公司VPN目前使用情境很單純
限制訪問國家,常態限制台灣,有出國需求再手動增減
訪問公司內部系統(NAS檔案存取、RDP),透過FortiGate政策做訪問控管
一周至少用一次人數3人
一月至少用一次人數7人
一年至少用一次人數有25至30人 (每年有固定集體外出行程,使用人數高峰)
所以目前使用FortiGate的免費SSLVPN省下不必要的每月/每年使用者數授權開銷
由於目前防火牆明年要EOS了,新FortiOS已將SSLVPN移除,所以勢必尋找替代方案
當然要替代就不可能找比SSLVPN更不安全的方案
想問問各位原本用FortiGate SSLVPN,之後移往什麼方案?
想作初期縮小產品研究和洽詢範圍的參考
基本目前使用情境要能滿足就行了,其餘功能能用上就用這樣
這是個很有意思的提問
首先:防火牆要EoS,所以要換新防火牆
換新防火牆如果是Fortigate,就不能用 SSLVPN 功能嗎?
顯然也不是,因為只有G系列在7.4.9以後就不能用
設備在F系列可以用7.4持續支援SSLVPN功能
話又說回來了
使用SSLVPN功能一定要在新的防火牆上嗎?
其他的方案SSLVPN主機不都是放在防火牆後面?
那為什麼不能把舊的Fortigate當SSLVPN主機
然後前面用新的Fortigate當NGFW來保護它呢?
原廠當然是不希望讓免費的功能還要繼續維護它
最正確的當然是請大家買SASE,還可以架構"零信任"存取
因此在個人和遠端存取環境的安全管理方面
使用第三層的IPsecVPN怎麼會比第七層的SSLVPN更安全
當加入MFA後,更取決於網路遠端存取架構與管理
自然是SSLVPN勝出,跟哪一種品牌無關
至於購買G系列產品
真的要提醒大家一些重點
因為常常有第一版與第二版硬體規格不同
以至於建置HA架構時會出現困擾
另外,防火牆一定要做憑證解密
不然UTP能發揮防護的功能極低
在下已於這一篇Fortigate防火牆的選擇??提過一些檢測的建議
特別是要去EICAR防毒測試網頁 的網頁測試能確實擋掉病毒下載
大家購買NGFW驗收之前務必要測試防毒是否有效