PT NGFW

Работа в режиме L3 (Routing Mode)

Fail Close / Fail Open (настройка поведения устройства при высокой нагрузке)

Возможность указывать исходящий интерфейс при настройке маршрутизации

Приоритизация маршрутов (Administrative Distance)

Поддержка Fullview (маршрутизация)

ECMP (Equal-Cost Multi-Path)

BFD (Bidirectional Forwarding Detection)

Протоколы маршрутизации

Поддержка BGP и OSPF

Ограничения для поддерживаемых динамических протоколов

Используется служба FRRouting. Возможности настройки протоколов ограничены функциями, реализованным в интерфейсе

VXLAN (Virtual Extensible LAN)

LACP (Link Aggregation Control Protocol, стандарт IEEE 802.3ad/802.1ax)

Резервирование интернет-канала (ISP Redundancy)

Сколько ISP поддерживается

По количеству физических интерфейсов

Статическая балансировка трафика при использовании резервирования провайдера (ISP Redundancy)

Потери пакетов при выходе из строя одного линка при использовании LoadSharing Active/Active

Механизмы мониторинга физических линков при использовании ISP Redundancy

Отображает в веб-интерфейсе и в CLI NGFW

Задание приоритета для линка

Поддержка виртуальных контекстов

VRF (Virtual Routing and Forwarding)

Настройка Proxy ARP

Работает только при наличии NAT-правила с пулом адресов подмены, в который входит адрес интерфейса PT NGFW

Поведение устройства при обновлении правил / применении политики

Перерыва в обслуживании при установки политик нет

Netflow (сетевой экспорт потоков)

Функционал Anti-Spoofing (защита от подмены адресов)

NTP (Network Time Protocol)

Мониторинг состояния блоков питания

Поддержка Graceful Restart для протоколов динамической маршрутизации

Выгрузка/загрузка  конфигураций в виде текстовых файлов

SNMP (Simple Network Management Protocol)

Страна происхождения производителя

Включен в реестр ПАК Минцифры

Сертификат ФСТЭК

Сертификат ФСБ

Наличие дополнительного функционала: DLP, WAF, SandBox и др.

QoS (Quality of Service, «качество обслуживания»)

Применение QoS-политик отдельно для интерфейсов

Применение QoS-политик для зон

Использование зон безопасности в политиках ACL

Использование интерфейсов в политиках ACL

Возможность включения интерфейсов в зоны

Перетаскивание элементов (Drag&Drop) при работе с объектами и политиками

Контроль состояния соединений (Stateful Inspection)

Ускорение обработки трафика

NAT-правила для определенных правил МСЭ

Расписание действия правил МСЭ

Поддержка временных правил МСЭ

Просмотр неявных правил (Implicit Rules)

Управление неявными правилами (Implicit Rules)

Счетчик срабатываний (Hit Count) для каждого правила

Поиск правил по объекту

Проверка правил на дубликаты

Объекты для создания правил

IP host IP range Пользовательские группы Сервисы и порты Протоколы Типы приложений Географические области (если применимо) Зоны Группы IPS Пользователи и группы

Блокировка по GeoIP

Наличие поля "Комментарий" на каждом правиле

Очередность выполнения NAT

Static NAT, Many-to-One NAT,

Возможность выбора интерфейса, на котором будет осуществляться NAT

Преобразование исходного адреса (Source NAT)

Преобразование адреса назначения (Destination NAT)

PBR (Policy-Based Routing)

ISP Redundancy с провайдером при использовании PBR

IPS (Intrusion Prevention System)

Возможность выбора определенной группы сигнатур для защиты

Создание исключений

Создание самописных сигнатур

Наличие документации, описывающей синтаксис, используемый при написании сигнатуры

Защита от DoS

Защита от SYN-flood

Защита от HTTP-flood

Защита от ICMP-flood

"Поддержка сложных правил. Например: 1. Разрешить трафик на YouTube, но запретить оставлять комментарии 2. Разрешить трафик VK, но запретить пользоваться Multimedia"

Добавление собственных приложений

Конфигурация сервисов на определенных портах

Политика реализации Application Control

Поддерживаются оба варианта (Blacklist, Whitelist)

Политика для трафика — «Неизвестный или не мог быть опознан устройством»

Страница оповещения для пользователя (блокировка)

Страница оповещения для пользователя (предупредить и продолжить)

