Что такое NGFW простыми словами: чем отличается от обычного файрвола и как выбрать
Сеть и файрвол · 21.02.2026 · обновлено 14.10.2026 · 12 мин чтения · Команда НПП РЕКОРД
Обычный роутер с файрволом решает «кому можно, кому нельзя» по адресам и портам. NGFW — межсетевой экран нового поколения — смотрит глубже: какое приложение, какой пользователь, нет ли внутри угрозы. Разбираем простыми словами, из чего состоит NGFW, чем он отличается от роутера и UTM, почему цифры производительности в паспорте обманчивы, какие есть российские решения и кому он действительно нужен.
Коротко. NGFW (межсетевой экран нового поколения) — это файрвол, который различает не только адреса и порты, но и приложения, пользователей и содержимое трафика. В нём объединены контроль приложений, система предотвращения вторжений (IPS), фильтрация сайтов по категориям, проверка зашифрованного трафика и данные о свежих угрозах. NGFW нужен, если через сеть идут деньги, персональные данные и 1С, есть удалённые сотрудники или филиалы. Выбирать нужно по производительности с включёнными функциями защиты, а не по паспортной цифре.
Межсетевой экран (файрвол) — устройство или программа, которая решает, какой трафик пропускать между сетью компании и интернетом. Обычный файрвол, встроенный в любой офисный роутер, принимает решения по адресам и портам: «с этого адреса на этот порт — можно». Проблема в том, что сегодня почти всё работает через один и тот же порт 443 (HTTPS): и рабочая 1С, и соцсети, и вредоносная программа, которая «звонит домой». Обычный файрвол их не различает. NGFW различает.
NGFW видит не только «откуда и куда», но и «что именно» передаётся
Из чего состоит NGFW
| Функция | Что делает | Пример |
|---|---|---|
| Межсетевой экран с отслеживанием состояния | Базовая фильтрация по адресам и портам с учётом соединений | Запретить доступ из интернета к внутренним серверам |
| Контроль приложений | Определяет приложение внутри трафика, а не по порту | Разрешить 1С и корпоративный мессенджер, запретить торренты |
| Идентификация пользователей | Правила для сотрудников и групп, а не для IP-адресов | Бухгалтерии — банк-клиент, остальным — нет |
| Система предотвращения вторжений (IPS) | Блокирует известные атаки и эксплойты по сигнатурам | Остановить попытку использовать уязвимость сервера |
| Фильтрация сайтов по категориям | База сайтов, размеченных по категориям и опасности | Блокировать фишинговые и вредоносные сайты |
| Проверка зашифрованного трафика (TLS) | Расшифровывает и проверяет HTTPS-трафик | Найти вредонос в «защищённом» соединении |
| Данные об угрозах (Threat Intelligence) | Постоянно обновляемые списки опасных адресов и признаков атак | Заблокировать связь с сервером управления вредоносом |
| VPN | Удалённый доступ сотрудников и связь офисов | Подключение филиала к центральному офису |
Чем NGFW отличается от роутера и UTM
| Роутер с файрволом | UTM | NGFW | |
|---|---|---|---|
| Для кого | Дом и маленький офис | Малый бизнес | Средний и крупный бизнес |
| Фильтрация | Адреса и порты | Адреса, порты, базовые модули защиты | Приложения, пользователи, содержимое |
| Контроль приложений | Нет | Базовый | Полноценный |
| Производительность с защитой | — | Падает при включении модулей | Рассчитан на работу с включённой защитой |
| Управление | Простое | Единая консоль | Централизованное для многих устройств и площадок |
Граница между UTM (унифицированная защита от угроз — «всё в одной коробке» для небольших сетей) и NGFW со временем размылась: современные устройства для малого бизнеса умеют многое из перечисленного. Главное отличие — глубина контроля приложений и производительность при включённой защите.
Главная ловушка: производительность из паспорта
В характеристиках NGFW обычно указывают несколько цифр пропускной способности. Самая большая — для «чистого» файрвола без функций защиты. С включёнными IPS, контролем приложений и особенно проверкой зашифрованного трафика реальная скорость оказывается в разы ниже. Если выбрать модель по самой большой цифре, после включения защиты сеть упрётся в потолок, и защиту начнут отключать «чтобы не тормозило».
