Centrale firewall.

[rpr]

Na een paar jaar toegekomen te hebben met 1 dedicated server voor web/dns/mysql ga ik nu de opsplitsing maken over 5 servers.
2xdns (Geografisch gescheiden), mailserver, webserver & mysql.

Een probleem dat ik momenteel zie is het volgende:
Momenteel gebruik ik csf als firewall. Dit doet het uitstekend maar met de oplitsing naar meerdere servers zou ik graag hebben dat een ip dat geblokkeerd wordt op de centrale firewall voor de 4 servers wordt geblokkeerd. Dus als iemand bv teveel verkeerde authenticatie met de mailserver heeft uitgevoerd dat hij niet meer op de dns server, mailserver, webserver & mysql server kan verbinden.

Hoe doen jullie dit?
Alvast bedankt voor alle input.

[Bart L]

Kijk eens bij cluster config van csf


Sent from my iPhone using webhostingtalk mobile app

[rpr]

Ja is een oplossing maar het nadeel van dit is dat het blokkeren van veel ip's nogal memory intensief is.
Nu is dit dus op 4 servers. Als ik voor mijn servers een firewall plaats die blokkeert is dit slechts 1x memory intensief.

Niemand zo een oplossing geïmplementeerd?

[The-BosS]

Je kunt ofwel een hardware firewall zoals watchguard, dell sonicwall, cisco, juniper, mikrotik, ... voor je servers gaan zetten of in het geval je virtueel draait kun je bvb routeros (mikrotik), pfsense, vyatta, monowall, ... als extra vm draaien en die bridged zetten voor je andere vm's.

[Boskoop]

Je kunt ofwel een hardware firewall zoals watchguard, dell sonicwall, cisco, juniper, mikrotik, ... voor je servers gaan zetten of in het geval je virtueel draait kun je bvb routeros (mikrotik), pfsense, vyatta, monowall, ... als extra vm draaien en die bridged zetten voor je andere vm's.

Dit dus, CSF rapporteert hier zijn blacklist hosts aan mijn mikrotik routers/gateways (2x) (in mijn geval een fysieke bak, maar kan ook virtueel zijn), mijn mikrotik router/gateway voegt deze vervolgens toe aan een 'blocked' addresslist. natuurlijk heb ik er voor gezorgd dat er een x aantal ip's standaard gewhitelist worden en dus ook al staan ze op de blacklist ze altijd doorgang vinden

[Eflicta]

Zelf zet ik overal een hardware firewall voor. Zoals je zelf zegt, heb je maar 1 point of administration. Daarnaast bieden HW firewalls meer performance dan software FWs, is mijn ervaring tot nu toe (tenzij je met Intel DPDK gaat werken ofzo).

Junipers zijn goed betaalbaar, makkelijk beheerbaar (mijn mening) en hebben veel features.

SW based zou ik voor RouterOS gaan als het cheap moet (maar een draak om te configgen), of Vyatta voor performance.

- - - Updated - - -

Zelf zet ik overal een hardware firewall voor. Zoals je zelf zegt, heb je maar 1 point of administration. Daarnaast bieden HW firewalls meer performance dan software FWs, is mijn ervaring tot nu toe (tenzij je met Intel DPDK gaat werken ofzo).

Junipers zijn goed betaalbaar, makkelijk beheerbaar (mijn mening) en hebben veel features.

SW based zou ik voor RouterOS gaan als het cheap moet (maar een draak om te configgen), of Vyatta voor performance.

[rpr]

En hoe importeer jij de lijst in de junipers dan?

[Mark17]

Wij hebben 2 centrale Linux firewalls staan. Netjes in een active-standby opzet (hoewel met wat aanpassingen active-active ook mogelijk is).

Performance is goed te noemen en beheer is simpel.

[rpr]

Het firewall gedeelte snap ik maar al te goed maar ik ben op zoek naar automatisch beheersbaarheid.
Als op server01 een gebruiker gebanned wordt dat dit op de firewall komt zodat de gebruiker niet op server02 komt.

[Mark17]

Het firewall gedeelte snap ik maar al te goed maar ik ben op zoek naar automatisch beheersbaarheid.
Als op server01 een gebruiker gebanned wordt dat dit op de firewall komt zodat de gebruiker niet op server02 komt.

Dit deel doen wij middels een aantal eigen script. Deze zorgen dat de informatie centraal bekend is en vanuit deze bron worden de firewalls weer voorzien van regels (lees: blokkades).

[CharlieRoot]

VyOS (Vyatta) heeft hiervoor een cluster mogelijkheid en kan virtueel worden gebruikt
http://vyos.net/wiki/User_Guide