ViPNet

Работа в режиме L3 (Routing Mode)

Fail Close / Fail Open (настройка поведения устройства при высокой нагрузке)

Возможность указывать исходящий интерфейс при настройке маршрутизации

Приоритизация маршрутов (Administrative Distance)

Поддержка Fullview (маршрутизация)

ECMP (Equal-Cost Multi-Path)

BFD (Bidirectional Forwarding Detection)

Протоколы маршрутизации

OSPF, BGP

Ограничения для поддерживаемых динамических протоколов

Для OSPF: 1. Можно указать не более 128 сетей, в которых осуществляется обмен информацией по протоколу OSPF. 2. На каждом интерфейсе можно создать не более 255 ключей с уникальным keyid и только одинДля OSPF: 1. Можно указать не более 128 сетей, в которых осуществляется обмен информацией по протоколу OSPF. 2. На каждом интерфейсе можно создать не более 255 ключей с уникальным keyid и только один пароль.Развернуть

VXLAN (Virtual Extensible LAN)

LACP (Link Aggregation Control Protocol, стандарт IEEE 802.3ad/802.1ax)

Резервирование интернет-канала (ISP Redundancy)

Сколько ISP поддерживается

По количеству физических интерфейсов

Статическая балансировка трафика при использовании резервирования провайдера (ISP Redundancy)

Потери пакетов при выходе из строя одного линка при использовании LoadSharing Active/Active

Механизмы мониторинга физических линков при использовании ISP Redundancy

Используется проверка состояния шлюзов (Dead Gateway Detection, DGD)

Задание приоритета для линка

Поддержка виртуальных контекстов

VRF (Virtual Routing and Forwarding)

Настройка Proxy ARP

Поведение устройства при обновлении правил / применении политики

Правила/политики применяются без перерывов в обслуживании

Netflow (сетевой экспорт потоков)

Функционал Anti-Spoofing (защита от подмены адресов)

NTP (Network Time Protocol)

Мониторинг состояния блоков питания

Поддержка Graceful Restart для протоколов динамической маршрутизации

Выгрузка/загрузка  конфигураций в виде текстовых файлов

SNMP (Simple Network Management Protocol)

Страна происхождения производителя

Включен в реестр ПАК Минцифры

Сертификат ФСТЭК

Сертификат ФСБ

Наличие дополнительного функционала: DLP, WAF, SandBox и др.

QoS (Quality of Service, «качество обслуживания»)

Применение QoS-политик отдельно для интерфейсов

Применение QoS-политик для зон

Использование зон безопасности в политиках ACL

Использование интерфейсов в политиках ACL

Возможность включения интерфейсов в зоны

Перетаскивание элементов (Drag&Drop) при работе с объектами и политиками

Контроль состояния соединений (Stateful Inspection)

Ускорение обработки трафика

NAT-правила для определенных правил МСЭ

Расписание действия правил МСЭ

Поддержка временных правил МСЭ

Просмотр неявных правил (Implicit Rules)

Управление неявными правилами (Implicit Rules)

Счетчик срабатываний (Hit Count) для каждого правила

Поиск правил по объекту

Проверка правил на дубликаты

Объекты для создания правил

IP host, IP range, IP network, DNS-имена, Интерфейсы и Группы интерфейсов, Сервисы и порты, Прикладные протоколы, Пользователи, Приложения и Группы приложений

Блокировка по GeoIP

Наличие поля "Комментарий" на каждом правиле

Очередность выполнения NAT

По порядку размещения правил NAT, сверху вниз

Возможность выбора интерфейса, на котором будет осуществляться NAT

Преобразование исходного адреса (Source NAT)

Преобразование адреса назначения (Destination NAT)

PBR (Policy-Based Routing)

ISP Redundancy с провайдером при использовании PBR

IPS (Intrusion Prevention System)

Возможность выбора определенной группы сигнатур для защиты

Создание исключений

Создание самописных сигнатур

Наличие документации, описывающей синтаксис, используемый при написании сигнатуры

Защита от DoS

Защита от SYN-flood

Защита от HTTP-flood

Защита от ICMP-flood

"Поддержка сложных правил. Например: 1. Разрешить трафик на YouTube, но запретить оставлять комментарии 2. Разрешить трафик VK, но запретить пользоваться Multimedia"

