Поведение IPS. Первые дни система честно ругалась на всё подряд — так и должно быть, мы специально прогнали режим обнаружения, а не блокировки, и неделю разбирали срабатывания. Ложные отфильтровали, реальные подлечили. Только после этого включили предотвращение. Удалённый доступ. Проверили клиент для удалённых сотрудников — он един для Windows, Linux, Android, iOS и «Авроры», что для нас было плюсом: раньше часть людей сидела на отдельном VPN-клиенте.

Этап 3. Переезд Сам переезд делали в «окно» на выходные, по классической схеме: подняли кластер из двух узлов в режиме активный/пассивный — чтобы обновления и сбои больше не были отдельной драмой; перенесли уже пересобранные на пилоте политики, настроили NAT и маршрутизацию. Синхронизировали пользователей с Active Directory — идентификация пользователей работает «из коробки», отдельные агенты городить не пришлось; переключили каналы провайдеров, посидели рядом с системой мониторинга пару часов; понедельник встретили с работающим периметром и что важнее, с работающим производством. Отдельно скажу про то, о чём в маркетинговых буклетах не пишут. Первичная инициализация криптоузлов — процедура с физическим присутствием: ключи не «доставятся» по воздуху, планируйте визит на площадку. А насчёт ручного пересоздания правил: страх «половины жизни уйдёт на набивку политик» оказался преувеличением. Главная работа — не набивать правила, а восстановить их смысл: «кто и зачем это завёл». Если инвентаризация сделана честно, пересоздание 50 правил — это дни, а не недели.

Что в итоге Проект от решения о замене до полного отключения Kerio занял у нас два месяца. Подвести итог: Функционально замена состоялась без потери существенных механизмов: экранирование, IDS/IPS, контроль приложений, URL-фильтрация, VPN — всё на месте, причём в одном устройстве и под одной политикой. Регуляторно стало спокойнее: сертифицированное отечественное решение закрывает и периметр, и вопросы соответствия. Эксплуатационно оценку ставить не буду — времени прошло немного, но система мониторинга показывает топы атак, события мы сейчас выгружаем в Syslog и разбираем руками — полноценная SIEM у нас в планах на следующий год, — а кластер один раз уже молча подхватил нагрузку при плановом обновлении, что дорогого стоит.

Экономически миграция потребовала вложений в железо и лицензии, но риски, от которых мы ушли, стоили этого. Чек-лист для тех, кто только планирует Начните с инвентаризации старых правил — половину можно просто не переносить. Пилот с реальным, а не синтетическим трафиком. Меряйте производительность в том режиме, в котором будете жить (UTM, а не «голый МЭ»). Не включайте IPS в режиме блокировки в первый день. Сначала — обнаружение и разбор срабатываний.

Планируйте «окно» переезда с запасом и держите под рукой план отката. Заложите физический визит на площадку для инициализации ключей. Сразу настройте выгрузку событий хотя бы в Syslog. Если SIEM ещё нет — как у нас, — это единственный способ не потерять историю. Журналы, которые лежат только на устройстве, это журнал для галочки. Импортозамещение периметра — не упражнение, а обычный инфраструктурный проект с типовой болью: инвентаризация, пилот, миграция, приёмка. Kerio Control был честным продуктом, но его цикл жизни в нашей юрисдикции закончился. Главная ценность «Континента 4» в нашем случае даже не в функциях — они сопоставимы с тем, что было, — а в том, что теперь вся эта цепочка зависит от вендора, который от нас никуда не уйдёт.