Российский рынок корпоративных криптошлюзов уже нельзя свести к нескольким устройствам, которые шифруют трафик между филиалами. Производители предлагают полноценные сетевые платформы с маршрутизацией, межсетевым экранированием, централизованным управлением и защитой удалённого доступа. Но за похожими характеристиками скрываются несовместимые протоколы, разные способы работы с ключами и серьёзные различия в сертификации. Я считаю ViPNet Coordinator HW 5 и С-Терра Шлюз 5.0 наиболее сильными универсальными решениями для крупных распределённых сетей. «Континент 4» особенно интересен как сочетание NGFW и ГОСТ VPN. Однако выбор для инфраструктуры с обязательным классом КС3 уже будет другим, а для некоторых государственных систем даже КС3 недостаточно.
Все оценки, выводы и прогнозы выражают моё личное мнение на основе проверяемых характеристик продуктов и собственных объективных и субъективных оценок. Рейтинг относится к выбранному сценарию на дату публикации и не заменяет пилот. Если отдельно не указано иное, я не проводил собственных лабораторных испытаний перечисленных продуктов.
Что сравниваю и для какой организации
Дата среза рынка октябрь 2026 года. Прогноз охватывает 2027–2029 годы.
Под корпоративным криптошлюзом понимаю программное или программно-аппаратное средство, которое защищает сетевой трафик между площадками, использует российские криптографические алгоритмы и позволяет централизованно управлять защищёнными соединениями. В основном рейтинге рассматриваю решения для межфилиального VPN на сетевом уровне. Поддержка защищённого удалённого доступа выступает дополнительным преимуществом, но не заменяет межплощадочную функциональность.
Типовой сценарий предполагает организацию со 120 филиалами, двумя ЦОД, несколькими тысячами сотрудников и несколькими операторами связи. Нужно обеспечить защищённое соединение филиалов с центральными ресурсами, резервирование каналов, динамическую маршрутизацию, централизованное управление ключами и политиками, сбор событий и возможность планового обновления оборудования.
Для основной межфилиальной сети предполагаю требование к СКЗИ не ниже КС2. Такой сценарий позволяет сопоставить широкий круг актуальных продуктов. Системы, которым требуется КС3 или КВ, рассматриваю отдельно. Более высокий общий балл не компенсирует отсутствие обязательного класса криптографической защиты. Если конкретный проект требует КС3, решение только с КС2 исключается из соответствующего конкурса независимо от остальных достоинств.
В сравнение включаю продукты российской разработки, которые продолжают развиваться и сопровождаться. Наличие российских алгоритмов в иностранном устройстве, локализация интерфейса или продажа оборудования через российского поставщика сами по себе недостаточны. Использование стороннего сертифицированного СКЗИ допустимо, но требует проверки границ ответственности разработчиков.
Что обязательно должен уметь корпоративный криптошлюз
Минимальный набор функций включает криптографическую защиту IP-трафика, аутентификацию взаимодействующих узлов, управление ключевой информацией, разграничение сетевого доступа, поддержку необходимых топологий, журналирование и восстановление после отказа. Для распределённой сети дополнительно оцениваю маршрутизацию, работу через NAT, переключение между провайдерами, массовое изменение политик и наблюдаемость состояния туннелей.
Не считаю обязательным наличие NGFW, IPS или DPI непосредственно в криптошлюзе. В одних организациях объединение защитных функций уменьшает количество оборудования, в других создаёт нежелательную концентрацию рисков. Отдельный криптомаршрутизатор может оказаться более удобным, если межсетевые экраны уже развёрнуты и сопровождаются независимо.
Из основного рейтинга исключаю TLS-шлюзы для веб-приложений, канальные шифраторы Ethernet и OTN, универсальные NGFW без подтверждённой криптографической функциональности и SD-WAN-платформы, для которых управление транспортной сетью важнее собственно криптографической защиты. Такие решения рассмотрены отдельно.
Методика оценки
Использую шесть критериев. Каждый получает от 0 до 10 баллов, итог рассчитываю с учётом веса. Баллы отражают пригодность решения для выбранного сценария, а не результаты сравнительных лабораторных испытаний.
- Сетевая функциональность и VPN, 25%. Топологии, маршрутизация, масштабирование, протоколы, удалённый доступ и совместимость.
- Криптография и регуляторная применимость, 25%. Сертифицированные исполнения, классы защиты, актуальность сертификатов и ограничения использования.
- Централизованное управление, 20%. Управление ключами, политиками, конфигурациями и большим количеством узлов.
- Эксплуатация и отказоустойчивость, 15%. Резервирование, диагностика, обновления, восстановление и сопровождение.
- Экосистема и интеграции, 10%. Клиенты, программные и виртуальные исполнения, интеграции с корпоративной инфраструктурой.
- Зрелость и развитие, 5%. История выпусков, полнота документации, доступность специалистов и подтверждённые сценарии применения.
Потенциал на 2027–2029 годы оцениваю отдельно от текущего балла. Уверенность характеризует полноту доступных сведений. Даже высокая уверенность в характеристиках продукта не означает, что его стабильность и качество поддержки проверены независимым сравнительным тестированием.
Состояние российского рынка ГОСТ VPN
Рынок корпоративных криптошлюзов поддерживают импортозамещение, развитие распределённых инфраструктур и требования к защите информации в регулируемых системах. Дополнительный спрос формируют удалённая работа, объединение нескольких ЦОД и переход организаций к гибридным инфраструктурам.
Оценки объёма российского рынка оборудования ГОСТ VPN за 2025 год находятся примерно в диапазоне 23,5–23,8 млрд рублей. Прогноз на 2026 год составляет 26,6–27 млрд рублей, на 2027 год около 29,8–31 млрд рублей. Предполагаемые темпы роста находятся в пределах 12–15% ежегодно.
Приведённые суммы следует воспринимать как оценки участников рынка, а не как результат независимого аудита продаж. Методики отличаются составом учитываемых продуктов и уровнем цен. Например, одна из оценок в ценах производителей даёт для 2025 года 23,8 млрд рублей, а в конечных ценах для заказчиков с учётом партнёрского канала около 30,9 млрд. Складывать такие показатели или использовать их для расчёта долей отдельных производителей нельзя.
По зрелости предложений рынок неоднороден. ViPNet, «Континент», С-Терра, ФПСУ и «ЗАСТАВА» имеют длительную историю развития и собственные криптографические экосистемы. Другие участники конкурируют специализацией, интеграцией VPN с UTM-функциями, необычными архитектурами или поддержкой конкретных видов сетевого взаимодействия.
Главное изменение последних лет заключается в том, что корпоративному заказчику недостаточно купить сертифицированный шифратор. При развёртывании сотен узлов решающими становятся управление ключами, резервирование центральных компонентов, автоматизация настройки, массовые обновления и возможность быстро заменить неисправный шлюз без ручного восстановления всей конфигурации.
