🥇SMB-Lösungen von Check Point. Neue Modelle für kleine Unternehmen und Standorte

Relativ kürzlich (im Jahr 2016) präsentierte das Unternehmen Check Point seine neuen Geräte (sowohl Gateways als auch Management-Server). Das Hauptmerkmal im Vergleich zur vorherigen Reihe ist die erheblich gesteigerte Leistung.

In diesem Artikel konzentrieren wir uns ausschließlich auf die Einstiegsmodelle. Wir werden die Vorteile der neuen Geräte sowie mögliche Fallstricke, die nicht immer erwähnt werden, beschreiben. Außerdem teilen wir unsere persönlichen Eindrücke von deren Nutzung.

Das Modellportfolio von Check Point

Wie aus dem Bild zu erkennen ist, unterteilt Check Point seine Geräte in drei große Kategorien:

High End Enterprise and Data Center (Modelle 23800, 23500, 15600, 15400)
Enterprise (Modelle 5900, 5800, 5600, 5400, 5200, 5100)
Small and Medium Enterprise (Modelle 3200, 3100, 1490, 1470, 1450, 1430, 1200R)

Dabei ist eine der Hauptmerkmale die sogenannte SPU — Security Power Units. Dies ist eine proprietäre Messgröße von Check Point, die die tatsächliche Leistung des Geräts charakterisiert. Zum Vergleich nehmen wir die traditionelle Methode zur Messung der Firewall-Leistung (Mbit/s) und die “neue” Methode von Check Point (SPU).

Traditionelle Methode — Firewall-Durchsatz

Die Messungen erfolgen unter Laborbedingungen mit einem “künstlichen” Datenverkehr.
Die Leistung wird ausschließlich für die Firewall-Funktion bewertet, ohne zusätzliche Module wie IPS, Application Control usw.
Tests werden in der Regel mit einer einzigen Firewall-Regel durchgeführt.

Die Methode von Check Point – Security Power

Messungen basieren auf echtem Benutzertraffic.
Die Leistung des gesamten Funktionsumfangs wird bewertet (Firewall, IPS, Application Control, URL-Filterung usw.).
Es wird mit einer typischen Richtlinie getestet, die zahlreiche Regeln umfasst.

Check Point Appliance Sizing Tool

Bei der Auswahl des geeigneten Modells von Check Point sollte man sich auf den Parameter Security Power Unitverlassen. Dieser wird in jedem Datenblatt des Geräts angegeben. Eine selbstständige Berechnung des passenden SPU für Ihr Netzwerk ist nicht möglich. Dies kann nur mit Hilfe eines Partners erfolgen, der Zugang zum Tool hat. Check Point Appliance Sizing Tool:

Um die optimale Lösung zu finden, müssen folgende Parameter berücksichtigt werden:

Bandbreite des Internetkanals;
Gesamtbandbreite des Gateways (kann von der Internetbandbreite abweichen, wenn Sie beispielsweise Ihr lokales Netzwerk mithilfe von Check Point segmentiert haben);
Anzahl der Benutzer im Netzwerk;
Erforderliche Funktionen (Firewall, Antiviren, Anti-Bot, Application Control, URL-Filterung, IPS, Bedrohungsimulation usw.).

Es gibt auch feinere Einstellungen, die festlegen, auf welchen Datenverkehr diese Blades angewendet werden sollen:

Nach Angabe aller Merkmale kann ein Bericht mit einer Beschreibung geeigneter Geräte erstellt werden:

Hier sehen Sie das erforderliche SPU (72 in unserem Fall) und das empfohlene (144). Zudem finden Sie die Modelle mit Informationen zu ihrer Auslastung und dem „Reserven“ für Datenverkehr und Blades. Bei der Auswahl eines Modells wird stets empfohlen, ein Gerät aus dem grünen Bereich (d. h. eine Auslastung von bis zu 50 Prozent) zu wählen:

Das gewährleistet, dass es bei Spitzenbelastungen oder bei einer geplanten Erhöhung der Internetbandbreite zu keinen Problemen kommt. Bei der Gerätauswahl sollten Sie immer den Partner bitten, einen solchen Bericht zur Verfügung zu stellen. Ein Beispiel kann heruntergeladen werden. hier.

