פתרונות SMB של צ'ק פוינט. דגמים חדשים לחברות וסניפים קטנים

יחסית לאחרונה (בשנת 2016), החברה צק פוינט הציגה את המכשירים החדשים שלה (הן שערים והן שרתי בקרה). ההבדל העיקרי מהשורה הקודמת הוא פרודוקטיביות מוגברת משמעותית.

במאמר זה נתמקד אך ורק בדגמים הנמוכים יותר. נתאר את היתרונות של מכשירים חדשים ומלכודות אפשריות שלא תמיד דנים בהן. נחלוק גם רשמים אישיים מהשימוש בהם.

מערך צ'ק פוינט

כפי שניתן לראות מהתמונה, צ'ק פוינט מחלקת את המכשירים שלה לשלוש קטגוריות גדולות:

• מרכז ארגוני ונתונים ברמה גבוהה (דגמים 23800, 23500, 15600, 15400)
• מִפְעָל (דגמים 5900, 5800, 5600, 5400, 5200, 5100)
• ארגונים קטנים ובינוניים (דגמים 3200, 3100, 1490, 1470, 1450, 1430, 1200R)

במקרה זה, אחד המאפיינים העיקריים הוא מה שנקרא SPU - יחידות כוח אבטחה. זהו המדד הקנייני של צ'ק פוינט המאפיין את הביצועים בפועל של מכשיר. כדוגמה, הבה נשווה את השיטה המסורתית למדידת ביצועי חומת אש (Mbps) עם הטכניקה ה"חדשה" של צ'ק פוינט (SPU).

טכניקה מסורתית - תפוקת חומת אש

• המדידות מתבצעות בתנאי מעבדה על תנועה "מלאכותית".
• הביצועים של פונקציית Firewall בלבד מוערכים, ללא מודולים נוספים כגון IPS, Application Control וכו'.
• הבדיקה מתבצעת בדרך כלל עם כלל חומת אש אחד.

מתודולוגיית צ'ק פוינט - כוח אבטחה

• מדידות על תעבורת משתמשים אמיתית.
• הביצועים של כל הפונקציונליות (חומת אש, IPS, בקרת יישומים, סינון URL וכו') מוערכים.
• נבדק על פי פוליסה סטנדרטית הכוללת כללים רבים.

כלי גודל מכשירי Check Point

לפיכך, כאשר בוחרים דגם מתאים של צ'ק פוינט, עדיף להסתמך על הפרמטר יחידת כוח אבטחה. זה מצוין בכל גליון נתונים עבור המכשיר. לא תוכל לחשב את SPU המתאים לרשת שלך בעצמך. זה יכול להיעשות רק בעזרת שותף שיש לו גישה לכלי כלי גודל מכשירי Check Point:

כדי לבחור את הפתרון האופטימלי, עליך לקחת בחשבון פרמטרים כגון:

• רוחב ערוץ האינטרנט;
• התפוקה הכוללת של השער (עשויה להיות שונה מערוץ האינטרנט אם, למשל, פילחת את הרשת המקומית באמצעות צ'ק פוינט);
• מספר המשתמשים ברשת;
• פונקציות נדרשות (חומת אש, אנטי-וירוס, אנטי-בוט, בקרת יישומים, סינון כתובות URL, IPS, אמולציית איומים וכו').

יש גם הגדרות עדינות יותר שמתארות לאיזו תנועה הלהבים האלה יוחלו:

לאחר ציון כל המאפיינים, תוכל לקבל דוח המתאר מכשירים מתאימים:

כאן תוכלו לראות את ה-SPU הנדרש (72 במקרה שלנו) ואת המומלץ (144). וגם הדגמים עצמם עם תיאור העומס וה"רזרבה" שלהם לתנועה ולהבים. בבחירת דגם, תמיד מומלץ לקחת מכשיר מהאזור הירוק (כלומר להעמיס עד 50 אחוז):

זה מבטיח שלא יהיו בעיות במהלך עומסי שיא או עליות מתוכננות ברוחב ערוץ האינטרנט. בעת בחירת מכשיר, בקש תמיד מהשותף שלך לספק דוח דומה. ניתן להוריד את הדוגמה כאן.

