Welke firewall voor prof. netwerk

[Verwijderd]

Zit er aan te twijfelen om een hardware firewall aan te schaffen voor een server parkje(8 servers).

1. Nu is het toch zo dat achter een firewall altijd een prive netwerk zit? Of niet?

2. Welke merken zijn er(heb al synmatec,cisco en 3com gevonden)?

3. Welke kunnen jullie me aan raden? Ik wil niet TE maar ook weer niet te weinig "capaciteit" en het moet natuurlijk goede kwaliteit zijn. Graag bij advies ook een geschate kostprijs a.u.b.

[JackBol]

Eerst eens duidelijk zijn voor wat voor omgeving. (hoeveel clients?)

je hebt ze voor alles...


vanaf zonealarm (Home) en smoothwall(SOHO) tot Firewall-1(Large Company) en cisco PIX(Large Company).

[killah]

vxaguard 3000 euro incl hardware

[d-motion]

Op zondag 05 mei 2002 23:53 schreef worldpunch het volgende:
Zit er aan te twijfelen om een hardware firewall aan te schaffen voor een server parkje(8 servers).

1. Nu is het toch zo dat achter een firewall altijd een prive netwerk zit? Of niet?

2. Welke merken zijn er(heb al synmatec,cisco en 3com gevonden)?

3. Welke kunnen jullie me aan raden? Ik wil niet TE maar ook weer niet te weinig "capaciteit" en het moet natuurlijk goede kwaliteit zijn. Graag bij advies ook een geschate kostprijs a.u.b.

1. De firewall zit voor je prive netwerk.
2. Een hele hoop maar Firewall-1 is wel lekker professioneel!
3. Laat je goed voorlichten en ga niet voor een te goedkoop product!

Linux is ook een goede oplossing maar moet je wel wat vanaf weten! Maar er zijn genoeg Linux Goeroes! En Linux oplossing zal wel heel veel goedkoper zijn dan bijvoorbeeld Firewall-1 of Cisco-Pix!

[Verwijderd]

Op zondag 05 mei 2002 23:53 schreef worldpunch het volgende:
Zit er aan te twijfelen om een hardware firewall aan te schaffen voor een server parkje(8 servers).

Zakelijk / prive
VPN's nodig
Aantal users
Throughput

1. Nu is het toch zo dat achter een firewall altijd een prive netwerk zit? Of niet?

Nee, dat hoeft niet!

2. Welke merken zijn er(heb al synmatec,cisco en 3com gevonden)?

WatchGuard

3. Welke kunnen jullie me aan raden? Ik wil niet TE maar ook weer niet te weinig "capaciteit" en het moet natuurlijk goede kwaliteit zijn. Graag bij advies ook een geschate kostprijs a.u.b.

Afhankelijk van de functionaliteit en capaciteit....
Prijzen va. € 540,- oplopend tot € 12.000,- (ex. BTW)

[Verwijderd]

Het dus om een stuk of 8 web servers die in amsterdam staan.

Nu heb ik liever geen linux omdat de firewall gewoon simpel moet blijven en makkelijk te configureren zonder dat ik op een heel besturingsysteem moet letten.

Ik heb waarschijnlijk geen of weinig VPN's nodig en ik trek nu ongeveer 5 Mbit bandbreedte dus het liefst zou ik een 100 Mbit Firewall willen hebben.

Ik zal ff naar jullie tips kijken.

[reclamedoos]

Op maandag 06 mei 2002 09:57 schreef worldpunch het volgende:
Het dus om een stuk of 8 web servers die in amsterdam staan.

Nu heb ik liever geen linux omdat de firewall gewoon simpel moet blijven en makkelijk te configureren zonder dat ik op een heel besturingsysteem moet letten.

Ik heb waarschijnlijk geen of weinig VPN's nodig en ik trek nu ongeveer 5 Mbit bandbreedte dus het liefst zou ik een 100 Mbit Firewall willen hebben.

Ik zal ff naar jullie tips kijken.

Wat wil je? Eeen goede firewall, of een simpele? Volgens mij gaan die dingen niet helemaal goed samen.

[Verwijderd]

Wachtguard(2500) lijkt mij oke, iemand hier nog specifieke ervaringen mee?

Alleen wat prijzig....ik zie liever iets van 0-5000 euro.

[Verwijderd]

3Com verkoopt ook firewalls..hebben zij geen passende oplossing??

[Remco]

isa server ?

[Verwijderd]

Op dinsdag 07 mei 2002 09:25 schreef Remc0 het volgende:
isa server ?

En dat is>?

[Dennism]

ik zou gewoon een pix nemen....

[kieskes]

heeft checkpoint geen hardware firewalls

[Zwelgje]

Op dinsdag 07 mei 2002 09:29 schreef worldpunch het volgende:

[..]

En dat is>?

Microsofts huiseigen Firewall/proxy server (is wel software overigens)

www.microsoft.com/isa of www.isaserver.org voor meer info

[reclamedoos]

Op dinsdag 07 mei 2002 11:23 schreef zwelgje het volgende:Microsofts huiseigen Firewall/proxy server (is wel software overigens)

En hij gaf al aan geen software firewall te willen

Maar voor 5000 euro maak ik wel een moie software firewall voor hem alsie wil hoor. No problemo

[pjottum]

Op dinsdag 07 mei 2002 10:37 schreef kieskes het volgende:
heeft checkpoint geen hardware firewalls

Jewel hoor, je kan ze kopen bij nokia. Zie ook www.qi.nl.
Alleen, die doosjes beginnen niet voor de 20k-euro.

Voor die goedkope oplossingen zal je niks vinden wat aan je eisen voldoet, een cisco pix is immers ook niet gratis.

