Transparante firewall

[vuwit]

WHTers,

Ik zit met een aantal servers die ik graag wat meer restricties op wil leggen met wat simpele firewall rules.

Nu is het vrij simpel om een software firewall als pfSense of m0n0wall ergens tussen te hangen maar ik wil toch meer toe naar een transparante firewall hardware matig om mijn meerdere servers (half-rack) ook mee te laten genieten van deze firewall mogelijkheden.

Ik heb momenteel 2x uplink (1000 mbit) welke binnenkomt op mijn hp procurve 1800-24G.

Wat ik dus graat zou willen is een hardware firewall waar ik mijn 2 uplink poorten in stop, vervolgens weer 2 lijntjes in me procurve hang. Vervolgens kan ik dan in de firewall mijn ding wel doen.

Heb zitten zoeken naar apparatuur van cisco, hotbrick, noem maar op maar nergens lees ik echt success stories of dingen die me echt kunnen overtuigen.

Mensen met ervaring in deze tak / keuze / advies?

Thanks!

[groenleer]

Vuwit,

Belangrijk is te weten wat je throughput is op je uplinks nu.
Je wilt immers niet dat je firewall zometeen de beperkende factor word. Daarnaast moet je jezelf afvragen ofdat je de firewall als SPOF (Single Point Of Failure) wilt introduceren. Nu is dat weliswaar je switch, maar 2 SPOF's lijkt me niet echt bevorderlijk.

Cisco ASA's worden in het bedrijfsleven nogal vaak ingezet. Maar wanneer je echt wirespeed wilt firewallen, kun je niet alle poorten gebruiken. Dit heeft o.a. te maken met de ASIC's in de apparatuur.

Misschien dat je een toelichting kunt geven op je omgeving en je wensen etc.

[vuwit]

Bedankt voor je reactie. Ik heb momenteel ' maar ' max 15 mbit lopen. Verwacht wel dat het komende maanden gaat stijgen naar 25 mbit / 35 mbit (moet nog wat colo bakken overhalen).

Het single point of failure verhaal is duidelijk, vang ik momenteel op door in verschillende DCs wat te hebben hangen, is nu nog niet een beperking in mijn keuze dat ik 2 SOFS maak door deze constructie (inet <fw> <switch> <colobakken>)

[groenleer]

Als je perse met 2x2Gbit wilt koppelen (2x Gigabit outside, 2x Gigabit inside) zit je bij Cisco op tenminste een ASA5520 met een throughput van ca. 450Mbit.

Wanneer je toch 'maar' 15 tot 25 Mbit doet, kun je ook overwegen om voor het prijsaspect te koppelen met 2x 2x100Mbit. Dan kan een Cisco 5505 al voldoen met een throughput van ca. 150 Mbps.
5505's zijn de instapmodellen en bieden ook de mogelijkheid voor IPsec VPN's te terminieren of SSL vpn..

De Cisco ASA's kunnen in een Active/Active of een Active/Passive opstelling worden geplaats als je ze redundant uitvoert.

Wat voor succesverhalen zou je willen weten. Ik ken enkele partijen waar ze ASA's hebben staan, echter geen van de partijen die ik ken zitten in de hostingbranche. (Op 1 na, maar daar heb ik geen contact meer mee).

Aanvulling/Edit:
Linkje naar Cisco vergeten.
http://www.cisco.com/en/US/prod/coll...d8048dba8.html

[Wido]

Ik heb veel problemen gehad met ASA's in transparante mode, ook zijn veel opties dan niet beschikbaar.

De problemen waren oa dat servers vaak voor enkele seconden niet bereikbaar waren waarna alles het weer deed. Ik moest uiteindelijk de servers in leven houden door constant een ping open te laten staan.

Het betrof hier een 5510 met de laatste versie van de software er op (8.x).

Ook vond ik de performance nogal tegen vallen, had er meer van verwacht. Met een simpele UDP flood vanaf één machine zat ik op 100% CPU load.

Maar volgens mij kan pfSense ook prima firewallen over een bridge, dus transparant.

[Ber|Art]

Kijk eens naar de SonicWall Pro lijn, deze bevallen ons erg goed!

