Bekijk Volledige Versie : Transparante firewall
WHTers,
Ik zit met een aantal servers die ik graag wat meer restricties op wil leggen met wat simpele firewall rules.
Nu is het vrij simpel om een software firewall als pfSense of m0n0wall ergens tussen te hangen maar ik wil toch meer toe naar een transparante firewall hardware matig om mijn meerdere servers (half-rack) ook mee te laten genieten van deze firewall mogelijkheden.
Ik heb momenteel 2x uplink (1000 mbit) welke binnenkomt op mijn hp procurve 1800-24G.
Wat ik dus graat zou willen is een hardware firewall waar ik mijn 2 uplink poorten in stop, vervolgens weer 2 lijntjes in me procurve hang. Vervolgens kan ik dan in de firewall mijn ding wel doen.
Heb zitten zoeken naar apparatuur van cisco, hotbrick, noem maar op maar nergens lees ik echt success stories of dingen die me echt kunnen overtuigen.
Mensen met ervaring in deze tak / keuze / advies?
Thanks!
Vuwit,
Belangrijk is te weten wat je throughput is op je uplinks nu.
Je wilt immers niet dat je firewall zometeen de beperkende factor word. Daarnaast moet je jezelf afvragen ofdat je de firewall als SPOF (Single Point Of Failure) wilt introduceren. Nu is dat weliswaar je switch, maar 2 SPOF's lijkt me niet echt bevorderlijk.
Cisco ASA's worden in het bedrijfsleven nogal vaak ingezet. Maar wanneer je echt wirespeed wilt firewallen, kun je niet alle poorten gebruiken. Dit heeft o.a. te maken met de ASIC's in de apparatuur.
Misschien dat je een toelichting kunt geven op je omgeving en je wensen etc.
Bedankt voor je reactie. Ik heb momenteel ' maar ' max 15 mbit lopen. Verwacht wel dat het komende maanden gaat stijgen naar 25 mbit / 35 mbit (moet nog wat colo bakken overhalen).
Het single point of failure verhaal is duidelijk, vang ik momenteel op door in verschillende DCs wat te hebben hangen, is nu nog niet een beperking in mijn keuze dat ik 2 SOFS maak door deze constructie (inet <fw> <switch> <colobakken>)
Als je perse met 2x2Gbit wilt koppelen (2x Gigabit outside, 2x Gigabit inside) zit je bij Cisco op tenminste een ASA5520 met een throughput van ca. 450Mbit.
Wanneer je toch 'maar' 15 tot 25 Mbit doet, kun je ook overwegen om voor het prijsaspect te koppelen met 2x 2x100Mbit. Dan kan een Cisco 5505 al voldoen met een throughput van ca. 150 Mbps.
5505's zijn de instapmodellen en bieden ook de mogelijkheid voor IPsec VPN's te terminieren of SSL vpn..
De Cisco ASA's kunnen in een Active/Active of een Active/Passive opstelling worden geplaats als je ze redundant uitvoert.
Wat voor succesverhalen zou je willen weten. Ik ken enkele partijen waar ze ASA's hebben staan, echter geen van de partijen die ik ken zitten in de hostingbranche. (Op 1 na, maar daar heb ik geen contact meer mee).
Aanvulling/Edit:
Linkje naar Cisco vergeten.
http://www.cisco.com/en/US/prod/collateral/vpndevc/ps6032/ps6094/ps6120/prod_brochure0900aecd8048dba8.html
Ik heb veel problemen gehad met ASA's in transparante mode, ook zijn veel opties dan niet beschikbaar.
De problemen waren oa dat servers vaak voor enkele seconden niet bereikbaar waren waarna alles het weer deed. Ik moest uiteindelijk de servers in leven houden door constant een ping open te laten staan.
Het betrof hier een 5510 met de laatste versie van de software er op (8.x).
