Check Point SMB lahendused. Uued mudelid väikestele ettevõtetele ja filiaalidele

Ainult hiljuti (2016. aastal) tutvustas ettevõte Check Point oma uusi seadmeid (nii väravaid kui ka juhtimisseerve). Peamine erinevus eelmistest mudelitest on märkimisväärselt suurenenud jõudlus.

Selles artiklis keskendume ainult madalama klassi mudelitele. Kirjeldame uute seadmete eeliseid ja võimalikke probleeme, millest ei räägita alati. Jagame ka oma isiklikke kogemusi nende kasutamisest.

Check Pointi mudelirida

Nagu pildilt näha, jagab Check Point oma seadmeid kolme suurde kategooriasse:

• High End Enterprise and Data Center (mudelid 23800, 23500, 15600, 15400)
• Enterprise (mudelid 5900, 5800, 5600, 5400, 5200, 5100)
• Small and Medium Enterprise (mudelid 3200, 3100, 1490, 1470, 1450, 1430, 1200R)

Samuti on üheks peamiseks omaduseks nn SPU — Security Power Units. See on Check Pointi enda mõõt, mis iseloomustab seadme tegelikku jõudlust. Näiteks võrreldes traditsioonilise meetodi võrguseadmete jõudluse mõõtmiseks (Mbit/s) ja Check Pointi uue meetodiga (SPU).

Traditsiooniline meetod — Firewall Throughput

• Mõõtmised viiakse läbi laboritingimustes “tehis” liikluses.
• Hinnatakse ainult tulemusi tulemüüri funktsioonile, ilma lisamooduliteta nagu IPS, rakenduse juhtimine jne.
• Testimised toimuvad tavaliselt ühe tulemüüri reegli järgi.

Check Pointi meetod — Security Power

• Mõõtmised reaalsetes kasutajate liiklustes.
• Hinnatakse kogu funktsionaalsuse (tulemüür, IPS, rakenduse kontroll, URL-filtreerimine jne) jõudlust.
• Testitakse tüüpiliste poliitikate alusel, mis sisaldavad mitmeid reegleid.

Check Point Appliance Sizing Tool

Seega, sobiva Check Point mudeli valimisel on parem toetuda parameetrile Security Power Unit. See on märgitud igas andmelehe seadmes. Sobiva SPU arvutamine teie võrgus pole võimalik. Seda saab teha ainult partneri kaudu, kellel on juurdepääs tööriistale Check Point Appliance Sizing Tool:

Optimaalsete lahenduste valimisel tuleks arvesse võtta selliseid parameetreid nagu:

• Internetiühenduse laius;
• Värava koguvõimsus (võib erineda internetikanalist, kui olete näiteks segmenteerinud kohaliku võrgu Check Pointi abil);
• Kasutajate arv võrgus;
• Vajalikud funktsioonid (tulemüür, viirusetõrje, anti-bot, rakenduse kontroll, URL-filtreerimine, IPS, ohu emuleerimine jne).

On olemas ka täiendavad seaded, mis kirjeldavad, millisele liiklusele need blade’id rakenduvad:

Kõigi omaduste määramise järel on võimalik saada aruanne sobivate seadmete kirjeldamisega:

Siin on näha nõutav SPU (72 meie juhul) ja soovitatav (144). Samuti näete mudeleid koos nende koormuse ja liikluse ja blade’ide „varu“ kirjeldustega. Mudelit valides on alati soovitatav valida seade rohelisest tsoonist (st koormus kuni 50 protsenti):

See tagab probleemide puudumise tipukoormuse või kavandatud internetiühenduse laiendamise ajal. Seadet valides paluge alati partneril esitada sarnane aruanne. Näidet saab alla laadida. siit.

Vana vs Uus

Pärast peamise parameetri mõistmist, mis iseloomustab seadmete jõudlust, saab põhjalikumalt uurida uusi mudeleid väikese ja keskmise suurusega ettevõtetele. Nagu eespool mainitud, on Check Point’il terve segment — Small and Medium Enterprise (mudeleid 3200, 3100, 1490, 1470, 1450, 1430, 1200R). Neid seadmeid võib nimetada 2012. aasta vana seeria (2200, 1180, 1140, 1120) uuenduseks. Oluliste erinevuste mõistmiseks vaatame allpool olevat pilti:

(hinnad on välja toodud GPL, ilma KM-ta ja tehnilise toeta)

Nagu näha, on 2016. aasta seeria jõudlus (SPU) oluliselt kasvanud, samas kui hinnad on jäänud enam-vähem samaks (välja arvatud mudel 3200). Uues mudelivalikus on lisaks ka mudel 3100, kuid selle kohta pole veel teavitust ega importima lubatud Venemaale! Pidage seda meeles!

Kui arvutada ühe SPU maksumus, siis mudel 1450 on kõige tasakaalustatud. Allpool vaatame uusi seeriaid Check Point lähemalt.

SMB seadmete rakendusskeemid

Nagu jooniselt näha, on SMB seadmete jaoks kaks peamist rakendusskeemi:

1. Peamise lüüsirežiimi korral. Selles olukorras paigaldatakse Check Point piiriseadmeks ja seda hallatakse kohapeal.
2. Filiaali lüüs. Selles olukorras haldab filiaaliseade keskiselt (Management serveri kaudu) peakorterist.

Seeriate puhul 3000 ja 1400 on igas režiimis mõned eripärad. Vaatame need allpool üle.

