Интернет работает — но какие приложения используют сотрудники, куда подключаются устройства и что происходит внутри соединений? NGFW помогает управлять этим обменом и проверять проходящий трафик на угрозы.
Видеть приложения
Понимать, какие сервисы используют сеть, и применять к ним разные правила доступа.
Сдерживать сетевые угрозы
Обнаруживать и блокировать поддерживаемые типы атак в проходящем через шлюз трафике.
Разделять доступ
Отделять гостей, сотрудников и серверы, разрешая между ними нужные соединения.
Разбирать события
Получать журналы о соединениях, срабатываниях защиты и изменениях настроек.
Что такое NGFW простыми словами
NGFW (Next Generation Firewall) — межсетевой экран нового поколения. Он применяет правила к сетевым соединениям, распознаёт поддерживаемые приложения и подключает дополнительные проверки: например, предотвращение вторжений и анализ передаваемых файлов.
Обычное разрешение порта 443 открывает путь множеству сервисов. NGFW помогает различать приложения и применять к ним отдельные правила — в пределах возможностей распознавания и видимости трафика.
Чем NGFW отличается от обычного роутера
Обычный маршрутизатор
Доставляет пакеты между сетями. Часто поддерживает NAT, VPN, очереди и межсетевые правила по адресам, портам и состоянию соединения.
Подходит для связности и базового разграничения; набор дополнительных средств зависит от модели.
NGFW
Совмещает межсетевой экран с распознаванием приложений и расширенными проверками трафика. Может учитывать пользователя и применять профили защиты.
Подходит, когда требуется более глубокий контроль соединений, событий и сетевых угроз.
Граница между классами не абсолютна: современные роутеры тоже умеют фильтровать трафик, а NGFW — строить маршруты. Сравнивайте конкретные функции и результаты пилота. Надпись на коробке не заменяет проверку.
Почему одного доступа в интернет мало
Когда ценность NGFW особенно заметна
- Облачные сервисы и веб-приложения. Множество разных действий выполняется через одинаковые порты.
- Удалённые сотрудники и филиалы. Нужно выдавать доступ к нужным ресурсам и видеть подключения.
- Разные устройства в одной сети. Гости, камеры и рабочие компьютеры требуют разных прав.
- Потребность в расследовании. Для разбора инцидента важны приложение, пользователь, правило и время события.
Ценность — в управляемом доступе и сокращении конкретных рисков. Для небольшой сети решение тоже выбирают по задаче, бюджету и возможности сопровождать его.
Основные функции и их польза
Перечень показывает направления выбора. Их наличие, глубина анализа и условия лицензирования различаются у продуктов.
Контроль приложений
- Распознавание поддерживаемых приложений
- Правила для сервиса, пользователя или группы
Зачем: управлять доступом по рабочей задаче, а не только по номеру порта.
Предотвращение вторжений — IPS
- Проверка на признаки известных атак
- Блокировка по выбранным профилям и сигнатурам
Зачем: уменьшить риск эксплуатации уязвимостей через сеть.
Веб- и DNS-фильтрация
- Правила для сайтов и категорий ресурсов
- Выявление обращений к известным опасным адресам
Зачем: ограничивать нежелательные и вредоносные направления.
Проверка файлов и содержимого
- Антивирусная проверка поддерживаемого трафика
- Интеграция с песочницей, если предусмотрена
Зачем: обнаруживать опасные объекты до их попадания к пользователю.
VPN для сотрудников и филиалов
- Защищённые соединения между площадками
- Удалённый доступ с согласованными правами
Зачем: подключать к конкретным ресурсам, сохраняя контроль доступа.
Сегментация сети
- Разделение на зоны с разным уровнем доверия
- Явные правила между пользователями, серверами и гостями
Зачем: уменьшать ненужную связность и распространение атаки.
Инспекция TLS
- Выборочная расшифровка поддерживаемых соединений
- Повторное шифрование после анализа
Зачем: проверять содержимое там, где одного анализа адресов недостаточно.
