Aanschaf nieuwe firewall

[Verwijderd]

Op zoek naar een nieuwe firewall, de oude begint een beetje brak te raken....
Ik heb meerdere partijen gesproken en iedereen heeft zijn eigen oplossing. Om eerlijk te zijn zie ik door de bomen het bos niet meer

Er is geen specifieke PIX, Checkpoint, etc. kennis in huis en dat willen we eigenlijk ook proberen zo te houden. We zoeken dus een oplossing die gemakkelijk te beheren en te updaten is. Gui & Wizards-style. We hebben al een veel te breed scala aan produkten die gesupport moeten worden. (denk NT/2K/Netware/Oracle/Solaris/linux/Progress/routers/switches/sql/etc/etc) Weinig interesse in weer een "complex" systeem.

De situatie is/wordt alsvolgt:
4 segmenten
1) LAN
2) DMZ
3) Internet
4) segment naar ander bedrijf wat van onze faciliteiten gebruik maakt

Alle segmenten zijn/worden 100Mb FD, inclusief het Internetsegment.

Momenteel staan er 2 webservers in het DMZ. Het IP-nummerplan voorziet in uitbreiding tot 30-nodes. Vooralsnog wordt het DMZ nauwelijks belast, maar de verwachting is dat dit aardig zal toenemen.

Ca 350 werkstations maken outbound gebruik van de internetverbinding. Overwegend gebeurt dit via een proxy-server, welke nu nog in het LAN staat. Enkele specifieke werkstations/servers gebruiken een applicatie welke niet via een proxy-server kan lopen. Deze worden nu en in de toekomst gerouteerd via de firewall (NAT) naar het internet. Waarbij alleen specifieke TCP/UDP poorten worden toegelaten.

De machine moet VPN-verbindingen op kunnen zetten, tot minstens 50 simultaan. Ook moeten 1 of meerdere VPN-tunnels naar business-partners opgezet gaan worden. Standaarden moeten dus ondersteund worden!

- Minimaal 4x ethernet, mogelijk uitbreidbaar tot 6
- Hoge throughput op ethernetpoorten
- Mogelijkheid tot VPN via internet
- Mogelijkheid tot externe authenticatie (radius/tacacs)
- Gemakkelijk configureerbaar
- SNMP-support (belasting van interfaces)
- Mogelijkheid tot logging en / of syslogging
- Gemakkelijk te updaten met service packs
- Voorkeur voor standaarden (bv. IPSec (ESP, AH), MD5, 3DES, L2TP, PPTP, etc)
- Hoge beschikbaarheid
- Korte responstijden igv storingen

Ik heb zelf goede ervaringen met Netscreen. Dat zou dan een NS200 moeten worden.
Nokia/Checkpoint klinkt als een aanrader, maar is weer moeilijker beheersbaar.
Cisco PIX, lijkt bijzonder prijzig en ook, gelijk aan checkpoint, moeilijk en ingewikkeld qua installatie en beheer.
Ook roept er iemand over Symantec VELOCIRAPTOR 1300.

Heeft er iemand ervaringen en een idee over wat een reeele oplossing zou zijn gezien bovenstaande?

[djack]

op www.astaro.com kan je een vrij mooi firewall vinden die je zonder al te veel kennis kan
instellen, en al je gevraagde dingens zitten er in zelfs nog meer, mail scan en proxy .

[rally]

op http://www.watchguard.com kun je erg leuke firewalls vinden die redelijk eenvoudig te beheersen zijn.

Kunnen ook VPN tunnels aan, waarbij je het aantal gebruikers eventueel stapsgewijs kunt uitbreiden.

Ook DMZ is geen probleem.

Wij hebben er bijv. eentje aan surfnet hangen (100Mbit connetie naar internet) en een zeer goed performance!

[afterburn]

Wat is het probleem met FW-1? Mijn ervaring is juist dat het helemaal niet zo ingewikkeld is om te installeren en te beheren. Misschien dat mijn ervaring met beveiliging en firewalls in het algemeen helpt met installaties en configuraties, maar je kan het heel mooi grafisch point-and-click op afstand beheren en controleren.

