Для компании с действующим парком FortiGate главный вопрос импортозамещения часто звучит не как «какой новый NGFW купить», а как «можно ли безопасно продолжать эксплуатацию уже установленного оборудования». Если аппаратная платформа исправна, а сотрудники знают её правила, VPN и политики доступа, продление лицензий может оказаться рациональнее полной миграции. Но это не универсальное решение: нужно проверить состояние устройств, состав подписок, доступность обновлений, требования регуляторов и юридическую чистоту канала поставки.
Почему исправный FortiGate не стоит менять автоматически
Замена межсетевого экрана — это не только приобретение новой коробки. Переход затрагивает структуру правил, трансляцию адресов, VPN-туннели, маршрутизацию, журналирование, интеграции с каталогами и процессы реагирования на инциденты. Даже при наличии сопоставимого функционала новая система потребует времени на проектирование, перенос конфигурации, тестирование и обучение администраторов.
У действующего FortiGate уже известны производительность, поведение под нагрузкой и особенности сетевой схемы. Если оборудование справляется с трафиком и не выработало ресурс, продление позволяет сохранить привычную архитектуру и сократить число изменений. Это особенно важно для филиальной сети, где ошибка в политике доступа может привести не к локальному сбою, а к потере связи между площадками.
Однако «работает» не означает «защищает на прежнем уровне». Без актуальных сервисов устаревают сигнатуры IPS и антивируса, снижается эффективность веб-фильтрации, а без поддержки усложняется получение обновлений прошивки и решение критических проблем. Поэтому решение нужно принимать не по факту включённых индикаторов, а по совокупности аппаратного ресурса, лицензий и требований к защите.
Что именно продлевается: FortiCare, FortiGuard и бандлы
FortiCare отвечает за поддержку и доступ к обновлениям прошивки. Вариант Essential ориентирован на обслуживание в рабочее время, Premium предоставляет поддержку 24×7, а Elite предполагает расширенный уровень сопровождения с выделенным инженером. Конкретный уровень выбирают не по принципу «чем дороже, тем лучше», а по критичности узла и допустимому времени восстановления.
FortiGuard — это набор сервисов безопасности. В него могут входить обновления для IPS, AntiVirus, Web Filtering, DNS Filtering, AntiSpam и специализированные сигнатуры Industrial Security для промышленных протоколов. Набор должен соответствовать реальному трафику: офису без локального почтового сервера не обязательно оплачивать AntiSpam, а промышленной площадке нельзя без проверки отказываться от функций, связанных с АСУ ТП.
На практике часто рассматривают комбинированные пакеты:
| Вариант | Состав и назначение | Когда проверять целесообразность |
|---|---|---|
| Отдельные сервисы | Только необходимые функции FortiGuard и выбранный уровень FortiCare | Когда профиль трафика узкий или нужно минимизировать состав подписки |
| Unified Threat Protection | IPS, AntiVirus, Web Filtering и AntiSpam | Для типового офиса или филиала с базовыми требованиями к фильтрации |
| Enterprise Protection | Состав UTP, DNS-фильтрация, расширенная песочница и IoT-детектирование | Для головного офиса и сред, где важны расширенный анализ и контроль устройств |
| Advanced Threat Protection | Песочница и анализ объектов в изолированной среде | Когда приоритетом является выявление неизвестных угроз, а не только сигнатурная защита |
Бандл может быть выгоднее набора отдельных позиций, но это нужно подтверждать расчётом для конкретной модели и срока. Ошибка — купить максимально широкий пакет, не проверив, поддерживает ли устройство нужную функцию и действительно ли организация будет её использовать.
Как сравнивать продление с переходом на отечественный NGFW
Сравнивать нужно не стоимость подписки с ценой лицензии нового продукта, а два полных сценария владения. В сценарии продления уже есть аппаратная платформа, монтаж, подключение и накопленная экспертиза команды. В сценарии замены появляются новые устройства, проектирование, перенос правил, тестовый контур, обучение и резерв по срокам на непредвиденные несовместимости.
Отечественные NGFW развиваются, но функциональная зрелость и состав сервисов могут отличаться от FortiGate. Поэтому нельзя делать вывод только по наличию слов «IPS», «антивирус» или «песочница» в прайс-листе. Нужно проверять, как именно реализованы политики, какие форматы журналов поддерживаются, есть ли нужные VPN-сценарии, как обновляются сигнатуры и что происходит при потере внешней связи.
Полезно составить две сметы:
- Продление: FortiCare, необходимые FortiGuard или бандл, работы партнёра, резервные обновления и проверка совместимости с текущей прошивкой.
- Миграция: новые устройства, лицензии, проектирование, перенос и аудит правил, стендовые испытания, обучение, простой или параллельная эксплуатация, а также план отката.
У Fortinet нет необходимости заново покупать железо, если действующий парк соответствует нагрузке. Это может снизить прямые затраты, но не отменяет проверки условий поставки и поддержки. Для проектов, где важны подтверждённые требования к оборудованию, полезно отдельно изучать вопросы сертификации и допуска решений: например, в смежной сетевой инфраструктуре значение таких документов разбирается в материале о сертификации коммутаторов QTECH для проектов транспортной безопасности.
