Обзор Traffic Inspector Next Generation 1.10, российского универсального шлюза сетевой безопасности

1. Введение
2. Функциональные возможности Traffic Inspector Next Generation
3. Варианты поставки Traffic Inspector Next Generation и лицензирование продукта
   
   1. 3.1. Аппаратные платформы Traffic Inspector Next Generation
   2. 3.2. Системные требования Traffic Inspector Next Generation для установки на собственный сервер или в виртуальную среду
   3. 3.3. Traffic Inspector Next Generation SaaS
   4. 3.4. Лицензирование Traffic Inspector Next Generation
   5. 3.5. Совместимость продукта со внешними платформами
4. Применение Traffic Inspector Next Generation
   
   1. 4.1. Межсетевой экран
   2. 4.2. Система обнаружения и предотвращения вторжений
   3. 4.3. Веб-фильтрация
   4. 4.4. Потоковая антивирусная проверка
   5. 4.5. Контроль приложений
   6. 4.6. Мониторинг и отчёты
5. Выводы

Введение

Одним из направлений санкционных мер влияния на Россию стало ограничение импорта технологий. США прогнозируют, что в результате санкций объём высокотехнологичного импорта в РФ сократится до 50 %. До недавнего времени большинство межсетевых экранов импортировались в Россию из-за рубежа. На фоне ухода с российского рынка или приостановки деятельности в России зарубежных ИБ-вендоров актуальными вопросами для многих компаний сейчас являются импортозамещение и защита с помощью российских продуктов.

Кроме того, 1 мая 2022 г. Президент России подписал указ № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации», направленный на обеспечение информационной безопасности ряда ключевых компаний России, и с 1 января 2025 г. этим предприятиям запрещается использовать средства защиты информации, произведённые в недружественных государствах либо организациями под их юрисдикцией.

В этой ситуации логично рассмотреть NGFW российских вендоров, тем более что сегодня отечественные компании уже предлагают достойные продукты, которые могут конкурировать с западными аналогами. Об одном из таких отечественных продуктов — Traffic Inspector Next Generation — и пойдёт речь в этом обзоре.

Последний раз мы делали обзор Traffic Inspector Next Generation в 2016 году. С тех пор в нём появилось много обновлений и улучшений. Traffic Inspector Next Generation 1.10 разворачивается в качестве шлюза на границе сети и служит входной точкой в корпоративную сеть. Такое расположение позволяет контролировать все сетевые потоки между локальной сетью и интернетом. Traffic Inspector Next Generation обеспечивает фильтрацию на разных уровнях модели OSI и предоставляет широкий набор сетевых сервисов под управлением единого интерфейса.

Функциональные возможности Traffic Inspector Next Generation

Traffic Inspector Next Generation сочетает в себе более 80 функций защиты. Рассмотрим основные.

Межсетевой экран

Межсетевой экран — базовая функциональность сетевой фильтрации. Traffic Inspector Next Generation защищает устройства во внутренней сети от несанкционированного доступа извне, обеспечивает трансляцию адресов (NAT), проброс портов, перехват пакетов и их перенаправление на само устройство (как часть прозрачного проксирования).

Система обнаружения и предотвращения атак (IDS / IPS)

Предназначена для выявления и предотвращения вредной и потенциально опасной сетевой активности в защищаемой шлюзом сети. Использование модуля позволяет:

• предупредить и предотвратить применение скомпрометированных SSL-сертификатов, эксплуатирование уязвимостей в протоколах DNS, FTP, ICMP, IMAP, POP3, HTTP, NetBIOS, DCERPC, SNMP, TFTP, VoIP, использование эксплойтов и уязвимостей сетевых приложений;
• предупредить и заблокировать DoS-атаки и случаи сетевого сканирования;
• заблокировать трафик ботнетов, трафик от скомпрометированных и заражённых троянским ПО и сетевыми червями хостов, трафик от спам-сетей.

Потоковый антивирус

Модуль антивируса «Лаборатории Касперского» обеспечивает централизованную антивирусную проверку трафика пользователей на уровне шлюза наиболее эффективным способом.

Контроль приложений (Layer 7)

Обеспечивает интеллектуальное распознавание протоколов прикладного (седьмого) уровня модели OSI за счёт сигнатурного анализа. Трафик будет распознан даже если приложение действует динамично и использует разные сетевые порты.

