เลือก Firewall / UTM ให้ออฟฟิศ 10-50 คน ต้องดูอะไรบ้าง พร้อมเทียบ 6 รุ่นจาก Fortinet, Sophos, WatchGuard, Zyxel, Palo Alto และ Cisco Meraki

ออฟฟิศจำนวนมากยังใช้แค่เราเตอร์ที่ผู้ให้บริการอินเทอร์เน็ตติดตั้งมาให้ ซึ่งทำได้แค่ปล่อยอินเทอร์เน็ตให้ทุกเครื่องใช้ร่วมกัน แต่ไม่ได้ตรวจว่ามีมัลแวร์แฝงมากับไฟล์ ไม่ได้บล็อกเว็บอันตราย และไม่รู้ว่าเครื่องไหนกำลังส่งข้อมูลออกไปหาเซิร์ฟเวอร์แปลก ๆ เมื่อบริษัทเริ่มมีพนักงานหลักสิบคน มีข้อมูลลูกค้า มีระบบบัญชี และมีคนทำงานจากนอกออฟฟิศ ไฟร์วอลล์แบบ NGFW หรือ UTM จึงกลายเป็นอุปกรณ์พื้นฐานที่ควรมี

บทความนี้สรุปสิ่งที่ควรเข้าใจก่อนซื้อไฟร์วอลล์สำหรับออฟฟิศ 10 ถึง 50 คน ทั้งการอ่านตัวเลขในสเปก เรื่องไลเซนส์รายปีที่มักถูกมองข้าม และเทียบ 6 รุ่นจาก 6 แบรนด์ที่ออกแบบมาสำหรับขนาดนี้ โดยตัวเลขทั้งหมดอ้างอิงจาก datasheet และหน้าสเปกบนเว็บไซต์ของผู้ผลิต

ออฟฟิศ 10-50 คนต้องการอะไรจากไฟร์วอลล์

ก่อนดูรุ่น ควรตอบคำถามเหล่านี้ให้ได้ เพราะจะเป็นตัวกำหนดขนาดเครื่องและงบประมาณ

• ความเร็วอินเทอร์เน็ตที่ใช้อยู่และที่จะอัปเกรดใน 3 ถึง 5 ปี ถ้าวันนี้ใช้ไฟเบอร์ 1Gbps ไฟร์วอลล์ต้องตรวจทราฟฟิกได้เร็วใกล้เคียงกันเมื่อเปิดฟีเจอร์ป้องกันครบ
• จำนวนอุปกรณ์ ไม่ใช่แค่จำนวนคน พนักงานหนึ่งคนอาจมีทั้งโน้ตบุ๊กและมือถือ บวกกล้องวงจรปิด เครื่องพิมพ์ และอุปกรณ์ IoT อีกหลายตัว
• การทำงานจากนอกออฟฟิศ มีกี่คนที่ต้องต่อ VPN กลับเข้ามาใช้ไฟล์หรือระบบภายใน และมีสาขาที่ต้องเชื่อมถึงกันหรือไม่
• คนดูแลระบบ บริษัทมีไอทีประจำ หรือจะให้ตัวแทนจำหน่ายดูแลให้ ถ้าไม่มีคนประจำ การจัดการผ่านคลาวด์จะช่วยได้มาก
• อุปกรณ์อื่นในเครือข่าย ต้องการ Wi-Fi ในตัวไฟร์วอลล์ หรือพอร์ต PoE สำหรับจ่ายไฟให้ Access Point และกล้องหรือไม่

Firewall throughput กับ Threat Protection throughput ต่างกันอย่างไร

นี่คือจุดที่คนซื้อไฟร์วอลล์พลาดบ่อยที่สุด ตัวเลขที่เด่นที่สุดบนกล่องมักเป็น Firewall throughput ซึ่งวัดตอนที่เครื่องทำงานแค่เป็นไฟร์วอลล์พื้นฐาน เปิดหรือปิดพอร์ตตามกฎ ไม่ได้ตรวจเนื้อหาข้างใน ตัวเลขนี้จึงสูงหลาย Gbps แต่ในการใช้งานจริงแทบไม่มีใครซื้อไฟร์วอลล์มาเพื่อใช้แค่นั้น

