امنیت شعب و مدیریت چند لینک اینترنت با FortiGate SD-WAN

امنیت شعب ، یک اینترنت و تعداد محدودی کاربر دارند، تصور می‌کنند امننی که شعبه دوم، دفتر فروش، انبار، کارخانه، کاربران دورکار، VoIP، CRM، ERP، نرم‌افزار مالی آنلاین یا ارتباط دائمی با دیتاسنتر وارد شبکه می‌شود، شرایط کاملاً تغییر می‌کند.

در این مرحله دیگر فقط «وصل بودن اینترنت» کافی نیست. سازمان باید به چند سؤال جدی پاسخ دهد:

اگر اینترنت اصلی قطع شد چه اتفاقی می‌افتد؟ اگر اینترنت قطع نشد اما کیفیت آن برای VoIP یا ERP نامناسب شد چه؟ آیا ترافیک مهم و کم‌اهمیت از یک مسیر عبور می‌کنند؟ اگر یک سیستم آلوده در شعبه قرار بگیرد، چه میزان دسترسی به شبکه مرکزی دارد؟ آیا تمام شعب با Policyهای یکسان مدیریت می‌شوند؟ وضعیت لینک‌ها و VPNها از کجا مانیتور می‌شود؟

اینجاست که استفاده از FortiGate در نقش فایروال نسل جدید و Secure SD-WAN معنا پیدا می‌کند.

FortiGate تنها برای باز و بسته کردن پورت‌ها طراحی نشده است. در یک طراحی اصولی می‌تواند Firewall، VPN Gateway، Secure SD-WAN، کنترل اپلیکیشن، Web Filtering، IPS و بخشی از معماری امنیت شعب را در یک ساختار یکپارچه ارائه کند.

در نسخه‌های جدید FortiOS نیز قابلیت‌های SD-WAN توسعه پیدا کرده‌اند و امکاناتی مانند هدایت ترافیک با توجه به پهنای باند Underlay، Selective SD-WAN Duplication و کنترل مصرف لینک بر اساس حجم ماهانه، نشان می‌دهند که SD-WAN از یک Failover ساده بین دو اینترنت فراتر رفته است.

برای شرکت‌هایی که چند شعبه، چند لینک اینترنت، VPN بین دفاتر یا سرویس‌های حیاتی مانند ERP و VoIP دارند، انتخاب فایروال نباید فقط بر اساس قیمت یا تعداد کاربران انجام شود. در چنین شرایطی، بررسی دقیق نیازهای شبکه و مطالعه راهنمای انتخاب و خرید فایروال FortiGate می‌تواند قبل از خرید، دید دقیق‌تری درباره مدل‌ها و سناریوهای مختلف ایجاد کند.

به‌روزرسانی 2026؛ SD-WAN دیگر فقط Failover بین دو اینترنت نیست

یکی از برداشت‌های اشتباه درباره SD-WAN این است که آن را فقط روشی برای جابه‌جایی خودکار بین اینترنت اصلی و پشتیبان بدانیم.

Failover ساده فقط یکی از سناریوهای ممکن است.

در یک معماری حرفه‌ای‌تر، FortiGate می‌تواند وضعیت لینک‌های متصل به SD-WAN را بررسی کند و تصمیم‌گیری مسیر را بر اساس Policy، نوع ترافیک، مقصد، Application و سلامت ارتباط انجام دهد.

Performance SLA برای اندازه‌گیری وضعیت لینک‌های عضو SD-WAN استفاده می‌شود و می‌تواند کیفیت مسیر را با معیارهایی مانند Latency، Jitter و Packet Loss ارزیابی کند.

این تفاوت مهمی است.

ممکن است اینترنت اصلی کاملاً قطع نشده باشد اما Packet Loss یا تأخیر آن به حدی برسد که تماس VoIP، ارتباط Remote Desktop یا نرم‌افزار ERP عملاً با اختلال جدی روبه‌رو شود. در چنین شرایطی، طراحی درست SD-WAN می‌تواند برای ترافیک حساس تصمیم متفاوتی نسبت به ترافیک عادی کاربران بگیرد.

به همین دلیل، SD-WAN واقعی با این سؤال شروع نمی‌شود که «دو اینترنت دارید یا خیر؟»

سؤال درست این است:

چه سرویس‌هایی برای کسب‌وکار حیاتی هستند، چه کیفیتی نیاز دارند و در صورت افت کیفیت هر مسیر، ترافیک باید چگونه مدیریت شود؟

SD-WAN چیست و چرا برای شرکت‌های چندشعبه‌ای مهم است؟

SD-WAN مخفف Software-Defined Wide Area Network است.