Alt vs Neu

Nachdem wir uns mit dem Hauptparameter befasst haben, der die Leistung der Geräte beschreibt, können wir die neuen Modelle für kleine und mittlere Unternehmen genauer betrachten. Wie bereits erwähnt, bietet Check Point einen gesamten Bereich an — Small and Medium Enterprise (Modelle 3200, 3100, 1490, 1470, 1450, 1430, 1200R). Diese Geräte können als Upgrade der alten Serie aus dem Jahr 2012 (2200, 1180, 1140, 1120) betrachtet werden. Um die wesentlichen Unterschiede zu verstehen, betrachten wir das Bild unten:

(Preise sind in GPL angegeben, zzgl. MwSt. und technischer Unterstützung)

Die Leistung (SPU) der 2016er Serie hat sich erheblich verbessert, während die Preise etwa auf dem gleichen Niveau geblieben sind (außer bei Modell 3200). In der neuen Reihe ist auch ein Modell hinzugekommen, 3100, jedoch gibt es dafür bisher keine Genehmigung, und die Einfuhr nach Russland ist verboten! Denken Sie daran!

Wenn man die Kosten pro SPU betrachtet, ist das Modell 1450 das am besten ausgewogene. Unten werden wir die neuen Serien von Check Point näher betrachten.

Implementierungsschemata für SMB-Geräte

Wie aus der Abbildung hervorgeht, gibt es für SMB-Geräte zwei Hauptimplementierungsszenarien:

Im Modus des Hauptgateways. In diesem Fall wird Check Point als Perimetergerät installiert und lokal verwaltet.
Gateway für Filialen. In diesem Fall wird das Filialgerät zentral (über den Management-Server) aus der Hauptzentrale gesteuert.

Für die Serien 3000 und 1400 gibt es einige Besonderheiten in jedem der Modi. Wir werden diese unten betrachten.

SMB Serie 3000

Aktuell gibt es zwei Modelle - 3200 und 3100. Wie bereits erwähnt, kann der 3100 vorerst nicht ins Land eingeführt werden. Was den 3200 betrifft, so ist er eine hervorragende Alternative zur alten Serie 2200. An Bord des Geräts läuft eine vollständige Version von Gaia (sowohl R77.30 als auch R80.10). Wenn das Gerät als Hauptgateway in einem kleinen Unternehmen eingesetzt wird, kann man mit folgender Leistung rechnen:

Internetanbindung — 50 Mbit;
Gesamte Bandbreite — 300 Mbit;
Anzahl der Benutzer — 200.

Wie Sie sehen, beträgt die Auslastung des Geräts in diesem Fall 47%, und dies bei lokalem Management, d.h. Standalone Konfiguration (mehr zu Standalone und Distributed hier). Aus persönlicher Erfahrung kann ich sagen, dass bei lokalem Management eine Auslastung von über 50% nicht empfohlen wird, da es zu Management-Problemen (z.B. Verzögerungen) kommen kann.
Sollte das Gerät jedoch als Zweigstelle betrachtet werden (d.h. mit separatem zentralisiertem Management), werden die Leistungswerte deutlich höher sein. Dann kann man bereits in die gelbe Zone beim Sizing eintreten (d.h. mit einer Auslastung von 50% bis 70%). Das Datenblatt des Geräts kann eingesehen werden: hier.

SMB Serie 1400

Diese Serie umfasst mehrere Geräte: 1490, 1470, 1450, 1430 (logische Ersatzgeräte für die veralteten 1120, 1140 und 1180).

Obwohl es sich um die Einstiegsm Modelle von Check Point handelt, verfügen sie über alle erforderlichen Funktionen:

SMB-Geräte können in einem HA-Cluster (Aktiv/Standby) zusammengeschaltet werden;
praktisch alle Software-Blades sind verfügbar (wie auf den „großen“ Geräten);
Sie können sowohl lokal als auch zentral verwaltet werden (mit einem traditionellen Management-Server);
Es gibt Varianten mit WiFi, ADSL und PoE;
3G-Modems können angeschlossen werden;
Es sind Montagesets für die Rack-Montage erhältlich.

