Firewall voor thuisnetwerk.*

[battler]

In mijn netwerk wordt heel wat gerotzooid en ben het nu eens goed zat.

Even een lay-out van het huidige netwerk.


Tussen Het modem en de router wil ik graag een firewall plaatsen

Tussen het modem en de router ligt een DMZ.

Vanuit de router worden alle porten weer ge-forward.


Het modem en de Router hebben niet echt veel mogelijkheden als het gaat om beveiliging.


Probleem:
Ik zou graag een hardware matige firewall willen.

Context:
Ik en me vader zijn erg afhankelijke van onze systemen en het internet. 1 van de doelen is dus een zo hoog mogelijke up-time creëren van de systemen en de verbinding. Ook is laatst 1 van mijn Servers gehackt (geheel eigen schuld, server stond pas 1 week aan en was slecht beveiligd + geconfigureerd). Maar de gevolgen van deze hack poging hadden voorkomen kunnen worden als het netwerk goed geconfigureerd was. En ik denk dat ik hier vrij veel van kan leren.

Waarom Hardware matig
Ik heb al 3 Servers dag en nacht aan staan, en een 4e computer aan gooien alleen als firewall is me te veel van het goede. Hardware heb ik genoeg staan, maar puur het stroom gebruik en het herrie is voor mij een reden om af te zien. Ook heb ik het idee dat apparatuur dat er voor gemaakt is, veiliger is dan een Firewall op Linux.

Budget
Nu is de vraag welke firewalls zijn er op de markt voor MKB met een budget tot 500,- (liefst zo goedkoop mogelijk natuurlijk ). In het budget zit nog wel wat behoorlijk speling. (ben een 18 jarige student dus er zijn grenzen )

Eisen
Hier loopt het een beetje vast. Er zijn natuurlijk een aantal dingen die ik graag wil.
Outbound, inbound filters.
URL, IP, SPI.

Maar! Van een hele hoop dingen weet ik waarschijnlijk het bestaan niet af.
Een tijdje geleden heb ik een stukje gelezen over firewalls met actieve virusscanner ed.
zijn deze al op de markt? zo ja heeft iemand hier ervaring mee?
Zijn er nog andere dingen waar van jullie zeggen dat is egt een must have op een beetje firewall.

Al gevonden
Sonicwall TZ 150 Firewall (prijs is ong. 250,-).
Cisco PIX 501 Firewall (ongv. 330,- en veels te veel overkill, maar kan ik veel van leren).
D-Link DSD-150 (mijn fav. tot nu toe, maar nog geen prijs).
Van zone alarm (lijkt me ook erg leuk.) http://www.zonealarm.com/...34std&ctry=&lang=nl#wired

Paar concrete vragen.
1: Welke functie moet een een firewall minimaal hebben, waar ik nog niet aan heb gedacht.
2: Welke mkb firewalls zijn er nog op de markt die binnen het budget vallen (of net erbuiten).
3: Vertel wat je denkt.

Aanvallen.
Er komen nog wat screenshots van aanvallen, scans en gerotzooi waarvan ik geen idee hebt wat het doet


------------------------------------------
Links moet ik nog even aanpassen, blijkbaar heb ik iets verkeerds gedaan.
------------------------------------------

[ Voor 16% gewijzigd door battler op 01-05-2007 21:08 ]

[Mad Marty]

Je 'plaatjes' linken allemaal naar de Imageshack-homepage...

Je kunt ook een oud pc'tje nemen en daar ClarkConnect oid op installeren natuurlijk

[ Voor 42% gewijzigd door Mad Marty op 30-04-2007 16:19 ]

[McMiGHtY]

Netscreen 5 series werken ook leuk

[Zwelgje]

Cisco ASA 5505 of de 5510

de pix501 is al end of life... die moet je niet meer willen

[battler]

@McMighty
Begint van 505,- is aan de hoge kant.

@ Powershell
Cisco ASA 5505 of de 5510
leuk, voor een bedrijf met een groter budget

[alt-92]

Met je budgeteisen in het achterhoofd ga je toch algauw naar 2ehands/refurbished spul toe denk ik.
Pix505, Netscreen 5, die kun je nog wel voor een redelijk bedrag krijgen.