Ook vond ik de performance nogal tegen vallen, had er meer van verwacht. Met een simpele UDP flood vanaf één machine zat ik op 100% CPU load.
Maar volgens mij kan pfSense ook prima firewallen over een bridge, dus transparant.
Kijk eens naar de SonicWall Pro lijn, deze bevallen ons erg goed!
Wij gebruiken de ASA in transparante mode en zijn daar tot zover tevreden over. Met 40/50 mbit aan verkeer gemiddeld vreet het ding nog steeds uit z'n neus
Enige nadeel van transparante mode is dat IPv6 niet wordt ondersteund vandaar dat wij binnenkort een keer willen overschakelen (zodra ik de implicaties van overschakelen heb uitgezocht that is).
Interessante bevindingenn, Pur, welke ASA draai jij? Zelf hoef ik niet per-c volledig een 1 gbit cappaciteit vol te kunnen trekken. Als ik kan toppen naar 450 Mbit is dat meer dan zat verspreid over de servers (is maar half rack op deze locatie).
Ber|Art, welke specifieke modellen heb jij ervaring mee? Heb een tijdje op een colo locatie in USA daar wat modellen van gezien en daar waren ze ook erg te spreken, maar wellicht wat prijzig voor wat ik wil.
Zelf ziet de ASA 5500 er wel geschikt uit, iemand die stroom verbruik weet?
Of uiteraard Checkpoint, wij gebruiken deze al jaren in cluster vorm en zijn er zeer tevreden van. Kan op eigen hardware draaien (duur), dan wel op appliances van Checkpoint (zeer duur). Hangt er van af wat je exact zoekt, maar als je kwaliteit wil, dan denk ik dat Checkpoint het beste is wat op de markt te krijgen is. Hangt zoals gezegd wel een stevig prijskaartje aan vast.
Ber|Art, welke specifieke modellen heb jij ervaring mee?Ik gebruik de 1260 Pro Enhanced maar daar zitten 24x 10/100Mbit poorten op dus het is geen GB machine. Maar de "grotere" modellen hebben dit wel. Het is niet goedkoop maar wel goed ;)
Kijk ook eens naar Netasq. Die bevallen erg goed, ook in transparante mode.
Bovendien zijn ze relatief eenvoudig te beheren.
Een eenvoudig instapmodel, de U70 firewall, doet bijvoorbeeld al 600mbit Firewall throughput+IPS.
Interessante bevindingenn, Pur, welke ASA draai jij? Zelf hoef ik niet per-c volledig een 1 gbit cappaciteit vol te kunnen trekken. Als ik kan toppen naar 450 Mbit is dat meer dan zat verspreid over de servers (is maar half rack op deze locatie).
Wij zelf gebruiken 5510's op het moment. Voor 450 Mbit moet je meen ik een 'groter' modelletje kopen.
Fortigate kan dit ook, evt met failover constructie als je er 2 wegzet, dan zou je je 2 inkomende gbit's ieder op een aparte firewall aan kunnen sluiten, de 2 Fortigate's onderling verbinden, en vanuit iedere firewall een gbit kabel naar je switch.
De 310B is de 'voordeligste' die meer dan 2 gb interfaces heeft.
Als je het verkeer onderling en naar je switch op 100mbit kunt doen, zou de 110C al toereikend zijn.
http://www.fortinet.com/products/fortigate/310B.html
De ASA5510's zitten op zo'n 300 MBit, maar hebben alleen op de 'Cisco ASA 5510 Security Plus Firewall Edition Bundle' gigabitkoppelvlakken bij mijn weten.
2x gigabit, 3x 100Mbit.
Een 5510 staat 50,000 concurrent sessions toe. Met een software upgrade kan dit maximaal 130,000 concurrent sessions worden.
Peak amperage zit volgens Cisco op 3 Ampere voor de 5510 en hoger. De 5505 zitten op 1.8 Ampere. Dit zijn natuurlijk de 'stressed situations'.
