İki yüz kullanıcıyı geçen yapılarda firewall bir cihaz olmaktan çıkıp altyapının kritik noktası hâline gelir. 200F ve 200G bu ölçeğin iki seçeneği. Aralarındaki nesil farkının yanında, bu basamakta asıl konuşulması gereken başka bir şey var.
Beş yüz kişilik bir yapıda firewall arızalanırsa ne olur? İnternet gider, şubeler merkeze bağlanamaz, uzaktan çalışanlar sisteme giremez, bulut uygulamaları erişilemez olur.
Cihazı bir gün içinde değiştirseniz bile o gün kayıptır. Bu yüzden bu basamakta yedekli kurulumu baştan planlamak gerekiyor.
200G, HA yedekli kuruluma uygun konumlanmış bir model. İki cihaz birlikte çalışır, biri arızalandığında diğeri devralır ve kullanıcılar çoğu zaman fark bile etmez.
Bu ölçekteki yapıların büyük kısmı çok şubeli. Merkezdeki cihaz her şubenin trafiğini de taşıdığı için yük katlanarak artıyor.
Hesap yaparken üç şeye bakıyoruz: şube sayısı, şubelerden gelen ortalama trafik ve şubelerdeki kullanıcıların merkezdeki sunuculara ne kadar eriştiği. Dosya sunucusuna sürekli erişen bir şube, sadece internete çıkan şubeden çok daha fazla yük getirir.
Bir de yedeklemeyi unutmayın: şubelerden merkeze gece yapılan yedekleme, gündüz ölçtüğünüz trafiğin çok üstünde olabilir.
Yedekli kurulum planlıyorsanız 200G tarafına bakın. Yeni nesil olması, iki cihazın uzun yıllar birlikte desteklenmesi anlamına gelir.
Mevcut yapınızda 200F varsa ve ikinci cihaz ekleyerek yedekli hâle getirecekseniz aynı modelden devam etmek gerekir; HA çifti aynı model olmalı.
Tek cihazla devam edecekseniz ve bütçe belirleyiciyse 200F hâlâ güçlü bir seçenek.
Birincisi lisans süresi. Beş yüz kullanıcılı bir yapıda lisansın sessizce bitmesi ciddi bir açık demek. Müşterilerimizin lisans tarihlerini biz takip ediyoruz.
İkincisi kayıt ve raporlama. Bu ölçekte 5651 yükümlülüğü, KVKK teknik tedbirleri ve iç denetim talepleri birleşiyor. Log altyapısını cihazla birlikte planlamak, sonradan eklemekten hem ucuz hem düzenli oluyor.
İki cihaz birbirine bağlanır ve sürekli haberleşir. Biri aktif çalışır, diğeri aynı yapılandırmayı taşıyarak bekler. Aktif cihaz düşerse bekleyen devralır.
Devralma süresi saniyelerle ölçülür. Kullanıcılar genellikle sadece kısa bir takılma hisseder, çoğu zaman onu bile fark etmezler.
Kritik nokta şu: yedekli yapı kurulduktan sonra test edilmeli. Kurulumun ardından aktif cihazı bilerek devre dışı bırakıp devralmayı izliyoruz. Test edilmemiş bir yedeklilik, gerçek arızada çalışmayabilir ve o an öğrenmek istemezsiniz.
Firewall yazılımı güncellenmeli; güvenlik açıkları çoğu zaman güncellemeyle kapanıyor. Ama güncelleme cihazın yeniden başlamasını gerektirir.
Tek cihazlı bir yapıda bu, gece yarısı çalışmak demek. Yedekli yapıda ise cihazları sırayla güncelleyebilirsiniz: biri güncellenirken diğeri trafiği taşır, kesinti olmaz.
Bu, yedekli kurulumun az konuşulan ama pratikte en çok işe yarayan tarafı. Beş yüz kullanıcılı bir yapıda gece bakımı planlamak, ekip için de ayrı bir yük.
Bu ölçekteki yapılarda firewall yalnız koruma cihazı değil, aynı zamanda kayıt kaynağı. 5651 yükümlülüğü, KVKK teknik tedbirleri ve iç denetim talepleri hep aynı kayıtlara bakıyor.
