Cisco PIX of een IOS firewall ?

[mr_a]

Ik ben bezig met een onderzoek naar een verbeterde firewall structuur voor een redelijk klein bedrijf (40 mensen op kantoor, plm 100 on the road)

Daarbij kunnen we kiezen tussen een Cisco PIX firewall of een Cisco router icm het Cisco IOS firewall feature pack.

Cisco PIX is een dedicated firewall. Daarom is hij high performance, 64000 simultaneous connections enz. enz. en daarom misschien een logische aankoop.
Maar als je features voor feature kijkt dan kan je net zo goed een router nemen met het IOS firewall feature pack, althans daar lijkt het op.

Wie weet nou een echt goede reden om de PIX te nemen? Een soort van killer feature die je eigenlijk nodig hebt als je security belangrijk vindt en die de PIX alleen goed heeft? Dank...

[Verwijderd]

kijk hier eens. Zelf weet ik er niet extreem veel van maar sans lijkt mij een betrouwbare bron.

[Pjotrik]

Met firewall pakket lijkt me voldoende? Tenminste voor gewoon internetverkeer bij ons wel, hij blokt netjes alle poorten af.

[mr_a]

Die SANS reading room website is een interessante pagina, thx CBravo!

Pjotrik, we willen een hardware oplossing waarbinnen we gaan kiezen tussen deze twee mogelijkheden van Cisco. Een software firewall werkt dikwijls op de applicatielaag in het OSI model waardoor de veiligheid minder is dan bij een stateful connection oriented layer 2 of layer 3 hardware firewall zoals Cisco die levert. Op zich doen we het niet voor de performance oid, alhoewel die natuurlijk een stuk hoger ligt bij deze hardware oplossingen. De Cisco PIX kan in zijn meest eenvoudige configuratie maar liefst 64000 gelijktijdige connecties aan, redelijk wreed

[Pjotrik]

Op dinsdag 10 juli 2001 14:32 schreef mr_a het volgende:
Die SANS reading room website is een interessante pagina, thx CBravo!

Pjotrik, we willen een hardware oplossing waarbinnen we gaan kiezen tussen deze twee mogelijkheden van Cisco. Een software firewall werkt dikwijls op de applicatielaag in het OSI model waardoor de veiligheid minder is dan bij een stateful connection oriented layer 2 of layer 3 hardware firewall zoals Cisco die levert. Op zich doen we het niet voor de performance oid, alhoewel die natuurlijk een stuk hoger ligt bij deze hardware oplossingen. De Cisco PIX kan in zijn meest eenvoudige configuratie maar liefst 64000 gelijktijdige connecties aan, redelijk wreed

Tja, als jij voor +-140 man een kastje koopt die 64000 verbindingen aankan, be my guest? Als het een redelijk klein bedrijf is, hebben ze waarschijnlijk ook een kleine beurs, en lijkt me de router met feature pack zeker voldoende voor het geld. En qua veiligheid kan je het natuurlijk net zo gek maken als je wil!

[mr_a]

Ik ben er inmiddels ook wel uit wat die "killer feature" van de PIX nou eigenlijk is en dat moet je inderdaad zo zien dat de IOS firewall toch redelijk makkelijk aan een soort performance plafond komt. Dat hangt natuurlijk helemaal af van het model router waar de fw op draait maar bij een 2500, die toch niet echt goedkoop is, schijnt dat plafond bereikt te worden bij 256-512 kilobit indien men redelijk veel ACL's heeft of werkt met VPN's.

Daarnaast is de PIX erg snel ook bij het gebruik van veel geconfigureerde interfaces.

Dus als we het kunnen betalen wordt het de PIX

Ter info: de simpelste is de PIX 506 die ongeveer f 5000 ex BTW kost maar niet uitbreidbaar is (en heeft slechts 2 NIC's).

De eerste uitbreidbare is f 15000. Daarnaast is het ten zeerste aan te bevelen het support contract erbij te nemen wat f 1000 of f 15000 per jaar is op basis van 5x8x next biz day response.

Anyway, interessant, kan ik nog lang over doorpraten, dank voor de reacties...