In de steadystate zou het apparaat circa 150 watt verbruiken.
Met de natuurkundige formule P=U×I zouden we dit ook terug moeten kunnen rekenen. (P:U=I dan). U=230 Volt. 150 : 230 = 0,6521739130434782608695652173913 (volgens windows Calc.exe) Zeg maar 0,65 Ampere. Als je de datasheet mag geloven.
Deze avond nog maar wat dieper in deze materie gedoken, maar krijg niet meer dan 2k budget los, dus vallen helaas al wat mooie dingen af die ik voorbij heb zien komen.
denk dat ik dan toch maar moet gaan schrappen in de gbit specs? of iemand een wat meer low budget oplossing voor ogen?
Deze avond nog maar wat dieper in deze materie gedoken, maar krijg niet meer dan 2k budget los, dus vallen helaas al wat mooie dingen af die ik voorbij heb zien komen.
denk dat ik dan toch maar moet gaan schrappen in de gbit specs? of iemand een wat meer low budget oplossing voor ogen?
voor 2k heb je een mooie netasq met gbit hoor... als ik me niet vergis begint het instapmodel rond de € 800,-
Deze avond nog maar wat dieper in deze materie gedoken, maar krijg niet meer dan 2k budget los, dus vallen helaas al wat mooie dingen af die ik voorbij heb zien komen.
denk dat ik dan toch maar moet gaan schrappen in de gbit specs? of iemand een wat meer low budget oplossing voor ogen?
Wat is er in feite mis met bvb 2x pfsense? Je stelt deze dan redundant op, installeert carp en je switch heeft een uplink naar elk device. Het zal waarschijnlijk geen gbit wirespeed kunnen trekken, maar afhankelijk van de gebruikte specs kom je toch al aardig op weg voor iemand die 15 mbit traffiek verzet...
2K is natuurlijk zo goed als geen budget voor firewalling, misschien dan beter wat doorsparen en behouden wat je voorlopig hebt. Voor 2k heb je nog geen gewone 'deftige' server, laat staan 2 stuks + licentiekost firewall. Voor 2k voor 2 appliances zal je toch ook de kwaliteit niet hebben?
Wat is er in feite mis met bvb 2x pfsense? Je stelt deze dan redundant op, installeert carp en je switch heeft een uplink naar elk device. Het zal waarschijnlijk geen gbit wirespeed kunnen trekken, maar afhankelijk van de gebruikte specs kom je toch al aardig op weg voor iemand die 15 mbit traffiek verzet...Een Core2Duo kan met gemak een Gbit een verkeer weg zetten met pfSense er op, zie ook: http://www.pfsense.org/index.php?option=com_content&task=view&id=52&Itemid=49
Verder kan je met een pfSense machine ook transparant firewallen, maak een bridge van 2 NIC's (je hebt dus wel 3 NIC's totaal nodig, 1 voor management) en je kan op die bridge firewallen.
En pfSense werkt ook top, prima, super, zoals je het zelf wil. Wij draaien hier sinds we pfSense kennen geen Cisco ASA's meer. Je kan met die pfSense meer en hij is stukken goedkoper.
Ik geloof graag dat je met pfsense een eindje komt, maar ik wil het wel eens 1 gbit wirespeed zien filteren én forwarden :)
pFsense ziet er ook goed uit. Ik ga daar ook eens mee spelen hoewel onze firewalls nog niet aan vervanging toe zijn :-)
Wij hebben destijds voor ASA's gekozen omdat het een haast klus was en de ASA's/PIXs werden aanbevolen door mensen + extra voordeel dat we de acl opbouw etc van Cisco's al kenden.
Nu zou ik inderdaad sneller kijken naar dit soort oplossingen. Niet dat de ASA dus niet bevalt maar het geeft wel een beetje het gevoel van er kan meer voor minder.
