Pare-feu MikroTik ou Fortinet : lequel pour une PME ?

MikroTik et Cisco ne se comparent pas comme deux marques de même nature. MikroTik livre son matériel avec son système RouterOS et une licence permanente, sans abonnement de sécurité, mais sans IPS natif. Cisco propose aujourd'hui des pare-feu Secure Firewall et Meraki MX dont les fonctions de sécurité avancées reposent sur des abonnements. AsloTech fournit et installe des pare-feu MikroTik et Fortinet ; Cisco, Sophos, pfSense et OPNsense sont cités ici à titre de comparaison. Le bon choix dépend de la personne qui administrera l'équipement, des fonctions dont vous avez besoin (VPN, VLAN, IPS, filtrage web) et du coût de renouvellement des licences. Cet article compare ces familles sur ces critères ; les prix se donnent sur devis.

Les marques que fournit AsloTech : MikroTik et Fortinet

MikroTik

MikroTik est une société lettone fondée en 1996 à Riga. Son système RouterOS équipe ses appareils RouterBOARD et peut aussi s'installer sur un PC ou en machine virtuelle. Dans le catalogue du fabricant : les petits routeurs (séries hEX et hAP) pour un bureau, le modèle RB5009 et la série CCR (Cloud Core Router) pour des débits plus élevés, et la série CRS (Cloud Router Switch) pour la commutation, avec des fonctions de routage selon le modèle. Le modèle retenu pour votre site se choisit sur devis, d'après le débit de votre connexion et les fonctions à activer.

Avantages

• Licence RouterOS permanente livrée avec l'appareil : pas d'abonnement pour activer le pare-feu, le VPN ou les VLAN. Le niveau de licence fixe certaines limites d'usage, comme le nombre de tunnels ou d'utilisateurs du portail captif.
• Pare-feu à état complet (tables filter, NAT, mangle et raw), VLAN, files d'attente pour limiter les débits, portail captif Hotspot, IPsec, et WireGuard depuis RouterOS 7.
• Un seul appareil peut faire routeur, pare-feu, serveur DHCP et passerelle VPN.
• Documentation officielle et large communauté d'utilisateurs.

Limites

• Pas d'IPS à signatures ni de filtrage web par catégories en natif. Si vous en avez besoin, il faut un appareil ou un service complémentaire.
• Tout est configurable, donc une règle oubliée reste ouverte : c'est à l'installateur de refermer ce qui doit l'être.
• L'administration doit être protégée. En 2018, la faille CVE-2018-14847 du service WinBox a été exploitée contre des routeurs accessibles depuis Internet. Elle est corrigée depuis, mais la règle reste la même : n'exposez ni WinBox (TCP 8291), ni SSH, ni l'interface web sur la connexion Internet, et gardez RouterOS à jour sur le canal « stable » ou « long-term ».
• Le dépannage repose sur l'installateur, la documentation et les forums du fabricant : c'est la raison de confier l'installation et le suivi à un prestataire qui connaît la marque.

Fortinet FortiGate

Fortinet est une société américaine (Sunnyvale, Californie). Sa gamme de pare-feu s'appelle FortiGate et fonctionne avec le système FortiOS. Comme pour MikroTik, le modèle adapté à votre site se détermine sur devis, d'après le nombre d'utilisateurs, le débit de votre connexion et les services de sécurité à activer.

Avantages

• Les services de sécurité (IPS, antivirus, filtrage web) existent dans la gamme et sont fournis par les abonnements FortiGuard : vous n'avez pas à ajouter un second appareil pour les obtenir.
• Pare-feu à état et VPN IPsec sur le même appareil (un FortiGate peut monter un tunnel avec un MikroTik, un Cisco ou un pfSense : voir VPN d'entreprise).
• Administration par l'interface web de FortiOS ou par la ligne de commande.

Limites

• Les services de sécurité reposent sur des abonnements à renouveler. Sans abonnement, le FortiGate continue de filtrer à état, mais ses signatures ne sont plus mises à jour : ce coût se prévoit sur la durée de vie du pare-feu.
• Les fiches du constructeur distinguent le débit « pare-feu seul » des débits avec IPS ou VPN activés. Dimensionnez avec celui qui correspond aux services que vous activerez.
• Comme sur toute marque, une règle trop large ou une administration ouverte sur Internet annule le bénéfice de l'appareil.

Les familles citées pour comparaison

Cisco

Cisco Systems est une société américaine fondée en 1984. Pour un pare-feu de PME, trois noms reviennent :

• Secure Firewall (Threat Defense), anciennement Firepower : la gamme actuelle de pare-feu nouvelle génération.
• ASA 5500-X (Adaptive Security Appliance) : Cisco a annoncé la fin de vie de cette famille, avec arrêt de la vente puis du support. N'achetez pas un ASA d'occasion pour un nouveau projet : il ne reçoit plus de correctifs de sécurité.
• Meraki MX : pare-feu administré depuis un tableau de bord dans le cloud, pratique pour suivre plusieurs sites.

Avantages

• Fonctions de sécurité avancées (IPS, filtrage d'URL, anti-malware) intégrées à la gamme, avec administration centralisée possible pour plusieurs sites.
• Formations et certifications Cisco (CCNA, CCNP, CCIE) : des techniciens formés existent, mais aucune certification n'est exigée pour administrer un pare-feu.
• Contrats de support constructeur.

