarıdan gelen erişim ve iç ağ bölümleri arasındaki trafik de aynı cihazdan geçebilir. Örneğin üretim ağı ile ofis ağını FortiGate üzerinden ayırıyorsanız bu iç trafik de hesaba girer.
Açılacak güvenlik hizmetleri
Yalnızca güvenlik duvarı ve VPN mi kullanılacak, yoksa saldırı önleme, antivirüs, web filtreleme ve uygulama kontrolü de açılacak mı? Cihazın değil, lisans paketinin belirlediği işlevleri düşünün ve boyutlandırmayı bu hizmetler açıkken ölçülen değere göre yapın.
SSL/TLS denetimi
İnternet trafiğinin büyük bölümü şifrelidir. Şifreli trafiğin içindeki tehditleri görmek için tam SSL denetimi gerekir ve bu, güvenlik duvarının en yoğun işlerinden biridir. Tam denetim planlıyorsanız veri sayfasındaki SSL denetimi değerine mutlaka bakın. Hangi trafiğin denetleneceğini, bankacılık ya da sağlık siteleri gibi hangilerinin hariç tutulacağını da baştan planlayın.
Kullanıcı, cihaz ve oturum sayısı
Kullanıcı sayısı tek başına iyi bir ölçüt değildir; önemli olan bu kullanıcıların oluşturduğu oturum sayısıdır. Her çalışanın bir bilgisayarı, bir telefonu ve bazen bir tableti vardır. Misafir Wi-Fi, IP kameralar, yazıcılar ve üretim hattındaki bağlı cihazlar da oturum üretir. Yoğun bulut uygulaması kullanımı eşzamanlı oturum sayısını hızla artırır.
Uzaktan erişim ve şube tünelleri
Kaç çalışan aynı anda uzaktan bağlanacak? Kaç şube tünelle merkeze bağlı? VPN trafiği şifreleme gerektirdiği için ayrı bir kapasite değeri vardır. Uzaktan çalışmanın yoğun olduğu dönemleri, örneğin olağanüstü durumları da senaryoya ekleyin.
Büyüme payı
Bir güvenlik duvarı genellikle birkaç yıl kullanılır. Bu sürede kullanıcı sayısı artar, internet hattı hızlanır, yeni bulut uygulamaları eklenir. Bugünün ihtiyacını tam karşılayan bir cihaz, bir iki yıl içinde darboğaz olabilir. Hesapladığınız ihtiyacın üzerine makul bir büyüme payı ekleyin.
Sık yapılan hatalar
- Yalnızca firewall throughput değerine bakmak. Güvenlik hizmetleri açıldığında performans beklenenin çok altına düşer.
- Kullanıcı sayısını tek ölçüt almak. Kamera, misafir ve IoT cihazları hesaba katılmaz.
- SSL denetimini sonradan açmak. Cihaz bu yük hesaba katılmadan seçilmişse denetim açıldığında yavaşlama başlar.
- Güvenlik hizmetlerini hiç açmamak. Cihazın kapasitesini korumak için saldırı önleme ve web filtrelemeyi kapatmak, yeni nesil güvenlik duvarını sıradan bir yönlendiriciye çevirir.
- Yüksek erişilebilirliği düşünmemek. Tek cihaz arızalandığında tüm internet ve şube bağlantıları durur. Kritik ortamlarda iki cihazlı küme yapısını baştan planlayın.
Görüşmeden önce hazırlayın
Boyutlandırma çalışmasını hızlandırmak için şu bilgileri önceden toplamanız yeterlidir:
- İnternet hatlarınızın sayısı ve hızları, varsa yedek hat bilgisi
- Çalışan, misafir ve bağlı cihaz (kamera, yazıcı, üretim ekipmanı) sayıları
- Şube sayısı ve şubelerin merkeze nasıl bağlandığı
- Aynı anda uzaktan bağlanan en yüksek kullanıcı sayısı
- Dışarıya açılan sunucular: e-posta, web, uzak masaüstü, ERP
- Açmak istediğiniz güvenlik hizmetleri ve SSL denetimi kararı
- Mevcut güvenlik duvarınızın işlemci ve oturum kullanım verileri
- Önümüzdeki birkaç yıl için büyüme ve yeni şube planları
Misafirlerinize internet veriyorsanız yasal kayıt yükümlülüğünü de baştan planlayın; ayrıntılar için 5651 loglama sayfamıza bakabilirsiniz. Güvenlik duvarının arkasındaki sunucu ve ağ cihazlarını da ağ izleme ile takip etmek, bir yavaşlığın kaynağının güvenlik duvarı mı yoksa başka bir cihaz mı olduğunu hızla ayırt etmenizi sağlar.
Kurulumdan sonra da ölçün
Doğru model seçimi bir başlangıçtır. Cihazın işlemci ve bellek kullanımını, oturum sayısını ve yazılım sürümünü düzenli izlemek, darboğazı kullanıcılar fark etmeden görmenizi sağlar. Birden fazla FortiGate yönetiyorsanız Unna’nın kendi ürünü olan Unna Controller bu takibi tek ekranda toplar: her gece otomatik yapılandırma yedeği alır, sürüm ve kaynak kullanımını izler, otomatik güvenlik ve uyum kontrolleri çalıştırır. Güvenlik duvarının ağ güvenliğindeki yerini daha geniş bir çerçevede görmek için ağ güvenliği sayfamıza bakabilirsiniz.
Unna ile doğru FortiGate
Model seçiminden önce ihtiyacı konuşuruz. Mevcut güvenlik duvarınızın gerçek kullanım verilerini, internet hatlarınızı, şube yapınızı, uzaktan çalışma düzeninizi ve açmak istediğiniz güvenlik hizmetlerini birlikte inceleriz. Güncel veri sayfalarındaki değerlerle karşılaştırarak, güvenlik hizmetleri açıkken de ihtiyacı büyüme payıyla karşılayan modeli ve lisans paketini belirleriz. Kurulumdan sonra da güncellemeleri, lisans yenilemelerini ve kapasiteyi takip ederiz. Kendi ağınız için bir boyutlandırma çalışması isterseniz bize yazın; önce dinleriz.