Naast de bug die in de huidige ASDM software zit waardoor je 'm alleen met een bepaalde versie van java kan draaien :(
En blijkbaar kun je pFsense ook in appliance vorm kopen: http://www.applianceshop.eu/index.php/firewalls/opnsense/rackmountable-opnsense.html#
Ik geloof graag dat je met pfsense een eindje komt, maar ik wil het wel eens 1 gbit wirespeed zien filteren én forwarden :)Als jij zorgt voor de goede hardware is dat geen probleem.
Als je de pfSense site bekijkt hebben ze het daar nog over PCI-X en 3.0Ghz CPU's, maar tegenwoordig hebben we al heel wat dikkere hardware.
Neem een Xeon CPU, 2GB RAM en een paar echte NIC's en je red dat wel.
Een gigabit is echt niet zo spannend, je trekt dat toch ook door je Linux machine heen als je daar met iptables aan het filteren bent? packet filter op BSD is nog eens een stukje sneller en beter :)
Die appliances, erg mooi, maar het is 100Mbit :(
Dan zou ik toch eerder gaan voor http://www.hacom.net/catalog/index.php?main_page=product_info&cPath=144_154&products_id=230 als je een hardware reseller aangeraden door pfsense neemt. Imho helemaal niet noodzakelijk, je kunt perfect een dergelijk apparaat tweedehands op de kop tikken en de installatie zelf doen. En vermoedelijk zijn er hier nog wel mensen die dat eventueel volledig opgezet willen aanleveren, waardoor je niet naar het buitenland moet gaan zoeken :) Ook een leuke optie is om te denken aan de VMware opties. Al is dat zelden verre van ideaal... Getest heb ik het evenmin ;)
Als jij zorgt voor de goede hardware is dat geen probleem.
Als je de pfSense site bekijkt hebben ze het daar nog over PCI-X en 3.0Ghz CPU's, maar tegenwoordig hebben we al heel wat dikkere hardware.
Neem een Xeon CPU, 2GB RAM en een paar echte NIC's en je red dat wel.
Een gigabit is echt niet zo spannend, je trekt dat toch ook door je Linux machine heen als je daar met iptables aan het filteren bent? packet filter op BSD is nog eens een stukje sneller en beter :)
Die appliances, erg mooi, maar het is 100Mbit :(
De CPU, de RAM en de bijhorende NIC's geloof ik allemaal graag. Maar de PCI-X bus zelf is vaak de bottle neck om wirespeed te filteren én te forwarden ;) Heb het in realtime op een bsd doos in werk gezien, en bij een serieuze DDoS aanval is de bottle neck circa 700kpps. In dat geval kun je echt niet die 1 gbit wirespeed filteren én forwarden. Dat lukt gewoon niet zonder een aanzienlijke mate van packetloss.
De CPU, de RAM en de bijhorende NIC's geloof ik allemaal graag. Maar de PCI-X bus zelf is vaak de bottle neck om wirespeed te filteren én te forwarden ;) Heb het in realtime op een bsd doos in werk gezien, en bij een serieuze DDoS aanval is de bottle neck circa 700kpps. In dat geval kun je echt niet die 1 gbit wirespeed filteren én forwarden. Dat lukt gewoon niet zonder een aanzienlijke mate van packetloss.Jij hebt het over héél veel packets per seconde. Daar zit inderdaad een wezelijk verschil tussen.
Maar tegenwoordig hebben we voor PCI-E, al red je over PCI-X ook prima gigabit snelheden (latency kan wat verschillen).
Packets per seconde is ook afhankelijk van je NIC en je CPU, hoe lager de latency binnen in de firewall hoe beter.
Is wellicht leuk om eens te gaan testen :)
Die appliances, erg mooi, maar het is 100Mbit :(
Voor sommigen is dat ook voldoende :-) En voor die prijzen is het nog best te doen.
