Межсетевые экраны и безопасность

Классический firewall фильтрует трафик по портам, протоколам и IP-адресам — это базовая функция есть у любой модели SonicWall или Fortinet. UTM (Unified Threat Management) добавляет глубокую инспекцию пакетов: антивирус на лету, систему предотвращения вторжений IPS, веб-фильтрацию по категориям сайтов и защиту от спама — всё это работает как единый набор подписок с общей консолью управления. Разница напрямую влияет на пропускную способность: пропускная способность в режиме UTM с включённой инспекцией обычно в разы ниже, чем в режиме чистого firewall без анализа содержимого пакетов.

Ориентируйтесь на реальную скорость канала интернета и число одновременных пользователей: для офиса на 20–50 человек с каналом до 200 Мбит/с достаточно SonicWall TZ370 или FortiGate 71F, для филиала с VPN-туннелями на 500 Мбит/с и выше нужна модель уровня FortiGate 200F или Palo Alto PA-850. Обязательно смотрите паспортную пропускную способность именно в режиме Threat Prevention или UTM (не в режиме чистого firewall) — производители в маркетинговых материалах часто указывают более высокую цифру без включённой глубокой инспекции трафика.

У Fortinet буква и цифры после FG указывают модель линейки FortiGate по производительности и числу интерфейсов (71F — компактная модель для малого офиса, 200F и 300E — средний сегмент для филиалов и небольших дата-центров), суффикс BDL в артикуле означает пакет с подпиской (например FG-71F-BDL-809-36 — трёхлетний контракт защиты со всеми сервисами). У Palo Alto цифра в PA-850 или PA-1420 указывает серию по производительности: чем больше число, тем выше пропускная способность межсетевого экрана и число физических портов на аппаратной платформе.

Подписки на антивирус, IPS и веб-фильтрацию у SonicWall, Fortinet и Palo Alto привязаны к серийному номеру устройства и учётной записи в личном кабинете вендора — по одному серийнику в портале производителя (например MySonicWall или Fortinet Support) можно увидеть дату окончания. При покупке б/у уточняйте у менеджера площадки, активна ли подписка и можно ли переоформить её на нового владельца — часто требуется официальная процедура передачи через дистрибьютора, а без действующей подписки устройство продолжает работать только как базовый firewall.

Чаще всего встречаются неработающие или перегревающиеся вентиляторы у моделей с активным охлаждением (Fortinet 300E и старше, Palo Alto PA-1400), деградация флеш-накопителя после многолетнего логирования трафика, что проявляется медленной загрузкой или сбоями обновления прошивки, а также заблокированный доступ к веб-консоли из-за забытого администраторского пароля прежнего владельца — в этом случае требуется полный сброс до заводских настроек через консольный порт с потерей всей конфигурации и всех сохранённых политик безопасности.

Базово в лот входит само устройство и кабель питания стандарта, подходящего для сети 220В; для стоечных моделей (Fortinet 300E, Palo Alto PA-1420) крепления в шкаф 19″ иногда докупаются отдельно, если их нет в комплекте на момент публикации карточки. Лицензионные ключи на подписки безопасности, кабель консоли RJ45-DB9 или USB, а также дополнительные модули расширения (SFP-порты, дополнительная оперативная память) в базовый комплект обычно не входят и заказываются отдельно — точный состав уточняется по описанию конкретного лота у менеджера.

Устройство включают и следят за прохождением загрузки операционной системы без ошибок аппаратной диагностики, проверяют доступность веб-консоли и командной строки по консольному порту, тестируют прохождение трафика через LAN- и WAN-интерфейсы на тестовом стенде, проверяют физическое состояние всех портов и разъёма питания. Конфигурацию и пароли администратора сбрасывают до заводских значений, чтобы полностью исключить доступ прежнего владельца к устройству и его прежним политикам безопасности после продажи.

Новое (new) устройство идёт в заводской упаковке с нетронутыми пломбами и полной гарантией производителя, а срок подписок на сигнатуры начинает отсчитываться с момента активации новым владельцем. Refurbished (ref) прошло сертифицированный ремонт производителя или партнёра, часто с обновлением прошивки и переклеенной этикеткой серийного номера — гарантия действует, но короче заводской. У б/у (used) подписка может быть просрочена или отсутствовать вовсе, и её придётся приобретать заново после проверки совместимости версии оборудования с актуальной прошивкой.

Да, базовые функции firewall — фильтрация по портам, IP-адресам, зонам и статическая маршрутизация — работают без какой-либо подписки на большинстве моделей SonicWall, Fortinet и Palo Alto. Но без действующей подписки перестают обновляться сигнатуры антивируса, базы IPS и категории веб-фильтрации, из-за чего устройство постепенно теряет защиту от новых угроз и по сути превращается в обычный пакетный фильтр без глубокого анализа содержимого. Для периметра сети с прямым выходом в интернет рекомендуется поддерживать подписку в активном состоянии постоянно, без перерывов.

Производители периодически прекращают поддержку старых аппаратных платформ (End-of-Life), после чего новые версии прошивки и сигнатур для них больше не выпускаются — это касается, например, устаревших моделей Juniper NetScreen и части ранних Cisco ASA первого поколения. Перед покупкой сверьте модель по официальному списку End-of-Support на сайте вендора: если платформа уже снята с поддержки, актуальную защиту от новых угроз она обеспечить не сможет в принципе, даже если физически полностью исправна и включается без каких-либо проблем.

Сверьте серийный номер на корпусе с указанным в карточке лота, включите устройство и убедитесь в чистой загрузке без ошибок аппаратной диагностики, проверьте доступ к консоли управления и отсутствие следов вскрытия корпуса или коррозии на плате. Протестируйте каждый физический порт LAN и WAN подключением к заведомо рабочему коммутатору, а на моделях с VPN — проверьте создание тестового туннеля до внешнего узла. При обнаружении любых расхождений с описанием лота сразу свяжитесь с менеджером площадки для решения вопроса.

Большинство межсетевых экранов компактны и укладываются в стандартную посылку — доставка занимает обычные 22–30 дней вместе с остальным оборудованием каталога. Крупные шасси уровня дата-центра (Palo Alto PA-5000 и старше, Fortinet высокой производительности) весят десятки килограммов и упаковываются в отдельную коробку с амортизацией портов и разъёмов. Лицензионные флеш-накопители и модули памяти при демонтаже для проверки укладываются отдельно, чтобы исключить их повреждение статическим электричеством при транспортировке.