در عمل، SD-WAN کمک می‌کند چند مسیر ارتباطی مانند اینترنت ثابت، فیبر، رادیو، MPLS، LTE یا سایر لینک‌های WAN به‌صورت سیاست‌محور مدیریت شوند.

در معماری FortiGate، Underlayها همان ارتباطات فیزیکی یا مسیرهای پایه هستند و می‌توان روی آن‌ها Overlayهای VPN برای ارتباط امن بین سایت‌ها ایجاد کرد. Health Checkها و SD-WAN Ruleها نیز برای اعمال اولویت‌های تجاری و تصمیم‌گیری درباره مسیر ترافیک استفاده می‌شوند.

فرض کنید یک شعبه دو اینترنت دارد:

لینک اول کیفیت خوب و هزینه بالاتر دارد.

لینک دوم ارزان‌تر است اما کیفیت متغیرتری دارد.

طراحی ضعیف این است که تمام ترافیک را از لینک اول عبور دهیم و فقط هنگام قطعی کامل به لینک دوم برویم.

اما در یک طراحی دقیق‌تر می‌توان:

ترافیک ERP را روی مسیر پایدارتر قرار داد.

VoIP را بر اساس کیفیت واقعی لینک مدیریت کرد.

دانلودهای حجیم و ترافیک کم‌اهمیت را از مسیر اقتصادی‌تر عبور داد.

برای سرویس‌های SaaS سیاست متفاوت تعریف کرد.

در صورت کاهش کیفیت یک لینک، ترافیک‌های حساس را بر اساس Policy طراحی‌شده به مسیر مناسب‌تر هدایت کرد.

این یعنی SD-WAN باید بر اساس نیاز کسب‌وکار طراحی شود، نه صرفاً بر اساس تعداد پورت WAN دستگاه.

تفاوت FortiGate SD-WAN با Failover ساده چیست؟

در Failover سنتی معمولاً منطق ساده است:

لینک اصلی در دسترس است؟ استفاده کن.

لینک اصلی قطع شد؟ به لینک دوم برو.

این روش برای بعضی شرکت‌های کوچک کافی است، اما برای همه سناریوها مناسب نیست.

مشکل اینجاست که بسیاری از اختلال‌های ارتباطی به شکل «قطع کامل» ظاهر نمی‌شوند. گاهی لینک همچنان Up است، اما کیفیت آن پایین آمده است.

ممکن است:

Latency افزایش پیدا کند.

Jitter برای تماس صوتی بالا برود.

Packet Loss ایجاد شود.

مسیر یک سرویس ابری خاص دچار مشکل شود.

پهنای باند موجود کاهش پیدا کند.

در چنین شرایطی، Failover ساده ممکن است هیچ واکنشی نشان ندهد، چون از نظر آن لینک هنوز متصل است.

در مقابل، Performance SLA و SD-WAN Ruleها می‌توانند در طراحی مناسب، وضعیت کیفیت مسیر را وارد منطق تصمیم‌گیری کنند.

برای همین در پروژه واقعی باید قبل از تنظیم SD-WAN مشخص شود که کدام سرویس‌ها واقعاً حیاتی هستند. منطقی نیست برای همه ترافیک‌ها SLA و اولویت یکسان تعریف کنیم.

نرم‌افزار مالی، تماس VoIP و یک دانلود حجیم اهمیت یکسانی برای کسب‌وکار ندارند.

یک سناریوی واقعی برای FortiGate SD-WAN

فرض کنید یک شرکت دارای دفتر مرکزی و سه شعبه است.

دفتر مرکزی میزبان یا متصل به این سرویس‌هاست:

ERP

نرم‌افزار مالی

فایل سرور

CRM

VoIP

سیستم‌های مدیریتی

سرویس‌های ابری

هر شعبه نیز دو مسیر اینترنت دارد و باید به دفتر مرکزی دسترسی پایدار داشته باشد.

در یک طراحی قابل‌دفاع می‌توان سیاست‌ها را این‌گونه تعریف کرد:

ترافیک ERP و نرم‌افزار مالی از مسیری عبور کند که کیفیت مناسب‌تری برای این سرویس دارد.

ترافیک VoIP بر اساس معیارهای کیفیت لینک مدیریت شود.

ترافیک کم‌اهمیت کاربران روی لینک اقتصادی‌تر قرار بگیرد.