Ja, wat wil je, voor een appel en een ei op de eerste rang zitten? Kies voor een linux oplossing, laat dit neerzetten door een bedrijf met verstand van zaken en je bent misschien onder de 5000 euro klaar. Zoek hiervoor eens bij google of mail eens met [e-mail].

Wil je echt op de eerste rang zitten, kijk eens naar een fw-1 of naar een pix. Veel bedrijven hebben beide achter elkaar staan.

[Verwijderd]

http://www.netscreen.com/ <- De netscreen 10 was een hele leuke alleen niet meer leverbaar, hiervoor is de 25 gekomen welke een stuk duurder is geworden maar voordeel is wel dat hier een 100Mbit poort opzit ipv een 10.

The NetScreen-25 offer a complete security solution for small- and medium-sized companies and enterprise branch offices. Featuring four auto sensing 10/100 Base-T Ethernet ports (Trust, Untrust, DMZ, and one reserved for future use), the NetScreen-25 is a high performance security appliance, offering 100 Mbps of firewall and 20 Mbps of 3DES VPN, protecting the LAN as well as public servers such as mail, web, or FTP.

[Whizzer]

Checkpoint FW-1 vind ik een heel erg mooi product, werk er zelf dagelijks mee... Ik zie inmiddels dat ook de Pix van Cisco qua policy-editor stevig op die van de Checkpoint begint te lijken, maar welke van deze 2 je ook kiest, ze kosten gewoon vet knaken.. Maarja, kwaliteit kost nog steeds geld..

VPN Dynamics heeft hele leuke boxjes en in principe is dit niet meer dan een gestripte RedHat 7.0 met Checkpoint FW-1 NG.. Eigenlijk zijn ze bedoeld om VPN's te bouwen, maar je kunt ze vast wel een beetje aanpassen..

Die Nokia's zijn leuk, maar kosten veeeeeeel meer knaken en ik moet zeggen dat ik ze nog tegen vind vallen ook... Niet alleen Q&I levert trouwens die Nokia appliance boxen, ik weet ook nog wel een adresje...

Voor een dubbeltje zit je niet op de eerste rang, gebeurd niet... Je kunt wel een Linux doos neerzetten, maar hier geldt ook "Linux is only free when your time doesn't cost anything" ofzoiets.

[tiguan]

FW-1 kost een godsvermogen, je moet er tenslotte ook nog hardware voor aanschaffen, en ik zou het niet op NT of 2000 gaan draaien. Liefst Solaris, of een Nokia. Nou dan mag je flink investeren.

Een Cisco PIX daarentegen is best betaalbaar. Een PIX515 is een mooie om te beginnen. Heeft standaard een licentie voor 3 netwerkpoorten van 100MBit (max 6) en dit beestje is de eerste rack-mountable uit de serie. Standaard zitten er 2 netwerkpoorten in, de rest kun je uitbreiden d.m.v. PCI netwerkkaarten. Ik weet niet zeker of je die per se van Cisco moet kopen, want toen wij er 1 kochten was het gewoon een standaard Intel PRO/100+. Hij kost zo ongeveer € 3000 ~ 4000. Ik denk dat dit de goedkoopste firewall is die ook goed is.

Hij is ook heel gemakkelijk in het beheer met PIX Device Manager (een webinterface over 56-bit SSL). Is niet echt veilig opzich, maar als je een hogere crypto wil moet je daar ook een licentie voor kopen.

[reclamedoos]

Op dinsdag 07 mei 2002 20:18 schreef pjottum het volgende:
Ja, wat wil je, voor een appel en een ei op de eerste rang zitten? Kies voor een linux oplossing, laat dit neerzetten door een bedrijf met verstand van zaken en je bent misschien onder de 5000 euro klaar. Zoek hiervoor eens bij google of mail eens met [e-mail].

Wil je echt op de eerste rang zitten, kijk eens naar een fw-1 of naar een pix. Veel bedrijven hebben beide achter elkaar staan.

Ik heb voor mn afstudeeropdracht (o.a.) een hele mooie software-firewall geinstalleerd/gemaakt. Ik heb totaal geen ervaring met hardwarematige, maar ik kan me niet voorstellen dat die beter zouden zijn. De firewall die ik heb gemaakt is een Compaq Proliant DL360 met daarop FreeBSD. De netwerkinterfaces hebben geen IP-adressen en dus is de machine in principe niet te hacken (zeg nooit nooit). Het is superdynamisch en kan ten alle tijden worden ge-update (effe nieuwe FreeBSD downloaden en klaar is kees). Daarvoor ben je bij hardwarematige afhankelijk van de fabrikant.
De firewall is voor minder als 5000 euro te realiseren. Wat zou dan nog een argument kunnen zijn om de hardwarematige te verkiezen boven een softwarematige?

[tiguan]

Op dinsdag 07 mei 2002 23:13 schreef reclamedoos het volgende:
Wat zou dan nog een argument kunnen zijn om de hardwarematige te verkiezen boven een softwarematige?

Garantie en support.

[reclamedoos]

Op dinsdag 07 mei 2002 23:17 schreef Wannapuf het volgende:
[..]

Garantie en support.

Kan ik je geen ongelijk in geven. Maar.....

Garantie heb ik niet nodig, die zit immers op de Proliant van Compaq.
Support kan je kopen, en dan nog ben je goedkoper uit als je een hardwarematige firewall.

Maar dat is maar net hoe je over bepaalde zaken denkt, en waar de prioriteiten liggen.

[tiguan]

reclamedoos > Hoe beheer je nou die software firewall? En hoe zit dat met netwerkkaarten zonder IP adressen? Er komt dus geen NAT aan te pas neem ik aan?