Ik heb de VMWare image eens gedownload. Ziet er op zich leuk en uitgebreid uit als ik zo rondklik. Hoewel ik de GUI van de ASA's op zich wel iets logischer opgebouwd vind maar zal wel een kwestie van wennen zijn.
Ik vraag me alleen af waarom je zoiets op productie op een virtual machine zou willen draaien.
Voor sommigen is dat ook voldoende :-) En voor die prijzen is het nog best te doen.
Ik heb de VMWare image eens gedownload. Ziet er op zich leuk en uitgebreid uit als ik zo rondklik. Hoewel ik de GUI van de ASA's op zich wel iets logischer opgebouwd vind maar zal wel een kwestie van wennen zijn.
Ik vraag me alleen af waarom je zoiets op productie op een virtual machine zou willen draaien.
Energiebesparing ;) Voor residentiële gebruikers, developers of hobbyisten een kosten reducerend argument! :) Daarnaast denk ik nog aan een software firewall op bvb een vm omgeving, of een carp setup waarbij de VM doos de 'master' is, of een dedicated VPN aggregator, of ... :)
Energiebesparing ;) Voor residentiële gebruikers, developers of hobbyisten een kosten reducerend argument! :)
Maar dat is geen productie gebruik :-)
Als ik zo snel even zoek naar pfSense en IPv6 vind ik:
"There is currently no IPv6 support available in pfSense. This is a possibility for the 2.0 release. "
Gaat dit op voor dat je geen management kan doen via IPv6 of ook dat je geen IPv6 rules kan aanmaken?
Maar dat is geen productie gebruik :-)
Als ik zo snel even zoek naar pfSense en IPv6 vind ik:
"There is currently no IPv6 support available in pfSense. This is a possibility for the 2.0 release. "
Gaat dit op voor dat je geen management kan doen via IPv6 of ook dat je geen IPv6 rules kan aanmaken?
De 2.0 release wordt verwacht eind dit jaar, en je kunt al makkelijk snapshots binnenhalen. Dit terzijde... FreeBSD zelf kan ipv6 perfect aan, pfsense zelf is er gewoon niet op voorzien. Je kunt dus manueel wat tweaken om ipv6 te gebruiken, maar via de gui kun je het niet instellen en zijn er geen features voorzien in de diverse packages voor ipv6.
Deze avond nog maar wat dieper in deze materie gedoken, maar krijg niet meer dan 2k budget los, dus vallen helaas al wat mooie dingen af die ik voorbij heb zien komen.
denk dat ik dan toch maar moet gaan schrappen in de gbit specs? of iemand een wat meer low budget oplossing voor ogen?
Voor budget oplossingen kun he kijken naar routerboards. Daar zijn gbit oplossingen (koper) tegen redelijke prijzen te krijgen.
http://www.routerboard.com/pdf/tests_april_2009.pdf
Een RB1000 (http://www.routerboard.com/popup.php?kods=91&sess=93df0e39bd23702ed8404404379e51e9) zou makkelijk aan kunnen wat je vraagt en zit rond de $700.
Met de kleinere modellen voor thuis ben ik zeer tevreden.
nick@dcoostkamp
30/07/09, 16:12
Kijk eens naar de SonicWall Pro lijn, deze bevallen ons erg goed!
Die Sonic Wall gebruiken wij ook tot onze tevredenheid!
Die Sonic Wall gebruiken wij ook tot onze tevredenheid!
Gebruiken jullie de NSA, of E-Class NSA ? ( en welk type model verder? spreekt me wel aan hun lijn :) )
Misschien is Endian ook een oplossing die je kan gebruiken, ik gebruik dit hier met tevredenheid op kantoor. Het grote pluspunt is dat het zowel in community dowload beschikbaar is als op hardware applications.
http://www.endian.com/en/products/overview/
Ik wacht helaas al 2 dagen op een quote van de
# Macro X1
# Macro X2
modellen. Heb jij enig idee wat die modellen moeten kosten?