VPNهای بین شعب روی مسیرهای ارتباطی متناسب با معماری شبکه طراحی شوند.

دسترسی شعب به سرویس‌های مرکزی بر اساس Policyهای محدود و مشخص کنترل شود.

شبکه Guest از شبکه کاربران داخلی جدا باشد.

تجهیزات دوربین، پرینتر، POS و IoT در صورت نیاز در Segmentهای جداگانه قرار بگیرند.

وضعیت لینک‌ها، VPNها و رخدادها به‌شکل متمرکز بررسی شود.

در چنین سناریویی، ارزش SD-WAN فقط این نیست که «اگر اینترنت اول قطع شد، اینترنت دوم فعال شود».

ارزش اصلی در این است که طراحی WAN بر اساس اهمیت سرویس‌های کسب‌وکار انجام شود.

FortiGate SD-WAN چه تفاوتی با یک روتر ساده دارد؟

یک روتر ساده می‌تواند برای مسیریابی، NAT، اتصال اینترنت و در برخی مدل‌ها Failover یا Load Balance مناسب باشد.

بنابراین اشتباه است که بگوییم هر شبکه‌ای الزاماً باید روتر خود را حذف و FortiGate نصب کند.

اما زمانی که نیازهای شبکه شامل موارد زیر باشد، مقایسه دیگر فقط بین قابلیت‌های Routing نیست:

کنترل امنیتی کاربران

VPN بین شعب

Remote Access

IPS

Web Filtering

Application Control

تفکیک شبکه

لاگ‌گیری

چند لینک اینترنت

Policy-based Traffic Steering

SSL Inspection

مدیریت چند شعبه

در اینجا مزیت اصلی FortiGate، ترکیب Networking و Security در یک معماری منسجم‌تر است.

یعنی همان دستگاهی که در تصمیم‌گیری مسیر ترافیک نقش دارد، می‌تواند Policyهای امنیتی، VPN، کنترل اپلیکیشن و سایر سیاست‌های لازم را نیز اجرا کند.

البته این ترکیب به معنی ساده بودن طراحی نیست.

اینکه تمام قابلیت‌ها روی یک پلتفرم وجود دارند، نباید باعث شود بدون ظرفیت‌سنجی همه Featureها فعال شوند. توان واقعی دستگاه باید با توجه به نوع ترافیک، SSL Inspection، IPS، تعداد Sessionها، VPN و سایر سرویس‌های فعال بررسی شود.

چرا امنیت شعب فقط با VPN حل نمی‌شود؟

VPN ارتباط بین دو نقطه را امن‌تر می‌کند، اما VPN به‌تنهایی طراحی امنیتی شعبه نیست.

فرض کنید یک شعبه با IPsec VPN به دفتر مرکزی متصل است. اگر در همان شعبه:

تمام کاربران در یک شبکه تخت قرار داشته باشند،

Guest Wi-Fi از شبکه داخلی جدا نشده باشد،

دوربین‌ها و تجهیزات IoT دسترسی غیرضروری داشته باشند،

کاربران بدون کنترل به سایت‌ها و سرویس‌های مختلف متصل شوند،

دسترسی شعبه به شبکه مرکزی بیش از حد باز باشد،

لاگ‌ها بررسی نشوند،

VPN به‌تنهایی نمی‌تواند این مشکلات را حل کند.

شعبه باید به‌عنوان بخشی از سطح حمله سازمان دیده شود.

اگر یک Endpoint در شعبه آلوده شود و دسترسی داخلی بیش از حد باز باشد، همان ارتباطی که برای اتصال شعب ایجاد شده است می‌تواند مسیر دسترسی به منابع دیگر سازمان را فراهم کند.

بنابراین طراحی امنیت شعب باید هم‌زمان شامل مواردی مانند Segmentation، Policy، کنترل دسترسی، امنیت اینترنت، Logging و طراحی درست ارتباط WAN باشد.

آیا SD-WAN در FortiGate به لایسنس جداگانه نیاز دارد؟

این یکی از مهم‌ترین سؤال‌ها هنگام خرید FortiGate است.

قابلیت پایه Secure SD-WAN روی FortiGate قابل استفاده است و برای فعال‌سازی اصل قابلیت SD-WAN لازم نیست لایسنس جداگانه‌ای صرفاً بر اساس پهنای باند یا حجم انتقال داده خریداری شود.

اما این جمله را نباید اشتباه برداشت کرد.

