Alternative à Fortinet : faut-il partir, vers quoi, et comment migrer

Pourquoi partir sur Sophos. C'est la seule destination de cette liste dont l'éditeur publie un assistant de migration pensé pour les FortiGate, fourni par ses partenaires. Il lit une configuration FortiOS 6.x ou 7.x et produit une configuration pour un XGS ou SFOS 21.0 et plus. Sophos annonce aussi inclure la gestion cloud, les rapports, le déploiement sans intervention sur site et une licence compatible haute disponibilité, là où ces fonctions demandent parfois des abonnements de plus chez Fortinet.

Pour qui. Les TPE et PME sans équipe réseau, et les prestataires qui gèrent plusieurs petits sites. Le XGS 88 annonce 2 000 Mbps en protection contre les menaces.

Pour qui ce n'est pas fait. Une ETI avec plusieurs VDOM et du BGP partout : le convertisseur n'accepte qu'un VDOM unique et ne reprend pas le routage dynamique.

Sa limite. Le convertisseur ne reprend ni les utilisateurs et groupes, ni les VPN (IPsec et SSL), ni OSPF et BGP, ni les certificats, ni l'IPv6. Sur un forum d'administrateurs, un client raconte aussi avoir payé environ 1 200 € faute de pouvoir transférer sa licence lors d'un changement de modèle. Demande la règle de transfert avant d'acheter.

Comment migrer. Exporte la configuration du FortiGate, passe-la dans l'outil (fourni par ton partenaire Sophos), puis relis chaque règle. Sophos conseille lui-même de te faire accompagner par un partenaire qualifié pour le déploiement.

Pourquoi partir sur Stormshield. Stormshield est un éditeur français, filiale d'Airbus. L'éditeur affiche une qualification Standard de l'ANSSI pour sa gamme Stormshield Network Security. Si tu travailles pour le secteur public, un opérateur important ou un client qui exige un produit européen, c'est l'argument le plus simple à défendre.

Pour qui. Les PME, collectivités et sites distants. Le SN220 annonce 740 Mbps en Threat Prevention, assez pour un site de 50 à 100 personnes.

Pour qui ce n'est pas fait. Un réseau qui a besoin de très gros débits d'inspection au prix d'un FortiGate : à gamme égale, les chiffres publiés sont plus bas.

Sa limite. Aucun outil officiel de conversion depuis Fortinet : la note technique de Stormshield ne couvre que le passage d'un modèle SNS à un autre. Sur les forums, les utilisateurs saluent la solidité et le support, mais regrettent le peu de tutoriels hors de la documentation officielle.

Comment migrer. Reprise manuelle ou par l'intégrateur. Exporte tes objets et tes règles du FortiGate en tableau, nettoie ce qui ne sert plus, puis ressaisis. Sur un petit site, compte une à deux journées de travail.

Pourquoi partir sur Palo Alto. Son inspection par application (App-ID) reste la référence du marché. Si tu quittes Fortinet après un incident et que ta direction veut le pare-feu le plus exigeant, c'est souvent le nom qui sort. La gamme va du PA-50R au PA-7500.

Pour qui. Les ETI avec une équipe sécurité, ou un prestataire infogérant, qui sauront exploiter les règles par application.

Pour qui ce n'est pas fait. Une PME sans spécialiste : sur les forums, les administrateurs le décrivent comme le plus cher du marché, et sa richesse se paie en temps de réglage.

Sa limite. Aucun prix public. Sur la communauté Palo Alto, des migrations FortiGate montrent que les objets passent bien, mais que les règles et le NAT sont parfois à reprendre, et que le trafic ICMP fait apparaître des applications inattendues.

Comment migrer. L'outil Expedition importe le fichier de configuration FortiGate et produit une configuration PAN-OS. Prévois une revue ligne par ligne des règles, du NAT et des applications. Palo Alto propose aussi un service de migration payant.

Pourquoi partir sur Check Point. Check Point publie ses débits de prévention en conditions d'entreprise, avec toutes ses protections activées (IPS, antivirus, anti-bot, filtrage d'URL, bac à sable) : 1 500 Mbps pour le Quantum Spark 1600, 2 000 Mbps pour le 1800. Si tu as été déçu par l'écart entre fiche et réalité, c'est un chiffre plus proche d'un usage réel.

Pour qui. Les PME et sites distants qui veulent un boîtier de prévention géré localement ou depuis le cloud.

Pour qui ce n'est pas fait. Une équipe qui cherche un outil de conversion clés en main depuis Fortinet : Check Point n'en met pas en avant.

Sa limite. Aucun prix public, et sa page de comparaison avec Fortinet est un argumentaire d'éditeur concurrent : lis-la comme telle.

Comment migrer. Par l'intégrateur, ou à la main à partir de ton inventaire des objets et des règles.