ישן מול חדש

לאחר שהבנו את הפרמטר העיקרי המאפיין את ביצועי המכשירים, נוכל להסתכל מקרוב על דגמים חדשים לעסקים קטנים ובינוניים. כאמור לעיל, לצ'ק פוינט יש קטע שלם - ארגונים קטנים ובינוניים (דגמים 3200, 3100, 1490, 1470, 1450, 1430, 1200R). ניתן לקרוא למכשירים אלה עדכון של סדרת 2012 הישנה (2200, 1180, 1140, 1120). כדי להבין את ההבדלים העיקריים, שקול את התמונה שלהלן:

(המחירים הם ב-GPL, לא כולל מע"מ ותמיכה טכנית)

כפי שניתן לראות, סדרת 2016 הגדילה משמעותית את הביצועים (SPU), והמחירים נשארו בערך באותה רמה (למעט דגם ה-3200). הקו החדש כולל גם דגם 3100, אבל עדיין לא אין הודעה והיבוא לרוסיה אסור! תזכור את זה!

אם נחשב מחדש את העלות של SPU אחד, אז מודל 1450 הוא המאוזן ביותר. להלן נסקור מקרוב את סדרת צ'ק פוינט החדשה.

סכמות להטמעת התקני SMB

כפי שניתן לראות מהאיור, ישנם שני תרחישי יישום עיקריים עבור התקני SMB:

1. במצב שער ברירת מחדל. במקרה זה, צ'ק פוינט מותקן כהתקן היקפי ומנוהל באופן מקומי.
2. שער סניף. במקרה זה, חומרת הסניף מנוהלת באופן מרכזי (באמצעות שרת הניהול) מהמשרד הראשי.

לסדרות 3000 и 1400 יש כמה תכונות בכל מצב. נסתכל עליהם למטה.

סדרת SMB 3000

כרגע יש שתי "חתיכות ברזל" - 3200 и 3100. כאמור, עדיין לא ניתן לייבא את 3100 לארץ. לגבי ה-3200, הוא מהווה תחליף מצוין לסדרת ה-2200 הישנה. המכשיר מריץ גרסה מלאה של גאיה (גם R77.30 וגם R80.10). אם אתה משתמש במכשיר כשער הראשי בעסק קטן, אתה יכול לצפות לביצועים הבאים:

1. ערוץ אינטרנט - 50 מגהביט;
2. רוחב פס כולל - 300 Mbit;
3. מספר משתמשים - 200.

כפי שאתה יכול לראות, עומס המכשיר במקרה זה הוא 47% וזה עם ניהול מקומי, כלומר. עצמאי תצורה (עוד על עצמאי ומפוזר כאן). מניסיון אישי אני יכול לומר שעם ניהול מקומי לא מומלץ לחרוג מהעומס של 50%, כי... ייתכנו בעיות בשליטה (היא תאט).
אם המכשיר נחשב כמכשיר סניף (כלומר עם ניהול מרוכז נפרד), אז האינדיקטורים יהיו גבוהים משמעותית. ואתה כבר יכול להיכנס לאזור הצהוב בגודל (כלומר, עם עומס של 50% עד 70%). אתה יכול להציג את גיליון הנתונים של המכשיר כאן.

סדרת SMB 1400

סדרה זו כוללת מספר מכשירים בו זמנית: 1490, 1470, 1450, 1430 (החלפה לוגית של ה-1120, 1140 ו-1180 המיושנים).

למרות העובדה שמדובר בדגמי צ'ק פוינט הצעירים ביותר, יש להם את כל הפונקציונליות הדרושה:

• ניתן להרכיב התקני SMB לאשכול HA (פעיל/המתנה);
• כמעט כל להבי התוכנה זמינים (כמו בחלקי חומרה "גדולים");
• ניתן לנהל הן מקומי והן מרכזי (באמצעות שרת ניהול מסורתי);
• ישנם שינויים עם WiFi, ADSL ו-PoE;
• אתה יכול לחבר מודמים 3G;
• ערכות לתלייה זמינות.

