Обзор Zyxel USG Series, унифицированных шлюзов безопасности

Корпоративные унифицированные шлюзы безопасности Next Generation Performance Series (Zyxel USG) от популярного много лет на российском рынке тайваньского производителя Zyxel Communications Corporation поддерживают все современные защитные технологии — межсетевой экран нового поколения (NGFW), антивирус, антиспам, модуль контентной фильтрации, контроль приложений, организацию защищенного канала VPN и др.

1. Введение
2. Модельный ряд унифицированных шлюзов безопасности Zyxel USG
3. Основные функциональные возможности линейки Zyxel USG
4. Как работают функции безопасности в Zyxel USG
5. Младшие модели Zyxel USG40/40W/60/60W
6. Старшие модели Zyxel USG110/210/310 и USG1100/1900
7. Особенности администрирования устройств линейки Zyxel USG
8. Сервисы и лицензирование устройств линейки Zyxel USG
9. Выводы

Введение

На рынке корпоративной информационной безопасности все чаще встречаются тезисы о том, что средства защиты информации, каждый со своей отдельной функциональностью, не работают, поскольку реальному бизнесу нужны законченные решения. Большинству руководителей среднестатистических компаний не так важно, что ваше средство умеет лишь что-то одно: защищает лучше всего от вредоносов, спама, превосходно фильтрует веб-трафик или способно организовать VPN. Необходим комплексный продукт, который сможет обеспечить адекватный уровень кибербезопасности, при этом обладая максимальным набором инструментов на борту.

Для решения этой задачи разработаны унифицированные шлюзы безопасности Next Generation Performance Series Zyxel USG (решения класса UTM — Unified Threat Management) с модулем NGFW (Next Generation Firewall) на борту.

Компания Zyxel уже более 30 лет производит устройства для организации сетевой инфраструктуры всех масштабов и знакома практически любому айтишнику в России еще по Dial-Up-модемам с конца 1990-х — начала 2000-х. Традиционно мы привыкли встречать Zyxel в сегменте устройств для дома и SOHO, однако начиная с 2015 года вендор вышел на рынок кибербезопасности, выделив ИБ в отдельное направление. Линейка корпоративных решений Zyxel достаточно широка, охватывает все сегменты рынка и призвана удовлетворить потребности практически любой компании.

Рисунок 1. Портфель продуктов Zyxel для обеспечения корпоративной безопасности

Решения по обеспечению информационной безопасности представлены четырьмя классами устройств: средства построения сетей VPN (линейка Zywall VPN), решения по защите от целенаправленных атак (линейка Zywall ATP), SD-WAN шлюзы Nebula с облачным централизованным управлением (линейка NSG Series) и универсальные шлюзы безопасности (Zywall USG). Cегодня мы подробно поговорим о Zyxel USG Performance Series.

Модельный ряд унифицированных шлюзов безопасности Zyxel USG

Линейку USG Performance Series можно разделить на две группы моделей:

• USG40/40W/60/60W (младшие модели) — используются для защиты небольших и микропредприятий, подходят для решения задач по защите от вредоносных программ и запрещенных приложений и рекомендованы к применению там, где не требуются высокие скорости или обязательная отказоустойчивость;
• USG110/210/310/1100/1900 (старшие модели) — разработаны специально для удовлетворения потребностей современных крупных предприятий и сектора SMB+, которым помимо эффективного решения для оптимизации приложений и комплексной защиты сети нужна высокая доступность системы безопасности и консолидированное применение политик.

Краткие характеристики всех моделей линейки приведены ниже.

Таблица 1. Ключевые характеристики моделей устройств Zyxel USG Series

С полным перечнем всех продуктов компании Zyxel можно ознакомиться на официальном сайте.

Основные функциональные возможности линейки Zyxel USG

Устройства Zyxel серии USG соответствуют требованиям, предъявляемым к комплексным решениям класса UTM, и состоят из следующих модулей безопасности: межсетевой экран следующего поколения (NGFW), модули построения IPSec VPN и SSL VPN, средство обнаружения и предотвращения вторжений (IDP), контроль приложений, антивирус, антиспам, модуль контентной фильтрации, проверка и инспекция SSL-трафика (последний — только для моделей USG110/210/310 и USG1100/1900).