[Verwijderd]

Ik weet in hoofdlijnen aardig hoe een en ander werkt, denk ik, maar heb niet bijzonder veel toepasbare ervaring op een specifiek platform. Wanneer FW1 wel vrij gemakkelijk beheer en installeerbaar is, is dat wat mij/ons betreft best een optie. Ik heb echter wat collega's welke zich hiermee ook bezig gaan houden. Daar moet het wat laagdrempeliger voor zijn.

Vergelijkbaar met bijvoorbeeld het Cisco IOS. Bijzonder goed, extreem configureerbaar, maar voor een cisco n00b met gebrekkige netwerkkennis onnavolgbaar. Een D-link routertje of ander prutmerk met al zijn nadelen, kan dan bijzonder makkelijk zijn, zolang het maar doet wat je wilt. Wizard internetverbinding, telefoonnummer inkloppen en klaar, waarbij op de achtergrond dan een DHCP-servertje, NAT en een dialup-account gedefinieerd wordt.

Als techneut zet ik het liefst het grootste, duurste en vooral meest configureerbare systeem neer, maar dat zou in ons geval niet de handigste oplossing zijn.

[Verwijderd]

Bij het bedrijf waar ik werk gebruiken we een aantal Watchguard firewalls. Gemakkelijk te configureren, snel en nooit problemen mee. Alleen SNMP support zit er dacht ik niet in, maar da's misschien een kwestie van het juiste model/serie kiezen.

[BlaTieBla]

Heb je wel eens aan een beheerde firewall gedacht.... Dan hoef je helemaal geen kennis in huis te hebben.
info: hier

[Mark]

Zelf heb ik zeer goede ervaringen met Borderware. Maar persoonlijk lijkt het mij eens verstandig dat jij contact opneemt met een onafhankelijke leverancier (of eentje die meerdere merken aanbied). Een firewall van dit kaliber koop je niet voor een korte periode, maar voor minimaal een jaar of 3 (wat vaak redelijk dure contracten met zich meebrengt). Laat je dus goed adviseren.
Mocht je wat willen weten over Borderware kun je een contact opnemen met de mensen bij Radix. Als ik het me goed herriner kunnen zij ook het hele beheer en onderhoud regelen (uiteraard wel betaald).

[raymonvdm]

Wij maken hier gebruik van Cisco Pixen met daarnaast een bordermanager proxy

Word geregelt door een bedrijf dat met cisco werkt, En hier alle componenten beheerd

Ik mag geen link geven of naam noemen

maarre

http://www.didata.nl

[Verwijderd]

We hebben op dit moment een freebsd-bak in extern beheer, maar daar worden we dus niet gelukkig van.... Slechte service, niet tijdig updaten en aanpassingen duren 2 weken, qua doorlooptijd.
--> BlaTieBla... Al *zeker* niet bij KPN...

[mavink]

Beheer door KPN zou ik inderdaad ook niet doen... Wij hebben een paar klanten gehad die dat door KPN lieten doen, en wijzigingen in je firewall-rules schijnen soms net zo lang te duren als de aanvraag van een nieuwe telefoonlijn

Anyway ik denk inderdaad dat Checkpoint alles wel moet kunnen. Waarschijnlijk kom je met de duurdere sonicwall-varianten ook een heel eind. Onze eigen Gnatbox-firewalls kunnen alles behalve die authenticatie via radius/tacacs dus dat zal wel geen optie zijn.

[Whizzer]

Checkpoint is echt heel makkelijk en draait op Win2k, Solaris 8 (en 9), AIX, en RedHat 7.2... Vooral op windows is het installeren een eitje, gewoon de next next next methode... Ik zou het alleen wel op Solaris zetten...

Ik zou wel het eigen beheer doen en de GUI die erbij zit is echt easy... Als je bang bent dat je hem verkeerd installeert of geen goede basis van rule sets maakt is het misschien verstandig om het door een externe partij te laten installeren een de eerste basis rule-set te maken... Ik ken er wel een paar die dat kunnen doen...

