Firewall / VPN appliance

[Keiichi]

Ik ben op zoek naar een hardware oplossing voor een firewall en voor VPN/SSL VPN/Ipsec toegang. Er is redelijk wat op de markt, maar het is moeilijk om iets te vinden wat exact aan mijn eisen voldoet.

Een kleine lijst:
- Elke VPN verbinding moet in een apart VLAN gezet kunnen worden.
- Het apparaat moet kunnen NAT'en (kunnen ze allemaal wel)
- Het apparaat moeten toegangen tussen verschillende VLAN's kunnen bepalen. Sommige VLAN's mogen bv wel direct met elkaar 'communiceren', sommige mogen alleen op bepaalde poorten of IP adressen communiceren.

Dit zijn wel de punten waarbij ik het ondervind dat wat problematischer zou kunnen zijn.
Het Budget wat er voor staat is < 1000 euro.
Ik heb bij diverse fabrikanten gekeken waaronder: Juniper, Cisco, Zyxel en SonicWALL. Apparaten die het dichts bij mijn eisen zitten, overschreiden het budget zeer ruimschoots.

Weet iemand wellicht nog meer fabrikanten of types welke zouden voldoen aan mijn eisen?

[Asteroid9]

Volgens mij kom je met een Juniper SSG5 of SSG20 al een heel eind, en die liggen uit m'n hoofd gezegd wel binnen je budget.

[DGTL_Magician]

Met een Cisco ASA 5505 of 5510 zou je dit kunnen regelen. Zit een beetje rond je budget. Ligt eraan welke features je zou willen afnemen.

[Verwijderd]

Asteroid9 schreef op woensdag 19 maart 2008 @ 12:24:
Volgens mij kom je met een Juniper SSG5 of SSG20 al een heel eind, en die liggen uit m'n hoofd gezegd wel binnen je budget.

De Juniper SSG lijn heeft geen ingebouwde SSL-VPN mogelijkheden, dus deze voldoet niet aan je eis. Fortinet met Fortigate heeft dit wel, en zoals hierboven staat de ASA lijn van Cisco.

Je VLAN eis begrijp ik niet helemaal, moet elke SSL-VPN gebruiker in een eigen VLAN terecht komen? Of wil je een soort DMZ voor VPN gebruikers maken?

[ Voor 15% gewijzigd door Verwijderd op 19-03-2008 13:44 ]

[Keiichi]

Verwijderd schreef op woensdag 19 maart 2008 @ 13:39:
[...]
De Juniper SSG lijn heeft geen ingebouwde SSL-VPN mogelijkheden, dus deze voldoet niet aan je eis. Fortinet met Fortigate heeft dit wel, en zoals hierboven staat de ASA lijn van Cisco.
[...]
Je VLAN eis begrijp ik niet helemaal, moet elke SSL-VPN gebruiker in een eigen VLAN terecht komen? Of wil je een soort DMZ voor VPN gebruikers maken?

We hebben een VLAN voor privileged workstations. Deze zelfde gebruikers moeten ook van buiten verbinden, dus het logischt is het dat deze ook in dit VLAN terecht komen. Er is ook een VLAN voor minder-privileged workstations en zitten in een ander VLAN. (Het netwerk was ooit zo opgezet dat een bepaalde server wel in het privileged VLAN zit, maar niet in het minder-privileged VLAN). Een connectie van buitenaf moet zich bij een bestaand VLAN voegen aan de hand van wie verbind.

[Bl@ckbird]

Met de ASA kun je verschillende tunnelgroups maken voor verschillende typen gebruikers.
Voor de authenticatie kun je een lokale database gebruiken, of dit koppelen aan bijvoorbeeld RADIUS server of Active Directory.

Optie 1 is dat je een SSL/WebVPN VPN portal bouwt voor je gebruikers.
SSL VPN via de Anyconnect client is de andere mogelijkheid.

Meer voorbeelden staan hier.

[ChaserBoZ_]

Verwijderd schreef op woensdag 19 maart 2008 @ 13:39:
[...]


De Juniper SSG lijn heeft geen ingebouwde SSL-VPN mogelijkheden, dus deze voldoet niet aan je eis. Fortinet met Fortigate heeft dit wel, en zoals hierboven staat de ASA lijn van Cisco.

Je VLAN eis begrijp ik niet helemaal, moet elke SSL-VPN gebruiker in een eigen VLAN terecht komen? Of wil je een soort DMZ voor VPN gebruikers maken?

Fortigate kan dat idd, en met SSL VPN

Misschien dat je met de Fortigate virtual domains wat zou kunnen scheiden.

[Verwijderd]

Ik denk toch dat de ASA hier het ideale apparaat is, hoeveel throughput heb je nodig? Hoeveel SSL-VPN gebruikers ga je krijgen? Het basis model ASA5505 biedt wel functionaliteit maar is beperkt op de licentie. Als je naar een groter model moet, of extra SSL-VPN gebruikers wilt toevoegen, gaat de prijs hard omhoog.