Канал по ГОСТу: кто и зачем переходит на отечественные криптошлюзы

Что такое ГОСТ VPN

Основу большинства корпоративных туннелей в территориально распределённых сетях составляет IPsec. Это набор протоколов, который работает на сетевом уровне и защищает IP-пакеты.

Международный стандарт IPsec обеспечивает совместимость сетевых устройств разных производителей, однако для российских организаций этого может быть недостаточно. Государственные информационные системы, системы персональных данных и значимые объекты КИИ должны использовать криптографию, которая соответствует национальным стандартам.

Для защиты каналов связи на базе IPsec используются российские криптографические алгоритмы «Кузнечик» и «Магма». Реализацию протоколов IPsec с поддержкой российских криптографических стандартов часто называют ГОСТ VPN.

Ключевая задача ГОСТ VPN — гарантировать строгую защиту данных в соответствии с требованиями к государственным информсистемам, критической инфраструктуре и персональным данным.

Кому это нужно

По оценке ГК «Солар», отечественный рынок оборудования для ГОСТ VPN вырос с 20,4 млрд руб. в 2024 году до 23,5 млрд руб. в 2025 году. В 2026 году он может достигнуть 27 млрд руб., а к 2027 году приблизиться к 31 млрд руб., прибавляя в среднем по 15% ежегодно.

При этом спрос не повсеместный. «Как правило, бизнес самостоятельно не драйвит внедрение отечественных ГОСТ-алгоритмов шифрования, а закрывает свои потребности общепринятыми алгоритмами», — считает ведущий эксперт по сетевой безопасности в К2 Кибербезопасность Александр Шаталов.

Рост обеспечивается в первую очередь жёсткими регуляторными рамками. «Компания переходит на ГОСТ VPN не потому, что обычного VPN ей технически недостаточно, а потому что появляется соответствующее нормативное требование», — говорит партнёр по информационным технологиям компании «Бридж Групп» Евгений Мезенцев. ГОСТ VPN востребован среди организаций, которые обязаны применять сертифицированные средства криптографической защиты в соответствии с требованиями законодательства. Это госорганы, операторы государственных информационных систем (ГИС), предприятия госсектора, финансовые организации и субъекты критической информационной инфраструктуры (КИИ).

Впрочем, требование ГОСТ-шифрования может возникать и через смежные законы. Например, Федеральный закон № 569-ФЗ, обязавший регистраторов доменов с 1 сентября 2026 года идентифицировать администраторов через ЕСИА («Госуслуги») . «Подключение к ЕСИА возможно лишь при использовании российских стандартов криптографии в канале связи, что реализовано в ГОСТ VPN. Так, ужесточение регуляторики вызывает спрос на решения, без которых исполнение требований закона невозможно», — рассказал технический директор хостинг-провайдера Tendence.ru Александр Щукин.

«С появлением реестров разрешенных VPN компании выводят защищённые соединения из тени. ГОСТ-алгоритмы дают это с минимальным регуляторным риском и предсказуемой доступностью канала», — рассказал «Киберболоиду» руководитель отдела информационной безопасности «СофтБаланс» (направление сбсекьюрити) Филипп Вербов.

Третья группа заказчиков ГОСТ VPN — крупные территориально распределённые предприятия, вынужденные модернизировать свою инфраструктуру из-за ухода западных вендоров. Для них замена шлюзов становится поводом перестроить сетевой периметр целиком. «VPN давно вышел за рамки удалёнки: через него подключаются филиалы, производственные площадки, облака, подрядчики. Шифровать трафик уже мало — нужно понимать, кто и при каких условиях получает доступ к ресурсам», — говорит Филипп Вербов.

Подводные камни миграции

Переход с зарубежных шлюзов на отечественные криптографические комплексы на практике оказывается не столько заменой одного решения на другое, сколько масштабной перестройкой сетевого фундамента компании.

«Крупные компании находятся на разных стадиях миграции — от оценки решений и пилотирования до поэтапной замены оборудования. Главными барьерами являются стоимость и сложность перехода, особенно для территориально распределённых организаций. При десятках и сотнях узлов необходимо сохранить связность площадок, непрерывность бизнес-процессов и адаптировать сетевую архитектуру. Поэтому бизнес часто выбирает поэтапную миграцию — оборудование заменяется по мере окончания его жизненного цикла и одновременно инфраструктура приводится в соответствие нормативным требованиям», — отмечает операционный директор АО «ЭЛВИС-ПЛЮС» (входит в ГК «Солар») Фёдор Дбар.

Впрочем, даже при плавном переходе возникают проблемы. Вот самые распространённые из них:

1. Различия в функциональности российского и зарубежного оборудования. Внедрение российских ГОСТ VPN в корпоративные сети, построенные на зарубежном оборудовании, может быть непростой инженерной задачей, считает директор департамента информационной безопасности «Айтеко» Владимир Баланин.

