Alternativas a Fortinet: si irte, a dónde y cómo migrar

Por qué irte a Sophos. Es el único destino de esta lista cuyo fabricante publica un asistente de migración pensado para configuraciones FortiGate, que entregan sus partners. Lee FortiOS 6.x o 7.x y genera la configuración para un XGS o SFOS 21.0 o posterior. Sophos afirma incluir gestión en la nube, informes, despliegue sin intervención en sitio y licencias compatibles con alta disponibilidad, que en Fortinet pueden exigir suscripciones extra. Para el sector público, SFOS v20.0 figura como cualificado en el catálogo CPSTIC.

Para quién. Pymes sin equipo de red y partners que gestionan muchas sedes pequeñas. El XGS 88 anuncia 2.000 Mbps de protección contra amenazas.

Para quién no. Una red con varios VDOM y BGP por todas partes: el conversor solo acepta un VDOM y no trae el enrutamiento dinámico.

Su límite. No convierte usuarios ni grupos, VPN (IPsec y SSL), OSPF ni BGP, certificados ni IPv6. Pregunta antes cómo se transfiere la licencia: en un foro europeo de administradores, un cliente pagó unos 1.200 € por no poder pasarla a otro modelo.

Cómo migrar. Exporta la configuración del FortiGate, pásala por la herramienta (te la facilita tu partner Sophos) y revisa cada regla. Sophos recomienda apoyarse en un partner cualificado para el despliegue.

Por qué irte a Stormshield. Stormshield es un fabricante francés, filial de Airbus. Su gama Stormshield Network Security v4.3 figura como cualificada en el catálogo CPSTIC del CCN. Si un pliego del sector público te pide un producto cualificado para el ENS, es un argumento fácil de defender.

Para quién. Pymes, administraciones y sedes remotas. El SN220 anuncia 740 Mbps en Threat Prevention.

Para quién no. Una red que necesite mucho rendimiento de inspección al precio de un FortiGate: a gama igual, las cifras publicadas son más bajas.

Su límite. No hay conversor oficial desde Fortinet: la nota técnica de Stormshield solo cubre el paso entre modelos SNS. Los usuarios valoran su solidez, pero echan de menos tutoriales fuera de la documentación oficial, y en español hay todavía menos.

Cómo migrar. A mano o con el integrador. Exporta objetos y reglas del FortiGate a una tabla, elimina lo que sobra y vuelve a cargarlo.

Por qué irte a Palo Alto. Su inspección por aplicación (App-ID) sigue siendo la referencia. Si sales de Fortinet tras un incidente y la dirección quiere el firewall más exigente, suele ser el primer nombre. PAN-OS 11.0 (PA-400 a PA-7000) figura como cualificado en el catálogo CPSTIC.

Para quién. Empresas medianas con equipo de seguridad o un proveedor gestionado que exprima las políticas por aplicación.

Para quién no. Una pyme sin especialista: en los foros lo describen como el más caro, y su riqueza se paga en horas de ajuste.

Su límite. Sin precio público. En la comunidad de Palo Alto, las migraciones desde FortiGate muestran que los objetos pasan bien, pero reglas y NAT a menudo se rehacen, y el tráfico ICMP genera App-ID inesperados.

Cómo migrar. Expedition importa el fichero de configuración del FortiGate y genera XML de PAN-OS. Prevé una revisión línea a línea. Palo Alto también vende un servicio de migración.

Por qué irte a WatchGuard. WatchGuard, dueña de la española Panda Security, vende casi todo a través de partners, y sus paquetes se entienden a la primera. El soporte estándar incluye gestión centralizada, VPN completa, SD-WAN y soporte 24x7; la Basic Security Suite añade IPS, antivirus, filtrado de URL, control de aplicaciones y antispam; la Total Security Suite suma detección con IA, ThreatSync (XDR) y seguridad del puesto.

Para quién. Pymes que externalizan su red y partners que gestionan decenas de sedes pequeñas.

Para quién no. Un equipo que quiere administrarlo todo solo. El T25 anuncia 403 Mbps en análisis UTM completo: resérvalo para oficinas pequeñas.

