Bekijk Volledige Versie : pfSense geschikt als firewall voor webhosting?
polderknowledge
19/07/11, 11:36
Ik ben opzoek naar een betaalbare firewall oplossing. Ik gebruik voor mijn interne netwerk pfSense en vind het goed werken.
Als ik de documentatie lees zou pfSense ook geschikt moeten zijn voor grotere netwerken.
Heeft iemand ervaring met pfSense als firewall voor webhosting? (Wij hosten momenteel zo'n 300 websites en een aantal VPS-en)
Alvast bedankt voor de reacties...
Het belangrijkste is denk ik dat je firewall op Layer 2 kan funtioneren, in Transparant mode dus. Dat maakt implementaties makkelijker en geeft ook nog eens een keer een bypass mode (firewall tussen twee switchen, switches onderling rechtstreeks verbinden met de poort op de eerste switch dicht. Bij problemen met de firewall: switchpoort naar pfSense dicht, switchpoort rechtstreeks open).
pfSense word/werd ook door PC-Extreme en/of StreamService gebruikt. Beiden (Widodh en Mark17) zijn actief op het forum en zullen goede feedback kunnen geven.
Kwa software is pfSense zeker geschikt om te gebruiken als firewall, maar het zal vooral afhangen van de hardware die je gebruikt en de netwerkkaarten. Hou er dus rekening mee dat je throughput van je nic's voldoende is en je cpu/ram meer dan voldoende zijn om je traffic te kunnen verwerken. Misschien dat je nog even kunt posten over hoeveel connecties en traffic het gaat zodat andere hun mening en advies kunnen geven. Want 300 websites zegt natuurlijk niet veel, je kunt 1 website hebben met 100.000 hits/sec maar je kan ook 300 websites hebben met elk 100 hits/sec.
polderknowledge
19/07/11, 17:32
Bedankt voor jullie (snelle) reacties...
Voor de hardware zat ik aan twee (active / passive) Dell PE 1950's Xeon 5140 (2,66 Ghz) / Type II, 4Gb te denken. Er zitten 2 1Gbit NIC's in.
Wat betreft de sites zal het denk ik bij een paar 1000 hits/sec liggen (De grootste website heeft zo'n 40k unieke bezoekers / maand) maar dit kan ik op het moment niet zien. Het is wel het idee dat er snel een hoop websites bij komen.
Ik ben benieuwt of mensen ook ervaring hebben met de "Inbound Load Balancing" optie van pfSense of is het zo-i-zo geen aanrader om je firewalls ook als Load Balancers te laten functioneren?
Hallo Polderknowledge,
Ik heb een periode PfSense gedraaid voor colo/dedi/webhosting/... servers. Het werkt goed echter raad ik je wel aan om thuis een goede testopstelling te maken en wat verkeer te generen.
PfSense is een zeer uitgebreid pakket die transparant kan 'firewallen' en in bezit is van een failover (die in mijn tijd niet goed werkte maar er is een nieuwe versie uit als ik mij niet vergis).
Ik had een server draaien met een Xeon X3440 CPU en 8 GB RAM (R210) aan boord. Daarnaast heb ik een Intel PRO netwerkkaart erin gestoken (2 x 1 Gbit). De onboard NIC's zijn ook gebruikt (voor een intern LAN) waar niet veel verkeer overheen ging. Ik kon daar via een VPN verbinding op inloggen (ideaal voor console, IPMI, ...).
PfSense heeft ook SNORT aan boord (en die heeft wat resources nodig bij veel verkeer!) waarin je diverse 'rules' kan inladen en die kleine DOS'jes kan filteren (nooit een grote DDOS op mijn dak gehad).
Op dit moment is de firewall er tussen uit gehaald gezien het in mijn ogen niet veel 'nut' meer had. Het is leuk voor je eigen servers en voor de VPN die ingebouwd is (en makkelijk is te configureren). Ik was ook tamelijk teleurgesteld dat ik de failover niet aan de praat kreeg (die werkte alleen met NAT enabled en laat dat nu juist niet de bedoeling zijn in een DC). De failover heb ik toen als volgt gemaakt:
----ROUTER01------\
-------PFSENSE--------CSW01------\
-------RACKSWITCHXX------- SERVERS
-------------------------CSW02-------/
----ROUTER02------/
Je coreswitches moet je dan goed configureren wilt dat werken. CSW01 moet namelijk je primaire CSW zijn en CSW02 je secundaire. Dit doe je door 'costs' aan je uplinks te geven. De PFSENSE had een lagere 'cost' dan de directe verbinding met de router. Spanning Tree doet de rest voor je (zorg wel dat je die ingeschakeld hebt! Loops zijn nooit grappig).