[mavink]

Wat dat betreft ben ik altijd meer een fan geweest van firewalls met een eigen OS, zoals cisco. Dat scheelt weer in het onderhoud op het onderliggende OS. Het is natuurlijk een beetje zuur als je firewall onderuit gaat/gehackt wordt door een fout in het onderliggende OS, en in dat geval kunnen de twee bedrijven lekker naar elkaar gaan wijzen als er iets niet werkt. Heel irritant.

[Whizzer]

Ik neem aan dat een doos die firewall is ook alleen maar firewall is en niets meer... Dus geen webs-, mailserver of wat dan ook... Dan kun je met Solaris echt goed aan de slag hoor... Als je deze link eens doorleest, dan heb je een doos die OS technisch al moeilijk te hacken is en ik je firewall stampt de rest wel pot-dicht (mits je goede rules maakt)...

[igmar]

Verwijderd schreef op 20 september 2002 @ 11:33:
De machine moet VPN-verbindingen op kunnen zetten, tot minstens 50 simultaan. Ook moeten 1 of meerdere VPN-tunnels naar business-partners opgezet gaan worden. Standaarden moeten dus ondersteund worden!

- Minimaal 4x ethernet, mogelijk uitbreidbaar tot 6
- Hoge throughput op ethernetpoorten
- Mogelijkheid tot VPN via internet
- Mogelijkheid tot externe authenticatie (radius/tacacs)
- Gemakkelijk configureerbaar
- SNMP-support (belasting van interfaces)
- Mogelijkheid tot logging en / of syslogging
- Gemakkelijk te updaten met service packs
- Voorkeur voor standaarden (bv. IPSec (ESP, AH), MD5, 3DES, L2TP, PPTP, etc)
- Hoge beschikbaarheid
- Korte responstijden igv storingen

Ik zou persoonlijk gaan voor een BSD / Linux bak, maar als je geen kennis in huis hebt zou ik voor de PIX gaan. Als je geld als drek hebt zou ik voor een PIX gaan, of een FW van Tunix.

De laatst twee genoemden hebben beiden een GUI, en zijn beiden ook vanaf de CLI te beheersen. Beide producten hebben hun betrouwbaarheid al meer dan bewezen in de praktijk.

FW's die op basis van Solaris / NT gaan zou ik niet aan beginnen : Solaris is traag, en over de veiligheid van het OS kan ik ook nog wel een boompje opzetten. Voor NT / 2K geldt hetzelfde : Ik heb geen kijk wat het onderliggende OS doet, dus vertrouwen heb ik er dan ook niet in.

Een FW op een niet betrouwbare basis is IMHO geen goeie FW.

Een ander punt is het onderhoud / support : Dat kan een aanzienlijke kostenpost vormen, terwijl de aanschaf maar eenmalig is. Verder is het een kwestie van afwegen tussen aanschaf, onderhoud en beheersbaarbeid.

[schroevendraaier480]

look no further..

Checkpoint FW-1 is wat je zoekt. Sinds Q1-2002 is secure platform beschikbaar. Dat is een door Checkpoint gestripte (lees van alle overbodige franje ontdane) RedHat linux. Draait op Intel hardware (AMD mag ook). Makkelijk te configureren en draait FW-1 NG FP2. Voorts VPN acceleration (software based AES 128 of 256 bits encryptie). Afhankelijk van het gekozen platform geen probleem voor de door jou gewenste throughput.

Ook Solaris, AIX, HP-UX, Windows 2000, Linux en IPSO wordt ondersteund als onderliggend OS.

Interoperability met Radius/TACACS geen probleem. Zelfde voor VPN op basis van IPSec met third party hard/software.

Policy is tot in de finesse te configureren zodat het voldoet aan al je wensen.

Clustering, HA (high-availability) wordt ondersteund. Virusscanning en content filtering wordt ondersteund (CVP en UFP).