«Проблемы во многом заложены в самой концепции развития продуктов. Иностранные решения развивались с точки зрения инфраструктурного функционала, в первую очередь — это межсетевой экран и маршрутизатор, а VPN был лишь полезной «фичей». Российские продукты исторически развивались прежде всего как криптомаршрутизаторы, где криптография — на первом месте, а все остальное — полезные «фичи». Функциональные особенности российского оборудования могут потребовать адаптации существующей инфраструктуры. В таких случаях импортозамещение потребуется осуществлять поэтапно, строя параллельную или наложенную инфраструктуру», — пояснил Владимир Баланин.

2. Ограничения отказоустойчивости при работе с несколькими провайдерами. Бизнес нередко стремится внедрить российские системы, полностью при этом сохранив привычную топологию сети, маршрутизацию и отказоустойчивые сценарии работы через нескольких независимых интернет-провайдеров. Однако на практике реализовать такую схему на отечественных решениях удаётся далеко не всегда из-за функциональных ограничений отечественных СКЗИ, говорит Александр Шаталов.

В частности, выбранное решение может не поддерживать отдельные механизмы балансировки трафика или автоматического переключения между защищёнными каналами, которые использовались в прежней инфраструктуре. В таких случаях компании приходится пересматривать настройки маршрутизации или схему резервирования.

Особенно это проявляется при построении больших сетей с возможностью работать на нескольких провайдерах в отказоустойчивой схеме. «Если на зарубежных решениях весь функционал есть, то на отечественных он зависит от производителя, и в результате приходится подбирать оптимальный вариант», — отметил эксперт.

3. Несовместимость продуктов разных российских производителей. Построить единый защищённый туннель между шлюзами двух конкурирующих отечественных компаний может стать задачей со «звёздочкой». Перед заказчиком нередко возникает дилемма — рисковать интеграцией разнородных систем или полностью уходить в среду одного разработчика.

Дополнительные сложности может создавать ограниченная совместимость российских продуктов между собой из-за разной реализации требований ГОСТ и RFC. «Поэтому подходить к выбору производителя нужно очень тщательно: моновендорная инфраструктура бывает склонна к «кодовым травмам» и не прощает архитектурных просчётов. Также в отдельных случаях при миграции на ГОСТ VPN для обеспечения требуемой производительности может понадобиться больше железа по сравнению с тем, что было», — отметил Владимир Баланин.

Из-за различий в реализации протоколов криптошлюзы разных производителей могут не устанавливать между собой защищённое соединение. Это ограничивает выбор оборудования и осложняет построение единой корпоративной VPN-сети, особенно если компания использует решения нескольких вендоров.

Что ждёт рынок

Главный вектор технологического развития на ближайшие годы — появление зрелых универсальных платформ. Пока заказчикам приходится выстраивать многослойную защиту, физически разделяя задачи шифрования и фильтрации трафика. Разработчики в то же время стремятся объединить функции криптомаршрутизатора и межсетевого экрана нового поколения в едином аппаратном комплексе.

«На мой взгляд, сейчас основной тренд развития направлен на разработку унифицированного решения NGFW + ГОСТ VPN, внедрение которого будет закрывать все основные требования регулятора», — сказал Александр Шаталов.

Второй стратегический тренд связан с преодолением изоляции отечественных продуктов. Профильный технический комитет ТК 26 («Криптографическая защита информации») совместно с регуляторами и производителями продолжает формировать единые стандарты применения российских алгоритмов в протоколах защищённой передачи данных. В перспективе это позволит криптошлюзам разных марок работать в едином туннеле.

«Что касается перспектив стандартизации, то регуляторы и профильный ТК по стандартизации прорабатывают вопрос создания своего рода «золотых стандартов» реализации алгоритмов ГОСТ. Первые практические шаги уже сделаны: например, реализация ГОСТ IPsec двумя крупными производителями показала достижимую совместимость их оборудования. Однако вопрос пока нельзя считать полностью решённым, и кросс-вендорную совместимость по-прежнему необходимо оценивать применительно к конкретным решениям и архитектурам», — отметил Владимир Баланин.

Масштабного передела рынка или демпинга на горизонте 2027–2028 годов эксперты не прогнозируют. Выход новых производителей сдерживают сложная сертификация СКЗИ и сильные позиции действующих игроков.

«Рынок уже достаточно зрелый: сегодня на нём представлено свыше 10 вендоров ГОСТ VPN. Поэтому новым игрокам будет непросто быстро занять значимую долю. При выборе ГОСТ VPN заказчики учитывают не только характеристики криптошлюза, но и опыт внедрения, надёжность, совместимость с инфраструктурой и совокупную стоимость владения», — считает Фёдор Дбар. По прогнозу эксперта, производители будут конкурировать прежде всего за счёт функциональности решений, удобства эксплуатации и качества технической поддержки.