Su límite. Sin precio público, y el rendimiento de la gama de entrada es modesto.

Cómo migrar. Tu partner WatchGuard reconstruye la configuración a partir de tu inventario. Pide que el presupuesto incluya la VPN.

Por qué irte a Check Point. Check Point publica su rendimiento de prevención en condiciones empresariales y con todas sus protecciones activadas (IPS, antivirus, anti-bot, filtrado de URL, sandbox): 1.500 Mbps para el Quantum Spark 1600 y 2.000 Mbps para el 1800. Si te ha decepcionado la distancia entre ficha y realidad, es una cifra más cercana al uso real.

Para quién. Pymes y sedes remotas que quieren un equipo centrado en prevención, gestionado en local o desde la nube.

Para quién no. Quien busque un conversor directo desde Fortinet: Check Point no lo destaca.

Su límite. Sin precio público, y su página de comparación con Fortinet es un argumento de competidor: léela como tal.

Cómo migrar. Con el integrador, o a mano desde tu inventario de objetos y reglas.

Por qué irte a Meraki. Todo se gestiona desde un panel web: una sede nueva se conecta y descarga su configuración. Para un equipo harto de la línea de comandos, es el cambio más radical.

Para quién. Redes con muchas sedes sin técnico in situ, y empresas que ya usan wifi o switches Meraki.

Para quién no. Quien se va de Fortinet por las licencias. En Meraki la licencia no es opcional: al caducar tienes 30 días de gracia y después todos los equipos Meraki se apagan hasta volver a cumplir, cosa que solo se arregla comprando licencias nuevas.

Su límite. Licencias por modelo, no transferibles, y Advanced Security se activa para toda la organización.

Cómo migrar. Sin conversor: rehaces reglas y VPN en el panel. La VPN entre sedes Meraki se monta en pocos clics.

Por qué irte a OPNsense. El software es libre y el fabricante neerlandés Deciso vende equipos a precio público: el DEC740 cuesta 978 €, con cerca de 1 Gbps de protección contra amenazas y un año de Business Edition incluido. Si te vas por la factura de suscripciones, es justo lo contrario de Fortinet: nada se apaga si no renuevas.

Para quién. Pymes con conocimientos de red en casa o en su proveedor.

Para quién no. Un equipo sin nadie cómodo con un firewall: no hay asistente de migración ni soporte 24x7 por defecto.

Su límite. El filtrado avanzado llega con complementos que eliges y ajustas. El soporte profesional se compra aparte.

Cómo migrar. A mano: interfaces, VLAN, alias, reglas, NAT y después VPN IPsec o WireGuard.

Por qué irte a Netgate. Netgate publica sus precios: el 4200 MAX cuesta 829 $ con soporte TAC Lite incluido; TAC Pro cuesta 399 $ al año y TAC Enterprise 799 $ al año. Sabes lo que pagarás el tercer año, algo raro en este sector.

Para quién. Pymes y proveedores que ya conocen pfSense, muy documentado en foros.

Para quién no. Quien quiera filtrado web y de aplicaciones listo al nivel de un FortiGate: hay que añadir y ajustar paquetes.

Su límite. Netgate no publica rendimiento con IPS activado, y el precio está en dólares: suma envío y cambio.

Cómo migrar. A mano, con la misma lógica que OPNsense.

Por qué irte a un SASE. Si lo que te quita el sueño es la VPN SSL expuesta, quizá la respuesta no sea otro firewall. Un SASE lleva la seguridad a la nube: tus usuarios se conectan a un servicio que verifica cada acceso (confianza cero) y tu oficina deja de tener un portal VPN abierto a Internet. El fin del modo túnel en 7.6.3 facilita la cuenta.

Para quién. Empresas con mucho teletrabajo o sedes pequeñas sin técnico.

Para quién no. Una planta o una sede central con mucho tráfico local: mantén un firewall en sitio.

Su límite. Ni Zscaler (planes Essentials y Zscaler Platform) ni Cato publican precios. Zscaler dimensiona sus ofertas para sedes según el tráfico cifrado.

Cómo migrar. Por grupos: un equipo piloto pasa al SASE mientras la VPN sigue para el resto, y luego cierras el portal.