ตัวเลขที่ควรดูคือ Threat Protection throughput หรือที่บางแบรนด์เรียกว่า UTM throughput หรือ Threat Prevention throughput ซึ่งวัดตอนเปิด IPS ตรวจจับการโจมตี เปิด Application Control และเปิดสแกนมัลแวร์พร้อมกัน ตัวเลขนี้มักต่ำกว่า Firewall throughput หลายเท่า และใกล้เคียงกับความเร็วที่ออฟฟิศจะได้จริงเมื่อเปิดระบบป้องกันครบ

• หลักง่าย ๆ คือ เลือกรุ่นที่ Threat Protection throughput สูงกว่าความเร็วอินเทอร์เน็ตที่ใช้อยู่ และเผื่อไว้สำหรับการอัปเกรดในอนาคต
• ถ้าจะเปิดการตรวจทราฟฟิกที่เข้ารหัส (SSL/TLS Inspection) ความเร็วจะลดลงอีก เช่น FortiGate 70G ระบุ SSL Inspection throughput ที่ 1.4Gbps และ Sophos XGS 108 ระบุ TLS Inspection ที่ 800Mbps
• แต่ละแบรนด์วัดด้วยวิธีและชุดทราฟฟิกต่างกัน ตัวเลขข้ามแบรนด์จึงใช้เทียบได้แบบคร่าว ๆ เท่านั้น ควรดูเชิงอรรถใน datasheet และถามตัวแทนจำหน่ายถึงผลทดสอบในสภาพใกล้เคียงกับออฟฟิศของเรา

ไลเซนส์รายปี ค่าใช้จ่ายที่ต้องคิดตั้งแต่วันแรก

ไฟร์วอลล์กลุ่มนี้ขายแยกเป็นสองส่วน คือตัวเครื่อง กับไลเซนส์หรือ subscription ด้านความปลอดภัย ฟีเจอร์อย่าง IPS แอนติไวรัส กรองเว็บ และ Sandbox ต้องใช้ฐานข้อมูลภัยคุกคามที่อัปเดตตลอด ถ้าไม่ต่อไลเซนส์ ฟีเจอร์เหล่านี้จะหยุดอัปเดตหรือใช้งานไม่ได้ เหลือแค่ความสามารถพื้นฐาน

• Fortinet มีชุด FortiGuard แบบ Enterprise Protection, Unified Threat Protection และ Advanced Threat Protection ทุกชุดรวม FortiCare Premium ซัพพอร์ต 24×7
• Sophos ขายเป็นชุด Xstream Protection หรือ Xstream Plus ซึ่งรวมฟีเจอร์อย่าง NDR Essentials และ DNS Protection
• WatchGuard แบ่งเป็น Standard Support, Basic Security และ Total Security โดยชุด Total Security เพิ่ม APT Blocker, DNSWatch, ThreatSync และ EDR Core
• Zyxel มี Gold Security Pack ที่รวม Sandboxing, Anti-Malware, IPS, Web Filtering และ Nebula Pro Pack ส่วน Entry Defense Pack มีฟีเจอร์น้อยกว่า
• Palo Alto Networks ใช้ Cloud-Delivered Security Services เช่น Advanced Threat Prevention และ Advanced WildFire เป็น subscription แยกตามบริการ
• Cisco Meraki ต้องมีไลเซนส์ Enterprise หรือ Advanced Security ตามเอกสารของ Meraki ถ้าไลเซนส์หมดอายุและไม่ต่อภายในช่วงผ่อนผัน 30 วัน อุปกรณ์จะหยุดส่งผ่านทราฟฟิก

เวลาขอใบเสนอราคา ควรขอราคาแบบรวมไลเซนส์ 3 ปีหรือ 5 ปี และถามราคาต่ออายุปีถัดไปไว้ด้วย เพราะค่าไลเซนส์สะสมหลายปีอาจสูงกว่าราคาตัวเครื่อง

