UserGate уже нельзя воспринимать как поставщика одного межсетевого экрана. Вокруг основного продукта выросла российская платформа сетевой безопасности: межсетевой экран нового поколения, межсетевой экран для центров обработки данных, WAF, шлюз веб-безопасности, централизованное управление, анализ журналов, SIEM, клиент удаленного доступа и инструменты для проверки изменений до внедрения в рабочую сеть.
В центре этой линейки остается UserGate NGFW. Это межсетевой экран нового поколения - он смотрит не только на IP-адреса и порты, а учитывает пользователей, группы, приложения, веб-категории, VPN-подключения, сигнатуры атак, вредоносные файлы и зашифрованный трафик, если в компании включена SSL-инспекция. Для администратора разница ощутимая - правила можно строить вокруг реального поведения сотрудников и сервисов, а не вокруг бесконечной таблицы портов. Давайте разберем подробно: чем занимается компания, что же такое этот NGFW и чем именно этот продукт так уникален на российском рынке.
Как UserGate пришел к NGFW
UserGate развивает продукты сетевой безопасности больше десяти лет. Первые прототипы собственного NGFW появились еще в начале 2010-х, а коммерческий UserGate NGFW вышел на рынок в 2016 году. После 2022 года спрос на российские межсетевые экраны резко вырос, но UserGate подошел к этому моменту не с пустой витриной - у компании уже были UGOS, аппаратные платформы, виртуальное исполнение, централизованное управление и сертификация.
Замена зарубежного межсетевого экрана редко сводится к покупке нового устройства. Нужно перенести политики, VPN, NAT, группы пользователей, правила для приложений, SSL-инспекцию, интеграции с каталогом и SIEM. В таких проектах продукт должен быть не только российским, но и достаточно зрелым для сложной миграции.
UserGate продвигает идею архитектуры сетевого доверия. На практике это означает, что доступ к ресурсам зависит от пользователя, устройства, приложения, состояния соединения, политики безопасности и контекста. NGFW в такой схеме работает как один из центральных узлов контроля.
Что умеет UserGate NGFW
Классический межсетевой экран проверяет, можно ли трафику пройти от одного адреса к другому через конкретный порт. UserGate NGFW идет дальше - распознает приложения на уровне L7, применяет политики к пользователям, проверяет трафик на сетевые атаки, фильтрует веб-доступ, строит VPN, анализирует файлы и передает события в другие системы безопасности.
- Межсетевое экранирование L3/L4: фильтрация трафика по зонам, адресам, сервисам и правилам доступа.
- DPI и контроль приложений: распознавание приложений даже там, где один порт используют разные сервисы.
- IPS: обнаружение и блокировка сетевых атак по сигнатурам.
- Сетевой антивирус: потоковая проверка файлов в сетевом трафике.
- Прокси и веб-фильтрация: управление доступом к сайтам и категориям ресурсов.
- UserID: привязка правил к пользователям и группам через Kerberos, RADIUS, NTLM и LDAP-события.
- VPN: защищенные туннели для филиалов и удаленного доступа сотрудников.
- Интеграции: syslog, ICAP, LDAP, многофакторная аутентификация и API.
В реальной сети это помогает описывать правила ближе к бизнес-логике. Бухгалтерии можно разрешить банковские сервисы и корпоративную почту, но закрыть обходные VPN и сомнительные файлообменники. Разработчикам можно открыть Git, репозитории и внешние API. Гостевой Wi-Fi можно вывести в интернет, но отрезать от внутренних серверов. На старом межсетевом экране такие политики быстро становятся тяжелыми для сопровождения.
Производите
льность, сертификация и формы поставки
UserGate NGFW поставляется как программно-аппаратный комплекс и как виртуальное исполнение. Для старших платформ на официальной странице продукта указана производительность до 90 Гбит/с в режиме межсетевого экранирования L3/L4 на трафике EMIX и до 30 Гбит/с в режиме FW L7 + IPS. Поддерживаются кластеры Active-Passive и Active-Active, а для большого парка устройств используется централизованное управление.
Для российских заказчиков критична сертификация. Сертификат соответствия ФСТЭК России № 3905 подтверждает соответствие UserGate требованиям по 4 уровню доверия, требованиям к межсетевым экранам и системам обнаружения вторжений. Срок действия сертификата продлен до 26 марта 2031 года. Это позволяет применять продукт в регулируемых средах, где формальное соответствие требованиям так же важно, как техническая функциональность.