Ik heb er behoorlijk wat geplaatst in de meest uiteenlopende omgevingen en kan uit ervaring zeggen dat het zondermeer stabiel, snel en eenvoudig (na initiële configuratie) te beheren is.

Enige nadeel is meestal de prijs, maar sedert enige tijd is Checkpoint ook de prijzen wat toegankelijker aan het maken.

[afterburn]

igmar schreef op 21 september 2002 @ 16:55:
[...]


Ik zou persoonlijk gaan voor een BSD / Linux bak, maar als je geen kennis in huis hebt zou ik voor de PIX gaan. Als je geld als drek hebt zou ik voor een PIX gaan, of een FW van Tunix.

De laatst twee genoemden hebben beiden een GUI, en zijn beiden ook vanaf de CLI te beheersen. Beide producten hebben hun betrouwbaarheid al meer dan bewezen in de praktijk.

FW's die op basis van Solaris / NT gaan zou ik niet aan beginnen : Solaris is traag, en over de veiligheid van het OS kan ik ook nog wel een boompje opzetten. Voor NT / 2K geldt hetzelfde : Ik heb geen kijk wat het onderliggende OS doet, dus vertrouwen heb ik er dan ook niet in.

Een FW op een niet betrouwbare basis is IMHO geen goeie FW.

Een ander punt is het onderhoud / support : Dat kan een aanzienlijke kostenpost vormen, terwijl de aanschaf maar eenmalig is. Verder is het een kwestie van afwegen tussen aanschaf, onderhoud en beheersbaarbeid.

Jij hebt duidelijk geen idee waar je over praat. Of in het beste geval heb je het bekende klokje wel gehoord maar ben je nog op zoek naar het klepeltje. Sorry hoor, maar dit soort ongefundeerd geblaat gebeurt hier weer veelste vaak en helpt de vraagsteller geen moer. Studeer eerst maar een keer af, en ga je dan eens verdiepen in Sun. Sjeez.

[igmar]

afterburn schreef op 21 september 2002 @ 20:03:
[...]

Jij hebt duidelijk geen idee waar je over praat. Of in het beste geval heb je het bekende klokje wel gehoord maar ben je nog op zoek naar het klepeltje. Sorry hoor, maar dit soort ongefundeerd geblaat gebeurt hier weer veelste vaak en helpt de vraagsteller geen moer. Studeer eerst maar een keer af, en ga je dan eens verdiepen in Sun. Sjeez.

Ter info : Afgestudeerd ben ik enige tijd, en mijn kennis van Sun is meer dan up to date. Als je het niet met me eens bent : Prima, maar wel motiveren. En niet zo'n zeikreactie als jij nu geeft, daar ben ik absoluut niet van gediend, duidelijk ???

Voor de volgende keer dat je weer de beledigende kant uitgaat en die grote bek van je opentrekt : Lees de informatie op http://www.tunix.nl/nav/frmfirewall.html, en als je dat snapt mag je met me in discussie.

[igmar]

schroevendraaier schreef op 21 september 2002 @ 19:17:
look no further..

Enige nadeel is meestal de prijs, maar sedert enige tijd is Checkpoint ook de prijzen wat toegankelijker aan het maken.

Welke prijs ?? De initieele aanschaf is vaak het minst belangrijke, de Total Cost of Ownership is het meest belangrijke, en mijn ervaring is dat een goedkope aanschaf vaak een duudere support betekend. FW-1 ken ik helaas alleen vanuit de Solaris kant, niet op de rest van de platformen.

[mavink]

igmar schreef op 21 september 2002 @ 16:55:
[...]

FW's die op basis van Solaris / NT gaan zou ik niet aan beginnen : Solaris is traag, en over de veiligheid van het OS kan ik ook nog wel een boompje opzetten. Voor NT / 2K geldt hetzelfde : Ik heb geen kijk wat het onderliggende OS doet, dus vertrouwen heb ik er dan ook niet in.

Een FW op een niet betrouwbare basis is IMHO geen goeie FW.