Наличие этих функций призвано пресекать использование веб-приложений в личных целях, например, злоупотребление социальными сетями, видеохостингами и иным развлекательным контентом. Инструменты безопасности включают в себя интересную функцию — SSL Inspection, что позволяет детектировать угрозы в зашифрованном SSL-трафике. Самая свежая версия модуля Content Filtering 2.0 реализует фильтрацию трафика к сайтам, работающим по протоколу HTTPS, и обеспечивает безопасный серфинг пользователей в браузерах, блокировку IP по геометкам и другие функции защиты веб-соединений. Все устройства поддерживают работу с протоколами как IPv4, так и IPv6. Более детально функции безопасности разобраны в следующем разделе.

Список технологий, реализованных в Zyxel USG, в полной мере оправдывает отнесение линейки к решениям класса «все-в-одном». И, что самое главное, Zyxel USG поддерживает все возможные технологии и способы подключения пользователей, без необходимости смены привычных для работы инструментов. Управлять точками доступа Wi-Fi, любыми каналами (проводные каналы, USB-модемы), настраивать защищенную сеть VPN между офисами, контролировать работу и оптимизировать пользователей в интернете, а также обеспечить информационную безопасность в комплексе — все это доступно в рамках одного установленного устройства Zyxel USG.

Рисунок 2. Наиболее интересные функциональные возможности устройств Zyxel USG Series

Шлюзы серии USG обеспечивают бесперебойную работу в интернете с поддержкой двух (для моделей USG40/40W/60/60W) или более (для моделей USG110/210/310 и USG1100/1900) сетей по технологии multi-WAN для активной балансировки нагрузки или активно-пассивной отказоустойчивости. Кроме того, устройства оснащаются USB-портами для возможности подключения внешних сотовых модемов.

В устройства серии USG интегрирован контроллер WLAN с поддержкой протокола CAPWAP (Control And Provisioning of Wireless Access Points — специализированный туннельный протокол, используемый для взаимодействия контроллера и точек радиодоступа), что обеспечивает централизованную аутентификацию, доступ и управление несколькими точками доступа в сети. В зависимости от конкретной модели и активированной лицензии универсальный шлюз одновременно может управлять до 130 точками доступа, при этом поддержка 2 точек доступа включена по умолчанию для всех устройств. Таким образом, компания может масштабировать беспроводную сеть и предоставлять Wi-Fi в отдельных зонах, например в переговорных комнатах и на ресепшен, при этом обеспечивая необходимый уровень разграничения доступа. Для этого на борту устройств имеются такие функции управления хотспотами, как система учета трафика и биллинг (для разворачивания платного Wi-Fi). Чтобы неавторизированные клиенты могли получить доступ к внешним ресурсам без сложной процедуры авторизации, реализована отдельная функция Walled Garden (позволяет задавать список разрешенных таким пользователям адресов). Zyxel USG поддерживает аутентификации пользователей одновременно разными методами, возможность авторизоваться через социальные сети и прописать собственное пользовательское соглашение (User Agreement), что повышает удобство, позволяет организовать дополнительные платные услуги и выполнить некоторые формальные требования.

Как работают функции безопасности в Zyxel USG

С помощью Zyxel USG компания может построить многоуровневую систему защиты своей сети от различных угроз и осуществлять блокировку доступа к подозрительным ресурсам. Реализованные технологии не только позволяют ограничить использование полосы пропускания отдельных приложений с целью повышения общей скорости интернета, но и улучшают продуктивность работы сотрудников компании.

Пожалуй, две ключевые задачи любого UTM-решения — это обеспечить безопасную работу пользователей компании в интернете, а также организовать надежное и защищенное соединение между удаленными площадками.

Для решения первой задачи устройства Zyxel линейки USG оснащены набором технологий защиты от вредоносных программ и оптимизации приложений.

Рисунок 3. Концепция обеспечения безопасности компании при помощи Zyxel USG Series

Межсетевой экран нового поколения (Next Generation Firewall) поддерживает следующие технологии: режимы route/bridge, инспекция пакетов (Stateful packet inspection), прозрачность SIP/H.323 через NAT, разбор прикладных протоколов (ALG), детектирование аномалий в трафике, базовая защита от DDoS.

Технология Intrusion Detection and Prevention (IDS/IPS) поддерживает: режимы route/bridge, сигнатурный и поведенческий анализ, автоматическое обновление и тонкую донастройку сигнатур вручную (включение/отключение, создание собственных списков и т. п.), возможность конфигурации индивидуальных профилей защиты.