Контентная фильтрация

Модули NetPolice и SkyDNS фильтруют сайты по категориям и содержимому, не позволяют получить доступ к определённым сайтам или услугам сети «Интернет».

Веб-прокси

Позволяет заблокировать сайты (порнография, онлайн-игры, вакансии и др.) для отдельных пользователей и групп с использованием гибких политик и правил. Веб-прокси поддерживает перехват и дешифровку SSL-соединений, благодаря которым Traffic Inspector Next Generation может применять URL-фильтрацию даже для защищённого трафика, а также интеграцию с Active Directory от Microsoft и с FreeIPA от Astra Linux.

Captive Portal

Перехватывающий портал позволяет организовать как платный, регулируемый по времени, так и бесплатный доступ в интернет, в том числе через аутентификацию посредством SMS.

Организация VPN и удалённого доступа

Traffic Inspector Next Generation позволяет организовать шифрованные VPN-каналы между филиалами, удалёнными сотрудниками и центральным офисом. Поддерживаются OpenVPN, IPsec в туннельном режиме, L2TP / IPsec (IPsec в транспортном режиме), Tinc VPN, PPTP и PPPoE, а также WireGuard.

Возможна также организация шифрованных каналов связи по ГОСТ VPN. Криптографическое шифрование данных осуществляется в соответствии с ГОСТ Р 34.10-2012, P 34.11-2012, 28147-89.

VPN на базе OpenVPN или IPsec поддерживает подключение удалённых пользователей и двухфакторную аутентификацию.

Аутентификация

Аутентификация, включая двухфакторную, может производиться с помощью локальной базы пользователей, службы каталогов LDAP, Kerberos, RADIUS-сервера.

Шейпинг трафика

Traffic Inspector Next Generation поможет улучшить производительность сети, разграничивая пропускную способность интернет-канала между пользователями.

Балансировка нагрузки

Балансировка в Traffic Inspector Next Generation обеспечивает равномерное распределение сетевой нагрузки между несколькими серверами во внутренней сети.

Connection Failover

Возможность переключения на запасные каналы (Connection Failover) при отказе основного канала обеспечивает бесперебойную работу.

Отказоустойчивый кластер

Благодаря объединению нескольких хостов Traffic Inspector Next Generation в кластер обеспечивается непрерывность доступа пользователей в интернет.

Централизованная система управления (CMS)

Center Management System — система централизованного управления распределённой инфраструктурой сетевых шлюзов Traffic Inspector Next Generation.

CMS входит в состав Traffic Inspector Next Generation Enterprise, который предназначен для географически распределённой корпоративной сети, состоящей из нескольких устройств Traffic Inspector Next Generation и единого контрольного центра.

С помощью CMS администратор в центральном офисе может определять общие правила сетевого доступа / выхода в интернет и другие настройки, которые будут действовать одновременно на нескольких устройствах Traffic Inspector Next Generation (например, во всех удалённых филиалах организации). Центр управления Center Management System может подключиться к любому устройству Traffic Inspector Next Generation.

Сетевые службы

Traffic Inspector Next Generation включает в свой состав широкий набор полезных сетевых служб:

• DHCP Server / DHCP Relay.
• DNS Forwarder.
• DNS Resolver.
• DNS Tools.
• DynDNS.
• Captive Portal.
• IGMP Proxy.
• SNMP Daemon.
• UPnP.
• Wake-on-LAN.

Кроме того, компания «Смарт-Софт» оказывает услуги по индивидуализации Traffic Inspector Next Generation и может доработать продукт под специфические задачи заказчика.

Варианты поставки Traffic Inspector Next Generation и лицензирование продукта

Traffic Inspector Next Generation доступен к поставке в виде готовых аппаратных платформ и программного обеспечения для установки на собственный физический сервер или в виртуальную инфраструктуру. Кроме того, доступен облачный вариант Traffic Inspector Next Generation SaaS. Далее подробно расскажем о линейке Traffic Inspector Next Generation.

Аппаратные платформы Traffic Inspector Next Generation

Компания «Смарт-Софт» предлагает широкий ряд устройств Traffic Inspector Next Generation, начиная с модели для небольших предприятий и офисов и заканчивая моделью предназначенной для крупных корпораций.