Ik wacht helaas al 2 dagen op een quote van de
# Macro X1
# Macro X2
modellen. Heb jij enig idee wat die modellen moeten kosten?
Endian UTM Software: ongeveer € 200,-
Endian UTM Mercury: ongeveer € 2.125,-
Endian UTM Macro X1: ongeveer € 3.975,-
Endian UTM Macro X2: ongeveer € 6.775,-
pfSense en Vyatta. Vyatta promoveert zichzelf ook als goedkopere betere en hogere wirespeed vervanger van de meeste cisco firewall producten. Er zit een gelijkaardige CLI op en het product is gewoon 'just works'. Intern is het een debian OS met daarop openswan, quagga en iptables.
Ik heb mezelf hierin in het verleden verdiept maar met de huidige hardware is het mogelijk om 4Gbit traffiek te routeren. Er zijn ook enkele bedrijven bezig met het ontwikkelingen van kaarten die dit nog meer gaan opkrikken.
Als je meer wilt weten moet je zeker de papers lezen op de website van Vyatta.
Ik zelf gebruik ook vyatta voor mijn routing, maar vyatta is nu eenmaal veel CLI. Want de webinterface is niet echt overzichtelijk te noemen. Endian die ik ook gebruik heeft wel voordelen die vyatta niet heeft. Zoals spamfilters, virusscanners, proxy & smtp relay, wat handig is als je meer dan 1 email server draaid. Verder kan het ook web filters aan, wat volgens mij in vyatta ook niet mogelijk is.
Wij hebben zelf zeer goede ervaringen met de ZyXEL ZyWALL 40 UTM in transparante modus.
Twee uplinks (active/active of active/backup), een DMZ en een LAN poort (gebruiken wij voor management).
UI is redelijk bedienbaar, CLI is mijn inziens prettiger.
En waarschijnlijk een stuk beter betaalbaar dan de Cisco's.
Ik kan je alleen weinig vertellen over de throughput, omdat op alle lokaties waar we dit gebruiken een dubbele SDSL of ADSL gebruiken. En dus niet hoger komen dan 20Mbps.
http://www2.vyatta.com/store/Vyatta-2501-Professional-with-Basic-Warranty ziet er erg goed uit +/- 2000 USD.
Heb daar nog wat vragen uit staan over de ondersteuning van 2 uplinks waarvan er altijd maar 1 actief is, en als er een uitvalt de andere actief is.
Weet iemand dat :) ?
Als je stp of vrrp gebruikt wel jah, maar dan moet je transit provider dit ook wel supporten want anders kun je problemen krijgen. Of je kan ook een trunk (bonding) gebruiken, maar dan moet je provider dit ook supporten.
Als je wat meer routing wenst te doen is dit ook mogelijk om BGP te gebruiken en daar de verschillende opties uit te kiezen (kortste weg, goedkoopste weg, vlugste weg, ...) maar dan moet je wel al zelf AS nummer hebben en meerdere transit providers.
Ik zou zeggen bekijk de uitgebreide handleidingen eens, daar staan voorbeelden genoeg in. (http://www.vyatta.com/downloads/documentation.php)
Hoi,
Heb je al eens gekeken naar Astaro (www.astaro.com)? Zelf in allerlei netwerkomgevingen (vnl Windows) hele goede ervaringen mee. Temeer omdat je een volledige functionele (test-)implementatie kan doen obv volledig software (met proeflicentie) en ook gevirtualiseerd zodat je zelf schaalbaarheid en mate van redundantie kunt bepalen (doordat je zelf in te zetten hardware bepaalt).
Dezelfde functionaliteit bieden ze vervolgens ook aan in appliances met of zonder HA opties etc. Ik geloof dat Contec de distri in NL is.
Succes en groet,
Het ASG 320 ziet er erg leuk uit. Enig idee van de pricing? Heb ze in ieder geval maar een mailtje gestuurd, alleen de screenshots zijn wat klein om nou te oordelen of die webinterface beetje oke is.
