Можно ли заменить NGFW на open source? Честный разбор

Сеть и файрвол · 19.09.2026 · обновлено 13.10.2026 · 8 мин чтения · Команда НПП РЕКОРД

Зарубежный вендор ушёл, лицензия истекает, все вокруг советуют «поставьте pfSense и сэкономьте». Разбираем честно: где open source реально работает, а где для NGFW корпоративного уровня коммерческое решение — не прихоть, а единственный рабочий вариант.

Коротко. Open source полностью закрывает WAF (ModSecurity, Coraza), IDS/IPS (Suricata, Zeek), VPN (WireGuard, OpenVPN), SIEM (Wazuh) и базовую фильтрацию (pfSense, OPNsense). Но готового open source аналога корпоративного NGFW нет: контроль приложений (App-ID), веб-категоризация и Threat Intelligence требуют ежедневной работы аналитиков, которую открытые проекты не финансируют. Рабочая стратегия — гибридная: open source там, где он не уступает, и коммерческий NGFW (можно как услугу) там, где на кону данные, деньги и большой внешний периметр.

Вопрос звучит почти на каждом втором проекте по импортозамещению: «А давайте поставим pfSense или OPNsense вместо вендорского NGFW и сэкономим на лицензии?» Ответ нечестно давать одним словом — «да» или «нет». Он зависит от того, что именно вы называете NGFW и что реально защищаете. Разбираем по фактам, без маркетинга в обе стороны.

NGFW — это не «файрвол с большим списком правил», а связка сетевого стека и постоянно обновляемых облачных баз

Что вообще делает NGFW

Обычный файрвол смотрит на IP-адреса и порты: разрешить или заблокировать пакет. Межсетевой экран нового поколения (NGFW) добавляет ещё четыре слоя контроля поверх сетевого стека:

• Контроль приложений (App-ID) — отличает Zoom от Telegram от корпоративной 1С внутри одного и того же HTTPS-порта 443.
• IPS с сигнатурами — блокирует известные эксплойты и атаки по образцу, а не по порту.
• Веб-категоризация — база из миллионов сайтов, размеченных по категориям (банки, соцсети, вредоносные ресурсы), которая обновляется ежедневно.
• Threat Intelligence — потоковые данные о новых угрозах, IP-адресах атакующих и индикаторах компрометации со всего мира.

Ключевой момент не в том, что часть функций «написал один раз и забыл» — сигнатуры IPS, базы приложений и категории сайтов в любом случае требуют постоянных обновлений, это касается и open source, и вендора. Разница в другом. У вендора это одно комплексное решение из коробки: поставил, включил автообновление — и оно работает как единая система. В open source те же возможности существуют, но раскиданы по разным независимым проектам, и собрать их в цельную защиту, а затем поддерживать актуальность каждого модуля, приходится вручную и своими силами. Это не невозможно — но очень трудозатратно.

Что open source закрывает полностью — без компромиссов

Часть корпоративного периметра ИБ прекрасно живёт на открытых решениях уже много лет, и здесь замена — не компромисс, а часто даже более гибкий вариант:

Совет. Технический результат правда тот же. Но экономия не бесплатна: обновления, разбор ложных срабатываний и реакцию на новые уязвимости теперь делает ваша команда, а не служба поддержки вендора по SLA. Там, где бюджет позволяет коммерческое решение с поддержкой — это почти всегда более предсказуемый выбор.

Где open source NGFW упирается в потолок

А вот с App-ID, веб-категоризацией и Threat Intelligence всё иначе. Это не разовая разработка — это операционная модель: команда аналитиков ежедневно разбирает новые приложения и сайты, добавляет их в базу и раздаёт обновление всем клиентам подписки. У открытых проектов просто нет ни штата аналитиков, ни бизнес-модели, которая бы это финансировала бесплатно и бессрочно.

Важно. Готового «одной коробки» с open source NGFW корпоративного уровня — прямого аналога Palo Alto, Fortinet или Check Point — на рынке нет. Собрать похожий результат из отдельных открытых модулей технически возможно, но эта работа — подбор компонентов, их интеграция и постоянная поддержка каждого вручную — ложится на вашу команду вместо одного вендора, который уже сделал это за вас.

pfSense/OPNsense закрывают базовую фильтрацию и IPS — но без штата аналитиков, которые ежедневно размечают новые приложения и сайты

Что бывает, если этого не понять заранее

Самая частая ошибка — «псевдозамена»: ставят pfSense, называют его NGFW в документах, и на этом успокаиваются. Формально межсетевой экран есть, а по факту приложения внутри HTTPS не различаются, свежие вредоносные сайты не блокируются, потому что база категорий не обновляется без подписки. Ощущение защищённости есть, а самой защиты — уже нет.

Гибридный подход — то, что работает на практике

Честная стратегия — не выбирать между «всё вендорское» и «всё open source», а разделить периметр по типу риска:

1. WAF, IDS/IPS, VPN и SIEM переводим на open source — здесь замена полная, без компромиссов по функциональности.
2. Если работаете с 152-ФЗ, платёжными данными или большим внешним периметром — берём NGFW с App-ID и Threat Intelligence как услугу, без покупки железа и капитальных вложений.
3. Если внешний периметр небольшой, а критичных сервисов наружу нет — можно осознанно остаться на базовой фильтрации через pfSense/OPNsense, понимая границы такой защиты.
4. В любом случае — фиксируем в договоре или регламенте, что именно защищено, а что нет. Это должно быть решением, а не случайностью.

Совет. Как понять, что вам действительно нужен App-ID: если ваша сеть открыта в интернет и через неё идут деньги, персональные данные клиентов или производственные системы — экономия на подписке обычно выходит дороже одного инцидента.

Итог

Честный вывод такой: open source не заменяет NGFW корпоративного уровня готовым решением «из коробки» — ни сейчас, ни в обозримой перспективе. Собрать эквивалент по частям из отдельных открытых проектов технически возможно, но это трудозатратная работа, которую придётся делать и поддерживать самим. Вендор продаёт не код, а уже собранную и постоянно обновляемую систему — именно за это вы и платите.

Важно. Если бюджет позволяет — берите сертифицированное коммерческое решение везде, где на кону данные, деньги или репутация. Open source для NGFW — это осознанный компромисс на случай ограниченного бюджета, а не стратегия по умолчанию.

Open source закрывает WAF, IDS/IPS, VPN и SIEM без компромиссов. Но для самого NGFW, где нужны App-ID и Threat Intelligence, — коммерческое решение везде, где это возможно. Экономия здесь чаще всего оказывается дороже одного пропущенного инцидента.

Теги: NGFW, open source, импортозамещение, App-ID