«SD-WAN به لایسنس جداگانه نیاز ندارد» به این معنی نیست که تمام سرویس‌های امنیتی و سرویس‌های تکمیلی Fortinet رایگان هستند.

برای مثال، سرویس‌هایی مانند Web Filtering، IPS، Antivirus، DNS Filtering و سایر سرویس‌های FortiGuard به نوع Subscription و Bundle خریداری‌شده بستگی دارند.

بنابراین هنگام خرید باید این موارد را از یکدیگر جدا کرد:

قابلیت پایه Secure SD-WAN

FortiGuard Security Services

FortiCare

مدیریت مرکزی

لاگ و آنالیز

سرویس‌های تکمیلی مرتبط با SD-WAN

FortiSASE یا معماری‌های گسترده‌تر

اشتباه رایج این است که خریدار تصور کند چون قابلیت پایه SD-WAN روی FortiGate موجود است، بنابراین برای یک پروژه سازمانی هیچ سرویس دیگری لازم نیست.

اشتباه دوم هم برعکس آن است؛ یعنی برای یک پروژه ساده، سرویس‌های اضافه‌ای خریداری شود که سازمان واقعاً استفاده نمی‌کند.

راه درست، انتخاب لایسنس بر اساس معماری واقعی شبکه است.

ارتباط FortiGuard با SD-WAN چیست؟

SD-WAN درباره انتخاب و مدیریت مسیر ترافیک است.

FortiGuard درباره مجموعه‌ای از سرویس‌های امنیتی و اطلاعات تهدید است.

این دو مفهوم نباید با یکدیگر اشتباه گرفته شوند.

ممکن است یک شبکه از نظر Routing و SD-WAN طراحی بسیار خوبی داشته باشد، اما از نظر امنیتی ضعیف باشد.

مثلاً:

ترافیک آلوده از بهترین مسیر عبور کند.

کاربر به وب‌سایت پرریسک دسترسی داشته باشد.

فایل مخرب دانلود شود.

Applicationهای غیرمجاز بدون کنترل استفاده شوند.

SD-WAN به‌تنهایی قرار نیست جای همه کنترل‌های امنیتی را بگیرد.

برای همین هنگام خرید FortiGate باید مشخص شود چه سرویس‌هایی واقعاً قرار است فعال شوند.

آیا سازمان فقط Firewall و VPN می‌خواهد؟

یا IPS هم فعال می‌شود؟

آیا Web Filtering لازم است؟

آیا DNS Security اهمیت دارد؟

آیا Application Control استفاده خواهد شد؟

آیا SSL Inspection در طراحی وجود دارد؟

هرچه قابلیت‌های امنیتی بیشتری هم‌زمان فعال شوند، انتخاب مدل سخت‌افزاری و Bundle مناسب اهمیت بیشتری پیدا می‌کند.

قابلیت‌های جدید SD-WAN در FortiOS 8.0 چه اهمیتی دارند؟

در FortiOS 8.0 قابلیت‌های تازه‌ای برای SD-WAN معرفی شده‌اند که نشان می‌دهند مدیریت WAN به سمت تصمیم‌گیری دقیق‌تر و انعطاف‌پذیرتر حرکت کرده است.

از جمله این قابلیت‌ها می‌توان به موارد زیر اشاره کرد:

هدایت ترافیک با توجه به پهنای باند Underlay

Selective SD-WAN Duplication

کنترل مصرف Interface بر اساس Volume Quota ماهانه

بهبودهای مرتبط با Packet Duplication

قابلیت‌های تکمیلی مرتبط با FEC

این قابلیت‌ها برای همه شرکت‌ها الزاماً ضروری نیستند.

اما جهت توسعه فناوری را نشان می‌دهند.

برای مثال، مدیریت مصرف بر اساس حجم ماهانه در سناریوهایی اهمیت دارد که یکی از لینک‌ها محدودیت حجمی یا هزینه مصرف اضافه دارد.

فرض کنید یک شرکت لینک اصلی فیبر و لینک پشتیبان LTE دارد.

از نظر فنی ممکن است LTE کیفیت خوبی داشته باشد، اما استفاده دائمی از آن هزینه بالایی ایجاد کند. در چنین طراحی‌هایی فقط کیفیت مسیر مطرح نیست؛ هزینه استفاده از لینک نیز می‌تواند بخشی از Policy باشد.

نکته مهم این است که وجود قابلیت پیشرفته به معنی ضرورت فعال کردن آن نیست.

