Редакция журнала "Информационная безопасность", 16/01/25
Компания UserGate обычно радует рынок своими новинками в апреле, но в этом году решила, что ждать весны слишком долго, и выстрелила новыми продуктами уже в ноябре. Темп инноваций лишний раз напоминает, что улучшение безопасности – это вопрос не календаря, а готовности разработчиков удивлять своих клиентов.
Рынок российских NGFW развивается столь стремительно, что разработчики вынуждены все чаще запускать новые ветки своих продуктов, чтобы учитывать разнообразные специфические запросы. Так и компания UserGate, отвечая на потребности заказчиков с масштабными инфраструктурами, выбрала путь отдельной внутренней ветки разработки, сосредоточенной на создании максимально мощного NGFW. С 2022 г. спрос на подобные решения начал расти с невероятной скоростью, словно снежный ком, набирающий объем и силу. Этот сегмент рынка предъявляет исключительные требования: если обычно из триады "производительность, отказоустойчивость и функциональность" приходится жертвовать одним из элементов, то крупные заказчики ожидают их безупречного сочетания. Именно эти высокие ожидания задают тон развитию инновационных технологий в отрасли.
UserGate Data Center Firewall
Результатом масштабной и кропотливой работы стала модель UserGate Data Center Firewall (DCFW) – это межсетевой экран следующего поколения, созданный специально для решения задач, характерных для центров обработки данных. Этот продукт воплощает в себе передовые технологии, высокую производительность и надежность, необходимые для защиты сложных и нагруженных сетевых инфраструктур.
UserGate DCFW сочетает в себе широкий функционал, передовые технологии и высокую производительность, предоставляя надежное решение для задач уровня ЦОД.
Он является одним из самых функциональных решений на рынке. Это подтверждают и внутренние тесты, и исследования независимой лаборатории, и пилоты в реальной инфраструктуре клиентов.
Новая модель во многом переосмысляет подход к построению NGFW. Разработчики постарались сохранить все основные функции безопасности, которые уже присутствуют в других линейках продуктов, однако у центров обработки данных и крупных заказчиков есть свои особые потребности, на которых и целесообразно было сосредоточиться.
Этим объясняется, что в текущей версии UserGate DCFW пока отсутствует контент-фильтрация. Эти возможности разработчики планируют добавить позже. Тем не менее сегодняшняя функциональность уже позволяет решать ключевые задачи клиентов уровня Enterprise.
Повнимательнее посмотрим, что под капотом у UserGate DCFW.
Сетевые возможности
Что касается сетевых возможностей, здесь все осталось на уровне полноценного UserGate NGFW. Продукт поддерживает статическую и динамическую маршрутизацию (OSPF, BGP, RIP, PIM), логическое разбиение сети на уровне L2 модели OSI (VLAN), WCCP, DHCP, чтобы интеграция нового решения в корпоративные сети была максимально удобной и простой.
Векторный файрвол
Теперь остановимся на нескольких новых функциях, которые появились в UserGate DCFW. Одной из ключевых разработок стала технология векторного файрвола. Стоит заметить, что у российских производителей этот подход становится все более популярным.
Это и понятно, ведь векторное управление политиками файрвола – это более современный подход к организации и обработке правил, отличающийся от традиционного своей гибкостью и эффективностью. В отличие от табличной структуры, где правила проверяются последовательно сверху вниз, векторное управление основывается на обработке деревьев или графов, что позволяет получать более высокую производительность за счет выполнения только тех правил, которые применимы к обрабатываемой сетевой сессии.
На данный момент архитектура UserGate DCFW поддерживает до 130 тыс. правил, что покрывает потребности большинства заказчиков.
На практике разработчики проводили тесты с 85 тыс. правил на инфраструктуре одного своего крупного клиента из добывающей отрасли. Результаты оказались впечатляющими: DCFW справился с задачей уверенно, причем производительность превысила ожидания заказчика на 40%.
