Что докупать к межсетевым экранам Huawei USG сверх коробки
Какие функции защиты USG требуют отдельной лицензии и как не переплатить за лишний функционал.
Межсетевой экран Huawei USG в базовой поставке — это аппаратная часть и минимальный набор функций брандмауэра. Защита от DDoS, глубокая проверка трафика, предотвращение вторжений и антивирус на периметре — отдельные лицензии, которые докупаются под задачу. Заказчики, которые не разобрались в этом на этапе выбора модели, обычно сталкиваются с сюрпризом уже после установки: устройство стоит в стойке, а нужная функция защиты недоступна без отдельного заказа.
Разберём, какие лицензии продаются отдельно от корпуса USG, зачем нужна каждая, и как не платить за функции, которые не будут использоваться.
Что входит в устройство, а что — нет
В стандартной поставке USG всегда есть базовый межсетевой экран: фильтрация по правилам, трансляция адресов, VPN-туннели, маршрутизация. Это работает сразу после настройки. Остальные функции защиты активируются лицензией, которая привязывается к серийному номеру конкретного устройства и имеет срок действия — обычно один, три или пять лет.
- Базовый функционал — включён всегда, лицензия не требуется.
- Расширенные функции защиты — требуют отдельной лицензии на каждую категорию угроз.
- Обновление сигнатур — часть лицензий на защиту действует только с активной подпиской на обновление базы угроз, иначе функция работает по устаревшим правилам.
Основные категории лицензий защиты
- Защита от вторжений (IPS) — анализирует трафик на признаки известных атак и эксплойтов в реальном времени, блокируя подозрительные пакеты до того, как они дойдут до цели внутри сети.
- Защита от DDoS-атак — отдельная лицензия для отражения атак на исчерпание ресурсов и пропускной способности канала, актуальна для устройств на периметре сети с публичными сервисами.
- Контроль сетевого трафика — классификация приложений и пользователей, применяется, когда нужно ограничивать конкретные сервисы или приоритизировать трафик по типу, а не только по IP-адресу и порту.
- Антивирус на периметре — проверка проходящих файлов на вредоносный код без установки агента на каждой рабочей станции.
Каждая категория продаётся как отдельный продукт — в разделе лицензий для систем сетевой безопасности Huawei собраны варианты под разные серии USG.
Лицензия привязана к модели, а не к функции вообще
Лицензия для одной серии USG не переносится на другую: пропускная способность и число одновременных сессий, которые может обработать функция защиты, зависят от аппаратной платформы. Лицензия защиты от вторжений для младшей модели рассчитана на меньший объём трафика, чем для старшей серии — поэтому при апгрейде устройства старая лицензия чаще всего не переиспользуется.
| Серия USG | Класс задач | Типичный набор лицензий |
|---|---|---|
| USG6300 | офис, филиал | IPS, антивирус, контроль трафика |
| USG6600 | средний бизнес, ЦОД начального уровня | IPS, DDoS, контроль трафика, антивирус |
| USG9500 | периметр крупной сети, магистраль | DDoS, IPS, полный набор с высокой производительностью |
Как не переплатить за лицензии
- Не включайте функции, которые не будут использоваться. Контроль трафика по приложениям не нужен, если фильтрация происходит только по IP и порту — это лишняя статья расхода.
- Считайте лицензии в общую стоимость владения сразу, а не отдельно от корпуса устройства. На горизонте трёх-пяти лет продление лицензий защиты часто сопоставимо со стоимостью самого устройства.
- Уточняйте срок действия при заказе. Часть лицензий продаётся на фиксированный период, часть — бессрочно для отдельных модулей; путаница здесь приводит к неожиданному отключению функции защиты в разгар эксплуатации.
- Проверяйте совместимость версии прошивки с лицензией — обновление ПО устройства иногда требует пересогласования активированных функций.
Продление и что будет, если лицензия истечёт
При истечении срочной лицензии устройство не выключает межсетевой экран целиком — базовая фильтрация продолжает работать. Отключается конкретная функция защиты, для которой истекла лицензия: например, IPS перестанет проверять трафик на признаки атак, а правила базового брандмауэра продолжат действовать как прежде. Внешне сеть работает без изменений, поэтому сроки действия лицензий нужно отслеживать заранее, а не после пропущенной атаки.
Частые вопросы
Можно ли докупить лицензию защиты после покупки устройства? Да, лицензии продаются отдельно и активируются на уже установленном устройстве без замены оборудования.
Лицензия одной серии USG подходит к другой серии? Нет, лицензии привязаны к конкретной аппаратной платформе и её производительности.
Что произойдёт с настроенными правилами при истечении лицензии IPS? Правила базового межсетевого экрана продолжат работать, а функция глубокого анализа трафика на признаки атак отключится до продления лицензии.
Нужна ли лицензия защиты от DDoS для внутреннего сегмента сети без выхода в интернет? Обычно нет — эта функция актуальна для устройств на периметре, где сеть открыта внешнему трафику.
Что мы поставляем
В каталоге Азияторг — системы сетевой безопасности Huawei серий USG6300, USG6600 и USG9500, лицензии на функции защиты, включая защиту от DDoS-атак и предотвращение вторжений, а также комплектующие к устройствам.
Пришлите текущую модель USG или требования к периметру на sale@huawei.net.ru — подберём набор лицензий под реальную нагрузку без переплаты за лишний функционал.
