Relativno nedavno (leta 2016) je podjetje predstavil svoje nove naprave (tako prehode kot nadzorne strežnike). Ključna razlika od prejšnje linije je bistveno povečana produktivnost.
V tem članku se bomo osredotočili izključno na nižje modele. Opisali bomo prednosti novih naprav in morebitne pasti, o katerih se ne govori vedno. Delili bomo tudi osebne vtise o njihovi uporabi.
Sestava Check Point
Kot lahko vidite na sliki, Check Point deli svoje naprave v tri velike kategorije:
- Vrhunsko podjetje in podatkovno središče (modeli , )
- Podjetje (modeli )
- Mala in srednja podjetja (modeli , , , , , , 1200R)
V tem primeru je ena glavnih značilnosti t.i SPU - varnostne napajalne enote. To je lastniški ukrep družbe Check Point, ki označuje dejansko delovanje naprave. Kot primer primerjajmo tradicionalno metodo merjenja zmogljivosti požarnega zidu (Mbps) z »novo« tehniko podjetja Check Point (SPU).
Tradicionalna tehnika - Prepustnost požarnega zidu
- Meritve se izvajajo v laboratorijskih pogojih na "umetnem" prometu.
- Ocenjuje se delovanje samo funkcije požarnega zidu, brez dodatnih modulov, kot so IPS, nadzor aplikacij itd.
- Testiranje se običajno izvaja z enim pravilom požarnega zidu.
Metodologija Check Point - Varnostna moč
- Meritve na realnem prometu uporabnikov.
- Ocenjeno je delovanje vseh funkcionalnosti (požarni zid, IPS, nadzor aplikacij, filtriranje URL-jev itd.).
- Preizkušeno na standardnem pravilniku, ki vključuje veliko pravil.
Orodje za določanje velikosti naprave Check Point
Zato se je pri izbiri primernega modela Check Point bolje zanašati na parameter Varnostna napajalna enota. Navedeno je v katerem koli podatkovnem listu za napravo. Sami ne boste mogli izračunati ustreznega SPU za vaše omrežje. To je mogoče storiti le s pomočjo partnerja, ki ima dostop do orodja Orodje za določanje velikosti naprave Check Point:
Če želite izbrati optimalno rešitev, morate upoštevati parametre, kot so:
- širina internetnega kanala;
- Skupna prepustnost prehoda (lahko se razlikuje od internetnega kanala, če ste na primer segmentirali lokalno omrežje s pomočjo Check Point);
- Število uporabnikov v omrežju;
- Zahtevane funkcije (požarni zid, protivirusni program, anti-bot, nadzor aplikacij, filtriranje URL-jev, IPS, emulacija groženj itd.).
Obstajajo tudi bolj subtilne nastavitve, ki opisujejo, za kakšen promet bodo uporabljene te rezine:
Po določitvi vseh lastnosti lahko prejmete poročilo z opisom ustreznih naprav:
Tukaj si lahko ogledate zahtevani SPU (v našem primeru 72) in priporočenega (144). In tudi sami modeli z opisom njihove obremenitve in "rezerve" za promet in rezila. Pri izbiri modela je vedno priporočljivo vzeti napravo iz zelene cone (torej obremenitev do 50 odstotkov):
To zagotavlja, da med največjimi obremenitvami ali načrtovanimi povečanji širine internetnega kanala ni težav. Ko izbirate napravo, vedno prosite svojega partnerja, da predloži podobno poročilo. Primer si lahko prenesete .
Staro proti Novemu
Ko smo razumeli glavni parameter, ki označuje zmogljivost naprav, si lahko podrobneje ogledamo nove modele za mala in srednje velika podjetja. Kot že omenjeno, ima Check Point celoten segment - Mala in srednja podjetja (modeli 3200, 3100, 1490, 1470, 1450, 1430, 1200R). Te naprave lahko imenujemo posodobitev stare serije 2012 (2200, 1180, 1140, 1120). Če želite razumeti ključne razlike, si oglejte spodnjo sliko:
(cene so v GPL, brez DDV in tehnične podpore)
Kot lahko vidite, je serija 2016 bistveno povečala zmogljivost (SPU), cene pa so ostale na približno enaki ravni (z izjemo modela 3200). Nova linija vključuje tudi model 3100, vendar še ne ni obvestila in uvoz v Rusijo je prepovedan! Zapomni si to!
Če preračunamo stroške enega SPU, potem je model 1450 najbolj uravnotežen. Spodaj si bomo podrobneje ogledali novo serijo Check Point.
Sheme za implementacijo SMB naprav
Kot je razvidno iz slike, obstajata dva glavna scenarija izvedbe za naprave SMB:
- V načinu privzetega prehoda. V tem primeru je Check Point nameščen kot perimetrska naprava in upravljan lokalno.
- Podružnični prehod. V tem primeru se strojna oprema podružnice upravlja centralno (preko Upravljalnega strežnika) iz centrale.
Za serije и V vsakem načinu je nekaj funkcij. Ogledali si jih bomo spodaj.
