Sanal firewall, bir güvenlik duvarının donanım cihaz yerine sanal makine (VM) olarak bir hipervizörde ya da genel bulutta çalıştırılmasıdır. FortiGate-VM Fortinet'in, VM-Series ise Palo Alto Networks'ün sanal NGFW ürünüdür; ikisi de fiziksel kardeşleriyle aynı işletim sistemini (FortiOS ve PAN-OS) çalıştırır.
Bu yazıda iki ürünün desteklediği platformları, lisans modellerini (BYOL, PAYG, FortiFlex ve Software NGFW Credits) ve bir VPS üzerinde sanal NGFW mi yoksa işletim sistemi seviyesinde host firewall mı kullanmanız gerektiğini anlatıyoruz. Firewall kavramı için güvenlik duvarı (firewall) nedir yazısına bakabilirsiniz.
Sanal firewall nedir, ne işe yarar?
Fiziksel firewall bir ağın kenarında kablo ile trafiğin önüne konur. Sanal firewall ise sanal ağların arasına konur: örneğin bir VMware veya KVM ortamında sanal makineler arasındaki trafiği denetler, bir bulut sanal ağının (VPC/VNet) internet çıkışını korur ya da bulut ile şube arasında VPN sonlandırır. Avantajı donanım beklemeden kurulabilmesi ve kaynak (vCPU) arttırılarak büyütülebilmesidir; dezavantajı performansın altındaki donanıma ve sanal ağ yapılandırmasına bağlı olmasıdır.
FortiGate-VM
Fortinet ürün sayfasına göre FortiGate-VM, özel ve genel bulut ortamlarında sanal appliance olarak çalışan NGFW'dir. Desteklenen ortamlar:
| Tür | Platformlar (Fortinet sayfasına göre) |
|---|---|
| Hipervizör | VMware ESXi / vSphere / NSX-T, Microsoft Hyper-V, KVM, Xen/XenServer, Cisco CSP/ENCS |
| Genel bulut | Microsoft Azure, Google Cloud, AWS, Oracle Cloud, IBM Cloud |
Modeller vCPU sayısına göre adlandırılır: VM01, VM02, VM04, VM08, VM16, VM32 ve sınırsız vCPU için VMUL. FortiOS 8.0 yönetim kılavuzuna göre RAM kısıtlaması yoktur.
FortiGate-VM lisans modelleri
| Model | Belgelenen özellik |
|---|---|
| PAYG (bulut pazar yeri) | Örnek oluşturulduğu anda kullanılabilir; destek dahildir ama Fortinet Support'a kayıt gerekir. PAYG örnekleri VDOM (sanal alan) desteklemez. |
| BYOL kalıcı (normal ve V serisi) | İş ortağından satın alınır; örneğe ilk erişimde lisans etkinleştirilir. |
| BYOL yıllık abonelik (S serisi) | vCPU sayısına göre SKU'lar, 1'den 32'ye ve sınırsıza kadar; vCPU değişikliği co-term ile yapılır. |
| FortiFlex | Nitelikli kurumsal ve MSSP müşterileri için; kaynak tüketimi günlük hesaplanan önceden tanımlı puanlarla ölçülür, ölçek büyütme/küçültme desteklenir. |
| Kalıcı deneme lisansı | Donanım yapılandırma kısıtlamaları vardır, destek yoktur, vCPU değişikliği desteklenmez. |
Palo Alto VM-Series
Palo Alto Networks sayfasına göre VM-Series, şirketin NGFW'sinin sanallaştırılmış form faktörüdür. Genel bulutta AWS, Azure ve Google Cloud üzerinde, özel bulutta VMware ESXi ve Linux KVM hipervizörlerinde çalışır; PAYG lisans belgesi Oracle Cloud Infrastructure için de PAYG seçeneği tarif eder. Sayfada deneme süreleri AWS'de 15 gün, Azure'da 30 gün, VMware ESXi ve Linux KVM'de 30 gün olarak belirtilir.