VPN พอร์ต Wi-Fi และการจัดการผ่านคลาวด์

• VPN ดูทั้งความเร็ว IPsec VPN และจำนวนผู้ใช้ที่ต่อพร้อมกันได้ ถ้ามีคนทำงานจากบ้านเป็นประจำ ควรเผื่อจำนวนไว้ ข้อควรรู้คือ Fortinet ระบุว่า FortiOS 7.6.0 ขึ้นไปไม่รองรับ SSL VPN แล้ว ผู้ใช้ภายนอกต้องเชื่อมต่อผ่าน IPsec VPN หรือ ZTNA แทน
• พอร์ต ควรมี WAN อย่างน้อย 2 พอร์ตสำหรับต่ออินเทอร์เน็ตสองเจ้าเพื่อสำรองกัน และถ้าสวิตช์ในออฟฟิศเป็น 2.5GbE แล้ว พอร์ต 2.5GbE บนไฟร์วอลล์จะช่วยไม่ให้เกิดคอขวด
• Wi-Fi และ PoE หลายรุ่นมีเวอร์ชันที่มี Wi-Fi ในตัว เหมาะกับสำนักงานขนาดเล็กห้องเดียว แต่ถ้าพื้นที่กว้างหรือมีหลายชั้น การใช้ Access Point แยกจะครอบคลุมดีกว่า
• การจัดการผ่านคลาวด์ ช่วยให้ตัวแทนจำหน่ายหรือไอทีภายนอกดูแลจากระยะไกล ตั้งค่าหลายสาขาพร้อมกัน และดูรายงานได้โดยไม่ต้องเข้าออฟฟิศ
• High Availability ถ้าธุรกิจหยุดไม่ได้แม้ไม่กี่ชั่วโมง ควรดูว่ารุ่นนั้นทำ HA สองเครื่องสำรองกันได้หรือไม่

ตารางเทียบ 6 รุ่นสำหรับออฟฟิศ 10-50 คน

รุ่น	ผู้ใช้ที่ผู้ผลิตแนะนำ	Firewall throughput	Threat Protection / UTM	VPN throughput	พอร์ตเครือข่าย	Wi-Fi / PoE	จัดการผ่านคลาวด์
Fortinet FortiGate 70G	ไม่ระบุ	10Gbps	1.3Gbps	IPsec 7.1Gbps	GE RJ45 x10 (WAN 2, LAN 6, FortiLink 2)	FortiWiFi 70G มี Wi-Fi 6 / รุ่น 70G-POE มี PoE 4 พอร์ต	FortiManager Cloud (ซื้อแยก)
Sophos XGS 108	ไม่ระบุ	12.5Gbps	2.5Gbps	IPsec 8.25Gbps	2.5GbE x6 และ SFP x1	XGS 108w มี Wi-Fi 6	Sophos Fusion (คลาวด์คอนโซล)
WatchGuard Firebox T145	50 คน	3.9Gbps	710Mbps	680Mbps (IMIX)	2.5GbE x1, 1GbE x4 และ SFP/SFP+ x1	T145-W มี Wi-Fi 7	WatchGuard Cloud
Zyxel USG FLEX 200H	50 คน	6.5Gbps	1.8Gbps	1.2Gbps	1GbE x6 และ 2.5GbE x2	รุ่น 200HP มี PoE+ 1 พอร์ต (30W)	Nebula
Palo Alto Networks PA-410	ไม่ระบุ	1.4Gbps (เปิด App-ID)	0.8Gbps	IPsec 0.5Gbps	1GbE RJ45 x7	PA-415 มี PoE 4 พอร์ต	Strata Cloud Manager
Cisco Meraki MX68	50 อุปกรณ์	700Mbps	300Mbps (Advanced Security)	400Mbps	WAN 2 และ LAN 10 (PoE+ 2 พอร์ต)	MX68W มี Wi-Fi 5 (802.11ac Wave 2)	Meraki Dashboard (คลาวด์ 100%)