Блокировка QUIC-протокола

Использование сторонних сигнатур Threat Feed

Условия работы антивируса

Для работы антивируса необходимо предварительно настроить раскрытие трафика

Проверка скачиваемых файлов

Проверка работы антивируса по FTP

Проверка SMB

Типы файлов

Использовались exe, .doc, .pdf

Проверка файлов в архивах без паролей

Проверка файлов в архивах с паролями

Выбор действий для определенных типов файлов

Антивирусный движок

Собственный

Поддержка добавления пользовательских хешей

Поддерживаемые режимы SSL-инспекции (SSL Inspection)

Работает параллельно со всеми модулями безопасности

Поддерживаемые протоколы

Заявлена поддержка раскрытия TLS вплоть до 1.3

Поддержка нестандартных портов для поддерживаемых протоколов

Возможность использования сертификатов стороннего УЦ (удостоверяющего центра)

Инспектирование для отдельных пользователей

Инспектирование для отдельных сайтов

Поддержка Wildcard-сертификатов

Client-Side SSL Inspection (Outbound – инспекция исходящего SSL-трафика)

Server-Side SSL Inspection (Inbound – инспекция входящего SSL-трафика)

Использование собственных или сторонних списков URL

Поддерживается

Тип используемой базы URL

Локальная

Создание пользовательских URL-категорий

Переопределение категории URL

Страница блокировки сайта в случае наличия вируса на странице (URL-категория)

Настройка доступа к определенным URL/доменам

URL Lookup (проверка принадлежности URL к определенной категории)

Страница блокировки/предупреждения

Какие списки URL использует производитель

Собственная база

Явный прокси-сервер (Explicit Proxy)

Прозрачный прокси (Transparent Proxy)

Авторизация Kerberos

Страница блокировки на Captive Portal

Captive Portal для авторизации на Proxy

Контентная фильтрация

Типы файлов для фильтрации

Блокировка файлов в архивах

Блокировка архивов внутри архивов

Запрет загрузки файлов

Запрет отправки файлов

Типы защищаемого трафика

Не прямая защита от ботнета (не анализирует трафик напрямую) - в составе IPS по известным сигнатурам

Частота обновлений

Планируется раз в 1-5 дней (Q4 2025)

Место хранения баз

Локально

Выявление трафика RAT

Выявление обращений к вредоносными URL и доменам

Выявление IRC-коммуникаций

Защита почты

Наличие функционала MTA

Поддерживаемые протоколы

Интеграция с LDAP

VPN-клиент

Автоматическое назначение IP-адреса клиенту

Поддержка 2FA

Получение маршрутов от шлюза

Разделенный VPN-туннель (SPLIT Tunnel)

Направление всего трафика через VPN

Подключение к VIP-адресу кластера шлюзов

Операционная система для клиента

Проверка трафика на шлюзе

Проверка трафика на клиентском устройстве

Compliance Check (проверка соответствия требованиям безопасности) клиента

Алгоритмы шифрования

Поддержка изолированного сегмента для клиентов, не прошедших Compliance Check

Кастомизация портала

Типы приложений для публикации

Публикация нескольких порталов (на разных IP-адресах)

Распространение через портал Remote Access Client

Публикация собственных приложений на портале

Авторизация пользователя по сертификату

Поддержка 2FA

2FA + Remote Access VPN с клиентом

2FA + Remote Access VPN с SSL-порталом

Поддерживаемые протоколы

Поддерживается только IPSec IKEv2

DPD / Tunnel Test

Инструменты диагностики VPN-соединений

Краткое состояние отображается в настройках IPSec в Mgmt. Более подробно можно посмотреть в логе на NGFW - /opt/pt-ngfw/ngfw-core/logs/ngfw.log | grep -i ipsec

Время жизни Security Association — параметр времени жизни VPN-ключей (режим КБ (килобайты), секунды/минуты)

Аутентификация

Исключение из VPN-трафика на основании сервиса

Алгоритмы шифрования

Не поддерживается ГОСТ Поддерживается DES, 3DES, AES-128/256

NAT-T (NAT Traversal)

PFS (Perfect Forward Secrecy)

NAT внутри VPN

VPN со сторонними вендорами

SD-WAN (Software-Defined Wide Area Network — программно-определяемая WAN-сеть)

Распределение пользователей (локальных и доменных) по каналам

Распределение трафика приложений/сайтов по каналам

Мониторинг трафика

Типы фильтров в политиках SD-WAN (Software-Defined Wide Area Network — программно-определяемая WAN-сеть)

