SMB-solvoj Check Point. Novaj modeloj por malgrandaj kompanioj kaj branĉoj

Relative lastatempe (en 2016), la firmao Kontroli Punkton prezentis ĝiajn novajn aparatojn (kaj enirejoj kaj kontrolserviloj). La ŝlosila diferenco de la antaŭa linio estas signife pliigita produktiveco.

En ĉi tiu artikolo ni koncentriĝos ekskluzive al la pli malaltaj modeloj. Ni priskribos la avantaĝojn de novaj aparatoj kaj eblajn kaptilojn, kiuj ne ĉiam estas diskutataj. Ni ankaŭ dividos personajn impresojn pri ilia uzo.

Check Point vicigo

Kiel vi povas vidi de la bildo, Check Point dividas siajn aparatojn en tri grandajn kategoriojn:

• Altnivela Entrepreno kaj Datuma Centro (modeloj 23800, 23500, 15600, 15400)
• Enterprise (modeloj 5900, 5800, 5600, 5400, 5200, 5100)
• Malgranda kaj Meza Entrepreno (modeloj 3200, 3100, 1490, 1470, 1450, 1430, 1200R)

En ĉi tiu kazo, unu el la ĉefaj karakterizaĵoj estas la tn SPU - Sekurecaj Potencaj Unuoj. Ĉi tio estas la propra mezuro de Check Point, kiu karakterizas la realan agadon de aparato. Ekzemple, ni komparu la tradician metodon por mezuri Fajromuro-rendimenton (Mbps) kun la "nova" tekniko de Check Point (SPU).

Tradicia tekniko - Firewall Throughput

• Mezuradoj estas faritaj en laboratoriokondiĉoj pri "artefarita" trafiko.
• La agado de nur la Fajromuro-funkcio estas taksita, sen aldonaj moduloj kiel IPS, Aplika Kontrolo, ktp.
• Testado estas kutime farita kun unu Fajromurregulo.

Check Point Methodology - Sekureca Potenco

• Mezuradoj pri reala uzanttrafiko.
• La agado de ĉiuj funkcioj (Fajromuro, IPS, Aplika Kontrolo, URL-filtrado, ktp.) estas taksita.
• Provita laŭ norma politiko, kiu inkluzivas multajn regulojn.

Kontrola Punkta Aparato Grandeca Ilo

Tiel, elektante taŭgan modelon de Check Point, estas pli bone fidi la parametron Sekureca Potenca Unuo. Ĝi estas indikita en iu ajn datenfolio por la aparato. Vi mem ne povos kalkuli la taŭgan SPU por via reto. Ĉi tio povas esti farita nur kun la helpo de partnero, kiu havas aliron al la ilo Kontrola Punkta Aparato Grandeca Ilo:

Por elekti la optimuman solvon, vi devas konsideri tiajn parametrojn kiel:

• larĝo de interreta kanalo;
• La totala trafluo de la enirejo (povas diferenci de la interreta kanalo se, ekzemple, vi segmentis la lokan reton per Check Point);
• Nombro de uzantoj en la reto;
• Bezonataj funkcioj (Fajromuro, Anti-Virus, Anti-Bot, Aplika Kontrolo, URL-Filtrado, IPS, Minaco-Emulado, ktp.).

Estas ankaŭ pli subtilaj agordoj, kiuj priskribas al kia trafiko ĉi tiuj klingoj estos aplikataj:

Post specifi ĉiujn karakterizaĵojn, vi povas ricevi raporton priskribanta taŭgajn aparatojn:

Ĉi tie vi povas vidi la postulatan SPU (72 en nia kazo) kaj la rekomenditan (144). Kaj ankaŭ la modeloj mem kun priskribo de ilia ŝarĝo kaj "rezervo" por trafiko kaj klingoj. Elektante modelon, oni ĉiam rekomendas preni aparaton el la verda zono (t.e. ŝarĝi ĝis 50 procentoj):

Ĉi tio certigas, ke ne estas problemoj dum pintaj ŝarĝoj aŭ planitaj pliiĝoj en larĝo de interreta kanalo. Elektante aparaton, ĉiam petu vian partneron provizi similan raporton. La ekzemplo estas elŝutebla tie.