Nog steeds aan het wikken en wegen, en ben ook getipt om eens te kijken naar;
http://www.watchguard.com/products/compare_results.asp?p1=x1250e
iemand ervaringen met deze appliance? ziet er wel veelbelovend uit, en ook wat adressen om onder de 2k zo'n ding op de kop te tikken :)
als ik het zo lees ook bridged gigabit support...
Die watchguards zijn zeker niet slecht. Maar good luck met ze onder de 2000 euro op de kop te tikken. Ik dacht dat die al vlot 5000 euro stuk kosten.
Het ASG 320 ziet er erg leuk uit. Enig idee van de pricing? Heb ze in ieder geval maar een mailtje gestuurd, alleen de screenshots zijn wat klein om nou te oordelen of die webinterface beetje oke is.
Wij zijn hier ook erg te spreken over Astaro. Om een idee te krijgen van de web interface zou je eens de Astaro Security Gateway Home Edition (http://www.astaro.com/our_products/product_overview/landing_pages/free_home_edition) kunnen proberen. Deze heeft dezelfde features in zich als de betaalde Security Appliance.
Voor prijzen kan je contact opnemen met Contec iSC (http://www.contec-isc.nl/docs/bpwebsite.asp), een Nederlandse Astaro partner. Zij zitten daar met een aantal Astaro specialisten welke goede ondersteuning kunnen bieden bij vragen en problemen, en vaak nog kosteloos ook.
Die watchguards zijn zeker niet slecht. Maar good luck met ze onder de 2000 euro op de kop te tikken. Ik dacht dat die al vlot 5000 euro stuk kosten.
Watchguard is zeker niet slecht, ken ook een paar bedrijven die het gebruiken als office gatetway en paar hosters die het in DC gebruiken. Maar ik ben dan eerder geneigd om dan bvb Juniper (oude netscreen) te nemen ipv watchguard. Kwestie dat de ISG serie en netscreen serie modulair is kwa opbouw.
True. En performantie is ook navenant. Had ze eigenlijk totaal over hoofd gezien. Nu voor 2000 euro gaat het toch wel even zoeken zijn naar iets wat de verlangens van de TS bevredigt ;) Alhoewel dat http://www.nscreensales.com/SRX_services_gateway_210_w_4_Ports_POE_p/srx210h-poe.htm bvb toch al wel best degelijk is.
En om de TS nog wat meer keuze te geven, ik denk niet dat iemand het al over untangle gehad heeft (http://www.untangle.com/Pricing/Value-Packages). Het is opensource, met betalende addon modules. Hardware versies zijn er niet, maar wel aangeraden lijst met hardware support.
Het is maar wat je verkiest, hardware device of zelfbouw. Enige voordeel met zelfbouw is dat je nog kan upgraden zonder moeite moest het nodig zijn. Het andere alternatief is het veel duurdere modulaire hardware device zoals o.a. juniper netscreen.
Momenteel loop ik met 3 offertes te guessen wat het moet worden;
Astaro ASG 320
Watchguard X Core 1250e
Juniper/Netscreen SSG-320M-SH of SB
Ben zelf wel weg van alle degelijke reviews die ik hoor/ lees over de Juniper versie.
Mensen nog echte praktijk ervaring met laatst genoemde om me te overtuigen voor die serie te kiezen?
Iemand enige duidelijkheid over de licentie vormen van een dergelijk model? Zie met al die modules door de bomen het bos niet meer...
Bekijk zeker de nieuwe SRX serie van Juniper. Deze zijn de opvolgers van de SSG reeks, maar met (in mijn ogen) drie zeer belangrijke voordelen:
* Pak performanter dan SSG
* draaien JunOS ipv ScreenOS
* Gigabit op alles behalve het instapmodel (SRX100)
Ze zijn een beetje duurder dan de SSG's, maar zoveel niet.