Блокировка запрещенных ресурсов
Это одна из самых важных причин перехода с Cisco SCE. Список Роскомнадзора растет постоянно, и пользователи SCE упираются в фактическое ограничение 25 000 ресурсов, после которого начинаются проблемы с производительностью и качеством фильтрации. К тому же у SCE отсутствует поддержка фильтрации по SNI и Common Name, что делает его непригодным для фильтрации HTTPs-трафика. Возможности блокировки только по IP недостаточно – этот способ фильтрации приводит к серьезным проблемам, так как позволяет злоумышленникам ограничить доступ к любому сайту в Интернете.
Многие операторы связи начинали использовать Cisco SCE еще до ужесточения требований Роскомнадзора по блокировке сайтов. Основные задачи, которые ставились перед покупкой:
- управление абонентами (полисинг);
- фильтрация по протоколам;
- уведомления;
- аналитика трафика в реальном времени.
То есть платформа использовалась именно как DPI-решение и свои функции выполняла в полной мере, однако со временем появились серьезные проблемы.
Проблемы Cisco SCE, которые решает СКАТ DPI
В первую очередь, это ограничение в производительности. Практическая скорость, которую можно выжать из Cisco SCE 8000, – 15 Гбит/с на входящий трафик и 15 Гбит/с на исходящий, сверх нее начинается деградация сервиса. СКАТ DPI 40 имеет честную производительность до 20 Гбит/с в каждом направлении, которую можно увеличить апгрейдом аппаратной платформы и покупкой новой лицензии либо поставить дополнительное устройство.
Причем в случае достижения пиковой нагрузки СКАТ DPI начинает резать скорость абонентам, а SCE просто отбрасывает пакеты и доступ к Интернету пропадает.
Мы установили 4 сервера с СКАТ DPI 40, а нагрузку равномерно распределили между тремя из них, так у нас реализована отказоустойчивость и существует запас по производительности на случай роста абонентской базы. – делится опытом руководитель единого отдела разработки ООО «Орион телеком» Кирилл Иванов.
Платформа Cisco SCE и морально, и физически устарела. Поскольку она не является разработкой Cisco, а была куплена у другого производителя, то содержит большое количество багов и недочетов (произвольная перезагрузка и блокировка протоколов, не применяет правила и др.), которые уже никогда не будут исправлены – SCE снята с продажи и поддержки.
Как отмечают некоторые пользователи, SCE потребляет много электроэнергии и выделяет много тепла. Для небольших серверных помещений или аренды стоек в ЦОД это довольно критично.
Программное обеспечение Cisco SCE неудобное и непрозрачное, некоторые операции необходимо производить вручную.
Для проверки правил на SCE мы были вынуждены через Telnet выгружать данные для каждого абонента в отдельности. СКАТ DPI позволяет сделать это одним списком, что значительно экономит время. – делится опытом руководитель единого отдела разработки ООО «Орион телеком» Кирилл Иванов.
Преимущества СКАТ DPI
Все пользователи отмечают отличную реализацию фильтрации по спискам Роскомнадзора, но это не единственное преимущество СКАТ DPI.
- СКАТ DPI более прост для управления. Нельзя сказать, что этот процесс более удобен, но его проще интегрировать с биллингом, можно настроить выполнение собственных скриптов по SSH.
- СКАТ DPI – стабильная платформа, а режим Bypass позволяет выполнять настройку и обслуживание без перенастройки остальной сети. Правила на СКАТ DPI применяются без задержек как на SCE (10–15 секунд) и максимально точно.
- СКАТ DPI имеет ряд дополнительных функций (Captive Portal, черные списки для абонентов, уведомления, приоритизация трафика), которые позволяют повысить лояльность абонентов и ввести новые услуги.
- СКАТ DPI можно установить на собственный сервер. Многие интернет-провайдеры установили СКАТ DPI на аппаратные платформы Cisco и Dell, доказавшие высокий уровень надежности и производительности, с которыми у их инженеров есть опыт работы.
- СКАТ DPI легко внедрить. Чтобы разобраться с платформой, достаточно нескольких недель, а первичная настройка в среднем занимает не больше месяца с учетом интеграции с биллингом и написания собственных приложений.
- СКАТ DPI можно использовать для СОРМ, как предфильтр или источник статистических данных.
- СКАТ DPI поддерживается и развивается разработчиком. Время реакции на запросы клиентов в техническую поддержку минимально, существуют закрытые чаты для консультации в реальном времени.
