Как выбрать российский NGFW: PT NGFW, UserGate и Ideco

Российский NGFW выбирают не по одной цифре скорости из рекламного листка. Три самых популярных в поиске продукта — PT NGFW, UserGate NGFW и Ideco NGFW Novum — по-разному лицензируются, по-разному сертифицированы ФСТЭК и по-разному собираются в кластер и под одну консоль. От этих различий зависит и цена владения на три–пять лет, и то, примет ли комиссия экран в аттестованной системе. Ниже — что важно сравнить и какие данные подготовить, чтобы получить коммерческое предложение.

С чего начать выбор NGFW

Прежде чем смотреть на модели, ответьте на четыре вопроса.

1. Где встанет экран. Периметр офиса, филиалы, DMZ с опубликованными сервисами, граница между сегментами внутри сети или ЦОД. Для филиалов важны туннели и централизованное управление, для ЦОД — скорость и виртуальные контексты.
2. Сколько трафика он будет проверять. Не ширина канала по договору, а пиковая нагрузка с включёнными модулями: IPS, контролем приложений, расшифровкой HTTPS.
3. Нужен ли сертификат ФСТЭК. Для государственных систем, систем персональных данных и значимых объектов КИИ — почти всегда да, и важно, какой именно (об этом следующий раздел).
4. Комплекс или виртуальная машина. Все три производителя предлагают оба варианта, но сертифицированные шлюзы PT NGFW и сертифицированная версия Ideco поставляются только программно-аппаратными комплексами.

Какой сертификат ФСТЭК нужен

Сертификат межсетевого экрана выдают по типам (А, Б, В, Г, Д) или по отдельным требованиям к многофункциональным межсетевым экранам уровня сети — NGFW. Что из этого записать в техническое задание, подробно разобрано в статье «Межсетевой экран и NGFW: как выбрать, типы и классы ФСТЭК». Здесь — что есть у наших трёх героев по данным госреестра ФСТЭК на 19.10.2026.

Если в ТЗ стоит «многофункциональный межсетевой экран уровня сети», из трёх продуктов подходит PT NGFW. Если требуется межсетевой экран типа А или Б с системой обнаружения вторжений — подходят UserGate NGFW и сертифицированная версия Ideco.

PT NGFW: всё лицензируется на срок

У PT NGFW три компонента: шлюзы безопасности, система управления и система журналирования. Шлюзы выпускаются комплексами от GW-905i до GW-3050 и виртуальными машинами от GW-VM-1010 до GW-VM-2050. На каждый шлюз покупают базовую лицензию под его модель и функциональные под нужные функции: предотвращение вторжений, URL-фильтрацию, потоковый антивирус, загрузку индикаторов компрометации — или единый комплект All-in-One. Отдельно лицензируется система управления по числу управляемых шлюзов, VPN-агенты удалённых сотрудников и второй шлюз для кластера.

Все лицензии PT NGFW срочные: минимальный срок — год, купить их можно и сразу на несколько лет, а по окончании оплаченного срока продлевают тем же составом. Сертифицированные шлюзы поставляются только комплексами — с аппаратным модулем доверенной загрузки и лицензиями Astra Linux.

UserGate NGFW: бессрочная база и подписки

Базовая лицензия UserGate NGFW бессрочная и привязана к производительности: для комплекса — к модели аппаратной платформы, для виртуального образа — к числу ядер. Аппаратных платформ 15 — от компактной B50 до моделей для ЦОД. В базовую лицензию входит год подписки Security Update на обновления, дальше её продлевают. База категорий сайтов, антиспам и потоковый антивирус — отдельные подписки сроком от года до пяти лет, а лицензия кластера бессрочная и при покупке нескольких устройств для кластера предоставляется бесплатно. Как они сочетаются, разобрано в статье «Лицензирование UserGate NGFW», а про отказоустойчивую пару — в «Кластер UserGate NGFW».

Для управления парком устройств у UserGate есть отдельный продукт — Management Center.

Ideco: Novum и сертифицированная ветка

У Ideco одна платформа в двух сборках. Ideco NGFW Novum — основная: лицензия Enterprise бессрочная, и по умолчанию в неё входит первый год подписки Security Update. Считать можно по числу пользователей или по ядрам виртуальной машины, а для комплексов Ideco есть лицензия без ограничения по пользователям. Комплексов семь — от компактного SX+ для филиала до двухпроцессорного TX для ЦОД. SD-WAN встроен и отдельно не лицензируется, а кластер, DNS Security и модули «Лаборатории Касперского» докупаются.

Ideco UTM ФСТЭК — сертифицированная сборка той же платформы. Она поставляется только комплексами, а по составу отличается отсутствием антивируса и антиспама «Лаборатории Касперского» и веб-интерфейса почты. Несколько экранов Ideco собираются под консоль Ideco Center, которую производитель рекомендует при пяти и более экранах. Лицензия консоли бессрочная и покупается отдельно, а в каждый подключаемый экран нужен модуль подключения — он продлевается вместе с Security Update.

Сравнение PT NGFW, UserGate и Ideco

В таблице — только то, чем продукты действительно различаются. Межсетевой экран, VPN, контроль приложений и предотвращение вторжений есть у всех трёх.

Из таблицы видно главное различие в деньгах. У PT NGFW по окончании оплаченного срока продлевают весь комплект лицензий. У UserGate и Ideco базовая лицензия остаётся у вас, а ежегодно продлеваются обновления и подписки. Без них экран продолжит работать, но часть защитных функций остановится или перестанет обновляться — у каждого производителя по-своему.

Как сравнивать скорость и зачем пилот

Производители меряют производительность в разных режимах: кто-то указывает пропускную способность с контролем приложений, кто-то — со всеми модулями на смешанном трафике. Сводить эти числа в одну колонку нельзя. Сравнивайте модели внутри одного производителя и проверяйте выбранную на своём трафике.

Независимый ориентир — открытые испытания «Инфосистем Джет» на ngfw.jet.su: 264 теста на стенде, протестировано 13 решений. Среди них PT NGFW 1.7.2, UserGate NGFW 7.4.1 и Ideco NGFW Novum 21.13.206, причём PT проверяли по методике версии 2.0, а UserGate и Ideco — по версии 3.0. Общего рейтинга из этого не выводят, но таблица тестов хорошо подходит как список того, что проверить у себя на пилоте.

Что прислать для коммерческого предложения

Цены всех трёх производителей зависят от конфигурации, поэтому коммерческое предложение собирается под проект. Чтобы посчитать быстро, нам нужны:

• число площадок и пользователей на каждой;
• пиковый трафик через экран и нужна ли расшифровка HTTPS;
• комплекс или виртуальная машина, нужен ли кластер;
• нужен ли сертификат ФСТЭК и под какое требование ТЗ;
• сколько сотрудников подключается удалённо;
• срок, к которому нужно решение о покупке.

Для Ideco всё это можно заполнить в анкете ниже — по ней мы подберём модель и согласуем спецификацию с производителем. Анкета для PT NGFW — на карточке PT NGFW, по UserGate запросите КП на карточке UserGate NGFW. Если сравниваете нескольких производителей, напишите об этом в анкете — подготовим сопоставимые спецификации на одинаковый срок, с кластером, управлением и подписками.

Младшая модель Ideco для филиала и малого офиса:

Рекомендуем в статье Ideco SX+ — программно-аппаратный комплекс с лицензией Ideco NGFW Novum

IDECO-NGFW-SXP

Цена по запросу Запросить КП

Подробнее →

Частые вопросы