Решения за SMB Check Point. Нови модели за малки фирми и клонове

Сравнително наскоро (през 2016 г.) компанията Check Point представи своите нови устройства (както шлюзове, така и сървъри за управление). Основната разлика от предишната линия е значително увеличената производителност.

В тази статия ще се съсредоточим изключително върху по-младите модели. Нека опишем предимствата на новите устройства и възможните капани, за които не винаги се говори. Ще споделим и личните си впечатления от използването им.

Контролна точка на състава

Както можете да видите от снимката, Check Point разделя своите устройства на три големи категории:

• Предприятие от висок клас и център за данни (модели 23800, 23500, 15600, 15400)
• Enterprise (модели 5900, 5800, 5600, 5400, 5200, 5100)
• Малки и средни предприятия (модели 3200, 3100, 1490, 1470, 1450, 1430, 1200R)

В същото време една от основните характеристики е т.нар SPU - Силови блокове за сигурност. Това е собствената мярка на Check Point за действителната производителност на дадено устройство. Като пример, нека сравним традиционния метод за измерване на пропускателната способност на защитната стена (Mbps) с „новия“ метод от Check Point (SPU).

Традиционна техника - пропускателна способност на защитната стена

• Измерванията се извършват в лабораторни условия на "изкуствен" трафик.
• Производителността се оценява само за функцията Firewall, без допълнителни модули като IPS, Application Control и др.
• Тестването обикновено се извършва с едно правило на защитната стена.

Метод на Check Point - Сила за сигурност

• Измервания на реален потребителски трафик.
• Оценява се производителността на всички функции (защитна стена, IPS, контрол на приложенията, URL филтриране и др.).
• Тестван на примерна политика, която включва много правила.

Инструмент за оразмеряване на устройства Check Point

По този начин, когато избирате подходящ модел Check Point, е по-добре да разчитате на параметъра Защитен захранващ блок. Посочено е във всеки лист с данни на устройството. Не е възможно самостоятелно да изчислите подходящия SPU за вашата мрежа. Това може да стане само с помощта на партньор, който има достъп до инструмента Инструмент за оразмеряване на устройства Check Point:

За да изберете оптималното решение, трябва да вземете предвид такива параметри като:

• ширина на интернет канала;
• Общата пропускателна способност на шлюза (може да се различава от интернет канала, ако например сте сегментирали локалната мрежа с помощта на Check Point);
• Броят на потребителите в мрежата;
• Необходими функции (Защитна стена, Антивирус, Анти-бот, Контрол на приложения, URL филтриране, IPS, Емулация на заплахи и др.).

Има и по-фини настройки, които описват към какъв трафик ще се прилагат тези блейдове:

След като посочите всички характеристики, можете да получите справка с описание на подходящите устройства:

Тук можете също да видите необходимия SPU (72 в нашия случай) и препоръчителния (144). Както и самите модели с описание на натоварването и „резерва” по отношение на трафик и перки. Когато избирате модел, винаги се препоръчва да вземете устройство от зелената зона (т.е. натоварване до 50 процента):

Това гарантира, че няма проблеми при пиково натоварване или планирано увеличаване на честотната лента на интернет канала. Когато избирате устройство, винаги изисквайте от партньора да предостави подобен отчет. Пример може да бъде изтеглен тук.

Старо срещу ново

След като се справихме с основния параметър, който характеризира производителността на устройствата, можем да разгледаме по-отблизо новите модели за малкия и среден бизнес. Както бе споменато по-горе, Check Point има цял сегмент - Малки и средни предприятия (модели 3200, 3100, 1490, 1470, 1450, 1430, 1200R). Тези устройства могат да се нарекат актуализация на старата серия от 2012 г. (2200, 1180, 1140, 1120). За да разберете основните разлики, разгледайте снимката по-долу:

(цените са в GPL, без ДДС и техническа поддръжка)

Както можете да видите, серията 2016 има значително увеличение на производителността (SPU), докато цените остават приблизително на същото ниво (с изключение на модела 3200). Новата линия включва и модел 3100, но все пак няма уведомление и вносът в Русия е забранен! Запомни това!

Ако преизчислите цената на един SPU, тогава моделът 1450 е най-балансираният. По-долу ще разгледаме по-подробно новата серия Check Point.

Схеми за внедряване на SMB устройства

Както можете да видите от фигурата, има два основни сценария за внедряване на SMB устройства:

1. В режим на основен шлюз. В този случай Check Point се инсталира като периметърно устройство и се администрира локално.
2. Портал за филиала. В този случай хардуерът на клона се управлява централно (чрез сървъра за управление) от централния офис.

За сериали 3000 и 1400 Във всеки от режимите има някои функции. Ще ги прегледаме по-долу.