- СКАТ DPI может быть использован в качестве CG-NAT и BRAS.
«То, что поддержка СКАТ DPI говорит по-русски, не имеет значения, мы привыкли общаться с англоязычной техподдержкой, но время реакции на запросы и уровень оказываемой помощи – огромный плюс данного решения». – отмечает начальник отдела эксплуатации и развития опорной сети «УралВЭС» Михаил Сысоев.
Недостатки СКАТ DPI
Помимо большого числа преимуществ пользователи СКАТ DPI выделяют и ряд его недостатков, которые разработчик VAS Experts обещает устранить.
- СКАТ DPI позволяет распределять трафик по 8 группам протоколов, определяемых для всей системы. Для кого-то этого достаточно и не является минусом, но часть клиентов просит больше гибкости для написания развернутых правил. *
- Также существует ограничение применения правил к группам IP-адресов или подсетям, принадлежащим одному пользователю (одному логину), невозможно выделить один конкретный адрес из группы и добавить к нему дополнительные политики, управление осуществляется всем множеством.
- СКАТ DPI не содержит встроенного планировщика, поэтому пользователи вынуждены применять сторонние решения, например Cron, или собственный биллинг для создания тарифных планов, привязанных ко времени. С другой стороны – СКАТ DPI имеет полноценную поддержку взаимодействия с RADIUS-сервером, которую можно использовать для интеграции с биллингом.
- СКАТ DPI не предоставляет доступа API для взаимодействия с другими системами управления, но позволяет пользователям осуществлять управление через консоль, SSH или RADIUS.
- СКАТ DPI использует ОС CentOS 6, эта версия сильно устарела, она еще поддерживается, но найти драйвера для нового оборудования очень проблематично. *
- Документация к платформе СКАТ DPI выполнена в виде WiKi и большинство пользователей ею крайне недовольны: она не содержит информацию в достаточном объеме, неудобно осуществлять поиск и по многим вопросам приходится обращаться в техническую поддержку. *
- Стоимость редакции СКАТ DPI COMPLETE значительно ниже аналогичных продуктов зарубежных производителей, но низкой ее назвать нельзя. Также необходимо ежегодное продление технической поддержки. Дополнительная экономия получается за счет использования собственного оборудования и обширного списка встроенных функций, за которые конкуренты берут дополнительную плату.
* Разработчик платформы СКАТ DPI обещает в ближайшее время добавить классы трафика для каждого профайла и выпустить новую оптимизированную версию документации. Вышла новая версия ПО на базе ОС CentOS 6.9.
Заключение
Несмотря на все недостатки, СКАТ DPI – уникальный продукт на российском рынке. Он сочетает в себе множество необходимых любому оператору связи или интернет-провайдеру функций – начиная с фильтрации URL по спискам Роскомнадзора, заканчивая CG-NAT и BRAS. Причем его развитие не стоит на месте, разработчики прислушиваются к мнению своих клиентов, устраняют ошибки и добавляют новые возможности.
Начальник отдела эксплуатации и развития опорной сети «УралВЭС» Михаил Сысоев советует:
«То, что поддержка СКАТ DPI говорит по-русски, не имеет значения, мы привыкли общаться с англоязычной техподдержкой, но время реакции на запросы и уровень оказываемой помощи – огромный плюс данного решения».
УралВЭС (Уральское ведомство электронных сообщений) – телекоммуникационная компания, успешно работающая с 1991 года и являющаяся одним из крупнейших провайдеров сетевых услуг в Уральском регионе.
Руководитель единого отдела разработки ООО «Орион телеком» Кирилл Иванов делится опытом:
«У нашей компании только положительный опыт от перехода на СКАТ DPI. Несмотря на небольшие проблемы, мы рекомендуем его коллегам. Хорошее соотношение цены и качества, а также отзывчивая техническая поддержка делают СКАТ DPI сильным конкурентом на рынке систем анализа трафика. Его разработчики на любую нашу просьбу предлагают решение, а не отвечают отказом».
Группа компаний «Орион телеком» более 15 лет предоставляет высококачественные телекоммуникационные услуги на территории Сибирского федерального округа.
Более подробную информацию о преимуществах СКАТ DPI, ее эффективном использовании на сетях операторов связи, а также о миграции с других платформ вы можете узнать у специалистов компании VAS Experts, разработчика и поставщика системы анализа трафика СКАТ DPI.