В 2026 году компания выпустила uNGFW 7.5 LTS. Такой вариант нужен заказчикам, которым важнее предсказуемый жизненный цикл и долгосрочная поддержка, чем частые функциональные обновления. Для крупной инфраструктуры стабильность иногда ценнее очередной новой функции.
Свежие продукты и куда движется экосистема
Заметное расширение линейки - UserGate SWG. Это шлюз веб-безопасности для контроля доступа сотрудников к интернет-ресурсам и веб-сервисам. Он проверяет HTTP и HTTPS-трафик, применяет политики доступа, выполняет контентную фильтрацию, SSL-инспекцию и блокирует фишинговые, вредоносные и нежелательные ресурсы. Смысл SWG в том, чтобы вынести веб-безопасность в отдельный слой и снизить нагрузку на NGFW там, где весь пользовательский интернет идет через один периметр.
Еще одно направление - ГОСТ VPN. Продукт рассчитан на заказчиков, которым нужно шифрование трафика по требованиям российских регуляторов. В описании UserGate говорится о СКЗИ класса КС3 и шифровании на уровне L3. Такой VPN может поставляться в программном варианте вместе с UserGate NGFW или как программно-аппаратная конфигурация.
Для центров обработки данных развивается UserGate DCFW. Его задача - защищать высоконагруженные сегменты, где десятки тысяч правил и большой поток трафика быстро упираются в пределы обычного периметрового межсетевого экрана. В публичных материалах компания также говорила о планах добавить в DCFW антивирусные функции и виртуальные системы, чтобы продукт закрывал больше сценариев крупного периметра.
Отдельно интересен uInfraTwin. Это цифровой двойник сегмента сети - виртуальная копия окружения, где можно безопасно проверять конфигурации, обновления и пользовательские сценарии до попадания в рабочую инфраструктуру. Лучше сломать маршрут, правило или обновление в виртуальной модели, чем ночью чинить боевой контур.
В аппаратной части UserGate развивает старшие платформы и ускорение IPS. Для крупных нагрузок компания готовит FPGA-ускоритель Катунь-2, который должен разгружать обработку сигнатур IPS. По озвученным параметрам один модуль добавляет около 12 Гбит/с ускорения IPS на тысячах сигнатур, а при установке нескольких модулей производительность суммируется. Это важная часть архитектуры - включенный IPS часто становится тяжелой функцией именно по ресурсам.
Как выбрать продукт UserGate под задачу
| Решение | Где использовать | Что закрывает | Что учитывать |
|---|---|---|---|
| UserGate NGFW | Офисы, филиалы, периметр, средние корпоративные сети | Межсетевое экранирование, VPN, IPS, веб-фильтрация, контроль приложений, антивирус трафика | Нужны понятные зоны, роли пользователей и порядок изменения правил |
| UserGate DCFW | Центры обработки данных, крупный периметр, высоконагруженные сети | Высокопроизводительная фильтрация и защита сегментов центра обработки данных | Требует аккуратного проектирования и нагрузочного тестирования |
| UserGate SWG | Компании с большим объемом пользовательского веб-трафика | Контроль HTTP/HTTPS, SSL-инспекция, контентная фильтрация, защита от фишинга | Нужно заранее продумать исключения и политику расшифровки трафика |
| UserGate WAF | Публичные сайты, личные кабинеты, API, внутренние веб-сервисы | Защита веб-приложений от атак уровня приложения | Не заменяет исправление уязвимостей в коде |
| UserGate Management Center | Распределенные сети с несколькими устройствами UserGate | Централизованное управление, шаблоны, роли и контроль конфигураций | Особенно полезен для филиальных сетей и крупных парков устройств |
| UserGate Log Analyzer | Инфраструктуры, где нужно хранить и анализировать события | Сбор, хранение и просмотр журналов от продуктов UserGate | Нужна политика хранения журналов и понимание, какие события важны |
| UserGate SIEM | SOC, крупные компании, регулируемые среды | Корреляция событий, мониторинг, реагирование, IRP/SOAR | Требует нормальных источников событий и работы аналитиков |
Сильные стороны UserGate NGFW
UserGate NGFW хорошо ложится в российские регулируемые проекты. Для госорганов, объектов КИИ, операторов персональных данных, промышленности, банков и крупных компаний сертификация часто становится не приятным бонусом, а входным билетом в проект. Без нее обсуждать функциональность иногда просто бессмысленно.