Журналы и управление
- Поиск событий и уведомления ответственным
- Центральные политики и передача в SIEM, если доступны
Зачем: видеть результат правил и поддерживать их в актуальном состоянии.
Обратный прокси
- Публикация HTTP/HTTPS-сервисов по доменным именам
- Обработка TLS и передача запросов внутреннему серверу
Зачем: управлять внешним доступом к веб-приложению через выделенную точку публикации.
WAF — защита веб-приложений
- Проверка HTTP-запросов по профилям защиты
- Выявление признаков SQL-инъекций, XSS и других поддерживаемых атак
Зачем: отсеивать опасные обращения к опубликованным сайтам и API.
Защита от DoS/DDoS
- Пороги сетевого флуда и количества соединений
- Ограничение запросов к веб-ресурсу, если поддерживается
Зачем: уменьшать нагрузку от части атак на шлюз и серверы в пределах возможностей решения.
Антиспам и защита почты
- Анализ поддерживаемого почтового трафика
- Маркировка или блокировка подозрительных сообщений по правилам
Зачем: уменьшать поток спама и опасных писем до доставки пользователю.
Где NGFW находится в сети
Один из вариантов — поставить шлюз на пути между внешней сетью и внутренними зонами. Маршрутизатор провайдера может остаться перед ним.
если нужен отдельно
правила и проверки
Возможны аппаратный шлюз, виртуальная машина или облачный вариант. При виртуализации продумывают ресурсы, сетевые интерфейсы и доступ администратора при сбое шлюза.
Доступ к вашим сервисам из интернета
Обратный прокси и WAF: защита опубликованного приложения
Корпоративный сайт на Битрикс, веб-почту, Exchange OWA и веб-клиент 1С можно рассматривать как HTTP/HTTPS-сервисы для публикации через обратный прокси. Совместимость проверяют на конкретном приложении: это не обещание поддержки любого режима Exchange или всех протоколов 1С.
Интернет
TLS, правила, анализ запроса
Выделенный сегмент сети
- Обратный прокси принимает запрос. Выбирает внутренний ресурс по домену и правилам, может завершать HTTPS и распределять обращения по серверам.
- WAF проверяет веб-запрос. Применяет профиль к HTTP/HTTPS-трафику, выявляет поддерживаемые признаки атак, например SQL-инъекций и XSS.
- Сервер получает разрешённое обращение. Для сохранения контроля ограничивают прямой обход прокси и проверяют правила доступа к внутреннему ресурсу.
Ideco NGFW Novum 21 описывает отдельный тип публикации Outlook Web Access для Exchange, балансировку, WAF-профиль и DoS-лимиты. UserGate NGFW 7.x поддерживает публикацию через reverse proxy. WAF в экосистеме UserGate нужно проверять по конкретной версии NGFW либо отдельному продукту UserGate WAF.
На пилоте проверьте вход, загрузку файлов, длинные запросы, API, перенаправления, исходный IP в журналах и нужные способы аутентификации. Для HTTPS-публикации нужен сертификат ресурса на прокси; это другой сценарий, чем подмена сертификата при проверке исходящего трафика сотрудников. Обратный прокси без настроенного WAF не становится автоматически защитой от атак на приложение.
Антиспам: фильтрация почты до доставки в ящик
У части NGFW есть почтовые модули. Они могут проверять поддерживаемые протоколы, отправителя, содержимое и вложения, применять антиспам и антивирусные правила. Конкретная схема — транзитная проверка или отдельный почтовый шлюз — зависит от продукта.
Антиспам и антивирус
Например, Exchange
- UserGate NGFW 7.x: правила Mail Security предусматривают антиспам UserGate, DNSBL для SMTP, маркировку и блокировку сообщений. Доступность определяется лицензиями и подписками.
- Ideco NGFW Novum: описаны отдельные модули проверки веб-трафика и антивирусной/антиспам-проверки SMTP.