Sorun şu ki cihazın kendi üzerindeki alan bu ölçekte hızla doluyor. Beş yüz kullanıcılı bir yapı günde birkaç gigabayt log üretir; iki yıllık saklama ciddi bir kapasite demek.
Bu yüzden bu segmentte log altyapısını cihazdan ayırıyoruz. Ayrı bir log sunucusu ya da FortiAnalyzer, hem kapasiteyi çözer hem de raporlamayı kullanılabilir hâle getirir. Ham log ile denetim sorusuna cevap vermek zordur; rapor gerekir.
Bir de erişim yetkisi meselesi var. Logları kimin görebileceği, kimin silebileceği tanımlanmalı. Denetimde sorulan sorulardan biri tam olarak budur ve cevabı yapılandırmada hazır olmalıdır.
Bütçe sınırlıysa sık sorulan bir soru: önce ikinci internet hattını mı almalı, yoksa ikinci firewall'u mu? Cevap yapınızın nerede kırılgan olduğuna bağlı.
Geçmişte yaşadığınız kesintilerin sebebine bakın. Kesintiler hat kaynaklıysa ikinci hat önce gelir; ikinci firewall almanız hat koptuğunda bir işe yaramaz. Cihaz arızası ya da bakım kaynaklı duruşlar yaşadıysanız sıra ikinci cihazda.
Çoğu müşterimizde doğru sıra önce ikinci hat oluyor. Hat kesintileri daha sık yaşanıyor ve maliyeti ikinci cihazdan düşük. Yedekli cihaz yapısını bir sonraki bütçe döneminde kuruyoruz.
İkisini birden yapacaksanız sıralamayı biz de planlıyoruz: önce hatlar devreye alınır ve geçiş test edilir, sonra ikinci cihaz eklenir. Aynı anda iki büyük değişiklik yapmak, sorun çıktığında sebebini bulmayı zorlaştırıyor.
Teklif aşamasında en çok gelen sorular. Aradığınızı bulamazsanız arayın, telefonda anlatalım.
Evet, yedekli çift aynı model ve aynı yazılım sürümünde olmalı. Farklı modellerle HA kurulmaz. Bu yüzden ikinci cihazı sonradan ekleyecekseniz ilk cihazın modelini not edin.
Cihaz arızasından kaynaklanan kesintiyi bitirir. Ama internet hattı koparsa yedekli firewall bir işe yaramaz; onun için ikinci hat gerekir. Gerçek kesintisizlik iki cihaz ve iki hattın birlikte planlanmasıyla olur.
Bir üst basamak 400F ve veri merkezi tarafında 900G ile 1000F. Kullanıcı sayısı beş yüzü geçtiyse, yoğun SSL denetimi yapıyorsanız ya da veri merkezi ucunda çalışıyorsanız o tarafa bakmak gerekir. Trafiğinizi ölçmeden model önermiyoruz.
İki cihazlı kurulumu iki gün olarak planlıyoruz. İlk gün cihazlar kurulur ve yapılandırma senkronize edilir, ikinci gün devralma testi yapılır ve canlıya alınır. Test aşamasını atlamıyoruz; yedekliliğin çalıştığını görmeden işi tamamlamış saymıyoruz.
Yedekli çiftte her iki cihazın da lisanslı olması gerekir. Bu, ikinci cihazın maliyetine eklenen bir kalem ve bütçe planlarken sıkça atlanıyor. Teklifte iki cihazın donanım ve lisans kalemlerini ayrı ayrı gösteriyoruz ki toplam rakamı baştan görün.
İki yüz kullanıcıyı geçen yapılarda ATP paketini daha sık öneriyoruz. Bu ölçekte hedefli saldırı riski artıyor, işlenen kişisel veri miktarı büyüyor ve bir olayın maliyeti lisans farkının çok üstüne çıkıyor. Yine de kararı sektörünüze ve veri hassasiyetinize bakarak birlikte veriyoruz; gereksiz paket satmak bizim işimize de gelmez.
Hangisini seçeceğinize karar vermeden önce iki modelin de fiyatını isteyin. Teklifte cihaz, lisans ve kurulum ayrı kalemlerde yazılı gelir.