VM-Series lisans modelleri
| Model | Belgelenen özellik |
|---|---|
| BYOL | İş ortağından, bayiden veya doğrudan Palo Alto Networks'ten alınır; kapasite, destek ve abonelik paketlerini kapsar. Paket tek bir auth code ile bootstrap sırasında etkinleştirilebilir. |
| PAYG | Bulut pazar yerinden alınır; AWS saatlik ve yıllık, Azure saatlik, Google Cloud dakikalık seçenek sunar. Firewall önceden lisanslı gelir, auth code gerekmez. Kapasite seviyesi örneğin donanımına göre belirlenir. |
| Software NGFW Credits | 1 ile 5 yıl arası süreli kredi havuzu. Deployment profile ile PAN-OS sürümü, firewall başına vCPU, firewall sayısı, Panorama ve güvenlik servisleri seçilir. Esnek vCPU seçeneğinde profil başına en fazla 64 vCPU vardır. |
Software NGFW Credits belgesine göre bir firewall veya servis kullanımdan kaldırıldığında kredisi havuza geri döner; internete kapalı (air-gapped) ortamlarda ise yöneticinin Customer Support Portal üzerinden lisans token'ını iade etmesi gerekir. Krediler yalnızca VM-Series için değil, CN-Series, güvenlik servisleri ve sanal Panorama için de kullanılabilir. Ayrılmış ve ayrılmamış krediler sürenin sonunda birlikte sona erer.
İki ürünün kısa karşılaştırması
| Konu | FortiGate-VM | VM-Series |
|---|---|---|
| İşletim sistemi | FortiOS | PAN-OS |
| Hipervizör | ESXi, Hyper-V, KVM, Xen, Cisco CSP/ENCS | ESXi, KVM |
| Genel bulut | Azure, Google Cloud, AWS, Oracle, IBM | AWS, Azure, Google Cloud (OCI için PAYG) |
| Esnek lisans | FortiFlex (puan tabanlı) | Software NGFW Credits |
| Merkezi yönetim | FortiManager, FortiGate Cloud | Panorama, Strata Cloud Manager |
VPS üzerinde sanal NGFW mi, host firewall mı?
Tek bir VPS veya VDS kiraladıysanız çoğu durumda sanal NGFW'ye ihtiyacınız yoktur. Sanal NGFW, arkasında korunacak bir ağ (birden fazla sanal makine, alt ağlar, şube VPN'leri) olduğunda anlam kazanır. Tek sunucuyu korumak için işletim sistemi seviyesindeki host firewall genellikle yeterlidir:
- Ubuntu üzerinde UFW ile güvenlik duvarı kurmak.
- nftables ve CrowdSec ile davranış tabanlı engelleme: nftables ve CrowdSec rehberi.
- Sağlayıcı seviyesinde filtreleme: Hetzner Cloud Firewall gibi bulut firewall servisleri.
- Genel sıkılaştırma adımları: VPS güvenlik sertleştirme.
Sanal NGFW şu durumlarda anlamlıdır: bulutta birden fazla iş yükünü ayrı bölgelere bölüp aralarındaki trafiği uygulama seviyesinde denetlemek istiyorsanız, şubelerinizde zaten FortiGate veya Palo Alto kullanıp aynı politikayı buluta taşımak istiyorsanız ya da uyumluluk gereği IPS ve URL filtreleme kayıtlarına ihtiyaç duyuyorsanız. Lisans gerektirmeyen bir sanal firewall arıyorsanız OPNsense'i sanal makinede çalıştırma yazısına bakabilirsiniz.
Sık Sorulan Sorular
FortiGate-VM ücretsiz kullanılabilir mi?
FortiOS 8.0 kılavuzuna göre kalıcı bir deneme lisansı vardır, ancak donanım yapılandırma kısıtlamaları uygulanır ve destek verilmez. Üretim ortamı için BYOL, PAYG veya FortiFlex lisansı gerekir.
PAYG ile BYOL arasında sonradan geçiş yapabilir miyim?
Her iki üreticinin belgesine göre doğrudan geçiş yoktur; lisans türünü değiştirmek için yeni bir örnek kurmanız veya yeni lisans almanız gerekir. Bu yüzden lisans modelini baştan belirlemek önemlidir.
VM-Series hangi hipervizörlerde çalışır?
Palo Alto Networks ürün sayfasına göre özel bulutta VMware ESXi ve Linux KVM, genel bulutta AWS, Azure ve Google Cloud üzerinde çalışır.
Sanal firewall fiyatı nedir?
Fortinet ve Palo Alto Networks herkese açık bir liste fiyatı yayımlamıyor. Fiyat, yetkili iş ortakları ve distribütörler tarafından teklif usulüyle verilir; cihaz modeline, abonelik paketine ve süresine göre değişir.
Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.
İlgili içerikler: Firewall nedir · FortiGate nedir · Palo Alto NGFW · OPNsense sanal makinede · Hetzner Cloud Firewall · nftables ve CrowdSec · VDS nedir