Межсетевые экраны Check Point, Fortinet и Juniper — чем различаются исполнения и подписки
В артикуле межсетевого экрана закодированы аппаратное исполнение и набор подписок. Разбор обозначений Check Point, Fortinet и Juniper, того, что входит в поставку и что продлевается отдельно.
В артикуле межсетевого экрана закодированы две разные вещи: аппаратное исполнение и набор подписок, с которым оно поставляется. Один и тот же корпус продаётся как устройство с базовым набором правил и как устройство с проверкой трафика, защитой от вторжений и фильтрацией адресов — разница только в лицензионной части и в сроке её действия.
Ниже разобрано, как читаются обозначения у Check Point, Fortinet и Juniper, что входит в аппаратную поставку, что продлевается отдельно и какие параметры сверяют до заказа, чтобы устройство не оказалось без нужной функции или с просроченной подпиской.
Что определяет аппаратное исполнение
Аппаратная часть задаёт предел, который подписками не поднимается. Основные величины — пропускная способность с включённой проверкой трафика, число одновременных сессий, число новых сессий в секунду, состав и скорость портов.
- Полоса с проверкой и без. Для одного устройства указывают несколько значений: пропускную способность на уровне правил, с проверкой приложений, с защитой от вторжений и с расшифровкой трафика. Последнее значение обычно в несколько раз ниже первого, и расчёт ведут по нему, если расшифровка включается.
- Сессии. Число одновременных сессий ограничивает количество обслуживаемых устройств. Число новых сессий в секунду важнее для площадок с большим числом коротких соединений.
- Порты. Младшие исполнения имеют фиксированный набор портов, старшие — слоты под модули. Исполнения с питанием по кабелю и исполнения для монтажа на рейку отличаются от стоечных только корпусом и набором портов.
- Резервирование. Исполнения для работы в паре поставляются комплектом и имеют отдельное обозначение. Второй аппарат, купленный поодиночке, может потребовать докупки лицензии на режим пары.
- Питание. В артикуле указывают исполнение по питанию — переменного или постоянного тока, с одним или двумя блоками. Это существенно для узлов с питанием постоянным током и не меняется после поставки.
Доступные исполнения собраны в разделе межсетевых экранов, в том числе аппараты Fortinet и аппараты Cisco.
Как читаются обозначения трёх производителей
Check Point. Обозначение строится из префикса аппаратной платформы, номера модели и суффикса набора подписок. Номер модели указывает на производительность корпуса, суффикс — на лицензионный пакет: базовый межсетевой экран, пакет с проверкой трафика и защитой от угроз, расширенный пакет с дополнительной защитой данных. Отдельный суффикс обозначает исполнение для работы в паре с резервированием. Один корпус встречается в каталоге в нескольких вариантах, различающихся только этой частью артикула.
Fortinet. Номер модели отражает место в линейке: младшие исполнения на 30–100 — для небольших офисов, 200–600 — для площадок среднего размера, 1800 и выше — для центров обработки данных и операторских узлов. Буква после номера обозначает поколение аппаратной платформы. Отдельно встречаются комплектные поставки, в обозначении которых указан срок действия пакета подписок в месяцах — такое устройство приходит с уже оплаченной лицензионной частью.
Juniper. В линейке SRX номер модели задаёт производительность и число портов, а суффикс — набор программных функций: базовый набор служб или расширенный. Отдельно указывается исполнение с питанием по кабелю и исполнение с двумя блоками питания. Переход с базового набора на расширенный выполняется лицензией без замены аппарата.
В разделе представлены также аппараты Huawei серий USG и устройства Cisco — линейки ASA и Firepower, а также исполнения Meraki с управлением из облачной панели.
Сравнение исполнений по задаче
| Параметр | Небольшой офис | Площадка среднего размера | Центр обработки данных |
|---|---|---|---|
| Число пользователей | до 50 | 50–500 | свыше 500 |
| Исполнение | настольное или на рейку | стоечное 1U | стоечное с модулями |
| Порты | фиксированные, медь | медь и оптика 1/10G | модули 10/25/100G |
| Расшифровка трафика | выборочно | на внешнем периметре | с запасом по полосе |
| Резервирование | не применяется | пара в режиме готовности | пара с распределением нагрузки |
| Подписки | базовый пакет | пакет с проверкой трафика | расширенный пакет |
| Срок лицензии в поставке | 1 год | 1–3 года | 3 года и более |
Что входит в подписки и что продлевается
Аппарат без действующих подписок продолжает работать как межсетевой экран на уровне правил: правила фильтрации, преобразование адресов, шифрованные каналы между площадками. Прекращается обновление баз, от которых зависят проверяющие функции.
- Базы приложений и адресов. Определение приложений в трафике и категории адресов работают по обновляемым базам. Без подписки списки остаются на дате последнего обновления.
- Защита от вторжений. Правила обнаружения обновляются по подписке; устаревший набор не закрывает уязвимости, появившиеся после окончания срока.
- Проверка файлов. Проверка вложений и загрузок на известные образцы и поведенческий разбор — отдельная подписка, у части производителей привязанная к внешней службе.
- Техническая поддержка и замена. Право на замену аппарата и на обращения в поддержку — отдельная позиция со своим сроком, не совпадающим со сроком подписок на базы.
- Расширение числа устройств. У части линеек число обслуживаемых пользователей или виртуальных систем ограничено лицензией, а не аппаратной частью, и расширяется докупкой.
На узле периметра межсетевой экран ставится в связке с коммутатором доступа и маршрутизатором внешнего канала — состав портов сверяется по всем трём устройствам сразу.
Частые вопросы
Как подобрать модель по полосе канала? Расчёт ведётся не по полосе внешнего канала, а по суммарному проверяемому трафику с включёнными функциями. Если включается расшифровка, берётся заявленное значение для этого режима и к нему добавляется запас 40–50 % на рост.
Что произойдёт, когда закончится подписка? Правила фильтрации и шифрованные каналы продолжат работать. Базы приложений, адресов и правил обнаружения вторжений перестанут обновляться, а часть производителей отключает соответствующие проверки полностью. Устройство при этом не блокируется.
Можно ли купить аппарат без подписок и добавить их позже? У большинства линеек — да, аппаратная часть и лицензии разделены. Исключение составляют комплектные поставки, где пакет уже включён в артикул, и исполнения, у которых набор функций зашит в обозначение модели.
Что сверяют при замене на новое поколение? Переносимость конфигурации правил между версиями программной части, набор и скорость портов, возможность перенести действующие лицензии на новый аппарат. У части производителей лицензии привязаны к серийному номеру и требуют переоформления.
Нужны ли два аппарата в пару сразу? Если простой периметра недопустим — да, и подбираются они одной модели с одинаковой версией программной части. Докупка второго аппарата позже возможна, но модель к тому времени может быть снята с производства, и пару придётся собирать из нового поколения.
Что мы поставляем
В каталоге Азияторг есть межсетевые экраны Check Point, Juniper, Huawei, Fortinet и Cisco — исполнения от настольных до стоечных с модулями, с базовым и расширенным набором подписок. Для узла целиком поставляем коммутаторы, маршрутизаторы и серверы.
Пришлите число пользователей, полосу внешнего канала, перечень нужных проверок и требования по резервированию на server@tkasiatorg.ru — подберём модель по проверяемому трафику, посчитаем состав подписок на нужный срок и назовём срок поставки.
