- Один шлюз, хватает класса КС1
- Лицензия и платформа или своя ВМ
- Нужен класс КС2 или КС3
- Только аппаратная платформа NGate
- Два и больше узлов в кластере
- Одна лицензия NGate и центр управления ЦУС
- Вход по сертификату или через VPN-клиент
- Лицензия КриптоПро CSP на каждое устройство
Содержание
Удалённый доступ с шифрованием по ГОСТ для госоргана, банка, оператора персональных данных или субъекта КИИ чаще всего строят на КриптоПро NGate — TLS- и VPN-шлюзе, сертифицированном ФСБ России по классам КС1, КС2 и КС3. Закупка при этом состоит из нескольких позиций, и ошибиться легко в обе стороны: взять лицензию по числу сотрудников и переплатить или поставить платформу, которая не выдержит утренний пик подключений. Ниже — как устроена поставка, как подобрать модель под нагрузку и что учесть до заявки. Цены всех лицензий и сертификатов — на карточке купить КриптоПро NGate, моделей — на странице аппаратные платформы NGate.
Из чего складывается стоимость КриптоПро NGate
Шлюз собирается из программной и аппаратной частей, и каждая покупается отдельно:
| Что | Когда нужно | Как считается |
|---|---|---|
| Лицензия NGate | всегда | по максимальному числу одновременных подключений, от 50 |
| Аппаратная платформа или своя виртуальная машина | всегда | платформа — на каждый узел шлюза |
| Центр управления NGate ЦУС | кластер или несколько шлюзов | лицензия по числу узлов под управлением, платформа ЦУС |
| Техподдержка ПО | по желанию, на год | по тому же числу подключений, что и лицензия |
| Сервисное обслуживание платформы | по желанию, на год | на каждую платформу |
КриптоПро CSP входит в состав шлюза и отдельно для него не покупается. Связь площадок между собой по IPsec (Site-to-Site) лицензируется своей позицией — она на карточке КриптоПро NGate IPsec. Установку и настройку можно заказать у разработчика сертификатом: для одного шлюза — 223 674,80 ₽, для кластера из двух узлов — 559 174,80 ₽.
Как посчитать лицензию на подключения
Лицензия считается не по числу сотрудников и не по числу устройств, а по максимуму одновременных подключений к шлюзу. Если в компании 800 человек, а удалённо одновременно работают максимум 300, нужна лицензия на 300 подключений. Цифру берут по самому загруженному часу и добавляют запас на рост.
| Лицензия | Цена |
|---|---|
| 50 одновременных подключений — минимальная | 70 000 ₽ |
| 150 подключений | 200 000 ₽ |
| 500 подключений | 550 000 ₽ |
| 1 000 подключений | 1 000 000 ₽ |
| 2 000 подключений | 1 750 000 ₽ |
Покупать лицензию сразу на вырост не обязательно: когда пользователей станет больше, докупается лицензия на расширение — например, ещё на 500 подключений за 480 000 ₽. Лицензия разрешена и в виртуальной среде.
Лицензия NGate ограничивает подключения, а платформа — то, сколько подключений она физически выдержит. Одно не заменяет другое: лицензия на 2 000 подключений на платформе, которая держит 700, даст 700.
Почему VPN-клиент нагружает платформу сильнее браузера
Пользователи подключаются к NGate двумя способами. Через браузер — к веб-сайтам и веб-приложениям организации, без установки VPN-клиента. Через VPN-клиент NGate — к защищаемым ресурсам внутренней сети, как будто сотрудник сидит в офисе. Клиент есть для Windows, macOS, Linux, iOS, Android и ОС «Аврора».
Для выбора модели важно: в режиме VPN-клиента та же платформа держит меньше подключений, чем при доступе через браузер: почти вдвое у NGate 2000 и вшестеро у NGate 340. Например, NGate 1000 по данным производителя выдерживает до 4 000 подключений через браузер и до 2 000 — через VPN-клиент. Поэтому первым делом решите, как будут подключаться сотрудники: если хотя бы часть пойдёт через VPN-клиент, модель подбирают по колонке VPN.
