UserGate: что умеет шлюз безопасности для компании

UserGate начинался в нулевые как прокси-сервер для офиса: раздать интернет, посчитать трафик, закрыть развлекательные сайты. С тех пор продукт вырос в шлюз безопасности, который в отрасли называют NGFW: межсетевой экран нового поколения. Имя осталось, класс задач изменился, и смотреть на него интересно именно как на представителя класса: похожим образом устроены все современные корпоративные шлюзы.

Место в сети

Шлюз ставится на границе: весь трафик офиса в интернет и обратно проходит через него. Отсюда и возможности, и ответственность: здесь удобнее всего фильтровать, считать и защищать, и здесь же находится единая точка отказа, поэтому старшие конфигурации работают парой с резервированием. Поставляется и железом, и виртуальной машиной: средним офисам обычно хватает виртуального исполнения.

Главные модули

Ключевое слово везде: пользователь. Шлюз интегрируется со службой каталогов, и правила пишутся на людей и группы, а не на IP-адреса: бухгалтерии одно, разработке другое, гостевому Wi-Fi третье. Инспекция TLS заслуживает отдельной оговорки: технически это управляемое вскрытие шифрованного канала с подменой сертификата, оно требует установки корпоративного сертификата на устройства и честного уведомления сотрудников. Банковские и медицинские категории из инспекции принято исключать.

Политики связывают модули в сценарии. Пример из жизни: группе маркетинга разрешены социальные сети, но файлы туда не загружаются; подрядчикам открыт только список рабочих сервисов; у всех остальных закрыты файлообменники и свежезарегистрированные домены, любимый инструмент фишинга. Каждое правило сопровождается отчётом, и спор «мне нужен этот сайт для работы» решается данными, а не голосом.

Кому это нужно

• Компании с требованиями регуляторов. Для российских организаций немаловажно, что продукт сертифицирован местными регуляторами и остаётся поддерживаемым.
• Учебные заведения. Обязательная контент-фильтрация решается категориями и чёрными списками из коробки.
• Офисы от полусотни человек. Ниже этого порога обычно хватает возможностей хорошего роутера; выше начинается зоопарк теневых сервисов, который без контроля приложений не виден вовсе.
• Сети с удалёнкой и филиалами. VPN, единые политики и отчёты в одном месте.

Открытые альтернативы классу существуют: pfSense и OPNsense закрывают межсетевой экран и VPN бесплатно, фильтрацию добавляют плагинами. Разница в цене встречная: за открытые платят временем администратора и самостоятельной сборкой отчётности, за коммерческие деньгами по подписке на модули. Выбор обычно решает не функциональность, а наличие людей, готовых жить с решением годами.

Как выбирают и внедряют

Класс покупается не по списку функций, у всех производителей он похож, а по пилоту на своём трафике. Разворачивают шлюз в режиме наблюдения, без блокировок, на две недели: отчёты покажут и реальную картину трафика, и нагрузку. Главная цифра, которую стоит снять с пилота: производительность с включённой инспекцией TLS и IPS. Паспортная пропускная способность меряется без них, а с полным набором проверок падает в разы, и именно здесь ошибаются с размером железа. Второй результат пилота: список того, что придётся исключать из инспекции, от банк-клиентов до видеосвязи, у каждой компании он свой.

1. Сформулируйте политику заранее: что блокируем, что наблюдаем, кого не трогаем. Шлюз исполняет политику, а не заменяет её.
2. Посчитайте пользователей и пиковую полосу с запасом на два года: лицензии и железо берутся под рост.
3. Проверьте интеграцию со своей службой каталогов и терпимость сети к падению шлюза: нужен ли обход или резервная пара.
4. Уточните состав подписки: фильтрация, IPS и антивирусные базы лицензируются модулями, и «голая» цена коробки обманчива.
5. Назначьте владельца. Шлюз без человека, читающего его отчёты, превращается в дорогой маршрутизатор за год.

Не путать с коммерческими прокси

Корпоративный шлюз и прокси-сервисы вроде нашего решают противоположные задачи, хотя оба называются словом «прокси». Шлюз контролирует исходящий трафик своих сотрудников: видимость, фильтрация, дисциплина. Коммерческий прокси меняет точку выхода для рабочих задач: гео-данные, пулы адресов, аккаунты, о чём мы писали в разборе задач прокси-серверов. Первый про «мы видим и ограничиваем свой трафик», второй про «наш трафик выглядит нужным образом снаружи». В зрелой компании они спокойно живут вместе: шлюз на границе офиса, пулы адресов у отделов маркетинга и аналитики, каждый на своём месте. Шлюзу при этом полезно знать о легальных пулах коллег: иначе отдел аналитики однажды упрётся в собственную систему безопасности, и починка этого недоразумения займёт больше времени, чем вся настройка. Куда такой шлюз вписывается в остальную серверную инфраструктуру, мы показывали в обзоре типов серверов.