Аппаратное ускорение
Одним из ключевых отличий Data Center Firewall стало использование собственного аппаратного ускорителя. Эта разработка – результат кропотливой работы, которую UserGate ведет уже более трех лет. Создание собственной схемотехники – процесс долгий и сложный, но именно он открывает принципиально новые возможности.
Разработчики перенесли функции Stateful Firewall, контроль приложений и систему предотвращения вторжений на FPGA, что сразу обеспечило значительный рост производительности. Этот, надо сказать, прорывной шаг для российского рынка NGFW. На данный момент UserGate чуть ли не единственный российский производитель NGFW, кто внедрил аппаратное ускорение в свои решения. Это не просто технологическое улучшение – это шаг, который, без преувеличения, открывает новую главу в развитии отрасли.
Виртуальные системы
Еще одна важная и интересная функция – возможность создания виртуальных систем. Эта технология позволяет логически разделять физическое устройство на несколько виртуальных межсетевых экранов, суммарно ограниченных только производительностью оборудования. Это одна из ключевых особенностей, которая делает UserGate DCFW особенно востребованным для применения в центрах обработки данных.
Данная функция предоставляет заказчикам свободу в создании сложных архитектур и адаптации инфраструктуры под конкретные задачи. Функционально это аналог VSYS от Palo Alto, VDOM от Fortinet и виртуальных контекстов от Cisco, но с учетом собственных разработок и подходов компании UserGate.
Отказоустойчивость
В части отказоустойчивости разработчики сохранили все преимущества UserGate NGFW: поддерживаются режимы Active-Passive для двух узлов и Active-Passive для двух, трех или четырех узлов, а также резервирование каналов связи. Все эти возможности обеспечивают надежность и соответствие требованиям самых требовательных Enterprise-заказчиков.
Централизованное управление
Какой же межсетевой экран уровня Enterprise без централизованного управления? Для этого у UserGate есть отдельное решение Management Center – продукт, который интегрируется с экосистемой UserGate SUMMA и поддерживает все продукты компании.
Система управления обеспечивает мультитенантность и предлагает гибкие настройки разграничения прав доступа. Заказчик может объединить в едином интерфейсе управление и UserGate DCFW, и UserGate NGFW, что делает процесс администрирования максимально удобным.
Продукт рассчитан на управление как минимум 10 тыс. устройств. На практике пока такие значения не достигались, но архитектурных ограничений у системы нет, а это значит, что она готова к еще большим масштабам.
Производительность
Повышенная производительность DCFW обеспечивается сразу несколькими способами. Во-первых, это аппаратная часть – высококачественные компоненты и продуманная архитектура устройства. Во-вторых, это дополнительные технологии, такие как FPGA.
Высокая параллельность обработки данных в FPGA обеспечивает ускорение сложных вычислений и снижает задержки, особенно в сценариях с переменными нагрузками, где требуется быстрая адаптация к изменениям в политиках безопасности.
Результаты тестов UserGate DCFW впечатляют: скорость в режиме Stateful Firewall достигает 200 Гбит/с. При активации контроля приложений этот показатель составляет 120 Гбит/с. А с подключением IPS производительность удерживается на уровне 30 Гбит/с. Это действительно высокие показатели для российского рынка.
Новый модельный ряд UserGate NGFW
Кроме запуска DCFW разработками ведется работа и над основной линейкой UserGate NGFW.
Во-первых, существенно обновлена линейка E для больших корпоративных сетей и интернет-провайдеров. В нее добавлены новые модели E1010 и E3010. E3010 значительно превосходит по мощности предыдущую модель этой серии: 70 Гбит/с на L3 и L4, 40 Гбит/с на L7. При включении IPS производительность составляет 18 Гбит/с, а в режиме NGFW с активированной контентной фильтрацией – 2,5 Гбит/с на трафике EMIX. Устройство поддерживает до 12 млн одновременных сессий и обработку 180 тыс. новых сессий в секунду. Обе платформы обладают четырьмя слотами расширения для интерфейсов RJ45, SFP, SFP+ и QSFP.
