Palo Alto и Check Point: как выбрать NGFW

Коротко: Palo Alto Networks и Check Point — два крупнейших производителя межсетевых экранов нового поколения (NGFW) для средних и крупных организаций. Palo Alto строит защиту вокруг распознавания приложений App-ID и однопроходной обработки в ОС PAN-OS, Check Point — вокруг программных блейдов в ОС Gaia и централизованного управления SmartConsole. Модель обоих вендоров выбирают по производительности с включённой защитой (Threat Prevention), а при покупке б/у — по поддержке актуальной версии ПО: например, PA-220 поддерживает PAN-OS только до 10.2, серия PA-3200 — до 11.1.

Что такое NGFW и чем он отличается от обычного межсетевого экрана

Классический межсетевой экран фильтрует трафик по IP-адресам и портам. NGFW (next-generation firewall) дополнительно распознаёт приложение независимо от порта, связывает трафик с учётной записью пользователя, расшифровывает и проверяет HTTPS, блокирует эксплойты и вредоносное ПО по обновляемым базам и отправляет неизвестные файлы на анализ в песочницу.

Palo Alto и Check Point закрывают одни и те же задачи — периметр, сегментацию ЦОД, VPN, защиту филиалов, — но различаются архитектурой, управлением и моделью лицензирования. От этого зависит, какая система удобнее конкретной команде.

Palo Alto: поколения и серии

Аппаратные NGFW Palo Alto обозначаются PA и номером серии. Сейчас на рынке одновременно три поколения: снятые с поддержки новых версий ПО, актуальные массовые и новые серии, вышедшие с PAN-OS 12.1.

Класс	Предыдущее поколение	Актуальное массовое	Новое (PAN-OS 12.1 и новее)
Филиал, малый офис	PA-220, PA-820, PA-850	PA-400: PA-410, 415, 440, 445, 450, 455, 460	PA-500: PA-520, 540, 550, 560 и др.
Средний офис	—	PA-1400: PA-1410, PA-1420	PA-1500
Крупный офис, периметр	PA-3200: PA-3220, 3250, 3260	PA-3400: PA-3410…PA-3440	PA-3500
ЦОД	PA-5200: PA-5220…PA-5280	PA-5400: PA-5410…PA-5450	PA-5500: PA-5510…PA-5580
Шасси	PA-7050, PA-7080	PA-7500	—
Последняя поддерживаемая PAN-OS	PA-220 — 10.2; PA-800 и PA-3200 — 11.1; PA-5200 и PA-7000 — 11.2	12.x (PA-410 и PA-415 — до 12.1)	12.x

Данные о версиях — по матрице совместимости Palo Alto Networks. Кроме аппаратных моделей есть виртуальные VM-Series для гипервизоров и облаков и контейнерные CN-Series для Kubernetes.

Технологии Palo Alto: App-ID, User-ID, WildFire

Основа PAN-OS — однопроходная параллельная обработка (Single-Pass Parallel Processing): пакет разбирается один раз, и все движки защиты работают с результатом разбора. За счёт этого включение дополнительных функций снижает производительность меньше, чем при последовательной проверке.

App-ID — распознавание приложения по сигнатурам, декодерам протоколов и поведению, а не по номеру порта. Политики пишутся в терминах приложений.
User-ID — привязка IP-адреса к пользователю и группе каталога, политики по группам.
Content-ID — IPS, антивирус, защита от шпионского ПО, фильтрация файлов и данных.
WildFire — облачная песочница для неизвестных файлов; найденные угрозы превращаются в сигнатуры для всех клиентов.
GlobalProtect — VPN и проверка состояния для удалённых пользователей.

Защитные функции включаются подписками: Advanced Threat Prevention, Advanced WildFire, Advanced URL Filtering, Advanced DNS Security, SD-WAN, GlobalProtect, IoT Security. Парком управляют через Panorama (локально) или Strata Cloud Manager (облако).

Check Point: Quantum Spark, Quantum и Quantum Force

Аппаратные шлюзы Check Point выпускаются под общим брендом Quantum и работают на ОС Gaia (актуальные ветки — R81.20 и R82).

Семейство	Модели	Назначение
Quantum Spark	1500 (1530, 1550, 1570, 1590 и варианты с Wi-Fi 6 и 5G), 1600, 1800	Малый офис и филиал, локальное или облачное управление
Quantum (предыдущие серии)	3600, 6000-я серия (6200, 6400, 6600, 6700, 6900), 7000, 16000, 26000, 28000	Офис, периметр, ЦОД
Quantum Force (с 2024 года)	9100, 9200, 9300, 9400, 9700, 9800, 19100, 19200, 29100, 29200	Офис, периметр, ЦОД — новое поколение
Quantum Maestro	Оркестратор и группа шлюзов	Горизонтальное масштабирование: несколько шлюзов работают как один

По даташиту Check Point 2024 года производительность с защитой (Threat Prevention) у Quantum Force составляет от 5 Гбит/с у модели 9100 и 9 Гбит/с у 9300 до 28,8 Гбит/с у 19100 и 47,4 Гбит/с у 29100. Цифры в разных редакциях документов различаются, поэтому для проекта используйте актуальный даташит.