Bovenstaande is een basisopzet! Als de nieuwe PFSENSE nu wel met failover fatsoenlijk kan werken zou ik dat zeker eens bekijken gezien het eigenlijk een must is!
EDIT: Zie dat de schets niet gelukt is ...
EDIT2: Load balancers kan je gebruiken maar niet waar je ook mee firewallt
Bedankt voor jullie (snelle) reacties...
Voor de hardware zat ik aan twee (active / passive) Dell PE 1950's Xeon 5140 (2,66 Ghz) / Type II, 4Gb te denken. Er zitten 2 1Gbit NIC's in.
Wat betreft de sites zal het denk ik bij een paar 1000 hits/sec liggen (De grootste website heeft zo'n 40k unieke bezoekers / maand) maar dit kan ik op het moment niet zien. Het is wel het idee dat er snel een hoop websites bij komen.
Ik ben benieuwt of mensen ook ervaring hebben met de "Inbound Load Balancing" optie van pfSense of is het zo-i-zo geen aanrader om je firewalls ook als Load Balancers te laten functioneren?
Ik zou toch opteren voor het gebruik van zuivere server nic's en geen on-board te gebruiken, tenzij voor management poorten. Aangezien degelijke server nic's hun eigen cpu en chipset hebben haalt dat de load al wat af van je cpu. Verder zou ik naar gelang je grote van je firewall rules en traffic misschien iets wat meer ram in steken. Je zou ook even kunnen kijken naar http://www.advantech.com/products/1U-Rackmount-Platforms/sub_1-2JKCW8.aspx (ik heb deze maar ouder model 8x gigE http://www.advantech.com/products/FWA-4208/mod_2BE85DF0-BC9B-4065-AD16-2FB833C789F5.aspx). Of op zoek gaan naar een 2de hands watchguard en daar pfSense op installeren (staat op google wel uitgelegt hoe en wat).
Om het over je loadbalancer te hebben zou je ook een advantech (eventueel atom model) of layer3 switches kunnen gebruiken, maar dit zou ik niet combineren met je firewall. Tenzij het over minimaal aantal traffic en connecties gaat, als je firewall transparant draait kun je die er nog van tussen halen zonder problemen maar als je loadbalancer daar ook op draait heb je een probleem. Wat eventueel ook een optie is om hardware uit te sparen is je loadbalancer op je vps node's te draaien als een vm.
Ik gebruik pfSense al verschillende jaren en vind het een heel mooi product. Wij hebben een clustertje draaien waarmee we met 2.0RC3 ons inkomende verkeer in het datacenter filteren. De laatste versie is niet meer beperkt tot een simpele NAT-opstelling, wij hebben de 2 machines in CARP-failover staan en dat werkt heel goed moet ik zeggen.
Bij mij ging de keuze tussen 2 Juniper-firewalls, maar dat zou een veelvoud gekost hebben, terwijl deze oplossing helemaal voldoet. Het is redundant (getest!), de configuratie+rules worden mooi synchroon gehouden, vpn's (openvpn, ipsec, pptp) opzetten gaat heel goed en is compatibel met heel wat externe routers. Ik ben dus wel overtuigd van pfsense :)
pfSense word/werd ook door PC-Extreme en/of StreamService gebruikt. Beiden (Widodh en Mark17) zijn actief op het forum en zullen goede feedback kunnen geven.
Dit heeft wel op de planning staan om te gebruiken en heeft ook in een test omgeving gedraaid. Uiteindelijk is het echter nooit pfSense in productie genomen bij ons ivm wat dingen die destijds niet werkten zoals gewenst (geen idee of het nu wel werkt, sinds we iets anders hebben heb ik er eigenlijk niet meer naar gekeken om eerlijk te zijn).
Al enige tijd (1,5 jaar(?)) draaien we op een andere oplossing (Debian+ip(6)tables+keepalived (redundancy met vrrp)+scripts om alles automatisch te updaten). Als iemand te veel foutieve inlogpogingen doet op meerdere systemen binnen een bepaalde periode (1 foute inlogpoging per systeem is voldoende) betekend automatisch dat de betreffende persoon automatisch geblokkeerd wordt bij ons. Dit alles is zo ingeregeld dat het vrij snel afgehandeld wordt en bruteforce pogingen ook zo snel mogelijk geblokkeerd worden voor alles wat bij ons staat (op zowel IPv4 als IPv6). De snelheid/capaciteit van de firewalls bij ons is voor wat we doen en aan aanvallen ontvangen hebben ruim voldoende (het heeft al een paar ddos aanvallen afgeslagen).
Mocht iemand nog ideeën hebben om het uit te breiden of mogelijk onze methode over willen nemen dan kan uiteraard contact met ons opgenomen worden.