Firewall là một trong những thiết bị bảo mật quan trọng nhất trong hệ thống mạng doanh nghiệp. Tuy nhiên, khi triển khai mới hoặc thay thế thiết bị, không ít doanh nghiệp cân nhắc mua firewall cũ đã qua sử dụng để tiết kiệm chi phí.
Một thiết bị firewall đã qua sử dụng có thể có giá thấp hơn đáng kể so với thiết bị mới. Nhìn bên ngoài, thiết bị vẫn hoạt động bình thường, các cổng mạng vẫn lên link và các chức năng routing, NAT hay VPN vẫn có thể sử dụng.
Nhưng với firewall, câu hỏi quan trọng không chỉ là “thiết bị còn chạy được không?” mà còn là:
- Thiết bị còn được nhà sản xuất hỗ trợ hay không?
- Có thể đăng ký license và subscription mới hay không?
- Firmware còn được cập nhật bảo mật không?
- Thiết bị có còn đủ hiệu năng cho hệ thống hiện tại?
- Tài khoản quản trị và quyền sở hữu thiết bị đã được chuyển giao đầy đủ chưa?
- Nếu firewall gặp sự cố, doanh nghiệp có thiết bị hoặc phương án dự phòng hay không?
Vì vậy, mua firewall cũ có thể tiết kiệm chi phí ban đầu nhưng cần được đánh giá kỹ trước khi đưa vào hệ thống sản xuất.
Firewall cũ vẫn chạy được không đồng nghĩa với vẫn an toàn
Một firewall có thể hoạt động liên tục nhiều năm mà không gặp lỗi phần cứng.
Ví dụ, doanh nghiệp có thể mua một firewall cũ, cấu hình:
- Internet Gateway
- NAT
- DHCP
- VLAN
- Site-to-Site VPN
- Remote Access VPN
- Port forwarding
và thiết bị vẫn hoạt động bình thường.
Tuy nhiên, firewall hiện đại không chỉ là một router có chức năng chặn port.
Các nền tảng firewall doanh nghiệp ngày nay thường tích hợp nhiều lớp bảo mật như:
- Intrusion Prevention System – IPS
- Gateway Antivirus
- Application Control
- Web Filtering
- DNS Security
- Anti-Spam
- Botnet Detection
- Sandboxing
- Threat Intelligence
- Endpoint Integration
Nhiều chức năng trong số này phụ thuộc vào license hoặc security subscription còn hiệu lực.
Do đó, một firewall cũ không có license có thể vẫn truy cập Internet được nhưng khả năng bảo vệ doanh nghiệp có thể giảm đáng kể.
1. Rủi ro lớn nhất khi mua firewall cũ: license và subscription
Đây là vấn đề doanh nghiệp nên kiểm tra đầu tiên.
Một số firewall cũ được bán trên thị trường với mức giá rất hấp dẫn nhưng chỉ bao gồm phần cứng.
Trong khi đó, các dịch vụ bảo mật nâng cao thường cần subscription riêng.
Ví dụ:
Firewall còn phần cứng nhưng hết subscription
Thiết bị vẫn có thể thực hiện:
Internet → Firewall → LAN
Nhưng một số dịch vụ bảo mật có thể không còn được cập nhật hoặc sử dụng đầy đủ.
Khi đó firewall có nguy cơ chỉ còn hoạt động tương tự một thiết bị routing/NAT tương đối cao cấp.
Doanh nghiệp cần hỏi rõ người bán:
- Thiết bị còn license không?
- License còn thời hạn bao lâu?
- Có thể gia hạn subscription hay không?
- Thiết bị đã được remove khỏi tài khoản của chủ cũ chưa?
- Có thể đăng ký thiết bị vào tài khoản của doanh nghiệp mới hay không?
- Chi phí renewal hàng năm là bao nhiêu?
Đừng chỉ hỏi:
“Firewall còn chạy tốt không?”
Cần hỏi thêm:
“Firewall còn được vendor hỗ trợ và có thể gia hạn dịch vụ bảo mật không?”
2. Firewall cũ có thể đã gần hoặc hết vòng đời sản phẩm
Các hãng firewall đều có vòng đời sản phẩm.
