Cisco Meraki MX67-MX68 — Firewall Datasheet

Overview

Os Cisco Meraki MX67 e MX68 são appliances de segurança com gerenciamento em nuvem pelo Meraki Dashboard, destinados a filiais e ambientes remotos de pequeno porte. As variantes MX67C e MX68CW incluem modem celular integrado para simplificar implantações que exigem uplink celular, especialmente em locais com baixa confiabilidade do circuito WAN ou com necessidade de maior redundância e disponibilidade.

Os modelos base MX67 e MX68 estão disponíveis sem uplink celular integrado para cenários que não exigem conectividade celular, mas demandam implantação simples e operação centralizada. Também há variantes com recursos sem fio integrados, MX67W e MX68CW, com cobertura 802.11ac para clientes sem fio.

A implantação inicial é realizada com associação do equipamento a uma organização e a uma rede no Meraki Dashboard, conexão física à rede local e conclusão da configuração pelo painel de gerenciamento. Nos modelos celulares, é necessário utilizar cartão SIM ativado e, quando aplicável, configurar APN personalizada no Dashboard.

• Gerenciamento centralizado pelo Cisco Meraki Dashboard
• Atualizações automáticas de firmware
• Balanceamento de links WAN
• Failover automático de WAN
• SD-WAN sobre Meraki AutoVPN
• Firewall com inspeção de estado em camadas 3 e 7
• Regras de firewall baseadas em geolocalização
• NAT 1:1 e 1:N
• VLANs configuráveis e suporte a DHCP
• Roteamento estático
• Terminação de VPN para clientes
• Meraki AutoVPN e terminação de VPN IPsec
• Integração com Active Directory
• Filtragem de conteúdo
• Proteção contra malware AMP com integração opcional ao Threat Grid
• Proteção IDS/IPS
• Modelagem de tráfego personalizada
• Estatísticas históricas de uso de clientes
• Suporte a NetFlow
• Integração com Syslog
• Ferramentas de captura remota de pacotes
• Suporte a 802.1X com fio e sem fio
• Dual WAN
• Uplink celular LTE CAT 6 integrado nos modelos celulares, com necessidade de cartão SIM
• Capacidade sem fio 802.11ac integrada nos modelos sem fio
• PoE+ integrado somente no MX68

Capacidade e posicionamento

Os modelos MX67 e MX68 oferecem throughput de firewall com inspeção de estado de 700 Mbps, throughput máximo de VPN de 400 Mbps e throughput de firewall de próxima geração em modo de detecção de 400 Mbps. O uso recomendado é em pequenas filiais com até 50 dispositivos conectados.

O MX67 oferece dual WAN com conversão de porta LAN, enquanto o MX68 possui dual WAN dedicado. O uplink celular integrado está disponível apenas nas variantes celulares, e o suporte a PoE+ está disponível apenas no MX68 em 2 portas LAN GbE RJ45.

Observações operacionais

Nos modelos MX67C e MX68CW, a conectividade celular integrada deve ser inicializada pela primeira vez com conexão WAN cabeada ao Meraki Dashboard para obtenção de atualização necessária ao funcionamento adequado do uplink celular integrado.

O uso de modem celular USB de terceiros permanece funcional, porém, após 30 de abril de 2024, o suporte fica restrito a vulnerabilidades de segurança relacionadas a esses modems, e todo o suporte para modems USB celulares de terceiros será descontinuado em 30 de junho de 2026.

Quando escolher

Regras objetivas

• Se precisa uplinks modulares → considere modelos desta família com uplink modular (quando aplicável) e filtre por “uplink modular”. (Confirme no datasheet do modelo.)
• Se precisa switch compacto fora do rack / espaço limitado → filtre por modelos “compact”, “desktop” ou linhas equivalentes (ex.: sufixo “CX”, quando existir). (Confirme dimensões e kit de montagem.)
• Se precisa maior densidade PoE → filtre por 48P/24P + orçamento de potência (W) e padrão PoE (ex.: 802.3at/802.3bt), além do limite por porta. (Confirme orçamento total e por porta.)
• Se precisa mGig para Wi-Fi 6/6E → filtre por “mGig/MultiGig/2.5G/5G” e valide PoE adequado para AP (quando necessário). (Confirme velocidade por porta.)
• Se precisa uplinks 10G/25G/40G → filtre por tipo de uplink (SFP+/SFP28/QSFP) e quantidade de portas de uplink. (Evite assumir: valide no datasheet do modelo.)
• Se precisa L3 (roteamento) vs. L2 → filtre por “Layer 3”, “static routing” ou recursos de roteamento e confirme limites (rotas, VRFs, etc.).