ข้อมูลในตารางอ้างอิงจาก datasheet และหน้าสเปกบนเว็บไซต์ผู้ผลิต ณ เดือนพฤศจิกายน 2026 ทุกตัวเลขเป็นค่าสูงสุดในห้องทดสอบ และแต่ละแบรนด์ใช้วิธีวัดต่างกัน โดยเฉพาะ Firewall throughput ของ Palo Alto ที่วัดขณะเปิด App-ID จึงดูต่ำกว่าแบรนด์อื่นที่วัดด้วยแพ็กเก็ต UDP ขนาดใหญ่ ส่วนราคาและเงื่อนไขไลเซนส์ในไทยควรสอบถามจากตัวแทนจำหน่ายอย่างเป็นทางการ

รายละเอียดแต่ละรุ่น และเหมาะกับใคร

Fortinet FortiGate 70G ตัวเลือกยอดนิยมที่มีรุ่นย่อยให้เลือกเยอะ

FortiGate 70G เป็นรุ่นเดสก์ท็อปไม่มีพัดลม มีพอร์ต GE RJ45 รวม 10 พอร์ต Fortinet ระบุ Threat Protection throughput ที่ 1.3Gbps, NGFW throughput 1.5Gbps และ IPsec VPN 7.1Gbps รองรับ Client-to-Gateway IPsec VPN ได้ 500 อุโมงค์ และใช้เป็นตัวควบคุม FortiAP ได้สูงสุด 96 ตัว

จุดเด่นคือมีรุ่นย่อยครบ ทั้ง 71G ที่มี SSD 64GB สำหรับเก็บล็อก รุ่น 70G-POE ที่มีพอร์ต PoE 4 พอร์ต และ FortiWiFi 70G ที่มี Wi-Fi 6 ในตัว ข้อควรรู้คือ datasheet ระบุ SSL-VPN ของรุ่นนี้เป็น N/A ถ้าออฟฟิศเคยใช้ SSL VPN อยู่ ต้องวางแผนย้ายไปใช้ IPsec VPN หรือ ZTNA

เหมาะกับ ออฟฟิศที่มีตัวแทนจำหน่ายหรือไอทีที่คุ้นกับ Fortinet และอยากต่อยอดไปใช้ FortiSwitch และ FortiAP ให้จัดการจากที่เดียว

Sophos XGS 108 ตัวเลขการป้องกันสูงในเครื่องไม่มีพัดลม

XGS 108 เป็นรุ่นเดสก์ท็อปเจเนอเรชันที่ 2 ของ Sophos ไม่มีพัดลม Sophos ระบุ Threat Protection throughput ที่ 2.5Gbps ซึ่งสูงที่สุดในตารางนี้ IPsec VPN 8.25Gbps และ TLS Inspection 800Mbps พอร์ตทั้งหมดเป็น 2.5GbE จำนวน 6 พอร์ต พร้อมช่อง SFP อีก 1 ช่อง รองรับแหล่งจ่ายไฟสำรองเสริม และมีรุ่น XGS 108w ที่มี Wi-Fi 6 ในตัว

ถ้าต้องการพอร์ตมากขึ้นหรือใช้ 5G เป็นอินเทอร์เน็ตสำรอง รุ่นถัดไปอย่าง XGS 118 มี 2.5GbE 9 พอร์ต ช่องขยายสำหรับโมดูล 5G และ Threat Protection throughput 3.25Gbps

เหมาะกับ ออฟฟิศที่ใช้อินเทอร์เน็ต 1Gbps ขึ้นไปและต้องการเปิดระบบป้องกันครบโดยไม่กังวลเรื่องความเร็ว รวมถึงบริษัทที่ใช้ Sophos Endpoint อยู่แล้วและอยากให้ระบบทำงานร่วมกัน

WatchGuard Firebox T145 บอกขนาดผู้ใช้ชัด มีรุ่น Wi-Fi 7

Firebox T145 เป็นรุ่นที่ WatchGuard ระบุชัดว่าเหมาะกับ 50 ผู้ใช้ UTM throughput แบบ full scan อยู่ที่ 710Mbps, Firewall (UDP 1518) 3.9Gbps และ VPN (IMIX) 680Mbps มีพอร์ต 2.5GbE 1 พอร์ต, 1GbE 4 พอร์ต และ SFP/SFP+ อีก 1 ช่อง รองรับ Branch Office VPN 30 อุโมงค์และ Mobile VPN 50 ผู้ใช้ ส่วนรุ่น T145-W มี Wi-Fi 7 ในตัว