Второй барьер связан с совместимостью. Два криптошлюза могут поддерживать ГОСТ, IPsec и даже IKEv2, но не устанавливать между собой защищённое соединение из-за различий в наборах алгоритмов, идентификаторах, обработке сертификатов или особенностях реализации протокола. При проприетарном туннельном механизме совместимость с другими производителями тем более нельзя предполагать заранее.
Третий фактор связан с компетенциями. Сетевой инженер, уверенно работающий с BGP, VRF и IPsec, необязательно знаком с особенностями российских СКЗИ. Специалист по криптографии, в свою очередь, не всегда способен сопровождать сложную распределённую сеть с несколькими операторами связи. Для крупного внедрения нужны обе квалификации, а иногда ещё и отдельные знания о сертифицированных конфигурациях.
В 2026 году изменились правила выбора СКЗИ
С 1 марта 2026 года действует приказ ФСТЭК России № 117 от 11 апреля 2025 года, регулирующий защиту информации некриптографическими методами в государственных информационных системах и других системах, на которые распространяются его требования. В сентябре вступили в силу отдельные изменения к документу.
С 11 сентября 2026 года действуют новые требования ФСБ России, утверждённые приказом № 321 от 22 августа 2026 года. Документ заменил прежний приказ ФСБ № 117 от 18 марта 2025 года. Путать приказ ФСБ № 117 с продолжающим действовать приказом ФСТЭК № 117 нельзя.
Новые криптографические требования для охватываемых государственных систем связывают минимально допустимый класс СКЗИ с уровнем значимости информации и масштабом информационной системы. Например, для системы высокой значимости, работающей на территории двух и более субъектов Российской Федерации, таблица предусматривает класс КВ. Для системы высокой значимости регионального масштаба указан КС3, а в пределах отдельного муниципального образования или объекта КС2. При этом документ содержит дополнительные условия и исключения, которые необходимо учитывать при выборе средства защиты.
Следовательно, популярная рекомендация «для государственных заказчиков всегда достаточно КС3» некорректна. Не менее ошибочно требовать КС3 от любой частной корпоративной сети только потому, что организация использует персональные данные. Класс защиты определяется применимыми требованиями и моделью угроз, а не отраслью или названием оборудования.
Сертификаты ФСБ и ФСТЭК решают разные задачи. Первый подтверждает определённые криптографические характеристики СКЗИ и условия его использования. Второй может подтверждать свойства межсетевого экрана, системы обнаружения вторжений или доверенность программно-аппаратного комплекса. Наличие обоих документов не освобождает заказчика от проектирования системы защиты и проверки конкретного исполнения.
Срок действия сертификата также нельзя путать со сроком технической поддержки или моментом физического прекращения работы устройства. По окончании сертификата шлюз не перестаёт шифровать трафик автоматически. Но для закупки, обновления и дальнейшей эксплуатации в регулируемом контуре возникают вопросы, которые следует разрешать по применимым требованиям и документам на конкретное средство защиты.
Рейтинг российских корпоративных криптошлюзов 2026
Основной рейтинг относится к распределённой корпоративной сети с требованием КС2. Возможность применения в проектах КС3 указана отдельно, чтобы не смешивать общую функциональность с обязательными регуляторными условиями.
| Продукт | Итог | Основной сценарий | Преимущество | Ограничение | Потенциал | Уверенность |
|---|---|---|---|---|---|---|
| ViPNet Coordinator HW 5 | 9,00 | Большие распределённые сети, КС3 | Развитая криптографическая экосистема | Сложная миграция между поколениями и средствами управления | Высокий | Высокая |
| С-Терра Шлюз 5.0 | 8,90 | Сложные IP-сети, КС3 и специальные исполнения КВ | Сетевая функциональность и IPsec | Межвендорную совместимость ГОСТ нужно проверять отдельно | Высокий | Высокая |
| Континент 4 | 8,55 | NGFW и межфилиальный VPN до КС2 | Интеграция сетевой и криптографической защиты | Нет подтверждённого КС3 для версии 4 | Высокий | Высокая |
| ФПСУ-IP v4 | 8,40 | Крупные специализированные криптографические сети, КС3 | Разнообразие исполнений и собственная инфраструктура | Сложная матрица модификаций и сертификатов | Высокий | Средняя |
| ЗАСТАВА-Офис 8 | 8,35 | Гибридные филиальные инфраструктуры, КС3 | Программные и аппаратные варианты развёртывания | КС3 предъявляет дополнительные требования к исполнению | Высокий | Средняя |
| КриптоПро NGate | 8,00 | IPsec между площадками и защищённый доступ | Несколько сценариев VPN на одной платформе | Сертификаты действуют до декабря 2026 года | Умеренный | Средняя |
| Numa Edge | 7,65 | UTM и ГОСТ VPN до КС2 | Совмещение сетевых функций и OpenVPN-ГОСТ | Сертифицированный режим не равен любому доступному VPN | Умеренный | Средняя |
| Dionis DPS | 7,55 | Специализированные корпоративные и регулируемые сети | Интеграция криптографии, маршрутизации и фильтрации | Разные сроки сертификатов для разных выпусков | Умеренный | Средняя |
| Diamond VPN/FW | 7,40 | Защищённая сеть преимущественно одного производителя | Собственное СКЗИ и централизованное управление | Проприетарный механизм VPN ограничивает совместимость | Умеренный | Средняя |
Различие между двумя первыми позициями практически несущественно без пилота. Заказчик со сложной маршрутизируемой сетью может предпочесть С-Терру, а организация с большим существующим контуром ViPNet получит дополнительные преимущества от сохранения экосистемы. «Континент 4» занимает третье место именно для базового сценария КС2. В отдельном сравнении решений с обязательным КС3 такая позиция была бы невозможна.
Подробный обзор основных решений
В каждом продукте оцениваю не только заявленные функции, но и последствия внедрения. Особое внимание уделяю сертифицированным версиям, управлению, миграции и эксплуатационным ограничениям. Открытые отзывы о крупных криптографических сетях встречаются значительно реже описаний отдельных внедрений. Поэтому не делаю категоричных выводов о частоте сбоев или качестве поддержки там, где нет сопоставимых данных.
1. ViPNet Coordinator HW 5
ViPNet Coordinator HW 5 компании «ИнфоТеКС» представляет аппаратную платформу для построения защищённых корпоративных сетей. В зависимости от модели и лицензируемых возможностей шлюз сочетает криптографическую защиту трафика, межсетевое экранирование и дополнительные функции сетевой безопасности. Продукт тесно интегрирован с инфраструктурой управления ViPNet, программными клиентами и другими компонентами экосистемы.
Сильнейшей стороной считаю не отдельную характеристику оборудования, а комплексность предложения. Для филиалов и крупных узлов предусмотрены разные аппаратные платформы. Существуют виртуальные исполнения, клиенты и специализированные решения для дополнительных сценариев доступа. Такой подход упрощает построение однородной защищённой сети, хотя усиливает зависимость от производителя и его системы управления ключами.