De veiligheid van ieder OS staat of valt met degene die het beheert. Als er een bug wordt ontdekt moet je doe gewoon patchen, of je nou Windows, Solaris, Linux of wat-dan-ook draait.

Bij een firewall met eigen OS komt dat meestal neer op het 1x uploaden van een nieuwe firmware image of hoe die firewall dat ook noemt; anders moet je echt het onderligende OS patchen. En ook bij Solaris is dat best te doen. Ik ben het overigens wel met je eens dat de ultrasparc-processors gewoon flink achterlopen bij de x86-processors. Maar aan de andere kant kan je er bij Sun wel een hoop in dezelfde machine kopen en dat maakt een hoop goed

Een ander punt is het onderhoud / support : Dat kan een aanzienlijke kostenpost vormen, terwijl de aanschaf maar eenmalig is. Verder is het een kwestie van afwegen tussen aanschaf, onderhoud en beheersbaarbeid.

Dat is zeker een punt. De goeie ouwe "TCO"... Als je in je bedrijf al ruime ervaring hebt met Solaris, Linux, NT of wat dan ook dan hoeft het helemaal niet zo erg te zijn. Aan de andere kant is het installeren van patches dan wel iets dat je vaker zult moeten doen, en waarschijnlijk ingewikkelder dan het uploaden van een nieuwe image naar je firewall.

Dat is volgens mij ook een van de redenen dat Checkpoint met zijn "secure platform" is begonnen; mensen winden gewoon een platform waar ze met 1 leverancier te maken hebben, en waar ze vertrouwen in kunnen hebben.

[mavink]

igmar schreef op 22 september 2002 @ 01:08:
[...]


Welke prijs ?? De initieele aanschaf is vaak het minst belangrijke, de Total Cost of Ownership is het meest belangrijke, en mijn ervaring is dat een goedkope aanschaf vaak een duudere support betekend. FW-1 ken ik helaas alleen vanuit de Solaris kant, niet op de rest van de platformen.

Klopt. Maar als je bij de aanschaf van je firewall 10.000 euro of meer kunt besparen kan je daar een part-time firewall specialist voor inhuren

[xychix]

Ooit een gescheiden oplossing overwogen ?

een bridging firewall waarvan aleen de ruleselt onderhouden hoeft te worden en niet het os. (deze moet
dat wel en een fysiek beveiligde ruimte staan)
Het enige wat de bridging firewall doet is ip's poortnr's en protocollen toestaan of blokken.
Gebaseerd op OpenBSD, hoge performance en geen OS updates (zeg nooit nooit, de machiene werks als bridge en is dus niet aanspreekbaar, dus ook niet te hacken)

met daarachter een router die moet gaan NATTEN en VPN-nen.


=== Goedkoop ===
Je zou ook een Smoothwall installatie op goede hardware kunnen overwegen, deze kun je zelf helemaal up to date houden.
en via een gui alles instellen.
Kost niets, weg een beetje huis tuin keuken niveau... maar zeker niet slecht

[igmar]

vink schreef op 22 september 2002 @ 08:43:
[...]
De veiligheid van ieder OS staat of valt met degene die het beheert. Als er een bug wordt ontdekt moet je doe gewoon patchen, of je nou Windows, Solaris, Linux of wat-dan-ook draait.

Bij een firewall met eigen OS komt dat meestal neer op het 1x uploaden van een nieuwe firmware image of hoe die firewall dat ook noemt; anders moet je echt het onderligende OS patchen. En ook bij Solaris is dat best te doen. Ik ben het overigens wel met je eens dat de ultrasparc-processors gewoon flink achterlopen bij de x86-processors. Maar aan de andere kant kan je er bij Sun wel een hoop in dezelfde machine kopen en dat maakt een hoop goed

Klopt, maar bij een FW gaat het nog iets verder : De security policy is alleen met 100% zeker vast te stellen en te verifieeren als je weet wat er onder water gebeurd.