Модели NGate: какая для кого
Пиковые значения производителя. Все модели, кроме 340, выпускаются в классах КС1–КС3.
| Модель | VPN-клиент | Через браузер | Для кого | Цена КС1 |
|---|---|---|---|---|
| NGate 320 | 150 | 500 | Настольная: небольшой офис или филиал, есть IPsec | 165 212,40 ₽ |
| NGate 340 | 500 | 3 000 | Настольная: офис побольше, только класс КС1 | 201 300 ₽ |
| NGate 600 | 700 | 2 000 | Стоечная 1U: начальный уровень для серверной | 405 406 ₽ |
| NGate 1000 | 2 000 | 4 000 | Стоечная 1U: до 2 000 подключений по VPN | 610 000 ₽ |
| NGate 1500 | 4 000 | 8 000 | Порты 10 Гбит/с, IPsec до 5,2 Гбит/с | 1 202 212,40 ₽ |
| NGate 1800 | 4 000 | 14 000 | Массовый доступ через браузер | 1 464 000 ₽ |
| NGate 2000 | 8 000 | 15 000 | Крупная сеть: до 8 000 подключений по VPN | 1 934 724,80 ₽ |
| NGate 3000 | 12 000 | 45 000 | Старшая модель: до 45 000 подключений через браузер | 3 181 662,40 ₽ |
Порядок такой: берёте пик одновременных подключений, смотрите колонку своего способа входа и выбираете модель с запасом. Затем сверяете пропускную способность: если сотрудники гоняют через шлюз видеосвязь или большие файлы, упереться можно в скорость, а не в число подключений. Пример: 1 000 одновременных подключений по VPN — NGate 600 с потолком 700 не подойдёт, нужна NGate 1000, если суммарный трафик укладывается в её до 1 Гбит/с в режиме VPN. Полная таблица с пропускной способностью и портами — на странице сравнение аппаратных платформ NGate.
Кластер и NGate ЦУС: когда нужен центр управления
Небольшой компании с одним шлюзом хватает одной машины: разработчик размещает все части решения на одной платформе или виртуальной машине. Когда шлюзов несколько — по филиалам или для отказоустойчивости, — появляется центр управления сетью NGate ЦУС. Это отдельная машина: она хранит и синхронизирует настройки, работает с ключами шлюзов. Без ЦУС кластер не построится.
Кластер NGate — это до 32 узлов за балансировщиком 4-го уровня в режиме least connection. Узлы синхронизируют сессии, поэтому выход одного из строя не рвёт соединения: они переходят на оставшиеся узлы. Если кластер ставят ради отказоустойчивости, оставшиеся узлы должны выдержать пик без вышедшего.
Как это считается в закупке:
- лицензия NGate — одна на весь кластер, на суммарный пик подключений, сколько бы ни было узлов;
- платформа — на каждый узел;
- лицензия ЦУС — по числу узлов под управлением: на 2 узла — 40 000 ₽, на 15 — 100 000 ₽;
- платформа ЦУС: ЦУС 100 с портами 1 Гбит/с — 475 299,80 ₽, ЦУС 200 с портами 10 Гбит/с — 1 261 687,40 ₽.
Лицензии и сертификаты центра управления — на карточке КриптоПро NGate ЦУС. Если площадки разнесены по городам, разработчик различает два случая: несколько независимых кластеров (георезервирование) делается без дополнительных условий, а один кластер на удалённых площадках требует отдельного проектирования.
КС1 в виртуальной среде, КС2 и КС3 — только на платформе
Класс защиты задаёт, где может работать шлюз. В виртуальной среде NGate работает с классом КС1 — в поддерживаемых версиях VMware ESXi (5.5–7.0), Hyper-V, KVM, Proxmox VE 7, Citrix Hypervisor 8 и других сред из перечня в FAQ разработчика. Вашу среду сверим с этим перечнем до закупки. Тогда платформу не покупают, а ресурсы машины подбирают под нагрузку.
Классы КС2 и КС3 доступны только на аппаратной платформе NGate. Для них не нужны отдельные настройки, электронные замки и другие дополнительные меры защиты — всё нужное уже встроено в платформу. NGate 340 выпускается только в классе КС1. Платформы КС3 дороже КС1 — например, NGate 600 КС3 за 483 681,20 ₽.
Какой класс нужен вашей системе, определяют модель угроз и требования регулятора — как это устроено, разобрано в статье СКЗИ: чем отличаются классы КС1–КА.
Когда нужна лицензия КриптоПро CSP на устройствах
Внутри шлюза КриптоПро CSP уже есть. Но на устройствах пользователей CSP нужен почти всегда, и вопрос только в том, с лицензией или без:
| Как подключается сотрудник | Что нужно на его устройстве |
|---|---|
| Через браузер, по логину и паролю: сертификат проверяется только у шлюза | КриптоПро CSP, лицензия на CSP не нужна |
| Через браузер, по своему сертификату | КриптоПро CSP с лицензией |
| Через VPN-клиент NGate | КриптоПро CSP с лицензией и VPN-клиент NGate |
Если сотрудники входят по сертификату или через VPN-клиент, закладывайте в бюджет лицензии КриптоПро CSP 5.0 по числу устройств: бессрочная лицензия на рабочее место стоит 3 700 ₽. Как считать лицензии CSP на организацию, разобрано в статье Лицензия КриптоПро: какая нужна организации.