В августе 2026 года ViPNet Coordinator HW 5 с программным обеспечением версии 5.4.2 получил сертификат ФСБ России № СФ/124-5596 по классу КС3. Документ действует до 31 декабря 2028 года и относится к конкретному перечню аппаратных платформ. Для виртуального ViPNet Coordinator VA с ПО 5.4.2 предусмотрен отдельный сертификат № СФ/124-5590 по классу КС1. Сертификат ФСТЭК № 4831 действует до 25 июля 2029 года. При этом нельзя автоматически объединять сертифицированные характеристики разных сборок в одну произвольную конфигурацию.
Главное практическое событие октября связано с завершением жизненного цикла части четвёртого поколения. У ряда исполнений ViPNet Coordinator HW 4 сертификаты заканчиваются 29 октября 2026 года. Производитель обозначил прекращение продаж HW 4 с 30 октября и поддержку по действующим условиям до конца 2027 года. Это создаёт непосредственную задачу миграции для организаций, которые ещё не перешли на HW 5. Однако отдельные исполнения HW 4 имеют другие сертификаты, поэтому нельзя утверждать, что после 29 октября вся четвёртая линейка окажется без действующих документов.
Миграция затрагивает больше, чем программное обеспечение шлюза. Нужно проверить совместимость аппаратных платформ, ключевую инфраструктуру, лицензии, способ управления через ViPNet Prime и возможность временно эксплуатировать устройства разных поколений. Для части оборудования переход может быть программным, для других площадок потребуется замена. Особенно неприятный сценарий возникает, когда сотни филиалов технически готовы к обновлению, но схема управления ключами и порядок перехода не позволяют выполнять работы независимо.
Мой вывод. Для крупной организации с распределённой сетью ViPNet Coordinator HW 5 остаётся первым кандидатом на пилот. Потенциал высокий. В 2027–2029 годах ожидаю сохранения сильных позиций за счёт новой сертифицированной версии и масштаба существующей экосистемы. Главный риск связан со сложностью массовой миграции. Если обновление больших инсталляций выявит систематические проблемы совместимости или управления, преимущество над С-Террой сократится.
2. С-Терра Шлюз 5.0
С-Терра Шлюз 5.0 ориентирован на защиту корпоративного IP-трафика с применением IPsec и российских криптографических алгоритмов. Архитектура особенно интересна для организаций со сложной сетевой топологией. В линейке предусмотрены механизмы динамической маршрутизации, route-based VPN, GRE, VRF, VLAN, резервирование каналов и централизованное управление.
Платформа выпускается в нескольких исполнениях, включая аппаратные шлюзы, виртуальные варианты и производительное семейство DP. Для массового администрирования предусмотрены специализированные средства управления. Поддержка привычных сетевым инженерам механизмов снижает сложность интеграции в существующую IP-инфраструктуру, но не отменяет необходимость разбираться в собственной модели криптографической защиты.
Версия 5.0 имеет широкий набор актуальных сертификатов. ФСБ России выдала сертификат № СФ/124-5501 для исполнения класса КС3 со сроком действия до 7 мая 2029 года. Сертификат ФСТЭК № 4973 на соответствующие исполнения шлюзов действует до 9 сентября 2030 года. Виртуальное исполнение имеет собственную сертификацию по КС1, которую нельзя приравнивать к КС3 аппаратного комплекса.
Особенно интересно появление в июне 2026 года сертификатов на исполнения класса КВ. Для С-Терра Шлюз 5.0 указаны документы № СФ/124-5563 и № СФ/123-5564, действующие до 17 июня 2029 года. Такие исполнения могут оказаться принципиально значимыми для проектов, где новые требования к государственным системам не позволяют ограничиться КС3. При этом наличие КВ в семействе не означает, что любая модель С-Терра автоматически соответствует данному классу.
Реальное достоинство платформы проявляется в сложной маршрутизируемой инфраструктуре. Но межвендорный ГОСТ IPsec необходимо проверять в лаборатории. Совпадения названий протоколов недостаточно для гарантированного соединения. Следует сравнить поддерживаемые наборы криптографических преобразований, процедуры обмена ключами, аутентификацию, правила маршрутизации и поведение при смене провайдера.
Есть и полезное изменение в обслуживании. В октябре 2026 года аккредитованные инженеры партнёра получили возможность выполнять обновление «С-Терра Шлюз» до версии 5.0 непосредственно на площадке заказчика, без вывоза оборудования в лабораторию производителя. Для распределённой сети подобная процедура иногда важнее небольшой разницы в паспортной скорости. Однако условия, совместимые платформы и сохранение сертифицированного исполнения нужно проверять отдельно.
Мой вывод. С-Терра Шлюз 5.0 рекомендую для сложных IP-сетей, где маршрутизация и управляемость имеют высокий приоритет. Потенциал высокий, а наличие исполнений КВ расширяет область применения. Ожидаю усиления конкуренции с ViPNet в крупных проектах. Главные риски связаны с совместимостью и массовым управлением. Улучшение позиции станет вероятнее при подтверждённой эксплуатации крупных сетей пятого поколения.
3. Континент 4
«Континент 4» компании «Код Безопасности» объединяет функции NGFW и криптошлюза. Платформа предназначена для защиты сетевого периметра, фильтрации трафика, обнаружения атак и организации защищённых VPN-соединений. С архитектурной точки зрения продукт ближе к многофункциональному сетевому экрану с сертифицированной криптографией, чем к специализированному устройству, выполняющему только шифрование.
Для заказчика основное преимущество заключается в возможности управлять сетевой фильтрацией и VPN в рамках единой платформы. Поддерживаются аппаратные исполнения различной производительности, центральные средства управления, серверный доступ и отказоустойчивые конфигурации. Такой подход может уменьшить количество отдельных устройств, но повышает требования к расчёту совокупной нагрузки.
В августе 2025 года сборка 4.2.1.653 получила сертификат ФСБ России № СФ/124-5237 по классу КС2. Сертификат распространяется на предусмотренный функционал IPsec VPN и действует до 20 августа 2028 года. Для версии 4 я не нашёл достаточных подтверждений действующего исполнения КС3. Сертификат ФСТЭК № 4496 на комплекс версии 4 действует до 14 декабря 2026 года. На дату обзора до окончания срока остаётся менее двух месяцев, поэтому продолжение сертификации должно входить в число первых вопросов при закупке.
Серьёзная особенность связана с режимами производительности. В некоторых аппаратных моделях «Континента 4» высокопроизводительный режим межсетевого экрана NF2 не позволяет одновременно использовать VPN. Поэтому максимальную пропускную способность NF2 нельзя выдавать за скорость устройства при включённом ГОСТ VPN. Производительность IPS, DPI, межсетевого экрана и криптографии следует проверять в сочетании функций, которое действительно предусмотрено архитектурой.
Отдельную роль продолжает играть «Континент 3.9». Для определённых исполнений предыдущего поколения подтверждён КС3, в частности сертификатом № СФ/124-4804 со сроком действия до 15 марта 2027 года. Версия 3.9 используется в отдельных сценариях подключения к защищённым государственным системам и не может считаться просто устаревшим обозначением «Континента 4». Переход между поколениями требует проверки совместимости, системы управления, клиентов и сертифицированных режимов.
