Firewall pro každou firmu: kdy sáhnout po OPNsense, Fortigate nebo Cisco

Správný firewall pro firmy je první obranná linie celé sítě. Přesto se o jeho výběru rozhoduje překvapivě často na základě toho, co někdo doporučil na fóru, nebo co zrovna nabízel dodavatel. Výsledek? Buď zbytečně předražené řešení na malou kancelář, nebo naopak open-source nástroj v ruce firmy, která potřebuje centrální správu desítek poboček a nepřetržitý vendor support.

V tomto článku si projdeme tři nejčastěji nasazovaná řešení – OPNsense, Fortinet (FortiGate) a Cisco – a ukážeme si, pro koho je které určené, do jaké cenové kategorie spadá a na co si dát pozor.

Co od firewallu vlastně čekáte?

Než přejdeme ke konkrétním produktům, je dobré si ujasnit, co od firewallu reálně potřebujete. Základní funkce – filtrování provozu, NAT, VPN – zvládne dnes prakticky každé z níže zmíněných řešení. Rozdíly jsou v detailech:

• Kdo bude firewall spravovat? Vy sami, váš IT administrátor, nebo externí správce?
• Kolik zařízení a uživatelů síť obsluhuje? Deset nebo dvě stě?
• Potřebujete zákaznickou podporu s garantovanou dobou odezvy?
• Pracujete v regulovaném prostředí (zdravotnictví, finance, státní správa), kde se vyžaduje auditovatelnost a certifikace? Odpovědi na tyto otázky vám ušetří spoustu peněz i nervů.

OPNsense: open-source řešení, které překvapí výkonem

OPNsense je open-source firewall a router postavený na FreeBSD. Je zdarma, aktivně vyvíjený a nabízí překvapivě bohaté funkce – IDS/IPS (Suricata), VPN (WireGuard, OpenVPN, IPsec), VLAN, DNS-over-TLS, captive portal a mnoho dalšího.

Pro koho je vhodný:

• Malé firmy do zhruba 20–30 uživatelů
• Domácnosti s požadavky nad rámec běžného ISP routeru – například oddělená síť pro IoT zařízení nebo Home Assistant
• Firmy, které mají k dispozici technicky zdatného správce (interního nebo externího)
• Prostředí, kde je klíčový nízký provozní náklad Cenový model:

Software OPNsense je zdarma. Platíte pouze za hardware – vhodný mini PC nebo dedikovaný appliance od výrobců jako Protectli nebo PC Engines seženete za nízkou cenu, a případně za správu. Existuje i komerční verze OPNsense Business Edition s rozšířenou podporou a pluginy navíc, ale základní instalace pro malou firmu nebo domácnost je bez licenčních nákladů.

Na co si dát pozor:

OPNsense nemá za sebou komerčního výrobce s 24/7 hotline. Pokud narazíte na problém v pátek večer a nemáte nikoho, kdo to umí vyřešit, můžete mít problém. Právě proto má smysl mít na OPNsense uzavřenou smlouvu o správě s IT partnerem – ten pak nese zodpovědnost za dostupnost a aktualizace.

Fortinet FortiGate: komerční řešení s výborným poměrem ceny a výkonu

Fortinet je v současnosti jedním z nejrozšířenějších výrobců firewallů na světě – a to napříč všemi velikostmi firem. Jeho vlajkovým produktem jsou appliance FortiGate, které kombinují firewall, IPS, antivirus, webový filtr a VPN v jednom zařízení. Portfolio sahá od malých modelů pro pobočky až po vysokovýkonné appliance pro enterprise prostředí s tisíci uživateli – vše spravované přes přehledné GUI nebo centrálně přes FortiManager a FortiAnalyzer.