[reclamedoos]

Op dinsdag 07 mei 2002 23:25 schreef Wannapuf het volgende:
reclamedoos > Hoe beheer je nou die software firewall?

Via een trucje (zou heel goed kunnen dat je een slim argument tegen dit trucje hebt, maar dat hoor ik dan wel (graag)). Er zitten standaard 2 NIC's in de DL360. Die zijn dus voor de firewalling (1 inside, 1 outside). Maar er zit ook een seriele poort op. Hier zit een nullmodem aan die ik aangesloten heb op een machine die achter de firewall ligt. De firewall zorgt er voor dat alleen ik de toegang tot die machine heb. Over die nullmodem (deze heeft dus wel IP-nummertjes) gaat een (niet permanente) IP over PPP verbinding. Zodoende kan ik dus met SSH inloggen op mn firewall.

En hoe zit dat met netwerkkaarten zonder IP adressen? Er komt dus geen NAT aan te pas neem ik aan?

Nope, er gebeurd niets van dat alles. De firewall laat ARP-requests door dus de switch die voor de firewall zit denkt dat er meerdere machines achter die ene poort hangen. De machines die achter de firewall zitten hebben allemaal rechtstreeks benaderbare IP-nummertjes. Ik zal morgen op het werk eens kijken of ik een plaatje heb om het een en ander te verduidelijken.

Maar ik kan je vertellen: het werkt perfecto!!!

[tiguan]

Op dinsdag 07 mei 2002 23:35 schreef reclamedoos het volgende:
Over die nullmodem (deze heeft dus wel IP-nummertjes) gaat een (niet permanente) IP over PPP verbinding. Zodoende kan ik dus met SSH inloggen op mn firewall.

Klinkt allemaal heel goed en super veilig. Maar dat nullmodem / ppp linkje lijkt me wel wat ingewikkeld. En ik begrijp dat je het beheer dus ook via de shell doet.
Ik ben niet zo'n expert op Linux gebied, eigenlijk zelfs wel een noob. Voor mij zou het geen optie zijn.

[Verwijderd]

Punt 1:

Netscreen 25 of 50 lijkt mij heel aardig.

Ook de cisco 515 heeft mijn aandacht getrokken.

Trouwens je kan wel een linux of freebsd router nemen maar daar is toch alles ingewikkelder dan een goede hardware router.

Nu kan ik zelf goed met linux omgaan maar zo'n router moet gewoon 100% uptime hebben en dan ga je niet voor een linux router. Nog een voordeel van de hardware firewall is dat hij meestal goede(special uitgezochte) hardware heeft voor het routeren en het "redelijk" simpel is.

Bij *nux routers is dit wel anders omdat er ook nog een heel besturingssysteem achter zit, natuurlijk bij de hardware firewall ook maar daar heb je eigenlijk niets mee te maken.

Trouwens nog 1 vraag, het verschil tussen een prive netwerk achter een router en een DMZ is toch niet zo groot? Eigenlijk toch hetzelfde of niet?

[reclamedoos]

Op dinsdag 07 mei 2002 23:51 schreef Wannapuf het volgende:

[..]

Klinkt allemaal heel goed en super veilig. Maar dat nullmodem / ppp linkje lijkt me wel wat ingewikkeld. En ik begrijp dat je het beheer dus ook via de shell doet.
Ik ben niet zo'n expert op Linux gebied, eigenlijk zelfs wel een noob. Voor mij zou het geen optie zijn.

Het enige nadeel is inderdaad dat je er wat verstand van Linux/FreeBSD moet hebben.

Die PPP is redelijk simpel hoor. Aan de kant van de firewall heeft de nullmodem/seriele poort/PPP een 192.168.1.2 IP en aan de andere kant (in dit geval een linux-doos) is het IP 192.168.1.1.

Als ik mn firewall wil aanpassen dan log ik dus (met SSH) in op de linux-doos achter de firewall. Die heeft een gewoon IP die over internet gerouteerd word. Op die linux-doos SSH ik weer naar 192.168.1.2 en dan zit ik dus op de firewall

[reclamedoos]

Op woensdag 08 mei 2002 00:28 schreef worldpunch het volgende:
Punt 1:

Netscreen 25 of 50 lijkt mij heel aardig.

Ook de cisco 515 heeft mijn aandacht getrokken.

Trouwens je kan wel een linux of freebsd router nemen maar daar is toch alles ingewikkelder dan een goede hardware router.

Nu kan ik zelf goed met linux omgaan maar zo'n router moet gewoon 100% uptime hebben en dan ga je niet voor een linux router. Nog een voordeel van de hardware firewall is dat hij meestal goede(special uitgezochte) hardware heeft voor het routeren en het "redelijk" simpel is.

Bij *nux routers is dit wel anders omdat er ook nog een heel besturingssysteem achter zit, natuurlijk bij de hardware firewall ook maar daar heb je eigenlijk niets mee te maken.

HAHA(oeps sorry kon mn lachen niet inhouden, niet beledigend bedoeld)

Op een hardwarefirewall draait ook wel een OS hoor . En ik weet ieder geval van IOS (internet operating system) van Cisco dat het gebaseerd is op ,jawel, BSD (ik weet zo niet welke). Ik weet alleen niet waar Cisco dat allemaal toepast. In mn Cisco catalyst 2950 zit het ieder geval wel in.

[Zwelgje]

Op dinsdag 07 mei 2002 15:04 schreef reclamedoos het volgende:

[..]

En hij gaf al aan geen software firewall te willen

Maar voor 5000 euro maak ik wel een moie software firewall voor hem alsie wil hoor. No problemo

was ook niet mijn idee, maar iemand anders opperde ISA server, ik vertel alleen maar even wat het voor een product is..