Мой вывод. «Континент 4» рекомендую для корпоративной сети КС2, если организация хочет объединить NGFW и криптографическую защиту. Потенциал высокий. Но для обязательного КС3 текущая подтверждённая конфигурация четвёртого поколения не подходит. Ожидаю усиления продукта при развитии сертифицированной линейки. Появление КС3 для актуального поколения и подтверждённая работа VPN совместно с необходимыми защитными механизмами станут основаниями для пересмотра оценки.
4. ФПСУ-IP v4
ФПСУ-IP компании «Амикон» представляет специализированную систему защиты корпоративных каналов связи. Четвёртое поколение развивает концепцию криптомаршрутизатора с собственными средствами управления, клиентскими компонентами и широким набором аппаратных исполнений. Платформа ориентирована на организации, которым необходима управляемая защищённая сеть, а не просто отдельное VPN-подключение.
Сильная сторона семейства заключается в разнообразии конфигураций. Предусмотрены варианты для небольших филиалов и крупных узлов, инструменты криптографического управления, резервирования и взаимодействия с удалёнными пользователями. При этом модель построения сети достаточно специализированная. Опыт сопровождения обычного IPsec не означает, что инженер без подготовки сможет быстро перенести действующую инфраструктуру на ФПСУ.
СКЗИ «ФПСУ-IP Amigo» в модификации 4.0.1 имеет сертификаты ФСБ России № СФ/114-5422, № СФ/114-5423 и № СФ/114-5424 для классов КС1, КС2 и КС3 соответственно. Для модификаций 4.0.2 и 4.0.2Q предусмотрены отдельные документы. Указанные сертификаты четвёртого поколения имеют сроки действия до июня 2027 года. Выбирать изделие только по обозначению «ФПСУ-IP v4» недостаточно, поскольку класс защиты зависит от конкретной модификации и варианта исполнения.
При оценке производительности я бы не ориентировался на максимальные показатели старших моделей без испытаний. Криптографическая скорость определяется не только процессором и количеством портов, но и алгоритмом, размером пакетов, топологией и набором включённых механизмов. Для ЦОД важны пропускная способность и задержка, для филиальной сети часто критичнее время восстановления соединения и качество диагностики.
Отдельного внимания заслуживает удалённый доступ. Возможна интеграция с внешними механизмами дополнительной аутентификации, однако нужно различать проверку пользователя перед подключением и криптографическую аутентификацию самого туннеля. Наличие второго фактора не меняет класс СКЗИ и не решает автоматически вопросы управления ключами.
Мой вывод. ФПСУ-IP v4 рекомендую включать в короткий список крупных регулируемых проектов, особенно при существующей инфраструктуре «Амикона». Потенциал высокий. Ожидаю дальнейшего развития четвёртого поколения, но важным условием останется актуализация сертификатов и прозрачность перехода между модификациями. Повысить позицию помогут подтверждённые результаты эксплуатации новой линейки в больших сетях.
5. ЗАСТАВА-Офис 8
«ЗАСТАВА» компании «ЭЛВИС-ПЛЮС» представляет семейство программных и программно-аппаратных средств криптографической защиты. Восьмое поколение ориентировано на построение межофисных VPN с российскими алгоритмами, фильтрацией трафика, маршрутизацией и централизованным управлением.
Архитектура отличается гибкостью развёртывания. Предусмотрены программные варианты и аппаратные комплексы для площадок с разными требованиями к производительности. Поддерживаются механизмы IPsec, управление маршрутами, резервирование соединений и функции, необходимые для распределённых корпоративных сетей. Подобная гибкость позволяет выбирать платформу под конкретную площадку, но усложняет контроль состава сертифицированных поставок.
В апреле 2026 года для восьмой версии выданы сертификаты ФСБ № СФ/114-5486 по КС1 и № СФ/124-5487 по КС3. Документы действуют до 26 июня 2028 года. Также сертифицированы отдельные аппаратные шлюзы «ЗАСТАВА-1500» и «ЗАСТАВА-6000». Класс КС3 относится к определённым программно-аппаратным исполнениям с выполнением предусмотренных требований, включая необходимые средства доверенной загрузки. Обычная программная установка не приобретает КС3 автоматически.
У восьмого поколения сертифицированы не только шлюзы, но и отдельные компоненты управления и клиентского доступа. Для крупного развёртывания такое обстоятельство имеет практическое значение. Заказчик может строить законченный контур без предположения, что сертификат шлюза распространяется на управляющий сервер или рабочую станцию пользователя.
Самым интересным эксплуатационным вопросом считаю стоимость архитектуры миграции. В распределённой сети на итоговые затраты влияют количество центральных и резервных устройств, необходимость параллельных туннелей, изменения топологии и требования к персоналу. Для оценки «ЗАСТАВЫ» полезно сравнивать не два отдельных шлюза, а два законченных проекта защищённой сети с одинаковыми требованиями к доступности.
Мой вывод. «ЗАСТАВА-Офис 8» считаю сильным вариантом для организаций, которым нужны программные и аппаратные исполнения в одной экосистеме. Потенциал высокий. Ожидаю дальнейшего развития семейства, включая следующую версию, но функции будущих продуктов не включаю в текущий рейтинг. Для улучшения позиции необходимы убедительные сведения о массовой эксплуатации новых выпусков и прозрачная миграция между поколениями.
6. КриптоПро NGate
КриптоПро NGate часто относят к средствам защищённого удалённого доступа, однако продукт поддерживает не только TLS-соединения пользователей с корпоративными ресурсами. В платформе также предусмотрен IPsec VPN между площадками. Поэтому NGate можно рассматривать как корпоративный криптошлюз, хотя его назначение шире классического межфилиального шифрования.
Различные режимы позволяют использовать NGate для подключения сотрудников, защиты доступа к веб-приложениям, портальных сценариев и site-to-site IPsec. Архитектура включает серверные компоненты, программные клиенты и средства управления. Наличие нескольких способов доступа полезно для организаций, которым нужно разделять сетевые и прикладные права пользователей.
Для сертифицированной версии 1.0 R2 предусмотрены сертификаты ФСБ № СФ/114-4687, № СФ/124-4688 и № СФ/124-4689 по классам КС1, КС2 и КС3. Все три действуют до 22 декабря 2026 года. Различаются не только классы, но и перечисленные в документах исполнения. Перед закупкой нового контура необходимо получить подтверждение дальнейшего сертификационного сопровождения и допустимых способов перехода на следующие версии.
У IPsec-функциональности имеется отдельная особенность лицензирования. Доступ к настройкам IPsec появляется после активации соответствующей лицензии. Следовательно, демонстрационный или уже установленный NGate нельзя автоматически считать готовым к межофисному VPN. Для проекта потребуются подходящие лицензионные права, настройка кластеров, ключевой инфраструктуры и оценка вычислительных ресурсов, выделенных под IPsec.