Malnova vs Nova

Kompreninte la ĉefan parametron karakterizantan la agadon de aparatoj, ni povas rigardi pli detale novajn modelojn por malgrandaj kaj mezgrandaj entreprenoj. Kiel menciite supre, Check Point havas tutan segmenton - Malgranda kaj Meza Entrepreno (modeloj 3200, 3100, 1490, 1470, 1450, 1430, 1200R). Ĉi tiuj aparatoj povas esti nomitaj ĝisdatigo de la malnova 2012 serio (2200, 1180, 1140, 1120). Por kompreni la ĉefajn diferencojn, konsideru la suban bildon:

(prezoj estas en GPL, krom AVI kaj teknika subteno)

Kiel vi povas vidi, la serio de 2016 signife pliigis rendimenton (SPU), kaj prezoj restis proksimume sur la sama nivelo (krom la modelo 3200). La nova linio ankaŭ inkluzivas modelon 3100, sed ankoraŭ ne ne estas sciigo kaj importo en Rusion estas malpermesita! Memoru ĉi tion!

Se ni rekalkulas la koston de unu SPU, tiam la 1450-modelo estas la plej ekvilibra. Malsupre ni rigardos pli detale la novan serion Check Point.

Skemoj por efektivigado de SMB-aparatoj

Kiel videblas de la figuro, ekzistas du ĉefaj efektivigscenaroj por SMB-aparatoj:

1. En defaŭlta enirejo-reĝimo. En ĉi tiu kazo, Check Point estas instalita kiel perimetra aparato kaj administrita loke.
2. Branĉa enirejo. En ĉi tiu kazo, la branĉa aparataro estas administrita centre (uzante la Administran servilon) de la ĉefsidejo.

Por serioj 3000 и 1400 Estas iuj funkcioj en ĉiu reĝimo. Ni rigardos ilin sube.

SMB-serio 3000

Nuntempe estas du "ferpecoj" - 3200 и 3100. Kiel dirite antaŭe, 3100 ankoraŭ ne povas esti importitaj en la landon. Koncerne la 3200, ĝi estas bonega anstataŭaĵo por la malnova serio 2200. La aparato funkcias plentaŭgan version de Gaia (ambaŭ R77.30 kaj R80.10). Se vi uzas la aparaton kiel la ĉefan enirejon en malgranda komerco, vi povas atendi la jenan agadon:

1. Interreta kanalo - 50 Mbit;
2. Tuta larĝa de bando - 300 Mbit;
3. Nombro da uzantoj - 200.

Kiel vi povas vidi, la aparato-ŝarĝo en ĉi tiu kazo estas 47% kaj ĉi tio estas kun loka administrado, t.e. Standalone agordo (pli pri memstara kaj distribuita tie). Laŭ persona sperto mi povas diri, ke kun loka administrado ne rekomendas superi la ŝarĝon de 50%, ĉar... Povas esti problemoj kun kontrolo (ĝi malrapidiĝos).
Se la aparato estas konsiderata kiel branĉa aparato (t.e. kun aparta centralizita administrado), tiam la indikiloj estos signife pli altaj. Kaj vi jam povas eniri la flavan zonon en grandeco (t.e., kun ŝarĝo de 50% ĝis 70%). Vi povas vidi la datumfolion de la aparato tie.

SMB-serio 1400

Ĉi tiu serio inkluzivas plurajn aparatojn samtempe: 1490, 1470, 1450, 1430 (Logika anstataŭigo de la malmodernaj 1120, 1140 kaj 1180).

Malgraŭ la fakto, ke ĉi tiuj estas la plej junaj modeloj de Check Point, ili havas ĉiujn necesajn funkciojn:

• SMB-aparatoj povas esti kunvenitaj en HA-areton (Aktivaj/Vendeblaj);
• Preskaŭ ĉiuj programaraj klingoj haveblas (kiel ĉe "grandaj" aparataro);
• povas esti administrita kaj loke kaj centre (uzante tradician Administran Servilon);
• estas modifoj kun WiFi, ADSL kaj PoE;
• vi povas konekti 3G-modemojn;
• Rakaj muntaj ilaroj haveblas.