[Verwijderd]

Op woensdag 08 mei 2002 09:21 schreef reclamedoos het volgende:

[..]

HAHA(oeps sorry kon mn lachen niet inhouden, niet beledigend bedoeld)

Op een hardwarefirewall draait ook wel een OS hoor . En ik weet ieder geval van IOS (internet operating system) van Cisco dat het gebaseerd is op ,jawel, BSD (ik weet zo niet welke). Ik weet alleen niet waar Cisco dat allemaal toepast. In mn Cisco catalyst 2950 zit het ieder geval wel in.

Ik zei toch ook dat er een OS op draaide alleen is die al volledig geconfigureerd en beveiligd voor de firewall.

[pjottum]

Op dinsdag 07 mei 2002 23:21 schreef reclamedoos het volgende:

[..]

Kan ik je geen ongelijk in geven. Maar.....
Garantie heb ik niet nodig, die zit immers op de Proliant van Compaq. Support kan je kopen, en dan nog ben je goedkoper uit als je een hardwarematige firewall.
Maar dat is maar net hoe je over bepaalde zaken denkt, en waar de prioriteiten liggen.

Kan je dan ook garantie en support kopen op het produkt firewall wat je hebt staan? Je hardware kan stuk gaan, maar hoe snel heb jij een nieuwe firewall van de grond af opnieuw opgebouwt?

tweede punt wat ik net las is natuurlijk het feit dat men het over een hardwarefirewall heeft - dat kan eigenlijk niet, want een pix/fw-1 is ook gewoon software.

Dat is aan fw-1 ook zo duur: de software. Vaak zit er op een appliance gewoon een gestripte BSDi, waarop dan de fw-1 software gezet is.

[reclamedoos]

Op woensdag 08 mei 2002 09:58 schreef pjottum het volgende:
Kan je dan ook garantie en support kopen op het produkt firewall wat je hebt staan? Je hardware kan stuk gaan, maar hoe snel heb jij een nieuwe firewall van de grond af opnieuw opgebouwt?

Als ik een backup heb van de firewallregels dan kan ik hem binnen 4 a 5 uurtjes wel weer up and running hebben (mits de hardware goed is)

Maar ik begrijp wel waar je heen wilt. Je wilt gewoon gegarandeerde snelle professionele support.

[OMX2000]

Ik zou zelf voor een Linux versie kiezen... FreeBSD staat op de 2e plaats, en dan eventueel een commerciele firewall...

Ik vind dat een firewall hooguit 1 keer per maand geupdate hoeft te worden. Het loont meer om 3 dagen in Linux/FreeBSD te steken. En te leren om poortjes/ip-ranges open en dicht te zetten dan, om een complete Checkpoint firewall te kopen. Die dingen zijn gruwelijk duur, een support contract kost je ook geld. En het fijne is dat de licentie ip-gebonden is... Dus mocht je ooit "verhuizen" dan mag je een nieuwe licentie kopen...
Pix firewalls van Cisco zijn ook heel goed maar kosten alweer handen vol met geld...

[reclamedoos]

Op woensdag 08 mei 2002 10:39 schreef OMX2000 het volgende:
Ik zou zelf voor een Linux versie kiezen... FreeBSD staat op de 2e plaats, en dan eventueel een commerciele firewall...

Ik vind dat een firewall hooguit 1 keer per maand geupdate hoeft te worden. Het loont meer om 3 dagen in Linux/FreeBSD te steken. En te leren om poortjes/ip-ranges open en dicht te zetten dan, om een complete Checkpoint firewall te kopen. Die dingen zijn gruwelijk duur, een support contract kost je ook geld. En het fijne is dat de licentie ip-gebonden is... Dus mocht je ooit "verhuizen" dan mag je een nieuwe licentie kopen...
Pix firewalls van Cisco zijn ook heel goed maar kosten alweer handen vol met geld...

Op zich ben ik het me je eens. Behalve met het feit om Linux boven FreeBSD te verkiezen.
Redenen:
- Linux staat standaard net zo open als Windows
- Van FreeBSD zijn alle regels code gecontroleerd op fouten en beveiligingslekken
- FreeBSD kost niet meer tijd om te leren als Linux
- FreeBSD is bedoeld voor professioneel gebruik, de gemiddelde Linux-distributie voor particulier gebruik

[OMX2000]

Op woensdag 08 mei 2002 10:44 schreef reclamedoos het volgende:

[..]

Op zich ben ik het me je eens. Behalve met het feit om Linux boven FreeBSD te verkiezen.
Redenen:
- Linux staat standaard net zo open als Windows
- Van FreeBSD zijn alle regels code gecontroleerd op fouten en beveiligingslekken
- FreeBSD kost niet meer tijd om te leren als Linux
- FreeBSD is bedoeld voor professioneel gebruik, de gemiddelde Linux-distributie voor particulier gebruik

Er is een verschil tussen FreeBSD en Linux... Linux is alleen de kernel... Er zijn duizend en een distributies... En er zijn ook zeer veilige distributies... Waarom verkies ik Linux boven FreeBSD omdat IP-tables beter is dan IP-fw... IP-fw is weer beter dan IPChains...

De topicstarter wilde een simpele firewall, met support hebben... Ik zou smoothwaal : http://www.smoothwall.org/community/home/ dan aanraden. Wil hij wat meer tijd erin steken en het gevoel hebben dat je totale controle hebt, neem dan FreeBSD of Linux (en ik neig naar Linux)...

[Verwijderd]

OpenBSD?

Checkpoint?

[JackBol]

Op woensdag 08 mei 2002 00:28 schreef worldpunch het volgende:
Bij *nux routers is dit wel anders omdat er ook nog een heel besturingssysteem achter zit, natuurlijk bij de hardware firewall ook maar daar heb je eigenlijk niets mee te maken.