UserGate E3010
Обновляется и линейка F для крупных корпоративных сетей. В ней появилась модель F8010, которая заменяет F8000. Модель стала еще мощнее: 80 Гбит/с в режиме Stateful Firewall, 47 Гбит/с при включении контроля приложений и 30 Гбит/с при активированном IPS. В режиме NGFW с контентной фильтрацией производительность достигает 3,5 Гбит/с. Модель поддерживает до 24 млн одновременных сессий и обработку 320 тыс. новых сессий в секунду. Важно, что все модели уже внесены в реестр Минпромторга. В UserGate ожидают, что к февралю 2025 г. весь модельный ряд компании, включая как новые платформы, так и устройства предыдущего поколения, также будут включены в реестр.
UserGate 8010
Теперь о новой модели FG. Она была официально запущена в продажу в ноябре 2024 г. и оснащена аппаратным ускорителем. Это позволяет в компактном форм-факторе 1U достичь скорости 90 Гбит/с на EMIX и 150 Гбит/с на трафике UDP 1500 байт. Ведутся активные работы по переносу IPS и контроля приложений на FPGA, что в будущем обеспечит скорость до 45 Гбит/с при активированном контроле приложений и до 25 Гбит/с при включении IPS. Устройство поддерживает до 22 млн одновременных сессий и обработку 84 тыс. новых сессий в секунду. Модель FG специально разработана для ЦОД, чтобы обеспечить высокую скорость выполнения задач межсетевого экранирования.
UserGate FG
И, наконец, компания представила новую линейку G для самых требовательных заказчиков. По расчетам аналитиков UserGate, стоимость защиты одного мегабита трафика в моделях G окажется почти в два раза ниже, чем у ближайших конкурентов. Этот показатель особенно важен для компаний, активно работающих с дата-центрами.
UserGate G9300
В ряде новых моделей реализованы блоки питания и вентиляторы с функцией горячей замены. Вентиляторы серии FG спроектированы самой компанией UserGate и могут работать как на вдув, так и на выдув, что позволяет интегрировать устройства в инфраструктуру с любым направлением потоков воздуха, поддерживая эффективное охлаждение и предотвращая перегрев.
Модель UserGate FG уже доступна заказчикам, а остальные новинки поступят в продажу во втором квартале 2025 г.
Заключение
Компания UserGate активно развивает несколько линеек высокопроизводительных решений, нацеленных на удовлетворение потребностей крупных корпоративных сетей и больших ЦОД. Не секрет, что этот сегмент рынка является особенно привлекательным для российских производителей NGFW, так как в нем сосредоточены крупные заказчики с высокими требованиями к производительности, надежности и функционалу сетевой безопасности, и большими бюджетами. Такие решения, как DCFW на платформе FG от UserGate, представляют собой своеобразные "болиды F1" среди продуктов компании, демонстрирующие передовые технологии и максимальные возможности.
До недавнего времени основная доля российских NGFW-решений была сосредоточена в сегменте среднего и начального уровня. Эти модели востребованы малым и средним бизнесом, а также организациями, которые нуждаются в эффективной, но доступной защите сети. В сегменте крупных корпоративных сетей доминировали иностранные производители, обладающие более высокими характеристиками производительности. Выпуск компанией UserGate своего собственного высокопроизводительного решения позволит изменить баланс сил и предложить Enterprise-заказчикам отечественную альтернативу.
При этом одной из ключевых стратегий UserGate является адаптация технологий, протестированных и усовершенствованных на флагманских продуктах, для более массовых моделей. Это позволяет быстро перенести инновационные функции и улучшенную производительность в устройства более низкого класса. Такой подход обеспечивает массовым моделям конкурентоспособность, сохраняя баланс между производительностью и ценой, а заказчикам – стабильную и надежную защиту своего периметра.
