فايروول للشركات الصغيرة في مصر: FortiGate 40F و 50G و 60F و 70G ضد Sophos XGS ضد MikroTik و ER605

الخلاصة السريعة

• مكتب لحد 10 أفراد على VDSL، شغله سحابي، ومافيش متطلبات امتثال: راوتر-فايروول زي TP-Link Omada ER605 أو MikroTik hEX (RB750Gr3)، مع حماية على الأجهزة نفسها (EDR/Antivirus) وفلترة DNS.
• شركة من 10 لـ 50 فرد محتاجة IPS وفلترة ويب وتقارير: FortiGate 50G، أو 40F لو لقيته بعرض كويس، مع باقة Unified Threat Protection. البديل Sophos XGS 88 بترخيص Xstream Protection.
• خطين إنترنت أو ألياف 500 ميجا لـ 1 جيجا، أو فروع بـ VPN: FortiGate 70G (أو 60F)، أو Sophos XGS 108.
• مهندس شبكات عايز Routing و VPN قوي من غير UTM: MikroTik RB4011iGS+RM.

FortiGate و Sophos مالهمش سعر قطاعي معلن في مصر: بيتباعوا بعرض سعر من شركاء معتمدين، والتفاصيل في آخر المقال. أسعار MikroTik و ER605 بتتحدث أسبوعياً في متتبع الأسعار.

الأول: هل محتاج NGFW أصلاً؟

راوتر زي ER605 أو MikroTik بيعمل Stateful (SPI) Firewall و NAT و VPN و Multi-WAN. ده بيمنع الاتصالات اللي جاية من بره من غير ما حد يطلبها، بس مش بيبص جوه الترافيك: مافيش IPS ولا Antivirus على الـ gateway ولا Application Control ولا فلترة ويب بالتصنيفات. الـ NGFW، زي FortiGate و Sophos، بيضيف الطبقات دي، وبيضيف حاجة مهمة جداً في الشركات: رؤية، يعني مين بيستخدم إيه وكام.

راوتر-فايروول كفاية لو:

• الشغل كله على SaaS (Microsoft 365 و Google Workspace و ERP سحابي)، ومافيش سيرفرات مكشوفة على الإنترنت.
• الأجهزة عليها حماية Endpoint كويسة ومُدارة مركزياً.
• مافيش عميل أو جهة رقابية بتطلب منك Logs أو تقارير أو IPS.
• عندك حد بيحدّث الفيرموير بانتظام.

ممكن تكمل الحماية بفلترة DNS مجانية أو مدفوعة. وفي MikroTik تقدر تعمل Address Lists و DNS adlist في RouterOS v7، بس ده مش IPS. لو بتبني مسارك في الأمن، ابدأ من مسار الأمن السيبراني.

إزاي تقرا أرقام الـ Datasheet

الرقم	معناه	قد إيه بيهمك
—	—	—
Firewall Throughput	باكتات UDP كبيرة (1518 بايت) من غير أي فحص	رقم تسويقي، نادراً ما تعيشه
IPS / NGFW	فايروول + IPS + Application Control	أقرب للواقع
Threat Protection	فايروول + IPS + App Control + Malware Protection، مع Logging	الرقم اللي تبني عليه الاختيار
SSL Inspection	فحص IPS على ترافيك HTTPS بعد فك التشفير	مهم لو هتعمل Deep Inspection
IPsec VPN	تشفير AES256-SHA256 بحجم باكت 512 بايت	لربط الفروع و VPN الموظفين

التعريفات اللي فوق مأخوذة من حواشي Datasheets بتاعة Fortinet. Sophos بتستخدم منهجية اختبار مختلفة، فماتقارنش رقم Threat Protection بتاع Sophos برقم Fortinet بشكل مباشر. قارن موديلات نفس الشركة ببعض، وفي المقارنة بين الشركتين اعتمد على اختبارات مستقلة أو على Proof of Concept على ترافيكك أنت.

