linux dedicated firewall

[KS1987]

Ik heb opgevangen dat de hype tegenwoordig de hardware firewall is, als semi-hippe persoon wil ik de boot niet missen, maar terwijl wil ik ook niet de premium-prijs betalen, dus dacht ik er aan om mijn oude desktop nieuw leven in te blazen door om te bouwen tot een hardware firewall. Dit is vrij onbekend terrein voor me, maar ik wil ook niet zomaar om hulp vragen zonder zelf wat beenwerk gedaan te hebben.

Ik kwam uit dat in principe iedere *nix os kan gebruikt worden om een hardware firewall aan te voeren van openbsd tot debian. Ik kwam zelfs terecht bij de meer gespecialiseerde zaken als dit terecht, maar dingen als "express" in de productnaam doen mij argwaan krijgen. Dus kwam ik even polsen bij mijn mede-tweakers wat zij liefst gebruiken van os om hun hardware firewall aan te voeren. En als men bvb debian gebruikt, of men dan deze ook als een fileserver tergelijkertijd kan gebruiken?

Om deze dan te gebruiken moet ik dan deze computer aan de router leggen, een soort van virtueel netwerk aanmaken en mijn toestellen daarmee laten connecten? Of wat houdt dat precies in?

Laatste vraag, ik zit dan ook met een computer met een hoop zaken die ik niet moet (stroom verbruiken). De dvd drive mag er uit net als de grafische kaart (ik heb er ééntje zitten ingebouwd op het moederbord). Wat kan ik er nog zoal uitgooien die niet noodzakelijk is om mijn hardware firewall te laten werken? (en enkel maar stroom zuipen)

[Verwijderd]

In principe kan je elke Linux distro of Unix variant hiervoor gebruiken. Een zeer mooie firewall die talloze awards heeft gehad is m0n0wall en deze is zeer gemakkelijk te installeren op een compact flash kaartje

http://m0n0.ch/

en

Wikipedia: m0n0wall

[ Voor 14% gewijzigd door Verwijderd op 13-03-2009 20:59 ]

[JackBol]

FYI: dit is nog steeds een software firewall, alhoewel geinstalleerd op een dedicated systeem, word de processing nog steeds door de centrale processor uitgevoerd.

Hardware firewalls onderscheiden zich door de firewalling en IDP in ASICs uit te voeren voor enorm hoge performance (bijv. 1Gbps).

[Verwijderd]

m0n0 is inderdaad een mooi product. Als je echt een dedicated firewall wilt hebben zou ik je hardeschijf eruit halen en deze vervangen voor een CD-Drive. De bedoeling is dat je je distro + config op een CDtje brand en hiervan boot. Dit heeft als voordeel dat een potentiele binnendringer nooit een permanente wijziging kan aanbrengen aan je systeem, je hoeft enkel te rebooten en hij start weer op met een schone lei.

[Osiris]

_DH schreef op vrijdag 13 maart 2009 @ 21:02:
FYI: dit is nog steeds een software firewall, alhoewel geinstalleerd op een dedicated systeem, word de processing nog steeds door de centrale processor uitgevoerd.

Hardware firewalls onderscheiden zich door de firewalling en IDP in ASICs uit te voeren voor enorm hoge performance (bijv. 1Gbps).

Ik gok dat ie idd in de war is en graag een "centrale" firewall wil i.p.v. een softwareproduct op alle losse hosts.

Ik zou de topicstarter aanraden om zijn router (modem/router of echt alleen een router plus bijv. een kabelmodem?) gewoon te vervangen door die PC die hij gaat bouwen. Twee netwerkkaartjes erin, iptables erop en NAT-ten en firewallen maar!

[Boudewijn]

Verwijderd schreef op vrijdag 13 maart 2009 @ 21:04:
m0n0 is inderdaad een mooi product. Als je echt een dedicated firewall wilt hebben zou ik je hardeschijf eruit halen en deze vervangen voor een CD-Drive. De bedoeling is dat je je distro + config op een CDtje brand en hiervan boot. Dit heeft als voordeel dat een potentiele binnendringer nooit een permanente wijziging kan aanbrengen aan je systeem, je hoeft enkel te rebooten en hij start weer op met een schone lei.