یکی از اشتباهات رایج در پروژه‌های شبکه این است که تیم فنی هر Feature موجود را فعال می‌کند، بدون اینکه مسئله‌ای واقعی برای حل کردن وجود داشته باشد.

طراحی حرفه‌ای دقیقاً برعکس است:

اول مشکل و نیاز کسب‌وکار مشخص می‌شود، بعد قابلیت مناسب انتخاب می‌شود.

چه زمانی شرکت واقعاً به SD-WAN نیاز دارد؟

همه شرکت‌ها به SD-WAN پیچیده نیاز ندارند.

اگر یک دفتر کوچک دارید، یک اینترنت پایدار دارید و سرویس حیاتی بین چند سایت وجود ندارد، ممکن است نیاز اصلی شما Firewall، VPN و کنترل دسترسی باشد.

اما SD-WAN در سناریوهای زیر اهمیت بیشتری پیدا می‌کند:

شرکت چند شعبه دارد.

در هر سایت بیش از یک ارتباط WAN وجود دارد.

ERP یا CRM به ارتباط پایدار وابسته است.

VoIP بین شعب یا با سرویس‌دهنده وجود دارد.

VPN بین دفتر مرکزی و شعب حیاتی است.

سرویس‌های SaaS و Cloud نقش جدی در کسب‌وکار دارند.

یک لینک پشتیبان مانند LTE یا رادیو وجود دارد.

کیفیت لینک‌ها ثابت نیست.

ترافیک‌های مختلف اولویت‌های متفاوت دارند.

قطعی ارتباط باعث توقف فروش یا عملیات شرکت می‌شود.

در این شرایط، SD-WAN می‌تواند از یک قابلیت جانبی به بخشی از معماری اصلی شبکه تبدیل شود.

Performance SLA چرا از Failover ساده دقیق‌تر است؟

فرض کنید شرکت دو اینترنت دارد.

در ساعت 10 صبح لینک اصلی کیفیت مناسبی دارد.

در ساعت 14 همان لینک دچار Packet Loss می‌شود.

اما اینترنت همچنان Ping دارد و از نظر ظاهری قطع نیست.

اگر طراحی فقط بر اساس Link Up/Down باشد، ترافیک ممکن است همچنان از همان مسیر مشکل‌دار عبور کند.

اما Performance SLA می‌تواند معیارهای کیفیت مسیر مانند Latency، Jitter و Packet Loss را وارد تصمیم‌گیری کند.

برای سرویس‌هایی مثل:

VoIP

Video Conference

Remote Desktop

ERP

اتصال به دیتاسنتر

سرویس‌های Cloud

کیفیت مسیر گاهی به‌اندازه پهنای باند اهمیت دارد.

به همین دلیل، خرید FortiGate به‌تنهایی مشکل را حل نمی‌کند.

اگر SD-WAN بدون SLA مناسب، Rule درست، Routing صحیح و درک رفتار Applicationها تنظیم شود، نتیجه می‌تواند از انتظار مدیران بسیار ضعیف‌تر باشد.

چرا انتخاب مدل FortiGate فقط با تعداد کاربر اشتباه است؟

یکی از رایج‌ترین سؤالات بازار این است:

برای 50 کاربر چه FortiGate بخریم؟

برای 100 کاربر چه مدلی مناسب است؟

این سؤال برای شروع خوب است، اما برای تصمیم نهایی کافی نیست.

دو شرکت ممکن است هر دو 100 کاربر داشته باشند، اما نیاز کاملاً متفاوتی داشته باشند.

شرکت اول:

100 کاربر اداری

یک اینترنت

ترافیک سبک

VPN محدود

بدون SSL Inspection جدی

شرکت دوم:

100 کاربر

سه شعبه

دو اینترنت در دفتر مرکزی

VoIP

VPN Site-to-Site

کاربران ریموت

SSL Inspection

IPS

چند VLAN

سرورهای داخلی

این دو شبکه نباید صرفاً به دلیل تعداد کاربر یکسان، یک مدل FortiGate خریداری کنند.