SMB seeria 3000

Hetkel on olemas kaks seadet — 3200 ja 3100. Nagu juba mainitud, ei saa 3100 hetkel riiki tuua. Mis puudutab 3200, siis see on suurepärane alternatiiv vana 2200 seeriasse. Seadmestik on varustatud täisversiooniga Gaia (nii R77.30 kui ka R80.10). Kui seadet kasutatakse peamise väravana väikeste ettevõtete puhul, võib oodata järgmisi jõudluse näitajaid:

1. Interneti-kanal — 50 Mbit;
2. Koguvõimekus — 300 Mbit;
3. Kasutajate arv — 200.

Kuidas näha, on seadme koormus antud juhul 47% ja see kohaliku halduse tõttu, t.e. Standalone konfiguratsioon (rohkem standalone ja distributed siit). Isikliku kogemuse põhjal soovitan kohaliku halduse korral mitte ületada 50% koormust, kuna võivad tekkida haldusega seotud probleemid (seade hakkab aeglustuma).
Kui seadet vaadata kui filiaali (t.e. eraldi tsentraliseeritud haldusega), siis näitajad on oluliselt kõrgemad. Jõudluse mugavustsoonis (t.e. koormuse vahel 50% kuni 70%) võib samuti liikuda. Seadmestiku andmelehte saab vaadata siit.

SMB seeria 1400

See seeria sisaldab mitut seadet: 1490, 1470, 1450, 1430 (loogiline asendus vanadele 1120, 1140 ja 1180 mudelitele).

Kuigi need on Check Point'i kõige nooremad mudelid, omavad nad kõiki vajalikke funktsioone:

• SMB seadmed saab kombineerida HA klastri (aktiivne/staadium);
• peaaegu kõik programmist abiplokid on saadaval (nagu "suurtel" seadmetel);
• saab hallata nii kohalikult kui ka tsentraalselt (traditsioonilise Management Serveri kaudu);
• olemas on variandid WiFi, ADSL ja PoE-ga;
• võimalik on ühendada 3G modemid;
• olemas on komplektid rack'i paigaldamiseks.

Siiski tasub hoiatada mõningate piirangute/eripärade üle:

• Seadmestikus on tagasihoidlik Gaia, ja Gaia 77.20 Embedded. See piirang on seotud seadmete arhitektuuriga (kasutatakse ARM protsessoreid). Kohaliku halduse (standalone) korral ei saa te kasutada tuttavat SmartConsole'i. Selle asemel on olemas veebiliides. Sellega tutvuda saab selles videos:
  
  
  Näites käsitletakse seeriat 700, kuid see ei ole tegelikult Venemaal müügil.
• Threat Extraction funktsioon ei toimi. Ainult Threat Emulation. Selle sisu kohta saab vaadata siit
• Klastrit ei saa seadistada Load Sharing režiimi. See tähendab, et ei saa petta, ostes kaks "odavat" seadet ja jaotades koormuse nende vahel klastris — see ei õnnestu.
• Kohalikul haldamisel on HTTPS-i kontrollimise osas tõsised piirangud.
• Viirusetõrje arhiivide skannimine ei toimi.
• DLP funktsiooni ei ole.

Viimased punktid on ilmselt kõige olulisemad piirangud, millest sageli vaikitakse. Täielikuks HTTPS-i kontrollimiseks peate kasutama traditsioonilist pühendatud haldusserverit. Sellisel juhul hallatakse seadet nagu väravat, millel on täielik (peaaegu täielik) Gaia versioon.

Muud piirangud, mis on seotud Gaia Embedded'iga, on saadaval siit. Enne ostuotsuse tegemist tutvuge kindlasti nendega.

Võtame näiteks väikese kontori järgmiste parameetritega:

• Interneti-kanal — 50 Mbit;
• Kokkuvõime laius — 200 Mbit;
• Kasutajate arv — 200;
• Kohalik haldus (veebi liides).

Nagu näha, suudab mudel 1490 selle ülesandega hakkama saada 46% koormusega (ilma rohelisest tsoonist välja minemata). Pühendatud halduse korral sai sellega hakkama ka 1470.
Seeria 1400 seadmete andmelehti saab vaadata siit.

Mudeli 1200R

Seda mudelit on raske nimetada SMB-ks. See on juba tööstuslik lahendus ja võib-olla väärib see eraldi artiklit. Praegu ei süvene me selle mudeli üksikasjadesse.

Veebiseminar

SMB seadmete kohta saab rohkem teavet vaadata meie varasemast veebiseminarist:

Järeldused

Minu arvates on uued SMB mudelid üsna edukad. Seadmete jõudlus on oluliselt tõusnud, säilitades samas hinnataseme. Seoses seadmete kalliduse/odavuse üle arutlemisega ei hakka ma kohe nõustuma, kuna erinevatel ettevõtetel on need mõisted väga erinevad.

Mudel 3200 Soovitan seda väikestele ettevõtetele, kes otsivad maksimaalset kaitset mõistliku hinnaga. Lisaks on see nutikas valik neile, kes on juba harjunud töötama täieliku Gaia versiooniga. Saadaval on ka R80.10 versioon. Kui notifikatsioon 3100 peale tuleb, siis hind langeb veel veidi. Filiaalide jaoks on see ideaalne variant.

Seeria seadmed 1400 on head, täidavad need hästi tasakaalu ning pakuvad parimat hinna/kvaliteedi suhet (eriti 1 SPU hinna osas). Need seadmed sobivad suurepäraselt filiaalidele, kus on piiratud eelarve. Keskhalduse kasutamine võimaldab seadmeid hallata nagu tavalisi väravaid, kasutades täisversiooni Gaia. Kuid, nagu öeldud, ärge unustage piiranguid, millega tuleks kindlasti tutvuda.

P.S. Soovin tänada Aleksei Matvejevit (ettevõte RRC) abi eest materjali ettevalmistamisel.

Allikas: habr.com