Fortinet/Fortigate vs. OPNsense

[Hunduster]

Hallo zusammen,

ich benötige mal Euren Rat.

Hintergrund ist, dass wir aktuell noch Sophos UTM im Einsatz haben, welche bekanntlich recht veraltet ist und nun zum Sommer 2026 endgültig abgekündigt wird.

Aus diesem Grund haben wir uns bereits im Frühjahr 2022 mit dem Thema beschäftigt und auf Anraten eines Systemhauses die halbe Produktpalette von Fortinet bestellt.

Forti war leider kaum Lieferfähig, sodass wir erst im Februar 2023 alles an Hardware erhalten haben. Unsere bestellten Lizenzen wurden aber im Sommer 2022 zwangsaktiviert. Nach mehreren Diskussionen mit Forti, wollte man uns dafür keinen Ausgleich geben, sodass dieser nun vom Systemhaus übernommen wurde - in Form einer Lizenzverlängerung hinten raus.

Aktuell sind wir in dem Projekt mit dem Systemhaus die Forti-Sachen zu konfigurieren. Um die Dienste der UTM abzulösen haben wir 2x Fortigate für HA, 1x FortiMail Applicane und 1x FortiSandbox Appliance.

Leider kommen mir allmählich Zweifel was das Ganze angeht. Als UTM Admin, der das Zeug die letzten Jahre quasi geatmet hat, werde ich speziell mit der Fortigate einfach nicht warm, wenngleich es wohl aktuell der heiße Sch*** auf dem Markt ist. Hinzu kommen immer wieder Fallstricken, die vorher vom Systemhaus nicht bedacht worden. Darunter wäre:

• Fortimail kann nur 10 SMIME Zertifikate
  • Wir müssen ein weiteres Produkt einsetzen um weiterhin SMIME machen zu können (wird leider von vielen Kunden gefordert)
• Wir haben nur eine Fortimail Appliance und damit keine Redundanz
• Fortigate hat keine richtige WAF und kann keine Hostheader
  • Ergo müssen wir für jeden einzelnen Webdienst eine dedizierte IP Adresse nutzen wodurch wir nun neue IPv4 Adressen einkaufen mussten

Generell zeigen sich immer mehr Fallstricken bei uns auf und man bekommt den Eindruck, dass wir nicht gut beraten worden und uns selber zu wenig Gedanken gemacht haben; das gebe ich zu. Dadurch wird das Ganze nur immer teurer und Fortinet ist nun auch nicht gerade günstig.

Im Homelab habe ich nun von UTM auf OPNsense gewechselt. Als Mailgateway setze ich Proxmox ein und bin wirklich sehr Happy mit den Lösungen. Alle UTM Admins die ich kenne haben ein ähnliches Konstrukt laufen.

Wenngleich Fortinet aktuell Leader in dem Bereich ist, tauchen OpenSource Produkte an der Stelle ja gar nicht in Erscheinung.

Natürlich sagt mir jeder, dass man nichts besseres als Fortinet im Business Bereich machen kann.
Dennoch frage ich mich, ob irgendjemand eine OPNsense, pfsense oder Vergleichbares guten Gewissens im Business Bereich aktiv laufen hat oder ob ich mich einfach auf Fortinet einlassen soll/muss.

[cobratc11.ls]

Wieso nicht auf eine neuere sophos serie wechseln?

[Hunduster]

vor 11 Stunden schrieb cobratc11.ls:

Wieso nicht auf eine neuere sophos serie wechseln?

Wir haben aktuell zwei XG in einer Niederlassung und sind mit der leider auch nicht Happy. Zudem hat Sophos massiv an Update-Qualität und Support nachgelassen. Dass haben wir die letzten Jahre leider auch merken müssen.

Normalerweise würde ich zudem nun sagen, dass Sophos bei Gartner ja massiv abgerutscht ist aber dann dürfte ich auch nicht nach OPNsense fragen…

[_n4p_]

vor 23 Stunden schrieb Hunduster:

Dennoch frage ich mich, ob irgendjemand eine OPNsense, pfsense oder Vergleichbares guten Gewissens im Business Bereich aktiv laufen hat

ja. woran scheitert denn das Gewissen?

[Hunduster]

vor 9 Minuten schrieb _n4p_:

ja. woran scheitert denn das Gewissen?

Kein oder wenig Geld auszugeben 😆
Ich habe meine Bedenken bezüglich des aktuellen Projekts bereits bei unserem CFO geäußert. Hier bekomme ich jedoch zu hören, dass man OPNsense/pfsense nicht einsetzen könne weil man das ja niemandem erzählen dürfte, dass man hier nicht "state of the art" und  nach Business Standard unterwegs ist. Man könne das vor den Kunden nicht vertreten in dem Bereich auf open Source zu setzen.

Ist eigentlich ganz witzig die Argumentation, da wir auf der anderen Seite zu 98% on Prem unterwegs sind und auch Nextcloud exzessiv und auch mit den Kunden nutzen.

[_n4p_]

dann ist pfSense ja kein Problem .. so richtig open ist es ja nicht mehr

also die CE Edition würde ich auch nicht nochmal installieren, eher wird unser weg hin zu pfSense+ gehen. Und für dein gutes Gewissen kannste auch gleich ne netgate 6100 oder 8200 (bzw zwei) kaufen

[Hunduster]

Ich habe nun einige OPNsense auf gepimpter Sophos Hardware laufen und das Ganze einwandfrei. Aber ich werde wohl noch einmal den Weg in der Firma vorschlagen. Aktuell ist das Ganze Fortigedöns wirklich ein Fass ohne Boden...