Op een hardware firewall zit net zo goed een OS.

het verschil is dat bij een software firewall je CPU alles doet. Een hardware firewall heeft een CPU die speciale ASIC's aanstuurt die erop gemaakt zijn om firewall te 'spelen'...

[pjottum]

Op woensdag 08 mei 2002 10:39 schreef OMX2000 het volgende:
Ik zou zelf voor een Linux versie kiezen... FreeBSD staat op de 2e plaats, en dan eventueel een commerciele firewall...

Ik vind dat een firewall hooguit 1 keer per maand geupdate hoeft te worden. Het loont meer om 3 dagen in Linux/FreeBSD te steken. En te leren om poortjes/ip-ranges open en dicht te zetten dan, om een complete Checkpoint firewall te kopen. Die dingen zijn gruwelijk duur, een support contract kost je ook geld. En het fijne is dat de licentie ip-gebonden is... Dus mocht je ooit "verhuizen" dan mag je een nieuwe licentie kopen...
Pix firewalls van Cisco zijn ook heel goed maar kosten alweer handen vol met geld...

Dus, jij onder de trein, je documentatie was nog niet helemaal op orde en iemand heeft een fatsoenlijke hoeveelheid basiskennis linux nodig om even snel uit te zoeken wat je nou precies gebakken hebt... kan je beter een paar mensen op cursus sturen, voor het zover is. En die cursus blijft gegeven worden, ook al loop jij of de collega die je geinstrueerd hebt onder de trein/tram etc.

De licentie is inderdaad ip gebonden, maar je krijgt een nieuwe als je verhuist van ipnummer.

[Whizzer]

Op woensdag 08 mei 2002 10:39 schreef OMX2000 het volgende:
Ik vind dat een firewall hooguit 1 keer per maand geupdate hoeft te worden.

Why fix if it ain't broken???

Dus met andere woorden, als er geen critical updates zijn, dan doe je er niets aan... Een fix introduceert ook regelmatig een nieuwe bug...

... dan, om een complete Checkpoint firewall te kopen. Die dingen zijn gruwelijk duur, een support contract kost je ook geld.

Klopt, mee eens, maarja, kwaliteit kost gewoon geld en grote bedrijven (zoals wij) zullen niet 5000 man via een linux doos met iptables naar buiten schoppen..

En het fijne is dat de licentie ip-gebonden is... Dus mocht je ooit "verhuizen" dan mag je een nieuwe licentie kopen...

Niet waar, je kunt op ip-nummer altijd nog een 'move-license' doen, voor nop, echter kun je je license, in ieder geval voor Solaris, ook baseren op je hostid van de machine.. En die is bij Solaris ook makkelijk te wijzigen

[Verwijderd]

Op woensdag 08 mei 2002 10:57 schreef OMX2000 het volgende:

[..]

Er is een verschil tussen FreeBSD en Linux... Linux is alleen de kernel... Er zijn duizend en een distributies... En er zijn ook zeer veilige distributies... Waarom verkies ik Linux boven FreeBSD omdat IP-tables beter is dan IP-fw... IP-fw is weer beter dan IPChains...

ipfw in combinatie ipfilter is beter dan 1 linux tables/chains box, alle ip facetten kunnen grondig aangepakt worden, default_block van ipfilter in de kernel roeleert zwaar.

(laat)schrijf(en) anders een paar script die de meest gebruikte commandos kunnen automatiseren, kleine backup routine voor een snelle "clean start", uitlezen van logfiles, open/middel/dicht firewall opties en klaar is klara

[mavink]

Mag je reclame maken voor je eigen spullen? Kijk eens naar de GB-1000 op www.gnatbox.nl, 1U rackmount met 4x 100 Mbit.

En om meteen maar te stoppen met de reclame: een Checkpoint FW-1 is een stuk uitgebreider qua mogelijkheden. De vraag die je jezelf moet stellen is vooral welke je gaat gebruiken en/of ooit nodig denkt te hebben. Voor rond de 3-4000 euro kan je van ieder merk wel een firewall krijgen die doet wat je wilt.

[Verwijderd]

Cisco heeft tegenwoordig een goedkope PIX, de 501. Zo goed als dezelfde functies als zijn grote broers, alleen wat performance verschil.

kost geloof ik zo'n 850 euro.

Mocht je Novell servers gebruiken in je netwerk, dan is het handig om te keizen voor Novell Bordermanager. Erg goed, erg snel, erg stabiel.

[OMX2000]

Op woensdag 08 mei 2002 11:23 schreef pjottum het volgende:

[..]

Dus, jij onder de trein, je documentatie was nog niet helemaal op orde en iemand heeft een fatsoenlijke hoeveelheid basiskennis linux nodig om even snel uit te zoeken wat je nou precies gebakken hebt... kan je beter een paar mensen op cursus sturen, voor het zover is. En die cursus blijft gegeven worden, ook al loop jij of de collega die je geinstrueerd hebt onder de trein/tram etc.

De licentie is inderdaad ip gebonden, maar je krijgt een nieuwe als je verhuist van ipnummer.

Ik snap je punt niet helemaal, je bedoelt dus te zeggen dat er meerdere mensen opgeleid moeten worden om SPOF (Single Point Of Failure) te voorkomen?

[pjottum]

Op woensdag 08 mei 2002 18:28 schreef OMX2000 het volgende:

[..]

Ik snap je punt niet helemaal, je bedoelt dus te zeggen dat er meerdere mensen opgeleid moeten worden om SPOF (Single Point Of Failure) te voorkomen?

Wat heeft een spof daarmee te maken? Het punt is dat je iemand voor cisco of checkpoint (en er zijn uiteraard goedkopere produkten) op cursus kan sturen, voor je homemade, selfbuild supa dupa fw niet.

