Recentemente (nel 2016), l'azienda ha presentato i suoi nuovi dispositivi (sia gateway che server di gestione). La principale differenza rispetto alla precedente linea è un notevole aumento delle prestazioni.
In questo articolo ci concentreremo esclusivamente sui modelli più piccoli. Descriveremo i vantaggi dei nuovi dispositivi e possibili insidie di cui non sempre si parla. Condivideremo anche le nostre impressioni personali sul loro utilizzo.
Gamma di modelli Check Point
Come si può vedere dall'immagine, Check Point suddivide i propri dispositivi in tre grandi categorie:
- High End Enterprise and Data Center (modelli , )
- Enterprise (modelli )
- Small and Medium Enterprise (modelli , , , , , , 1200R)
Una delle principali caratteristiche è il cosiddetto SPU — Security Power Units. Questa è una misura proprietaria di Check Point che caratterizza le prestazioni reali del dispositivo. Per esempio, confrontiamo il metodo tradizionale di misurazione delle prestazioni dei firewall (Mbps) con il “nuovo” metodo di Check Point (SPU).
Metodo tradizionale — Firewall Throughput
- Le misurazioni avvengono in condizioni di laboratorio su traffico “artificiale.”
- Si valuta solo le prestazioni della funzione firewall, senza moduli aggiuntivi come IPS, Application Control, ecc.
- I test, di solito, vengono condotti con una sola regola del firewall.
Metodo Check Point — Security Power
- Le misurazioni sono su traffico reale degli utenti.
- Si valuta l'efficienza di tutte le funzionalità (Firewall, IPS, Application Control, filtraggio URL, ecc.).
- Si testa su una politica tipica che include molte regole.
Check Point Appliance Sizing Tool
Quando si sceglie un modello appropriato di Check Point, è meglio fare affidamento sul parametro Security Power Unit. Questo è indicato in ogni datasheet del dispositivo. Non è possibile calcolare autonomamente un SPU adatto per la tua rete. È possibile farlo solo con l'aiuto di un partner che dispone dello strumento Check Point Appliance Sizing Tool:
Per selezionare la soluzione ottimale è necessario considerare parametri come:
- La larghezza della connessione Internet;
- La capacità totale del gateway (può differire dalla connessione Internet, se ad esempio hai segmentato la rete locale con Check Point);
- Il numero di utenti nella rete;
- Funzionalità richieste (Firewall, Anti-Virus, Anti-Bot, Application Control, Filtraggio URL, IPS, Threat Emulation, ecc.).
Ci sono anche impostazioni più sottili che descrivono a quale traffico verranno applicati questi blade:
Dopo aver specificato tutte le caratteristiche, si può ottenere un rapporto con la descrizione dei dispositivi appropriati:
Qui si può anche vedere il SPU richiesto (72 nel nostro caso) e quello raccomandato (144). E anche i modelli stessi con la descrizione del loro carico e del “margine” per traffico e blade. Quando si sceglie un modello, è sempre consigliabile scegliere un dispositivo nella zona verde (cioè con un carico fino al 50%):
Ciò garantisce l'assenza di problemi in caso di carico massimo o aumento pianificato della larghezza della connessione Internet. Quando scegli un dispositivo, chiedi sempre al partner di fornire un rapporto simile. Un esempio può essere scaricato .
Vecchio vs Nuovo
Una volta compreso il principale parametro che caratterizza le prestazioni dei dispositivi, si possono esaminare più dettagliatamente i nuovi modelli per piccole e medie imprese. Come accennato in precedenza, Check Point ha un'intera gamma — Small and Medium Enterprise (modelli 3200, 3100, 1490, 1470, 1450, 1430, 1200R). Questi dispositivi possono essere considerati un aggiornamento della vecchia serie del 2012 (2200, 1180, 1140, 1120). Per comprendere le differenze chiave, consideriamo l'immagine qui sotto:
(i prezzi sono indicati in GPL, senza IVA e supporto tecnico)
Come si può notare, nella serie del 2016 le prestazioni (SPU) sono aumentate significativamente, mentre i prezzi sono rimasti più o meno agli stessi livelli (eccetto il modello 3200). Nella nuova gamma è stato introdotto anche un modello 3100, ma per questo al momento non ci sono notifiche e l'importazione in Russia è vietata! Ricorda questo!
Se si calcola il costo di uno SPU, il modello 1450 è il più equilibrato. Di seguito esamineremo più dettagliatamente le nuove serie Check Point.
Schemi di implementazione per dispositivi SMB
Come si può vedere dall'illustrazione, ci sono due principali scenari di implementazione per i dispositivi SMB:
- In modalità gateway principale. In questo caso, Check Point viene installato come dispositivo perimetrale e gestito localmente.
- Gateway per filiali. In questo caso, il “hardware” della filiale viene gestito centralmente (tramite il server di gestione) dall'ufficio centrale.
Per le serie e ci sono alcune peculiarità in ciascuna delle modalità. Le esamineremo di seguito.