Cenários comuns

• Escritório (acesso cabeado + Wi-Fi): Foco em portas 1G, PoE para APs/telefones e uplinks adequados ao backbone. (Filtrar por: 24P/48P, PoE/PoE+, orçamento W, uplink SFP/SFP+.)
• Filial com poucos armários e espaço limitado: Prioriza formato compacto/desktop, baixo ruído/consumo e montagem flexível. (Filtrar por: “compact/desktop”, profundidade reduzida, fanless (se houver).)
• Implantação com APs Wi-Fi 6/6E de alta demanda: Exige mGig (2.5G/5G) e PoE compatível com o consumo dos APs. (Filtrar por: mGig/MultiGig/2.5G/5G, PoE (802.3at/802.3bt), orçamento W.)
• Voz/UC com muitos telefones IP: Precisa PoE estável, QoS e segmentação (VLAN de voz). (Filtrar por: PoE, QoS, VLAN, LLDP-MED (se aplicável).)
• Agregação/Backbone pequeno: Mais uplinks e throughput; menos foco em PoE e mais em portas de alta velocidade. (Filtrar por: 10G/25G uplinks (SFP+/SFP28), capacidade de switching.)

Resumo técnico da família

Principais features

• Gerenciamento centralizado por Cisco Meraki Dashboard.
• Suporte a SD-WAN sobre Meraki AutoVPN, balanceamento de links WAN e failover automático de WAN.
• Firewall stateful L3/L7, regras geográficas, NAT 1:1 e 1:Many, VLANs, DHCP e rotas estáticas.
• Recursos de VPN com endpoint Meraki AutoVPN, IPsec VPN e Client VPN.
• Integrações operacionais com Active Directory, NetFlow, syslog, estatísticas históricas de clientes e captura remota de pacotes.
• Recursos de segurança com filtragem de conteúdo, IDS/IPS e proteção contra malware AMP com integração opcional ao Threat Grid.

Capacidades

Performance e limites

Licenciamento

• Licença necessária: Não informado
• Modelo de licença: Não informado
• Tipos de licença: Não informado
• Observações: Meraki Dashboard é citado para configuração e gerenciamento do dispositivo.

FAQ

Respostas modelo (templates de escolha)

Templates operacionais para orientar a escolha usando as informações e a tabela “Modelos” desta página. Não substitui validação no datasheet oficial.

Guia de escolha

Para escolher dentro desta família de firewalls Cisco Meraki, convém alinhar o cenário de operação com os requisitos de conectividade, redundância, acesso remoto e gestão centralizada no dashboard. A decisão tende a depender principalmente da necessidade de uplink celular integrado, conectividade sem fio integrada, portas com PoE+ quando aplicável, uso de dual-WAN, VPN entre sites e recursos de segurança habilitados no licenciamento. Se houver lacunas no escopo do projeto, a validação deve ser feita no dashboard, no licenciamento previsto e na topologia WAN da filial ou unidade remota.

1) Perfis de uso

• Se o ambiente for uma filial pequena ou ponto remoto com operação padronizada entre sites, a família pode ser adequada quando a prioridade for gestão cloud, provisionamento simplificado e visibilidade centralizada.
• Se o local tiver instabilidade no circuito principal de internet, convém priorizar variantes com dual-WAN e, quando necessário, uplink celular integrado para contingência.
• Se o projeto exigir conectividade celular nativa no appliance, a escolha deve recair apenas sobre variantes que tragam modem celular integrado, observando a necessidade de SIM card e eventuais parâmetros de operadora, como APN e PIN.
• Se o site não exigir uplink celular, variantes sem modem integrado podem ser suficientes, desde que atendam aos requisitos de throughput, VPN e políticas de segurança.
• Se houver necessidade de cobertura Wi‑Fi no mesmo equipamento, convém considerar apenas variantes com capacidade wireless integrada.
• Se houver necessidade de alimentar dispositivos pela própria unidade, deve-se verificar a exigência de PoE+, pois esse recurso é citado apenas em variantes específicas da família.
• Se a operação depender de conectividade entre filiais e matriz, a escolha deve considerar suporte a AutoVPN e endpoint IPSec VPN, conforme a arquitetura definida.
• Se houver usuários remotos, convém validar a necessidade de endpoint de Client VPN e o volume esperado de conexões simultâneas.
• Se o ambiente exigir segmentação local, deve-se confirmar uso de VLANs, DHCP, roteamento estático, NAT 1:1 ou 1:Many e regras de firewall L3/L7 conforme a política da rede.
• Se o foco incluir inspeção e controles adicionais, a decisão deve considerar IDS/IPS, filtragem de conteúdo, proteção contra malware e eventuais integrações opcionais, quando previstas no licenciamento adotado.