Wil je actieve support kom je toch boven je budget uit. Van SonicWall weet ik dat de AV een jaarlijks subscrition model heeft, dat mag je nog eens bovenop de aanschafprijs tellen.

Jouw keuze

[battler]

Active support is geen must have (had het wel graag gewild).
2e/3e/ of 6 hands is geen probleem.
Maar er zijn toch wel meer mensen die een hardware matige firewall hebben?

[Zwelgje]

battler schreef op maandag 30 april 2007 @ 16:40:
@McMighty
Begint van 505,- is aan de hoge kant.

@ Powershell
Cisco ASA 5505 of de 5510
leuk, voor een bedrijf met een groter budget

....de asa 5505 is voor het bedrijf met het kleine budget..

maar goed jij ben al een paar keer gehacked en je wilt jezelf (en je bedrijf ) beter beveiligen.. prima maar dan ga je niet bezuinigen

[battler]

In de topic titel, staat voor thuis netwerk Ik bezuinig niet, ik budgetteer
Nogmaals, ik ben een 18 jarige student. Die gewoon naar school gaat en ze bij baantje heeft.
Maar die wel afhankelijk is van ze computer (net als zo velen hier op got)
Vandaar dat het budget niet zo hoog is, maar ook is het ontzettende overkill.
Ik woon bij me ouders, waarvan alleen me vader gebruikt maakt van het internet.
Dus 2 personen die internetten. Daarvoor lijkt mij dat alle cisco apparatuur al overkill is.

ps. natuurlijk ben ik hartstikke blij met je input

[ Voor 5% gewijzigd door battler op 30-04-2007 18:39 ]

[Phalox]

Waarom gebruik je niet gewoon een 'huis-tuin-keuken-router' ? dat is voldoende voor jou. op de servers zet je misschien nog een softwarematige firewall.. ik heb er nog geen problemen mee gehad, en ik host websites, ftp server, cs server etc..

[battler]

Ik gebruik op dit moment ook de huis-Tuin en keuken routers, maar deze kunnen niet egt veel.
Zoals de link in de TS aan geeft, wat je precies in kan stellen is het vrij wel niets.
1 van de eisen bv. voor outbound filters, kan niet.

[Zwelgje]

een beetje een cheap ass draytek kan al outbound filters, ik meen dat je zelfs op een speedtouch510 dit al kan doen

welke router heb je

een pix501 kost je rond de 300 euro, en als je goed op marktplaats kijkt kan je hem al voor minder krijgen

de 5505 kost 450 euro (dit is de vervanger van de 501), laat je pa gewoon meebetalen (security kost immers geld) en je bent klaar lijkt me

edit: op marktplaats staat een pix520 voor 200 euro.. das niet duur

[ Voor 55% gewijzigd door Zwelgje op 30-04-2007 20:36 ]

[DukeBox]

McMiGHtY schreef op maandag 30 april 2007 @ 16:28:
Netscreen 5 series werken ook leuk

Idd.. een van de weinigen in dat segment die volledig transparant kunnen werken.
Heb hier evt. nog een 5GT (zgan) liggen mocht je interesse hebben...

[Bl@ckbird]

Je kunt ook kijken naar een 850 of 870 router van Cisco.
( Welke standaard voorzien zijn van een IOS Firewall. )

Een andere optie zijn firewall van NetASQ. Iets goedkoper dan Cisco, maar ik ben bang dat dit ook buiten je budget gaat. Deze firewalls zijn standaard voorzien van URL filtering en er draait Clam AV op.
Met een upgrade heb je een AV engine van Kaspersky.

Je zou ook een Linksys router kunnen voorzien van een aangepaste firmware zoals DD-WRT of OpenWRT. Je hebt dan een SPI firewall.