Защита веб-страницы почты через WAF и проверка входящих писем — разные задачи. Для зашифрованных почтовых соединений заранее проверяют видимость содержимого и поддержку выбранной схемы. Работа почты в Microsoft 365 или другом облаке сама по себе не направляет письма через офисный NGFW.
Защита от DoS и DDoS: что делает шлюз
DoS направлен на нарушение доступности сервиса; при DDoS нагрузка поступает из множества источников. Защита выбирается по тому, что атакуют: сетевой канал, таблицу соединений или само веб-приложение.
- Сетевой флуд. В UserGate NGFW 7.x есть пороги уведомления и отбрасывания для SYN-, UDP- и ICMP-флуда, а также лимиты сессий защищаемого ресурса.
- Частые обращения к веб-ресурсу. В обратном прокси Ideco Novum 21 предусмотрены ограничения числа запросов в секунду и подключений с одного IP, а также размера запроса.
- Возможности PT. В официальном перечне PT NGFW указана защита от DoS. Это не подтверждает одинаковые с другими продуктами алгоритмы и пределы защиты. Для прикладной защиты у производителя есть отдельное семейство PT Application Firewall.
NGFW может отфильтровать часть потока, дошедшего до него. Когда атака заполнила канал провайдера, локальный шлюз уже не вернёт ему свободную полосу: нужна очистка выше по сети. Массовые HTTP-запросы с разных адресов требуют отдельной оценки WAF/anti-DDoS; лимит на один IP не решает любой такой сценарий.
Пороги подбирают по нормальной нагрузке и проверяют на пилоте. Слишком жёсткое ограничение может задеть сотрудников за общим внешним IP, интеграции или загрузку больших файлов.
Российские и зарубежные производители
Примеры решений для первоначального выбора. Определять победителя стоит по вашим сценариям, а не по числу функций в рекламном списке.
Российские
UserGate NGFW
Межсетевой экран, IPS, VPN, reverse proxy, защита почтового трафика и профили DoS. В документации NGFW 7.x описаны пороги TCP SYN-, UDP- и ICMP-флуда и ограничения числа сессий. WAF-возможности и Mail Security проверяют по версии и лицензиям.
Описание производителя ↗Российские
Ideco NGFW
В Ideco NGFW Novum описаны IPS/DPI, TLS-инспекция, WAF в обратном прокси, SMTP-антиспам и DNS Security. Reverse proxy поддерживает публикацию Exchange OWA и лимиты запросов/подключений. Некоторые модули и обновления лицензируются отдельно.
Описание производителя ↗Российские
PT NGFW — Positive Technologies
В официальных описаниях PT NGFW перечислены контроль приложений, IPS, TLS-инспекция, URL-фильтрация, антивирус и защита от DoS. Состав и условия проверяют для выбранного релиза. PT Application Firewall — отдельный продукт для веб-приложений.
Описание производителя ↗Зарубежные
Fortinet FortiGate
Семейство NGFW с сетевыми функциями и сервисами безопасности FortiGuard. Состав подписки, аппаратную модель и производительность с проверками оценивают вместе.
Описание производителя ↗Зарубежные
Palo Alto Networks NGFW
Аппаратные, виртуальные и облачные варианты. В экосистеме есть идентификация приложений и пользователей, фильтрация URL и сервисы предотвращения угроз.
Описание производителя ↗Зарубежные
Check Point Quantum
Семейство межсетевых экранов и средств сетевой защиты для разных масштабов инфраструктуры. Возможности предотвращения угроз и управления зависят от комплектации.
Описание производителя ↗Зарубежные
Sophos Firewall
Решение для сетевой защиты, VPN и управления политиками с интеграциями в экосистему Sophos. Нужные функции и подписки проверяют по выбранной конфигурации.
Описание производителя ↗При импортозамещении отдельно проверяют нужную версию, совместимость, доступность обновлений и поддержки, а при наличии требований — актуальные документы и реестровые записи конкретного продукта. Зарубежное происхождение не подтверждает возможность поставки и продления в России.