WatchGuard ระบุว่าฟังก์ชันล็อกและรายงานทั้งหมดมาพร้อมการซื้อ มีรายงานสำเร็จรูปมากกว่า 100 แบบบน WatchGuard Cloud ถ้าออฟฟิศเล็กกว่านั้น รุ่น T125 ระบุไว้สำหรับ 25 ผู้ใช้ ส่วน T185 สำหรับ 100 ผู้ใช้

เหมาะกับ ออฟฟิศ 25 ถึง 50 คนที่ใช้อินเทอร์เน็ตไม่เกินราว 500Mbps และอยากได้รายงานพร้อมใช้สำหรับผู้บริหาร

Zyxel USG FLEX 200H UTM ระดับ Gbps จัดการผ่าน Nebula

USG FLEX 200H ระบุ UTM throughput (Anti-Malware และ IPS) ที่ 1.8Gbps, SPI Firewall 6.5Gbps และ VPN 1.2Gbps รองรับ IPsec VPN พร้อมกัน 100 อุโมงค์และ SSL VPN 50 ผู้ใช้ มีพอร์ต 1GbE 6 พอร์ตกับ 2.5GbE อีก 2 พอร์ต ตัวเครื่องไม่มีพัดลมและติดตั้งลงแร็กได้ ส่วนรุ่น 200HP เพิ่มพอร์ต PoE+ 1 พอร์ต Zyxel ระบุขนาดที่แนะนำไว้ที่ 50 ผู้ใช้

จุดเด่นคือจัดการผ่าน Nebula ระบบคลาวด์ของ Zyxel ได้ ทั้งตั้งค่า ดูสถานะ และทำ SD-VPN ระหว่างสาขา ต้องจำไว้ว่าฟีเจอร์ความปลอดภัยส่วนใหญ่ต้องใช้ไลเซนส์ ควรเลือกซื้อแบบชุดที่รวม Gold Security Pack ไว้แล้ว

เหมาะกับ SME ที่ต้องการ UTM throughput ระดับ Gbps และใช้สวิตช์หรือ Access Point ของ Zyxel อยู่แล้ว

Palo Alto Networks PA-410 มาตรฐานเดียวกับองค์กรใหญ่

PA-410 เป็นรุ่นเล็กสุดของซีรีส์ PA-400 มีพอร์ต 1GbE RJ45 7 พอร์ต Palo Alto ระบุ Firewall throughput ที่ 1.4Gbps ซึ่งวัดขณะเปิด App-ID และบันทึกล็อก Threat Prevention throughput 0.8Gbps ที่วัดขณะเปิด IPS แอนติไวรัส แอนติสปายแวร์ WildFire และ DNS Security พร้อมกัน และ IPsec VPN 0.5Gbps ถ้าต้องการพอร์ต PoE รุ่น PA-415 มี PoE 4 พอร์ตรวม 91W

ตัวเลขดูต่ำกว่าแบรนด์อื่น เพราะ Palo Alto วัดในสภาพที่เปิดบริการหลายตัวพร้อมกัน จุดเด่นอยู่ที่ระบบ PAN-OS ตัวเดียวกับรุ่นใหญ่ และจัดการผ่าน Strata Cloud Manager หรือ Panorama ได้

เหมาะกับ สาขาหรือบริษัทลูกขององค์กรที่ใช้ Palo Alto อยู่แล้ว และต้องการนโยบายความปลอดภัยแบบเดียวกันทั้งเครือ

Cisco Meraki MX68 จัดการผ่านคลาวด์ทั้งหมด

MX68 ถูกออกแบบให้ตั้งค่าและดูแลผ่าน Meraki Dashboard บนคลาวด์ทั้งหมด Meraki แนะนำสำหรับสาขาเล็กที่มีอุปกรณ์ไม่เกิน 50 เครื่อง Stateful Firewall throughput 700Mbps, VPN 400Mbps และ NGFW throughput เมื่อเปิด Advanced Security แบบ Prevention 300Mbps มี WAN 2 พอร์ต LAN 10 พอร์ต โดย 2 พอร์ตเป็น PoE+ ส่วนรุ่น MX68W มี Wi-Fi 5 ในตัว ตัวเครื่องรับประกันฮาร์ดแวร์ตลอดอายุการใช้งาน