در انتخاب مدل باید حداقل این موارد بررسی شود:

پهنای باند واقعی

نوع ترافیک

تعداد Sessionها

تعداد VPNها

حجم ترافیک رمزنگاری‌شده

نیاز به SSL Inspection

فعال بودن IPS و سایر سرویس‌های امنیتی

تعداد VLANها

تعداد شعب

تعداد لینک‌های WAN

رشد آینده شبکه

نیاز به لاگ داخلی یا FortiAnalyzer

برای مقایسه دقیق‌تر سناریوهای مختلف می‌توان راهنمای انتخاب مدل FortiGate بر اساس تعداد کاربر را بررسی کرد. در این راهنما انتخاب مدل برای شبکه‌های 50، 100، 200 و 500 کاربر بررسی شده است، اما حتی در چنین دسته‌بندی‌هایی نیز انتخاب نهایی باید با توجه به ترافیک و سرویس‌های واقعی شبکه انجام شود.

چرا مدل‌های میان‌رده FortiGate در پروژه‌های SD-WAN اهمیت بیشتری پیدا می‌کنند؟

در پروژه‌های ساده، ممکن است مدل‌های پایه FortiGate کاملاً کافی باشند.

اما زمانی که چند قابلیت به‌صورت هم‌زمان اجرا شوند، شرایط متفاوت می‌شود.

برای مثال، اگر دستگاه قرار است هم‌زمان وظایف زیر را انجام دهد:

Secure SD-WAN

IPsec VPN

Remote Access VPN

IPS

Web Filtering

Application Control

SSL Inspection

مدیریت چند VLAN

ثبت و ارسال Log

کنترل ترافیک چند شعبه

انتخاب مدل ضعیف می‌تواند در آینده محدودیت ایجاد کند.

در شبکه‌های متوسط، شعب سازمانی و شرکت‌هایی که چند لینک اینترنت، VPN، VLANهای متعدد یا سرویس‌های امنیتی فعال دارند، مدل‌های میان‌رده اهمیت بیشتری پیدا می‌کنند.

برای نمونه، FortiGate FG-90G برای سناریوهایی قابل بررسی است که ظرفیت مدل‌های کوچک‌تر دیگر پاسخ‌گوی رشد شبکه نیست و سازمان به توان بیشتری برای VPN، SD-WAN، کنترل اپلیکیشن و سرویس‌های امنیتی نیاز دارد.

البته FG-90G را نباید کورکورانه پیشنهاد داد.

برای یک شعبه کوچک با ترافیک محدود، این مدل ممکن است اضافه‌هزینه باشد و دستگاه‌های پایین‌تر انتخاب اقتصادی‌تری باشند.

در مقابل، برای یک دفتر مرکزی پرترافیک یا سازمانی با VPN و Inspection سنگین، ممکن است حتی FG-90G هم انتخاب مناسبی نباشد و بررسی مدل‌های بالاتر لازم شود.

SD-Branch چیست و چه تفاوتی با SD-WAN دارد؟

SD-WAN بیشتر روی ارتباط WAN، مسیرهای اینترنتی، VPN و اتصال سایت‌ها تمرکز دارد.

اما یک شعبه فقط WAN نیست.

داخل هر شعبه معمولاً این تجهیزات وجود دارند:

کاربران کابلی

Wi-Fi

پرینترها

دوربین‌ها

تلفن‌های IP

POS

IoT

سیستم حضور و غیاب

سرور یا NAS محلی

SD-Branch نگاه گسترده‌تری دارد و LAN، WAN و Wireless را در یک معماری هماهنگ‌تر می‌بیند.

در اکوسیستم Fortinet می‌توان FortiSwitch و FortiAP را در کنار FortiGate قرار داد تا کنترل و دید شبکه از WAN به LAN و Wireless توسعه پیدا کند.

این معماری برای همه سازمان‌ها لازم نیست.

اما در شبکه‌ای با ده‌ها شعبه، استفاده از تنظیمات متفاوت، تجهیزات پراکنده و Policyهای نامنظم می‌تواند هزینه نگهداری و احتمال خطا را بالا ببرد.

در چنین پروژه‌هایی، یکپارچگی معماری ارزش بیشتری پیدا می‌کند.

نقش FortiManager و FortiAnalyzer در شبکه چندشعبه‌ای چیست؟

زمانی که فقط یک FortiGate وجود دارد، مدیریت مستقیم دستگاه ممکن است کافی باشد.

اما با افزایش تعداد شعب، مسائل جدیدی ایجاد می‌شود:

Policyها باید هماهنگ باشند.

تغییرات باید کنترل شوند.

بکاپ کانفیگ اهمیت بیشتری پیدا می‌کند.

تیم شبکه باید بداند کدام شعبه مشکل دارد.

لاگ‌ها باید قابل جست‌وجو و تحلیل باشند.

خطاهای انسانی باید کاهش پیدا کنند.