Добавление собственных приложений

Конфигурация сервисов на определенных портах

Политика реализации Application Control

Whitelist

Политика для трафика — «Неизвестный или не мог быть опознан устройством»

Определяется последующим правилом для данного трафика

Страница оповещения для пользователя (блокировка)

Страница оповещения для пользователя (предупредить и продолжить)

Блокировка QUIC-протокола

Использование сторонних сигнатур Threat Feed

Условия работы антивируса

Проверка скачиваемых файлов

Проверка работы антивируса по FTP

Проверка SMB

Типы файлов

Проверка файлов в архивах без паролей

Проверка файлов в архивах с паролями

Выбор действий для определенных типов файлов

Антивирусный движок

Поддержка добавления пользовательских хешей

Поддерживаемые режимы SSL-инспекции (SSL Inspection)

Поддерживаемые протоколы

Поддержка нестандартных портов для поддерживаемых протоколов

Возможность использования сертификатов стороннего УЦ (удостоверяющего центра)

Инспектирование для отдельных пользователей

Инспектирование для отдельных сайтов

Поддержка Wildcard-сертификатов

Client-Side SSL Inspection (Outbound – инспекция исходящего SSL-трафика)

Server-Side SSL Inspection (Inbound – инспекция входящего SSL-трафика)

Использование собственных или сторонних списков URL

Загрузка списков URL не поддерживается, можно создавать группы объектов, добавляя каждый URL вручную

Тип используемой базы URL

Локальная, используется в модуле Контроль приложений

Создание пользовательских URL-категорий

Переопределение категории URL

Страница блокировки сайта в случае наличия вируса на странице (URL-категория)

Настройка доступа к определенным URL/доменам

URL Lookup (проверка принадлежности URL к определенной категории)

Страница блокировки/предупреждения

Какие списки URL использует производитель

Собственные

Явный прокси-сервер (Explicit Proxy)

Прозрачный прокси (Transparent Proxy)

Авторизация Kerberos

Страница блокировки на Captive Portal

Captive Portal для авторизации на Proxy

Контентная фильтрация

Типы файлов для фильтрации

Более 95 типов файлов

Блокировка файлов в архивах

Блокировка архивов внутри архивов

Запрет загрузки файлов

Запрет отправки файлов

Типы защищаемого трафика

Пользовательский трафик, трафик опубликованных серверов. Защита от Botnet реализована в модуле IPS

Частота обновлений

Один раз в день

Место хранения баз

Локально

Выявление трафика RAT

Выявление обращений к вредоносными URL и доменам

Выявление IRC-коммуникаций

Защита почты

Наличие функционала MTA

Поддерживаемые протоколы

IPlir

Интеграция с LDAP

VPN-клиент

Автоматическое назначение IP-адреса клиенту

Поддержка 2FA

Получение маршрутов от шлюза

Разделенный VPN-туннель (SPLIT Tunnel)

Направление всего трафика через VPN

Подключение к VIP-адресу кластера шлюзов

Операционная система для клиента

Linux, Windows, Android, iOS, MacOS, Аврора

Проверка трафика на шлюзе

Проверка трафика на клиентском устройстве

Compliance Check (проверка соответствия требованиям безопасности) клиента

Алгоритмы шифрования

ГОСТ 28147-89, ГОСТ 34.12-2018, ГОСТ 34.13-2018

Поддержка изолированного сегмента для клиентов, не прошедших Compliance Check

Кастомизация портала

Типы приложений для публикации

Публикация нескольких порталов (на разных IP-адресах)

Распространение через портал Remote Access Client

Публикация собственных приложений на портале

Авторизация пользователя по сертификату

Поддержка 2FA

2FA + Remote Access VPN с клиентом

Реализовано через интеграцию с мультифактор.ру в рамках отдельного продукта ViPNet Сервер многофакторной аутентификации

2FA + Remote Access VPN с SSL-порталом

Поддерживаемые протоколы

IPlir

DPD / Tunnel Test

Инструменты диагностики VPN-соединений

Группа команд iplir, диагностика сети (ping, tracert, arp), командная строка (netstat, tcpdump и др.)