Một thiết bị thường trải qua các giai đoạn:
Ra mắt → Đang bán → Ngừng bán → Hạn chế hỗ trợ → Kết thúc hỗ trợ
Khi firewall đã đến giai đoạn cuối vòng đời, nhà sản xuất có thể không còn:
- cung cấp firmware mới;
- phát hành bản vá cho một số phiên bản;
- cung cấp hardware replacement;
- bán hoặc gia hạn một số gói hỗ trợ;
- hỗ trợ kỹ thuật cho thiết bị.
Đây là lý do một số model firewall từng có giá hàng chục triệu đồng có thể được bán lại với giá rất thấp.
Không phải vì firewall đó trước đây không tốt.
Mà vì vòng đời hỗ trợ của sản phẩm đã gần kết thúc.
Đối với doanh nghiệp, việc triển khai một firewall đã sát End of Support có thể khiến doanh nghiệp phải thay thiết bị lần nữa chỉ sau một thời gian ngắn.
3. Không còn firmware mới là một rủi ro bảo mật nghiêm trọng
Firewall là thiết bị nằm ngay tại biên mạng.
Thông thường:
Internet
↓
Firewall
↓
Switch
↓
Server / NAS / PC / Wi-Fi / Camera
Nếu firewall tồn tại lỗ hổng bảo mật nhưng không còn firmware mới để khắc phục, thiết bị có thể trở thành một điểm yếu của toàn bộ hệ thống.
Firewall càng cũ thì nguy cơ gặp các vấn đề như:
- firmware không còn được cập nhật;
- hệ điều hành firewall quá cũ;
- thuật toán mã hóa cũ;
- SSL/TLS compatibility hạn chế;
- VPN client mới không còn tương thích;
- các dịch vụ cloud của hãng không còn hỗ trợ.
Vì vậy, khi kiểm tra firewall second hand, cần xem không chỉ model thiết bị mà còn phải xem:
Model + Hardware Revision + Firmware + Lifecycle + Subscription
4. Hiệu năng firewall cũ có thể không phù hợp với đường truyền Internet hiện tại
Một vấn đề khá phổ biến là doanh nghiệp nâng cấp Internet nhưng firewall vẫn sử dụng thiết bị đời cũ.
Ví dụ:
Internet doanh nghiệp: 1 Gbps
Nhưng firewall cũ có khả năng xử lý thực tế khi bật các chức năng bảo mật chỉ khoảng vài trăm Mbps.
Khi đó người dùng có thể gặp:
- Internet chậm;
- download không đạt tốc độ;
- Microsoft 365 chậm;
- Google Drive chậm;
- họp Teams/Zoom không ổn định;
- truy cập cloud chậm.
Điều đáng chú ý là thông số Firewall Throughput không phải lúc nào cũng phản ánh hiệu năng thực tế khi bật đầy đủ chức năng bảo mật.
Cần xem thêm các thông số như:
- IPS Throughput
- Threat Protection Throughput
- VPN Throughput
- Concurrent Sessions
- New Sessions Per Second
- số lượng VPN user
- số lượng thiết bị trong mạng
Một firewall cũ từng phù hợp cho văn phòng 20 người cách đây nhiều năm chưa chắc phù hợp cho cùng văn phòng hiện nay.
Bởi hiện tại mỗi nhân viên có thể sử dụng:
Laptop + Smartphone + Microsoft 365 + OneDrive + Teams + SaaS + VPN
Số lượng session và lưu lượng mạng cao hơn trước rất nhiều.
5. Phần cứng firewall cũng có tuổi thọ
Firewall thường hoạt động 24/7.
Một thiết bị đã sử dụng nhiều năm có thể phải chịu:
- nhiệt độ cao;
- bụi;
- nguồn điện không ổn định;
- quạt hoạt động liên tục;
- flash storage ghi dữ liệu trong thời gian dài;
- linh kiện nguồn bị lão hóa.
Một firewall second hand có thể hoạt động tốt khi kiểm tra trong vài giờ nhưng không ai đảm bảo thiết bị chưa từng hoạt động liên tục 5–7 năm trong môi trường nhiệt độ cao.
Những lỗi thường gặp trên thiết bị mạng cũ có thể bao gồm:
- nguồn không ổn định;
- port mạng lỗi;
- quạt kêu;
- thiết bị quá nhiệt;
- flash storage lỗi;
- thiết bị tự reboot.
