案例分享 · 網絡安全及網絡
製造業
防火牆層：外層 Sangfor、內層 FortiGate 高可用
在網絡邊界進行負載平衡的寬頻線路
產品生命週期終止是一個倒數期限：Check Point 770 在 2025 年 4 月停止支援，SonicWall NSA2650 亦接近 2026 年 4 月停支援，客戶的唯一網絡邊界很快便不再收到安全更新。三條寬頻接入大樓，內部網絡大致未有分隔，舊交換器亦沒有可靠的故障切換路徑。客戶希望提升安全性、可靠性及備援能力，而非單純以同類設備替換；工程必須在網絡運作期間於非辦公時間完成，並避免影響翌日業務。
設計按用途分開兩層防火牆。外層由兩部 Sangfor NGAF 以 NAT 模式處理互聯網流量，負責 WAN 防護及三條寬頻負載平衡，並透過有冗餘鏈路的管理型上行交換器連接。內層由兩部 FortiGate 60F 組成高可用配對，負責內部網絡分隔、伺服器存取、DMZ 及政策控制；兩層設定互相配合，避免規則互相衝突。
交換網絡亦一併重建：兩部 48 埠 Ruijie 核心交換器承載伺服器及用戶連線，透過雙冗餘鏈路連接 FortiGate 配對。VLAN 將寬頻上行流量與伺服器、員工及訪客網絡分隔，並以 Trunk 及鏈路聚合消除剩餘單一路徑，避免用戶上游依賴單一設備。
工程配合仍在運作的場地進行：安裝設備並測試供電，先將韌體更新至廠商建議版本，再遷移及測試既有政策，而非重新盲目編寫。非辦公時間完成安裝後核實連線、備份設定，並向客戶團隊進行技術交接。
五年支援安排已納入設計：兩層均配置完整安全服務，包括 Sangfor Premium（VPN、網址過濾、應用程式控制、IPS、殭屍網絡及電郵防護）及 Fortinet UTP（IPS、進階惡意程式防護、應用程式控制、網址及 DNS 過濾）；兩品牌硬件均有即日或 24x7x4 更換服務，另有五年 8x5 工程支援。
場地現時採用兩層防護取代一部即將停支援的設備：Sangfor 保護並平衡三條寬頻，FortiGate 高可用配對分隔及管控內部流量，交換網絡亦沒有單點故障。所有設備均有五年支援，既有政策已遷移，客戶團隊亦已完成交接，產品停支援風險已處理。
