Ideco

Работа в режиме L3 (Routing Mode)

Fail Close / Fail Open (настройка поведения устройства при высокой нагрузке)

Возможность указывать исходящий интерфейс при настройке маршрутизации

Приоритизация маршрутов (Administrative Distance)

Поддержка Fullview (маршрутизация)

ECMP (Equal-Cost Multi-Path)

BFD (Bidirectional Forwarding Detection)

Протоколы маршрутизации

OSPF, BGP. В версии 22 добавлена поддержка EIGRP

OSPF, BGP. В Ideco NGFW 22 добавлена поддержка EIGRP. Релиз вышел в мае 2026 года

OSPF, BGP

OSPF, BGP

Ограничения для поддерживаемых динамических протоколов

Ограничений нет, используется FRR

Ограничений нет, используется FRR

Используется служба FRRouting 8.5.3, которая сама по себе имеет достаточно богатый функционал. Но возможности настройки протоколов ограничены базовым функционалом, реализованным в интерфейсе. НапримерИспользуется служба FRRouting 8.5.3, которая сама по себе имеет достаточно богатый функционал. Но возможности настройки протоколов ограничены базовым функционалом, реализованным в интерфейсе. Например, не реализована аутентификация для BGP и OSPF, в то время как FRR это поддерживаетРазвернуть

Ограниченная настройка через web, отсутствие loopback. Планируются улучшения в версии 18

VXLAN (Virtual Extensible LAN)

LACP (Link Aggregation Control Protocol, стандарт IEEE 802.3ad/802.1ax)

Резервирование интернет-канала (ISP Redundancy)

Сколько ISP поддерживается

По количеству физических интерфейсов

По количеству физических интерфейсов

По количеству физических интерфейсов

По количеству физических интерфейсов

Статическая балансировка трафика при использовании резервирования провайдера (ISP Redundancy)

Потери пакетов при выходе из строя одного линка при балансировке трафика (Load Sharing Active-Active) и использовании ISP Redundancy

Механизмы мониторинга физических линков при использовании ISP Redundancy

ICMP, Round-Robin

ICMP, Round-Robin

ICMP, Round-Robin

ICMP, Round-Robin

Задание приоритета для линка

Поддержка виртуальных контекстов

VRF (Virtual Routing and Forwarding)

Настройка Proxy ARP

Proxy ARP включен по умолчанию, изменить нельзя

Proxy ARP включен по умолчанию, изменить нельзя

Поведение устройства при обновлении правил / применении политики

Трафик не прерывается

Трафик не прерывается, продолжает идти по старому правилу. Для применения нового правила необходимо перезапустить сессию

Устройство продолжает обрабатывать трафик, сессии не разрываются

Устройство продолжает обрабатывать трафик, сессии не разрываются

Netflow (сетевой экспорт потоков)

Функционал Anti-Spoofing (защита от подмены адресов)

NTP (Network Time Protocol)

Мониторинг состояния блоков питания

Поддержка Graceful Restart для протоколов динамической маршрутизации

Выгрузка/загрузка  конфигураций в виде текстовых файлов

SNMP (Simple Network Management Protocol)

Страна происхождения производителя

Российская Федерация

Российская Федерация

Включен в реестр ПАК Минцифры

Сертификат ФСТЭК

Сертификат ФСБ

Наличие дополнительного функционала: DLP, WAF, SandBox и др.

QoS (Quality of Service, «качество обслуживания»)

Применение QoS-политик отдельно для интерфейсов

Применение QoS-политик для зон

Использование зон безопасности в политиках ACL

Использование интерфейсов в политиках ACL

Возможность включения интерфейсов в зоны

Перетаскивание элементов (Drag&Drop) при работе с объектами и политиками

Контроль состояния соединений (Stateful Inspection)

Ускорение обработки трафика

NAT-правила для определенных правил МСЭ

Расписание действия правил МСЭ

Поддержка временных правил МСЭ

Просмотр неявных правил (Implicit Rules)

Управление неявными правилами (Implicit Rules)

Счетчик срабатываний (Hit Count) для каждого правила

Поиск правил по объекту

Проверка правил на дубликаты

Объекты для создания правил

Зоны;
IP-адрес;
диапазон IP-адресов;
подсеть;
домен;
порт;
время;
расписание;
диапазон портов;
список IP-объектов;
порты;
список стран и континентов

