Межсетевой экран Juniper SRX4100-SYS-JB-AC

Что такое Juniper SRX4100-SYS-JB-AC

Juniper SRX4100-SYS-JB-AC — стоечный межсетевой экран серии SRX4000 (Services Gateway), ориентированный на защиту периметра корпоративного кампуса, регионального офиса или края дата-центра. Платформа объединяет stateful firewall, маршрутизацию, IPsec VPN и аппаратную отказоустойчивость в едином корпусе 1U под управлением Junos OS. Производитель прямо указывает на класс применения: enterprise data center, campus и regional headquarters, в том числе при переходе на архитектуру Zero Trust.

Буквы в конце артикула не декоративны. SYS-JB обозначает системный комплект: аппаратная часть SRX4100 (восемь портов 10GbE, два блока питания, четыре вентиляторных лотка, кабели и комплект крепления в стойку) поставляется вместе с лицензией Junos Software Base — она включает межсетевой экран с отслеживанием состояния, NAT, IPsec VPN, статическую и динамическую маршрутизацию, а также MPLS. Окончание AC говорит о том, что оба блока питания — переменного тока; у этой же платформы существует DC-исполнение с тем же шасси и массой.

Порты и архитектура платформы

На передней панели расположены восемь сетевых портов SFP/SFP+ с поддержкой скоростей 1GbE и 10GbE. Конструктивно они разделены на две группы по четыре порта — 0/0–0/3 и 0/4–0/7, и каждая группа подключена к своему процессорному сокету. Поэтому при проектировании схемы подключения стоит задействовать порты равномерно из обеих групп: так нагрузка распределяется между сокетами и не создаёт перекоса по CPU.

Отдельно от трафиковых портов стоят два порта высокой доступности — CTL (control port) и FAB (fabric port), также исполненные как SFP/SFP+ 1/10GbE. Они не предназначены для пользовательского трафика: через них два устройства синхронизируют конфигурацию и состояние сессий, когда объединены в chassis cluster. Управление вынесено на отдельный Gigabit Ethernet MGMT-порт, есть консольный разъём RJ-45 (RS-232, режим DTE) для сервисного доступа и два порта USB 2.0 — пригодны, например, для загрузки образа ПО с внешнего накопителя. Для хранения конфигурации и образов системы используется SSD на 240 ГБ с зеркалированием 1+1, оперативной памяти — 64 ГБ.

Производительность: что означают паспортные цифры

На крупных пакетах (1518 байт) firewall-пропускная способность достигает 40 Гбит/с — это общий максимум и для SRX4100, и для старшей модели SRX4200. На смешанном профиле трафика IMIX, который ближе к реальной нагрузке, актуальная табличная цифра производителя для SRX4100 составляет до 25 Гбит/с. Для IPsec VPN паспортные значения ниже: до 13 Гбит/с на IMIX и до 17,5 Гбит/с на пакетах 1400 байт — шифрование и инкапсуляция всегда снижают пропускную способность по сравнению с чистым firewall-режимом.

По масштабируемости сессий платформа держит до 5 миллионов одновременных соединений IPv4 или IPv6 и устанавливает до 275 000 новых соединений в секунду на пакетах 64 байта. При включённых проверке приложений и IPS показатель Next-Generation Firewall снижается до 30/8 Гбит/с (TPS/CPS) — такие режимы требуют действующей подписки на расширенные сервисы безопасности, о которой ниже. Для site-to-site VPN поддерживается до 4075 одновременных IPsec-туннелей.

Это лабораторные максимумы по методике RFC2544 на синтетическом трафике, а не гарантированная скорость произвольной конфигурации: реальный результат зависит от размера пакетов, сложности политик, логирования и набора активных сервисов.

