Разбираемся в механизмах лицензирования Zyxel Nebula

Зачем Nebula использует многоуровневую систему лицензий

Nebula Control Center - это облачная платформа Zyxel для управления сетевой инфраструктурой, объединяющая под одной панелью точки доступа, коммутаторы и межсетевые экраны вне зависимости от того, где физически расположены офисы или объекты. Администратор настраивает и мониторит устройства через веб-интерфейс или мобильное приложение, а сама логика управления - от применения настроек до сбора статистики - выполняется в облаке Zyxel, а не на локальном контроллере. При этом, между управляемой сетью и облаком передаются только служебные данные, никакой полезный трафик или данные организации в облако не попадают. Это легко мониторится любым мало-мальски грамотным системным администратором - видно, что канал до Nebula совсем маленький, данных передаются считанные байты.

Такой подход снимает с инженера заботу об отдельном сервере управления и позволяет разворачивать сеть с нуля через zero-touch provisioning: устройство просто подключается к интернету и автоматически подтягивает конфигурацию из облачной организации.

Ключевая особенность Nebula в том, что базовая оболочка платформы бесплатна, а более продвинутые возможности открываются через систему лицензионных пакетов - Base, Plus и Pro, которые накладываются на устройства организации, плюс отдельный MSP Pack, работающий поверх любого из них для тех, кто администрирует сети сразу нескольких клиентов. Такая многоступенчатая модель - не маркетинговая уловка, а вполне логичный ответ на разброс сценариев использования: небольшой офис с парой точек доступа и одним коммутатором вряд ли нуждается в оркестрации VPN между филиалами или в годовом хранении логов, тогда как растущей компании с несколькими площадками требуется куда более тонкая система резервного копирования конфигураций, мониторинга и автоматизации. Вместо того чтобы вынуждать всех платить за максимальный функционал сразу, Zyxel даёт возможность начать с бесплатного уровня и наращивать возможности по мере того, как усложняется сама инфраструктура.

Здесь и кроется главная сложность при выборе лицензии: разница между Base, Plus и Pro не всегда очевидна на первый взгляд, а описания пакетов в официальных материалах разбросаны по десяткам пунктов и таблиц. В этом обзоре мы последовательно разберём, что даёт каждый уровень лицензирования - от бесплатного Base Pack до старшего Pro Pack, а отдельно остановимся на MSP Pack, чтобы стало понятно, для какого сценария использования он предназначен и почему это не альтернатива обычным пакетам, а надстройка над ними.

Base Pack: бесплатный уровень

Base Pack - это не урезанная демо-версия, а полноценная стартовая конфигурация Nebula, доступная бесплатно для любого зарегистрированного устройства. На этом уровне уже работает весь базовый цикл управления сетью: администратор получает сайт-центричный дашборд с картой объектов и планами этажей, настраивает и мониторит устройства из единого интерфейса, разворачивает новое оборудование через zero-touch provisioning - то есть коммутатор или точка доступа сама подтягивает конфигурацию из облака сразу после подключения к сети, без ручной настройки на месте. Сюда же входят инструменты живой диагностики и удалённый доступ по SSH или через встроенный конфигуратор, что закрывает львиную долю повседневных задач сетевого администратора без необходимости физически присутствовать рядом с устройством.

Из функциональности, которая многим покажется неожиданно продвинутой для бесплатного тарифа, стоит выделить планирование правил - можно задать расписание работы конкретных SSID, включения PoE-портов на коммутаторе или активности определённых правил межсетевого экрана, а также организовать аутентификацию клиентов по MAC-адресу, включить протокол 802.1X или captive portal - ту самую страницу авторизации, которая появляется при подключении к гостевому Wi-Fi в кафе или отеле. Иными словами, для сети с одной локацией и вменяемым числом устройств Base Pack закрывает подавляющее большинство сценариев использования без вложений в лицензии.