Зоны;
IP-адрес;
диапазон IP-адресов;
подсеть;
домен;
порт;
время;
расписание;
диапазон портов;
список IP-объектов;
порты;
список стран и континентов

IP host, IP range, IP-сеть, Сервисы и порты, Протоколы, Приложения, Группы, Страны, Пользователи (локальные и доменные)

IP host, IP range, Пользовательские группы, Сервисы и порты, Протоколы, Типы приложений, Домен, Список стран

Блокировка по GeoIP

Наличие поля "Комментарий" на каждом правиле

Очередность выполнения NAT

DNAT(1) → ACL(2) → SNAT(3)

DNAT(1) → ACL(2) → SNAT(3)

1. SNAT. 2. DNAT

1. SNAT. 2. DNAT

Возможность выбора интерфейса, на котором будет осуществляться NAT

Преобразование исходного адреса (Source NAT)

Преобразование адреса назначения (Destination NAT)

PBR (Policy-Based Routing)

ISP Redundancy с провайдером при использовании PBR

IPS (Intrusion Prevention System)

Возможность выбора определенной группы сигнатур для защиты

Создание исключений

Создание самописных сигнатур

Наличие документации, описывающей синтаксис, используемый при написании сигнатуры

Защита от DoS

Защита от SYN-flood

Защита от HTTP-flood

Защита от ICMP-flood

Поддержка сложных правил. Например: 1. Разрешить трафик на YouTube, но запретить оставлять комментарии 2. Разрешить трафик VK, но запретить пользоваться Multimedia

Добавление собственных приложений

Конфигурация сервисов на определенных портах

Политика реализации Application Control

Создание профиля с указанием запрещенных и разрешенных приложений

Создание профиля с указанием запрещенных и разрешенных приложений

Blacklist, Whitelist

Blacklist, Whitelist

Политика для трафика — «Неизвестный или не мог быть опознан устройством»

Разрешить, запретить

Разрешить, запретить

Неопознанный трафик в модуле Контент-фильтрация. В модуле Application Control, есть возможность указать действия для неизвестного/неопознанного протокола

Неопознанный трафик в модуле Контент-фильтрация

Страница оповещения для пользователя (блокировка)

Страница оповещения для пользователя (предупредить и продолжить)

Блокировка QUIC-протокола

Использование сторонних сигнатур Threat Feed

Условия работы антивируса

Модуль антивируса включен в разделе «Профили безопасности → Антивирус». Требуется наличие модуля антивируса в лицензии

Модуль антивируса включен в разделе «Профили безопасности → Антивирус». Требуется наличие модуля антивируса в лицензии. Применяется с помощью правил межсетевого экрана

ClamAV — без дополнительных условий. Kaspersky — при активации дополнительной лицензии

Проверка скачиваемых файлов

Проверка работы антивируса по FTP

Проверка SMB

Типы файлов

Были заблокированы eicar файлы типов .exe, .doc, .pdf

Были заблокированы eicar файлы типов .exe, .doc, .pdf

Более 40 типов файлов

Зависит от выбранного антивируса. Поддерживается более 90 типов файлов

Проверка файлов в архивах без паролей

Проверка файлов в архивах с паролями

Выбор действий для определенных типов файлов

Антивирусный движок

Kaspersky Anti-Virus Software Development Kit

Kaspersky Anti-Virus Software Development Kit

Kaspersky

Kaspersky, ClamAV

Поддержка добавления пользовательских хешей

Поддерживаемые режимы SSL-инспекции (SSL Inspection)

Контент-фильтр, Антивирус, Предотвращение вторжений

Контент-фильтр, Антивирус, Предотвращение вторжений, Контроль приложений

Контентная фильтрация, Антивирус, ICAP

Контентная фильтрация, Антивирус, ICAP

Поддерживаемые протоколы

HTTPS

HTTPS. В будущем список будет расширен

HTTPS

HTTPS

Поддержка нестандартных портов для поддерживаемых протоколов

Возможность использования сертификатов стороннего УЦ (удостоверяющего центра)

