Gần đây (năm 2016), công ty đã giới thiệu các thiết bị mới của mình (cả cổng và máy chủ điều khiển). Sự khác biệt chính so với dòng trước đó là năng suất tăng lên đáng kể.
Trong bài viết này, chúng tôi sẽ tập trung hoàn toàn vào các mô hình thấp hơn. Chúng tôi sẽ mô tả những ưu điểm của thiết bị mới và những cạm bẫy có thể xảy ra mà không phải lúc nào cũng được thảo luận. Chúng tôi cũng sẽ chia sẻ ấn tượng cá nhân về việc sử dụng chúng.
Đội hình điểm kiểm tra
Như bạn có thể thấy trong hình, Check Point chia các thiết bị của mình thành ba loại lớn:
- Trung tâm dữ liệu và doanh nghiệp cao cấp (mô hình , )
- Doanh nghiệp (mô hình )
- Doanh nghiệp vừa và nhỏ (mô hình , , , , , , 1200R)
Trong trường hợp này, một trong những đặc điểm chính là cái gọi là SPU - Bộ nguồn an ninh. Đây là thước đo độc quyền của Check Point nhằm mô tả hiệu suất thực tế của thiết bị. Ví dụ: hãy so sánh phương pháp đo hiệu suất Tường lửa (Mbps) truyền thống với kỹ thuật “mới” từ Check Point (SPU).
Kỹ thuật truyền thống - Thông lượng tường lửa
- Các phép đo được thực hiện trong điều kiện phòng thí nghiệm về giao thông “nhân tạo”.
- Hiệu suất của chỉ chức năng Tường lửa được đánh giá mà không có các mô-đun bổ sung như IPS, Kiểm soát ứng dụng, v.v.
- Việc kiểm tra thường được thực hiện với một quy tắc Tường lửa.
Phương pháp điểm kiểm tra - Sức mạnh bảo mật
- Đo lường lưu lượng người dùng thực.
- Hiệu suất của tất cả chức năng (Tường lửa, IPS, Kiểm soát ứng dụng, lọc URL, v.v.) được đánh giá.
- Đã thử nghiệm trên một chính sách tiêu chuẩn bao gồm nhiều quy tắc.
Công cụ định cỡ thiết bị điểm kiểm tra
Vì vậy, khi lựa chọn mô hình Check Point phù hợp, tốt hơn hết nên dựa vào tham số Đơn vị năng lượng an ninh. Nó được chỉ định trong bất kỳ bảng dữ liệu nào cho thiết bị. Bạn sẽ không thể tự mình tính toán SPU thích hợp cho mạng của mình. Điều này chỉ có thể được thực hiện với sự trợ giúp của đối tác có quyền truy cập vào công cụ Công cụ định cỡ thiết bị điểm kiểm tra:
Để chọn giải pháp tối ưu, bạn cần tính đến các tham số như:
- Độ rộng kênh Internet;
- Tổng thông lượng của cổng (có thể khác với kênh Internet, ví dụ: nếu bạn phân đoạn mạng cục bộ bằng Check Point);
- Số lượng người dùng trên mạng;
- Các chức năng bắt buộc (Tường lửa, Chống vi-rút, Chống Bot, Kiểm soát ứng dụng, Lọc URL, IPS, Mô phỏng mối đe dọa, v.v.).
Ngoài ra còn có các cài đặt tinh tế hơn mô tả lưu lượng truy cập mà các lưỡi này sẽ được áp dụng cho:
Sau khi chỉ định tất cả các đặc điểm, bạn có thể nhận được báo cáo mô tả các thiết bị phù hợp:
Tại đây bạn có thể thấy SPU được yêu cầu (72 trong trường hợp của chúng tôi) và SPU được đề xuất (144). Và bản thân các mô hình cũng có mô tả về tải trọng của chúng và “dự trữ” cho giao thông và cánh quạt. Khi chọn kiểu máy, bạn nên lấy thiết bị từ vùng màu xanh lá cây (tức là tải tối đa 50 phần trăm):
Điều này đảm bảo rằng không có vấn đề gì trong thời gian tải cao điểm hoặc tăng độ rộng kênh Internet theo kế hoạch. Khi chọn thiết bị, hãy luôn yêu cầu đối tác của bạn cung cấp báo cáo tương tự. Ví dụ có thể được tải xuống .
