Sophos UTM migration Unifi

Ich bin der Meinung das ein Wechsel im professionellen Umfeld von Sophos zu Unifi nicht sinnvoll ist, da fehlt es noch an zu vielen Stellen an Funktionen um das entsprechend nachzubilden.

Quote from jkasten

Ich bin der Meinung das ein Wechsel im professionellen Umfeld von Sophos zu Unifi nicht sinnvoll ist, da fehlt es noch an zu vielen Stellen an Funktionen um das entsprechend nachzubilden.

Unterschreibe ich auch, erst Recht nicht bei euren Hardware-Zoo mit HP/Aruba Switchen macht es keinen Sinn auf Unifi zu wechseln.

Ich kenne Sophos von der Arbeit. Mein Bereich war eher die Beschaffung rund um Netzwerk. Es gab Entwicklungs-Umgebung mit einem hohen Sicherheitsanspruch. Wir hatten einen Admin nur für Sophos. Ich hatte da rudimentäre Kenntnis mit guten Einblicken.
Ich kann eindeutig sagen, dass Unifi davon noch weit weg ist.
Unifi hat einfach eine andere Ausrichtung. Unifi ist gut darin Hunderte oder tausende von Clients mit WLAN im öffentlichen Raum zu versorgen oder Video-Überwachung zu generieren.
Aber Fw und Sicherheit im Netz ist nicht ihr Schwerpunkt, auch wenn sich da einiges getan hat mit der Zonen basierten Fw.
Eine Sophos-Fw ist deutlich feingliedriger zu betreiben und dabei trotzdem übersichtlich, aber sie ist auch teurer.

Quote from Qhiliqq

Alternativ wäre ein Mischbetrieb => Sophos als Firewall, Ubiquiti internes WIFI/Networking.

Das wäre eine Alternative oder als Firewall umsteigen auf Securepoint. Die sind wesentlich günstiger als Sophos, aber können genau so viel.

Quote from Qhiliqq

Die Switche würden wir ggfs. Schritt für Schritt austauschen.
Was uns aktuell von Sophos fernhält, sind einfach die Preise.
Für die Preise mit einer 3 Jahres Subscription können wir alle Switche und APs mit tauschen und wären damit sogar noch günstiger.

Problematisch sehe ich es eben mit der Firewall Geschichte.

Alternativ wäre ein Mischbetrieb => Sophos als Firewall, Ubiquiti internes WIFI/Networking.

Display More

JA, der Preis ist nicht unerheblich. Da muss man sich anschauen, wie hoch der Sicherheitsanspruch ist, was für Schäden eintreten können.
Ein Mischen finde ich schwierig, man muss vieles doppelt administrieren, insbesondere rund um VLAN/WLAN.

Wenn man nur den WLAN-Bereich Unifi überlässt, sollte man es vermutlich gut hinbekommen.

Quote from Qhiliqq

Was uns aktuell von Sophos fernhält, sind einfach die Preise.

Ja ein Problem bei denen - weiss ich aus der Vergangenheit bei meinen letzten Job nur zu Gut.

Das Produkt ist super, der Support ist gut aber die lassen sich alles bezahlen.

Ich Sachen Firewall ist Unifi das keine Konkuurrenz, gerade nicht im professionellen Unternehmenseinsatz.

Auf der andere Seite ist es leider immer wieder der Fall, das Fimen gerne bei IT-Sicherheit an der falschen Ecke sparen und dann danach dann teuer bezahlen.

Quote from Tomcat

Ja ein Problem bei denen - weiss ich aus der Vergangenheit bei meinen letzten Job nur zu Gut.

Das Produkt ist super, der Support ist gut aber die lassen sich alles bezahlen.

Ich Sachen Firewall ist Unifi das keine Konkuurrenz, gerade nicht im professionellen Unternehmenseinsatz.

Auf der andere Seite ist es leider immer wieder der Fall, das Fimen gerne bei IT-Sicherheit an der falschen Ecke sparen und dann danach dann teuer bezahlen.

Der Support war mal gut, das ist er aber schon seit Jahren nicht mehr. Guten Support bekommt man zb bei Securepoint. Im Business Umfeld würde ich niemals auf Unifi als Firewall setzen.

Quote from jkasten

Guten Support bekommt man zb bei Securepoint. Im Business Umfeld würde ich niemals auf Unifi als Firewall setzen.

Dito, wir haben zwar viele Unifi-WLAN aufgebaut bei meinem letzten Job aber Firewall immer von einem anderen Hersteller genutzt, Sophos auch nur dann wenn der Kunden unbedingt drauf bestand, weil bereits in seiner Infrastruktur vorhanden.

Aber ich würde keine Unifi Wlan oder Switch z.b. bei uns im Firmennetz nutzen, dafür sind die noch lange keine Enterprise

Unifi ist und wird auf absehbare Zeit nicht wirklich Enterprise Level erreichen. Aber für uns als "Prosumer" reicht das locker. Im Business Umfeld gibt es andere Anbieter für WLAN, Switche und Firewalls.

Davon aber ab, es gibt durchaus auch Scenarien wo man Unifi WLAN und Switche um Business Umfeld einsetzen kann. Wir haben zb diverse Arzt Praxen wo es total übertrieben wäre dort mit Cisco oder ähnlichem aufzutreten. Da reicht Unifi mit einer Securepoint davor völlig aus.

Quote from jkasten

Davon aber ab, es gibt durchaus auch Scenarien wo man Unifi WLAN und Switche um Business Umfeld einsetzen kann. Wir haben zb diverse Arzt Praxen wo es total übertrieben wäre dort mit Cisco oder ähnlichem aufzutreten. Da reicht Unifi mit einer Securepoint davor völlig aus.