Bij een FW met een dedicated OS (PIX ed.) is dat simpelweg vast te stellen : De specificaties van de fabrikant. PIX OS 6.1 gedraagd zich op elke PIX hetzelfde, en er is ook maar een 6.1 versie (klopt niet helemaal, maar even het idee). Bij een FW die bovenop een OS draait (FW-1, Tunix) is de werking van de FW afhankelijk van het onderliggend OS. Servicepacks en kernel patches kunnen erg ingrijpend zijn in het onderliggende gedeelte, wat invloed kan hebben op de bovenliggende FW.

Ik heb het een keer meegemaakt bij een op het eerste gezicht standaard kernel upgrade : De werking van de IP stack veranderde, waardoor de FW rules in de war werden gegooid omdat het processen van IP packets in een iets andere volgorde werd gedaan.

In het geval van FW-1 ben je afhankelijk van 2 partijen : De maker van het OS, en de maker van de bovenliggende FW laag. Dat houdt in dat die twee van elkaar afhankelijk zijn. Zowel NT / 2k / Solaris worden met regelmaat gepatched, en soms is dat bittere noodzaak.

Ik zou dan ook persoonlijk (even met nadruk voordat er weer personen beginnen te zeiken dat ik niet weet waar de klepel hangt) nooit voor z'n FW kiezen, maar de keuzen van andere kunnen op andere criteria gebaseerd zijn.

[Verwijderd]

xychix schreef op 22 september 2002 @ 10:31:
Ooit een gescheiden oplossing overwogen ?

een bridging firewall waarvan aleen de ruleselt onderhouden hoeft te worden en niet het os. (deze moet
dat wel en een fysiek beveiligde ruimte staan)
Het enige wat de bridging firewall doet is ip's poortnr's en protocollen toestaan of blokken.
Gebaseerd op OpenBSD, hoge performance en geen OS updates (zeg nooit nooit, de machiene werks als bridge en is dus niet aanspreekbaar, dus ook niet te hacken)

met daarachter een router die moet gaan NATTEN en VPN-nen.


=== Goedkoop ===
Je zou ook een Smoothwall installatie op goede hardware kunnen overwegen, deze kun je zelf helemaal up to date houden.
en via een gui alles instellen.
Kost niets, weg een beetje huis tuin keuken niveau... maar zeker niet slecht

Ik ben ook voorstander van bsd maar gezien de eisen niet toepasbaar in deze situatie. En hadware box met noob interface zou de oplossing kunnen zijn hier.

[schroevendraaier480]

Ik denk dat de keuze voornamelijk moet worden bepaald door de volgende criteria:
1. voldoet het produkt aan mijn wensen t.a.v. kosten/beheersbaarheid/functionaliteit
2. hoe is het gesteld met de interoperability met third party vendor produkten
3. hoe zit het met TCO

Let wel alle firewall zijn zo veilig als de policy toestaat. Eventuele vulnerabilities op OS niveau op de firewall zelf worden meestal wel afgevangen door de firewall software. Vulnerabilities op servers en LAN's achter de firewall kunnen niet altijd worden afgevangen door de firewall. Als bijv. http verkeer door de firewall mag en er vervolgens misbruik wordt gemaakt van een zwakke plek op een webserver doet de firewall daar helemaal niets aan.

Als je dat dan ook nog wil afvangen moet je serieus gaan denken aan IDS, en dan liefst voor servers, LAN en firewall.

[mavink]

Ik was trouwens je eerste post nog eens aan het lezen...

SNMP-support (belasting van interfaces)

Dat zou ik dus *nooit* willen op een firewall... Hang het ding dan aan een manageable switch of iets dergelijks, maar het basisprincipe is toch altijd om zo min mogelijk services vanaf je firewall te draaien. Alles wat je extra draait betekent mogelijk meer bugs.
Straks wil je ook nog een virusscanner, een proxyserver, een DHCP-server, etc... Waar houdt het dan op? Al die pakketten hebben mogelijke bugs, en kunnen allemaal fout geconfigureerd wordt...
Wat overigens misschien wel handig is, is als de firewall SNMP traps kan sturen naar je centrale management-applicatie.