Инспектирование для отдельных пользователей

Инспектирование для отдельных сайтов

Поддержка Wildcard-сертификатов

Client-Side SSL Inspection (Outbound – инспекция исходящего SSL-трафика)

Server-Side SSL Inspection (Inbound – инспекция входящего SSL-трафика)

Использование собственных или сторонних списков URL

Собственные списки URL

Собственные списки URL

Собственный и Сторонний списки

Можно загружать собственный список. Неудобный формат ввода в виде одной строчки, но используется автоматический парсинг данной строки

Тип используемой базы URL

Локальная

Локальная

Локальная база (обновляемая)

Локальная база (обновляемая)

Создание пользовательских URL-категорий

Переопределение категории URL

Страница блокировки сайта в случае наличия вируса на странице (URL-категория)

Настройка доступа к определенным URL/доменам

URL Lookup (проверка принадлежности URL к определенной категории)

Страница блокировки/предупреждения

Какие списки URL использует производитель

Используются собственные категории на базе категорий SkyDNS

Используются собственные категории на базе категорий SkyDNS

SkyDNS

SkyDNS

Явный прокси-сервер (Explicit Proxy)

Прозрачный прокси (Transparent Proxy)

Авторизация Kerberos

Страница блокировки на Captive Portal

Captive Portal для авторизации на Proxy

Контентная фильтрация

Типы файлов для фильтрации

ActiveX, Torrent-файлы, Flash-видео, архивы, аудиофайлы, видеофайлы, документы, исполняемые файлы

Аудиофайлы, Видеофайлы, Документы, Архивы, Torrent-файлы, Flash-видео, исполняемые файлы

Аудиофайлы, Видеофайлы, Документы, Архивы, Torrent-файлы, Flash-видео, исполняемые файлы

Блокировка файлов в архивах

Блокировка архивов внутри архивов

Запрет загрузки файлов

Запрет отправки файлов

Типы защищаемого трафика

Защита осуществляется через сигнатуры в составе СОВ и категории Контент-фильтра

Защита осуществляется на базе IPS и Контент-фильтра

Пользовательский трафик, трафик опубликованных серверов

Пользовательский трафик, трафик опубликованных серверов

Частота обновлений

Проверка обновлений каждые 12 часов

Проверка обновлений каждые 12 часов

Динамично: от нескольких раз в день до нескольких раз в неделю

Несколько раз в день

Место хранения баз

Локально

Базы хранятся локально

Загружаются с сервера обновлений, хранятся локально

Локальная база (обновляемая)

Выявление трафика RAT

Выявление обращений к вредоносными URL и доменам

Выявление IRC-коммуникаций

Защита почты

Наличие функционала MTA

Поддерживаемые протоколы

Ideco Client (WireGuard или TLS), PPTP, SSTP, L2TP/IPSec, IKEv2/IPSec

Ideco Client (WireGuard или TLS), SSTP, PPTP (устарел, прекращение поддержки с 22 версии)

TLS ГОСТ (реализация с 19-й версии) PPTP, IKEv2/IPsec, SSTP, L2TP/IPsec, Wireguard

PPTP, PPPoE, IKEv2/IPsec, SSTP, L2TP/IPsec, Wireguard

Интеграция с LDAP

VPN-клиент

Автоматическое назначение IP-адреса клиенту

Поддержка 2FA

Получение маршрутов от шлюза

Разделенный VPN-туннель (SPLIT Tunnel)

Направление всего трафика через VPN

Подключение к VIP-адресу кластера шлюзов

Операционная система для клиента

Windows 10 22H2 и выше macOS версии 13.4 и выше. Astra Linux 1.7.0 и выше. РЕД ОС 8.0 и выше. Alt OS (Alt Workstation) 9.0 и выше. Fedora 35 и выше. Ubuntu 18.04 LTS (23.04) и выше

Windows 10 22H2 и выше. macOS версии 13.4 и выше. Astra Linux 1.7.0 и выше. РЕД ОС 8.0 и выше. Alt OS (Alt Workstation) 9.0 и выше. Fedora 35 и выше. Ubuntu 18.04 LTS (23.04) и выше

