Cisco
Por qué lo recomiendo para redes enterprise que ya superaron la consolidación SMB
He estado trabajando en entornos Cisco desde 2018, en IOS-XE 17.x sobre switches Catalyst 9300 y 9500, migraciones de firewall de ASA 5516-X a Firepower 1010, y trabajo de políticas en FMC 7.x. Este es el caso que les hago a los clientes que están evaluando su próximo refresh enterprise, y el costo y la complejidad que ningún vendedor imprime en su brochure.
Por qué Cisco funciona
Cuatro razones se sostienen en todos los deployments.
Profundidad del ecosistema de operaciones
Catalyst Center (assurance, SDA, automatización) más ISE (NAC centrado en identidad) más Umbrella (seguridad en capa DNS) más ThousandEyes (visibilidad de path). Cada uno es competitivo por sí solo; el valor viene de que los cuatro comparten estado.
Corrí una migración de fabric SDA de 4.000 endpoints donde ISE manejó la política de segmentación y Catalyst Center manejó el provisioning. Lo que justifica el costo es que las cuatro herramientas comparten estado — un cambio de política, cuatro superficies de enforcement.
Mercado laboral + ecosistema
CCNA y CCNP son las certs de red más reconocidas globalmente. Contratar es más fácil, los partners están en todas partes, y cualquier ingeniero de red senior ya tocó IOS en alguna forma. El material de entrenamiento tiene décadas detrás.
El ingeniero de red senior del cliente ya tenía un CCNP — el onboarding a FMC tomó una semana, no un mes. Los skills son commodity en una forma en que el NSE de Fortinet simplemente todavía no lo es.
Madurez de IOS-XE
IOS-XE 17.x es genuinamente bueno. Programabilidad vía NETCONF, YANG y RESTCONF; telemetría model-driven en vez de scraping SNMP; flujos de Day-0 / ZTP para onboarding de switches; Guest Shell para automatización Python on-box. El CLI tradicional sigue ahí para los de memoria muscular.
Empujé un cambio de config a 200 switches vía templates de Catalyst Center sobre NETCONF en unos 30 minutos. El mismo cambio a mano habría sido una ventana de mantenimiento de dos días.
FTD/FMC + Umbrella defensa en profundidad
FTD sobre hardware Firepower (series 1010, 2100, 4100) para firewall L4–L7 e IPS. FMC para política centralizada en toda la flota. Umbrella para filtrado DNS de salida, que mata phishing y callbacks de C2 antes de que TCP siquiera complete el handshake.
Umbrella bloqueó unos 8.400 lookups DNS de salida a dominios conocidos como maliciosos en una semana en un cliente de 500 usuarios. La mayoría nunca llegó a una regla de inspección de paquetes porque murieron en DNS.
Dónde encaja mejor
No para todas las empresas. El encaje es más nítido cuando uno de estos te describe:
Cinco o más sitios con topología consistente y un backbone MPLS o SD-WAN. La historia de automatización de Cisco (templates de Catalyst Center, vManage SD-WAN) vale lo que cuesta aquí, donde el costo laboral de hacerlo a mano deja de ser negociable.
Si quieres SGTs y un fabric SDA, ISE es el camino. La historia análoga del lado de Fortinet es más joven y el tooling alrededor de la autoría de políticas es más delgado.
Si tu equipo de red ya corre IOS, salirse de Cisco es un problema de mercado laboral más que un problema técnico. El costo de retraining es real y el pipeline de contratación se mueve debajo de ti por los primeros 12–18 meses.
Finanzas, federal, healthcare grande. La postura de auditoría de Cisco es madura; los SKUs validados con FedRAMP y FIPS abundan en la línea de productos. El auditor ya vio la documentación antes.
Si ninguno de estos te describe — eres menos de 500 usuarios, sitio único, quieres una sola consola — Fortinet es la conversación más honesta.
Los tradeoffs honestos
Marketing no va a imprimir estos. Yo sí, en producción. Toca para expandir.
CostoEl pricing de lista corre 30–50% arriba de Fortinet en throughput comparable
Smart Licensing suma fees de suscripción encima del CapEx; Catalyst Center es por dispositivo por año y el tier (Essentials / Advantage / Premier) se compone en cada switch del fabric. Pídele a tu reseller que modele TCO a 3 y 5 años a nivel de bundle, no a nivel de SKU. El número a nivel de SKU siempre se ve bien; el número a nivel de bundle es el que aparece en la renovación.
LicenciaSmart Licensing iba a simplificar; en la práctica es una capa paralela
Smart Licensing se sienta encima de la tiering DNA Essentials / Advantage / Premier en vez de reemplazarla, y el modelo de Smart Account / Virtual Account toma orientación. Los deployments nuevos pegan con una ventana de confusión por los primeros 90 días donde el equipo está descifrando qué features mapean a qué tier, qué licencias viven en qué account, y qué cuenta contra entitlement cuando un dispositivo recarga. Asígnale tiempo en el plan del proyecto, no solo en la PO.
Escala FMCLa UI de FMC se pone lenta pasando los ~50 dispositivos gestionados
Pasando más o menos los 200 dispositivos, estás escalando cambios de política de noche para evitar timeouts en el commit y esperando deploys que antes tomaban minutos. Planea el sizing de FMC temprano o migra a Cisco Defense Orchestrator (cloud-managed) antes de que la flota supere al appliance on-prem. Hacer este sizing después de que ya compraste es caro.