Wat betreft de beschikbaarheid waar je het over had: Bijna iedere serieuze firewall heeft wel een mogelijkheid om 2 machines te koppelen (high availability optie heet dit meestal). Je koopt dan 2 machines en als er 1 stukgaat neemt de ander het over. En je kunt natuurlijk ook altijd vragen wat voor voorraden een leverancier aanhoudt, hoe snel je een reserveapparaat hebt, etc...

Over het algemeen geldt: hoe meer zekerheid je wilt, hoe meer geld het je gaat kosten. Je zult dus een afweging moeten gaan maken tussen de gewenste beschikbaarheid (heb ik geld voor 2 firewalls, heb ik geld voor 24x7 service/vervanging bij defecten), de beschikbare hoeveelheid geld en de gewenste mogelijkeden.
Afhankelijk van de prioriteiten kan je dan bijvoorbeeld 2 simpelere firewalls kopen zodat je downtime door een kapot apparaat kunt voorkomen; als je prioriteiten net anders liggen koop je 1 duurdere die alles kan wat je wilt maar waarbij je misschien 1 of 2 dagen moet wachten als-ie kapot gaat. Dat soort rekensommetjes wordt bijna nooit gemaakt, maar reken maar eens uit wat het kost als je internetverbinding niet beschikbaar is door een kapotte firewall. Dat kan best oplopen!

[igmar]

vink schreef op 22 september 2002 @ 08:43:
Dat is zeker een punt. De goeie ouwe "TCO"... Als je in je bedrijf al ruime ervaring hebt met Solaris, Linux, NT of wat dan ook dan hoeft het helemaal niet zo erg te zijn. Aan de andere kant is het installeren van patches dan wel iets dat je vaker zult moeten doen, en waarschijnlijk ingewikkelder dan het uploaden van een nieuwe image naar je firewall.

Bij onze FW distrib gaat dat volledig automatisch Bij de meeste andere FW's hoeft updaten ook geen enkel probleem te zijn.

Bij een PIX is het een kwestie van de image op een TFTP server gooien en uploaden. Neem bij een PIX overigens wel versie 6.1 of hoger, oudere versies hebben erg vervelende bugs (5.2 bv 'vergeet' af en toe z'n NAT mappings, waardoor ie alle connecties dropped).

Dat is volgens mij ook een van de redenen dat Checkpoint met zijn "secure platform" is begonnen; mensen winden gewoon een platform waar ze met 1 leverancier te maken hebben, en waar ze vertrouwen in kunnen hebben.

Ik heb weinig (zeg maar gerust geen) ervaring met CheckPoint, dus ik ben niet degene die daar uitspraken over moet doen.

Mijn visie op een aantal systemen :

PIX :

Nadelen :
- Vrij duur in aanschaf
- Client licensties zijn vrij duur
- VPN is standaard alleen single DES, 3DES vereist een upgrade
- Geimplementeerde IPSEC drafts zijn oud

Voordeel :
- CLI beheersbaar
- Dedicated FW OS
- GUI is aanwezig
- Zelden updates nodig, en updates zijn erg simpel
- Vrij veel bedrijven met PIX kennis aanwezig voor support

Linux :

Nadelen :

- vrij 'update-intensief'
- Werking is in zeer grote mate afhankelijk van degene die 'm inricht
- GUI niet aanwezig
- Vereist kennis voor onderhoud, afhankelijk van de gebruikte distrib

Voordelen

- Kosten alleen de hardware + uren
- Flexibel, bijna alles is mogelijk zonder extra kosten kwa software
- Veel kennis aanwezig bij een hoop bedrijven voor de support
- Speciale versies zoals SmoothWall bieden nog bredere ondersteuning voor diverse zaken

OpenBSD

Nadelen :

- Hardware ondersteuning wat minder, geen SMP
- Werking is in zeer grote mate afhankelijk van degene die 'm inricht
- GUI niet aanwezig
- Vereist specialistische kennis

Voordelen :

- Kosten alleen hardware + uren
- Flexibel
- Standaard al zeer veilig


Tunix FW :

Nadelen :

- De prijs

Voordelen :

- Configuratie is 2 bestanden
- GUI aanwezig
- Alle volledig proxy, inc TCP/UDP
- Extreem veilig
- Gebaseerd op BSDI
- Support van zeer goede kwaliteit

[Matthijs Hoekstra]

Ik hoor niemand ISA Server van Microsoft noemen. Is daar een reden voor (en nu geen anti Microsoft pro linux discussie aub) Veel klanten gebruiken het en zijn zeer tevreden.