[localhost]

Wij hebben bijna besloten tot een Nokia IP330.

2 van deze apparaten zouden in een redundant setup geplaats kunnen worden (VRRP), eventueel met meerdere leased-lines.

[Verwijderd]

Op maandag 06 mei 2002 10:11 schreef worldpunch het volgende:
Wachtguard(2500) lijkt mij oke, iemand hier nog specifieke ervaringen mee?

Alleen wat prijzig....ik zie liever iets van 0-5000 euro.

8 webservers.... Zoals ik het nu bekijk is een WatchGuard Firebox 700 voldoende (€ 3000,-)

[Networkaholic]

Prof. FW op Hardware platform zou ik voor Checkpoint op Nokia gaan of Symantec Velociraptor.
Deze laatste vooral voor zijn relatief hoge gebruikersvriendelijkheid.
Een Velociraptor Model 500 App. doet ong. 4400 EUR en dan heb je een 19" 1U FW met 4 NIC's, 15-30 Mpbs througput, 3DES VPN (S2S, C2S optioneel )

[Whizzer]

Op vrijdag 10 mei 2002 00:21 schreef Networkaholic het volgende:
Prof. FW op Hardware platform zou ik voor Checkpoint op Nokia gaan of Symantec Velociraptor.
Deze laatste vooral voor zijn relatief hoge gebruikersvriendelijkheid.
Een Velociraptor Model 500 App. doet ong. 4400 EUR en dan heb je een 19" 1U FW met 4 NIC's, 15-30 Mpbs througput, 3DES VPN (S2S, C2S optioneel )

Ik kan het mis hebben hoor, maar is die raptor niet een proxy firewall, dus een stuk trager dan.... Shit, naam kwijt... Hoe heet dat nou ook alweer.... Het ligt op het puntje van m'n tong... Naja, je begrijpt me wel....

[Verwijderd]

Wat wil je precies doen met deze firewall ? Is het de bedoeling dat de servers achter de firewall onderling opener gaan communiceren, of verwacht je dat je servers beter beschermd zijn ?

[Verwijderd]

Op vrijdag 10 mei 2002 01:24 schreef thaforze het volgende:
Wat wil je precies doen met deze firewall ? Is het de bedoeling dat de servers achter de firewall onderling opener gaan communiceren, of verwacht je dat je servers beter beschermd zijn ?

Natuurlijk zijn bepaalde poorten niet van de buitenkant accessible. Dan kan ik daar bijvoorbeeld naar hartelust een "open" file server draaien en ook bijvoorbeeld open sql servers. En natuurlijk zouden mensen via een gehackde server daar nog access op kunnen hebben maar dat wordt wel goed beveiligd

[xychix]

besef wel dat een hardware firewall ook geconfigureerd moet worden (expertise ben je dus altijd nodig)

kies idd een pix (hardware)
of een BSD (openBSD/FreeBSD in geval van software matig)

[-rAz-]

Ja in dat plaatje ben ik ook wel geïnteresseerd. Lijkt me een veilige software oplossing.

[reclamedoos]

Op maandag 13 mei 2002 15:48 schreef -rAz- het volgende:
Ja in dat plaatje ben ik ook wel geïnteresseerd. Lijkt me een veilige software oplossing.

Ik was het helemaal vergeten, ik zal hem straks even opzoeken en posten

[xychix]

een schema dat ik mensen vaak voorhoud.

weet niet of je er wat aan hebt ?

[reclamedoos]

zo ongeveer ziet het er bij mij uit. Alleen dan zitten er op de switch nog veel meer systemen uiteraard.

[Verwijderd]

Op woensdag 08 mei 2002 11:23 schreef pjottum het volgende:
Dus, jij onder de trein, je documentatie was nog niet helemaal op orde en iemand heeft een fatsoenlijke hoeveelheid basiskennis linux nodig om even snel uit te zoeken wat je nou precies gebakken hebt... kan je beter een paar mensen op cursus sturen, voor het zover is. En die cursus blijft gegeven worden, ook al loop jij of de collega die je geinstrueerd hebt onder de trein/tram etc.

1. er zijn ook linux cursussen
2. een bestand met wat iptable of ipchains regeltjes is geen volledige abracadabra en al documentatie op zich IMHO
3. wie zegt dat het bedrijf genoeg budget heeft voor al die cursussen laat staan mensen die ze moeten volgen?
4. er zijn ook bedrijven die gespecialiseerd zijn in onderhoud van linux

Je moet een linux firewall niet afschilderen als een eng ding waar geen informatie over te vinden is. En als er iemand onverhoopt toch het hoekje omgaat is het niet alleen de firewall waar ze tegen aan zullen lopen dus als je consequent wilt blijven zul je dezelfde personen welke de firewall cursus hebben moeten volgen ook naar de Mircosoft, Cisco, Novell, Citrix-mainframe, etc etc cursussen sturen. Met als gevolg dat je bergen met cursus en personeel zit, beter is dan om het hele zaakje te out-sourcen lijkt mij

[Tux]

[offtopic voor worldpunch]
Ai gijs, is er daar bij spill iemand bang geworden dat er ge DoSsed wordt?
[/offtopic voor worldpunch]

[Verwijderd]

Misschien is een tunix firewall iets. Werkt echt super en heeft een hele hoop mogelijkheden... kijk eens op http://www.tunix.nl

[Verwijderd]

Nokia... ik heb vaak met de Nokia IP440 gewerkt, dit zijn hele nette firewalls. Echter denk ik dat de 440 in dit geval iets te professioneel is... kijk eens naar de IP330:

http://www.nokia.com/securitysolutions/platforms/330.html

[Verwijderd]

Op maandag 13 mei 2002 21:30 schreef paus_j_p2 het volgende:
[offtopic voor worldpunch]
Ai gijs, is er daar bij spill iemand bang geworden dat er ge DoSsed wordt?
[/offtopic voor worldpunch]

Nee, ik wil E-programmeur natuurlijk beter beschermen....tcoh een toppie site

[xychix]

eigenlijk moet ik zo'n soort pakket hebben dat dan ook kan natten en inbellen met isdn...

er meot WEL een compiler / apache op draaien (dus aan smoothwall heb ik niets) en dat is de enige met goede isdn support die ik tot nu toe ken.

