USG6300 или USG6600 — какой межсетевой экран берут в филиал
Где проходит граница между сериями USG6300 и USG6600, как считается нагрузка по полосе с включёнными службами и числу сессий, что лицензируется отдельно.
USG6300 и USG6600 — две соседние серии межсетевых экранов Huawei. Внешне они решают одну задачу: контроль трафика на границе площадки, разбор приложений, защищённые каналы между офисами. Разница проявляется в пропускной способности при включённых службах защиты, в числе одновременных сессий и в возможности нарастить интерфейсы платами расширения.
Ниже — по каким параметрам серии различаются, как считается нагрузка для филиала, где проходит граница применения младшей серии и что учитывать при лицензировании. Позиции собраны в разделах межсетевые экраны USG6300 и межсетевые экраны USG6600.
Где проходит граница между сериями
| Признак | USG6300 | USG6600 |
|---|---|---|
| Типовое место установки | Филиал, небольшой офис, производственная площадка | Центральный офис, узел агрегации филиальной сети |
| Конструктив | Настольное и стоечное исполнение малой высоты | Стоечное исполнение, у старших моделей — слоты расширения |
| Наращивание интерфейсов | Фиксированный набор портов | Платы расширения с медными и оптическими портами |
| Резервирование питания | Как правило, один источник | Два источника у большинства моделей |
| Пропускная способность с включёнными службами | Достаточна для канала филиала | Рассчитана на агрегированный трафик нескольких площадок |
| Число защищённых каналов | Десятки соединений с филиалами и удалёнными сотрудниками | Сотни и более соединений |
Как считается нагрузка для филиала
Паспортная пропускная способность межсетевого экрана приводится в нескольких значениях, и подбор по первому из них — основная ошибка. Учитываются четыре цифры.
- Полоса на уровне контроля соединений. Максимальное значение, достигается без разбора содержимого трафика.
- Полоса с разбором приложений. Падает по сравнению с первой цифрой в разы, именно она относится к реальному режиму работы.
- Полоса с проверкой на вредоносный код и системой обнаружения вторжений. Снижается ещё сильнее; если эти функции планируются, подбор ведётся по ней.
- Полоса защищённого канала. Отдельная величина, зависящая от алгоритма шифрования; на ней проверяется связь с филиалами.
К расчётной полосе добавляется запас: канал редко остаётся неизменным, а включение новой службы защиты снижает пропускную способность без замены устройства. Практический запас — не меньше сорока процентов от текущей пиковой нагрузки.
Число сессий — параметр, который заканчивается первым
На площадке с большим числом рабочих мест ограничением становится не полоса, а число одновременных соединений и скорость их установки. Одно рабочее место в обычной работе держит от нескольких десятков до сотни соединений; при активном обмене с внешними службами цифра выше.
Порядок расчёта простой: число рабочих мест умножается на среднее число соединений на место, к результату добавляется трафик серверной части и внешних подключений. Полученная величина сравнивается с паспортным числом одновременных сессий. Если она превышает половину паспортного значения, берётся старшая модель или младшая модель старшей серии.
Что входит в поставку и что лицензируется отдельно
Базовая поставка межсетевого экрана закрывает контроль соединений, трансляцию адресов, маршрутизацию и защищённые каналы. Разбор приложений, проверка на вредоносный код, система обнаружения вторжений, фильтрация адресов и обновляемые базы сигнатур лицензируются отдельно и продлеваются по сроку.
- Срок действия подписки: по его окончании функция продолжает работать на устаревших базах или отключается — это зависит от типа лицензии и проверяется до заказа.
- Привязка лицензии к устройству: при замене оборудования лицензия не переносится автоматически.
- Комплектация поставки с предустановленными подписками отличается от базовой — обозначения моделей в поставке это отражают.
- Платы расширения, оптические модули и вторые источники питания заказываются отдельно.
Лицензии и программное обеспечение — в разделе программное обеспечение и лицензии для систем сетевой безопасности, платы и сменные узлы — в разделе комплектующие к системам сетевой безопасности.
Когда в филиал ставят старшую серию
Младшей серии достаточно на большинстве филиальных площадок, но есть случаи, когда её берут с запасом или заменяют старшей.
- Филиал служит узлом для нескольких нижестоящих площадок и агрегирует их защищённые каналы.
- Через площадку идёт обмен с производственным сегментом, и требуется разбор трафика на всей полосе без потери скорости.
- Нужен оптический порт нужного типа, которого нет во встроенном наборе младшей серии.
- Требуется резервирование питания и работа пары устройств в отказоустойчивой конфигурации.
Общий раздел с полным перечнем серий — системы сетевой безопасности Huawei.
Частые вопросы
Почему устройство не выдаёт паспортную скорость? Паспортное значение относится к режиму без разбора содержимого трафика и к пакетам большого размера. При включённых службах защиты полоса снижается в несколько раз, и это штатное поведение, а не неисправность.
Можно ли поставить пару устройств в отказоустойчивую конфигурацию? Да, при совпадении моделей, версий системного программного обеспечения и набора лицензий. Разные модели в одну пару не объединяются.
Что происходит по окончании подписки? Базы сигнатур перестают обновляться, и защита действует по последним загруженным данным либо функция отключается. Тип поведения зависит от лицензии и уточняется до заказа.
Переносится ли конфигурация между сериями? Основные разделы переносятся, но привязки к именам интерфейсов и к платам расширения переписываются под новую модель. Перенос делается по разделам с проверкой правил.
Что прислать для подбора? Число рабочих мест и серверов на площадке, полосу внешнего канала и её пиковые значения, перечень нужных служб защиты, число защищённых каналов с филиалами и удалёнными сотрудниками, требования по резервированию, тип и число оптических портов.
Что мы делаем
Считаем нагрузку по полосе с включёнными службами и по числу одновременных сессий, отделяем задачи, которые закрывает младшая серия, от тех, где нужна старшая, проверяем состав лицензий и срок подписок, комплектуем поставку платами расширения, оптическими модулями и вторым источником питания. Позиции — в разделах USG6300, USG6600 и системы сетевой безопасности Huawei.
Пришлите параметры площадки и перечень нужных служб на sale@huawei.net.ru — подберём модель по расчётной нагрузке, соберём комплект лицензий и назовём сроки поставки.
