Межсетевой экран Huawei USG: как подобрать по нагрузке
Почему паспортная производительность расходится с фактической, как считать нагрузку, что учесть кроме скорости и когда нужна отдельная защита от атак.
Межсетевой экран подбирают не по числу сотрудников, а по тому, какой трафик и с какими проверками через него пойдёт. Одно и то же устройство на простой фильтрации держит гигабиты, а с полным набором проверок — в разы меньше.
Почему паспортные цифры расходятся с практикой
| Режим работы | Что происходит |
|---|---|
| Фильтрация по адресам и портам | Максимальная скорость, минимальная нагрузка |
| Разбор приложений | Устройство определяет, что внутри соединения, скорость падает |
| Обнаружение вторжений | Каждый пакет сверяется с сигнатурами, падение заметное |
| Проверка на вредоносное содержимое | Самая тяжёлая проверка, скорость снижается сильнее всего |
| Разбор шифрованного трафика | Расшифровка и повторное шифрование, нагрузка кратная |
Поэтому в паспорте всегда несколько цифр производительности. Смотреть нужно на ту, которая соответствует набору включённых у вас проверок, а не на максимальную.
Как считать нагрузку
- Определите пиковую полосу интернет-канала — устройство должно держать её с запасом.
- Оцените число одновременных соединений: на каждого активного пользователя приходятся десятки, на сервер — тысячи.
- Решите, нужен ли разбор шифрованного трафика: если да, требования к производительности вырастают в разы.
- Учтите защищённые каналы между площадками — шифрование тоже потребляет ресурс.
- Заложите рост: устройство покупается на несколько лет, а трафик растёт всегда.
Что учесть кроме производительности
- Лицензии. Обновление сигнатур и часть функций работают по подписке; её стоимость закладывают сразу на весь срок.
- Отказоустойчивость. Пара устройств в режиме резервирования — единственный способ пережить отказ без простоя.
- Интерфейсы. Число и тип портов должны закрывать все зоны: интернет, внутренняя сеть, демилитаризованная зона, резервный канал.
- Журналирование. Хранение событий требует места, а иногда отдельной системы сбора.
- Кто будет настраивать. Тонкая настройка проверок — работа не на один день, и её объём стоит оценить заранее.
Когда нужна отдельная защита от атак на отказ
Межсетевой экран рассчитан на разбор трафика, а не на поглощение массированного потока. Если публичные сервисы уже сталкивались с перегрузкой канала, отдельная система защиты уместнее: она отсекает мусор до того, как он дойдёт до экрана.
Модели и лицензии — в разделе систем сетевой безопасности Huawei, средства защиты от атак — в разделе систем защиты от DDoS-атак.
Частые вопросы
Можно ли взять модель с запасом на вырост? Разумно, но лицензии считаются на весь срок — иногда выгоднее заменить устройство через три года.
Нужен ли разбор шифрованного трафика? Он повышает видимость, но требует работы с сертификатами и заметно нагружает устройство.
Обязательна ли пара устройств? Если простой интернет-канала останавливает работу — да.
Что будет, если лицензия закончится? Базовая фильтрация продолжит работать, обновление сигнатур и часть проверок отключатся.
Подбор под ваш трафик
Пришлите полосу канала, число пользователей и перечень нужных проверок на sale@huawei.net.ru. Подберём серию по фактической нагрузке и посчитаем лицензии на срок.