Of je regelt een zuinige PC met VIA processor en installeert daar een Linux router-distri op.
( Zoals IPCop )

[battler]

Op dit moment kijk ik even naar alle genoemde firewalls en hun prijzen.
Heeft iemand nog ervaring met deze:
D-Link DSD-150 (mijn fav. tot nu toe, maar nog geen prijs).
Van zone alarm (lijkt me ook erg leuk.) http://www.zonealarm.com/...p;ctry=&lang=nl#wired

En zijn er nog dingen waar ik echt op moet letten?

[aZuL2001]

Kijk ook eens naar een Zywall 5 , eventueel voorzien van de UTM card.
Is een oplossing die aan jouw eisen voldoet.
klik

Ook spamfiltering en virusscanning is als subscription verkijgbaar
Alleen wat het budget betreft niet, maar dat ligt aan je te beperkte budget.

En ook een SLA is mogelijk.

[battler]

Ik had die inderdaad gezien, lijkt me een ontzettend mooi apparaat. Hij stond bij V&A maar die persoon heeft nog niet gereageerd.

[aZuL2001]

Er staan er ook nog twee op Marktplaats.

[battler]

Vandaag was weer een mooie dag, veel onderzoek gedaan naar de firewalls.
1 van de dingen waar ik achter ben die ik graag zou willen op me firewall is een
antivirus scanner en anti spyware. Er zijn al veel fabrikanten die dit ondersteunen.
Dlink, zyxel, sonicwall enz. Probleem van sonicwall en zyxell is dat dit allemaal
in een apart pakket zit. En er dus extra kosten aan zijn verbonden (ongeveer 300,- per jaar).
Ik ben nu op me werk maar ik weet dus al dat ik op zoek moet naar een huis-tuin en keuken oplossing met anti virus en anti spyware. Ik moet nog gaan kijken naar de D-link Firewall en de firewall van Zonealarm. De Firewalls van Cisco zijn afgevallen van wege prijs en functie's.

[Zwelgje]

antivirus en antispyware gaat je flink geld kosten. als het voor thuis is kan je dit keihard vergeten.

fortinet heeft ook producten die dat hebben maar ja daar betaal je gewoon voor. zoals ik het zie heb je 2 opties

1) eisenpakket naar beneden afstellen daar je er niet genoeg voor over hebt
2) het budget opkrikken zodat je wel die apparaten kunt betalen

[battler]

Budget verhoogd naar Max. 500,-

[Bor]

Nofi maar ik vind een budget voor een soho firewall van 500 euro echt aan de hoge kant. Zeker wanneer de apparatuur ook nog eens gewoon thuis staat (lees: niet in server ruimte etc). Ik zou zelf ook denken aan een WRT met custom firmware aangevuld met FW-builder. Anti-virusscanner op de firewall zelf is leuk maar zal je imho ook gewoon op de servers moeten hebben (zeker mail server e.a.).

Aan de specs te zien van de Zywall 5 doet dit apparaat eigenlijk niets meer dan een WRT54 met custom firmware maar is wel een stuk duurder. Enige voordeel die ik zo snel zie is de VPN ondersteuning (terminaten op de Zywall zelf).

[ Voor 22% gewijzigd door Bor op 01-05-2007 21:15 ]

[battler]

Ik zou ook niet gaan voor een Zywall 5 maar een Zywall 5 UTM en die is weer een stuk duurder, vandaar dat ik daarvan af zie. Ik zal toch nog even kijken wat die hacked linksys routers allemaal kunnen.

[alt-92]

Ze kunnen aardig wat, mits je een WRT54GL of een WRT54G versie 4 (niet hoger) te pakken hebt.
En dat zal best nog wel eens het probleem kunnen worden.

[Bor]

battler schreef op dinsdag 01 mei 2007 @ 21:32:
Ik zou ook niet gaan voor een Zywall 5 maar een Zywall 5 UTM en die is weer een stuk duurder, vandaar dat ik daarvan af zie. Ik zal toch nog even kijken wat die hacked linksys routers allemaal kunnen.

Het verschil is een acceleration card en een trial voor 3 maand content filtering / screening zoals ik het nu zie? Mag ik vragen wat je thuis allemaal voor servers hebt draaien en wat voor soort content je wilt gaa beschermen dat je 500 euro voor een thuis opstelling wilt uittrekken voor een slot op de voordeur?