Windows, Linux, MacOS

Windows. MAC OS планируется в версии 17. Linux планируется в версии 18

Проверка трафика на шлюзе

Проверка трафика на клиентском устройстве

Compliance Check (проверка соответствия требованиям безопасности) клиента

Алгоритмы шифрования

AES256-GCM, AES256

AES256-GCM, AES256

AES256-GCM, AES256

AES256-GCM, AES256

Поддержка изолированного сегмента для клиентов, не прошедших Compliance Check

Кастомизация портала

Типы приложений для публикации

HTTP, HTTPS, SSH, RDP

Публикация нескольких порталов (на разных IP-адресах)

Распространение через портал Remote Access Client

Публикация собственных приложений на портале

Авторизация пользователя по сертификату

Поддержка 2FA

2FA + Remote Access VPN с клиентом

Поддерживаемые методы 2FA: RADIUS TOTP-токен  SMS Aero Мультифактор

Radius (при интеграции с Multifactor), SMS, TOTP

Radius (при интеграции с Multifactor), SMS, TOTP

2FA + Remote Access VPN с SSL-порталом

Поддерживаемые методы 2FA: RADIUS TOTP-токен  SMS Aero Мультифактор

Поддерживаемые протоколы

IKEv2/Ipsec по PSK и по сертификату,GRE over Ipsec, GRE, ГОCТ реализован, но нет сертификата

IKEv2, IPsec

IKEv2, IPsec

DPD / Tunnel Test

Инструменты диагностики VPN-соединений

Системный журнал, команды в терминале для StrongSwan

Системный журнал, конструктор отчетов с возможностью добавить виджет для ipsec, swanctl в терминале и стандартные linux-утилиты

Виджеты панели мониторинга, утилиты командной строки (ping, host, nslookup, tracepath, tcpdump, arping, ss (аналог netstat))

Время жизни Security Association — параметр времени жизни VPN-ключей (режим КБ (килобайты), секунды/минуты)

Аутентификация

Исключение из VPN-трафика на основании сервиса

Алгоритмы шифрования

AES256-GCM, AES256 (AES256-CBC), SHA512, SHA384, SHA256, AESXCBC,Curve25519 (group 31), ECP256 (group 19), modp4096 (group 16), modp2048 (group 14)

AES256-GCM, AES256

AES256-GCM, AES256

NAT-T (NAT Traversal)

PFS (Perfect Forward Secrecy)

NAT внутри VPN

VPN со сторонними вендорами

SD-WAN (Software-Defined Wide Area Network — программно-определяемая WAN-сеть)

Распределение пользователей (локальных и доменных) по каналам

Распределение трафика приложений/сайтов по каналам

Мониторинг трафика

Типы фильтров в политиках SD-WAN (Software-Defined Wide Area Network — программно-определяемая WAN-сеть)

Требования к нодам кластера

Обе ноды должны иметь одну версию системы, идентичную вплоть до номера сборки. Интерфейсы на обеих настроены идентично. В NGFW Novum нет возможности использовать геораспределенные ноды

Разворачивается поверх кластера системного контекста

Обе ноды должны иметь одну версию системы, идентичную вплоть до номера сборки. Также интерфейсы на обеих нодах должны быть настроены идентично

Обе ноды должны иметь одну версию системы, идентичную вплоть до номера сборки. Также интерфейсы на обеих нодах должны быть настроены идентично

Механизмы резервирования кластера

Проприетарный протокол

Кластеризация настраивается только в системном контексте. При переключении между нодами синхронизируется состояние всех VCE. Для кластеризации используется проприетарный протокол Ideco

Проприетарный протокол

Проприетарный протокол

VIP-адрес и адреса физических интерфейсов должны принадлежать одной подсети

Один адрес на кластерный интерфейс

Один адрес на кластерный интерфейс

Режим получения динамических маршрутов при работе в кластере

Соседство устанавливает только активная нода, после переключения кластера, пассивная нода становится активной и устанавливает соседство заново и получает маршруты. В Ideco NGFW 22 поддерживается синхрСоседство устанавливает только активная нода, после переключения кластера, пассивная нода становится активной и устанавливает соседство заново и получает маршруты. В Ideco NGFW 22 поддерживается синхронизация маршрутов между нодами и Gracefull restart для BGP и OSPF. Релиз вышел в мае 2026Развернуть

