Что нового в PT NGFW 1.11 и что из этого проверять на пилоте

Состав релиза

Сеть: GRE и GRE over IPsec, Jumbo Frames, ECMP, NAT Rematch, IP SLA.

Администрирование: RADIUS-аутентификация администраторов, копирование и вставка политик, улучшенный поиск.

Промышленная функциональность: расширение поддержки промышленных протоколов, поддержка маски /31.

Отдельным блоком: Remote Access VPN.

Дальше — что стоит за каждым пунктом.

Сеть

GRE и GRE over IPsec. GRE протаскивает произвольный трафик через чужую сеть так, будто её нет. На нём держатся связи между площадками, маршрутизация поверх провайдера и подключение филиалов.

Практический смысл в проекте замещения — межсетевой экран можно поставить рядом с существующей маршрутизацией, не перестраивая её. Это заметно упрощает согласование: изменения в ядре сети всегда тормозят проект сильнее, чем сам межсетевой экран.

Формулировка «GRE over IPsec», а не просто «IPsec», здесь существенна. Она означает, что через шифрованный туннель проходит не только IP-юникаст, но и мультикаст с протоколами маршрутизации. Без этого динамическая маршрутизация между площадками через шифрованный канал не работает.

ECMP. Несколько равноценных маршрутов до одной цели с распределением трафика между ними. Даёт две вещи сразу: полосу, потому что каналы складываются, и живучесть, потому что падение одного канала не роняет связь целиком. В отличие от схемы с переключением на резерв, здесь нет паузы на сходимость.

Jumbo Frames. Кадры больше стандартных 1500 байт. Тема центра обработки данных, резервного копирования, репликации хранилищ — везде, где важны накладные расходы на каждый пакет. В офисной сети без надобности, в ЦОД заметно влияет на пропускную способность.

NAT Rematch. Самая интересная строчка в списке и та, которую редко показывают на демонстрациях.

Механика такая. Правило трансляции адресов применяется к сессии в момент её установления, и дальше сессия живёт по тому правилу, которое действовало при создании. Администратор правит правила — а установленные сессии продолжают ходить по старым. Соединение, поднятое сутки назад, работает по правилу, которого в конфигурации уже нет. NAT Rematch пересматривает трансляцию для существующих сессий после изменения правил.

Почему это важно вне лаборатории. Длинные сессии — это ровно то, что нельзя рвать: репликация базы, туннель до партнёра, сеанс промышленного протокола, файловая шара. Администратор считает, что изменение применилось, мониторинг показывает зелёное, а часть трафика продолжает ходить по старой трансляции, пока сессия не закроется сама. Разбор такого случая занимает день, и виноватым сначала назначают приложение. Функция закрывает именно этот разрыв между конфигурацией и фактическим состоянием.

IP SLA. Активная проверка доступности маршрута: устройство само опрашивает контрольную точку и переключает маршрут, когда та перестаёт отвечать. Без такой проверки маршрутизатор считает канал живым, пока жив интерфейс. Классическая ситуация: линк поднят, оборудование провайдера отвечает, а дальше по маршруту связи нет — и трафик исправно уходит в никуда. IP SLA закрывает разрыв между «интерфейс up» и «сеть работает».

Маска /31. Два адреса на канал точка-точка вместо четырёх. Экономия адресного пространства на связях между устройствами. В корпоративной сети мелочь, в промышленной и провайдерской, где таких связей сотни, — важное условие. Пункт стоит в блоке промышленной функциональности, и это логично.

Администрирование

RADIUS-аутентификация администраторов. Централизованный вход вместо локальных учётных записей устройства. Пока администратор один, разницы нет. Когда их пятнадцать, появляется то, что аудитор называет неперсонифицированным доступом: общие пароли, увольнение без отзыва доступа, журнал, по которому нельзя понять, кто именно изменил правило. Централизованная аутентификация — это условие прохождения проверки и требование любой вменяемой политики доступа.

