К середине 2026 года российский NGFW всё чаще держит на себе не только фильтрацию трафика, но и связность распределённой сети: филиалы, удалённые ЦОДы, производственные площадки, куски в облаке. Слой, который управляет каналами, называется SD-WAN. И здесь за пару месяцев произошёл сдвиг. Ещё в марте аналитики писали, что интеграция NGFW и SD-WAN в России отстаёт, а уже в апреле Ideco выпустил NGFW Novum со встроенным SD-WAN, и о такой интеграции на 2026 год объявила «Лаборатория Касперского». Отставание осталось на стороне спроса, а не продукта.
Разница между «просто VPN» и SD-WAN — это разница между трубой и диспетчером. Site-to-site VPN строит шифрованный туннель и на этом успокаивается. SD-WAN кладёт поверх нескольких каналов сразу (Ethernet, LTE, MPLS) управляющий слой и раскидывает трафик динамически: по требованиям приложения и по текущему состоянию линка. Упал основной канал — сессия переезжает на резервный без ручного вмешательства. Открылся новый филиал — устройство разворачивают через Zero-Touch Provisioning, почти без выезда инженера.
Чем SD-WAN отличается от VPN на практике
Обычный VPN — транспортный примитив: завернуть трафик в шифр и дотащить до второй точки. SD-WAN добавляет то, чего у голого туннеля нет: централизованные политики сразу для всех площадок, QoS на наложенной сети, маршрутизацию с учётом приложения и состояния канала. Критичный трафик (телефония, ERP, платёжные транзакции) получает приоритет и полосу, всё остальное едет по остаточному принципу.
Как это выглядит в продукте, видно по Ideco NGFW Novum. Маршрут выбирается по SLA-профилям — задержка, джиттер, потеря пакетов; при деградации канала трафик переключается автоматически, каждый узел решает сам, а переключение пишется в журнал с причиной. Overlay строится на IPsec и GRE-over-IPsec в связке с BGP. Это уже не «балансировка двух провайдеров».
Побочный эффект — деньги. SD-WAN позволяет уйти от дорогих провайдерских VPN к обычным интернет-каналам, ускорить запуск новых точек присутствия и снизить совокупную стоимость владения сетью. У западных вендоров интеграция NGFW с SD-WAN давно перестала быть экзотикой и идёт в наборе критериев отбора наравне с производительностью и удобством управления.
Зачем прикручивать SD-WAN к межсетевому экрану
Логика простая. Модель zero trust не разрешает доверять наложенной сети только потому, что она зашифрована. Overlay нужно инспектировать, а инспекция — работа NGFW. Держать маршрутизацию и безопасность в разных руках можно, но это лишний шов: две панели, две команды, ручная сверка политик между сетевиками и безопасниками.
Когда обе функции живут на одной платформе, точек установки меньше, топология проще, а политику пишут один раз. NGFW получает рычаг, которого у него раньше не было: он видит приложения и распределяет полосу по приоритетам исходя из правил безопасности, а не только из сетевых метрик.
За удобство приходится платить железом. В Ideco предупреждают: более совершенная технология требовательнее к аппаратной части, и платформы приходится отдельно оптимизировать, чтобы SD-WAN не съедал запас производительности NGFW. «Включить SD-WAN» — это не галочка в интерфейсе, а пересчёт нагрузки на платформу.
Где интеграция окупается, а где это балласт
Интеграция даёт максимум там, где много филиалов и есть облачное присутствие. Десятки площадок, гибридная инфраструктура, динамические подключения к публичным облакам — здесь единое управление и автоматическое переключение каналов экономят и время, и деньги. И наоборот: если у компании один центральный периметр, две-три площадки и всё лежит on-premise, интеграция NGFW и SD-WAN почти ничего не добавляет ни к безопасности, ни к удобству. Стартовые вложения вырастут, а выигрыша не будет.
Раздельная схема — не архаика. Её плюсы: можно выбирать вендоров по каждому направлению, обновлять NGFW без остановки SD-WAN-сети, а в выделенных шлюзах проще держать тяжёлые функции вроде DLP и IPS. Для сложных сетей и жёстких отраслевых требований это иногда честнее, чем всё в одной коробке.
| Критерий | Раздельно | Интегрированно |
|---|---|---|
| Стартовые затраты | Ниже, докупаешь по частям | Выше, специализированная платформа |
| Эксплуатация и TCO | Дороже: две панели, ручная сверка | Дешевле в долгую: меньше устройств |
| Выбор вендора | Свободный, по каждому направлению | Привязка к одной экосистеме |
| Обновление и замена | Меняешь одно, не трогая другое | Обновление затрагивает обе функции |
| Тяжёлые функции (DLP, IPS) | Проще вынести в отдельные шлюзы | Всё нагружает одну платформу |
| Топология | Больше точек установки | Меньше точек, проще карта сети |
Почему спрос в России отстаёт
Причина не техническая, а рыночная. Российский заказчик смотрит на NGFW прежде всего как на «молотилку правил» и выбирает модель по производительности — чтобы при полном наборе правил фильтрации коробка не захлебнулась. Такой взгляд закономерен для централизованного on-premise, где вся защита живёт внутри контролируемого контура.