Pro koho je vhodný:

• Firmy od 20 uživatelů až po velké enterprise organizace s tisíci zaměstnanci
• Provozovny s více pobočkami – FortiGate umí SD-WAN a centrální správu přes FortiManager
• Organizace, které potřebují vendor support s garantovanou dobou odezvy (FortiCare)
• Prostředí s požadavky na SSL inspekci, application control, pokročilé logování nebo SASE Cenový model:

Hardware FortiGate pro malou firmu vyjde na střední investici – appliance pořídíte za cenu srovnatelnou s jiným síťovým vybavením. K tomu přichází roční licence na bezpečnostní služby (FortiCare + FortiGuard bundle), jejíž cena se liší podle modelu a zvoleného balíčku. Celkové náklady na 3 roky jsou znatelně vyšší než u OPNsense, ale za to dostanete záručně podporované řešení s pravidelnou aktualizací hrozeb.

Na co si dát pozor:

Licenční model Fortinetu je vícevrstvý – základní funkce (firewall, VPN) jsou bez licence, ale pokročilé funkce (IPS, webový filtr, sandbox) vyžadují aktivní předplatné. Po vypršení licence se část funkcí deaktivuje. Vždy si dopředu ujasněte, jaký bundle licence potřebujete.

Cisco: enterprise standard tam, kde je celá infrastruktura jejich

Cisco je synonymem pro podnikové sítě. V oblasti firewallů nabízí dvě hlavní produktové řady – Cisco ASA (starší, ale stále rozšířená) a modernější Cisco Secure Firewall (Firepower). V menších instalacích se pak setkáme s Cisco Meraki MX, cloudově spravovanou platformou.

Klíčový rozdíl oproti Fortigate: Cisco firewall dává největší smysl tam, kde je i zbytek sítě postavený na Cisco hardwaru. Pokud provozujete Cisco switche, routery a Wi-Fi, jednotná správa a integrace napříč ekosystémem je reálná přidaná hodnota. Jako standalone bezpečnostní řešení do smíšeného prostředí ale Fortinet Cisco v posledních letech na většině trhů předčí – a to i ve velkých firmách.

Pro koho je vhodný:

• Firmy a enterprise organizace, které již provozují Cisco síťovou infrastrukturu
• Regulovaná prostředí s požadavky na certifikace (Common Criteria, FIPS)
• Prostředí s dedikovaným IT týmem nebo síťovým inženýrem
• Organizace, kde je prioritou jednotná správa celého Cisco ekosystému Cenový model:

Cisco je výrazně dražší než Fortinet – pohybujeme se ve vysoké cenové kategorii jak u hardware, tak u licencí. Meraki MX je sice přívětivější na správu, ale bez aktivní cloudové licence hardware prakticky nefunguje. Enterprise Firepower řešení pak náklady ještě znásobí. Cisco má smysl tam, kde je ekosystémová integrace a enterprise SLA prioritou – ne jako první volba pro firmu s deseti zaměstnanci.

Na co si dát pozor:

Cisco vyžaduje hlubší znalosti pro správnou konfiguraci – zejména Firepower má reputaci komplexního nástroje, u kterého nesprávná konfigurace může paradoxně snížit bezpečnost. Cisco Meraki je naopak uživatelsky přívětivější, ale plně závislé na cloudové správě a platné licenci.

Přehledné srovnání

Jak to tedy vybrat?

Jednoduchá odpověď: záleží na velikosti firmy, rozpočtu a na tom, kdo síť spravuje.

• Malá firma do 10–15 lidí: OPNsense na vhodném hardware je výborná volba. Provozní náklady jsou minimální, funkce dostatečné, a se správcem, který to zná, máte plnou kontrolu.
• Firma od 10 lidí výše: FortiGate je zlatý střed. Komerční podpora, pravidelné aktualizace hrozeb, přehledná správa – škáluje od malé pobočky až po enterprise s tisíci uživateli.
• Velká firma nebo enterprise s Cisco infrastrukturou: Cisco Firepower nebo Meraki dává smysl, pokud máte v síti Cisco switche, routery a Wi-Fi a chcete jednotnou správu celého ekosystému. Hranice nejsou ostré. Firma s 50 zaměstnanci může v pohodě provozovat OPNsense, pokud má zkušeného správce. A naopak – malá firma v regulovaném odvětví může potřebovat Fortinet, i kdyby měla jen 5 lidí.