Межсетевой экран для компании — что смотреть кроме пропускной способности

Межсетевой экран подбирается не по цифре пропускной способности из спецификации, а по производительности в том режиме, в котором устройство будет работать на объекте: с включённой проверкой трафика, разбором приложений и расшифровкой защищённых соединений. Разница между паспортным и рабочим значением достигает пяти-семи раз, и именно она определяет, справится ли устройство с нагрузкой через год после установки.

Разберём, какие параметры определяют выбор модели, чем различаются режимы проверки трафика, как устроены подписки и лицензии, что учитывать при резервировании и какие данные нужны, чтобы подобрать межсетевой экран под конкретную сеть.

Какие параметры определяют выбор

• Пропускная способность с включённой проверкой. Значение при работе системы предотвращения вторжений, разбора приложений и антивирусной проверки. Это рабочий показатель, по которому и подбирается модель.
• Число одновременных сессий. Определяется количеством пользователей, устройств и опубликованных сервисов. Исчерпание таблицы сессий приводит к отказу в обслуживании новых соединений при незагруженном канале.
• Новые соединения в секунду. Критично для сетей с большим числом коротких запросов: публичных сервисов, систем видеонаблюдения, телеметрии.
• Производительность на защищённых каналах. Отдельно указывается для IPsec и для расшифровки TLS. Расшифровка требует наибольших ресурсов и часто становится ограничением.
• Состав и тип интерфейсов. Число медных портов, наличие оптических слотов, поддержка скоростей 10 и 25 Гбит/с. Комплектуется трансиверами и, при необходимости, модулями расширения.
• Задержка. Значима для телефонии, видеоконференцсвязи и промышленных протоколов.
• Отказоустойчивость. Возможность работы в паре, наличие резервных блоков питания, время переключения.
• Управление. Локальный интерфейс, централизованная консоль на несколько устройств, ведение журналов и сроки их хранения.

Почему паспортная цифра выше рабочей

Производители приводят несколько значений производительности, и они относятся к разным режимам работы. Понимание разницы избавляет от закупки устройства, которое формально подходит, а фактически ограничивает канал.

• Фильтрация по портам и адресам. Наибольшее значение в спецификации. Проверяются только заголовки пакетов, содержимое не разбирается.
• Разбор приложений. Устройство определяет протокол и приложение внутри соединения. Производительность снижается ориентировочно вдвое.
• Предотвращение вторжений. Трафик сверяется с базой сигнатур. Ещё одно снижение — как правило, в полтора-два раза от предыдущего значения.
• Полный набор проверок. Сигнатуры, антивирус, репутационные списки, контроль содержимого. Итоговое значение составляет 15–25 % от первой цифры.
• Расшифровка защищённых соединений. Отдельный режим с самой высокой нагрузкой на процессор. Поскольку большая часть трафика передаётся в зашифрованном виде, без этого режима часть проверок теряет смысл.

Ориентиры по классам задач

Значения в таблице — ориентир для первичного отбора. Итоговая модель выбирается по замеру фактического трафика и составу сервисов, а не по числу сотрудников.

Что входит в стоимость сверх устройства

• Подписки на проверку трафика. Базы сигнатур, антивирусные базы, репутационные списки. Без действующей подписки устройство продолжает фильтровать трафик по правилам, но перестаёт получать обновления. Оформляются через лицензии.
• Расширенные функции. Изолированный запуск вложений, контроль пользовательских приложений, фильтрация по категориям ресурсов — как правило, отдельные позиции.
• Техническая поддержка производителя. Право на обновление программного обеспечения и замену оборудования при отказе. Оформляется сервисным контрактом на срок от года.
• Модули и оптика. Оптические порты комплектуются отдельно; совместимость проверяется по списку поддерживаемых модулей.
• Второе устройство для пары. Резервирование удваивает стоимость оборудования, но лицензии в ряде случаев учитываются на пару, а не на каждое устройство.
• Хранение журналов. Долгое хранение требует отдельного сервера сбора событий или дискового пространства на накопителях.

Как межсетевой экран встаёт в сеть

• Периметр. Устройство ставится между внешним каналом и внутренней сетью, публикует сервисы и терминирует защищённые каналы до филиалов.
• Сегментация внутренней сети. Трафик между отделами и производственным сегментом проходит через устройство. Требует запаса производительности: внутренний трафик обычно превышает внешний.
• Согласование с коммутацией. Схема подключения к коммутаторам определяет, будет ли доступна работа в паре без разрыва соединений при переключении.
• Пропускная способность серверной части. При публикации сервисов учитываются сетевые адаптеры серверов: узкое место может оказаться не на межсетевом экране.
• Резервный канал. Переключение между провайдерами настраивается на самом устройстве или на пограничном маршрутизаторе.

Что прислать для подбора

• Схему сети с сегментами и точками подключения к провайдерам.
• Скорость каналов и фактическую загрузку в часы пиковой нагрузки.
• Число пользователей, устройств и опубликованных наружу сервисов.
• Перечень требуемых проверок: вторжения, антивирус, категории ресурсов, расшифровка соединений.
• Число защищённых каналов до филиалов и удалённых сотрудников.
• Требования к резервированию и допустимое время перерыва в работе.
• Срок хранения журналов и требования по передаче событий во внешнюю систему.

Частые вопросы

Можно ли обойтись маршрутизатором с функциями фильтрации? Для небольшого офиса без публикации сервисов наружу — да. Как только появляются проверка содержимого, разбор приложений и расшифровка соединений, требуется устройство соответствующего класса: у маршрутизатора эти функции резко снижают производительность.

Какой запас производительности закладывать? Двукратный к текущей фактической нагрузке в режиме со всеми нужными проверками. Трафик растёт вместе с числом сервисов, а включение расшифровки соединений сразу снимает часть запаса.

Что происходит по окончании подписки? Правила фильтрации продолжают работать, обновления баз прекращаются. Устройство остаётся работоспособным, но перестаёт распознавать новые угрозы, поэтому подписка продлевается заранее.

Обязательно ли ставить два устройства? Определяется допустимым временем простоя. Если перерыв в работе внешних сервисов на время замены неприемлем, ставится пара; при наличии резервного оборудования на складе иногда достаточно одного устройства.

Нужна ли расшифровка защищённых соединений? Без неё проверка содержимого распространяется на малую часть трафика. Расшифровка вводится выборочно — по группам пользователей и категориям ресурсов, с исключениями для банковских и медицинских сервисов.

Как подобрать замену устройству, снятому с производства? По фактической нагрузке и составу настроенных функций, а не по названию линейки. Прямой преемник модели может отличаться по числу сессий и по составу лицензий.

Что мы делаем

Подбираем модель по замеру трафика и составу требуемых проверок, считаем комплект с лицензиями и поддержкой производителя, комплектуем оптикой и модулями, подбираем схему подключения к сетевому оборудованию и предлагаем варианты у нескольких производителей: Fortinet, Check Point, Palo Alto Networks, Cisco и Juniper.

Пришлите схему сети, скорость каналов и перечень нужных проверок на server@tkasiatorg.ru — предложим две-три модели с расчётом производительности в рабочем режиме, составом лицензий и сроками поставки.