Cũ và mới
Khi hiểu được thông số chính đặc trưng cho hiệu suất của thiết bị, chúng ta có thể xem xét kỹ hơn các mẫu mới dành cho doanh nghiệp vừa và nhỏ. Như đã đề cập ở trên, Check Point có toàn bộ phân khúc - Doanh nghiệp vừa và nhỏ (model 3200, 3100, 1490, 1470, 1450, 1430, 1200R). Những thiết bị này có thể gọi là bản cập nhật của dòng 2012 cũ (2200, 1180, 1140, 1120). Để hiểu những khác biệt chính, hãy xem xét hình ảnh dưới đây:
(giá tính theo GPL, chưa bao gồm VAT và hỗ trợ kỹ thuật)
Như bạn có thể thấy, dòng 2016 có hiệu suất (SPU) tăng đáng kể và giá vẫn ở mức xấp xỉ nhau (ngoại trừ mẫu 3200). Dòng mới cũng bao gồm một mô hình 3100, nhưng chưa không có thông báo và việc nhập khẩu vào Nga bị cấm! Nhớ điều này!
Nếu tính lại giá thành của một SPU thì model 1450 là cân bằng nhất. Dưới đây chúng ta sẽ xem xét kỹ hơn về loạt Check Point mới.
Đề án triển khai thiết bị SMB
Như có thể thấy từ hình, có hai kịch bản triển khai chính cho thiết bị SMB:
- Ở chế độ cổng mặc định. Trong trường hợp này, Check Point được cài đặt như một thiết bị ngoại vi và được quản lý cục bộ.
- Cổng chi nhánh. Trong trường hợp này, phần cứng của chi nhánh được quản lý tập trung (sử dụng máy chủ Quản lý) từ trụ sở chính.
Đối với loạt и Có một số tính năng trong mỗi chế độ. Chúng ta sẽ xem xét chúng dưới đây.
SMB dòng 3000
Hiện tại có hai “mảnh sắt” - 3200 и 3100. Như đã nêu trước đó, 3100 vẫn chưa thể được nhập khẩu vào nước này. Đối với 3200, nó là sự thay thế tuyệt vời cho dòng 2200 cũ. Thiết bị chạy phiên bản đầy đủ của Gaia (cả R77.30 và R80.10). Nếu bạn sử dụng thiết bị làm cổng chính trong một doanh nghiệp nhỏ, bạn có thể mong đợi hiệu suất sau:
- Kênh Internet - 50 Mbit;
- Tổng băng thông - 300 Mbit;
- Số lượng người dùng - 200.
Như bạn có thể thấy, tải thiết bị trong trường hợp này là 47% và đây là do quản lý cục bộ, tức là. Standalone cấu hình (thêm về độc lập và phân phối ). Từ kinh nghiệm cá nhân, tôi có thể nói rằng với ban quản lý địa phương, không nên vượt quá tải 50%, bởi vì... Có thể có vấn đề với việc kiểm soát (nó sẽ chậm lại).
Nếu thiết bị được coi là thiết bị nhánh (tức là có quản lý tập trung riêng biệt) thì các chỉ số sẽ cao hơn đáng kể. Và bạn đã có thể nhập vùng màu vàng về kích thước (tức là với tải từ 50% đến 70%). Bạn có thể xem bảng dữ liệu thiết bị .
SMB dòng 1400
Dòng này bao gồm một số thiết bị cùng một lúc: 1490, 1470, 1450, 1430 (Thay thế hợp lý cho 1120, 1140 và 1180 đã lỗi thời).
Mặc dù đây là những mẫu Check Point trẻ nhất nhưng chúng có tất cả các chức năng cần thiết:
- Các thiết bị SMB có thể được tập hợp thành cụm HA (Hoạt động/Chế độ chờ);
- Hầu hết tất cả các phần mềm đều có sẵn (như trên các phần cứng “lớn”);
- có thể được quản lý cả cục bộ và tập trung (sử dụng Máy chủ quản lý truyền thống);
- có những sửa đổi với WiFi, ADSL và PoE;
- bạn có thể kết nối modem 3G;
- Bộ dụng cụ gắn giá có sẵn.