Программные блейды Check Point

Функции безопасности Check Point оформлены как блейды (software blades) и включаются лицензиями: Firewall, IPsec VPN, Mobile Access, Identity Awareness, IPS, Application Control, URL Filtering, Anti-Bot, Anti-Virus, Threat Emulation (песочница), Threat Extraction (очистка документов от активного содержимого), Content Awareness.

Блейды продаются пакетами. Исторически основные пакеты назывались NGFW (межсетевой экран, VPN, IPS, контроль приложений), NGTP (плюс URL-фильтрация, антивирус, анти-бот) и SandBlast (SNBT) (плюс песочница и очистка файлов). При покупке проверяйте, какой пакет и на какой срок привязан к шлюзу.

Управление: Panorama и SmartConsole

У Check Point управление вынесено на отдельный Security Management Server — программный или аппаратный (Smart-1). Администратор работает в клиенте SmartConsole: единая политика для всех шлюзов, журналы, отчёты, история изменений. Для нескольких независимых сред есть Multi-Domain Management. Шлюзы Quantum Spark можно настраивать и локально через веб-интерфейс.

У Palo Alto каждый межсетевой экран управляется собственным веб-интерфейсом, а для парка используется Panorama: шаблоны сетевых настроек, группы устройств, общие политики и журналы. Обе системы поддерживают API и интеграцию с SIEM. Выбор часто определяется опытом команды: перенос политик между вендорами — отдельный проект.

Palo Alto, Check Point и FortiGate: сравнение подходов

Параметр	Palo Alto	Check Point	FortiGate
ОС	PAN-OS	Gaia	FortiOS
Ключевой подход	App-ID, однопроходная обработка	Программные блейды, централизованная политика	Собственные ускорители NP, CP, SP
Управление парком	Panorama, Strata Cloud Manager	Security Management Server, SmartConsole	FortiManager, FortiAnalyzer
Отказоустойчивость	HA active-passive и active-active	ClusterXL (High Availability и Load Sharing), Maestro	FGCP active-passive и active-active
Виртуальные контексты	Virtual Systems (vsys)	VSX	VDOM
Песочница	WildFire	Threat Emulation	FortiSandbox

Подробно о FortiGate — в статье FortiGate: как выбрать модель.

Какой throughput смотреть

У обоих вендоров в даташите несколько значений производительности, и пиковое значение «firewall» всегда кратно выше реального.

Palo Alto: Firewall throughput (App-ID включён) и Threat Prevention throughput (App-ID, IPS, антивирус, защита от шпионского ПО, песочница, журналирование). Выбор — по Threat Prevention.
Check Point: Firewall, NGFW и Threat Prevention throughput (межсетевой экран, контроль приложений, URL-фильтрация, IPS, анти-бот, антивирус, песочница). Выбор — по Threat Prevention.
Расшифровка TLS снижает производительность сильнее всего — если она планируется, сверяйтесь с отдельными тестами на HTTPS или закладывайте больший запас.
Сессии и новые соединения в секунду важны для публичных сервисов и периметра ЦОД.

Практическое правило: пиковый трафик умножить на 1,5–2 и сравнивать с Threat Prevention выбранной модели.

Отказоустойчивость и интерфейсы

На периметре почти всегда ставят пару устройств. У Palo Alto для HA используются выделенные порты HA1 (управление и синхронизация конфигурации) и HA2 (синхронизация сессий); режимы active-passive и active-active. У Check Point кластер ClusterXL работает в режимах High Availability или Load Sharing; для горизонтального роста используется Maestro.

Интерфейсы подбирают под аплинки: медь 1G, SFP и SFP+ для 1 и 10G, SFP28 и QSFP28 для 25 и 100G в моделях для ЦОД. У Check Point многие модели имеют слоты расширения для сетевых карт — проверьте, какие карты установлены. Совместимость трансиверов — в статье SFP и QSFP модули.

Как выбрать NGFW: 6 шагов

Опишите задачи: периметр, сегментация ЦОД, VPN для сотрудников, филиалы, требования к журналам.
Измерьте пиковый трафик и число сессий, решите, нужна ли расшифровка HTTPS.
Выберите вендора с учётом опыта команды и уже работающей системы управления.
Подберите модель по Threat Prevention с запасом 1,5–2 и по портам.
Проверьте поддержку нужной версии ПО: для Palo Alto — по матрице PAN-OS, для Check Point — по списку поддерживаемых версий Gaia.
Сформируйте пакет подписок или блейдов и контракт поддержки на нужный срок.