ข้อจำกัดคือความเร็วเมื่อเปิดระบบป้องกันเต็มอยู่ที่ระดับ 300Mbps จึงเหมาะกับออฟฟิศที่อินเทอร์เน็ตไม่เร็วมาก และต้องต่อไลเซนส์อย่างต่อเนื่อง เพราะอุปกรณ์จะหยุดทำงานหากไลเซนส์หมดเกินช่วงผ่อนผัน

เหมาะกับ ธุรกิจที่มีหลายสาขาเล็ก ๆ เช่น ร้านค้าหรือคลินิก และอยากให้ไอทีส่วนกลางดูแลทุกจุดจากหน้าจอเดียว

เลือกแบบเร็ว ตามโจทย์ของออฟฟิศ

• อินเทอร์เน็ต 1Gbps ขึ้นไป อยากเปิดระบบป้องกันครบ Sophos XGS 108, Zyxel USG FLEX 200H หรือ FortiGate 70G
• ออฟฟิศ 25 ถึง 50 คน อินเทอร์เน็ตไม่เกินราว 500Mbps WatchGuard Firebox T145
• ไม่มีไอทีประจำ อยากให้ดูแลจากระยะไกลทั้งหมด Cisco Meraki MX68 หรือ Zyxel USG FLEX 200H ผ่าน Nebula
• อยากได้ Wi-Fi และไฟร์วอลล์ในเครื่องเดียว สำหรับออฟฟิศห้องเดียว FortiWiFi 70G, Sophos XGS 108w หรือ WatchGuard T145-W
• เป็นสาขาขององค์กรที่ใช้ Palo Alto อยู่แล้ว PA-410 หรือ PA-415

เช็กลิสต์ก่อนสั่งซื้อ

• จดความเร็วอินเทอร์เน็ตปัจจุบันและแผนอัปเกรด แล้วเลือกรุ่นที่ Threat Protection throughput สูงกว่าตัวเลขนั้น
• นับจำนวนอุปกรณ์ทั้งหมดในเครือข่าย รวมมือถือ กล้อง และเครื่องพิมพ์
• ขอใบเสนอราคาแบบรวมไลเซนส์ 3 หรือ 5 ปี และถามราคาต่ออายุไว้ล่วงหน้า
• สรุปว่าใครบ้างต้องใช้ VPN และเช็กว่ารุ่นที่เลือกรองรับวิธีเชื่อมต่อที่ต้องการ เช่น IPsec VPN หรือ ZTNA
• ตรวจว่าสวิตช์และสายแลนรองรับความเร็วพอร์ตของไฟร์วอลล์ และวางแผนต่ออินเทอร์เน็ตสำรองผ่านพอร์ต WAN ที่สอง
• กำหนดผู้ดูแล เปลี่ยนรหัสผ่านเริ่มต้น เปิดการยืนยันตัวตนสองขั้นตอนสำหรับหน้าจัดการ และตั้งเวลาอัปเดตเฟิร์มแวร์
• สำรองไฟด้วย UPS เพราะถ้าไฟร์วอลล์ดับ ทั้งออฟฟิศจะใช้อินเทอร์เน็ตไม่ได้
• สอบถามตัวแทนจำหน่ายเรื่องการติดตั้ง การรับประกัน และบริการเปลี่ยนเครื่องในประเทศ

ไฟร์วอลล์ที่ดีที่สุดสำหรับออฟฟิศไม่ใช่รุ่นที่ตัวเลขบนกล่องสูงที่สุด แต่เป็นรุ่นที่เปิดระบบป้องกันครบแล้วยังรองรับความเร็วอินเทอร์เน็ตของเราได้ มีคนดูแลต่อเนื่อง และมีงบต่อไลเซนส์ทุกปี