Таблица 1. Модельный ряд Traffic Inspector Next Generation

Технические характеристики	Модельный ряд аппаратных устройств Traffic Inspector Next Generation
	Модель S 100	Модель S 200	Модель S 500	Модель M 1000	Модель L 1000+
Назначение	Для малых корпоративных сетей Рекомендованное количество пользователей: 100	Для малых корпоративных сетей Рекомендованное количество пользователей: 200	Для средних корпоративных сетей Рекомендованное количество пользователей: 500	Для крупных корпоративных сетей Рекомендованное количество пользователей: 1000	Для масштабируемых корпоративных сетей Рекомендованное количество  пользователей: более 1000
Платформа	DEPO Stream 1040C2X	DEPO Stream 1060CX	DEPO Storm 3450A2	DEPO Storm 3450A2	DEPO Storm 3450A2
Процессор	Intel Celeron N3060 (2 ядра, 1,6 ГГц, 2 МБ)	Intel Celeron J1900 (4 ядра, 2 ГГц, 2 МБ)	Intel Xeon Silver 4208 (8 ядер, 16 потоков, 2,1 ГГц, 11 МБ, 85 Вт)	Intel Xeon Silver 4210R (10 ядер, 20 потоков, 2,4 ГГц, 13,75 МБ, 100 Вт)	2 × Intel Xeon Silver 4210R (10 ядер, 20 потоков, 2,4 ГГц, 13,75 МБ, 100 Вт)
Сетевые порты	Четыре порта 1GbE RJ-45 (Intel i211)	Шесть портов 1GbE RJ-45 (Intel i211)	Сетевая карта, 4 порта, 1 Гбит/c, RJ-45 Сетевая карта, 2 порта, 10 Гбит/с, SFP+, трансиверы 1 Гбит/с, RJ-45	Сетевая карта, 4 порта, 1 Гбит/c, RJ-45 Сетевая карта, 2 порта, 10 Гбит/с, SFP+, трансиверы 1 Гбит/с, RJ-45	Сетевая карта, 4 порта, 1 Гбит/c, RJ-45 Сетевая карта, 2 порта, 10 Гбит/с, SFP+, трансиверы 1 Гбит/с, RJ-45
Консольный порт	1 (RS-232)	1 (RS-232)	1 (RS-232)	1 (RS-232)	1 (RS-232)
Устройство хранения данных	1000 ГБ SATA HDD 2,5”	1000 ГБ SATA HDD 2,5”	Интегрированное: 4x SATA-III + 8x SATA-III + 2x SATA III (Rear) Дисковый массив 1 × 1000 ГБ SATA-накопитель (7200 об/мин) Корзина горячей замены 8x SAS/SATA + 4x SAS/SATA/NVME без экспандера	Интегрированное: 4x SATA-III + 8x SATA-III + 2x SATA III (Rear) Дисковый массив 1 × 1000 ГБ SATA-накопитель (7200 об/мин) Корзина горячей замены 8x SAS/SATA + 4x SAS/SATA/NVME без экспандера	Интегрированное: 4x SATA-III + 8x SATA-III + 2x SATA III (Rear) Дисковый массив 1 × 1000 ГБ SATA-накопитель (7200 об/мин) Корзина горячей замены 8x SAS/SATA + 4x SAS/SATA/NVME без экспандера
Оперативная память	8 ГБ DDR3L SO-DIMM 1,35 В	8 ГБ DDR3L SO-DIMM 1,35 В	32 ГБ: 2 × 16 ГБ DDR4 ECC REG	64 ГБ: 2 × 32 ГБ DDR4 ECC REG	128 ГБ: 4 × 32 ГБ DDR4 ECC REG
Формфактор	1U (монтаж на полку)	1U (монтаж на полку)	1U	1U	1U

Системные требования Traffic Inspector Next Generation для установки на собственный сервер или в виртуальную среду

Для установки и работы Traffic Inspector Next Generation не требуется предустановленной операционной системы и дополнительного программного обеспечения. Минимальные требования для установки приведены ниже.

Таблица 2. Минимальные требования для установки Traffic Inspector Next Generation

Traffic Inspector Next Generation SaaS

Облачная версия шлюза Traffic Inspector Next Generation SaaS подойдёт компаниям, которые перешли на использование облачной инфраструктуры и отказались от физических серверных.

Компаниям, которые продолжают использовать традиционную локальную сеть, Traffic Inspector Next Generation SaaS также даёт ряд преимуществ: от экономии затрат и повышения надёжности до гибкости, масштабируемости и независимости от местоположения офиса.