Pourquoi partir sur WatchGuard. WatchGuard vend presque tout par des prestataires, et ses offres sont simples à lire : le support standard inclut la gestion centralisée, le VPN complet, le SD-WAN et un support 24 h sur 24 ; la Basic Security Suite ajoute IPS, antivirus, filtrage d'URL, contrôle des applications et antispam ; la Total Security Suite ajoute la détection par IA et la sécurité des postes.

Pour qui. Les PME qui confient leur réseau à un infogérant, et les prestataires qui gèrent des dizaines de petits sites.

Pour qui ce n'est pas fait. Une équipe qui veut administrer seule : tu dépends vite de ton prestataire. Le T25 annonce 403 Mbps en analyse UTM complète, à réserver aux petits sites.

Sa limite. Aucun prix public, et les débits d'entrée de gamme restent modestes.

Comment migrer. Ton prestataire WatchGuard ressaisit la configuration à partir de ton inventaire. Demande-lui un devis qui inclut la reprise du VPN.

Pourquoi partir sur Meraki. Tout se règle depuis un tableau de bord en ligne : un nouveau site se branche et récupère sa configuration. Pour une équipe qui en a assez de la ligne de commande et des mises à jour à la main, c'est le changement le plus radical.

Pour qui. Les réseaux multi-sites sans spécialiste sur place, et les entreprises déjà équipées en Wi-Fi ou commutateurs Meraki.

Pour qui ce n'est pas fait. Ceux qui partent de Fortinet à cause des licences. Chez Meraki, la licence n'est pas une option : à l'expiration, tu as 30 jours de grâce, puis tous les équipements Meraki s'arrêtent jusqu'au retour en conformité, qui ne passe que par l'achat de nouvelles licences.

Sa limite. Licences par modèle, non transférables, et l'option Advanced Security se règle pour toute l'organisation à la fois.

Comment migrer. Pas de convertisseur : tu recrées règles et VPN dans le tableau de bord. Le VPN entre sites Meraki se monte en quelques clics, c'est le point fort.

Pourquoi partir sur OPNsense. Le logiciel est libre et l'éditeur néerlandais Deciso vend des boîtiers à prix public : le DEC740 coûte 978 €, avec environ 1 Gbps de protection contre les menaces et un an d'édition Business inclus. Si ta raison de partir, c'est la ligne d'abonnements au renouvellement, c'est l'inverse exact de Fortinet : rien ne s'arrête si tu ne renouvelles pas.

Pour qui. Les PME avec une compétence réseau en interne ou chez un prestataire, qui veulent maîtriser le coût sur cinq ans.

Pour qui ce n'est pas fait. Une équipe sans personne à l'aise avec un pare-feu : il n'y a ni assistant de migration ni support 24 h sur 24 par défaut.

Sa limite. Les fonctions de filtrage avancées passent par des extensions à choisir et régler. Le support professionnel s'achète à part.

Comment migrer. À la main : interfaces, VLAN, alias (les objets), règles, NAT, puis VPN IPsec ou WireGuard. Profites-en pour supprimer les règles mortes.

Pourquoi partir sur Netgate. Netgate affiche ses prix : le 4200 MAX coûte 829 $ avec le support TAC Lite inclus ; le support TAC Pro coûte 399 $ par an et TAC Enterprise 799 $ par an. Tu sais ce que tu paieras dans trois ans, ce qui est rare dans ce métier.

Pour qui. Les PME et prestataires à l'aise avec pfSense, très répandu et très documenté sur les forums.

Pour qui ce n'est pas fait. Ceux qui veulent un filtrage web et applicatif clés en main au niveau d'un FortiGate : il faut ajouter et régler des paquets.

Sa limite. Netgate ne publie pas de débit avec IPS activé : dimensionne avec une marge.

Comment migrer. Reprise manuelle, comme pour OPNsense. Les deux outils ont la même logique d'alias et de règles par interface.

Pourquoi partir sur un SASE. Si ce qui t'inquiète, c'est le VPN SSL exposé sur Internet, la vraie réponse n'est peut-être pas un autre pare-feu. Un SASE place la sécurité dans le cloud : tes utilisateurs se connectent à un service en ligne qui vérifie chaque accès (le « zéro confiance »), et plus aucun portail VPN n'est ouvert chez toi. La fin du mode tunnel en 7.6.3 rend le calcul plus simple.

Pour qui. Les entreprises avec beaucoup de télétravail ou de sites sans équipe réseau.

Pour qui ce n'est pas fait. Un site industriel ou un siège avec beaucoup de trafic local : tu gardes un pare-feu sur place.

Sa limite. Aucun prix public chez Zscaler (offres Essentials et Zscaler Platform) ni chez Cato. Zscaler dimensionne ses offres pour sites sur le débit chiffré. Le coût se lit par utilisateur et par an, à comparer à ton budget FortiGate plus FortiClient.

Comment migrer. Par groupe d'utilisateurs : un service pilote passe sur le SASE pendant que le VPN reste ouvert pour les autres, puis tu fermes le portail VPN.