Limites

• Les fonctions avancées passent par des licences à abonnement, à renouveler. Un Meraki MX exige une licence valide : à son expiration, après un délai de grâce, l'équipement ou l'organisation est désactivé selon la documentation de Meraki.
• Les outils d'administration diffèrent selon la gamme (gestion locale, centralisée ou cloud).
• Le coût total se compose du matériel, des licences et du support, pas du seul prix d'achat.

Autres options

• Sophos Firewall (anciennement XG Firewall) : société britannique. Comme pour Fortinet, vérifiez sur la fiche quels services sont inclus et lesquels sont sous abonnement.
• pfSense et OPNsense : pare-feu libres basés sur FreeBSD, OPNsense étant issu d'une scission de pfSense. Ils s'installent sur un PC ou un boîtier x86 : vous choisissez le matériel, et la maintenance du système vous revient, ou à votre prestataire. pfSense CE est gratuit ; pfSense Plus est l'édition commerciale livrée avec les appareils Netgate. Un IPS est possible par modules (Snort, Suricata).

Comparaison par critères

Lisez aussi les débits sur les fiches constructeur. Elles distinguent souvent le débit « pare-feu seul » du débit avec IPS ou VPN activés : retenez celui qui correspond aux fonctions que vous utiliserez.

Comment choisir entre ces familles ?

Partez de vos besoins, pas de la marque :

1. Qui administrera l'équipement ? Un technicien à l'aise avec la ligne de commande tirera parti de RouterOS. Sans administrateur formé, une gamme avec interface guidée et support constructeur évite des erreurs.
2. Quelles fonctions sont nécessaires ? VLAN, Wi-Fi invité avec portail captif, VPN site à site et limitation de débit sont possibles sur MikroTik et pfSense. Si vous voulez aussi un IPS ou un filtrage web par catégories, orientez-vous vers une gamme qui l'intègre, comme Fortinet, sous abonnement, ou ajoutez un équipement dédié.
3. Quel débit réel ? Dimensionnez avec le débit de votre connexion Internet et les fonctions activées, pas avec le débit maximal annoncé.
4. Quel budget sur plusieurs années ? Additionnez matériel, licences à renouveler et prestation d'installation et de maintenance.
5. Quelle continuité ? Prévoyez une sauvegarde de la configuration, un onduleur et, si l'activité dépend d'Internet, une seconde connexion.

Entre les deux marques que nous fournissons, la règle est simple. MikroTik convient quand le besoin se limite au filtrage, aux VLAN, au VPN, à la limitation de débit et au portail captif, sans abonnement de sécurité à renouveler. Fortinet convient quand vous voulez en plus un IPS, un antivirus ou un filtrage web par catégories, avec un budget d'abonnements FortiGuard prévu sur la durée de vie du pare-feu. Dans les deux cas, nous partons de votre réseau existant pour proposer le modèle.

Combien coûte un pare-feu ?

AsloTech ne publie pas de prix de pare-feu : le tarif dépend du modèle, du débit de votre connexion, des fonctions et des licences, et il se donne sur devis. Le coût total se compose de quatre éléments :

• le matériel ;
• les licences et abonnements : aucun abonnement de sécurité pour MikroTik, abonnements FortiGuard à renouveler pour les services de sécurité de Fortinet ;
• l'installation, la configuration, les essais de recette et la mise en service ;
• la maintenance et le suivi des mises à jour (voir contrat de maintenance informatique).

Pour comparer deux devis, demandez-les sur le même périmètre : nombre d'utilisateurs, débit de la connexion, fonctions (VPN, VLAN, IPS, filtrage web) et durée des abonnements.

Erreurs fréquentes sur chantier

• Interface d'administration ouverte sur Internet : WinBox, SSH ou l'interface web accessibles depuis la connexion publique.
• Règle « tout autoriser » laissée après un dépannage.
• Mot de passe d'administration d'origine conservé.
• Double NAT : le pare-feu est branché derrière la box de l'opérateur, qui fait aussi du NAT. Les redirections de ports et le VPN deviennent difficiles. Placez la box en mode pont si elle le permet, sinon configurez sur la box une DMZ qui désigne le pare-feu.
• Aucune sauvegarde de la configuration : un appareil remplacé après une panne oblige à tout reconfigurer de mémoire. Exportez et conservez la configuration après chaque modification (voir aussi la règle de sauvegarde 3-2-1).
• Pare-feu rangé n'importe où : placez-le dans la baie de brassage, alimenté par un onduleur.

Prochaines étapes

Consultez notre page sécurité réseau et pare-feu pour étudier votre besoin avec nous : nous fournissons et installons des pare-feu MikroTik et Fortinet, sur devis. Notre page réseaux informatiques traite du câblage et des équipements actifs. Vous pouvez aussi lire comment relier vos sites avec un VPN, segmenter votre réseau avec des VLAN, ou dimensionner le Wi-Fi. Un contrat de maintenance informatique permet de suivre les mises à jour du pare-feu.

Questions fréquentes

À lire aussi