Traffic Inspector Next Generation SaaS может защищать как виртуальную ИТ-инфраструктуру компании, так и реальную. В первом случае сервер Traffic Inspector Next Generation SaaS размещается в виртуальной сети и обеспечивает выполнение функций межсетевого экрана, IDS / IPS, HTTP-сервера, обратного прокси-сервера, почтового прокси-сервера, прокси-сервера общего назначения TCP / UDP на базе Nginx, а также позволяет выполнять балансировку нагрузки, реализовать межсетевой экран для защиты веб-приложений (WAF), переопределять заголовки веб-сервера и обрабатывать TCP- и UDP-трафик.

Рисунок 1. Защита виртуальной (облачной) ИТ-инфраструктуры подписчика с помощью Traffic Inspector Next Generation SaaS

В случае если инфраструктура заказчика представляет собой традиционный набор серверов, рабочих станций и сетевого оборудования, размещённый в офисе компании, Traffic Inspector Next Generation SaaS маскирует локальную сеть клиента. При этом весь трафик между локальной сетью и Traffic Inspector Next Generation SaaS идёт по зашифрованному VPN-соединению. Такой формат защиты позволяет разместить за Traffic Inspector Next Generation SaaS как одну локальную сеть, так и сразу несколько — например, сети нескольких партнёрских компаний, с организацией их взаимодействия между собой.

Рисунок 2. Защита локальной ИТ-инфраструктуры подписчика с помощью Traffic Inspector Next Generation SaaS

Для защиты локальной ИТ-инфраструктуры в Traffic Inspector Next Generation SaaS доступна вся базовая функциональность традиционного решения.

Лицензирование Traffic Inspector Next Generation

Traffic Inspector Next Generation лицензируется по количеству пользователей. В базовой версии доступны функции межсетевого экрана, системы обнаружения вторжений и сетевые сервисы. Дополнительно можно купить лицензии на NetPolice, «Мультифактор», SkyDNS и антивирус Касперского.

Совместимость продукта со внешними платформами

В 2020 году в релизе 1.7.0 Traffic Inspector Next Generation выполнены работы по интеграции продукта с системой управления идентификацией пользователей ОС Astra Linux, а также проведено тестирование, подтвердившее полную совместимость программных решений.

Кроме того, НТЦ ИТ РОСА и «Смарт-Софт» провели успешное испытание совместимости своих продуктов — системы управления виртуализацией ROSA Virtualization и Traffic Inspector Next Generation. Сертификат совместимости с ROSA Virtualization даёт заказчикам продуктов гарантию их бесконфликтной работы.

Применение Traffic Inspector Next Generation

Управление шлюзом осуществляется c помощью браузера через веб-интерфейс, доступный по умолчанию со стороны внутреннего LAN-адаптера шлюза (порт 443 или 80).

Рисунок 3. Аутентификация администратора для доступа к веб-интерфейсу Traffic Inspector Next Generation

Окно веб-интерфейса состоит из трёх зон: слева расположено иерархическое меню, разделённое по функциональным возможностям, справа отображаются основная информация и настройки соответствующего раздела, вверху находятся сведения об учётной записи администратора и кнопка выхода из системы.

На начальной странице интерфейса администратора Traffic Inspector Next Generation («Инструментальная панель») отображается набор виджетов с ключевой информацией о шлюзе. Администратор может настроить виджеты начальной страницы по своему вкусу, например добавить виджеты с информацией о системе, сетевой статистике по интерфейсам, статусе служб и другие.

Рисунок 4. Начальная страница интерфейса администратора в Traffic Inspector Next Generation

Межсетевой экран

Функции межсетевого экрана являются базовыми в любом универсальном шлюзе безопасности. Брандмауэр организован с помощью стандартных правил. Все настройки максимально прозрачны для пользователя и сосредоточены на вкладке «Межсетевой экран».

Правила задаются отдельно для каждого из адаптеров, настроенных в системе, и располагаются в виде списка. Сетевой пакет проверяется на совпадение с критериями правил по порядку, сверху вниз.

Рисунок 5. Раздел «Межсетевой экран» в Traffic Inspector Next Generation

Правила сетевой трансляции настраиваются в разделе «NAT». В наиболее общем сценарии организация получает один «белый» IP-адрес, который присваивается WAN-адаптеру шлюза Traffic Inspector Next Generation. Компьютеры внутренней сети настраиваются с использованием диапазона «серых» IP-адресов.