[battler]

Servers stellen niets voor, dns, dhcp, vpn, rdp, ad, ftp, web, smb enz..
Alles is voor me zelf, en me studie. Dus wordt geen geld mee verdient ofzo.
(Dit is trouwens ook terug te vinden in de image's van mij ts.)

[Bor]

battler schreef op woensdag 02 mei 2007 @ 00:24:
Servers stellen niets voor, dns, dhcp, vpn, rdp, ad, ftp, web, smb enz..
Alles is voor me zelf, en me studie. Dus wordt geen geld mee verdient ofzo.
(Dit is trouwens ook terug te vinden in de image's van mij ts.)

De images zeggen totaal niets over de waarde van de data die beschermt moet worden en eigenlijk ook niet veel over de omgeving op zich anders dan op logisch niveau. Imho is 500 euro echt WAY overkill als ik naar jouw gegevens kijk. Waarom zo duur gaan? Ik zou zelf kiezen voor een meer budget oplossing en zorgen voor goede backups etc. Hoe breed is de internet pijp eigenlijk precies? Dat vind ik niet direct terug op de tekeningen (wolke inet toevoegen?) of ik kijk er overheen.

[battler]

Daar heb je gelijk in, alles is echt voor thuis gebruik. En merendeel ook voor me zelf.
Het budget is tot 500,- maar goedkoper is natuurlijk altijd beter. Ik heb nu nog een 2tal dingen op het oog.

D-Link Dsd 150
http://www.dlink.com/products/?pid=486
100,-

Safe@Office 500 Wired UTM Appliance
215,-
http://www.zonealarm.com/...arn_zass1&campaign_id=smb

Dit zijn de wat meer huis-tuin-keuken dingen, EN met anti virus software. Maar er is nog weinig over te vinden, ik ben dan ook op zoek naar meer van dit soort producten.

[Sosabowski]

Tsja, voor wat je wilt lijkt mij een softwareoplossing toch echt goedkoper. Kijk bv maar eens naarsmoothwall

[blub84]

smootwall
m0n0wall
pfsense

zijn allemaal software matige oplossingen die voor een thuis netwerk en klein bedrijfs netwerk al ruim voldoende zijn.

eventueel openbsd als brigde firewall

[Bor]

blub84 schreef op woensdag 02 mei 2007 @ 11:02:
smootwall
m0n0wall
pfsense

zijn allemaal software matige oplossingen die voor een thuis netwerk en klein bedrijfs netwerk al ruim voldoende zijn.

eventueel openbsd als brigde firewall

Waarom Hardware matig
Ik heb al 3 Servers dag en nacht aan staan, en een 4e computer aan gooien alleen als firewall is me te veel van het goede. Hardware heb ik genoeg staan, maar puur het stroom gebruik en het herrie is voor mij een reden om af te zien. Ook heb ik het idee dat apparatuur dat er voor gemaakt is, veiliger is dan een Firewall op Linux.

Een extra server toevoegen is geen optie voor de ts.

[Anoniem: 110237]

Bor de Wollef schreef op woensdag 02 mei 2007 @ 11:06:
Een extra server toevoegen is geen optie voor de ts.

Ach dat hoeft toch ook niet. Servervirtualisatie Dan heb je ook nog maar 1 server nodig

[l0n3w012ph]

Voor 279 euro heb ik destijds een Draytek2910VG gekocht. Instelmogelijkheden zijn voor een thuisnetwerk RUIM voldoende. URL-filters, DMZ, SIP, inbound en outbound filters, DDoS-attacks, port forwarding, discard pings from WAN, VPN-tunnels, wireless VPN's, meerdere wireless encryptie-standaarden (WEP, WPA, WPA2, 802.1X), NAT-traversal, VoIP, dual WAN, ... etc etc etc

Eigenlijk al veel te veel van het goede voor een simpel thuisnetwerk als die van mij maar aangezien ik erin geinteresseerd ben, is het gewoon leuk om alles te testen.

