UserGate:这款企业安全网关究竟具备哪些实用的管控能力

UserGate 起步于 2000 年代,是一款办公室代理服务器:共享上网、统计流量、封锁娱乐网站。此后产品发展成行业称为 NGFW 的安全网关,也就是下一代防火墙。名字没变,任务类别变了,最值得关注的是它作为这类产品的代表:所有现代企业网关的结构都很相似。

在网络中的位置

网关位于边界:办公室进出互联网的所有流量都经过它。能力和责任都由此而来:这里最适合过滤、统计和防护,同时也是单点故障,所以高端配置采用冗余双机。它既有硬件版也有虚拟机版,中型办公室通常用虚拟版就够了。

主要模块

贯穿一切的关键词是用户。网关与目录服务集成,规则针对人和组,而不是 IP 地址:财务一套,研发一套,访客 Wi-Fi 又一套。TLS 检查需要特别说明:技术上这是通过替换证书受控地打开加密通道,需要在设备上安装企业证书,并如实告知员工。银行和医疗类别通常排除在检查之外。

策略把模块连成场景。一个真实的例子:市场部可以用社交媒体,但不能上传文件;承包商只能访问工作服务列表;其他人不能使用文件共享和新注册域名,后者是钓鱼的常用工具。每条规则都有报表,“我工作需要这个网站”的争论靠数据解决,而不是靠嗓门。

谁需要它

• 有监管要求的公司。对俄罗斯机构来说,产品获得当地监管认证并持续获得支持很重要。
• 教育机构。强制内容过滤可通过内置分类和黑名单解决。
• 五十人以上的办公室。低于这个规模,一台好路由器通常就够了;超过后就会出现大量影子服务,没有应用控制根本看不到。
• 有远程办公和分支机构的网络。VPN、统一策略和报表集中在一处。

这类产品有开源替代:pfSense 和 OPNsense 免费提供防火墙和 VPN,过滤靠插件。成本来自相反的方向:开源方案付出的是管理员时间和手工做报表,商业方案付出的是模块订阅费。通常决定选择的是有没有人愿意长年维护这套方案,而不是功能。

如何选型和部署

这类产品主要靠用自己的流量做试点来选购,不看功能列表,因为各厂商都差不多。以观察模式部署网关两周,不做拦截:报表会显示真实流量情况和负载。试点要拿到的关键数字是开启 TLS 检查和 IPS 后的性能。标称吞吐量是在关闭它们时测的,开启全部检查后会下降数倍,硬件选型正是错在这里。试点的第二个成果是需要排除检查的清单,从网银到视频会议,每家公司都不一样。

1. 提前制定策略:拦什么,观察什么,不碰谁。网关执行策略,不能代替策略。
2. 统计用户数和峰值带宽,预留两年余量:许可证和硬件要为增长而买。
3. 检查与目录服务的集成,以及网络对网关故障的容忍度:需要旁路还是冗余双机?
4. 弄清订阅内容:过滤、IPS 和病毒库按模块授权,设备的裸价具有误导性。
5. 指定负责人。没有人看报表的网关,一年内就会变成昂贵的路由器。

不要与商业代理混淆

企业网关和我们这样的代理服务解决相反的任务,尽管两者都叫“代理”。网关管控自家员工的出站流量:可见性、过滤、纪律。商业代理则为工作任务更换出口:地理数据、地址池、账号,详见代理服务器的任务一文。前者是“我们看到并限制自己的流量”,后者是“我们的流量从外部看符合需要”。在成熟的公司里两者和平共处:网关在办公室边界,地址池在市场和分析部门。不过网关应该知道同事的合法地址池,否则分析部门总有一天会撞上自己的安全系统,而解决这个误会比整个配置还费时。这种网关如何融入其余基础设施,我们在服务器类型概览中做过说明。