Serie SMB 3000
Al momento ci sono due “hardware” — 3200 e 3100. Come accennato in precedenza, il 3100 non può ancora essere importato nel paese. Per quanto riguarda il 3200, è un'ottima sostituzione della vecchia serie 2200. A bordo del dispositivo funziona una versione completa di Gaia (sia R77.30 che R80.10). Nel caso di utilizzo del dispositivo come gateway principale in una piccola impresa, ci si può aspettare la seguente prestazione:
- Canale Internet — 50 Mbit;
- Larghezza di banda totale — 300 Mbit;
- Numero di utenti — 200.
Come puoi vedere, il carico del dispositivo in questo caso è del 47%, e questo in gestione locale, cioè, Standalone configurazione (maggiori informazioni su standalone e distributed ). Per esperienza personale, consiglio di non superare un carico del 50% in gestione locale, poiché potrebbero sorgere problemi di gestione (si potrebbe rallentare).
Se consideriamo il dispositivo come filiale (cioè con gestione centralizzata separata), i valori saranno significativamente superiori. Si può già entrare nella zona gialla nel sizing (cioè, con un carico tra il 50% e il 70%). È possibile consultare il datasheet del dispositivo .
SMB serie 1400
Questa serie include diversi dispositivi: 1490, 1470, 1450, 1430 (sostituzione logica dei modelli obsoleti 1120, 1140 e 1180).
Nonostante siano i modelli più piccoli di Check Point, dispongono di tutte le funzionalità necessarie:
- I dispositivi SMB possono essere configurati in un cluster HA (Active/Standby);
- sono disponibili praticamente tutti i blade software (come sui dispositivi "grandi");
- è possibile gestirli sia localmente che centralmente (tramite il tradizionale Management Server);
- sono disponibili versioni con WiFi, ADSL e PoE;
- è possibile collegare modem 3G;
- ci sono kit per il montaggio in rack.
Tuttavia, è opportuno segnalare alcune limitazioni/caratteristiche:
- A bordo del dispositivo non c'è una Gaia completa, ma Gaia 77.20 Embedded. Questa limitazione è dovuta all'architettura dei dispositivi (utilizzano processori ARM). In caso di gestione locale (standalone), non sarà possibile utilizzare la consueta SmartConsole. Al suo posto, è disponibile un'interfaccia web. Puoi scoprire come funziona in questo video:
Nell'esempio viene considerata la serie 700, ma in realtà non è in vendita in Russia. - La funzione Threat Extraction non è disponibile. Solo Threat Emulation. Puoi scoprire cos'è
- Non è possibile configurare un cluster in modalità Load Sharing. Quindi, non puoi ingannare acquistando due dispositivi "economici" e distribuire il carico tra di loro in un cluster — non funzionerà.
- Quando si gestisce localmente ci sono notevoli limitazioni nella parte di ispezione HTTPS.
- Non è possibile la scansione degli archivi tramite antivirus.
- Non c'è la funzione DLP.
Gli ultimi punti sono probabilmente le limitazioni più rilevanti che spesso vengono tralasciate. Per un'ispezione HTTPS completa, si sarà costretti a utilizzare un tradizionale server Management dedicato. In tal caso, si gestirà il dispositivo come un gateway con una versione (quasi) completa di Gaia.
Puoi consultare le altre limitazioni della Gaia Embedded . Assicurati di prenderle in considerazione prima di decidere di acquistare.
Come esempio, consideriamo un piccolo ufficio con i seguenti parametri:
- Canale Internet — 50 Mbit;
- Larghezza di banda totale — 200 Mbit;
- Numero di utenti — 200;
- Gestione locale (interfaccia web).
Come si evince dal sizing, il modello 1490 affronta con successo questo compito con un carico del 46% (senza uscire dalla zona verde). Con gestione dedicata, anche il 1470 sarà in grado di affrontare questa sfida.
Puoi consultare il datasheet dei dispositivi della serie 1400 .
Modello 1200R
Questo modello è difficile da classificare come SMB. Si tratta già di una soluzione in esecuzione industriale e potrebbe meritare un articolo a sé stante. Ora non ci soffermeremo su questo modello.
Webinar
Puoi approfondire sui dispositivi SMB nel nostro precedente webinar:
Conclusioni
A mio avviso, i nuovi modelli SMB sono risultati abbastanza riusciti. È stata significativamente aumentata la performance dei dispositivi mantenendo il livello di prezzo. Non sono pronto a esprimere opinioni sull'alto/ basso costo dei dispositivi, poiché per diverse aziende questi concetti differiscono notevolmente.
Modello Consiglierei a piccole aziende che cercano il massimo livello di protezione a un prezzo ragionevole. Inoltre, è una scelta vantaggiosa per chi è già abituato a lavorare con la versione completa di Gaia. Qui è disponibile anche la versione R80.10. Quando arriverà la notifica sul 3100, il prezzo scenderà ulteriormente. Per le filiali, questa è l'opzione ideale.
I dispositivi della serie sono un buon compromesso e offrono il miglior rapporto prezzo/qualità (soprattutto se calcolato per prezzo per 1 SPU). Questi dispositivi sono perfetti per filiali con budget limitato. Utilizzando la gestione centralizzata, si possono gestire i dispositivi come normali gateway con la versione completa di Gaia. Ma, ripeto, non bisogna dimenticare le , che devono essere assolutamente considerate.
P.S. Vorrei ringraziare Matveev Aleksey () per l'aiuto nella preparazione del materiale.
Fonte: habr.com