Met deze router doe je echt geen miskoop en bespaar je je al die dure speciale firewalls uit. Je krijgt daarvoor een dijk van een router met hardwarematige firewall en echt legio instelmogelijkheden die ook voor jouw thuisnetwerk meer dan voldoende is. Ik heb in ieder geval nog nooit een hackpoging meegemaakt die geslaagd is (al blijf je natuurlijk altijd afhankelijk van je eigen gezonde verstand v.w.b. email-attachments, dubieuze URL's/downloads etc).

Succes met je keuze!

[YscO]

WRAP bordje, m0n0wall erop. Verbruikt bijna niets, maar wel heel stabiel.

Draai ik zelf al bijna een jaartje nu, werkt heerlijk.

[Anoniem: 178981]

Mad Marty schreef op maandag 30 april 2007 @ 16:18:
Je kunt ook een oud pc'tje nemen en daar ClarkConnect oid op installeren natuurlijk

Werkt prima, heb hier ook 100mbit gedeeld door een oud pc'tje met CC, haal makkelijk 8 mb/s.

[aZuL2001]

De prijs die je noemt voor de Safe@office 500 is niet waarvoor je hem in Nederland koopt.
Je noemt de dollar prijs lijkt me.

In Euro zou die 308,28 kosten.

Verder zijn mijn ervaringen er niet zo positief mee.
Op papier leuk, doen hun werk op zich okay, maar korte levensduur, en met name update's laten erg lang op zich wachten.

Ik ben niet voor niets over gestapt naar Zywall


Maar goed, om terug on topic te geraken:

Je zit met bepaalde wensen, die passen niet helemaal in je budget.
Als het puur om een prive situatie gaat, zijn de suggesties wat overkill.
Dan is het leuk speelgoed, maar dat kan dan een bewuste keuze zijn.
En is een software oplossing als bijv Smoothwall toch de moeite van het heroverwegen waard.

Kortom, of je gaat voor een kant en klaar oplossing en legt geld op tafel, of je gaat voor een bijv Smoothwall oplossing en zet een extra machine neer.

[ppl]

Bor de Wollef schreef op dinsdag 01 mei 2007 @ 21:12:
Nofi maar ik vind een budget voor een soho firewall van 500 euro echt aan de hoge kant. Zeker wanneer de apparatuur ook nog eens gewoon thuis staat (lees: niet in server ruimte etc).

Voor de dedicated firewall oplossing die door de topicstarter gezocht wordt is dat een heel normaal budget. Je moet je alleen afvragen of zo'n oplossing voor thuis geen overkill is.

blub84 schreef op woensdag 02 mei 2007 @ 11:02:
smootwall
m0n0wall
pfsense

zijn allemaal software matige oplossingen die voor een thuis netwerk en klein bedrijfs netwerk al ruim voldoende zijn.

eventueel openbsd als brigde firewall

En dat is dus precies wat veruit de meeste dedicated firewall oplossingen (die onterecht door de topic starter en vele andere hardwarematige firewall worden genoemd want het is altijd een samenspel van hardware en software) eigenlijk ook zijn. De basis is iets van Linux, FreeBSD, OpenBSD, etc. op doodnormale embedded hardware zoals dat van Soekris, PC104, Via Epia, etc. Het gaat hem dus hoofdzakelijk om de software die erop zit. Het meest onderscheidene tussen al die apparaten is de managementinterface: het samenvoegen van de diverse unix/linux tools in een handige interface waardoor het instellen een peuleschil zou moeten zijn.

Als je dus zelf een Soekris bordje of Via Epia bordje gebruikt en je zet er iets van pfsens of OpenBSD (met je eigen firewall script) op dan heb je vrijwel hetzelfde alleen wel goedkoper. Je mist de nodige support maar er is al aangegeven dat dat geen must have is. Je hebt altijd wel iets van community support. Groot voordeel van eigen bouw is dat je de beschikking hebt over meer network interfaces dan die dedicated oplossingen die je kunt kopen. En je kunt ze achteraf wijzigen.

[ Voor 4% gewijzigd door ppl op 02-05-2007 22:53 ]