Ограничения начинаются там, где в игру вступает масштаб и глубина ретроспективного анализа. Журналы событий, статистика и отчёты хранятся всего сутки - этого достаточно для оперативного реагирования, но недостаточно для расследования инцидента недельной давности или анализа трендов нагрузки. Организацию бесплатного уровня могут администрировать не более пяти учётных записей, а встроенный облачный сервер аутентификации Nebula Cloud Authentication Server ограничен полусотней учётных записей пользователей на организацию - для сети с десятками сотрудников, использующих индивидуальную WPA-Enterprise аутентификацию, этого может не хватить. К устройству также можно прикрепить только одну фотографию на странице его карточки, что мелочь, но неудобная при управлении складом из полусотни точек доступа.

Отдельно стоит упомянуть режим Cloud Saving Mode - своего рода энергосберегающий режим самой платформы: если организация на бесплатном тарифе не проявляет активности 30 дней, Nebula переводит её в ограниченное состояние, в котором перестаёт собираться статистика до возобновления работы. Plus и Pro-пакеты от этого режима освобождены, а Base Pack - нет, и это стоит держать в уме, если сеть разворачивается разово и потом надолго остаётся без присмотра администратора. Похожая логика действует и в обратную сторону: если у организации был платный пакет, а срок лицензии истёк, устройства не отключаются мгновенно, а через 15 дней откатываются именно к возможностям Base - так что понимание базового уровня полезно даже тем, кто изначально планирует покупать Plus или Pro.

Plus Pack: промежуточная ступень

Если Base Pack закрывает базовые потребности одной небольшой площадки, то Plus Pack - это первый шаг к более серьёзной эксплуатации сети, когда количество устройств и пользователей растёт, а требования к прозрачности и удобству управления повышаются вместе с ними. По духу это не революция в функциональности, а скорее аккуратное расширение возможностей Base Pack сразу в двух направлениях: количественном и качественном.

С количественной стороны Plus снимает часть тех тесных рамок, о которых шла речь применительно к бесплатному тарифу. Срок хранения логов, статистики и отчётов увеличивается с одних суток до недели, что уже позволяет разбирать инциденты не только «по горячим следам», но и с небольшой задержкой - скажем, в понедельник смотреть, что происходило в сети за выходные. Число администраторов организации растёт с пяти до восьми, а лимит записей в облачном сервере аутентификации NCAS удваивается - с пятидесяти до сотни, что снимает часть ограничений при развёртывании корпоративной 802.1X-аутентификации для сотрудников.

Куда важнее, впрочем, качественные добавления. Во-первых, организация на Plus Pack освобождается от режима Cloud Saving Mode - того самого ограниченного состояния платформы, в которое неактивная бесплатная организация уходит по истечении определённого срока простоя. Для сети, которая разворачивается один раз и потом месяцами работает без активного присмотра администратора (типичный случай для удалённого объекта или сезонного бизнеса), это уже не косметическое, а вполне ощутимое преимущество. Во-вторых, появляется расширенная отчётность: сводки можно не просто просматривать в интерфейсе, а выгружать в CSV или XML, отправлять по расписанию на почту и оформлять фирменным логотипом компании - удобно, если отчёты о состоянии сети регулярно уходят заказчику или руководству. В-третьих, управление обновлениями прошивок становится куда гибче - вместо ручного обновления каждого устройства администратор может назначить расписание апдейта индивидуально для устройства или запустить обновление сразу по всей организации.

Отдельного упоминания заслуживает site-wide топология сети - автоматически построенная графическая карта подключений, которая позволяет визуально отслеживать статус соединений на конкретной площадке. Недавно эту функцию сделали бесплатной в базовой версии, хотя интерактивное управление устройствами прямо из этой карты (перезагрузка, переименование, смена IP и прочие действия «на лету») остаётся прерогативой Pro Pack.

Из специфичных для беспроводной части нововведений в Plus появляются WiFi-ваучеры - механизм, при котором гостю выдаётся уникальный код для временного доступа к сети через captive portal, что особенно удобно для гостиниц, кафе и любых мест, где нужно ограничивать длительность гостевого подключения без создания постоянных учётных записей. На стороне коммутаторов добавляются вендорная VLAN-сегментация, автоматически распределяющая устройства разных производителей по разным VLAN на основе их MAC-адреса, и функция Auto PD Recovery, которая отслеживает зависшие PoE-устройства - например, IP-камеры - и самостоятельно перезапускает их питание, не дожидаясь, пока это заметит человек.

