Fortinet of Sonicwall

[fredmatrack]

Beste Tweakers

Voor de school waar ik werk zijn we op zoek gegaan naar een nieuwe firewall/router. We hebben twee offertes ontvangen: voor een Fortigate Fortinet 200b en voor een SonicWall NSA 4500. Qua prijs liggen die in elkaars buurt. Heeft er echter iemand positieve of negatieve ervaringen met één van beide? Ik hoor het graag! Ook technische motivaties waarom wel het ene maar niet het andere zijn welkom.

Alvast bedankt voor de hulp!

[ChaserBoZ_]

Ik heb wisselende ervaringen met Fortigate's, over het algemeen genomen scoort ie redelijk tot goed, op diverse onderdelen heb ik het idee dat een dedicated apparaat misschien beter zou zijn.

FortiNet support is een draak overigens, maar ik heb geen idee of die van Sonicwall beter is.

Edit; ik neem aan dat je een cluster overweegt ?

[ Voor 8% gewijzigd door ChaserBoZ_ op 05-02-2013 11:24 ]

[ShadowAS1]

Ik heb gehoord dat SonicWall goed zou zijn. Zelf nooit gebruikt, en eigenlijk nog nooit van Fortigate gehoord, misschien iets om zelf een CARP Cluster i.c.m. pfSense te maken?

[fredmatrack]

Een cluster zou in eerste instantie niet de bedoeling zijn, ook al om budgettaire redenen.
We hebben nu reeds pfSense draaien en daar willen we van af: qua functies is dat prima, maar in combinatie met onze Dell servers werkt het niet goed. Vooral de slechte drivers zijn daar een probleem. Bovendien blijft ook de release van een stabiele versie uit en moeten we echt iets anders zoeken.

[marshallq]

Wij gebruiken de NSA240 van Sonicwall bij diverse klanten.

Mijn ervaring is dat je de throughput met een korreltje zout moet nemen, vooral als je Gateway Anti-Virus Throughput aanzet. Bij een klant van ons in Noorwegen hebben ze een 100 Mbps lijn, bovenstaande feature aan gezet en ineens bleef er nog maar 20 Mbps over (en CPU's op 100%)... zonder de AV zaten we op 80 Mbps.

Tevens hadden we een aantal vastlopers op de SSL vpn, dit gebeurde toen men via zoiets als GitHub repos ging syncen. Gelukkig merkte de rest van het netwerk er niets van, maar andere SSL vpn gebruikers konden niet meer verbinden.

De support van Sonicwall is wel erg goed (paar keer contact mee gehad). Verder zal de Web GUI met meer objecten wel gaan irriteren (snel meer tabbladen en de interface is dan ineens niet zo handig meer).

Mijn conclusie: staar je in elk geval niet blind op een firewall die alles moet kunnen, meestal kom je dan bedrogen uit (in mijn beperkte ervaring). En voor onze grotere omgevingen gaan we vaak toch voor iets anders, Cisco.

[ Voor 24% gewijzigd door marshallq op 05-02-2013 20:42 ]

[DukeBox]

Wat zijn de eisen ? Houd ook rekening met evt. licenties en/of onderhoud contracten.
Waarom valt bijv. cisco asa af ?

[DJSmiley]

marshallq schreef op dinsdag 05 februari 2013 @ 20:39:
Wij gebruiken de NSA240 van Sonicwall bij diverse klanten.

Mijn ervaring is dat je de throughput met een korreltje zout moet nemen, vooral als je Gateway Anti-Virus Throughput aanzet. Bij een klant van ons in Noorwegen hebben ze een 100 Mbps lijn, bovenstaande feature aan gezet en ineens bleef er nog maar 20 Mbps over (en CPU's op 100%)... zonder de AV zaten we op 80 Mbps.

Tevens hadden we een aantal vastlopers op de SSL vpn, dit gebeurde toen men via zoiets als GitHub repos ging syncen. Gelukkig merkte de rest van het netwerk er niets van, maar andere SSL vpn gebruikers konden niet meer verbinden.

De support van Sonicwall is wel erg goed (paar keer contact mee gehad). Verder zal de Web GUI met meer objecten wel gaan irriteren (snel meer tabbladen en de interface is dan ineens niet zo handig meer).

Mijn conclusie: staar je in elk geval niet blind op een firewall die alles moet kunnen, meestal kom je dan bedrogen uit (in mijn beperkte ervaring). En voor onze grotere omgevingen gaan we vaak toch voor iets anders, Cisco.

Een NSA240 is natuurlijk niet echt een enorm krachtig ding. Die red het prima op een 100Mbit lijn, maar als je fanzy zooi activeerd houd het snel op.

Een NSA4500 is een stuk krachtiger. Als je overigens SSL-VPN wat serieuzer wil gaan gebruiken zou ik dat ook op een dedicated doos doen, en niet op de router zelf. Een SRA4200 is een mooie aanvulling op een NSA. Je moet even kijken wat de werkelijke benodigde throughput is, mogelijk is een 3500 ook voldoende.

Als je alles redundant wilt hebben kun je ook 2 stuks in een HA setup zetten. Als je wan verbindingen ook dubbel zijn kun je dan de hele setup redundant maken. Ik heb dat ook bij een klant draaien.

Een vergelijkbare situatie als jouw (een school) draait op een NSA3500. Daar zitten iets van 3000 PC's op, en nog eens zo'n 1500 wifi devices. En die Sonicwall is nog nooit onderuit gegaan. Het scheelt wel hoe je het opzet, in dat geval is het hele netwerk gesegmenteerd en doet een dikke switch het routeren onderling.

Bottomline: Simpel natten kan elke router al, maar houd wel rekening met het max aantal nat connecties. Maar een beetje middenklasse ding komt al een eind. SSL-VPN is mijn voorkeur om dat dedicated af te laten handelen. Performance moet je vooral naar kijken als je dat ding echt CPU-intensieve dingen laat doen.

Een ASA kan het ongetwijfeld ook. Je moet alleen zelf een rekensommetje maken kwa hardware kosten, support en eventuele (wederkerende) licenties.

[fredmatrack]

Wat zijn de eisen?
- in vestiging 1 hebben we ongeveer 500 computers en ongeveer 300 mobiele toestellen die online moeten via een Telenet verbinding (100 Mb down, 5MB up).

- in vestiging 2 hebben we ongeveer 150 computers en ongeveer 200 mobiele toestellen. Zij hebben daar ook een Telenet aansluiting (zelfde snelheden).

Tussen de twee gebouwen ligt een draadloze verbinding. Als Telenet op één van de sites uitvalt, moet het verkeer worden gerouteerd over de draadloze verbinding om zo online te kunnen.

Als de draadloze verbinding wegvalt, moet een andere verbinding het overnemen (draadloos of dmv een vpn tussen de twee sites).

In beide sites zijn er verschillende fysieke netwerken die op de router samenkomen: VOIP netwerk, leerlingennetwerk, administratief netwerk. Tussen die netwerken is er niet zo heel veel verkeer.

Naar het internet toe is het handig om virusscan te hebben en eventueel spamfilter naar de mailserver.VPN zou maar voor twee of drie mensen nodig zijn en wordt dus zeker niet heel veel gebruikt.

We hebben tot hiertoe geen leverancier die Cisco voorstelde. Misschien moeten we die piste ook bekijken. Of zitten we dan sowieso over andere bedragen te praten?