На пилоте проверьте отдельно, что происходит при недоступности сервера RADIUS. Правильное поведение — резервный локальный вход, иначе однажды администратор не попадёт на межсетевой экран именно тогда, когда это нужнее всего.

Копирование и вставка политик, улучшенный поиск. Инструменты для больших политик — тех, где правила исчисляются сотнями и тысячами и руками уже не редактируются. Заодно повод задать на пилоте полезный вопрос: сколько правил в самой большой боевой политике на этой версии и как ведёт себя скорость применения конфигурации на таком объёме.

Remote Access VPN

Удалённый доступ сотрудников вынесен отдельным блоком, и это оправданно: site-to-site и remote access — разные задачи. Вторая всегда сложнее, потому что в ней клиенты на разных операционных системах, домашние сети, мобильные операторы, двухфакторная аутентификация, раздача маршрутов и DNS, поведение при разрыве.

Практический смысл — периметр, связь между площадками и удалённый доступ сходятся в одну точку управления. Вместо двух наборов правил, двух журналов и двух мест выдачи доступов остаётся одно.

Главный вопрос к любому производителю здесь одинаков, и задавать его надо не на демонстрации, а на пилоте: сколько одновременных пользователей удалённого доступа держит конкретная модель под вашей нагрузкой. Паспортное число и число с включённой расшифровкой TLS и разбором приложений отличаются у всех решений без исключения — это свойство задачи, а не конкретного продукта.

Чек-лист на пилот

Восемь проверок, каждая — на функциональность этого релиза. Смысл в том, чтобы тратить время испытаний на новое и на стык с вашей инфраструктурой, а не на сценарии, которые давно работают у всех.

1. GRE через провайдера. Поднять туннель до второй площадки через реальный канал, не через лабораторный. Проверить прохождение мультикаста и протоколов маршрутизации внутри GRE over IPsec.
2. MTU и фрагментация. Инкапсуляция забирает часть кадра. Прогнать трафик приложений, чувствительных к MTU, и посмотреть на фрагментацию под нагрузкой, а не на пустом туннеле.
3. ECMP под нагрузкой. Проверить распределение сессий между равноценными маршрутами и то, что происходит с установленными сессиями при падении одного из путей.
4. IP SLA на реальном отказе. Не выдёргивать патч-корд — это слишком честный отказ. Имитировать потерю связности дальше по маршруту при живом интерфейсе и замерить время переключения.
5. NAT Rematch. Установить длинную сессию, изменить правило трансляции, посмотреть, что стало с сессией. Здесь «ничего не изменилось» — как раз плохой результат.
6. Jumbo Frames сквозь всю цепочку. Размер кадра должен согласованно поддерживаться на всём пути. Проверять сквозным трафиком, а не настройкой интерфейса.
7. RADIUS для администраторов. Отдельно: недоступность сервера, отзыв учётной записи, персонификация в журнале — видно ли, кто именно изменил конкретное правило.
8. Remote Access VPN под нагрузкой. Одновременные подключения, поведение при разрыве и восстановлении, раздача маршрутов и DNS, работа при включённой расшифровке TLS.

Каждый пункт закрывается за час-полтора. Восемь часов испытаний дают о продукте больше, чем все презентации вместе.

Коротко

Релиз 1.11 добавляет туннели GRE и GRE over IPsec, распределение трафика по равноценным маршрутам, контроль реальной доступности пути, пересмотр трансляций для установленных сессий, большие кадры, маску /31, централизованный вход администраторов, инструменты работы с крупными политиками и удалённый доступ сотрудников.

Общее правило при выборе любого межсетевого экрана: спрашивайте не только о наличии функции, но и о том, с какой версии она есть и сколько заказчиков работает на ней в продуктиве. Свежая функциональность требует более внимательного пилота — это верно для любого производителя.

Если выбираете межсетевой экран сейчас, у меня есть критерии выбора и программа испытаний для пилота. Нужен взгляд со стороны на конкретную задачу — приходите на разбор: я не продаю оборудование и процент от вендора не получаю.