2) Checklist técnico (decisão rápida)

• Verificar se o site precisa de gestão centralizada via Meraki Dashboard.
• Confirmar se o projeto exige dual-WAN com balanceamento e failover automático.
• Validar se há necessidade de uplink celular integrado no próprio appliance.
• Se houver uso de celular, confirmar SIM card ativo, PIN desabilitado ou corretamente configurado, e APN customizada quando exigida pela operadora.
• Checar se a unidade precisa de Wi‑Fi integrado.
• Checar se a unidade precisa de portas com PoE+.
• Dimensionar a necessidade de VPN site-to-site e Client VPN.
• Confirmar exigência de SD-WAN sobre AutoVPN no desenho WAN.
• Verificar necessidade de firewall stateful L3/L7, regras geográficas, NAT, VLANs, DHCP e roteamento estático.
• Confirmar se o ambiente requer IDS/IPS, filtragem de conteúdo, proteção contra malware e integração opcional de análise adicional, quando aplicável.
• Validar requisitos de observabilidade, como estatísticas históricas de clientes, NetFlow, syslog e captura remota de pacotes.
• Confirmar necessidade de integração com Active Directory e suporte 802.1X em cenários cabeados e sem fio.
• Verificar o modelo operacional de licenciamento, pois determinados recursos de segurança podem depender da licença contratada.
• Evitar planejar novos projetos com modem USB celular de terceiros, pois o suporte está em descontinuação; se esse cenário existir, convém revisar a estratégia de contingência.

3) Regras condicionais (LLM-friendly)

• Se o site precisar de contingência WAN no próprio equipamento, então deve-se priorizar variante com dual-WAN; se também houver exigência de backup por rede móvel, então a variante deve ter modem celular integrado.
• Se a filial operar em local com circuito terrestre instável, então convém considerar uplink celular integrado para elevar a disponibilidade, desde que haja cobertura e plano de dados compatíveis.
• Se não houver necessidade de conectividade celular, então uma variante sem modem integrado tende a ser suficiente, condicionada ao throughput e aos recursos de segurança requeridos.
• Se o projeto exigir Wi‑Fi no mesmo appliance, então a escolha deve se limitar às variantes com capacidade wireless integrada.
• Se houver necessidade de alimentar equipamentos pela unidade, então deve-se selecionar apenas variante com PoE+, quando esse requisito for obrigatório.
• Se a arquitetura exigir interligação segura entre sites, então deve-se validar uso de AutoVPN e/ou IPSec VPN conforme o padrão da organização.
• Se houver usuários remotos, então deve-se confirmar a necessidade de Client VPN e compatibilidade com a política de acesso da empresa.
• Se o ambiente exigir segmentação e controle de tráfego, então devem ser considerados VLANs, DHCP, roteamento estático, NAT e firewall stateful L3/L7.
• Se a política de segurança incluir prevenção e inspeção adicionais, então convém verificar se IDS/IPS, filtragem de conteúdo e proteção contra malware estão contemplados no licenciamento previsto.
• Se a operação depender de visibilidade centralizada e padronização multi-site, então a família é aderente ao modelo cloud-managed do ecossistema Cisco Meraki.
• Se o projeto ainda considerar modem USB celular de terceiros, então a recomendação técnica é reavaliar esse desenho, pois o suporte está sendo descontinuado conforme o ciclo informado no fabricante.
• Se não houver evidência documental sobre capacidade específica de desempenho, escala ou alta disponibilidade detalhada, então esses pontos devem ser validados no datasheet completo e no licenciamento antes da definição final.

Revisão: 2026-05-09