Как организовать закупку и не попасть в разрыв поддержки
Окончание подписки нельзя обнаруживать в день, когда перестали приходить обновления. Сначала составьте реестр всех FortiGate: серийный номер, площадка, роль, модель, текущая версия FortiOS, дата окончания FortiCare и состав FortiGuard. Затем выделите узлы, через которые проходит межфилиальный или критичный производственный трафик, и назначьте им приоритет.
- Снимите текущую конфигурацию и сохраните резервную копию в защищённом хранилище.
- Зафиксируйте фактическое использование функций: IPS, антивирус, веб- и DNS-фильтрация, песочница, VPN, промышленная защита.
- Проверьте аппаратную нагрузку, объём журналов и запас производительности. Если устройство уже работает на пределе, одна лицензия проблему не решит.
- Сопоставьте необходимые функции с доступными позициями FortiCare и FortiGuard для конкретной модели.
- Получите коммерческое предложение с указанием срока, состава сервисов, канала активации и ответственности за сопровождение.
- До оплаты согласуйте внутреннюю процедуру комплаенса, бухгалтерские документы и ограничения, применимые к вашей организации и юрисдикциям поставщиков.
- После продления проверьте статус подписок, получение обновлений и работу ключевых политик в тестовом окне.
Критическая ошибка — продлевать только FortiGuard, забывая о FortiCare, или наоборот. Без поддержки могут возникнуть ограничения с обновлениями прошивки, а без сигнатур устройство продолжит маршрутизировать трафик, но будет хуже распознавать новые угрозы. Второй промах — покупать лицензию по названию семейства, не сверяя серийный номер и модель: условия активации привязаны к конкретному оборудованию.
Что учитывать при работе через партнёрский канал
В условиях ограниченной доступности прямого взаимодействия с вендором компании используют партнёрские каналы и поставщиков в дружественных юрисдикциях. Сам по себе такой маршрут не является доказательством ни законности, ни надёжности сделки. Заказчику нужно проверить, где регистрируется лицензия, каким образом она активируется в FortiCare, кто отвечает за документы и поддержку, а также какие ограничения применяются к конкретной организации.
Запрос поставщику должен быть предметным. Попросите указать модель и серийный номер устройства, состав FortiCare и FortiGuard, срок действия, порядок активации, способ получения обновлений и вариант для изолированной сети. Отдельно уточните, кто эскалирует техническую проблему и в какие сроки предоставляет ответ. Формулировка «лицензия Fortinet на год» слишком расплывчата: она не показывает, входит ли поддержка, какие сигнатуры доступны и пригоден ли продукт для вашей схемы.
Для сети без постоянного доступа к внешним сервисам заранее нужен офлайн-процесс: получение файлов сигнатур и прошивок, проверка их подлинности, перенос через контролируемый носитель, регистрация операции и план отката. Нельзя считать офлайн-обновление полноценной заменой онлайн-мониторинга: между загрузками сохраняется окно, в котором защита может отставать от актуального состояния угроз.
Когда продление уже не является лучшим решением
От продления стоит отказаться или отложить его, если FortiGate не выдерживает текущую нагрузку, не поддерживает требуемую версию FortiOS, физически устарел, не имеет запаса по портам или не закрывает новые требования к журналированию и интеграциям. Также сомнителен сценарий, при котором подписка доступна только на короткий срок, а организация не может обеспечить предсказуемое продление дальше.
Миграция оправдана и тогда, когда компания сознательно меняет архитектуру: например, переходит к другому принципу сегментации, централизованному управлению или унифицированному стеку отечественных решений. Но замену нужно запускать как проект, а не как срочную закупку. Сначала опишите политики в терминах бизнес-доступов, затем сопоставьте их с возможностями новой платформы, проведите пилот и только после этого назначайте дату переключения.
Типичная ошибка — переносить правила один к одному. Старые исключения могли появиться из-за временных проектов, а неактуальные разрешения увеличивают поверхность атаки. Перед миграцией проведите ревизию объектов, групп, NAT и VPN, удалите неиспользуемые записи и зафиксируйте владельца каждой политики.
Практический чек-лист решения
- Устройство исправно и имеет достаточный запас производительности.
- Текущая версия FortiOS совместима с планом обновления.
- Понятно, какие FortiGuard действительно используются.
- Выбран подходящий уровень FortiCare: 8×5, 24×7 или расширенная поддержка.
- Есть резервная копия конфигурации и план восстановления.
- Срок действия лицензии не создаёт разрыв между критичными площадками.
- Проверены канал поставки, документы, ограничения и ответственность партнёра.
- Для изолированной сети описана процедура офлайн-обновлений.
- Стоимость продления сопоставлена с полной стоимостью миграции, а не только с ценой новой лицензии.
- Есть план перехода на другое решение, если аппаратный ресурс или требования безопасности изменятся.
Решение без лишнего риска
Если FortiGate справляется с нагрузкой, конфигурация стабильна, а требуемые сервисы доступны через проверенный канал, разумный первый шаг — продлить FortiCare и необходимый состав FortiGuard, провести аудит правил и заложить плановую оценку альтернатив. Это сохраняет рабочую сеть и не превращает импортозамещение в аварийную миграцию.
Если же устройство упёрлось в производительность, не покрывает новые требования или поставка лицензии не проходит внутреннюю проверку, нужно переходить к пилоту альтернативного NGFW. В обоих случаях решение принимайте по реестру активов, полной смете, тестам обновления и понятному плану отката. Продление — не отказ от импортозамещения, а способ не менять критичную систему раньше, чем новая платформа доказала свою готовность.