Сценарии применения

• Периметр предприятия или кампуса. SRX4100 закрывает базовый набор задач edge-firewall: контроль межсетевого трафика, NAT, маршрутизацию и первичную защиту от внешних угроз на скорости до 25 Гбит/с IMIX — этого достаточно для большинства офисных и кампусных подключений к интернету и партнёрским сетям.
• Хаб для site-to-site IPsec VPN. Поддержка до 4075 туннелей и пропускная способность IPsec до 13–17,5 Гбит/с позволяют использовать устройство как центральный узел шифрованной связи между филиалами, дата-центрами или облачными площадками.
• Второй узел или замена в существующем chassis cluster. Поскольку SRX4100 оснащён выделенными портами CTL/FAB, его часто берут как запасной или дополняющий узел для уже работающей пары SRX4100 — важно только свести версии Junos и конфигурацию HA на обоих устройствах, об этом отдельно ниже.

SRX4100 в сравнении с SRX4200 и SRX300

SRX4200 — старшая модель той же линейки, тот же форм-фактор 1U и раскладка портов (8×1/10GbE плюс 2 HA), но примерно вдвое производительнее: до 50 Гбит/с firewall на IMIX против 25 Гбит/с у SRX4100 и до 10 млн сессий против 5 млн. Выбор между ними — вопрос запаса по трафику, а не архитектуры: лицензии Junos и логика кластеризации общие.

SRX300 — branch-класс устройств для небольшого офиса, firewall-производительность порядка 1 Гбит/с на крупных пакетах и около 500 Мбит/с на IMIX. Это не конкурент SRX4100 по сегменту: переход с SRX300 на SRX4100 обычно продиктован ростом канала или числа сессий.

Питание, охлаждение и монтаж

В комплекте SYS-JB-AC — два блока питания JPSU-650W-AC-AFO номиналом 650 Вт, с поддержкой низковольтной (100–127 В AC) и высоковольтной (200–240 В AC) линии. Резервирование — 1+1: при отказе или изъятии одного блока второй без разрыва берёт на себя нагрузку, замена исправного блока выполняется горячей заменой при работающем втором. Среднее энергопотребление системы — около 200 Вт, максимальное системное требование — 440 Вт; это разные величины (средняя и предельная), путать их не стоит при расчёте нагрузки на стойку или ИБП.

Охлаждение — четыре вентиляторных лотка в задней части шасси, по два вентилятора в каждом (восемь суммарно). Для штатного охлаждения достаточно трёх лотков, четвёртый — резерв: при отказе одного лотка система продолжает работать с предупреждением и лишь при превышении теплового предела снижает производительность. Лотки — hot-swap FRU-модуль целиком, отдельные вентиляторы внутри не заменяются. Поток воздуха — front-to-back, поэтому переднюю решётку нельзя перекрывать кабельными жгутами. Шум — 70 дБА, MTBF — 221 729 часов (около 25 лет). Габариты — 44,39 × 4,31 × 63,5 см (ШxВxГ), масса шасси с двумя AC PSU — 13,15 кг, в транспортной упаковке — 21,54 кг; в SYS-JB входит крепление для 19-дюймовой стойки.

Лицензии и программное обеспечение

Лицензия Junos Software Base, входящая в SYS-JB, закрывает основные сетевые сценарии: межсетевой экран с отслеживанием состояния, NAT, IPsec VPN, статическую и динамическую маршрутизацию (включая OSPF, BGP, IS-IS) и MPLS. Этого достаточно для большинства задач периметра и VPN-хаба, описанных выше.

Расширенные сервисы безопасности производитель явно выделяет как отдельную подписку: IPS, антивирус, антиспам, расширенная URL-фильтрация, облачная песочница Juniper Advanced Threat Prevention Cloud, Encrypted Traffic Insights и потоки SecIntel Threat Intelligence в базовую лицензию Junos Base не входят и требуют действующей advanced security subscription. Поскольку устройство продаётся как восстановленное, прежняя подписка предыдущего владельца новому покупателю автоматически не передаётся — состав и срок действия любых подписок на конкретную поставку нужно уточнять отдельно у менеджера, а не считать их частью комплекта по умолчанию.