SD-WAN же связан с программно-управляемыми сетями, которые обычно предшествуют выходу в облако. А публичные и гибридные облака у нас распространены слабо — отсюда и отставание спроса. Это отмечали эксперты BI.ZONE: разделение на «сетевиков с SD-WAN» и «безопасников с NGFW» отчасти искусственное и усложняет эксплуатацию, но менять его рынок не спешит. Для масштаба: рынок NGFW в РФ в 2024 году оценивали в 52,2 млрд рублей, а доля иностранных решений в новых продажах упала с 72% в 2021-м до 31,6% в 2024-м. Импортозамещение идёт быстро, но тянет его регуляторное давление, а не тяга к тонким сетевым функциям.
Что уже есть у российских вендоров
Ideco к весне 2026 года заявляет себя первым отечественным NGFW со встроенным SD-WAN: в версии Novum 22 SD-WAN идёт без отдельной лицензии, с маршрутизацией по SLA и децентрализованным переключением каналов. «Первый» — формулировка вендора, но встроенный SD-WAN с SLA-профилями там действительно рабочий.
У «Лаборатории Касперского» устроено иначе. SD-WAN у них не самописный: ещё в 2021 году компания купила разработчика «Программируемые сети», и это легло в основу будущего SASE-решения. Kaspersky SD-WAN — зрелый отдельный продукт, дошедший до версии 3.0, а Kaspersky NGFW зарегистрирован в реестре Минцифры осенью 2025 года. Планом на 2026-й стала именно интеграция этих двух продуктов, а не выпуск с нуля. UserGate и «Код Безопасности» тему обсуждают, но упор делают на производительность.
Нюанс про сертификацию, который легко упустить. Сертификат ФСТЭК по приказу № 44 от 07.03.2023 подтверждает функции межсетевого экрана уровня сети — фильтрацию и защиту. Маршрутизация и управление каналами SD-WAN — это сетевые функции, и наличие сертификата на МСЭ само по себе о них ничего не говорит. Что именно покрыто, нужно смотреть в конкретном сертификате продукта, а не выводить из наличия «галочки SD-WAN».
Три мифа, на которых теряют деньги
Миф первый: «SD-WAN — это тот же VPN, только модное название». Нет. VPN — транспорт, SD-WAN — управляющий слой над ним с политиками, приоритетами и автопереключением по качеству канала. Второй: «интегрированное решение всегда выгоднее». В долгую — да, но на старте оно дороже, и для маленькой одноплощадочной сети переплата не отобьётся. Третий: «без SD-WAN ваш NGFW устарел». Отсутствие интеграции не делает экран хуже — раздельная схема остаётся рабочей и местами предпочтительной. Эти и другие мифы про выбор NGFW стоят бизнесу конкретных сумм.
Куда это движется
На горизонте — модель SASE, где сетевые функции (SD-WAN, маршрутизация) и безопасность (NGFW, ZTNA, CASB) сливаются в единый сервис, часто облачный. Для рынка, который держится за on-premise, это развилка: открытый вопрос — придётся ли менять нынешние модели NGFW при переходе на SASE.
Чем SD-WAN отличается от обычного VPN?
VPN строит шифрованный туннель между точками. SD-WAN добавляет поверх нескольких каналов управляющий слой: централизованные политики, приоритеты для критичных приложений (QoS) и автоматическое переключение по качеству канала — задержке, джиттеру, потере пакетов.
Нужна ли интеграция NGFW и SD-WAN небольшой компании?
Чаще нет. При одном центральном периметре и паре площадок on-premise выигрыша почти нет, а стартовые затраты растут. Интеграция окупается там, где много филиалов и есть облачное присутствие.
У каких российских NGFW уже есть SD-WAN?
Ideco NGFW Novum 22 несёт встроенный SD-WAN без отдельной лицензии. У «Лаборатории Касперского» SD-WAN и NGFW — отдельные продукты, их интеграцию компания заявила на 2026 год. Прочие вендоры тему обсуждают, делая упор на производительность.
Сертифицирует ли ФСТЭК функции SD-WAN?
Сертификат по приказу ФСТЭК № 44 подтверждает межсетевой экран уровня сети — фильтрацию и защиту. Маршрутизация SD-WAN под него сама по себе не подпадает; объём сертификации нужно проверять по конкретному продукту.
Что такое Zero-Touch Provisioning?
Способность удалённого устройства самонастраиваться при запуске почти без участия человека. Для SD-WAN это ключевая функция: она позволяет разворачивать филиалы без выезда инженера.