[reclamedoos]

Op maandag 13 mei 2002 23:14 schreef areana het volgende:
Nokia... ik heb vaak met de Nokia IP440 gewerkt, dit zijn hele nette firewalls. Echter denk ik dat de 440 in dit geval iets te professioneel is... kijk eens naar de IP330:

http://www.nokia.com/securitysolutions/platforms/330.html

ik ben gewoon even nieuwsgierig hoor, maar wat kost zo'n 330 of 440 firewall nou?

[Verwijderd]

Op dinsdag 14 mei 2002 10:58 schreef reclamedoos het volgende:
ik ben gewoon even nieuwsgierig hoor, maar wat kost zo'n 330 of 440 firewall nou?

Geen idee... ik heb die dingen alleen beheerd, niet zelf gekocht... zou het je zo dus niet kunnen vertellen...

[Verwijderd]

Op dinsdag 14 mei 2002 10:58 schreef reclamedoos het volgende:

[..]

ik ben gewoon even nieuwsgierig hoor, maar wat kost zo'n 330 of 440 firewall nou?

Veel! erg veel geld

[reclamedoos]

Op dinsdag 14 mei 2002 13:16 schreef Conar het volgende:
Veel! erg veel geld

Vast veel meer geld als bijvoorbeeld een Compaq DL360 met FreeBSd er op

[Verwijderd]

http://www.smoothwall.co.uk/products/corporateserver/


Je zou ook hier eens kunnen kijken

<blockquote><font size="1" color="FF0000">Modbreak</font><hr color="FF0000" size="1"><font size="1">Graag geen groeten/naam in je post, zie Begroeting onder posts & replies
Kijk eens eens naar

</font><hr color="FF0000" size="1"></blockquote>

[Verwijderd]

sorry had niet goed gelezen over apache

[Tux]

Op maandag 13 mei 2002 23:21 schreef punch_ban het volgende:

[..]

Nee, ik wil E-programmeur natuurlijk beter beschermen....tcoh een toppie site

Ai je hebt me door

[DennisMoore]

De Gnatbox-firewall heeft standaard PSN voor je servers, en ook VPN-mogelijkheid. Vanaf zo'n 1000 euro denk ik. Om de admin-interface uit te proberen, kun je de evt. de gratis versie downloaden op www.gnatbox.nl. Die heeft natuurlijk wel beperkingen.

plaatje

[mavink]

Als die netscreens je leuk lijken zou ik inderdaad ook even naar de GB-1000 kijken; ook een 1U rackmountable machine met 4x 100 Mbit en zo rond de 1000 euro goedkoper dan een netscreen 25.
En als je (nu of later) meer wilt uitgeven kan je een tweede kopen en ze in een high availability (dus redundante) opstelling laten draaien.

[Verwijderd]

Pfff ... wat een hoop info over FireWall's ..

enfin.. ik heb goede ervearingen met twee typen ..

De WatchGuard en de NetScreen.

De WatchGuard heb ik enkel ervaring mee als gebuiker .. ofwel hij werd beheerd door een extern buro. Dit buro geeft een uitstekende service en bijna iedere week een seminar over hun producten, incl. voorbeelden. Daarnaast hebben ze ook leuke software om je PC nog beter te beveiligen als dat je dat met Windows zou kunnen. Ik weet niet of het toegestaan is maar het bedrijf zit in Amersfoort en heet Kahuna (www.kahuna.nl)

De NetScreen heb ik wel eens geinstalleerd .. maar waar praat je over .. het is allemaal html based .. dus even rondklikken de juiste poorten open zetten .. en een paar IP-adressen invullen.. Deze kwam mij minder professioneel over maar werkt zeker ook heel erg goed. Voor meer info hierover kan ik je doorverwijzen naar Avance IT Professionals in Woerden.

Nou ik hoop dat je een gerichte keuze kan maken .. en suc6 met je keuze.

[Kirpeknots]

Op maandag 06 mei 2002 08:04 schreef Prang het volgende:

[..]

1. De firewall zit voor je prive netwerk.
2. Een hele hoop maar Firewall-1 is wel lekker professioneel!
3. Laat je goed voorlichten en ga niet voor een te goedkoop product!

Linux is ook een goede oplossing maar moet je wel wat vanaf weten! Maar er zijn genoeg Linux Goeroes! En Linux oplossing zal wel heel veel goedkoper zijn dan bijvoorbeeld Firewall-1 of Cisco-Pix!

Er zijn ook speciale firewall distributies zoals bijvoorbeeld die van Astaro.

Deze zijn eenvoudiger te beheren dan handmatig geconfigureerde distributies. Ook is het beheer laagdrempeliger.

Linkje: http://www.astaro.com

Je kan de software gratis downen. Bedrijven moeten een licentie aanschaffen. Hij kan ook mail filteren.

[Kettrick]

http://www.sonicwall.com/products/PRO_300/index.html
Is een erg leuk apparaat.

Ik zou iig. NIET voor een software (Linux/BSD/whatever) oplossing gaan.