Application Patrol выполняет следующие функции: полный контроль использования популярных веб-ресурсов и приложений пользователями с поддержкой категорий (более 15) и гибкой настройкой, шейпинг трафика от определенных приложений, дополнительная авторизация пользователей, статистика и отчеты, специальные IDP/ADP-коннекторы для соцсетей.

В устройствах реализованы антивирус Zyxel AV (движок от партнера — Bitdefender) и антиспам Zyxel AS (движок от партнера — CyREN), которые поддерживает: более 650 000 сигнатур вирусов, все популярные почтовые протоколы, HTTP, файлы неограниченного размера, автоматическое обновление баз, фильтрацию по IP-репутации, движок Recurrent Pattern Detection (RPD), распознавание X-Header, черные и белые списки, отчеты.

Интегрированный в Zyxel USG Content Filtering 2.0 обеспечивает фильтрацию социальных сетей, вредоносных сайтов, блокировку сайтов (в том числе работающих по протоколу HTTPs), в том числе по ключевым словам, а также заданием отдельно черных и белых списков URL-адресов. Модуль осуществляет блокировку активного содержимого страниц в браузерах пользователей (Java Script, ActiveX и cookies), проверяет URL сайтов по собственной облачной базе потенциально опасных адресов. Реализована возможность ограничения серфинга пользователей по гео-IP и задания отдельных страновых политик. Для удобства администрирования и прозрачного взаимодействия с пользователями с помощью Content Filtering можно настроить перенаправление запросов (web-редирект) с выводом собственного информационного сообщения. Стоит отметить, что число подключаемых (пропускаемых через модуль Content Filtering) пользователей искусственно ничем не ограничено.

Для организации защищенного VPN-соединения между филиалами Zyxel USG позволяет построить соединения по технологии site-to-site IPSec VPN. Ключевые географически удаленные друг от друга площадки с повышенными требованиями к надежности соединения возможно подключать с дополнительным применением IPSec VPN HA (load balancing and failover) для обеспечения постоянной доступности VPN-сессий. Отдельные пользователи могут получить защищенный доступ к ресурсам компании со своих персональных устройств (компьютеров, планшетов, смартфонов) через SSL, IPSec или L2TP over IPSec VPN. Кроме того, шлюз Zyxel USG способен интегрироваться с Amazon VPC (посредством IPSec VPN) для безопасного доступа к размещенным там приложениям.

Рисунок 4. Технология построения VPN с помощью Zyxel USG Series

В рамках реализации IPSec VPN шлюз поддерживает все современные технологии данного стека:

• алгоритмы шифрования AES, DES, 3DES;
• VTI (Virtual Tunnel Interface) — применяется для создания маршрутизирующего интерфейса с целью более удобного управления и терминирования IPSec-туннелей;
• управление ключами (manual key, IKEv1, IKEv2 with EAP);
• прозрачность IPSec через NAT;
• обнаружение Dead peer (неиспользуемых, «мертвых» пиров);
• стандарт сертификатов и ключей согласно PKI X.509;
• организация VPN-кластера для повышенной доступности High Availability (HA) в двух вариантах: loadbalancing (балансировка нагрузки) и failover (отказоустойчивый);
• построение L2TP и GRE туннелей поверх IPSec;
• поддержка взаимодействия с протоколами iOS L2TP/IKE/IKEv2 VPN (от компании Cisco);
• гибкое и настраиваемое подключение VPN-клиентов.

Модуль SSL VPN поддерживает любые браузеры операционных систем Windows и macOS и широкий набор протоколов (HTTP, FTP, SMTP, POP3, IMAP4). В модуле реализована технология full-tunnel (установка поверх дополнительного PPTP-соединения от клиента до шлюза). Для дополнительного удобства и прозрачности для пользователей можно настроить двухшаговую аутентификацию и кастомизировать клиентский портал на шлюзе.

Младшие модели Zyxel USG40/40W/60/60W

Сохраняя все функции полноценного UTM, Zyxel USG USG40/40W/60/60W обеспечивают безопасность корпоративного класса (включая преимущества Next Generation Firewall) по цене, доступной для небольших компаний. Кроме того, в этих устройствах используется Fanless (безвентиляторный) метод охлаждения, что особенно важно в отсутствии выделенных серверных комнат на малых предприятиях.