Jepp, wir hatten als Kunden auch Mittelständler, von der kleine Arztpraxis ( die sogar Sophos hatten ) bis zum KMU mit paar Hundert Mitarbeiter. Da wo ich jetzt arbeiten haben wir alle schon an einzelnen Standorten 2000 Leute und die sind im WLAN, meist mit mehreren Geräten, da sind andere Netzwerk-Ausrüster die erste Wahl.

Ich muss ehrlich sagen, dass ich die Threads hier im Board, bei denen es um Vergleiche der Unifi Firewall mit Produkten anderer Anbieter geht, fast alle als nicht besonders hilfreich empfinde. Die Antworten, die kommen, sind überwiegend reine Allgemeinplätze oder Meinung ohne nähere Begründung. Unser Neumitglied Qhiliqq hat hier zumindest noch keine wirklich konkrete Anwort auf seine Fragen erhalten.

Es wäre schön, wenn wir in diesem Bereich mal in einen wirklich pointierten Austausch von Erfahrungen kommen könnten, aus dem sich dann auch nachvollziehbar argumentieren lässt, warum Lösung A oder Lösung B für den jeweiligen Anwendungsfall vorteilhaft wäre.

Ich versuche mal, soweit mir möglich, genau das zu tun und auf einige Punkte konkreter einzugehen.

1. High Availibility scheint hier wichtig zu sein, das beherrschen alle UDMs und das EFG. Deren jeweilige Pendants ohne Controller lasse ich generell mal außen vor, hier gibt es ansonsten ja keine funktionellen Unterschiede.

2. Einen integrierten Reverse Proxy bietet Unifi nicht, so weit ich weiß.

3. Die Firewall in Unifi lässt sich mittlerweile ziemlich granular einstellen und man kann Applikations-basiert filtern. Eine klassische Web Application Firewall als separate Funktion gibt es aber nicht. Hier wäre zu prüfen, was genau die WAF leisten soll. Ich kenne es auch eher so, dass sich die Funktionen Reverse Proxy und WAF über eine Software / ein Gerät gemeinsam abbilden, dies muss natürlich nicht zwingend so sein.

4. "Wireless Protection" ist für mich vor allem ein Marketing-Begriff, aber das was Sophos darunter versteht, macht Unifi im Prinzip sowieso aufgrund des "Controller-Prinzips".

5. VPN & AD-Integration: In Unifi Identity lässt sich ein AD anbinden, ich meine allerdings, dass es noch keine Möglichkeit gibt, einen VPN-Server darauf basierend zu konfigurieren. Habe mich länger nicht damit beschäftigt, demnach ist mein Wissen vielleicht veraltet. Was wohl funktionieren sollte: Die Network Policy Server-Rolle auf einem der Windows-Server aktivieren und diesen dann als RADIUS-Basis für den Unifi-VPN-Server zu nutzen. Selbst getestet oder gar im Einsatz habe ich dies aber nicht.

6. SSL-Interception beherrscht nur das EFG als Top-Produkt im Lineup. Ob man diese umstrittene Technik wirklich nutzen sollte, steht auf einem anderen Blatt.

7. Support: Ubiquiti bietet seit einiger Zeit zusätzlich zu den üblichen, kostenfreien Supportkanälen auch telefonischen Support als Abomodell an. 9to5 oder 24x7, wenn der Bedarf danach ist. Meines Wissen nach bislang nur auf Englisch, das sollte also besser kein Hinderungsgrund sein, wenn man gewerblich auf Unifi-Geräte angewiesen ist. An diesem Punkt haben Hersteller mit deutschsprachigem Support natürlich einen Vorteil. Dafür ist der Support für Unifi überschaubar teuer, 24/7 kostet 2300 € im Jahr und als 3 Jahres-Plan 5500 € bei Abdeckung aller Unifi-Komponenten, unabhängig von deren Anzahl. Das zahlt man bei der Konkurrenz oft ja schon monatlich...

Generell: Zur Performance und Stabilität von Site-To-Site-VPN im geschäftlichen Einsatz kann ich leider nichts beitragen, da ich Site-To-Site nur bedingt für privat verwende und insbesondere für Business nur Roadwarrior-Szenarien im Einsatz habe. Mittlerweile ausschließlich Wireguard, früher auch IPsec. Das funktioniert alles sehr unauffällig und macht wirklich keine Probleme.

Zum nackten Funktionsumfang der Router/Firewalls bei Unifi lässt sich auf jeden Fall generalisierend sagen, dass sie nicht an einen Vollausbau von Sophos, Cisco, Securepoint oder sonstigen üblichen Verdächtigen heran kommen. So etwas wie Mail-Security beispielsweise bietet kein Unifi-Produkt, weitere Aspekte siehe oben. Ich finde es aber auch nicht in jedem Fall sinnvoll, sämtliche Funktionen auf einer Firewall abbilden zu wollen. Je kleiner das Unternehmen, desto mehr All-In-One ist gewünscht, klar, aber All-In-One heißt eben auch, dass bei Wartung, Problem oder Umkonfiguration von einer Komponente plötzlich ganz andere Funktionsbereiche im Netzwerk in Mitleidenschaft gezogen werden könnten. Es gibt hier gute Argumente für beide Sichtweisen, aber die Qualität einer Firewall nur an ihrem Funktionsumfang zu bewerten, ist in meinen Augen ein ziemlich falscher Ansatz.

Ich kann Dir ansonsten auch noch den Youtube-Kanal @lawrencesystems empfehlen. Hier gibt es u.a. relativ objektive Analysen und Vergleiche von Firewalls - Unifi ist oft vertreten. Das alles aus der Sicht eines IT-Spezialisten, der auch etwas größere Firmen unterstützt.