SprawlSiete UIs, y necesitas saber cuál es dueña de qué verdad
Catalyst Center, ISE, Umbrella, Meraki Dashboard, FMC, vManage, Intersight, ThousandEyes. Cada uno es excelente en aislamiento. Juntos son siete superficies de admin y la historia de "ya unificaremos en Catalyst Center" lleva una década prometida y es parcialmente cierta. Caminar adentro sin un modelo de operaciones claro — quién es dueño de qué, quién entra dónde — significa que tu equipo va a redescubrir la respuesta en producción a las 2am.
La fortaleza de Cisco es también su complejidad. Caminar adentro con un modelo de operaciones claro es la diferencia entre sacarle valor al ecosistema y ahogarte en él.
¿Es lo correcto para tu empresa?
Cuatro dimensiones para revisar antes de comprometerte:
- Tamaño: 500–10.000+ empleados. Por debajo de 500, el TCO no cuadra contra Fortinet o un deployment puro Meraki para el mismo caso de uso. Arriba de 10.000, la conversación necesita un partner con músculo de deployment, no un consultor solo, pero la plataforma escala absolutamente.
- Madurez de IT: Ingenieros de red y seguridad dedicados, no una sola empresa de help-desk-más-MSP. Alguien en el equipo necesita ser dueño de routing, alguien necesita ser dueño de la política de firewall, e idealmente son personas distintas. Un equipo de IT de dos personas no va a sacarle valor completo a Catalyst Center.
- Stack existente: Idealmente ya en Cisco; en segundo lugar, con disposición para comprometerse a un roadmap multi-año que incluya contratación y entrenamiento. Salirse de Cisco a mitad de camino rara vez es un problema técnico y usualmente es un problema de gente.
- Geografía: Global. El canal enterprise es fuerte en todas partes. LATAM tiene profundidad sólida de partners Cisco en MX, CO y BR, con certificaciones locales equivalentes a FedRAMP disponibles en varios países.
Si tres de las cuatro coinciden, Cisco está en la shortlist. Si las cuatro coinciden y pasaste los 1.500 usuarios, probablemente es la respuesta correcta.
Quién lo implementa
Internamente, el implementador líder debería ser un ingeniero de red senior con un CCNP, o trabajando activamente hacia uno. Para trabajo de fabric SDA multi-sitio el líder de arquitectura realmente debería ser nivel CCIE — no como check de credencial sino porque las decisiones de diseño tomadas en el día uno (tamaño del fabric, ubicación del control plane, modelo de política de ISE, taxonomía de segmentación) son caras de refactorizar una vez que el tráfico de producción depende de ellas. Un equipo sin esa profundidad in-house va a gastar el primer año descubriendo tradeoffs que la documentación no menciona.
El involucramiento de un Cisco Partner en el primer deployment es práctica estándar y realmente no opcional para trabajo de fabric SDA por primera vez. Las Partner Specializations existen por una razón: el gap entre lo que dicen los docs y lo que funciona en producción es más amplio en Cisco que en Fortinet, y un partner que ya shippeó esto cinco veces te ahorra el 80% del costo de descubrimiento. Los consultores independientes (yo incluido) juegan un rol también, especialmente para las capas de firewall y Umbrella donde la forma del deployment es más contenida.
Si estás levantando tu primer fabric SDA o migrando de ASA a FTD, hablemos. Arrancamos con una llamada de scoping de 30 minutos; si encaja, especificamos el engagement desde ahí.
Primeros pasos
- Lee la guía de campo de FortiGate primero para la alternativa de consolidación SMB. Si eres candidato para Fortinet (menos de 500 usuarios, sitio único, equipo pequeño, sin SOC), termina esa conversación antes de comprometerte al TCO de Cisco. En el peor caso, confirmas que Cisco es la respuesta; en el mejor caso, te ahorras seis cifras al año.
- Elige la capa de plataforma que más te importa y empieza ahí. La forma más rápida de atascarte es tratar de desplegar el ecosistema completo de una vez. Mis cortes actuales:
- Switching Catalyst (9200 / 9300 / 9500) — la fundación. Estabiliza la capa de switching antes de poner cualquier cosa encima.
- Firewall FTD/FMC — si estás reemplazando ASA o viniendo de Palo. El deployment standalone funciona bien; el scale-out de FMC viene después.
- Catalyst Center + ISE — solo después de que switching y firewall estén estables. El fabric SDA es un proyecto de 6–12 meses encima de una baseline funcionando, no la primera movida.
- Umbrella — win fácil, se puede hacer independientemente como uplift de seguridad. Filtrado en capa DNS sin footprint on-prem y un trial gratis que vale correr.
- Engancha un Cisco Partner para el primer deployment. Las Cisco Partner Specializations existen por una razón — el gap entre lo que dicen los docs y lo que funciona en producción es más amplio que en Fortinet. Un partner especializado ya pegó con los casos borde y el tiempo que te ahorras en descubrimiento vale más que el margen del partner.
Más allá de los primeros pasos: tomo trabajo de deployment, migración y auditoría de firewall y switching Cisco para clientes enterprise en LATAM y remoto globalmente. Hablemos de tu deployment — Te digo en 30 minutos si es trabajo de Cisco, trabajo de Fortinet, o trabajo de ‘arregla lo que ya tienes’.