Рисунок 6. Настройка NAT в Traffic Inspector Next Generation

Система обнаружения и предотвращения вторжений

Система обнаружения и предотвращения вторжений (IDS / IPS) в Traffic Inspector Next Generation основана на ПО Suricata и использует метод захвата пакетов NETMAP для улучшения производительности и минимизации нагрузки на процессор.

Рисунок 7. Модуль «Система обнаружения и предотвращения вторжений» в Traffic Inspector Next Generation

В подразделе «Журнал» можно просмотреть события, собранные системой предотвращения вторжений.

Рисунок 8. Журнал модуля «Система обнаружения и предотвращения вторжений» в Traffic Inspector Next Generation

Веб-фильтрация

Веб-фильтрация позволяет блокировать доступ к различным интернет-ресурсам. Traffic Inspector Next Generation проверяет принадлежность запрашиваемого пользователем сайта или отдельной страницы на наличие в списках запрещённых или разрешённых ресурсов.

Рисунок 9. Настройка правила веб-фильтрации в Traffic Inspector Next Generation

Рисунок 10. Правила веб-фильтрации в Traffic Inspector Next Generation

При помощи Traffic Inspector Next Generation можно также блокировать просмотр потокового видеоконтента. Блокировка осуществляется по MIME-типам.

Рисунок 11. Блокировка видеопотоков по MIME-типам в Traffic Inspector Next Generation

Дополнительно видеоконтент можно заблокировать с помощью nDPI.

Рисунок 12. Блокировка видеоконтента с помощью nDPI в Traffic Inspector Next Generation

После установки этих правил видео в браузере не запускается.

Рисунок 13. Заблокированное видео в браузере

Потоковая антивирусная проверка

Антивирусная проверка в Traffic Inspector Next Generation осуществляется модулем от Kaspersky. Поддерживается проверка HTTP- и HTTPS-трафика (последний случай требует настройки SSL Bumping).

Рисунок 14. Модуль Kaspersky в Traffic Inspector Next Generation

Рисунок 15. Журнал модуля Kaspersky в Traffic Inspector Next Generation

При обнаружении потенциально опасного содержимого загрузка блокируется и антивирус отображает страницу блокировки в браузере пользователя.

Рисунок 16. Обнаружение потенциально опасного содержимого модулем Kaspersky в Traffic Inspector Next Generation

Контроль приложений

Модуль «Контроль приложений» осуществляет глубокий анализ трафика (Deep Packet Inspection, DPI) протоколов популярных приложений на седьмом уровне (L7) модели OSI. Для администратора L7-фильтрация — простое решение для блокировки приложений вроде Skype и BitTorrent.

Фильтр основан на трёх базовых механизмах:

• библиотека libpcap предоставляет API для захвата пакетов,
• библиотека nDPI предоставляет услуги распознавания протоколов прикладного (седьмого) уровня за счёт сигнатурного анализа,
• межсетевой экран обеспечивает блокировку трафика, захваченного с помощью libpcap и распознанного с помощью nDPI, за счёт создания временных правил.

Пользователь формирует набор правил для блокировки нужных приложений или протоколов. При обнаружении трафика, который соответствует созданным правилам, производится его блокировка: прекращается сессия, устанавливается временное правило пакетной фильтрации, блокирующее соединение клиента (хоста-источника) с удалённым хостом.

Рисунок 17. Раздел «Контроль приложений» в Traffic Inspector Next Generation

Мониторинг и отчёты

Traffic Inspector Next Generation поддерживает ряд механизмов отчётности и мониторинга, в том числе мониторинг трафика с помощью NetFlow, мониторинг системы с помощью RRDtool, отчёты по веб-проксированию, журнал сетевого экрана, системный журнал и приложение syslog-ng. Есть несколько шаблонов отчётов: по сетевой статистике, по наиболее популярным сетевым службам, по наиболее популярным IP-адресам назначения.

Рисунок 18. Общие данные по интерфейсам и самым используемым портам в разделе «Анализ» в Traffic Inspector Next Generation

Мониторинг системы осуществляется при помощи набора утилит RRDtool, предназначенных для хранения, обработки и визуализации динамических данных, таких как температура, загрузка процессора, сетевой трафик.