Как выбрать NGFW без лишних расходов
- Скорость с защитой. Сравнивайте IPS, проверку файлов и TLS-инспекцию в нужном сочетании. Скорость простой пересылки пакетов — другой показатель.
- Реальная нагрузка. Пользователи, одновременные соединения, новые сессии в секунду, VPN и размер пакетов. Учитывайте рост сети.
- Совместимость. Провайдеры, маршруты, каталог пользователей, VPN-клиенты, рабочие приложения и интеграции.
- Непрерывность работы. Проверяйте резервирование, переключение узлов и каналов, сохранение сессий и порядок обновлений.
- Управление. Удобно ли искать событие, менять правило, оформлять исключение и возвращать конфигурацию.
Попросите условия измерения: версия, профиль защиты, размер пакетов, доля шифрованного трафика и число соединений. На пилоте проверьте скорость и задержку важных сервисов с теми функциями, которые действительно будут включены.
За что платят помимо устройства
- Платформа и резерв. Аппаратные узлы или ресурсы виртуальных машин, хранение журналов.
- Лицензии и подписки. Проверки, базы угроз, управление, VPN и поддержка по условиям продукта.
- Внедрение. Обследование, пилот, перенос правил, тестирование и переключение.
- Сопровождение. Разбор событий, обновления, резервные копии настроек и актуализация политик.
Даже подходящий NGFW требует обслуживания: устаревшая прошивка, непросматриваемые события и лишние разрешения снижают пользу защиты. Назначьте ответственных до запуска.
Четыре шага к внедрению
- 1
Разобрать сеть и требования
Площадки, каналы, сервисы, пользователи, VPN, важные приложения и допустимый перерыв. Отдельно — требования к совместимости и документам продукта.
- 2
Проверить на пилоте
Пропустить согласованный трафик, включить нужные проверки, измерить скорость и задержку. Убедиться, что рабочие приложения функционируют.
- 3
Перенести правила по смыслу
Проверить старые разрешения, создать зоны и исключения. Подготовить резервную копию, план переключения и возврат к прежней схеме.
- 4
Организовать сопровождение
Назначить ответственных за события, правила, сертификаты, обновления и подписки. Проверять резервирование и восстановление настроек.
Материалы для выбора и пилота
Частые вопросы
Нужно ли убирать MikroTik или другой роутер?
Не обязательно. Маршрутизатор может продолжать отвечать за подключение к провайдеру и маршруты, а NGFW — проверять выбранные потоки. Возможность объединить роли или использовать прозрачный режим зависит от продукта и схемы сети.
NGFW читает весь HTTPS-трафик?
Нет. Для анализа содержимого нужна поддерживаемая инспекция TLS, её настройка и доверие к сертификату шлюза на управляемых устройствах. Некоторые приложения проверяют сертификат особым образом или используют неподдерживаемые протоколы. Исключения и совместимость проверяют на пилоте; расшифровку не включают без разбора для всех сервисов.
Заменит ли он антивирус, DLP и резервные копии?
Нет. NGFW контролирует проходящий через него сетевой обмен. Защита компьютеров, контроль локального копирования и восстановление данных требуют своих средств. Для утечек посмотрите отдельную статью о DLP.
Защитит ли NGFW от любой DDoS-атаки?
Нет. Локальные механизмы могут ограничивать часть атак, но не освободят канал, который уже забит входящим трафиком. Для таких сценариев нужна защита выше по сети — у провайдера или профильного сервиса. Защиту веб-приложений также оценивают отдельно.
Что произойдёт после окончания подписки?
Единого правила нет: обновления, базы категорий, сигнатуры, облачные сервисы и поддержка могут зависеть от разных условий. До покупки выясните, какие функции сохранятся, какие перестанут обновляться и как продлевается сопровождение.
Подберём подход к защите вашей сети
Начните с площадок, важных сервисов и задач доступа. Обсудим, какие потоки нужно контролировать, что проверить на пилоте и какие работы потребуются для внедрения.
Обсудить сетевую защиту