Đối với switch phụ hoặc thiết bị lab, rủi ro này có thể chấp nhận được.
Nhưng với firewall Internet Gateway, một lỗi phần cứng có thể khiến toàn bộ văn phòng mất Internet.
6. Firewall cũ có thể còn cấu hình hoặc tài khoản của chủ cũ
Nếu mua thiết bị đã qua sử dụng, doanh nghiệp nên thực hiện factory reset hoàn toàn.
Không nên tiếp tục sử dụng configuration cũ.
Firewall cũ có thể còn:
- tài khoản administrator;
- VPN user;
- certificate;
- pre-shared key;
- IPsec VPN;
- firewall policy;
- SNMP community;
- syslog destination;
- cloud management;
- API account.
Quy trình an toàn nên là:
Factory Reset → Upgrade Firmware → Register Device → Configure lại từ đầu
Không nên chỉ thay địa chỉ IP rồi đưa thiết bị vào sử dụng.
7. Mua firewall cũ không có bảo hành: tiết kiệm nhỏ nhưng rủi ro lớn
Hãy xem một trường hợp đơn giản.
Một công ty có:
- 30 nhân viên;
- Microsoft 365;
- NAS;
- VPN;
- camera;
- phần mềm ERP cloud.
Nếu firewall ngừng hoạt động, có thể toàn bộ nhân viên mất:
- Internet;
- email;
- Teams;
- cloud;
- VPN;
- kết nối chi nhánh.
Chi phí gián đoạn công việc trong vài giờ đôi khi lớn hơn nhiều so với khoản tiền tiết kiệm được khi mua firewall second hand.
Vì vậy, khi đánh giá giá firewall, doanh nghiệp không nên chỉ tính:
Giá mua thiết bị
Mà nên tính:
Tổng chi phí sở hữu + chi phí downtime + chi phí bảo mật
Khi nào doanh nghiệp có thể mua firewall cũ?
Firewall cũ không phải lúc nào cũng không nên sử dụng.
Trong một số trường hợp, thiết bị đã qua sử dụng vẫn có giá trị.
Dùng cho phòng LAB
Đây là trường hợp phù hợp nhất.
Firewall cũ có thể được sử dụng để:
- đào tạo kỹ sư;
- test cấu hình;
- học VPN;
- test VLAN;
- thử nghiệm firewall policy;
- dựng môi trường demo.
Trong trường hợp này downtime không ảnh hưởng đến hoạt động doanh nghiệp.
Làm thiết bị dự phòng tạm thời
Doanh nghiệp có thể giữ một firewall cũ làm cold spare.
Ví dụ firewall chính gặp lỗi, thiết bị dự phòng có thể được cấu hình tạm thời để khôi phục:
- Internet;
- NAT;
- VPN;
- một số policy cơ bản.
Tuy nhiên cần chuẩn bị trước:
- backup configuration;
- tài liệu cấu hình;
- firmware tương thích;
- license nếu cần.
Chi nhánh rất nhỏ, mức độ rủi ro thấp
Một văn phòng nhỏ chỉ có vài máy tính, không có server nội bộ và không xử lý dữ liệu quan trọng có thể cân nhắc firewall second hand nếu ngân sách hạn chế.
Nhưng vẫn cần kiểm tra vòng đời và firmware trước khi sử dụng.
Khi nào KHÔNG nên mua firewall cũ?
SMNET không khuyến nghị sử dụng firewall cũ làm thiết bị bảo mật chính cho những môi trường sau:
Doanh nghiệp phụ thuộc Internet
Ví dụ:
- logistics;
- thương mại;
- văn phòng;
- call center;
- ERP cloud;
- Microsoft 365;
- Google Workspace.
Nhà máy
Firewall có thể kết nối:
- văn phòng;
- production;
- máy móc;
- server;
- hệ thống ERP;
- camera;
- VPN giữa các nhà máy.
Downtime có thể ảnh hưởng trực tiếp tới hoạt động sản xuất.
Doanh nghiệp có nhiều chi nhánh
Firewall thường đảm nhiệm Site-to-Site VPN.