Tuy nhiên, cần cảnh báo về một số hạn chế/tính năng:
- Thiết bị có Gaia bị lỗi trên bo mạch và Gaia 77.20 được nhúng. Hạn chế này là do kiến trúc thiết bị (sử dụng bộ xử lý ARM). Trong trường hợp điều khiển cục bộ (độc lập), bạn sẽ không thể sử dụng SmartConsole thông thường. Thay vào đó là giao diện web. Bạn có thể thấy nó trong video này:
Ví dụ xem xét dòng 700, nhưng về nguyên tắc nó không được bán ở Nga. - Chức năng trích xuất mối đe dọa không hoạt động. Chỉ mô phỏng mối đe dọa. Bạn có thể thấy nó là gì
- Không thể tập hợp một cụm ở chế độ Chia sẻ tải. Những thứ kia. gian lận bằng cách mua hai phần cứng “rẻ tiền” và phân phối tải trong cụm giữa chúng sẽ không hiệu quả.
- Với sự quản lý cục bộ, có những hạn chế nghiêm trọng liên quan đến việc kiểm tra HTTPS.
- Quét chống vi-rút các kho lưu trữ không hoạt động.
- Không có chức năng DLP.
Điểm cuối cùng có lẽ là những hạn chế quan trọng nhất thường được giữ im lặng. Để kiểm tra HTTPS đầy đủ, bạn sẽ buộc phải sử dụng máy chủ Quản lý chuyên dụng truyền thống. Trong trường hợp này, bạn sẽ điều khiển thiết bị như một cổng có phiên bản Gaia đầy đủ (gần như đầy đủ).
Các hạn chế khác của Gaia Embedded có thể được tìm thấy tại đây . Hãy chắc chắn kiểm tra chúng trước khi đưa ra quyết định mua hàng.
Ví dụ, hãy xem xét một văn phòng nhỏ với các thông số sau:
- Kênh Internet - 50 Mbit;
- Tổng băng thông - 200 Mbit;
- Số lượng người dùng - 200;
- Quản lý cục bộ (giao diện Web).
Có thể thấy từ kích thước, mẫu 1490 đã đối phó thành công với nhiệm vụ này với mức tải 46% (không cần rời khỏi vùng màu xanh lá cây). Với sự quản lý tận tâm, 1470 sẽ giải quyết được nhiệm vụ này.
Có thể xem bảng dữ liệu cho các thiết bị dòng 1400 .
Mẫu 1200R
Mô hình này khó có thể được gọi là SMB. Đây đã là một giải pháp công nghiệp và có lẽ xứng đáng có một bài viết riêng. Bây giờ chúng ta sẽ không xem xét mô hình này một cách chi tiết.
Webinar
Bạn có thể tìm thêm thông tin chi tiết về thiết bị SMB trong hội thảo trực tuyến trước đây của chúng tôi:
Những phát hiện
Theo tôi, các mô hình SMB mới tỏ ra khá thành công. Hiệu suất của thiết bị đã được tăng lên đáng kể trong khi vẫn duy trì mức giá. Tôi chưa sẵn sàng nói về giá thành cao/rẻ của thiết bị, bởi vì Những khái niệm này rất khác nhau đối với các công ty khác nhau.
kiểu mẫu Tôi muốn giới thiệu nó cho các công ty nhỏ quan tâm đến mức độ bảo vệ tối đa với mức giá hợp lý. Ngoài ra, đây là một lựa chọn tốt cho những người đã quen làm việc với phiên bản đầy đủ của Gaia. Phiên bản R80.10 cũng có sẵn ở đây. Khi nhận được thông báo về 3100, giá sẽ giảm thêm một chút. Đây là một lựa chọn lý tưởng cho các chi nhánh.
Dòng thiết bị là một sự thỏa hiệp tốt và có tỷ lệ giá/chất lượng tốt nhất (đặc biệt là về giá trên 1 SPU). Những thiết bị này rất phù hợp cho các chi nhánh có ngân sách hạn hẹp. Sử dụng quản lý tập trung, bạn có thể quản lý các thiết bị như các cổng thông thường với phiên bản Gaia đầy đủ. Nhưng một lần nữa, đừng quên , mà bạn chắc chắn nên làm quen với.
Tái bút Tôi xin cảm ơn Alexey Matveev () để được giúp đỡ trong việc chuẩn bị tài liệu.
Nguồn: www.habr.com