Таблица 2. Внешний вид и базовые параметры устройств Zyxel USG USG40/40W/60/60W

Модель Спецификация	USG40	USG40W	USG60	USG60W
Интерфейсы	3 x LAN/DMZ, 1 x WAN, 1 x OPT	3 x LAN/DMZ, 1 x WAN, 1 x OPT	4 x LAN/DMZ, 2 x WAN	4 x LAN/DMZ, 2 x WAN
Порты USB	1	1	2	2
Консольный порт	Да (RJ-45)	Да (RJ-45)	Да (DB9)	Да (DB9)
Возможность монтажа в стойку	Нет	Нет	Да	Да
Бесшумная технология охлаждения	Да	Да	Да	Да
Макс. число интерфейсов VLAN	8	8	16	16
Максимальное число туннелей IPSec VPN	20	20	40	40
Максимальное число соединений SSLVPN	15	15	20	20
Максимальное число управляемых точек доступа (AP)	18	18	18	18
Физические размеры	216 x 143 x 33	216 x 143 x 33	242 x 175 x 36	272 x 187 x 36

Для управления устройствами Zyxel USG USG40/40W/60/60W предусмотрен упрощенный режим настройки EASY MODE, который специально рассчитан на пользователей из небольших компаний.

Рисунок 5. Панель управления режима EASY MODE устройств Zyxel USG USG40/40W/60/60W

При использовании этого режима настройка конфигурации выполняется с помощью удобных интегрированных программ-мастеров (wizard) с неперегруженным интерфейсом. В то же время наличие режима EASY MODE никоим образом не означает урезание функциональности (за исключением модуля SSL Inspection) и не ограничивает администраторов в дополнительных расширенных настройках.

Старшие модели Zyxel USG110/210/310 и USG1100/1900

Серии USG110/210/310 и USG1100/1900 функционально идентичны и различаются в основном только техническими характеристиками и, соответственно, производительностью.

Таблица 3. Внешний вид и базовые параметры устройств Zyxel USG USG110/210/310/1100/1900

Модель Спецификация	USG110	USG210	USG310	USG1100	USG1900
Интерфейсы	4 x LAN/DMZ,2 x WAN, 1 x OPT	4 x LAN/DMZ,2 x WAN, 1 x OPT	8 x GbE (конфигурируемые)	8 x GbE (конфигурируемые)	8 x GbE (конфигурируемые)
Порты USB	2	2	2	2	2
Консольный порт	Да (DB9)	Да (DB9)	Да (DB9)	Да (DB9)	Да (DB9)
Возможность монтажа в стойку	Да	Да	Да	Да	Да
Макс. число интерфейсов VLAN	16	32	64	128	128
Максимальное число туннелей IPSec VPN	100	200	300	1000	2000
Максимальное число соединений SSLVPN	150	150	150	500	750
Инспекция SSL (HTTPs)	Да	Да	Да	Да	Да
Максимальное число управляемых точек доступа (AP)	34	34	34	130	130
Возможность установки в кластер (HAPro)	Да	Да	Да	Да	Да
Резервирование внешних соединений (LinkAggregation)	Нет	Нет	Да	Да	Да
Управление хотспотами	Да	Да	Да	Да	Да
Физические размеры	300 x 188 x 44	300 x 188 x 44	430 x 250 x 44	430 x 250 x 44	430 x 250 x 44

Ключевое отличие старших моделей Zyxel USG — наличие механизма кластеризации и повышенной отказоустойчивости. Шлюзы USG110/210/310 и USG1100/1900 гарантируют высокое качество соединения, обеспечивая постоянно доступную связь. При развертывании внутри устройства собираются в кластер active-passive High-Availability (HA) или failover (в режиме соединения при сбоях). Для обслуживания указанных режимов компанией Zyxel разработан специальный сервис Device HA Pro, обеспечивающий мгновенное переключение при сбоях.

Для поддержания внешней доступности и балансировки нагрузки при использовании интернета применяется механизм multi-WAN load balancing/failover (в том числе с поддержкой сотовых USB-модемов). Кроме того, поддерживается функция IPSec load balancing and failover, улучшая отказоустойчивость VPN-соединений с помощью организации VTI (Virtual Tunnel Interface).

