Представим офис на 80 сотрудников, где доступом в интернет управляет бытовой роутер. При аудите обнаружены неучтенные VPN-клиенты и приложения. Firewall для корпоративной сети помогает задать правила доступа, но состав функций выбирают по модели угроз. Ниже разберем классы решений, архитектуру и критерии проверки на пилоте.
Для российского проекта проверяют доступность лицензий, обновлений и поддержки. Качество защиты определяют функции конкретной версии и результаты пилота.
Что такое корпоративный файрвол и чем он отличается от домашнего
Корпоративный файрвол контролирует трафик по политике безопасности. Идентификация пользователя и анализ приложений зависят от платформы и функций. Содержимое TLS доступно только при поддерживаемой инспекции с согласованными исключениями.
Производительность сравнивают отдельно для обычной фильтрации, IPS и TLS-инспекции при одинаковом профиле пакетов. Паспортная скорость портов не равна скорости обработки угроз. Интеграцию с Active Directory, RADIUS или SAML проверяют для выбранной версии. При отказе HA-пары трафик переключается на резерв, но сохранность TCP, VPN и прикладных сессий подтверждают испытанием.
Централизованное управление упрощает работу нескольких площадок. Роли администраторов, состав событий, срок хранения журналов и защиту от изменения определяют по требованиям конкретной системы. Синхронизация времени нужна для сопоставления событий.
Сравнивайте решения по требуемым функциям и одинаковым условиям теста.
Классы решений: stateful firewall, UTM, NGFW
Stateful firewall, UTM и NGFW — что выбирать
Stateful firewall - базовый класс: фильтрация по IP, портам и состоянию соединений без инспекции содержимого. Применяется для разделения сегментов - VLAN разработки от VLAN бухгалтерии, DMZ от LAN.
UTM (Unified Threat Management) объединяет межсетевой экран, IPS, антивирус, веб-фильтрацию и VPN. Он может быть аппаратным или виртуальным. Состав функций и подписок зависит от продукта, а их одновременная работа влияет на доступные ресурсы.
NGFW (Next Generation Firewall) сочетает stateful-фильтрацию с распознаванием приложений и политиками L7. Песочница, машинное обучение и данные об угрозах зависят от продукта и лицензий. Сравнение UTM против NGFW проводят по функциям: маркетинговые классы пересекаются и не задают единой границы возможностей.
Физический и виртуальный файрвол
Аппаратные модели - готовое устройство с предсказуемой производительностью и физической изоляцией. Для корпоративного периметра с фиксированным контуром это предпочтительный вариант.
Виртуальный файрвол (vFW) - образ на гипервизоре: Hyper-V, KVM, VMware. Производительность зависит от выделенных vCPU и конкурирует с другими нагрузками хоста. Оправдан там, где вся инфраструктура уже виртуализирована или в облаке.
Выбирайте класс по требуемому контролю и компетенциям команды. Дополнительная инспекция полезна, если правила настроены, события анализируются, а производительности достаточно для пикового трафика.
Класс | Типичная фильтрация | Типичный сегмент | Форм-фактор |
|---|---|---|---|
Stateful Firewall | По портам, IP, состоянию соединений | Сегментация внутри сети, DMZ | Аппаратный, виртуальный |
UTM | Файрвол + IPS + антивирус + VPN + контент-фильтр | Средний бизнес, один периметр | Аппаратный, виртуальный |
NGFW | Stateful, приложения, политики L7 | Сети с требованиями к контролю приложений | Аппаратный, виртуальный |
Архитектура развертывания и интеграция в корпоративную сеть
Сетевое оборудование и файрвол проектируют совместно. Для NGFW нового поколения проверяют VLAN 802.1Q, агрегацию каналов и маршрутизацию на стыках. До внедрения согласуют шесть групп требований.
- Расположение. Определите периметр, DMZ и внутренние сегменты с разными правилами доступа. В Zero Trust доступ к ресурсу подтверждается по идентичности и контексту запроса. Место применения политики и набор средств защиты задают архитектурой.
- HA-пара. Режим Active/Passive или Active/Active зависит от платформы. Проверьте синхронизацию сессий, отказ heartbeat и обновление. Внешний балансировщик нужен только для соответствующей схемы.