Tamen, indas averti pri iuj limigoj/trajtoj:

• La aparato havas difektan Gaia surŝipe, kaj Gaia 77.20 Enigita. Ĉi tiu limigo ŝuldiĝas al la aparatarkitekturo (ARM-procesoroj estas uzataj). En kazo de loka kontrolo (sendependa), vi ne povos uzi la kutiman SmartConsole. Anstataŭe, ekzistas interreta interfaco. Vi povas vidi ĝin en ĉi tiu video:
  
  La ekzemplo konsideras la 700 serion, sed principe ĝi ne estas vendita en Rusio.
• Funkcio de Minaco Eltiro ne funkcias. Nur Emulado de Minaco. Vi povas vidi kio ĝi estas tie
• Estas neeble kunmeti areton en Ŝarĝkundivida reĝimo. Tiuj. trompi aĉetante du "malkostajn" pecojn de aparataro kaj distribuante la ŝarĝon en la areto inter ili ne funkcios.
• Kun loka administrado estas gravaj limigoj pri HTTPS-inspektado.
• Antivirusa skanado de arkivoj ne funkcias.
• Neniu DLP-funkcio.

La lastaj punktoj estas eble la plej gravaj limigoj, kiujn oni ofte silentas. Por plena HTTPS-inspektado, vi estos devigita uzi tradician dediĉitan Administran servilon. En ĉi tiu kazo, vi kontrolos la aparaton kiel enirejo kun plena (preskaŭ plena) versio de Gaia.

Aliaj limigoj de Gaia Embedded troveblas ĉi tie tie. Nepre kontrolu ilin antaŭ ol fari aĉetan decidon.

Ekzemple, konsideru malgrandan oficejon kun la sekvaj parametroj:

• Interreta kanalo - 50 Mbit;
• Tuta larĝa de bando - 200 Mbit;
• Nombro de uzantoj - 200;
• Loka administrado (Reta interfaco).

Kiel videblas de la grandeco, la modelo 1490 sukcese sukcesas ĉi tiun taskon kun ŝarĝo de 46% (sen eliri de la verda zono). Kun dediĉita administrado, la 1470 traktos ĉi tiun taskon.
Videblas Datumfolio por 1400-seriaj aparatoj tie.

Modelo 1200R

Ĉi tiu modelo apenaŭ povas esti nomita SMB. Ĉi tio jam estas industria solvo kaj eble meritas apartan artikolon. Nun ni ne konsideros ĉi tiun modelon detale.

Retejo

Pliaj detaloj pri SMB-aparatoj troveblas en nia antaŭa retseminario:

trovoj

Laŭ mi, la novaj SMB-modeloj montriĝis sufiĉe sukcesaj. La rendimento de aparatoj estis signife pliigita konservante la preznivelon. Mi ne pretas paroli pri la alta kosto/malmulteco de aparatoj, ĉar Ĉi tiuj konceptoj estas tre malsamaj por malsamaj kompanioj.

La modelo 3200 Mi rekomendus ĝin al malgrandaj kompanioj, kiuj interesiĝas pri la maksimuma protekto por racia prezo. Krome, ĉi tio estas bona elekto por tiuj, kiuj jam kutimas labori kun la plena versio de Gaia. La versio R80.10 ankaŭ haveblas ĉi tie. Kiam sciigo por 3100 estas ricevita, la prezetikedo falos iom pli. Ĉi tio estas ideala elekto por branĉoj.

Serio-aparatoj 1400 estas bona kompromiso kaj havas la plej bonan prezon/kvalitan rilatumon (precipe laŭ prezo por 1 SPU). Ĉi tiuj aparatoj estas bonegaj por branĉoj kun buĝeto. Uzante centralizitan administradon, vi povas administri aparatojn kiel regulajn enirejojn kun plena versio de Gaia. Sed, denove, ne forgesu pri tio restriktoj, kiun vi nepre devus alkutimiĝi.

PS Mi ŝatus danki Alexey Matveev (RRC firmao) por helpo en la preparado de la materialo.

fonto: www.habr.com