SMB serija 3000
Trenutno obstajata dva "kosa železa" - 3200 и 3100. Kot smo že omenili, 3100 še ni mogoče uvoziti v državo. Kar zadeva 3200, je odlična zamenjava za staro serijo 2200. Naprava poganja polnopravno različico Gaia (tako R77.30 kot R80.10). Če napravo uporabljate kot glavni prehod v majhnem podjetju, lahko pričakujete naslednje zmogljivosti:
- Internetni kanal - 50 Mbit;
- Skupna pasovna širina - 300 Mbit;
- Število uporabnikov - 200.
Kot lahko vidite, je obremenitev naprave v tem primeru 47% in to z lokalnim upravljanjem, tj. samostojna konfiguracija (več o samostojnem in porazdeljenem ). Iz osebnih izkušenj lahko povem, da pri lokalnem upravljanju ni priporočljivo presegati obremenitve 50%, ker... Lahko pride do težav z nadzorom (upočasnil se bo).
Če se naprava obravnava kot podružnica (tj. Z ločenim centraliziranim upravljanjem), bodo kazalniki bistveno višji. In že lahko vstopite v rumeno območje pri dimenzioniranju (torej z obremenitvijo od 50% do 70%). Ogledate si lahko podatkovni list naprave .
SMB serija 1400
Ta serija vključuje več naprav hkrati: 1490, 1470, 1450, 1430 (logična zamenjava zastarelih 1120, 1140 in 1180).
Kljub temu, da so to najmlajši modeli Check Point, imajo vse potrebne funkcije:
- Naprave SMB je mogoče sestaviti v gručo HA (aktivno/pripravljeno);
- Na voljo so skoraj vse programske rezine (kot na "velikih" kosih strojne opreme);
- mogoče upravljati tako lokalno kot centralno (z uporabo tradicionalnega strežnika za upravljanje);
- obstajajo modifikacije z WiFi, ADSL in PoE;
- lahko povežete 3G modeme;
- Na voljo so kompleti za montažo v stojalo.
Vendar je vredno opozoriti na nekatere omejitve/funkcije:
- Naprava ima vgrajeno okvarjeno Gaio in Gaia 77.20 Vdelano. Ta omejitev je posledica arhitekture naprave (uporabljajo se procesorji ARM). V primeru lokalnega nadzora (samostojnega) ne boste mogli uporabljati običajne pametne konzole. Namesto tega je na voljo spletni vmesnik. To si lahko ogledate v tem videu:
Primer obravnava serijo 700, vendar se načeloma ne prodaja v Rusiji. - Funkcija ekstrakcije groženj ne deluje. Samo emulacija groženj. Lahko vidite, kaj je
- V načinu porazdelitve obremenitve ni mogoče sestaviti gruče. Tisti. goljufanje z nakupom dveh "poceni" kosov strojne opreme in porazdelitvijo bremena v gruči med njima ne bo delovalo.
- Pri lokalnem upravljanju obstajajo resne omejitve glede pregleda HTTPS.
- Protivirusno skeniranje arhivov ne deluje.
- Brez funkcije DLP.
Zadnje točke so morda najpomembnejše omejitve, ki so pogosto zamolčane. Za popoln pregled HTTPS boste morali uporabiti tradicionalni namenski strežnik za upravljanje. V tem primeru boste napravo upravljali kot prehod s polno (skoraj popolno) različico Gaie.
Druge omejitve Gaia Embedded najdete tukaj . Vsekakor jih preverite, preden se odločite za nakup.
Na primer, razmislite o majhni pisarni z naslednjimi parametri:
- Internetni kanal - 50 Mbit;
- Skupna pasovna širina - 200 Mbit;
- Število uporabnikov - 200;
- Lokalno upravljanje (spletni vmesnik).
Kot je razvidno iz velikosti, se model 1490 uspešno spopada s to nalogo z obremenitvijo 46% (ne da bi zapustil zeleno cono). S predanim upravljanjem bo 1470 kos tej nalogi.
Podatkovni list za naprave serije 1400 si lahko ogledate .
Model 1200R
Temu modelu težko rečemo SMB. To je že industrijska rešitev in si morda zasluži ločen članek. Zdaj tega modela ne bomo podrobno obravnavali.
Webinar
Več podrobnosti o napravah SMB najdete na našem prejšnjem spletnem seminarju:
Ugotovitve
Po mojem mnenju so se novi modeli SMB izkazali za precej uspešne. Zmogljivost naprav je bila znatno povečana ob ohranjanju cenovne ravni. Nisem pripravljen govoriti o visokih stroških/poceni naprav, ker Ti koncepti so zelo različni za različna podjetja.
Model Priporočil bi ga malim podjetjem, ki jih zanima maksimalna stopnja zaščite za primerno ceno. Poleg tega je to dobra izbira za tiste, ki so že navajeni delati s polno različico Gaie. Različica R80.10 je na voljo tudi tukaj. Ko bo prejeto obvestilo za 3100, bo cena še nekoliko padla. To je idealna možnost za podružnice.
Serijske naprave so dober kompromis in imajo najboljše razmerje med ceno in kakovostjo (predvsem glede cene na 1 SPE). Te naprave so odlične za poslovalnice z nizkim proračunom. Z uporabo centraliziranega upravljanja lahko s polno različico Gaie upravljate naprave, kot so običajni prehodi. Ampak, spet, ne pozabite na , s katerim se vsekakor morate seznaniti.
PS Rad bi se zahvalil Alekseju Matvejevu () za pomoč pri pripravi gradiva.
Vir: www.habr.com