Особенности администрирования устройств линейки Zyxel USG

Управлять шлюзами серии USG и настраивать правила безопасности помогает удобный инструмент — Unified Security Policy (Единая политика безопасности). Благодаря ему администратор может применять нужные настройки для каждой из функции UTM, при этом сократив время обслуживания и получив упорядоченное управление политикой безопасности в сети компании.

Инженеры Zyxel позаботились не только о качестве самих устройств, но и разработали сопутствующие утилиты, которые призваны облегчить рутинные операции по администрированию шлюзов. Одна из них — Zyxel One Network (ZON), предназначенная для автоматизации повторно выполняемых процедур развертывания и управления сетью. Zyxel One Network упрощает конфигурирование, управление и диагностику для администраторов и офицеров безопасности. Технология Zyxel Smart Connect помогает сетевым устройствам Zyxel детектировать в корпоративной сети и распознавать друг друга, что позволяет полностью автоматизировать, например, восстановление заводских настроек или перезагрузку. Для решения задачи автоматизированного и оперативного обновления прошивок в шлюзах USG Series реализована другая полезная утилита — специализированный сервис Cloud Helper.

Cloud Helper обеспечивает простой поиск информации о последней версии нужной прошивки, которая устанавливается сразу же после официального релиза производителя, что гарантирует ее достоверность и актуальность. Таким образом, обслуживание всей экосистемы Zyxel в компании существенно упрощается за счет интеграции в сеть различных устройств: маршрутизаторов, коммутаторов, точек доступа Wi-Fi, шлюзов и автоматизации их обслуживания.

Компания Zyxel размещает на выделенном портале Zyxel OneSecurity оперативные бюллетени и рекомендации относительно последних угроз безопасности. Кроме того, на сайте можно найти информативные материалы о новинках сетевой безопасности. Интересной фишкой является то, что поиск нужной информации выполняется одним щелчком мыши прямо в интерфейсе продуктов USG Series. Упорядоченная структура ресурса, удобные инструкции и FAQ помогают администраторам безопасности обеспечить должный уровень защиты сети компании и упрощают управление продуктами Zyxel.

Сервисы и лицензирование устройств линейки Zyxel USG

В каждое из устройств линейки Zyxel USG зашит полный набор технологий, а активация той или иной функциональности происходит посредством подключения необходимой лицензии. Производителем поддерживается модульность в следующем виде:

• Комплексная подписка на все сервисы безопасности Zyxel (AS, AV, CF, IDP/DPI).
• Подписка на сервис Zyxel CF (контентная фильтрация).
• Лицензия Zyxel на увеличение числа одновременных SSL VPN.
• Подписка на сервис Zyxel AV (антивирус).
• Подписка на сервис Zyxel IDP/DPI (обнаружение/предотвращение вторжений и патруль приложений).
• Подписка на сервис Zyxel AS (антиспам).
• Лицензия Zyxel SecuReporter.
• Лицензия Zyxel на увеличение числа управляемых точек доступа.
• Комплект лицензий Zyxel для IPSec VPN-клиента.
• Лицензия Zyxel для Cloud CNM SecuManager.

Таким образом политика лицензирования компании Zyxel предоставляет максимальную гибкость при поставке шлюзов USG для разных компаний с индивидуальными потребностями, а также позволяет добиться оптимального баланса стоимости, производительности и безопасности.

Дополнительно Zyxel предлагает воспользоваться Сервисом по удаленной настройке оборудования и Сервисом по опережающей замене оборудования в случае выхода из строя.

Выводы

Универсальные шлюзы безопасности Zyxel линейки USG соответствуют требованиям, предъявляемым сегодня к устройствам класса UTM с полноценным NGFW на борту. Поддерживаются все современные защитные технологии: межсетевой экран следующего поколения, модули построения IPSec VPN и SSL VPN, средство обнаружения и предотвращения вторжений (IDP), контроль приложений, антивирус, антиспам, модуль контентной фильтрации, проверка и инспекция SSL-трафика.

Отдельно стоит отметить реализацию системы централизованного управления, существенно упрощающую конфигурирование парка устройства в компании. Модельный ряд достаточно широкий для удовлетворения задач любых компаний: от небольшой организации до крупного предприятия. Наличие гибкой политики лицензирования позволяет подобрать необходимый набор функций, не переплачивая лишнего. В то же время всегда существует возможность докупить и моментально активировать дополнительные технологические возможности.