Hardware of software oplossing [firewall/gateway/vpn]

[KillerAce_NL]

Beste mensen,

Vanwege uitbreidingen hier ben ik aan het kijken of we een hard- of software oplossing nemen.

Wat wil ik:
Controle over internetactiviteiten [sites blacklisten/speed aanpassen/permissies/poorten blocken/voorrang geven aan poorten/protocollen].

Remote VPN sessies opzetten, die ik helemaal dicht kan spijkeren zodat ik de controle heb over wat ze wel en niet kunnen in het interne netwerk. (denk ook aan tijdelijke vestigingen, thuiswerkers en andere bedrijven die op onze Citrix Farm moeten kunnen).

Het moet een makkelijke interface hebben, geen commandline opdrachten, goed overzicht van de lopen regels/restricties.

Goede support/community.


Situatie:

W2k AD
dhcp/dns
Citrix
3 vestigingen ->Essent huurlijn(10Mbit) + epacity 1Mbit=100 gebruikers in andere subnetten.
+ 2x backup VPN via 2 Drayteks (nood).

Linux distro's is niet mijn specialiteit, maar ik red me daar wel mee en ik leer snel. Ik vind dat zeer zeker een optie.

Budget:
Niet interessant (niet exorbitant natuurlijk).

Doel:
Totale controle over het netwerk. Flexibel met veranderingen kunnen omgaan. Makkelijk en overzichtelijk beheer.

Zijn er hier mensen die mij het e.e.a. aan tips en ervaringen kunnen geven ?

[c-kay]

Wij hebben vaak te maken met dit soort wensen.

Vaak wordt er voor de VPN oplossing producten van Checkpoint ingezet.
Gezien de specifieke eisen wordt er dan beslist welke producten precies.

Voor internet verkeer wordt vaak een BlueCoat ingezet.

Deze producten zijn erg gebruikers vriendelijk!!

[ Voor 15% gewijzigd door c-kay op 18-05-2006 12:26 ]

[Abom]

Heel makkelijk, ISA van Microsoft.

Controle over internetactiviteiten [sites blacklisten/speed aanpassen/permissies/poorten blocken/voorrang geven aan poorten/protocollen].

Check en allemaal netjes toe te passen door het gebruik van AD groepen.

Remote VPN sessies opzetten, die ik helemaal dicht kan spijkeren zodat ik de controle heb over wat ze wel en niet kunnen in het interne netwerk. (denk ook aan tijdelijke vestigingen, thuiswerkers en andere bedrijven die op onze Citrix Farm moeten kunnen).

Check, default is er al het nodige dicht gezet en volgens mij kan het zelfs filteren op Virtual Channels binnen ICA/RDP.

Het moet een makkelijke interface hebben, geen commandline opdrachten, goed overzicht van de lopen regels/restricties.

Check, hoewel ik de 2000 interface iet wat vaag vind, is de 2004 interface gewoon goed en helder.

Goede support/community.

Check, grote community, lots of support en mocht je er echt niet uit komen, MS is niet vies van een support call

offtopic:
@Eq, was er mis met IPSec VPN's?

[ Voor 119% gewijzigd door Abom op 18-05-2006 13:33 ]

[Equator]

* Equator is niet zo'n fan van IPsec VPN's.

Maar een Windows server met ISA 2004 is een prima oplossing.
ISA 2004 is een firewall en proxy in 1, maar kan ook MS VPN clients aan. (L2TP over IPsec)

Wat Abom zegt dus

En voor support enzo heb je naast Microsoft ook www.isaserver.org
Daar kan je je hart ophalen betreffende problemen/instellingen etc.

[ Voor 40% gewijzigd door Equator op 18-05-2006 13:34 . Reden: Damn ik moet sneller typen.. ]

[KillerAce_NL]

Ik ben wat vergeten te melden;
Naast de Ad voor onze medewerkers, hebben we ook op 2 lokaties een Netware 5.xx draaien. Daarin zitten alleen cursisten en wat docenten. Deze moet ik tevens kunnen aanpakken qua internet gebruik (sites/protocollen/downloads/p2p).

Ik ben op dit moment een proef aan het draaien van IPCOP, een firewall distro.

[Abom]

Willen jullie dat al jullie vestigingen over dezelfde lijn hun internet verkeer laten gaan of wil je een decentrale oplossing?

[KillerAce_NL]

Een decentrale oplossing, elke vestiging heeft een eigen internet lijn.
Het gaat me in 1e instantie om de hoofdvestiging.

[ Voor 27% gewijzigd door KillerAce_NL op 19-05-2006 12:32 ]

[Abom]

Het zal moeilijker zijn om zo'n oplossing gecentraliseerd beheersbaar te krijgen, ik weet het zo niet, maar is het niet mogelijk om mbv RADIUS het beheer hiervan te centraliseren?

Gezien je eisen, zou ik overigens voor de grotere vestigingen voor ISA kiezen.

[ Voor 68% gewijzigd door Abom op 19-05-2006 12:57 ]

[aZuL2001]

Gezien je uitgebreide eisen pakket zou ik bijna zeggen : "neem eens contact op met een firma die dit vaker doen"

ISA 2004 voldoet waarschijnlijk in grote mate.

Linuxbased kan zeer zeker ook, maar daarvoor moet je of zelf meer werk verrichten, of het laten doen. (kijk ook eens naar Smoothwall, hebben een betaalde en Open Source variant)

[Brecht Laitem]

Hier in het bedrijf gebruiken we een toestel van de firma able (http://www.able.be) voor al deze zaken. Dit is een firewall, VPN, proxyserver, mailserver, antivirus controle op zowel mail als www, anti-spam, Intrusion detection en prevention, DMZ zones, ... wat je maar wil. Voordeel is dat alles via modules aan te kopen is, dus je betaald alleen de functies die je wil.

edit:

Op de andere werkplekken kan je dan personal axs guards plaatsen die automatisch de instellingen overnemen van de hoofd-axs guard.

[ Voor 18% gewijzigd door Brecht Laitem op 19-05-2006 13:32 ]

[KillerAce_NL]

aZuL2001 schreef op vrijdag 19 mei 2006 @ 13:04:
Gezien je uitgebreide eisen pakket zou ik bijna zeggen : "neem eens contact op met een firma die dit vaker doen"

ISA 2004 voldoet waarschijnlijk in grote mate.

Linuxbased kan zeer zeker ook, maar daarvoor moet je of zelf meer werk verrichten, of het laten doen. (kijk ook eens naar Smoothwall, hebben een betaalde en Open Source variant)

Advies vragen kan later nog
Met IPCOP kom ik al eenheel eind, met wat extra modules ge-installed, werkt het al aardig en komt het dichtbij het eisenpakket.
Die appliances zal ik eens naar kijken.

[Bl@ckbird]

Je kunt ook kijken naar een Cisco ASA5510 met IPS module voor het blokkeren
van downloads, P2P verkeer, enz.

Voor het webfiltering kun je Websense nemen.

Op de ASA configureer je een lokale radius server die je synct met AD en Novell.
Tussen de verschillende vestigingen kun je IPSec gebruiken.
Voor telewerkers kun je kijken naar IPSec of SSL VPN.
(Als het bestaande netwerk een intranet heeft.)