- Интеграция с SIEM. Состав событий и меры контроля определяют по применимым требованиям. SIEM помогает сопоставлять события узлов, но его необходимость обосновывают проектом. Локальные журналы сохраняют ценность при синхронизированном времени и защищенном хранении.
- Интеграция с AD/LDAP. Политики применяются по учетной записи и группе, а не по IP. Критично при динамической адресации и мобильных пользователях.
- Инспекция TLS. Она увеличивает нагрузку и требует доверия к сертификатам проверки на клиентах. Измеряйте скорость при рабочем наборе функций. Проверяйте исключения для чувствительных данных и несовместимых приложений.
- Централизованная консоль. При нескольких площадках управление из единой точки - единообразие прошивок, правил и журналов на всех узлах.
Российские и зарубежные решения
Что доступно в 2026 году
Для существующей зарубежной платформы, например FortiGate, Palo Alto Networks, Cisco Secure Firewall или Check Point, до расширения проверяют законность и доступность лицензий, обновлений и технической поддержки по договору. Условия закупки и гарантийного обслуживания подтверждают для конкретной поставки.
В российском проекте можно сравнить конкретные исполнения UserGate, Континент, ViPNet xFirewall, Ideco и других межсетевых экранов. Solar webProxy относится к веб-безопасности, Solar Dozor к DLP: они дополняют файрвол. Наличие в реестре ПО и сертификат решают разные задачи. Для каждой кандидатуры проверяют редакцию, версию, запись реестра и применимый сертификат с составом и сроком действия.
Российский файрвол оценивают вместе с IPS и анализом событий. В спецификации отметьте встроенные и подписные функции, сроки обновления и внешние зависимости.
Для pfSense, OPNsense и других решений допустимость определяют по требованиям конкретной системы и средств защиты. Для сертифицированного контура проверяют соответствие версии и исполнения сертификату. Open-source сам по себе не подтверждает ни соответствие, ни запрет использования.
Типичные ошибки при выборе и внедрении
- Выбор по скорости обычной фильтрации. С включенной инспекцией результат может измениться. Требуйте методику и тест пикового профиля с тем набором функций, который будет работать после внедрения.
- Один файрвол на периметре без внутренней сегментации. Угроза, прошедшая периметр, распространяется внутри без препятствий.
- Экономия на резервировании. Сопоставьте стоимость пары с допустимым простоем. Проверьте отказ устройства и канала, чтобы резерв работал в реальной схеме.
- Нет анализа событий. Назначьте ответственного, правила оповещения и порядок расследования. Централизация полезна, но без реакции на события не обеспечивает выявление инцидента.
- Нет плана обновления. Проверьте подписки IPS и антивируса, совместимость обновлений и возможность их получения. Устаревшие базы ухудшают выявление новых угроз.
- Нет документации правил. Для каждого разрешения фиксируйте владельца, причину и срок пересмотра. Удаляйте устаревшие правила после проверки зависимостей.
- Неоптимизированная TLS-инспекция. Дешифровка без исключений дает просадку производительности и конфликты с банк-клиентами и Госуслугами.
- Нет нагрузочного теста. Пилот на реальном трафике обязателен до закупки. Синтетические тесты не воспроизводят профиль конкретной организации.
На что смотреть в предложении интегратора
В КП укажите применимые требования и обоснование защиты. КИИ, персональные данные и гостайна требуют отдельного анализа.
Расчет реальной пропускной способности с включенными DPI и TLS-дешифровкой - обязательный пункт КП. Если интегратор дает только паспортные цифры, уточните методику тестирования.
В КП закрепите HA, интеграции, хранение событий, стоимость подписок, поддержку и ответственного за аудит правил. Приемка включает отказ узла, восстановление, обновление ПО и проверку направлений доступа.
Заключение
- Определите применимые требования и модель угроз.
- Измерьте профиль и пики трафика, приложения и долю TLS.
- Выберите функции stateful, UTM или NGFW по задачам контроля.
- Согласуйте аппаратный или виртуальный форм-фактор и ресурсы.
- Проверьте интеграции с каталогом, анализом событий и мониторингом.
- Спроектируйте резервирование и подтвердите переключение испытанием.
- Проведите пилот с критериями приемки и только затем утвердите закупку.
Корпоративный файрвол работает вместе с защитой рабочих станций и анализом событий. Оборудование для информационной безопасности выбирайте по модели угроз. В спецификацию включите лицензии, поддержку и обновления для сравнения полной стоимости.