En met dezeflde exploit.

[dragunova]

Als je via lpt de logs hebt vastgelegd weet je misschien ook welke exploit dat dan geweest is en kun je die in de volgende config gefixed hebben.

[Nielson]

Verwijderd schreef op vrijdag 13 maart 2009 @ 20:56:
In principe kan je elke Linux distro of Unix variant hiervoor gebruiken. Een zeer mooie firewall die talloze awards heeft gehad is m0n0wall en deze is zeer gemakkelijk te installeren op een compact flash kaartje

http://m0n0.ch/

Of de hiervan afgeleidde pfsense. Maar geef anders eens aan waarom je prcies een 'hardware' firewall wilt, behalve dat het hip is. De gemiddelde soho router geeft ook al een redelijke beveiliging, eventueel kun je ook nog bv een wrt54gl met custom firmware als dd-wrt pakken.

[battler]

Osiris schreef op vrijdag 13 maart 2009 @ 21:04:
[...]
Ik zou de topicstarter aanraden om zijn router (modem/router of echt alleen een router plus bijv. een kabelmodem?) gewoon te vervangen door die PC die hij gaat bouwen. Twee netwerkkaartjes erin, iptables erop en NAT-ten en firewallen maar!

[KS1987]

Het is vooral puur uit interesse, ik heb gewoon een duwtje nodig in de goeie richting en dan kan ik van slag. Bedankt voor alle feedback. Een eigen systeem bouwen van scratch zie ik niet onmiddellijk zitten, omdat ik vooral met oudere hardware zit te spelen. Graag wat meer uitleg bij:

bv een wrt54gl met custom firmware als dd-wrt pakken.

[leuk_he]

LAten we het een dedicated firewall machine noemen. hardware firewall gaat ergens anders over.

[Nielson]

KS1987 schreef op vrijdag 13 maart 2009 @ 22:40:
Graag wat meer uitleg bij:

[...]

Linksys WRT54GL, een router waar je door de vrij ruime spes makkelijk een custom linux distro op kunt draaien, zoals bijvoorbeeld Tomato, DD-WRT, OpenWRT enz. Deze zijn erg uitgebreid, flexibel en van nog meer functies te voorzien mbv extra packages.

[Boudewijn]

KS1987 schreef op vrijdag 13 maart 2009 @ 22:40:
Het is vooral puur uit interesse, ik heb gewoon een duwtje nodig in de goeie richting en dan kan ik van slag. Bedankt voor alle feedback. Een eigen systeem bouwen van scratch zie ik niet onmiddellijk zitten, omdat ik vooral met oudere hardware zit te spelen. Graag wat meer uitleg bij:

[...]

Maarruh als je dat al niet hebt gevonden, hoe wil je dan ooit een degelijke (secure) firewall bouwen? Die kennis moet je ook opzoeken \ vergaren.


Een WRT54G of Soekris, of desnoods atom bordje is prima voor dit soort doeleinden (de laatste wat overkill, maar wel leuker voor andere dingen evt).

[battler]

KS1987 schreef op vrijdag 13 maart 2009 @ 22:40:
Het is vooral puur uit interesse, ik heb gewoon een duwtje nodig in de goeie richting en dan kan ik van slag. Bedankt voor alle feedback. Een eigen systeem bouwen van scratch zie ik niet onmiddellijk zitten, omdat ik vooral met oudere hardware zit te spelen. Graag wat meer uitleg bij:
[...]

Oude hardware is hier perfect voor. Wat voor specs heb je? Misschien dat je hier toch iets mee kunt.

[Boudewijn]

battler schreef op zaterdag 14 maart 2009 @ 11:53:
[...]


Oude hardware is hier perfect voor. Wat voor specs heb je? Misschien dat je hier toch iets mee kunt.

Oude hardware verbruikt wel vrij veel stroom, mischien is het handiger om een atom oid te pakken hiervoor.
Dat is wel alleen relevant bij een 24/7 opstelling; als hij eens een keertje voor een test aangaat is die onzuinige p2 genoeg.