Продукт можно внедрять в разных формах - физический ПАК, виртуальное исполнение, площадки разного масштаба, филиалы, центральный офис, центр обработки данных. Когда компания строит единую сетевую политику, удобнее держать похожую логику управления на разных уровнях инфраструктуры, а не собирать все из несвязанных решений.
У UserGate заметно развивается производительная часть. NGFW, DCFW, старшие аппаратные платформы, LTS-ветка, SWG и аппаратное ускорение IPS показывают, что вендор смотрит не только на замену ушедших зарубежных межсетевых экранов, но и на большие нагрузки. Для крупных заказчиков это принципиально - включить IPS, SSL-инспекцию и контроль приложений легко только в презентации. В реальной сети такие функции требуют запаса по железу и правильной архитектуры.
Экосистема тоже играет в пользу UserGate. NGFW, DCFW, WAF, SWG, SIEM, Log Analyzer, Management Center и uInfraTwin закрывают разные слои одной задачи - пропускать легитимный трафик, блокировать опасный, видеть события, управлять конфигурациями и проверять изменения до внедрения. Покупать все сразу не обязательно, но наличие связанной линейки упрощает развитие инфраструктуры.
Где есть ограничения
UserGate NGFW не исправит плохую архитектуру сети. Если сегменты описаны хаотично, владельцы правил неизвестны, а доступы годами открывались по просьбе временно открыть все, любой межсетевой экран превратится в дорогую таблицу исключений. Перед внедрением нужны зоны, роли, группы пользователей, понятная схема маршрутизации и порядок согласования изменений.
Миграция с Palo Alto, Fortinet, Check Point, Cisco или других решений редко проходит простым импортом конфигурации. Нужно сопоставлять объекты, NAT, VPN, сервисы, группы, правила SSL-инспекции, профили IPS, исключения и особенности маршрутизации. Нормальная миграция начинается с пилота и тестового сегмента, а не с ночного переключения всей компании.
Команде тоже придется учиться. Даже опытный администратор межсетевых экранов не станет уверенно работать с UserGate за вечер, если раньше жил в другой экосистеме. Нужно разобраться в логике политик, диагностике трафика, кластерах, VPN, обновлениях, журналах и интеграциях. Это не минус продукта, а обычная цена смены платформы, которую лучше учитывать заранее.
Кому UserGate подходит
UserGate NGFW стоит рассматривать компаниям, которым нужен российский межсетевой экран с сертификацией, централизованным управлением и возможностью роста. Особенно логично он смотрится в госсекторе, промышленности, финансах, телекоме, образовании, медицине, ритейле, у провайдеров и в организациях с филиалами.
Для малого бизнеса UserGate тоже может быть полезен, если есть конкретная задача - поднять VPN, фильтровать веб-трафик, ограничить доступ пользователей, заменить зарубежное устройство или защитить несколько площадок. Но покупать NGFW без понимания будущих политик бессмысленно. Межсетевой экран нового поколения полезен там, где правила действительно нужны и кто-то будет ими заниматься.
FAQ
UserGate NGFW - это просто межсетевой экран? Нет. Помимо фильтрации по адресам и портам он работает с приложениями, пользователями, VPN, IPS, веб-фильтрацией, антивирусной проверкой трафика и интеграциями с другими средствами защиты.
Чем UserGate SWG отличается от NGFW? NGFW отвечает за комплексную сетевую защиту, а SWG сфокусирован на безопасном веб-доступе - HTTP/HTTPS, SSL-инспекции, контентной фильтрации, фишинге и политиках доступа к веб-ресурсам.
Зачем нужен UserGate DCFW? DCFW рассчитан на центры обработки данных и крупные сети, где много трафика, правил и требований к производительности. Это не замена офисному межсетевому экрану, а решение для более тяжелых сценариев.
Что дает uInfraTwin? uInfraTwin создает цифровой двойник сегмента сети, где можно проверять конфигурации, обновления и сценарии до внедрения в рабочую инфраструктуру.
Главная мысль: UserGate NGFW уже не стоит воспринимать только как российскую замену зарубежного межсетевого экрана. Это ядро развивающейся платформы сетевой безопасности, вокруг которого появляются SWG, DCFW, WAF, ГОСТ VPN, SIEM, Log Analyzer, Management Center и инструменты для безопасного тестирования изменений. Но результат все равно зависит от архитектуры сети, качества правил и команды, которая будет все это сопровождать.
