NGFW и UTM: как выбрать межсетевой экран, в том числе б/у
Межсетевой экран нового поколения (NGFW) выбирают не по цене «железки», а по трём вещам: какая реальная скорость останется после включения нужных функций защиты, какие подписки нужны для этих функций и можно ли их купить и продлить. Для б/у устройства к этому добавляется вопрос, перенесётся ли лицензия на нового владельца. Разберём по порядку.
NGFW и UTM: в чём разница
Чёткой границы нет, оба термина во многом маркетинговые.
- UTM (Unified Threat Management) — «всё в одном» для небольших офисов: межсетевой экран, VPN, антивирус на шлюзе, IPS, веб-фильтр, иногда антиспам. Упор на простоту настройки.
- NGFW — межсетевой экран, который распознаёт приложения независимо от порта, привязывает правила к пользователям и группам каталога, умеет IPS и инспекцию зашифрованного трафика. Упор на точность политик и производительность.
На практике большинство современных устройств умеют и то, и другое, а различаются производительностью, удобством управления и стоимостью подписок.
Какие цифры смотреть в спецификации
Главная ловушка — крупная цифра на первой странице даташита. Это обычно пропускная способность простого межсетевого экрана на больших пакетах. С включёнными функциями защиты она падает, нередко в разы.
| Параметр | Что означает | На что обратить внимание |
|---|---|---|
| Firewall throughput | фильтрация без глубокой инспекции | почти всегда завышает реальную картину |
| NGFW / Threat protection throughput | с распознаванием приложений, IPS, антивирусом | главная цифра для выбора |
| IPS throughput | только с системой предотвращения вторжений | смотрите вместе с размером пакета в тесте |
| SSL/TLS inspection | расшифровка и проверка HTTPS | самая «тяжёлая» функция, часто в разы ниже |
| IPsec VPN throughput | шифрованные туннели между офисами | важно при большом числе филиалов |
| Concurrent sessions | одновременные соединения | считайте по числу пользователей и устройств |
| New sessions per second | новые соединения в секунду | критично для гостевого Wi-Fi и публикации сервисов |
Подбирайте устройство так, чтобы нужная вам скорость с включёнными функциями была с запасом 30–50 % к текущему каналу: трафик растёт, а замена шлюза — работа с остановкой сети.
Лицензии и подписки
У большинства производителей устройство и защита продаются отдельно:
- базовая лицензия — обычно привязана к серийному номеру и включает маршрутизацию, межсетевой экран и VPN;
- подписки на сервисы — сигнатуры IPS, антивирус, URL-фильтрация, репутационные базы, песочница. Покупаются на срок, чаще на 1, 3 или 5 лет;
- техническая поддержка — доступ к обновлениям прошивки и замене по гарантии.
Без активной подписки функции, зависящие от обновляемых баз, перестают обновляться или отключаются — конкретное поведение зависит от производителя. Устройство продолжит работать как межсетевой экран и VPN-шлюз, но защита от новых угроз устаревает с каждым днём.
Б/у межсетевой экран: что проверить
Покупка б/у NGFW оправдана, когда вам нужен надёжный межсетевой экран и VPN, а подписки вы либо купите, либо осознанно обходитесь без них. Проверьте:
- Сброс к заводским настройкам. В конфигурации прежнего владельца остаются адреса, ключи VPN, учётные записи. Устройство должно прийти сброшенным, а вы всё равно сбрасываете его ещё раз.
- Статус серийного номера у производителя. Не числится ли устройство украденным или переданным на утилизацию; можно ли перерегистрировать его на нового владельца. У многих производителей перенос лицензий при перепродаже не автоматический, а иногда платный или невозможный.
- Сроки окончания продаж и поддержки (End of Sale, End of Life). Модель, у которой закончилась поддержка, не получит исправлений уязвимостей.
- Версия прошивки и возможность её обновить без действующего контракта.
- Аппаратное состояние: работа всех портов, блоков питания и вентиляторов, журнал аппаратных ошибок, состояние встроенного накопителя для журналов, если он есть.
- Пара для кластера. Для отказоустойчивой пары нужны два одинаковых устройства с одной версией прошивки и одинаковым набором лицензий.
- Модули и трансиверы. Оптические порты требуют модулей SFP или QSFP, которые производитель может проверять на совместимость. Подробнее — в статье об оптических модулях SFP и QSFP.
Общие обозначения состояния, которые встречаются в объявлениях, разобраны в статье о состоянии оборудования.
Особенности в России
С 2022 года многие западные производители средств защиты прекратили продажи и поддержку в России. Перед покупкой их устройств выясните, сможете ли вы получать обновления сигнатур и прошивок, и готовы ли работать без них.
Есть и регуляторная сторона:
- для государственных информационных систем, обработки персональных данных по ряду уровней защищённости и объектов КИИ нужны межсетевые экраны, сертифицированные ФСТЭК России. Требования к ним утверждены приказом ФСТЭК № 9 от 2016 года: в них выделены типы межсетевых экранов (от А до Д — например, тип Г относится к уровню веб-сервера) и шесть классов защиты;
- с 1 января 2025 года по указу Президента № 250 госорганам, госкомпаниям, стратегическим предприятиям, субъектам КИИ и другим перечисленным в указе организациям запрещено использовать средства защиты информации из недружественных государств.
Если ваша организация попадает под эти требования, б/у западное устройство не подойдёт независимо от цены — нужен сертифицированный продукт российского производителя. Сверяйте сертификат по реестру ФСТЭК: важны тип, класс защиты и срок действия.
Типичные ошибки
- Выбор по Firewall throughput вместо скорости с включённой защитой.
- Покупка б/у устройства с расчётом на подписку, которую в итоге нельзя оформить.
- Разные модели или прошивки в отказоустойчивой паре.
- Включённая инспекция HTTPS на устройстве, которое под неё не рассчитано, — скорость падает, пользователи жалуются, функцию выключают.
- Забытые сертификаты: для инспекции HTTPS нужен корневой сертификат, распространённый на все рабочие места, иначе браузеры покажут ошибки.
Межсетевые экраны, UTM-шлюзы и модули к ним — в разделе информационная безопасность.