Требования к нодам кластера

Ноды должны быть одинаковой платформы с одной версией ПО и одинаковым набором интерфейсов. Адресация synk-link интерфейсов может принадлежать к разным L3 сетям

Механизмы резервирования кластера

Sync-link по TCP 5650

VIP-адрес и адреса физических интерфейсов должны принадлежать одной подсети

Режим получения динамических маршрутов при работе в кластере

Таблицы маршрутизации синхронизируются, но после переключения кластера

Дополнительная лицензия для кластера

Добавление сетевых интерфейсов после сборки кластера

Поведение при отключении сетевого интерфейса

Для переключения необходимо в конфигурационном файле явно указать какие порты будут мониториться системой. При отключении указанных портов происходит переключение кластера на ноду с работающим портом.

GARP (Gratuitous ARP)

Время переключения между нодами

Менее 3-х секунд

Синхронизация сессий

Кластер системы централизованного управления

Кластер системы централизованного логирования

Потери пакетов при выходе из строя одного линка при использовании LoadSharing Active/Active

Тип кластера

Active-Standby

VMAC (Virtual MAC Address — виртуальный MAC-адрес)

Поддерживается

Количество нод кластера

2 ноды

Защита от Split brain

Выделенный сервер управления

Импорт правил/политик с локального МСЭ

Синхронизация настроек в кластере серверов управления

Установка на ВМ

Поведение МСЭ при отключении сервера управления

Продолжит функционировать

Экспорт и резервное копирование политик

Централизованное обновление встроенного программного обеспечения МСЭ

Наличие web-интерфейса для доступа к компонентам, включая средства управления

Передача данных между центром управления и МЭ по защищенному каналу

Выделенный сервер логирования

Режим логирования

Автоматическая выгрузка логов на сторонний сервер

Формат хранения логов

Аггрегации и корреляции событий в инциденты безопасности

Модули с логированием

Выгрузка логов

Отправка логов на сторонний сервер

Типы отчетов

Автоматические отчеты (по расписанию)

Типы логирования (вся сессия, начало сессии, выбранное кол-во пакетов и т.д.)

Для разных типов правил разные варинаты логирования. МСЭ - при срабатывании, конец или начало сессии, конец И начало сессии, периодически, не логировать Аутентификация - писать лог / не писать SSL вскДля разных типов правил разные варинаты логирования. МСЭ - при срабатывании, конец или начало сессии, конец И начало сессии, периодически, не логировать Аутентификация - писать лог / не писать SSL вскрытие - при срабатывании, успешное или не успешное рукопожатие, любое рукопожатие, не логироватьРазвернуть

Сетевые виджеты для мониторинга трафика

Системные виджеты для мониторинга состояния устройства

Виджеты безопасности для мониторинга трафика

Журналы событий в режиме реального времени

Использование пользователей из LDAP для создания политик

Права учетной записи для интеграции с LDAP

достаточно сервисной УЗ с правами: Чтение журнала событий Пользователи удаленного управления Пользователь домена

Поддержка более одного домена

Просмотр импортированных пользователей

Kerberos

Proxy-аутентификация 

Прозрачная аутентификация

SAML (Security Assertion Markup Language)

Защищенный протокол LDAP (Secure LDAP)

Интеграция с Radius

Протоколы аутентификации при интеграции с Radius

Использование нескольких Radius-серверов

Интеграция по протоколу ICAP с внешними системами

Возможности настройки ICAP-взаимодействия

Модули диагностики в GUI

Модули диагностики в CLI

Доступны стандартные службы ОС + логи NGFW

Доступ к логам ОС

Активация дебага отдельных модулей безопасности

Обновление кластера

Обновление кластера без простоя

Резервное копирование при автоматическом обновлении

Возможность отката к предыдущей версии

Доступ к дистрибутивам на сайте производителя

Офлайн-обновления

Обновление с web-ресурсов производителя

Обновление через систему централизованного управления

Офлайн-установка лицензии (без доступа в интернет)

API (Application Programming Interface)

Для каких модулей можно загружать политики через API

В API доступно все, что в Веб-консоли PT NGFW Mgmt

Массовая загрузка политик

Поддержка миграции с других продуктов

Варианты резервного копирования для Системы Управления

Варианты резервного копирования для NGFW

Автоматические резервные копии по расписанию

Выгрузка резервных копий на сторонний сервер

Восстановление из резервной копии NGFW

Восстановление из резервной копии Системы Управления