На фоне специализированных криптомаршрутизаторов у NGate менее очевидны преимущества в сложных сетевых топологиях. Наличие IPsec ещё не означает сопоставимую реализацию BGP, VRF, резервирования и массового управления сотнями филиалов. Подобные возможности следует проверять по конкретному сценарию. При этом опыт разработчика в российской криптографии и инфраструктуре сертификатов остаётся существенным преимуществом.
Мой вывод. NGate особенно интересен для организаций, которым одновременно нужны межплощадочный IPsec и несколько форм удалённого доступа. Потенциал умеренный. Главный краткосрочный риск связан с окончанием сертификатов в декабре 2026 года. Ожидаю укрепления позиции при обновлении сертифицированной ветки и развитии сетевых функций. Без подтверждённого сертификационного продолжения не рекомендовал бы начинать долгосрочный регулируемый проект.
7. Numa Edge
Numa Edge компании «НумаТех» представляет универсальный сетевой шлюз с межсетевым экранированием, маршрутизацией, VPN и другими функциями UTM. Продукт рассчитан на организации, которые хотят заменить несколько сетевых компонентов единым комплексом и при этом использовать российские средства защиты информации.
Криптографическая функциональность строится с применением встроенного СКЗИ «МагПро КриптоПакет» версии 4.0 в исполнении «OpenVPN-ГОСТ». Соответствующие сертификаты ФСБ № СФ/114-5043 и № СФ/124-5044 подтверждают КС1 и КС2. Первый действует до 31 декабря 2026 года, второй до 17 декабря. Отдельно имеется сертификат ФСТЭК № 4199 для Numa Edge версии 1.5 со сроком действия до 26 декабря 2029 года.
Здесь возникает принципиальное различие между функцией и сертифицированным режимом. Шлюз поддерживает различные механизмы VPN, но сертификаты на OpenVPN-ГОСТ нельзя автоматически распространять на обычный IPsec или любые другие способы туннелирования. Для регулируемого проекта следует установить точный режим работы, состав криптографического компонента и предусмотренную конфигурацию.
В сетевой части Numa Edge предлагает корпоративные средства маршрутизации, резервирования каналов, интеграцию с каталогами пользователей и централизованное администрирование. Для небольшой и средней инфраструктуры сочетание функций выглядит практично. В больших сетях нужно проверить массовое управление конфигурациями, обновление криптографического компонента и фактическую производительность защищённых соединений.
Отдельный риск связан с зависимостью от встроенного СКЗИ. Даже если сетевой компонент обновляется независимо, криптографическое исполнение должно сохранять подтверждённую сертифицированную конфигурацию. Организации придётся согласовывать жизненный цикл сетевого ПО, криптографического модуля и аппаратной платформы.
Мой вывод. Numa Edge рекомендую рассматривать для UTM-проектов с требованиями до КС2, особенно при необходимости объединить сетевые функции и ГОСТ VPN. Потенциал умеренный. Главные условия роста связаны с продлением сертификации и расширением подтверждённой эксплуатационной практики. Для обязательного КС3 продукт в рассмотренной конфигурации не подходит.
8. Dionis DPS
Dionis DPS компании «Фактор-ТС» представляет линейку программно-аппаратных комплексов для защиты сетевого взаимодействия. В состав решений входят криптографическая защита, межсетевое экранирование, маршрутизация и средства обнаружения сетевых атак. Модельный ряд охватывает небольшие филиалы и более производительные центральные узлы.
Платформа использует программное обеспечение Dionis-NX. Разные серии устройств отличаются производительностью, сетевыми интерфейсами и возможностями отказоустойчивости. Предусмотрены корпоративные средства администрирования и мониторинга. Для организации с неоднородной инфраструктурой важно, что филиальное и центральное оборудование можно выбирать в пределах одной технологической линейки.
Сертификат ФСТЭК № 4225 действует до 13 февраля 2030 года. В перечне криптографических документов представлены сертификаты ФСБ № СФ/124-5024 для версии 2.0 и № СФ/124-5025 для 2.0-1 со сроком действия до 15 ноября 2027 года. При этом сертификаты № СФ/124-5307 и № СФ/124-5309, относящиеся к отдельным выпускам 2.0-3, закончились 30 августа 2026 года.
На первый взгляд такое сочетание может показаться нелогичным. Более новая по номеру сборка способна иметь более раннюю дату окончания сертификата, чем другая ветка продукта. Но сертифицируется конкретное исполнение, а не абстрактно вся линейка. Поэтому номер релиза сам по себе не определяет регуляторную применимость.
Для Dionis DPS я бы особенно тщательно проверял точное соответствие установленной сборки, формуляра и сертификата. Отдельно нужны испытания массового управления и резервирования. Открытых воспроизводимых сравнений работы больших сетей на разных выпусках Dionis-NX недостаточно, чтобы делать уверенные выводы о превосходстве платформы по стабильности или эксплуатационным затратам.
Мой вывод. Dionis DPS остаётся действующим вариантом для специализированных защищённых сетей. Потенциал умеренный. Ожидаю сохранения позиций в проектах, где используется собственная инфраструктура производителя. Для заметного роста конкурентоспособности необходимы актуализация сертифицированных выпусков, более прозрачная история развития и дополнительные сведения о крупных внедрениях.
9. Diamond VPN/FW
Diamond VPN/FW компании «ТСС» представляет многофункциональный комплекс сетевой защиты. Платформа объединяет шифрование, фильтрацию трафика, обнаружение атак, маршрутизацию и отказоустойчивость. Для централизованного управления используется Diamond NCC, для удалённого доступа предусмотрен собственный клиент.
Главная архитектурная особенность связана с механизмом защищённого соединения. Diamond VPN/FW устанавливает туннели поверх UDP с использованием собственного криптографического решения Dcrypt. Подобный подход позволяет строить соединения через NAT и использовать предусмотренную производителем схему клиент-сервер, но не предполагает автоматическую совместимость со стандартными ГОСТ IPsec-шлюзами других разработчиков.
СКЗИ Dcrypt имеет разные исполнения для рабочих станций, VPN, библиотек и высокоскоростных каналов. В 2026 году производитель представил новые сертификаты, включая № СФ/124-5588 для ряда исполнений, используемых в защищённых соединениях. При этом старые таблицы характеристик продолжают содержать номера сертификатов со сроком действия до 5 сентября 2026 года. Поэтому при закупке необходимо сверять новые документы, формуляр, фактическое исполнение и установленную версию. Старую дату нельзя считать статусом всей современной линейки, но и новый номер сертификата не подтверждает любую возможную конфигурацию.
У продукта есть практическое преимущество в сетях, полностью построенных на Diamond. Единая система управления и собственный клиент позволяют избежать части межвендорных проблем. Обратная сторона заключается в зависимости от одного поставщика и сложности последующего перехода на другую криптографическую платформу.
Производитель также развивает Diamond NEXT, предназначенный для более широких задач сетевой безопасности. Но регистрация нового программного продукта и наличие сертифицированных криптографических компонентов ещё не означают завершённую сертификацию любой конфигурации нового комплекса.