Рисунок 19. Создание диаграммы «Трафик» в Traffic Inspector Next Generation

Рисунок 20. Создание отчёта «Трафик» в Traffic Inspector Next Generation

Рисунок 21. Создание отчёта по качеству интернет-канала в Traffic Inspector Next Generation

Рисунок 22. Создание отчёта по использованию оперативной памяти в Traffic Inspector Next Generation

В разделе «Межсетевой экран» можно увидеть журнал работы брандмауэра. Наиболее полезно стандартное представление журнала. Здесь можно видеть «судьбу» каждого пакета, обработанного сетевым экраном. Отображаются IP-адрес и порт источника, IP-адрес и порт назначения, входящий интерфейс, время обработки пакета и действие, которое было применено к пакету.

Рисунок 23. «Стандартное представление» журнала межсетевого экрана в Traffic Inspector Next Generation

Выводы

Traffic Inspector Next Generation — российский универсальный шлюз безопасности, обладающий хорошими техническими характеристиками и большим числом функциональных возможностей. Traffic Inspector Next Generation 1.10 соответствует концепции унифицированной защиты от угроз (Unified Threat Management, UTM), может быть установлен как единственное устройство и выполнять все необходимые функции защиты — межсетевое экранирование, обнаружение вторжений, построение VPN, веб-проксирование и т. п.

К сильным сторонам продукта также можно отнести наличие L7-фильтрации, которая позволяет распознавать и фильтровать трафик приложений на седьмом уровне модели OSI, широкие возможности мониторинга и подготовки отчётов. Кроме того, есть поддержка российских криптографических алгоритмов ГОСТ 28147-89 в VPN-сервере шлюза.

Отметим, что компания «Смарт-Софт» выпустила облачную версию Traffic Inspector Next Generation SaaS. Продукт включает в себя все функции традиционного шлюза и позволяет подписчикам сэкономить на внедрении и сопровождении программного обеспечения, высвобождая ИТ-ресурсы.

Кроме того, вендор оказывает услуги по индивидуализации продукта: можно доработать его под специфические задачи компании.

По функциональным возможностям Traffic Inspector Next Generation немного уступает UTM-устройствам и устройствам класса Next Generation Firewall (NGFW) западных вендоров. В составе функций Traffic Inspector Next Generation нет, например, модуля предотвращения утечки информации (DLP). При этом есть возможность интеграции с отечественными DLP (Solar Dozor, «Гарда Предприятие», «СёрчИнформ КИБ»). Также некоторые зарубежные вендоры в своих NGFW и UTM-устройствах уже предлагают технологии защиты от угроз «нулевого дня» и целевых атак. Тем не менее Traffic Inspector Next Generation может стать достойной заменой зарубежным аналогам. Это особенно актуально в связи со сложившейся политической ситуацией в России.

К существенным недостаткам Traffic Inspector Next Generation отнесём отсутствие сертификатов ФСТЭК России на момент написания обзора. Это может являться существенным ограничением при использовании продукта в качестве межсетевого экрана и системы обнаружения вторжений в государственных информационных системах, организациях государственного сектора, а также во многих частных компаниях, где требования к сертификации средств защиты являются обязательными. При этом вендор отмечает, что на текущий момент Traffic Inspector Next Generation находится в процессе сертификации на соответствие требованиям к межсетевым экранам и системам обнаружения вторжений.

Достоинства:

• Комплексный российский шлюз по сетевой безопасности, включающий в себя межсетевой экран, систему обнаружения вторжений, потоковый антивирус, VPN-сервис с поддержкой российских криптографических алгоритмов ГОСТ 28147-89.
• Широкая линейка аппаратных устройств, охватывающая сегменты малого бизнеса, организации среднего размера, а также сегмент Enterprise; возможность поставки в виде виртуального устройства, наличие облачной версии по модели SaaS.
• Возможность индивидуализации продукта силами вендора.
• Возможность создания кластера для отказоустойчивой конфигурации.
• Возможность централизованного управления шлюзами.
• Интуитивный русскоязычный веб-интерфейс администрирования.
• Постоянные обновления и расширения функциональных возможностей, полноценная поддержка продукта.

Недостатки:

• Отсутствие сертифицированной ФСТЭК России версии на момент написания обзора.
• Отсутствие модулей DLP, технологий защиты от угроз «нулевого дня» и целевых атак, привычных для зарубежных UTM-решений. При этом есть возможность интеграции с отечественными DLP.