Es gibt jedoch einige Einschränkungen/Eigenheiten, die zu beachten sind:

Auf dem Gerät läuft eine eingeschränkte Version von Gaia, und Gaia 77.20 Embedded. Diese Einschränkung ist auf die Architektur der Geräte zurückzuführen (es werden ARM-Prozessoren verwendet). Bei lokaler Verwaltung (Standalone) können Sie die gewohnte SmartConsole nicht verwenden. Stattdessen gibt es eine Weboberfläche. Dies können Sie in diesem Video ознакомиться:

Im Beispiel wird die 700er-Serie behandelt, die jedoch grundsätzlich nicht in Russland verkauft wird.
Die Funktion Threat Extraction funktioniert nicht. Nur Threat Emulation. Was das genau ist, können Sie sich ansehen, hier
Ein Cluster kann nicht im Load Sharing-Modus eingerichtet werden. Das heißt, es ist nicht möglich, zwei „günstige“ Geräte zu kaufen und die Last zwischen ihnen im Cluster zu verteilen.
Bei lokalem Management gibt es erhebliche Einschränkungen in Bezug auf HTTPS-Inspektionen.
Das Scannen von Archiven durch die Antivirensoftware funktioniert nicht.
Die DLP-Funktion fehlt.

Die letzten Punkte sind wohl die wichtigsten Einschränkungen, über die oft geschwiegen wird. Für eine umfassende HTTPS-Inspektion müssen Sie einen traditionellen dedizierten Management-Server verwenden. In diesem Fall verwalten Sie das Gerät wie ein Gateway mit einer vollständigen (nahezu vollständigen) Version von Gaia.

Weitere Einschränkungen von Gaia Embedded können Sie einsehen hier. Bitte machen Sie sich vor der Kaufentscheidung damit vertraut.

Nehmen wir als Beispiel ein kleines Büro mit den folgenden Parametern:

Internetanbindung — 50 Mbit;
Gesamte Bandbreite — 200 Mbit;
Anzahl der Nutzer — 200;
Lokales Management (Web-Oberfläche).

Wie aus der Dimensionierung ersichtlich ist, bewältigt das Modell 1490 diese Aufgabe mit einer Auslastung von 46 % (ohne die grüne Zone zu überschreiten). Bei dediziertem Management kann auch das Modell 1470 diese Aufgabe bewältigen.
Das Datenblatt für Geräte der Serie 1400 kann eingesehen werden hier.

Modell 1200R

Dieses Modell kann nicht wirklich als SMB bezeichnet werden. Es handelt sich bereits um eine industrietaugliche Lösung, die möglicherweise einen eigenen Artikel verdient. Im Moment werden wir dieses Modell nicht im Detail betrachten.

Webinar

Weitere Informationen zu SMB-Geräten finden Sie in unserem vorherigen Webinar:

Fazit

Meiner Meinung nach sind die neuen SMB-Modelle recht gelungen. Die Leistung der Geräte wurde erheblich gesteigert, während der Preis ähnlich geblieben ist. Ob die Geräte teuer oder günstig sind, darüber möchte ich nicht spekulieren, da dies für verschiedene Unternehmen stark variieren kann.

Modell 3200 Ich würde kleinen Unternehmen empfehlen, die an maximalem Schutz zu einem angemessenen Preis interessiert sind. Außerdem ist dies eine gute Wahl für diejenigen, die bereits mit der Vollversion von Gaia vertraut sind. Hier ist auch die Version R80.10 verfügbar. Sobald die Benachrichtigung über 3100 eingeht, wird der Preis noch etwas sinken. Für Filialen ist dies die ideale Lösung.

Geräte der Serie 1400 sind eine gute Kompromisslösung und bieten das beste Preis-Leistungs-Verhältnis (insbesondere im Hinblick auf den Preis pro 1 SPU). Diese Geräte eignen sich hervorragend für Standorte mit einem begrenzten Budget. Mit zentralisiertem Management können die Geräte wie herkömmliche Gateways mit der vollwertigen Version von Gaia verwaltet werden. Aber ich möchte nochmals darauf hinweisen, dass man nicht vergessen sollte, Einschränkungen, die unbedingt bekannt sein sollten.

P.S. Ich möchte Alexey Matveev (Firma RRC) für seine Unterstützung bei der Vorbereitung des Materials danken.

Quelle: habr.com