در چنین سناریویی FortiManager برای مدیریت متمرکز و FortiAnalyzer برای Log، گزارش و تحلیل رخدادها مطرح می‌شوند.

اما اینجا هم نباید گرفتار خرید هیجانی شد.

برای یک شرکت با دو شعبه کوچک، ممکن است نیازها با معماری ساده‌تری پاسخ داده شوند.

اما برای سازمانی با ده‌ها سایت، مدیریت تک‌تک FortiGateها به‌شکل مستقل می‌تواند به‌مرور زمان تبدیل به یک مشکل عملیاتی شود.

پنج اشتباه رایج در پروژه FortiGate SD-WAN

اشتباه اول: انتخاب مدل فقط بر اساس تعداد کاربران

تعداد کاربر فقط یکی از پارامترهاست.

دو شبکه با تعداد کاربر برابر می‌توانند از نظر SSL Inspection، VPN، تعداد Session و حجم ترافیک کاملاً متفاوت باشند.

اشتباه دوم: خرید FortiGate ضعیف و فعال کردن همه Featureها

برخی شرکت‌ها مدل را بر اساس بودجه حداقلی انتخاب می‌کنند و بعد انتظار دارند هم‌زمان IPS، Web Filtering، Application Control، SSL Inspection، VPN و SD-WAN سنگین روی دستگاه اجرا شود.

این رویکرد حرفه‌ای نیست.

ظرفیت دستگاه باید بر اساس Featureهایی که واقعاً فعال می‌شوند سنجیده شود.

اشتباه سوم: تصور اینکه داشتن دو اینترنت یعنی SD-WAN کامل

دو اینترنت فقط زیرساخت اولیه را فراهم می‌کنند.

بدون Performance SLA، Rule مناسب، Routing درست و اولویت‌بندی Applicationها، ممکن است فقط یک Failover ساده داشته باشید.

اشتباه چهارم: نداشتن Segmentation در شعب

قرار دادن کاربران، مهمانان، دوربین‌ها، IoT و تجهیزات مدیریتی در یک شبکه تخت، ریسک امنیتی و عملیاتی ایجاد می‌کند.

در بسیاری از شبکه‌ها، مشکل اصلی نبودن تجهیزات نیست؛ طراحی داخلی ضعیف است.

اشتباه پنجم: نداشتن Monitoring و Log

در شبکه چندشعبه‌ای، بدون Log و Monitoring مناسب، عیب‌یابی تبدیل به حدس زدن می‌شود.

تیم شبکه باید بتواند تشخیص دهد:

کدام لینک مشکل دارد؟

کیفیت آن از چه زمانی افت کرده؟

کدام Application ترافیک غیرعادی دارد؟

کدام VPN ناپایدار است؟

کدام Policy رفتار مورد انتظار را ندارد؟

قبل از خرید FortiGate برای SD-WAN چه اطلاعاتی آماده کنیم؟

قبل از انتخاب مدل، بهتر است این اطلاعات مشخص شوند:

تعداد شعب فعلی چقدر است؟

در یک تا سه سال آینده چند شعبه اضافه می‌شود؟

هر شعبه چند کاربر هم‌زمان دارد؟

سرعت اینترنت هر سایت چقدر است؟

چند لینک WAN در هر سایت وجود دارد؟

آیا LTE یا ارتباط پشتیبان وجود دارد؟

چه سرویس‌هایی بین شعب استفاده می‌شوند؟

آیا VoIP بین سایت‌ها وجود دارد؟

ERP و CRM کجا میزبانی می‌شوند؟

چه تعداد VPN Site-to-Site لازم است؟

چند کاربر Remote Access وجود دارد؟

آیا SSL Inspection اجرا خواهد شد؟

آیا Web Filtering و IPS فعال می‌شوند؟

آیا لاگ مرکزی لازم است؟

آیا FortiManager در معماری موردنیاز است؟

آیا Growth Plan واقعی برای شبکه وجود دارد؟

بدون این اطلاعات، انتخاب مدل بیشتر شبیه حدس زدن است تا طراحی فنی.

آیا مدل بزرگ‌تر همیشه انتخاب بهتری است؟

خیر.

این هم یکی دیگر از اشتباهات رایج خرید تجهیزات شبکه است.

خرید مدل بسیار ضعیف اشتباه است، اما خرید مدلی که چند برابر نیاز واقعی سازمان ظرفیت دارد نیز الزاماً تصمیم هوشمندانه‌ای نیست.

هدف باید انتخاب مدلی باشد که:

نیاز فعلی را پاسخ دهد.