Мой вывод. Diamond VPN/FW интересен организациям, которые готовы использовать преимущественно одну технологическую платформу. Потенциал умеренный. В 2027–2029 годах ожидаю развития семейства и дальнейшей интеграции сетевых функций. Главные ограничения связаны с совместимостью и необходимостью тщательно проверять сертифицированные исполнения. Оценку можно повысить после подтверждения зрелости новой платформы и упрощения взаимодействия с другими производителями.
Частные оценки и итоговый балл
Итоговые результаты получены из следующих частных баллов. Таблица показывает относительные преимущества продуктов для выбранной распределённой сети, а не измеренные показатели отказоустойчивости или скорости шифрования.
| Продукт | VPN 25% | Криптография 25% | Управление 20% | Эксплуатация 15% | Экосистема 10% | Зрелость 5% | Итог |
|---|---|---|---|---|---|---|---|
| ViPNet Coordinator HW 5 | 9 | 10 | 8 | 8 | 10 | 9 | 9,00 |
| С-Терра Шлюз 5.0 | 9 | 9 | 9 | 9 | 8 | 9 | 8,90 |
| Континент 4 | 9 | 8 | 9 | 8 | 9 | 8 | 8,55 |
| ФПСУ-IP v4 | 8 | 9 | 8 | 9 | 8 | 8 | 8,40 |
| ЗАСТАВА-Офис 8 | 8 | 9 | 9 | 8 | 7 | 8 | 8,35 |
| КриптоПро NGate | 8 | 8 | 8 | 8 | 8 | 8 | 8,00 |
| Numa Edge | 8 | 8 | 7 | 8 | 7 | 7 | 7,65 |
| Dionis DPS | 8 | 8 | 7 | 8 | 6 | 7 | 7,55 |
| Diamond VPN/FW | 8 | 7 | 8 | 7 | 6 | 8 | 7,40 |
Баллы не следует читать с точностью до сотых как результат измерений. Разница 0,10 или 0,15 пункта в реальном конкурсе легко перекрывается особенностями инфраструктуры. Для крупной организации важнее установить, какой продукт сможет обеспечить необходимый класс защиты, совместимость, масштабируемость и предсказуемую эксплуатацию в её конкретной сети.
Другие российские решения, которые нельзя упускать
Помимо девяти основных участников существует несколько значимых групп продуктов. Часть отличается узкой специализацией, а по некоторым новым решениям пока недостаточно сведений о крупных внедрениях. Наличие сертификата и российское происхождение позволяют включить продукт в карту рынка, но не обязывают выставлять ему балл без сопоставимого анализа.
Новые криптошлюзы и специализированные сетевые комплексы
В этой группе собраны решения, которые могут составить конкуренцию признанным платформам либо решают задачи, выходящие за рамки типовой филиальной сети.
- Фортикс. Криптошлюз компании «ЗТС» имеет сертификат ФСБ № СФ/124-5317 по классу КС3 и сертификат ФСТЭК № 5069, выданный в мае 2026 года. Поддерживает сетевое управление и автоматизацию, включая NETCONF/YANG. Продукт нельзя считать малозначимым только из-за меньшей известности, но сведений о зрелости эксплуатации крупных распределённых сетей пока недостаточно для итогового балла.
- BI.ZONE SD-WAN. Платформа управления распределёнными сетями с российской криптографией, ранее называвшаяся BI.ZONE Secure SD-WAN. Сертификаты ФСБ № СФ/124-4981 и № СФ/124-4982 подтверждают предусмотренные исполнения КС1. Интересна защищённой реализацией WireGuard с российскими алгоритмами. Сравнивать её следует прежде всего с другими SD-WAN-платформами, а не с универсальными криптошлюзами КС3.
- ФПСУ-IP Q. Специализированная модификация семейства «Амикон» со своими сертификатами и особенностями криптографической архитектуры. Имеет смысл в проектах с соответствующими требованиями к защите каналов, но не является независимым разработчиком относительно ФПСУ-IP.
- С-Терра Шлюз DP 5.0. Производительное семейство с отдельными исполнениями и сертификатами, включая КС3. Предназначено для узлов, где необходимы соответствующая пропускная способность и специализированная аппаратная конфигурация. Не учитывается вторым участником рейтинга, поскольку относится к той же платформе.
- ViPNet Coordinator VA 5. Виртуальный шлюз семейства ViPNet. Версия 5.4.2 имеет собственную сертификацию по КС1. В виртуальном ЦОД такой вариант может быть удобнее отдельного устройства, но сертификат аппаратного HW 5 на КС3 не распространяется на VA автоматически.
Канальные шифраторы для ЦОД и операторов связи
Канальное шифрование представляет отдельный сегмент. Подобные устройства защищают Ethernet или транспортные соединения и не обязаны выполнять функции корпоративного L3 VPN, межсетевого экрана и маршрутизатора.
- Dcrypt XG. Высокоскоростной шифратор компании «ТСС» для защиты соединений между ЦОД и магистральных каналов. Производитель указывает исполнения со скоростью до 100 Гбит/с и новые документы для СКЗИ Dcrypt. Паспортную скорость нельзя напрямую сравнивать с производительностью IPsec-шлюза, поскольку уровни обработки и характер нагрузки различаются.
- Dcrypt Smart SFP. Необычный вариант, в котором криптографическая защита реализована в компактном корпусе оптического трансивера. Исполнение 52.1 получило сертификат ФСБ № СФ/124-5380 по классу КС3 со сроком действия до 15 декабря 2027 года. Такой подход интересен для защиты отдельных каналов, когда требуется минимальное изменение существующей сетевой архитектуры, но трансивер не заменяет функции полноценного VPN-шлюза.
- Квазар-100. Специализированное решение для защиты высокоскоростных транспортных сетей OTN. Продукт следует сравнивать с другими канальными шифраторами в операторских инфраструктурах, а не с филиальными криптомаршрутизаторами.
- М-479Р2К. Специализированное устройство «Фактор-ТС» для криптографической защиты высокоскоростных каналов. Семейство имеет исполнения с различными классами криптографической защиты, включая высокие классы. Архитектура и назначение отличаются от универсальных корпоративных VPN-шлюзов.
Появление компактных шифраторов и специализированных исполнений КВ показывает, что российский рынок развивается не только по пути объединения криптографии с NGFW. Сохраняется самостоятельный спрос на устройства, которые решают одну узкую задачу, но предъявляют повышенные требования к пропускной способности, задержке или классу защиты.
TLS-шлюзы и решения удалённого доступа
Прикладной защищённый доступ не всегда требует полноценного сетевого VPN. Для сотрудников и партнёров, которым нужны только определённые веб-приложения, TLS-шлюз может обеспечить более узкую область доступа и отдельную модель управления правами.
- ViPNet TLS Gateway. Шлюз защиты TLS-соединений с российской криптографией. Предусмотрены аппаратные и виртуальные исполнения с различной сертификацией. Подходит для защиты прикладного доступа, но не выступает полной заменой межофисного L3 VPN.
- Континент TLS. Платформа доступа к корпоративным веб-приложениям с российской криптографией. Интересна организациям, которым необходимо отделить пользователей от внутренних сетей и предоставлять права на отдельные сервисы.