الأرقام الرسمية

الموديل	Firewall	Threat Protection	SSL Inspection	IPsec VPN	المنافذ
—	—	—	—	—	—
FortiGate 40F	5 Gbps	600 Mbps	310 Mbps	4.4 Gbps	5× GbE
FortiGate 50G	5 Gbps	1.1 Gbps	1.3 Gbps	4.5 Gbps	5× GbE
FortiGate 60F	10 Gbps	700 Mbps	630 Mbps	6.5 Gbps	10× GbE
FortiGate 70G	10 Gbps	1.3 Gbps	1.4 Gbps	7.1 Gbps	10× GbE
Sophos XGS 88	9.9 Gbps	2 Gbps	600 Mbps	6 Gbps	4× 2.5GbE
Sophos XGS 108	12.5 Gbps	2.5 Gbps	800 Mbps	8.25 Gbps	6× 2.5GbE + SFP

ملاحظات مهمة على الجدول:

• سلسلة G من Fortinet أحدث من F ومبنية على معالج SP5. الـ 50G تقريباً ضعف 40F في Threat Protection، وأكتر من 4 أضعافه في SSL Inspection، بنفس عدد المنافذ. و 70G بيتفوق على 60F بنفس الشكل. لو الاتنين متاحين بسعر قريب، خد سلسلة G.
• Sophos XGS 87، الموجود في متتبعنا من غير سعر حالي، من أجهزة XGS الجيل الأول اللي Sophos أعلنت نهاية بيعها (بيتباع لحد ما المخزون يخلص). مرحلة الدعم بعد نهاية البيع بدأت 30 سبتمبر 2025، وآخر تجديد سنوي لحد 30 سبتمبر 2029، ونهاية الدعم 30 سبتمبر 2030. البديل المقابل في الجيل التاني هو XGS 88. لو لقيته بسعر مغري، افتكر إن عمر تراخيصه محدود.
• XGS 88 مافيهوش On-box Reporting ولا Dual AV حسب Datasheet بتاع Sophos. لو محتاجهم، خد XGS 108.
• الموديلات دي كلها Fanless وحرارة التشغيل المكتوبة 0–40°C. في أوضة سيرفر في مصر من غير تكييف في الصيف، ممكن تعدي الحد ده بسهولة.

SSL Inspection: الفرق بين الورق والواقع

أغلب ترافيك الويب النهارده HTTPS. من غير فك التشفير، الفايروول بيشوف اسم الموقع (SNI) والشهادة، فيقدر يعمل فلترة ويب و Application Control بشكل معقول، بس الـ IPS والـ Antivirus مش بيشوفوا المحتوى. ده اسمه Certificate Inspection.

الـ Deep Inspection بيفك التشفير ويفحص المحتوى، وتمنه:

• الأداء: 40F بينزل من 600 Mbps في Threat Protection لـ 310 Mbps في SSL Inspection. على خط VDSL ده كفاية، بس على ألياف جيجا مش كفاية.
• التشغيل: لازم تنشر شهادة CA بتاعة الفايروول على كل الأجهزة، وتعمل استثناءات للتطبيقات اللي بتعمل Certificate Pinning، زي تطبيقات بنوك كتير وبعض أدوات التحديث.
• الخصوصية: استثني تصنيفات زي البنوك والصحة. قانون حماية البيانات الشخصية المصري رقم 151 لسنة 2020 بيخلي فحص بيانات الموظفين محتاج سياسة مكتوبة وإقرار. ارجع لمستشارك القانوني.

القاعدة العملية: لو هتعمل Deep Inspection، اختار الموديل على أساس رقم SSL Inspection مش رقم Threat Protection، وسيب هامش 30–50% فوق سرعة الإنترنت.

التراخيص: الجهاز جزء من التكلفة بس

FortiGate

• FortiCare: الدعم الفني، وتحديثات الفيرموير، والاستبدال (RMA). من غيره مافيش تحديثات FortiOS، وده خطر حقيقي مع كمية الثغرات اللي بتتعلن على أجهزة الـ edge كل سنة.
• FortiGuard: تحديثات توقيعات IPS و Antivirus وفلترة الويب وغيرها. Fortinet بتبيعها في باقات: Enterprise Protection و Unified Threat Protection (UTP) و Advanced Threat Protection. وفيه باقة SD-WAN منفصلة للخدمات السحابية الإضافية. حسب الـ Datasheet، Application Control و Inline CASB متضمنين مع FortiCare.
• من غير تراخيص الجهاز بيفضل شغال كفايروول و VPN و SD-WAN أساسي، بس من غير IPS ولا AV ولا Web Filtering محدثين. يعني بتدفع في NGFW وبتشغله راوتر غالي.
• الأكواد اللي هتلاقيها في عرض السعر فيها كلمة BDL (Bundle) ومدة 12 أو 36 أو 60 شهر. شراء 3 سنين مع الجهاز غالباً أوفر في السنة من التجديد كل سنة لوحدها. والتجديد بعد ما الترخيص يخلص بيتسعر كخدمة لوحده، وممكن يقرب من سعر الجهاز أو يعديه على مدار عمر الجهاز. حطه في حسبتك من أول يوم.