עם זאת, כדאי להזהיר לגבי כמה מגבלות/תכונות:

• למכשיר יש Gaia פגום על הסיפון, ו Gaia 77.20 Embedded. מגבלה זו נובעת מארכיטקטורת המכשיר (משתמשים במעבדי ARM). במקרה של שליטה מקומית (עצמאי), לא תוכל להשתמש ב-SmartConsole הרגיל. במקום זאת, יש ממשק אינטרנט. אתה יכול לראות את זה בסרטון הזה:
  
  הדוגמה מתייחסת לסדרת 700, אך באופן עקרוני היא לא נמכרת ברוסיה.
• פונקציית חילוץ האיומים אינה פועלת. אמולציית איומים בלבד. אתה יכול לראות מה זה כאן
• אי אפשר להרכיב אשכול במצב Load Sharing. הָהֵן. רמאות על ידי קניית שני חלקי חומרה "זולים" וחלוקת העומס באשכול ביניהם לא תעבוד.
• עם ההנהלה המקומית קיימות הגבלות חמורות לגבי בדיקת HTTPS.
• סריקת ארכיון אנטי וירוס לא עובדת.
• אין פונקציית DLP.

הנקודות האחרונות הן אולי ההגבלות החשובות ביותר שלעתים קרובות שותקות. לבדיקת HTTPS מלאה, תיאלץ להשתמש בשרת ניהול ייעודי מסורתי. במקרה זה, תשלוט במכשיר כשער עם גרסה מלאה (כמעט מלאה) של Gaia.

מגבלות אחרות של Gaia Embedded ניתן למצוא כאן כאן. הקפד לבדוק אותם לפני קבלת החלטת רכישה.

לדוגמה, שקול משרד קטן עם הפרמטרים הבאים:

• ערוץ אינטרנט - 50 מגהביט;
• רוחב פס כולל - 200 Mbit;
• מספר משתמשים - 200;
• ניהול מקומי (ממשק אינטרנט).

כפי שניתן לראות מהגודל, דגם ה-1490 מתמודד בהצלחה עם משימה זו בעומס של 46% (מבלי לצאת מהאזור הירוק). עם ניהול מסור, ה-1470 יתמודד עם המשימה הזו.
ניתן לעיין בגיליון נתונים עבור מכשירים מסדרת 1400 כאן.

דגם 1200R

דגם זה בקושי יכול להיקרא SMB. זה כבר פתרון תעשייתי ואולי ראוי לכתבה נפרדת. כעת לא נשקול את המודל הזה בפירוט.

Webinar

פרטים נוספים על מכשירי SMB ניתן למצוא בסמינר המקוון הקודם שלנו:

ממצאים

לדעתי, דגמי ה-SMB החדשים התגלו כמוצלחים למדי. ביצועי המכשירים הוגדלו משמעותית תוך שמירה על רמת המחירים. אני לא מוכן לדבר על העלות הגבוהה/זול של מכשירים, כי מושגים אלה שונים מאוד עבור חברות שונות.

דגם 3200 אמליץ עליו לחברות קטנות המעוניינות ברמת הגנה מקסימלית במחיר סביר. בנוסף, זו בחירה טובה למי שכבר רגיל לעבוד עם הגרסה המלאה של Gaia. גרסת R80.10 זמינה גם כאן. כשתתקבל הודעה על 3100, תג המחיר ירד עוד קצת. זוהי אפשרות אידיאלית עבור ענפים.

מכשירי סדרה 1400 הם פשרה טובה ויש להם את יחס המחיר/איכות הטוב ביותר (במיוחד מבחינת מחיר ל-1 SPU). מכשירים אלה מתאימים לסניפים בתקציב נמוך. באמצעות ניהול מרכזי, אתה יכול לנהל מכשירים כמו שערים רגילים עם גרסה מלאה של Gaia. אבל, שוב, אל תשכח הגבלות, שבהחלט כדאי שתכירו את עצמכם.

נ.ב. אני רוצה להודות לאלכסיי מטבייב (חברת RRC) לעזרה בהכנת החומר.

מקור: www.habr.com