Featureهای موردنیاز را با ظرفیت مناسب اجرا کند.

برای رشد منطقی آینده فضای کافی داشته باشد.

اما بودجه را بی‌دلیل مصرف نکند.

برای یک شعبه کوچک شاید یک مدل Entry-Level یا Mid-Range پایین‌تر کاملاً کافی باشد.

برای دفتر مرکزی با VPN، چند اینترنت، کاربران بیشتر، Inspection جدی و چند شعبه، ممکن است مدل قدرتمندتری لازم باشد.

تصمیم باید بر اساس سناریو باشد، نه علاقه به شماره مدل بزرگ‌تر.

آینده Secure SD-WAN به کدام سمت می‌رود؟

مسیر توسعه SD-WAN به سمت تصمیم‌گیری دقیق‌تر بر اساس کیفیت ارتباط، نوع Application، پهنای باند در دسترس، هزینه لینک و سیاست کسب‌وکار حرکت کرده است.

قابلیت‌های جدید FortiOS 8.0 نیز همین جهت را نشان می‌دهند؛ از جمله استفاده از اطلاعات پهنای باند Underlay در Steering، کنترل مصرف ماهانه لینک و روش‌های انتخابی‌تر برای Duplication.

این تغییرات به این معنی نیستند که هر شرکت باید فوراً پیچیده‌ترین معماری ممکن را اجرا کند.

برعکس، ارزش اصلی در انتخاب درست سطح پیچیدگی است.

یک شرکت کوچک باید شبکه ساده، پایدار و امن داشته باشد.

یک سازمان چندشعبه‌ای باید مسیرهای ارتباطی و امنیت را سیاست‌محور مدیریت کند.

یک شبکه بزرگ‌تر باید علاوه بر SD-WAN، مدیریت مرکزی، Visibility، Logging و عملیات استاندارد را جدی بگیرد.

پیچیده‌تر کردن شبکه بدون نیاز واقعی، نشانه طراحی حرفه‌ای نیست.

گاهی بهترین طراحی، ساده‌ترین معماری‌ای است که نیاز واقعی سازمان را با پایداری و امنیت مناسب پوشش می‌دهد.

جمع‌بندی؛ FortiGate SD-WAN زمانی ارزشمند است که درست طراحی شود

FortiGate SD-WAN فقط روشی برای جابه‌جایی بین دو اینترنت نیست.

در یک طراحی اصولی می‌تواند برای مدیریت چند مسیر WAN، کنترل کیفیت لینک، انتخاب مسیر ترافیک‌های حساس، VPN بین شعب و ایجاد هماهنگی بیشتر میان Networking و Security استفاده شود.

اما خرید FortiGate به‌تنهایی مشکل شبکه را حل نمی‌کند.

مدل ضعیف با طراحی اشتباه، نتیجه ضعیف می‌دهد.

مدل گران‌قیمت با Policy اشتباه هم نتیجه ضعیف می‌دهد.

SD-WAN بدون شناخت Applicationهای مهم کسب‌وکار ناقص است.

VPN بدون Segmentation امنیت کامل ایجاد نمی‌کند.

FortiGuard بدون انتخاب درست Bundle می‌تواند به هزینه غیرضروری یا کمبود قابلیت منجر شود.

و شبکه چندشعبه‌ای بدون Monitoring و Log مناسب، عیب‌یابی را سخت می‌کند.

بنابراین اگر شرکت شما چند شعبه، چند لینک اینترنت، VPN بین دفاتر، VoIP، ERP، CRM، سرویس‌های ابری یا برنامه توسعه شبکه دارد، انتخاب FortiGate را فقط بر اساس تعداد کاربر یا قیمت دستگاه انجام ندهید.

ابتدا سناریوی واقعی شبکه را مشخص کنید.

بعد سرویس‌های حیاتی را اولویت‌بندی کنید.

نوع لینک‌ها و کیفیت موردنیاز را بررسی کنید.

Featureهای امنیتی موردنیاز را مشخص کنید.

ظرفیت واقعی مدل‌ها را مقایسه کنید.

و در نهایت، سخت‌افزار، FortiGuard، مدیریت و مانیتورینگ را به‌عنوان اجزای یک معماری واحد ببینید.

این رویکرد باعث می‌شود FortiGate صرفاً یک فایروال نصب‌شده در رک نباشد، بلکه بخشی واقعی از معماری پایدار، امن و قابل توسعه شبکه سازمان شود.