Sophos

• باقات Standard Protection و Xstream Protection، والتانية فيها مزايا زي الـ Sandboxing وحماية متقدمة. الإدارة من Sophos Central بتيجي مع الجهاز.
• نفس الفكرة: من غير ترخيص ساري، الحماية المتقدمة بتقف.

VPN للموظفين: تغيير مهم في FortiOS

Datasheets بتاعة 40F و 60F فيها ملاحظة صريحة: SSL-VPN مش مدعوم من FortiOS 7.6.0 وما بعدها على الموديلات دي، وفي 50G و 70G خانة SSL-VPN فاضية أو N/A. يعني الـ Remote Access للموظفين على الأجهزة الجديدة هيكون IPsec (IKEv2) عن طريق FortiClient. ده أحسن أمنياً، لأن بوابات SSL-VPN كانت من أكتر الأماكن اللي اتضربت بثغرات، بس خطط له لو كنت معتمد على SSL-VPN في الأجهزة القديمة.

SD-WAN بالمصري

SD-WAN في FortiOS أساسي وببلاش: Performance SLA بيقيس latency و jitter و packet loss لكل خط، وقواعد توزيع، مثلاً Teams و Zoom على الخط الأحسن، والتحديثات على الخط التاني. Sophos عنده نفس الفكرة بـ SD-WAN Profiles. وفي MikroTik و ER605 تقدر تعمل Failover و Load Balancing، بس من غير قياس جودة لكل تطبيق بنفس السهولة.

نقطة مصرية مهمة: خطين VDSL من شركتين مختلفتين مش دايماً يعني تنوع حقيقي. الخطوط الأرضية في الغالب ماشية على نفس البنية التحتية النحاسية، فلو الكابل اتقطع في الشارع أو الكابينة فصلت، ممكن يقعوا الاتنين. أفضل تركيبة احتياطي: خط أرضي (VDSL أو ألياف) زائد 4G/5G من شركة محمول، ولو أمكن ألياف من مزود تاني. الـ FortiGate 40F عنده نسخة 40F-3G4G بمودم LTE مدمج، أو تقدر توصل راوتر 4G على منفذ WAN.

الراوتر-فايروول: ER605 و MikroTik

TP-Link Omada ER605

• لحد 4 منافذ WAN، و Load Balancing، و SPI Firewall، و VPN، وإدارة من Omada Controller مع باقي أجهزة Omada.
• مناسب لمكتب صغير أو محل عايز Failover بين خطين وإدارة بسيطة.
• مافيهوش IPS ولا فلترة محتوى حقيقية.

MikroTik hEX (RB750Gr3) و RB4011iGS+RM

• RouterOS بيدّيك كل حاجة في الـ Routing: BGP و OSPF و VLANs و WireGuard و IPsec، و Firewall مرن جداً بـ Address Lists.
• hEX معالجه ثنائي النواة 880MHz و 256MB رام: ممتاز لخط VDSL، بس قواعد الفايروول الكتير والـ Queues بتحمّل المعالج.
• RB4011 رباعي النواة 1.4GHz و 1GB رام و 10 منافذ جيجا و SFP+: مناسب لخطوط أعلى ولفروع بـ VPN.
• العيب: الإعداد الافتراضي لازم يتأمن (اقفل الخدمات على WAN، وحدّث RouterOS، وغيّر المستخدم الافتراضي). أجهزة MikroTik اللي اتسابت من غير تحديث استُخدمت قبل كده في Botnets.

من الأسعار الحالية: ER605 و hEX في نفس المستوى تقريباً، و RB4011 حوالي 4 لـ 5 أضعافهم.

إزاي تطلب عرض سعر FortiGate أو Sophos في مصر

الأجهزة دي مش موجودة بسعر قطاعي على المتاجر المصرية اللي بنتابعها. بتتباع عن طريق شركاء معتمدين (Partners/Resellers) بيشتروا من موزعين. الخطوات:

• دوّر على شريك من Fortinet Partner Locator أو Sophos Partner Locator على المواقع الرسمية، واطلب عرض من 2 أو 3 شركاء.
• جهز المعلومات دي: عدد المستخدمين والأجهزة، وسرعات خطوط الإنترنت وعددها، وهل هتعمل SSL Deep Inspection، وعدد مستخدمي VPN والفروع، وهل محتاج High Availability (جهازين)، ومدة الترخيص (1 أو 3 أو 5 سنين).
• اطلب في العرض: كود الجهاز، وكود الـ Bundle بالمدة، ومستوى FortiCare، وهل التركيب والإعداد متضمنين، وسعر التجديد المتوقع.
• اتأكد إن الجهاز هيتسجل باسم شركتك على بوابة الدعم (FortiCare أو Sophos Central)، وإن الرقم التسلسلي جديد ومش مسجل قبل كده.
• خلي بالك من الأجهزة الـ Grey Import أو المستعملة: الترخيص مرتبط بالرقم التسلسلي، وممكن يكون عليها ترخيص منتهي أو مايتنقلش.