В сухом остатке Plus Pack имеет смысл там, где инфраструктура уже вышла за рамки одного небольшого офиса, но полноценная многоплощадочная оркестрация из Pro Pack пока избыточна: например, для сети из нескольких похожих торговых точек или отделений, где важны стабильность, приемлемая глубина логов и точечные удобства вроде гостевых ваучеров и автоматического восстановления камер видеонаблюдения.

Pro Pack: максимум возможностей платформы

Pro Pack - старшая ступень лицензирования Nebula, и если Plus Pack можно назвать разумным компромиссом для растущей, но всё ещё не разросшейся инфраструктуры, то Pro Pack рассчитан на сети, где счёт площадок уже идёт на десятки, а администратору нужен полный контроль и глубокая аналитика по каждому классу устройств - точкам доступа, коммутаторам, межсетевым экранам и мобильным роутерам. Здесь снимаются практически все количественные ограничения: логи, статистика и отчёты хранятся год, число администраторов организации становится неограниченным, лимит записей в облачном сервере аутентификации NCAS также снимается полностью, а на карточку устройства можно загрузить сразу пять фотографий вместо одной.

Точки доступа: диагностика и безопасность

Основная ценность Pro Pack для беспроводной инфраструктуры сосредоточена в диагностике и продвинутой аутентификации. Wireless Health - это инструмент постоянного мониторинга качества беспроводной связи, который анализирует показатели, показывает историю и тренды состояния сети в реальном времени и способен автоматически применять корректирующие действия при обнаружении проблем с подключением. Дополняет его WiFi Aid - инструмент, который прослеживает весь путь клиента при подключении к сети, от аутентификации до получения IP-адреса по DHCP и разрешения DNS-запросов, и подсвечивает, на каком именно этапе происходит сбой, вместо того чтобы заставлять администратора вручную перебирать журналы. Roaming Dashboard идёт ещё дальше и даёт централизованную картину того, как клиенты переключаются между точками доступа на площадке: показывает процент успешных переключений, их количество, изменение уровня сигнала и время самого перехода, а по каждому проблемному клиенту - детальный маршрут роуминга с встроенными рекомендациями по устранению проблемы.

Из функциональности, ориентированной на масштабные развёртывания, стоит выделить программируемые SSID - возможность задать уникальное имя сети и пароль для каждой точки доступа на единой странице настроек, что критично для отелей или студенческих общежитий, где на каждый номер или блок нужна собственная изолированная сеть. Рядом с этим стоит Dynamic Personal PSK - механизм, при котором каждому устройству или пользователю выдаётся собственный уникальный пароль для Wi-Fi вместо одного общего ключа, что заметно повышает безопасность в гостиничных и конференц-сценариях, где приходится массово выдавать доступ множеству посторонних устройств. Pro Pack добавляет и целый ряд опций аутентификации через captive portal: вход по MAC-адресу с переходом на RADIUS-переаутентификацию, поддержку беспарольного входа (passkey) через собственный облачный сервер аутентификации Nebula, а также федеративный вход через Microsoft Entra ID или через Nebula Identity Federation Service - сервис, который позволяет подключить сразу несколько внешних провайдеров идентификации (Google Workspace, Okta и другие) к одной точке входа и назначать разные права доступа в зависимости от того, через какого провайдера пользователь авторизовался.

