Firewall Donanım Yükseltmesi: FortiGate 100F'ten 200G'ye

Bu projeyi Sistem Kuşu kurulmadan önce, kurumun BT ekibinde çalıştığım dönemde ben yürüttüm.

Yıllar içinde büyüyen trafik ve üzerine sonradan eklenen güvenlik katmanları, uzun süredir hizmet veren bir firewall’ı kapasitesinin sınırına dayamıştı. Veri merkezi taşımasıyla eş zamanlı olarak bu cihazı sıfır kesintiyle yükselttik.

Sorun

Kurumun tek başına çalışan firewall’ı görev ömrünün sonuna yaklaşmıştı. Yıllar içinde artan uç nokta sayısı, her cihazın ürettiği trafiğin büyümesi ve üzerine sonradan eklenen segmentasyon, IPS/IDS ve web filtreleme gibi işlemci-yoğun güvenlik katmanları cihazı kapasitesinin sınırına dayamıştı.

RAM ve CPU sürekli doluyor, paket kayıpları yaşanıyor, cihaz birkaç kez aşırı ısınarak kendiliğinden kapanıyordu. Bu, canlı ortamda her an büyük bir kesintiye dönüşebilecek bir risk taşıyordu.

Neden bu yol?

Güvenlik katmanlarını kapatarak yükü hafifletmek teknik olarak mümkündü ve para harcamayı geciktirirdi. Bu yolu seçmedik: kapatılacak katmanların hepsi bir sebeple açılmıştı, yani kazanılan kaynak doğrudan güvenlikten ödünç alınmış olurdu.

Cihazı yenilerken de bugünkü trafiğe göre değil, büyüme eğrisine göre seçtik. Kapasitesi bugüne tam oturan bir cihaz, ilk yeni katmanda aynı noktaya geri döner; bu durumda yükseltme bir çözüm değil, aynı işi birkaç yıl sonra tekrar yapma sözü olur.

Nasıl kurduk?

Yeni cihazın saniyelik trafik işleme kapasitesini kurumun mevcut ve gelecekteki büyüme ihtiyacıyla karşılaştırarak modeli seçtik. Cihazı, veri merkezi taşıma projesiyle aynı dönemde, yeni veri merkezindeki kabinete önceden kurup mevcut tüm kuralları ve yeni operatörün WAN bacağı ayarlarını üzerine taşıdık.

Eski cihazı olası bir sorunda anında devreye almak üzere yedek olarak araçta bulundurduk; geçiş sorunsuz tamamlandığı için hiç ihtiyaç duyulmadı.

Devreye alındıktan sonra

RAM ve CPU değerleri güvenli seviyelere döndü; kendiliğinden kapanma sorunu ortadan kalktı. Kullanıcıların internet deneyiminde de gözle görülür bir iyileşme oldu, çünkü paket kayıpları bitti.

Kazanılan asıl şey ise yer: cihazın üzerine yeni bir güvenlik katmanı eklemek artık kapasite tartışması açmıyor. Bu yükseltmeden önce firewall’da yaptığımız kural temizliği ve güvenlik sıkılaştırmasını, veri merkezi taşımasının tamamını ise ayrı bir vaka çalışmasında anlatıyoruz.