[TimmeStein]

Op dinsdag 07 mei 2002 23:13 schreef Wannapuf het volgende:
FW-1 kost een godsvermogen, je moet er tenslotte ook nog hardware voor aanschaffen, en ik zou het niet op NT of 2000 gaan draaien. Liefst Solaris, of een Nokia. Nou dan mag je flink investeren.

En wat is die Nokia hardware?
Juist. Een of ander moederboard met een een intel proc en wat ethernetkaartjes, gewoon een verkapte pc dus. En wat draait er op die verkapte pc. Juistem. NT4

[Kettrick]

Op dinsdag 28 mei 2002 10:06 schreef TimmeStein het volgende:

[..]

En wat is die Nokia hardware?
Juist. Een of ander moederboard met een een intel proc en wat ethernetkaartjes, gewoon een verkapte pc dus.

Ja, maar wel iets beter gebouwt dan de gemiddelde tweaker PC

En wat draait er op die verkapte pc. Juistem. NT4

[igmar]

Misschien is een tunix firewall iets. Werkt echt super en heeft een hele hoop mogelijkheden... kijk eens op http://www.tunix.nl

een Tunix FW is ook super Gebaseerd op BSDi, en zo ongeveer het veiligste wat je kan bedenken (jaja, ik heb daar stage gelopen )

Hij zit alleen wel dik boven het budget van wat je bv nodig hebt met een PIX. Maar ja, kwaliteit kost dan ook wat.

[igmar]

http://www.sonicwall.com/products/PRO_300/index.html
Is een erg leuk apparaat.

Ik zou iig. NIET voor een software (Linux/BSD/whatever) oplossing gaan.

Hardware firewalls bestaan niet. En nee, een packetfilter is GEEN firewall.

[mavink]

Op dinsdag 28 mei 2002 11:34 schreef igmar het volgende:

[..]

Hardware firewalls bestaan niet. En nee, een packetfilter is GEEN firewall.

Zeker wel. Koop een stapel bakstenen, een pak cement, en je bent klaar

[Verwijderd]

Een ander voordeel van een hardware firewall, is dat deze vaak geoptimaliseerd zijn voor de processor en drivers. De structuur binnen het OS is dus vrij geoptimaliseerd.
Een ander voordeel is, dat sommige firewalls ook IDS hebben. IDS staat voor Intrusion Detection System, wat dus bepaalde "hack" patronen herkent en daar waarschuwingen voor geeft.

Mijn eigen voorkeur gaat uit naar Cisco PIX firewalls en de Firewall Software op de routers, hoewel dat laatste erg prijzig is..
Over het serverpark met 8 servers, een PIX506E heeft ook 10/100 kaarten, standaard 2 10.100 ethernet interfaces en is (geloof ik) zo rond de 1500 euro. De 515RE is het 19" rack broertje. Dit broertje heeft ook een iets zwaardere processor en kan ong. 100.000 sessies tegelijkertijd aan (itt 50.000 sessies op de 506). IPSec wordt standaard op 56 bit ondersteund (krijg je gratis van Cisco, 168 bit 3DES moet je kopen. Voor de nieuwe pixen valt die prijs eigenlijk wel mee.

De watchguard waar ik mee heb gewerkt (voor een klant van een klant van mij) en ik heb daar met de vpn's vrij veel problemen mee gehad, maar je ging geen vpn's doen, dus dat scheelt.
Ik vind zelf de pIxen erg betrouwbaar en stabiel. Wat ook is bij de 515E-R, dan kan je die naderhand upgraden met failover. Dan neemt het failoverchassis alle connecties over van de primary, als die faalt.

Op woensdag 08 mei 2002 11:03 schreef Dirk-Jan het volgende:

[..]

Op een hardware firewall zit net zo goed een OS.

het verschil is dat bij een software firewall je CPU alles doet. Een hardware firewall heeft een CPU die speciale ASIC's aanstuurt die erop gemaakt zijn om firewall te 'spelen'...

[Verwijderd]

Ik ben ook wel benieuwd, waar kan je dan zo'n cisco 515RE halen voor 1500, want ik kan ze alleen vinden voor 3000

[Verwijderd]

Nou, de pix506 is rond de 1500 tot 2000 euro (weet de prijzen niet precies, ben ook maar de techneut), de 515RE ligt natuurlijk hoger, omdat dit het grotere broetje is.

Op dinsdag 28 mei 2002 20:48 schreef xuimper het volgende:
Ik ben ook wel benieuwd, waar kan je dan zo'n cisco 515RE halen voor 1500, want ik kan ze alleen vinden voor 3000

[Verwijderd]

Op dinsdag 28 mei 2002 10:06 schreef TimmeStein het volgende:

[..]

En wat is die Nokia hardware?
Juist. Een of ander moederboard met een een intel proc en wat ethernetkaartjes, gewoon een verkapte pc dus. En wat draait er op die verkapte pc. Juistem. NT4

niet altijd... op de ip440's bij mijn vorige werkgever draaide een unix-achtig besturingssysteem, en geen nt... wel waar is dat het gewoon intel hardware is...

[mavink]

Op donderdag 30 mei 2002 16:12 schreef areana het volgende:

[..]

niet altijd... op de ip440's bij mijn vorige werkgever draaide een unix-achtig besturingssysteem, en geen nt... wel waar is dat het gewoon intel hardware is...

Een nokia firewall is helemaal geen eigen firewall van Nokia, maar een PC met Nokia-sticker er op en Firewall-1 software, volgens mij onder Solaris draaiend.

Zijn er trouwens hier mensen die ervaringen hebben met Firewall-1 NG? Ik heb een half jaartje geleden met een van de eerste versies gewerkt, maar dat ging allemaal niet zo lekker... Het schijnt dat met het eerste service pack wel veel bugs opgelost zijn.