Một lỗi firewall có thể làm gián đoạn kết nối giữa:
Head Office ↔ Branch ↔ Factory ↔ Data Center
Doanh nghiệp có yêu cầu bảo mật cao
Ví dụ:
- tài chính;
- dữ liệu khách hàng;
- R&D;
- hệ thống ERP;
- server nội bộ;
- remote access VPN.
Trong trường hợp này firmware và security subscription nên được duy trì đầy đủ.
Firewall mới nhưng không mua Security Subscription có được không?
Có.
Trong nhiều trường hợp doanh nghiệp có thể chỉ sử dụng firewall với các chức năng cơ bản như:
- Routing
- NAT
- VLAN
- Firewall Policy
- VPN
Tuy nhiên nếu doanh nghiệp mua Next-Generation Firewall nhưng không sử dụng các dịch vụ như IPS, Web Filtering, Application Control hoặc Threat Protection thì cần cân nhắc liệu giải pháp đó có phù hợp với mục tiêu bảo mật hay không.
Firewall doanh nghiệp ngày nay không chỉ được triển khai để:
“Chặn port.”
Mục tiêu quan trọng hơn là:
Phát hiện và ngăn chặn các mối đe dọa trước khi chúng tiếp cận hệ thống nội bộ.
Checklist kiểm tra trước khi mua firewall cũ
Trước khi mua firewall second hand, doanh nghiệp nên kiểm tra tối thiểu các nội dung sau:
| Hạng mục | Cần kiểm tra |
|---|---|
| Model | Model chính xác của firewall |
| Serial Number | Serial có hợp lệ không |
| Lifecycle | Thiết bị còn được hỗ trợ không |
| Firmware | Có firmware mới không |
| License | License còn thời hạn không |
| Subscription | Có thể renew hay không |
| Ownership | Có chuyển tài khoản quản lý được không |
| Throughput | Có phù hợp tốc độ Internet không |
| IPS Throughput | Hiệu năng khi bật bảo mật |
| VPN | Có đáp ứng số lượng VPN user không |
| Hardware | Port, nguồn, quạt, nhiệt độ |
| Warranty | Người bán có bảo hành không |
| Configuration | Thiết bị đã factory reset chưa |
Chỉ nên quyết định mua sau khi kiểm tra đầy đủ các yếu tố trên.
Firewall cũ hay firewall mới: nên ưu tiên phương án nào?
Nếu firewall được sử dụng làm Internet Gateway chính của doanh nghiệp, phương án an toàn hơn thường là:
Firewall mới + Security Subscription + Warranty
Lợi ích bao gồm:
- firmware được cập nhật;
- threat signature được cập nhật;
- có hỗ trợ kỹ thuật;
- có bảo hành phần cứng;
- hiệu năng phù hợp với Internet hiện tại;
- dễ mở rộng trong vài năm tiếp theo.
Đặc biệt khi chia chi phí đầu tư theo vòng đời 3–5 năm, chênh lệch chi phí giữa firewall mới và firewall cũ đôi khi không lớn như doanh nghiệp tưởng.
Đừng chọn firewall chỉ dựa vào số lượng người dùng
Một sai lầm phổ biến là hỏi:
“Công ty tôi có 30 người thì dùng firewall nào?”
Số lượng người dùng chỉ là một thông số.
Để lựa chọn firewall chính xác cần xem thêm:
- tốc độ Internet;
- số lượng thiết bị;
- số VLAN;
- số server;
- số VPN user;
- Site-to-Site VPN;
- ứng dụng cloud;
- lượng traffic;
- nhu cầu IPS;
- Web Filtering;
- Application Control;
- SSL inspection;
- kế hoạch mở rộng.
Ví dụ hai doanh nghiệp cùng 30 nhân viên có thể cần hai model firewall hoàn toàn khác nhau.
Công ty A
30 user
Internet 300 Mbps
Không server
Không VPN
Chủ yếu email và web
và:
Công ty B
30 user
Internet 1 Gbps
2 server
NAS
20 camera
Site-to-Site VPN
Remote VPN
Microsoft 365
ERP Cloud
sẽ có yêu cầu firewall rất khác nhau.
Có nên mua firewall cũ đã qua sử dụng cho doanh nghiệp?
Có thể mua, nhưng cần đúng mục đích.