Если требований к проверке приложений и вторжений нет, а нужна гибкая маршрутизация и VPN, дешевле обойтись маршрутизатором — например, на MikroTik RouterOS.

Покупка б/у Palo Alto и Check Point

Поддержка ПО. PA-220, PA-800, PA-3200, PA-5200 и PA-7000 не получают новые ветки PAN-OS. Для старых шлюзов Check Point проверьте, поддерживают ли они нужную версию Gaia.
Лицензии. У Palo Alto подписки привязаны к серийному номеру; перенос на нового владельца идёт по правилам вендора. У Check Point лицензии учитываются в User Center и привязываются к IP-адресу шлюза или сервера управления.
Учётные записи. Устройство не должно числиться в аккаунте прежнего владельца на портале поддержки.
Сброс и состояние. Заводские настройки, отсутствие чужих сертификатов, исправность дисков журналов, блоков питания (в старших моделях — два) и вентиляторов.
Для HA — две одинаковые модели с одной версией ПО и одинаковыми модулями.

Про общие правила покупки бывшего в употреблении оборудования — в статье Вторичный рынок б/у ИТ-оборудования.

Типичные ошибки

Выбор по firewall throughput — после включения защиты скорость падает в разы.
Покупка модели, снятой с поддержки новых версий ПО, для проекта, где требуются свежие функции.
Отсутствие подписок — защита работает на устаревших базах.
Разные модели в HA-паре — кластер не соберётся.
Нет сервера управления для Check Point — без Security Management Server шлюзы Quantum (кроме Spark) не настроить.

Что учесть при закупке

Партномер полностью: модель, тип питания (AC или DC), установленные сетевые карты.
Подписки или блейды с указанием пакета и срока — отдельными позициями.
Система управления: Panorama или Security Management Server с лицензией на нужное число устройств.
Оптика и кабели для аплинков и HA.
Гарантия и сроки: для б/у — гарантия магазина после проверки на стенде.

Модели в наличии — в подборках межсетевые экраны Palo Alto и межсетевые экраны Check Point.

Смотреть межсетевые экраны и безопасность в наличии →

Вопросы по теме

Palo Alto или Check Point — что выбрать?

Обе системы относятся к ведущим NGFW. Palo Alto выделяется распознаванием приложений App-ID и однопроходной обработкой, Check Point — гибкими блейдами, централизованным управлением SmartConsole и масштабированием Maestro. Чаще выбор определяет опыт команды и уже работающая система управления.

На какой throughput ориентироваться?

На Threat Prevention throughput — производительность с включёнными IPS, антивирусом и другими защитными функциями. Если планируется расшифровка HTTPS, закладывайте дополнительный запас.

До какой версии PAN-OS обновляются старые модели?

По матрице Palo Alto: PA-220 — до 10.2, серии PA-800 и PA-3200 — до 11.1, PA-5200 и PA-7000 — до 11.2. Серии PA-400, PA-1400, PA-3400 и PA-5400 поддерживают ветку 12.x.

Что такое новые серии PA-500, PA-1500, PA-3500, PA-5500?

Это новое поколение аппаратных NGFW Palo Alto, поддержка которых начинается с PAN-OS 12.1 и новее. Они приходят на смену сериям PA-400, PA-1400, PA-3400 и PA-5400 в соответствующих классах.

Что такое программные блейды Check Point?

Это отдельно лицензируемые модули функций безопасности: Firewall, IPS, Application Control, URL Filtering, Anti-Bot, Anti-Virus, Threat Emulation и другие. Они продаются пакетами и включаются на шлюзе по мере необходимости.

Что такое Quantum Force?

Новое поколение шлюзов Check Point, представленное в 2024 году: модели от 9100 до 29200 для офиса, периметра и ЦОД. По даташиту 2024 года производительность с защитой — от 5 Гбит/с у 9100 до 47,4 Гбит/с у 29100.

Что такое Maestro?

Технология Check Point для горизонтального масштабирования: оркестратор объединяет несколько шлюзов в одну логическую систему и распределяет между ними нагрузку. Мощность наращивают добавлением шлюзов.

Нужен ли отдельный сервер управления?

Для Check Point Quantum — да, политика создаётся на Security Management Server в SmartConsole; Quantum Spark можно настраивать локально. Palo Alto управляется веб-интерфейсом каждого устройства, а для парка используют Panorama.

Нужны ли подписки?

Да. Без действующих подписок или блейдов шлюз работает на устаревших базах сигнатур. Для периметра нужны актуальные IPS, антивирус, URL-фильтрация и песочница.

Что проверять при покупке б/у NGFW?

Поддержку нужной версии PAN-OS или Gaia, статус лицензий и возможность их переноса, отвязку от аккаунта прежнего владельца, исправность дисков и блоков питания. Для HA — одинаковые модели и версии ПО.