[Pur]

Wij gebruiken de ASA in transparante mode en zijn daar tot zover tevreden over. Met 40/50 mbit aan verkeer gemiddeld vreet het ding nog steeds uit z'n neus

Enige nadeel van transparante mode is dat IPv6 niet wordt ondersteund vandaar dat wij binnenkort een keer willen overschakelen (zodra ik de implicaties van overschakelen heb uitgezocht that is).

[vuwit]

Interessante bevindingenn, Pur, welke ASA draai jij? Zelf hoef ik niet per-c volledig een 1 gbit cappaciteit vol te kunnen trekken. Als ik kan toppen naar 450 Mbit is dat meer dan zat verspreid over de servers (is maar half rack op deze locatie).

Ber|Art, welke specifieke modellen heb jij ervaring mee? Heb een tijdje op een colo locatie in USA daar wat modellen van gezien en daar waren ze ook erg te spreken, maar wellicht wat prijzig voor wat ik wil.

Zelf ziet de ASA 5500 er wel geschikt uit, iemand die stroom verbruik weet?

[sdetroch]

Of uiteraard Checkpoint, wij gebruiken deze al jaren in cluster vorm en zijn er zeer tevreden van. Kan op eigen hardware draaien (duur), dan wel op appliances van Checkpoint (zeer duur). Hangt er van af wat je exact zoekt, maar als je kwaliteit wil, dan denk ik dat Checkpoint het beste is wat op de markt te krijgen is. Hangt zoals gezegd wel een stevig prijskaartje aan vast.

[Ber|Art]

Ber|Art, welke specifieke modellen heb jij ervaring mee?

Ik gebruik de 1260 Pro Enhanced maar daar zitten 24x 10/100Mbit poorten op dus het is geen GB machine. Maar de "grotere" modellen hebben dit wel. Het is niet goedkoop maar wel goed

[pierce]

Kijk ook eens naar Netasq. Die bevallen erg goed, ook in transparante mode.
Bovendien zijn ze relatief eenvoudig te beheren.

Een eenvoudig instapmodel, de U70 firewall, doet bijvoorbeeld al 600mbit Firewall throughput+IPS.

[Pur]

Interessante bevindingenn, Pur, welke ASA draai jij? Zelf hoef ik niet per-c volledig een 1 gbit cappaciteit vol te kunnen trekken. Als ik kan toppen naar 450 Mbit is dat meer dan zat verspreid over de servers (is maar half rack op deze locatie).

Wij zelf gebruiken 5510's op het moment. Voor 450 Mbit moet je meen ik een 'groter' modelletje kopen.

[Rob77]

Fortigate kan dit ook, evt met failover constructie als je er 2 wegzet, dan zou je je 2 inkomende gbit's ieder op een aparte firewall aan kunnen sluiten, de 2 Fortigate's onderling verbinden, en vanuit iedere firewall een gbit kabel naar je switch.

De 310B is de 'voordeligste' die meer dan 2 gb interfaces heeft.
Als je het verkeer onderling en naar je switch op 100mbit kunt doen, zou de 110C al toereikend zijn.

http://www.fortinet.com/products/fortigate/310B.html

[groenleer]

De ASA5510's zitten op zo'n 300 MBit, maar hebben alleen op de 'Cisco ASA 5510 Security Plus Firewall Edition Bundle' gigabitkoppelvlakken bij mijn weten.
2x gigabit, 3x 100Mbit.

Een 5510 staat 50,000 concurrent sessions toe. Met een software upgrade kan dit maximaal 130,000 concurrent sessions worden.

Peak amperage zit volgens Cisco op 3 Ampere voor de 5510 en hoger. De 5505 zitten op 1.8 Ampere. Dit zijn natuurlijk de 'stressed situations'.

In de steadystate zou het apparaat circa 150 watt verbruiken.
Met de natuurkundige formule P=U×I zouden we dit ook terug moeten kunnen rekenen. (P:U=I dan). U=230 Volt. 150 : 230 = 0,6521739130434782608695652173913 (volgens windows Calc.exe) Zeg maar 0,65 Ampere. Als je de datasheet mag geloven.

[vuwit]

Deze avond nog maar wat dieper in deze materie gedoken, maar krijg niet meer dan 2k budget los, dus vallen helaas al wat mooie dingen af die ik voorbij heb zien komen.

denk dat ik dan toch maar moet gaan schrappen in de gbit specs? of iemand een wat meer low budget oplossing voor ogen?