Коммутаторы: контроль на уровне портов

На стороне коммутаторов Pro Pack переводит диагностику на новый уровень за счёт Port Advisor - инструмента, который в реальном времени показывает сводку и таймлайн аномалий на портах, категоризирует проблемы (например, чрезмерная широковещательная нагрузка или петля в топологии) и позволяет прямо из интерфейса применить корректирующее действие - скорректировать лимиты storm control или временно отключить проблемный порт с последующим перезапуском по готовности. Из более узкоспециализированных функций доступны стекирование коммутаторов в единую логическую единицу для упрощения администрирования крупной сетевой фермы, поддержка IP-интерфейсов и статической маршрутизации третьего уровня, защита от паразитных DHCP-серверов через IP Source Guard, а также автоматическое обнаружение IP-камер по протоколу ONVIF с мониторингом их состояния питания в реальном времени. Отдельного внимания заслуживает IPTV Report - отчёт, который показывает статистику просмотра телеканалов через сеть и с помощью машинного обучения выявляет аномалии трафика, способные повлиять на качество трансляции - функция, явно нацеленная на гостиничный и хостинговый сегмент, где IPTV - часть коммерческого предложения для гостей.

Межсетевые экраны: оркестрация VPN каналов и настройка защиты

Для файрвольной части флагманская возможность Pro Pack - VPN Orchestrator, программно-определяемый инструмент, который позволяет в несколько кликов развернуть многоплощадочную VPN-топологию внутри организации, причём поддерживаются как устройства под управлением Nebula, так и сторонние VPN-шлюзы. В интерфейсе доступна карта VPN-соединений с географической привязкой и историей использования трафика в реальном времени, а продвинутые сценарии - например, связь между филиалами напрямую, минуя центральный узел, - настраиваются через концепцию VPN Area и Branch-to-Branch VPN. Вообще-то, даже в базовой версии настройка VPN уже превращается из боли в простое кликание мышкой, но придётся открывать настройки каждого шлюза.

Дополняет картину поддержка сдерживания угроз через политику Collaborative Detection & Response с фильтрами по malware, вторжениям и веб-угрозам (при наличии соответствующей лицензии на сам файрвол), архивирование журналов трафика через SecuReporter, а также автоматическая рассылка провизионного скрипта для настройки L2TP VPN на клиентских устройствах по электронной почте - мелочь, которая заметно упрощает жизнь при массовом развёртывании VPN-клиентов для удалённых сотрудников.

Мобильные роутеры и общие инструменты NCC

Для мобильных роутеров Pro Pack добавляет непрерывный мониторинг доступности критически важных LAN-устройств - по сути, «пульс» подключённого оборудования, который отслеживается даже в сетях мобильных операторов, а также полноценное резервное копирование, скачивание и восстановление конфигурации.

Наконец, на уровне самой платформы NCC старший пакет открывает инструменты, которые особенно ценны при управлении сразу несколькими площадками одной организации: сайт-вайд топологию с полноценным интерактивным управлением устройствами прямо с карты сети (перезагрузка, переименование, смена IP-адреса), синхронизацию и репликацию настроек между площадками, конфигурационные шаблоны, которые автоматически применяют изменения мастер-шаблона на все привязанные к нему сайты (с возможностью локальных переопределений), централизованное резервное копирование и восстановление конфигураций по расписанию, журнал изменений организации с указанием, кто и когда что поменял, ограничение входа администраторов по диапазонам IP-адресов, приоритетную поддержку через чат и тикеты прямо из NCC, а также доступ к OpenAPI для интеграции Nebula со сторонними системами. Именно эта совокупность инструментов делает Pro Pack логичным выбором для организаций, которые управляют распределённой сетью из нескольких офисов или объектов и не готовы вручную синхронизировать настройки между ними.

MSP Pack: надстройка для провайдеров услуг

В отличие от Base, Plus и Pro, которые лицензируются на устройство и определяют функциональность конкретной организации, MSP Pack устроен принципиально иначе: он активируется на учётную запись администратора и накладывается поверх пакетов клиентов, а не заменяет их. То есть если ваша компания администрирует собственную сеть - пусть даже на несколько офисов и с Pro Pack на борту, то этот пакет вам ни к чему: он решает совсем другую задачу и рассчитан на компании, которые оказывают услуги по обслуживанию сетей сразу нескольким независимым заказчикам, то есть на классических удалёнщиков-администраторов и системных интеграторов.