Важно. Частая ошибка — купить дорогой NGFW и оставить его в режиме обычного роутера: без контроля приложений, без IPS, без проверки зашифрованного трафика. Деньги потрачены, а защита осталась на уровне домашнего роутера.
Совет. Подбирайте модель по показателю пропускной способности с включённой защитой от угроз (threat protection) и с запасом на рост трафика, а ещё лучше — по замерам вашего реального трафика.
Российские NGFW
После ухода части зарубежных производителей российский рынок NGFW быстро вырос. Среди отечественных решений — UserGate, PT NGFW (Positive Technologies), «Континент» (Код Безопасности), Ideco NGFW, InfoWatch ARMA, Kaspersky NGFW и другие. Многие из них есть в реестре отечественного ПО и имеют сертификаты ФСТЭК, что важно для государственных информационных систем, объектов КИИ и систем с персональными данными.
- Для значимых объектов КИИ использование иностранного ПО с 1 января 2025 года запрещено Указом Президента № 166.
- Для государственных систем и ряда систем с персональными данными нужны сертифицированные средства защиты.
- Коммерческие компании без таких требований выбирают по функциям, производительности и качеству поддержки.
Кому нужен NGFW
- Через сеть идут деньги, персональные данные клиентов или 1С.
- Есть удалённые сотрудники, филиалы или подрядчики с доступом в сеть.
- Есть сервисы, опубликованные в интернет: сайт, почта, личные кабинеты.
- Нужно контролировать, какими приложениями и сайтами пользуются сотрудники.
- Есть требования регуляторов: КИИ, госинформсистемы, персональные данные.
Как выбрать
- Определите задачи: защита периметра, удалённый доступ, филиалы, сегментация внутренней сети.
- Оцените трафик: текущий объём и рост на 3–5 лет, долю зашифрованного трафика.
- Проверьте требования: нужны ли реестр и сертификат ФСТЭК.
- Сравните модели по производительности с включённой защитой и стоимости подписок на обновления.
- Предусмотрите отказоустойчивость: два устройства в кластере для критичного периметра.
- Запланируйте внедрение и настройку, а не только покупку: правила, контроль приложений, проверку трафика, журналирование.
NGFW — это не «роутер подороже», а система, которая понимает, что происходит в сети. Но работает она только тогда, когда правильно подобрана под нагрузку и действительно настроена.
Частые вопросы
Что такое NGFW простыми словами?
Межсетевой экран нового поколения, который фильтрует трафик не только по адресам и портам, но и по приложениям, пользователям и содержимому. В нём объединены контроль приложений, предотвращение вторжений, фильтрация сайтов, проверка зашифрованного трафика и данные о свежих угрозах.
Чем NGFW отличается от обычного файрвола?
Обычный файрвол решает по адресам и портам и не различает приложения внутри одного порта, например HTTPS. NGFW определяет приложение и пользователя, проверяет содержимое трафика на атаки и вредоносы, в том числе в зашифрованных соединениях.
Чем NGFW отличается от UTM?
UTM — универсальное устройство защиты для небольших сетей, где базовые модули собраны в одной коробке. NGFW рассчитан на более глубокий контроль приложений и сохранение производительности с включённой защитой. Граница между ними со временем размылась.
Какие есть российские NGFW?
Среди отечественных решений — UserGate, PT NGFW от Positive Technologies, «Континент» от Кода Безопасности, Ideco NGFW, InfoWatch ARMA и Kaspersky NGFW. Многие есть в реестре отечественного ПО и имеют сертификаты ФСТЭК.
Как выбрать NGFW по производительности?
По пропускной способности с включённой защитой от угроз, а не по максимальной цифре для «чистого» файрвола. С включёнными IPS и проверкой зашифрованного трафика реальная скорость в разы ниже паспортной, поэтому нужен запас.
Нужен ли NGFW малому бизнесу?
Если через сеть идут деньги, персональные данные или 1С и есть удалённые сотрудники — да, хотя бы в виде устройства начального уровня или NGFW как услуги. Для небольшого офиса без внешних сервисов может хватить грамотно настроенного UTM.
Теги: NGFW, файрвол, межсетевой экран, сеть, безопасность, импортозамещение