Соседство устанавливает только активная нода. После переключения кластера пассивная нода становится активной, заново устанавливает соседство и получает маршруты. В Ideco NGFW 22 поддерживается синхронСоседство устанавливает только активная нода. После переключения кластера пассивная нода становится активной, заново устанавливает соседство и получает маршруты. В Ideco NGFW 22 поддерживается синхронизация маршрутов между нодами и Gracefull Restart для BGP и OSPF. Релиз вышел в мае 2026 годаРазвернуть

Маршруты получает активная нода. При переключении кластера пассивная нода получает маршруты

Маршруты получает активная нода. При переключении кластера пассивная нода получает маршруты

Дополнительная лицензия для кластера

Добавление сетевых интерфейсов после сборки кластера

Поведение при отключении сетевого интерфейса

Проведено на классическом (системном) контексте. При отключении интерфейса (вкладка "Интерфейсы") он отключается на обеих нодах. При включении интерфейса на резервной ноде она становится активной, проПроведено на классическом (системном) контексте. При отключении интерфейса (вкладка "Интерфейсы") он отключается на обеих нодах. При включении интерфейса на резервной ноде она становится активной, происходит переключение. После переключения интерфейс поднимается на обеих нодахРазвернуть

Проведено на классическом (системном) контексте. При отключении интерфейса (вкладка «Интерфейсы») он отключается на обеих нодах. При включении интерфейса на резервной ноде она становится активной, проПроведено на классическом (системном) контексте. При отключении интерфейса (вкладка «Интерфейсы») он отключается на обеих нодах. При включении интерфейса на резервной ноде она становится активной, происходит переключение. После переключения интерфейс поднимается на обеих нодахРазвернуть

Переключение мастер-ноды

Переключение мастер-ноды

GARP (Gratuitous ARP)

Время переключения между нодами

10-12 секунд. В Ideco NGFW 22 время сокращено до 1-3 секунд. Релиз вышел в мае 2026

10-12 секунд. В Ideco NGFW 22 время сокращено до 1-3 секунд. Релиз вышел в мае 2026 года

5–8 секунд

5-15 секунд

Синхронизация сессий

Кластер системы централизованного управления

Кластер системы централизованного логирования

Просмотр состояния кластера

Тип кластера

active-passive. С синхронизацией сессий и без синхронизации сессий

active-passive. С синхронизацией сессий и без синхронизации сессий. Поддержка Active-Active появится в 24 версии (декабрь 2026)

Active/Standby

Active/Standby

VMAC (Virtual MAC Address — виртуальный MAC-адрес)

Количество нод кластера

2 ноды

2 ноды

2

2

Защита от Split brain

Выделенный сервер управления

Импорт правил/политик с локального МСЭ

Синхронизация настроек в кластере серверов управления

Установка на ВМ

Поведение МСЭ при отключении сервера управления

Автономный режим. Правила распространенные из Ideco Center сохраняются

Продолжит работу

Продолжит работу

Экспорт и резервное копирование политик

Централизованное обновление встроенного программного обеспечения МСЭ

Наличие web-интерфейса для доступа к компонентам, включая средства управления

Передача данных между центром управления и МЭ по защищенному каналу

Выделенный сервер логирования

Режим логирования

Локальное логирование, отправка логов на сторонний сервер через SysLog

Локальное логирование, отправка на сторонний сервер через Syslog

Автоматическая выгрузка логов на сторонний сервер

Формат хранения логов

Логи хранятся в БД. Есть возможность выгрузки в виде файлов xml, csv

RAW формат в БД ClickHouse

RAW формат в БД ClickHouse

Аггрегации и корреляции событий в инциденты безопасности

Модули с логированием

Все модули

Все модули

Web/FTP-фильтрация, КП, межсетевой экран, VPN, СОВ, МПА, приоритизация трафика, прокси-сервер

МЭ, IPS/IDS, Web Application Firewall, Контент-Фильтр, Контроль приложений

Выгрузка логов

Отправка логов на сторонний сервер

Типы отчетов

Встроенные, пользовательские

Встроенные, пользовательские

Встроенные, пользовательские

Встроенные, пользовательские

Автоматические отчеты (по расписанию)

Типы логирования (вся сессия, начало сессии, выбранное кол-во пакетов и т.д.)