Что входит в предложение 49 Порт

На момент подготовки карточки по этой модели открыты два предложения с разным состоянием и комплектацией. Первое — состояние DISCOUNT, в наличии 1 штука, комплект включает четыре вентиляторных модуля и два блока питания JPSU-650W-AC-AFO; точную цену и условия по этому предложению уточняйте у менеджера. Второе — состояние USED (б/у, восстановленное), цена 208 333 рублей, доступность — по запросу (сток временно нулевой, оформляется под заказ), гарантия от продавца — 12 месяцев; комплектация также включает два блока питания и четыре вентиляторных модуля. В обоих случаях устройство поставляется как физическое шасси SRX4100 с установленной лицензией Junos Base — соответствие состава подписок и версии Junos конкретной задаче стоит проговорить на этапе согласования заказа.

Проверка перед отгрузкой и подбор сопутствующих позиций

Перед отправкой восстановленное устройство включается под Junos OS и проходит аппаратную проверку: все восемь трафиковых портов и два порта HA, management-порт, оба блока питания, все четыре вентиляторных лотка, температурные показатели и системное хранилище. Версия Junos, набор базовых функций и доступные лицензии фиксируются отдельно от аппаратной комплектности.

При покупке для замены узла в уже работающем chassis cluster стоит заранее сверить версию Junos и конфигурацию HA на обоих узлах — несовпадение может помешать синхронизации через CTL/FAB. Для подбора трансиверов нужна скорость канала (1GbE/10GbE), тип и дальность волокна и модель устройства на другом конце линии.

Вопросы и ответы

Чем SRX4100 отличается от SRX4200?

Форм-фактор, порты и лицензии Junos одинаковы; разница в производительности — у SRX4200 вдвое выше firewall-throughput на IMIX (50 против 25 Гбит/с) и вдвое больше лимит сессий (10 млн против 5 млн). Переплачивать за SRX4200 стоит только при реальной нехватке запаса по трафику.

Можно ли использовать SRX4100 вместо компактного SRX300 для небольшого офиса?

Технически да, но это разные классы: SRX300 рассчитан на нагрузку порядка 500 Мбит/с IMIX, SRX4100 — на 25 Гбит/с. Для небольшого офиса с низким трафиком покупка SRX4100 обычно избыточна.

Какие функции защиты входят в Junos Base, а какие нужно подключать отдельно?

В Junos Base входят stateful firewall, NAT, IPsec VPN и маршрутизация с MPLS. IPS, антивирус, антиспам, URL-фильтрация, Advanced Threat Prevention и SecIntel — по отдельной подписке на расширенные сервисы безопасности, они не активируются автоматически.

Поддерживает ли устройство отказоустойчивый кластер?

Да, через выделенные порты CTL и FAB пара SRX4100 синхронизирует конфигурацию и состояние сессий в режиме chassis cluster. При объединении важно использовать одинаковую версию Junos и согласованную конфигурацию HA на обоих узлах.

В чём разница между предложениями DISCOUNT и USED у 49 Порт?

DISCOUNT сейчас в наличии (1 шт.), цена уточняется у менеджера; USED — восстановленный экземпляр с фиксированной ценой 208 333 рублей, доступностью по запросу и гарантией 12 месяцев. Комплектация обоих предложений одинакова — два PSU и четыре вентиляторных модуля.

Что нужно указать, чтобы подобрать совместимые оптические модули?

Скорость порта (1GbE или 10GbE), тип и дальность волокна, а также модель оборудования на другом конце линии — по этим параметрам подберём совместимую пару SFP/SFP+ и патч-корд.

Документация и как сделать заказ

Полные паспортные характеристики — в официальном датшите SRX4100 and SRX4200 Firewalls Datasheet, детали по портам, питанию и обслуживанию — в SRX4100 Firewall Hardware Guide. Чтобы оформить заказ, выберите предложение — DISCOUNT или USED — и свяжитесь с менеджером 49 Порт для уточнения цены, состава лицензий и сроков поставки; для юридических лиц доступны безналичная оплата и закрывающие документы, доставка по России — транспортными компаниями и почтой после проверки и упаковки устройства.