- С-Терра TLS Шлюз. Специализированное решение защищённого доступа, отличающееся по архитектуре от семейства IPsec-шлюзов. Требует отдельной проверки лицензий, клиентских компонентов и класса защиты выбранного исполнения.
- ФПСУ-TLS. Средство защиты TLS-соединений и доступа к приложениям. Может использоваться для определённых сценариев взаимодействия между системами, но не должно оцениваться по тем же сетевым критериям, что и криптомаршрутизатор.
- Inter-PRO Server. Решение «Сигнал-КОМ» для защиты веб-взаимодействия с применением российской криптографии. При выборе важны совместимость клиентов, версия криптографического компонента и границы сертифицированной конфигурации.
- Амиконнект. Система удалённого доступа, использующая инфраструктуру ФПСУ и дополнительные механизмы контроля подключения. Представляет законченный сценарий доступа сотрудников, а не независимое семейство межфилиальных криптошлюзов.
NGFW с VPN и продукты на стадии развития
Ещё одна группа включает российские межсетевые экраны, которые поддерживают VPN или развивают функции ГОСТ-шифрования. Не все могут выступать сертифицированной заменой специализированного криптошлюза.
- ALTELL NEO. Многофункциональная платформа сетевой безопасности с VPN. При рассмотрении для ГОСТ VPN необходимо отдельно проверить сертифицированный криптографический режим и состав конкретной поставки.
- Traffic Inspector Next Generation. Российский UTM с функциями VPN и модульной криптографической интеграцией. Регуляторная применимость зависит от используемого СКЗИ, версии и подтверждённой конфигурации.
- Ideco NGFW Novum. Современная российская NGFW-платформа с корпоративными VPN-функциями. Наличие IPsec нельзя приравнивать к сертифицированному ГОСТ VPN необходимого класса. Без такой проверки продукт не включаю в основной рейтинг.
- UserGate ГОСТ VPN. Производитель развивает собственный криптографический продукт для интеграции с экосистемой NGFW. Демонстрации и пилотные проекты были запланированы на 2026 год, коммерческий запуск обозначен на 2027 год. До подтверждённой готовности и сертификации не считаю будущую платформу действующим конкурентом перечисленных криптошлюзов.
Управляемые сервисы ГОСТ VPN, которые предоставляют операторы связи, облачные компании и поставщики услуг информационной безопасности, также не следует считать самостоятельными российскими разработками криптошлюзов. Услуга может работать на ViPNet, С-Терре или другой платформе. Для заказчика меняются модель ответственности, контроль над ключами, эксплуатационные обязанности и порядок реагирования на инциденты, но число базовых технологий от этого не увеличивается.
Сертификаты, которые требуют особого внимания в конце 2026 года
Несколько участников рейтинга подходят к существенным сертификационным датам. При долгосрочной закупке я бы рассматривал не только наличие действующего документа на 16 октября, но и состояние следующей сертифицированной версии.
| Продукт или исполнение | Контрольная дата | Что проверить |
|---|---|---|
| ViPNet Coordinator HW 4 | 29 октября 2026 года для ряда сертификатов | Конкретное исполнение, возможность перехода на HW 5 и систему управления |
| Континент 4 | 14 декабря 2026 года для сертификата ФСТЭК № 4496 | Продление или новый документ и применимость к нужной сборке |
| Numa Edge, КС2 | 17 декабря 2026 года | Продолжение сертификации встроенного OpenVPN-ГОСТ |
| КриптоПро NGate 1.0 R2 | 22 декабря 2026 года | Новая сертифицированная ветка и миграция лицензируемого IPsec |
| Numa Edge, КС1 | 31 декабря 2026 года | Актуальность криптографического компонента и исполнения |
| Отдельные исполнения Dcrypt | Несколько дат в 2026 году | Замещающие сертификаты, версия и перечень исполнений |
Проверять статус сертификатов ФСТЭК можно в официальном реестре. Для криптографических средств необходимо отдельно сверять документы ФСБ, формуляры и условия применения. Самая частая ошибка при закупке заключается в переносе сертификата одного поколения, версии или исполнения на всю продуктовую линейку.
Какие проверки провести на пилоте
Предлагаю начинать испытания не с максимальной пропускной способности, а с проверки того, что приобретаемый шлюз подходит для конкретного проекта. Затем нужно измерить скорость, доступность и трудозатраты на эксплуатацию. Все тесты должны выполняться на одинаковом профиле нагрузки и заранее согласованных конфигурациях.
- Подтвердить сертифицированное исполнение. Сверить модель оборудования, версию ПО, сертификат, класс СКЗИ, формуляр и дополнительные компоненты. Результат должен однозначно показывать, какая конфигурация допускается к эксплуатации в выбранном контуре.
- Проверить реальную производительность ГОСТ VPN. Измерить скорость и задержки на пакетах 64, 256, 512 и 1500 байт, а также на смешанном трафике. Зафиксировать потери, загрузку процессора и количество одновременно работающих туннелей.
- Испытать защитные функции вместе. Включить необходимую фильтрацию, IPS и другие механизмы. Сравнить результат с режимом, где работает только VPN. Отдельно проверить, не исключает ли выбранный высокопроизводительный режим использование криптографии.
- Проверить отказоустойчивость. Отключить активный шлюз, основной WAN-канал и управляющий сервер. Измерить время восстановления соединений, число потерянных пакетов и сохранение сетевых сессий.
- Испытать управление сотнями узлов. Развернуть тестовую сеть с централизованным изменением политик и ключевых настроек. Проверить распространение конфигураций, обработку ошибок и возможность отката.
- Проверить ключевую инфраструктуру. Выпустить сертификаты, заменить ключи, выполнить отзыв и смоделировать компрометацию одного узла. Измерить время восстановления защищённого доступа без распространения ненужных прав на другие площадки.
- Проверить межвендорную совместимость. Поднять соединения с реально используемыми устройствами. Зафиксировать согласование алгоритмов, параметры IKE, работу через NAT, обработку MTU и поведение маршрутов.
- Провести обновление и откат. Установить разрешённый релиз, вернуть предыдущую конфигурацию и восстановить резервный узел. Проверить, сохраняется ли сертифицированное исполнение после обновления.
- Интегрировать журналы с SIEM. Проверить передачу событий об установлении туннелей, изменении ключей, ошибках аутентификации, отказах оборудования и действиях администраторов.
- Восстановить узел после полной потери оборудования. Заменить тестовый шлюз, установить ПО, активировать лицензии, загрузить ключевую информацию и вернуть политики. Зафиксировать полное время восстановления.
- Провести опытную миграцию нескольких филиалов. Выбрать площадки с разными провайдерами, NAT, маршрутизацией и доступностью. Подсчитать ручные операции, изменения конфигурации, часы работы инженеров и фактический простой.
Результатом пилота должны стать измеренные показатели и перечень ограничений, а не заключение «работает корректно». Для сетей с непрерывными бизнес-процессами отдельно устанавливаю допустимое время восстановления туннелей и допустимый объём изменений при обновлении. Если производитель не способен показать проверяемую процедуру замены шлюза и восстановления ключевой инфраструктуры, высокая паспортная производительность не компенсирует эксплуатационный риск.