Сертификаты пользователей, порталов шлюза и внутренней PKI NGate перевыпускают раз в год и три месяца. Если их выпускает внешний удостоверяющий центр или служба ЦУС VPN разработчика, заложите перевыпуск в бюджет.
Поддержка ПО и обслуживание платформы
Это два разных сертификата. Техподдержка NGate касается программы и считается по числу подключений лицензии. Базовая даёт консультации на портале и реакцию на критичный сбой до 6 рабочих часов. Расширенная — реакцию до 2 рабочих часов на критичный сбой, удалённую диагностику, выделенного специалиста и до 4 выездов в год в пределах МКАД, если сертификат их предусматривает. Круглосуточная — то же в режиме 24×7. На 50 подключений базовая поддержка на год — 14 139,80 ₽.
Сервисное обслуживание касается самой платформы. Базовое — диагностика и ремонт, доставка в сервис и обратно за ваш счёт. Расширенное — на время ремонта при необходимости дают аналогичную платформу, доставку оплачивает производитель, инженер может выехать до 4 раз за год (в пределах МКАД, если в сертификате не указано иное). Для NGate 600 базовое обслуживание на год — 23 387,40 ₽.
Подбор и расчёт по анкете
Если цифр пока нет или точек подключения несколько, ответьте на вопросы анкеты: точки установки, число подключений, способ входа, платформа или виртуальная машина, класс защиты, нужен ли кластер. По ответам покажем подходящую модель и пришлём КП с полным составом поставки.
Подбор и расчёт NGate
Ответьте на несколько вопросов о подключениях — покажем подходящую модель платформы и подготовим КП на лицензию и оборудование.
По ответам подготовим коммерческое предложение: подберём лицензии, оборудование и поддержку КриптоПро. Можно отвечать приблизительно — главное отмечено звёздочкой, остальное уточним. В конце — e-mail, телефон по желанию.
Ответы сохраняются в этом браузере.
По ссылке анкета откроется с вашими ответами на любом устройстве — сохраните её себе или отправьте коллеге, который знает остальное.
Самая частая стартовая позиция — минимальная лицензия на 50 одновременных подключений, её можно поставить и на виртуальную машину:
Все лицензии, расширения и уровни поддержки собраны в конфигураторе карточки КриптоПро NGate, а цены аппаратных платформ NGate в исполнениях КС1 и КС3 — на странице платформ.
Частые вопросы
Сколько стоит КриптоПро NGate? +
Стоимость складывается из лицензии на одновременные подключения (от 50), платформы на каждый узел или своей виртуальной машины, для кластера — центра управления NGate ЦУС, а также необязательных сертификатов техподдержки и сервисного обслуживания. Цены всех позиций — в конфигураторах карточек NGate и аппаратных платформ, полный состав поставки посчитаем по анкете.
Нужна ли отдельная лицензия NGate на каждый узел кластера? +
Нет. На кластер покупается одна лицензия NGate на суммарный пик подключений, сколько бы в нём ни было узлов. Отдельно покупаются платформа на каждый узел и лицензия центра управления NGate ЦУС по числу узлов.
Можно ли начать с небольшой лицензии и расширить её потом? +
Да. Минимальная лицензия — на 50 одновременных подключений. Когда пользователей станет больше, докупается лицензия на расширение действующей на нужное число подключений.
Можно ли установить NGate на свою виртуальную машину? +
Да, в виртуальной среде NGate работает с классом защиты КС1 — в поддерживаемых версиях VMware ESXi, Hyper-V, KVM, Proxmox VE и других сред из перечня разработчика; вашу среду сверим до закупки. Для классов КС2 и КС3 нужна аппаратная платформа NGate.
Какую модель NGate брать на 1 000 одновременных подключений? +
Зависит от способа входа и трафика. Через VPN-клиент NGate 600 держит до 700 подключений, поэтому нужна NGate 1000 — до 2 000 подключений и до 1 Гбит/с. Если все входят через браузер, хватит NGate 600 — до 2 000 подключений и до 1 Гбит/с. Если трафик больше, берите модель старше. Для кластера нужен запас: при выходе узла его подключения переходят на оставшиеся.
Нужна ли пользователям лицензия КриптоПро CSP? +
При входе через браузер по логину и паролю — нет: на устройство достаточно установить КриптоПро CSP. При входе по своему сертификату или через VPN-клиент NGate на каждое такое устройство нужна лицензия КриптоПро CSP.
