Какие реальные решения для NGFW в режиме мост (прозрачный режим) существуют? Пожалуйста, укажите как открытые (open source), так и платные варианты.

Как правильно интегрировать NGFW в инфраструктуру, где используется оборудование Mikrotik? <br/> <br/> Можно рассмотреть вариант подключения через bridge режим после устройства Mikrotik, но какие есть рабочие решения и продукты для этой задачи? <br/> <br/> Каковы преимущества и недостатки в функциональном плане при использовании такого подхода? <br/> <br/> Есть ли альтернативные варианты внедрения NGFW в подобной сетевой инфраструктуре?
  • 15 апреля 2025 г. 9:35
Ответы на вопрос 2
Существует множество решений для NGFW (Next Generation Firewall), которые могут работать в прозрачном режиме (bridge mode). Вот некоторые из них:

### Платные решения:
1. **Palo Alto Networks**: Они предлагают решения, которые могут работать в прозрачном режиме и обеспечивают высокую производительность и интеграцию с различными функциями безопасности.
2. **Fortinet FortiGate**: FortiGate может работать в режиме моста и обеспечивает широкий набор функций NGFW, включая IPS, антивирус, фильтрацию URL и другие.
3. **Cisco Firepower**: Cisco предлагает устройства, которые можно настроить в прозрачном режиме и обеспечить интеграцию с другими продуктами Cisco.
4. **Check Point**: Также поддерживает режимы работы в мосту и предлагает решения с высокой степенью защиты и гибкими функциями управления.

### Открытые решения:
1. **pfSense**: Это мощное и гибкое решение с возможностью работы в режиме моста. Оно использоваться как маршрутизатор и firewall и может быть расширено с помощью различных пакетов.
2. **OPNsense**: Это форк pfSense, который тоже поддерживает функции NGFW и может работать в прозрачном режиме.
3. **IPFire**: Еще одно решение с поддержкой различных функций безопасности, включая работу в режиме моста.

### Интеграция NGFW в инфраструктуру с Mikrotik:
Существует несколько вариантов для интеграции NGFW в сеть с оборудованием Mikrotik:

1. **Подключение в режиме моста**: Вы можете подключить NGFW между вашим маршрутизатором Mikrotik и локальной сетью. Конфигурация будет следующая:
   - Mikrotik роутер (устанавливаемая маршрутизация).
   - NGFW (настройка в режиме моста).
   - Локальные устройства.

В этом случае Mikrotik будет выполнять маршрутизацию, а NGFW будет обеспечивать безопасность трафика, проходящего через него.

### Преимущества и недостатки режима моста:

**Преимущества:**
- **Прозрачность**: NGFW легко интегрируется в существующую инфраструктуру без необходимости в изменении конфигурации маршрутизаторов.
- **Скорость внедрения**: Быстрое развертывание, поскольку нет необходимости в перепланировке сети.
- **Легкость администрирования**: Меньше изменений в настройках IP-адресов и маршрутизации.

**Недостатки:**
- **Не так гибко в управлении трафиком**: Прозрачный режим может ограничивать некоторые возможности, такие как управление адресами и сложные правила маршрутизации.
- **Возможные проблемы с производительностью**: Если NGFW не справляется с высоким объемом трафика, это может привести к замедлению сети.
- **Сложности с мониторингом**: Вриме прозрачного режима могут быть проблемы с мониторингом, поскольку трафик не проходит через NGFW в традиционном (маршрутизируемом) смысле.

### Альтернативные варианты внедрения:
1. **Маршрутизатор Mikrotik под управлением Firewall**: Использование самого Mikrotik как устройства безопасности, комбинируя его возможности с дополнительными сервисами, как VPN, фильтрация трафика и т.д.
2. **Использование NGFW в режиме маршрутизации**: Если это возможно, можно настроить NGFW в режиме маршрутизации, чтобы он контролировал весь входящий и исходящий трафик.
3. **Дублирование трафика**: Использование SPAN-портов на Mikrotik для дублирования трафика на NGFW, хотя это не подразумевает прямую фильтрацию трафика.

Таким образом, выбор реализации NGFW зависит от конкретных требований безопасности, инфраструктуры и бюджета вашей организации.
Думаю, что у многих вендоров это работает.  Лично я делал такое на Palo Alto  .  Вроде всё работало, но может есть какие то фишки,  которые я не использовал. Это уже надо уточнять у вендоров. Единственный минус это если не фильтровать vlan, или ставить его между роутерами, то будет всего 2 зоны, вход и выход. Для каких-то решений этого будет недостаточно.
Похожие вопросы