Смысл MSP Pack - избавить такого администратора от необходимости логиниться поочерёдно в десятки отдельных организаций клиентов. Вместо этого он получает единый MSP-портал: центральную точку входа, откуда видно сводку по всем обслуживаемым организациям сразу - количество площадок и устройств, их статус, тип и срок действия лицензий, - а также сквозной обзор по сайтам и отдельным устройствам вне зависимости от того, к какому клиенту они относятся. Отдельный блок инвентаризации показывает распределение лицензий по уровням (сколько клиентов сидит на Base, сколько на Plus или Pro), отслеживает организации и устройства, у которых лицензия вошла в льготный период перед истечением.

Что реально экономит рабочее время MSP-инженера, так это возможность создавать администраторов MSP-компании с разграниченными ролями, группировать их в команды, а клиентские организации - в группы по каким-то общим признакам; копировать настройки или целые площадки из одной организации клиента в другую, чтобы не настраивать типовую конфигурацию с нуля для каждого нового заказчика; и вести кросс-организационные шаблоны конфигурации, где изменение в мастер-шаблоне автоматически подтягивается на привязанные сайты сразу нескольких разных клиентов. Плюс централизованное резервное копирование и восстановление конфигураций, планирование обновлений прошивок сразу по всем обслуживаемым организациям, шаблоны алертов, которые применяются оптом на выбранные организации и площадки, единый журнал изменений по всем MSP-функциям и клиентским Pro-организациям, а также возможность брендировать личный кабинет клиента логотипом и контактами своей компании - тонкая, но приятная деталь для тех, кто продаёт услуги под собственным именем.

Если резюмировать: MSP Pack - это про экономию времени на масштабе «один администратор - десятки чужих сетей», а не про дополнительную функциональность внутри одной сети. Для читателя, который администрирует инфраструктуру собственной компании, ключевой вывод простой - расти по функциональности нужно начиная с Base, переходя на Plus, а потом на Pro, а про MSP Pack достаточно знать, что он существует на случай, если однажды вы сами станете тем, кто обслуживает чужие сети.

Итоговое сравнение и рекомендации

После разбора каждого пакета по отдельности стоит свести ключевые отличия в единую таблицу - не столько для того, чтобы заново пересказать все детали, а чтобы дать быстрый ориентир при выборе лицензии.

Если переводить эту таблицу в практические рекомендации, логика получается довольно прямолинейной. Base Pack - разумная точка входа для небольшого офиса с одной площадкой и умеренным числом устройств, где нет острой необходимости в глубокой ретроспективной аналитике и многодневном хранении логов; для такого сценария бесплатный уровень закрывает практически весь набор повседневных задач администратора. Переход на Plus Pack оправдан, когда сеть выходит за рамки одного объекта или начинает работать без постоянного присмотра - например, разворачивается на удалённой площадке и подолгу простаивает без активного администрирования, - а также когда требуется чуть более гибкая отчётность и гостевой доступ через ваучеры, но полноценная многоплощадочная оркестрация пока не нужна. Pro Pack стоит рассматривать тогда, когда организация управляет по-настоящему распределённой инфраструктурой из нескольких офисов или объектов, нуждается в единообразных конфигурациях между площадками, продвинутой диагностике беспроводной сети и VPN-связности между филиалами, а также когда цена простоя или инцидента настолько высока, что окупает годовое хранение логов и приоритетную поддержку.

Отдельно стоит подчеркнуть: MSP Pack не входит в эту иерархию и не заменяет ни один из трёх пакетов - это надстройка для тех, кто администрирует сети сразу нескольких сторонних организаций, и для собственной инфраструктуры одной компании она не нужна вне зависимости от того, какой из основных пакетов используется.

В конечном счёте выбор лицензии Nebula сводится не к вопросу «что мощнее», а к честной оценке масштаба и сложности собственной инфраструктуры: платить за возможности, которые реально будут использоваться, а не за максимальный набор функций «на всякий случай» - и наоборот, не упираться в ограничения бесплатного тарифа там, где сеть уже переросла его рамки.

Михаил Дегтярёв (aka LIKE OFF)
22/09.2026