В журнал записываются все возможные данные по сессии. Нет возможности настройки разных видов логирования в рамках сессии. Не журналируется количество пакетов. Функциональность планируется реализоватьВ журнал записываются все возможные данные по сессии. Нет возможности настройки разных видов логирования в рамках сессии. Не журналируется количество пакетов. Функциональность планируется реализовать в версии 24 (декабрь 2026)Развернуть

В журнал записываются все возможные данные по сессии. Нет возможности настройки разных видов логирования в рамках сессии. Не журналируется количество пакетов. Функциональность планируется реализоватьВ журнал записываются все возможные данные по сессии. Нет возможности настройки разных видов логирования в рамках сессии. Не журналируется количество пакетов. Функциональность планируется реализовать в версии 24 (декабрь 2026)Развернуть

Вся сессия

Вся сессия

Сетевые виджеты для мониторинга трафика

Системные виджеты для мониторинга состояния устройства

Виджеты безопасности для мониторинга трафика

Журналы событий в режиме реального времени

Использование пользователей из LDAP для создания политик

Права учетной записи для интеграции с LDAP

Требуется учетная запись в домене с разрешением «Создание объектов: Компьютер»

Требуется учетная запись в домене с разрешением «Создание объектов: Компьютер»

Права на чтение каталога

Права на чтение каталога

Поддержка более одного домена

Просмотр импортированных пользователей

Kerberos

Proxy-аутентификация 

Прозрачная аутентификация

SAML (Security Assertion Markup Language)

Защищенный протокол LDAP (Secure LDAP)

Интеграция с Radius

Протоколы аутентификации при интеграции с Radius

PAP, MS-CHAP v2

PAP, MS-CHAP v2. Реализована интеграция с RADIUS для аутентификации администраторов NGFW. Для пользователей данная функция в версии 21 не поддерживается, но доступна в Ideco NGFW 22. Релиз вышел в маеPAP, MS-CHAP v2. Реализована интеграция с RADIUS для аутентификации администраторов NGFW. Для пользователей данная функция в версии 21 не поддерживается, но доступна в Ideco NGFW 22. Релиз вышел в мае 2026 годаРазвернуть

Поддерживаются протоколы PAP и MS-CHAP v2

Использование нескольких Radius-серверов

Интеграция по протоколу ICAP с внешними системами

Возможности настройки ICAP-взаимодействия

Модули диагностики в GUI

Журнал событий, отчетность по модулям, виджеты панели мониторинга

Мониторинг трафика, состояние интерфейсов и шлюзов, журналы системы, события безопасности

Журнал событий, отчетность по модулям, виджеты панели мониторинга

Журнал событий, отчетность по модулям, виджеты Панели мониторинга

Модули диагностики в CLI

ping, host, nslookup, tracepath, tcpdump, arping, ss (аналог netstat) и др.

ping, host, nslookup, tracepath, tcpdump, arping, ss (аналог netstat), vtysh, ip neighbour show (ARP-таблица), journalctl

ping, host, nslookup, tracepath, tcpdump, arping, ss (аналог netstat) и др.

ping, host, nslookup, tracepath, tcpdump, arping, ss (аналог netstat) и др.

Доступ к логам ОС

Активация дебага отдельных модулей безопасности

Обновление кластера

Обновление кластера без простоя

Резервное копирование при автоматическом обновлении

Возможность отката к предыдущей версии

Доступ к дистрибутивам на сайте производителя

Офлайн-обновления

Обновление с web-ресурсов производителя

Обновление через систему централизованного управления

Офлайн-установка лицензии (без доступа в интернет)

API (Application Programming Interface)

Для каких модулей можно загружать политики через API

Все модули

Все модули

Все модули

Все

Массовая загрузка политик

Поддержка миграции с других продуктов

Варианты резервного копирования для Системы Управления

Варианты резервного копирования для NGFW

Автоматические резервные копии по расписанию

Выгрузка резервных копий на сторонний сервер

Восстановление из резервной копии NGFW

Восстановление из резервной копии Системы Управления