Firewall cũ phù hợp hơn cho:
- LAB;
- đào tạo;
- test hệ thống;
- thiết bị dự phòng;
- môi trường không quan trọng.
Đối với firewall chính của doanh nghiệp, đặc biệt là hệ thống có nhiều người dùng, server, VPN hoặc dữ liệu quan trọng, nên ưu tiên thiết bị còn đầy đủ vòng đời hỗ trợ.
Một firewall giá rẻ nhưng không còn firmware, license hoặc hỗ trợ kỹ thuật có thể tạo ra chi phí lớn hơn nhiều khi xảy ra sự cố.
Nguyên tắc đơn giản là:
Firewall không chỉ cần “chạy được”, mà phải còn “được bảo vệ”.
SMNET tư vấn và triển khai Firewall cho doanh nghiệp
SMNET cung cấp giải pháp firewall và bảo mật mạng cho văn phòng, nhà máy và doanh nghiệp với nhiều quy mô khác nhau.
Các hạng mục SMNET có thể hỗ trợ bao gồm:
- khảo sát hệ thống mạng hiện tại;
- kiểm tra firewall đang sử dụng;
- đánh giá vòng đời thiết bị;
- kiểm tra firmware và license;
- tư vấn model firewall phù hợp;
- thiết kế VLAN và firewall policy;
- cấu hình Site-to-Site VPN;
- cấu hình Remote Access VPN;
- triển khai Web Filtering;
- Application Control;
- IPS và Threat Protection;
- backup cấu hình firewall;
- giám sát và bảo trì hệ thống định kỳ;
- nâng cấp hoặc thay thế firewall cũ.
SMNET triển khai và tư vấn nhiều giải pháp bảo mật doanh nghiệp như WatchGuard, Fortinet, Sophos và các nền tảng firewall doanh nghiệp khác tùy theo quy mô và yêu cầu thực tế.
Doanh nghiệp đang sử dụng firewall cũ nhưng chưa biết thiết bị còn phù hợp hay không có thể liên hệ SMNET để kiểm tra trước khi quyết định tiếp tục sử dụng hoặc nâng cấp.
SMNET Co., Ltd
Website: smnet.vn
Email: hello@smnet.vn
Hotline: 028 7301 6068
SMNET – Đối tác công nghệ cho doanh nghiệp.
FAQ – Câu hỏi thường gặp
Firewall cũ không có license có sử dụng được không?
Trong nhiều trường hợp firewall vẫn có thể thực hiện các chức năng cơ bản như routing, NAT, VLAN hoặc firewall policy. Tuy nhiên các dịch vụ bảo mật nâng cao có thể yêu cầu subscription còn hiệu lực. Doanh nghiệp cần kiểm tra chính sách cụ thể của từng hãng và model.
Firewall hết hạn license có làm mất Internet không?
Không nhất thiết. Nhiều thiết bị vẫn duy trì các chức năng mạng cơ bản sau khi subscription hết hạn. Tuy nhiên một số dịch vụ bảo mật hoặc cập nhật có thể không còn hoạt động đầy đủ.
Có nên mua firewall cũ trên các sàn thương mại điện tử?
Nếu chỉ sử dụng cho LAB hoặc nghiên cứu thì có thể cân nhắc. Nếu sử dụng cho hệ thống production của doanh nghiệp, cần kiểm tra kỹ serial number, lifecycle, quyền sở hữu thiết bị, firmware, license và khả năng bảo hành.
Firewall doanh nghiệp thường nên sử dụng bao lâu?
Không nên xác định chỉ dựa trên số năm sử dụng. Quan trọng hơn là vòng đời hỗ trợ của model, khả năng cập nhật firmware, hiệu năng, nhu cầu bảo mật và sự phát triển của hệ thống mạng.
Firewall cũ có thể làm firewall dự phòng không?
Có. Đây là một ứng dụng hợp lý của firewall cũ, nhưng doanh nghiệp nên chuẩn bị sẵn configuration backup, firmware và quy trình chuyển đổi khi firewall chính gặp sự cố.
Nên chọn firewall theo tốc độ Internet hay số lượng user?
Cần xem cả hai nhưng chưa đủ. Việc sizing firewall nên dựa trên Internet bandwidth, số user, số thiết bị, session, VPN, VLAN, server và các tính năng bảo mật dự kiến bật.