في الشغل الاحترافي، اطلب من الشريك تصميم مبدئي: VLANs، وسياسات الضيوف، و VPN، و SD-WAN. سعر الجهاز وحده مش هو المقياس.

أخطاء شائعة

• اختيار الموديل على أساس رقم Firewall Throughput بدل Threat Protection أو SSL Inspection.
• شراء FortiGate من غير ترخيص أو تركه يخلص، فيبقى جهاز غالي بيشتغل SPI بس ومن غير تحديثات فيرموير.
• فتح واجهة الإدارة (HTTPS/SSH) على الـ WAN، وده من أخطر الأخطاء على أي فايروول.
• Deep Inspection من غير استثناءات، فالموظفين يشتكوا من تطبيقات البنوك والتحديثات ويتقفل الفحص كله.
• الاعتماد على خطين أرضي “لتأمين” الاتصال وهما ماشيين في نفس الكابل.
• عدم تفعيل الـ Logging أو إرسال الـ Logs لمكان خارجي، فلما يحصل اختراق مافيش أثر.

ولو هتبني الشبكة الداخلية ورا الفايروول، شوف https://connect4techs.com/business-switch-comparison-cisco-aruba-omada-mikrotik/ و https://connect4techs.com/best-access-point-omada-unifi-mikrotik-aruba/.

أسئلة شائعة

FortiGate 40F ولا 50G؟

لو الاتنين متاحين بسعر قريب، 50G أحدث وأقوى بوضوح: Threat Protection حوالي 1.1 Gbps مقابل 600 Mbps، و SSL Inspection حوالي 1.3 Gbps مقابل 310 Mbps حسب الـ Datasheets. 40F لسه كويس جداً لخط VDSL ولمكتب صغير لو جالك بعرض أوفر.

هل FortiGate بيشتغل من غير ترخيص؟

أيوه، كفايروول و NAT و VPN و SD-WAN أساسي. بس من غير FortiCare مافيش تحديثات فيرموير، ومن غير FortiGuard مافيش IPS ولا Antivirus ولا Web Filtering محدثين. عملياً لازم على الأقل FortiCare عشان الثغرات.

كام بيتكلف التجديد السنوي؟

بيختلف حسب الموديل والباقة والمدة، ومالوش سعر قطاعي ثابت في مصر. اطلب سعر التجديد مكتوب في عرض الشراء الأول، وقارن تكلفة 3 سنين مع الجهاز بتجديد سنوي.

Sophos ولا Fortinet؟

الاتنين ممتازين. Fortinet أقوى في الأداء بالمعالجات المخصصة، وفي SD-WAN، وفي منظومة Security Fabric مع FortiSwitch و FortiAP. Sophos مميز في سهولة الإدارة من Sophos Central وفي التكامل مع Sophos Endpoint (Synchronized Security). خبرة الشريك اللي هيركب ويدعم في مصر غالباً أهم من الفرق بين المنتجين.

MikroTik ينفع يبقى فايروول لشركة؟

ينفع كـ Stateful Firewall و VPN و Routing ممتاز، بس مافيهوش IPS ولا AV ولا فلترة ويب بالتصنيفات. لو الشركة محتاجة الطبقات دي، حط NGFW أو كمل بحلول على الأجهزة و DNS.

محتاج جهازين HA؟

لو توقف الإنترنت ساعة بيكلف الشركة أكتر من تمن جهاز تاني، أيوه. FortiGate بيدعم Active-Passive و Active-Active. افتكر إن الجهاز التاني كمان محتاج ترخيص حسب سياسة الشركة المصنعة، فاسأل الشريك.

المصادر

• Fortinet: FortiGate 40F Series Data Sheet
• Fortinet: FortiGate 60F Series Data Sheet
• Fortinet: FortiGate/FortiWiFi 50G Series Data Sheet
• Fortinet: FortiGate/FortiWiFi 70G Series Data Sheet
• Fortinet: Entry-Level FortiGate Models
• Sophos XGS 88 Technical Specifications (نسخة من Datasheet الرسمي)
• Sophos XGS 108 Technical Specifications (نسخة من Datasheet الرسمي)
• Sophos: إعلان End-of-Sale لأجهزة XGS Gen.1 Desktop
• TP-Link: مواصفات ER605
• MikroTik: RB4011iGS+RM