Мой выбор для разных задач
Крупная распределённая организация с требованием КС2. Начал бы с ViPNet Coordinator HW 5 и С-Терра Шлюз 5.0. Первый подходит для построения единой криптографической экосистемы, второй особенно интересен при сложной маршрутизации. «Континент 4» включил бы в короткий список, если организация одновременно заменяет NGFW и VPN-шлюзы.
Новая регулируемая инфраструктура с обязательным КС3. Рассматривал бы соответствующие исполнения ViPNet Coordinator HW 5, С-Терра Шлюз 5.0, ФПСУ-IP v4, «ЗАСТАВА-Офис 8», «КриптоПро NGate», Dionis DPS и «Фортикс». Последний заслуживает пилота, несмотря на отсутствие достаточных данных для рейтинга. «Континент 4» и Numa Edge из такого конкурса исключаются, если рассматриваются только описанные здесь исполнения без КС3.
Государственная система, для которой обоснован КВ. В первую очередь проверял бы специализированные сертифицированные исполнения С-Терра Шлюз 5.0 и другие продукты, имеющие подтверждённые документы соответствующего класса. Само наличие популярного шлюза КС3 не решает такую задачу. Для специальных транспортных каналов может потребоваться отдельный класс шифраторов.
Действующая сеть ViPNet, ФПСУ или «Континент». Сначала оценил бы переход на поддерживаемую версию внутри существующей экосистемы. Миграция к другому производителю оправданна, когда обеспечивает измеримые преимущества, устраняет серьёзные ограничения или позволяет выполнить требования, недоступные действующей платформе. Небольшая разница рейтингов не является самостоятельным основанием для полной замены инфраструктуры.
Защищённый доступ сотрудников и партнёров. Помимо КриптоПро NGate рассмотрел бы профильные TLS-шлюзы и клиентские решения. Для доступа к отдельным приложениям предоставлять пользователю полноценный маршрут в корпоративную сеть часто избыточно. Выбор между сетевым VPN и прикладным доступом должен определяться требуемыми правами и архитектурой сервисов.
Разветвлённая сеть с несколькими провайдерами и частой сменой каналов. Дополнительно проверил бы BI.ZONE SD-WAN и другие управляемые сетевые платформы. SD-WAN способна дать преимущества в оркестрации соединений, но класс криптографической защиты остаётся отдельным обязательным критерием.
Высокоскоростное соединение между двумя ЦОД. Если задача состоит исключительно в шифровании транспортного канала, не стал бы автоматически покупать NGFW или универсальный криптомаршрутизатор. Специализированные Dcrypt XG, Dcrypt Smart SFP и другие канальные шифраторы могут оказаться архитектурно подходящими, поскольку не требуют совмещать транспортную криптографию с маршрутизацией и прикладной фильтрацией.
Что будет с российским рынком криптошлюзов в 2027–2029 годах
Ожидаю продолжения роста рынка, но не считаю возможным уверенно прогнозировать доли отдельных производителей. Опубликованные оценки отражают разные методики, а выручка компании не равна продажам конкретной линейки ГОСТ VPN. Кроме того, закупка нового оборудования и фактическая миграция большого заказчика могут приходиться на разные годы.
Наиболее вероятное направление развития связано с конвергенцией криптографии и сетевой безопасности. Крупные производители будут объединять VPN, NGFW, контроль приложений, централизованное управление и автоматизацию. Но специализированные криптомаршрутизаторы не исчезнут. В регулируемых проектах самостоятельный криптографический контур часто проще сопровождать и сертифицировать, чем многокомпонентную платформу с постоянно обновляющимися защитными функциями.
Вторым направлением станет развитие виртуальных шлюзов. Организации продолжат переносить приложения в частные облака и распределённые ЦОД, поэтому спрос на программные исполнения вырастет. Однако виртуализация не отменяет требований к доверенной среде, аппаратным компонентам и формулярам. КС1 для виртуального шлюза нельзя превратить в КС3 установкой того же программного обеспечения на более производительный сервер.
Третье направление связано с упрощением управления жизненным циклом. Я ожидаю роста значения автоматического выпуска ключевой информации, централизованного обновления, резервирования управляющих компонентов и интеграции с корпоративной инфраструктурой мониторинга. Для крупных сетей подобные функции станут важнее очередного увеличения заявленной скорости шифрования.
Конкуренцию способен изменить выход новых сертифицированных продуктов крупных производителей NGFW. Наиболее заметный потенциальный участник следующего периода связан с развитием ГОСТ VPN в экосистеме UserGate. Если разработчик выпустит промышленную сертифицированную версию и подтвердит её работоспособность в крупных распределённых сетях, давление на традиционных производителей усилится. До завершения этих этапов ставить будущий продукт в один рейтинг с действующими решениями преждевременно.
ViPNet Coordinator HW 5, по моей оценке, с высокой вероятностью сохранит сильные позиции благодаря существующей клиентской базе и развитию пятого поколения. Главным испытанием станет массовая миграция с HW 4. С-Терра Шлюз 5.0 может усилить позиции за счёт широкой сертификации, включая КВ, и развитых сетевых функций.
«Континент 4» имеет высокий потенциал в сегменте интегрированной сетевой защиты, но его позиции в регулируемых проектах будут зависеть от расширения сертифицированных исполнений и продолжения сертификатов ФСТЭК. ФПСУ-IP v4 и «ЗАСТАВА-Офис 8» сохраняют конкурентоспособность в специализированных защищённых сетях. Для обеих платформ существенны зрелость новых версий и удобство миграции.
КриптоПро NGate, Numa Edge, Dionis DPS и Diamond VPN/FW способны укрепить собственные сегменты, но для заметного улучшения позиций потребуется больше подтверждённого опыта крупных внедрений. Особое значение имеют новые сертификаты, совместимость, прозрачность лицензирования и автоматизация управления. Появление свежего релиза само по себе не означает устранения эксплуатационных ограничений.
Мой итоговый выбор. Для новой крупной распределённой сети с ГОСТ VPN я в первую очередь сравнивал бы ViPNet Coordinator HW 5 и С-Терра Шлюз 5.0. При объединении межсетевого экрана и шифрования обязательно добавил бы «Континент 4». Для проектов с КС3 отдельно проверял бы ФПСУ-IP v4, «ЗАСТАВУ» и новые продукты, включая «Фортикс». Окончательный выбор делал бы только после проверки сертифицированных исполнений и пилота на реальной сетевой архитектуре.
На горизонте двух-трёх лет конкурентное преимущество получит не обязательно производитель самого быстрого криптошлюза. Сильнее окажется платформа, которую можно массово обновлять без потери сертифицированной конфигурации, восстанавливать после аварии без длительного ручного вмешательства и сопровождать силами доступных специалистов. Для современной корпоративной сети качество управления криптографией постепенно становится не менее значимым, чем само шифрование.