Время жизни Security Association — параметр времени жизни VPN-ключей (режим КБ (килобайты), секунды/минуты)

Аутентификация

Исключение из VPN-трафика на основании сервиса

Алгоритмы шифрования

ГОСТ 28147-89, ГОСТ 34.12-2018, ГОСТ 34.13-2018

NAT-T (NAT Traversal)

PFS (Perfect Forward Secrecy)

NAT внутри VPN

VPN со сторонними вендорами

SD-WAN (Software-Defined Wide Area Network — программно-определяемая WAN-сеть)

Распределение пользователей (локальных и доменных) по каналам

Распределение трафика приложений/сайтов по каналам

Мониторинг трафика

Типы фильтров в политиках SD-WAN (Software-Defined Wide Area Network — программно-определяемая WAN-сеть)

Требования к нодам кластера

Для ViPNet Coordinator HW: одинаковая платформа и версия ПО. Для ViPNet Coordinator VA: одинаковые параметры эмулируемого аппаратного обеспечения (количество процессоров, ОЗУ и сетевых интерфейсов)

Механизмы резервирования кластера

Проприетарный протокол

VIP-адрес и адреса физических интерфейсов должны принадлежать одной подсети

Режим получения динамических маршрутов при работе в кластере

Активная нода

Дополнительная лицензия для кластера

Добавление сетевых интерфейсов после сборки кластера

Поведение при отключении сетевого интерфейса

Переключение мастер-ноды

GARP (Gratuitous ARP)

Время переключения между нодами

Менее 1 сек.

Синхронизация сессий

Кластер системы централизованного управления

Кластер системы централизованного логирования

Потери пакетов при выходе из строя одного линка при использовании LoadSharing Active/Active

Тип кластера

Active-Passive

VMAC (Virtual MAC Address — виртуальный MAC-адрес)

Количество нод кластера

2

Защита от Split brain

Выделенный сервер управления

Импорт правил/политик с локального МСЭ

Синхронизация настроек в кластере серверов управления

Установка на ВМ

Поведение МСЭ при отключении сервера управления

Продолжит работать

Экспорт и резервное копирование политик

Централизованное обновление встроенного программного обеспечения МСЭ

Наличие web-интерфейса для доступа к компонентам, включая средства управления

Передача данных между центром управления и МЭ по защищенному каналу

Выделенный сервер логирования

Режим логирования

Локально, централизованно

Автоматическая выгрузка логов на сторонний сервер

Формат хранения логов

RAW text log, SQLite

Аггрегации и корреляции событий в инциденты безопасности

Модули с логированием

Все модули

Выгрузка логов

Отправка логов на сторонний сервер

Типы отчетов

Автоматические отчеты (по расписанию)

Типы логирования (вся сессия, начало сессии, выбранное кол-во пакетов и т.д.)

Регистрировать все IP-пакеты или только заблокированные IP-пакеты

Сетевые виджеты для мониторинга трафика

Системные виджеты для мониторинга состояния устройства

Виджеты безопасности для мониторинга трафика

Журналы событий в режиме реального времени

Использование пользователей из LDAP для создания политик

Права учетной записи для интеграции с LDAP

Чтение домена

Поддержка более одного домена

Просмотр импортированных пользователей

Kerberos

Proxy-аутентификация 

Прозрачная аутентификация

SAML (Security Assertion Markup Language)

Защищенный протокол LDAP (Secure LDAP)

Интеграция с Radius

Протоколы аутентификации при интеграции с Radius

Использование нескольких Radius-серверов

Интеграция по протоколу ICAP с внешними системами

Возможности настройки ICAP-взаимодействия

Модули диагностики в GUI

Работа с журналами, ARP-Таблица

Модули диагностики в CLI

Утилиты для диагностики системы и сети, встроенные команды ping, tracert, arp, запись дампа, работа с журналами и т.д.

Доступ к логам ОС

Активация дебага отдельных модулей безопасности

Обновление кластера

Обновление кластера без простоя

Резервное копирование при автоматическом обновлении

Возможность отката к предыдущей версии

Доступ к дистрибутивам на сайте производителя

Офлайн-обновления

Обновление с web-ресурсов производителя

Обновление через систему централизованного управления

Офлайн-установка лицензии (без доступа в интернет)

API (Application Programming Interface)

Для каких модулей можно загружать политики через API

Массовая загрузка политик

Поддержка миграции с других продуктов

Варианты резервного копирования для Системы Управления

Варианты резервного копирования для NGFW

Автоматические резервные копии по расписанию

Выгрузка резервных копий на сторонний сервер

Восстановление из резервной копии NGFW

Восстановление из резервной копии Системы Управления