Серия SMB 3000

В момента има две "парчета желязо" - 3200 и 3100. Както споменахме по-рано, 3100 все още не може да бъде въведен в страната. Що се отнася до 3200, това е чудесен заместител на старата серия 2200. Пълната версия на Gaia (както R77.30, така и R80.10) работи на борда на устройството. В случай на използване на устройството като основен шлюз в малък бизнес, можете да очаквате следната производителност:

1. Интернет канал - 50 Mbit;
2. Обща честотна лента - 300 Mbps;
3. Броят на потребителите е 200.

Както можете да видите, натоварването на устройството в този случай е 47% и това е с локално управление, т.е. Standalone конфигурация (повече за самостоятелни и разпределени тук). От личен опит мога да кажа, че при местно управление не се препоръчва натоварването да надвишава 50%, т.к. могат да се появят проблеми с управлението (ще се забави).
Ако устройството се разглежда като клоново устройство (т.е. с отделно централизирано управление), тогава показателите ще бъдат много по-високи. И вече можете да влезете в жълтата зона при оразмеряване (т.е. с натоварване от 50% до 70%). Може да се види лист с данни на устройството тук.

Серия SMB 1400

Тази серия включва няколко устройства наведнъж: 1490, 1470, 1450, 1430 (Логична замяна на остарелите 1120, 1140 и 1180).

Въпреки факта, че това са най-младите модели на Check Point, те имат цялата необходима функционалност:

• SMB устройствата могат да бъдат сглобени в HA клъстер (Активен/В готовност);
• налични са почти всички софтуерни блейдове (както при „големите“ железа);
• може да се управлява както локално, така и централно (използвайки традиционен сървър за управление);
• има модификации с WiFi, ADSL и PoE;
• можете да свържете 3G модеми;
• Има комплекти за монтаж на стелажи.

Въпреки това си струва да предупредите за някои ограничения / функции:

• На борда на устройството е по-ниска Gaia и Gaia 77.20 Вграден. Това ограничение е свързано с архитектурата на устройството (използват се ARM процесори). В случай на локално управление (самостоятелно), няма да можете да използвате познатата SmartConsole. Вместо това има уеб интерфейс. Можете да го проверите в това видео:
  
  Примерът разглежда серия 700, но по принцип не се продава в Русия.
• Threat Extraction не работи. Само емулация на заплахи. Можете да видите какво е тук
• Не можете да изградите клъстер в режим на споделяне на натоварването. Тези. измама чрез закупуване на две „евтини“ парчета желязо и разпределяне на товара между тях в клъстера няма да работи.
• При локалното управление има сериозни ограничения по отношение на проверката на HTTPS.
• Антивирусното сканиране на архиви не работи.
• Няма DLP функция.

Последните точки са може би най-важните ограничения, които често се мълчат. За пълна проверка на HTTPS ще бъдете принудени да използвате традиционен специализиран сървър за управление. В този случай ще управлявате устройството като шлюз с пълна (почти пълна) версия на Gaia.

За други Gaia Embedded ограничения вижте тук. Не пропускайте да ги прочетете, преди да вземете решение за покупка.

Например, помислете за малък офис със следните параметри:

• Интернет канал - 50 Mbit;
• Обща честотна лента - 200 Mbps;
• Брой потребители - 200;
• Локално управление (Web интерфейс).

Както се вижда от оразмеряването, моделът 1490 успешно се справя с тази задача с натоварване от 46% (без да излиза от зелената зона). Със специално управление 1470 ще се справи и с тази задача.
Може да се види лист с данни за устройства от серия 1400 тук.

Модел 1200R

Този модел е трудно да се нарече SMB. Това вече е индустриално решение и може би заслужава отделна статия. Сега няма да разглеждаме този модел подробно.

Webinar

За повече информация относно SMB устройства вижте предишния ни уебинар:

Данни

Според мен новите SMB модели се оказаха доста сполучливи. Значително повишена производителност на устройствата при запазване на ценовото ниво. Не съм готов да говоря за високата цена / евтиността на устройствата, защото. За различните компании тези понятия са много различни.

Модел 3200 Бих препоръчал на малки фирми, които се интересуват от максимално ниво на защита на разумна цена. Плюс това, това е добър избор за тези, които вече са свикнали да работят с пълноценна версия на Gaia. Версията R80.10 също е налична тук. Когато се получи известие за 3100, цената ще падне още малко. За клонове това е идеално.

Серия устройства 1400 са добър компромис и имат най-доброто съотношение цена/качество (особено по отношение на цената на 1 SPU). Тези устройства са чудесни за клонове с ограничен бюджет. Използвайки централизирано управление, можете да управлявате устройства като обикновени шлюзове с пълна версия на Gaia. Но, отново, не забравяйте за ограничениякоито определено трябва да проверите.

PS Бих искал да благодаря на Алексей Матвеев (RRC компания) за помощ при подготовката на материала.

Източник: www.habr.com