[Verwijderd]

Novell Bordermanager heeft ook vpn werken wij al jaren mee.
Is perfect.

[Verwijderd]

Als het aan mijzelf lag --> Bordermanager! Helaas gaat Netware er hier helemaal uit (is eigenlijk al bijna weg ) Dus dat is geen optie meer, tenzij ik het management en collega's kan overtuigen nt4 naar w2k te migreren....

Ik heb niet het idee dat ISA-server aan de verwachtingen gaat voldoen, bovendien geloof ik niet dat ISA standaard AES, 3DES, etc draait, maar alleen PPTP en L2TP.

[Verwijderd]

Check-Point Firewall 1 hebben wij hier ook. het is opzich een goed programma. Maar als je Firewall Rules gaat maken maar dat is allemaal lekker code kloppen. Dus als je geen verstand hebt van C dan moet je het niet kopen...

[schroevendraaier480]

Verwijderd schreef op 26 september 2002 @ 08:39:
Check-Point Firewall 1 hebben wij hier ook. het is opzich een goed programma. Maar als je Firewall Rules gaat maken maar dat is allemaal lekker code kloppen. Dus als je geen verstand hebt van C dan moet je het niet kopen...

Kijk, dat is dus onzin. De GUI is zelfs geheel grafisch, dus klikken en slepen maar. Onderhuids kun je code kloppen, maar dat is 99 van de 100 keer niet nodig.
Kun je met windows uit de voeten, dan kun je de GUI bedienen. Kennis van C is geheel niet nodig. Wel moet je weten hoe je netwerk er uit ziet (topologie en functioneel), maar dat geldt voor alle firewalls.

[teigetjuh]

Ik heb zelf ervaring met FW-1 van checkpoint en cisco pix. Alle twee erg mooie producten, die misschien bij een installatie iets extra kennis vergen, maar bij gewoon onderhoud (rules toevoegen, wijzigen of verwijderen weinig kennis nodig hebben... En ze kunnen aan wat je wil.
Nadeel is alleen de hoge aanschafprijs.... De basic-install kan door een leverancier gedaan worden...

[Verwijderd]

De aanschafkosten zijn behoorlijk van FW-1, maar dan krijg je ook nog je jaarlijkse subscription-kosten en die zijn ook fors. Bovendien wil je die FW-1 *eigenlijk* op zo'n Nokia-bak draaien, heb ik begrepen en die is ook weer aardig prijzig. Toch overwegen we op dit moment de FW-1 wel.

Ook is er een mogelijke leverancier over de vloer geweest die zweert bij Raptor produkten van Symantec. Deze man maakte zowel technisch als organisatorisch een bijzonder capabele indruk.

Heeft iemand ervaringen met de Raptors?
REM Weet iemand of er een trial-versie van FW-1 beschikbaar is?
REM (geen warez, *trial*)

edit:

Whoeps, weer te snel geroepen. Net een demo aangevraagd via checkpoint.com

[Bor]

Verwijderd schreef op 27 september 2002 @ 09:29:
De aanschafkosten zijn behoorlijk van FW-1, maar dan krijg je ook nog je jaarlijkse subscription-kosten en die zijn ook fors. Bovendien wil je die FW-1 *eigenlijk* op zo'n Nokia-bak draaien, heb ik begrepen en die is ook weer aardig prijzig. Toch overwegen we op dit moment de FW-1 wel.

Ook is er een mogelijke leverancier over de vloer geweest die zweert bij Raptor produkten van Symantec. Deze man maakte zowel technisch als organisatorisch een bijzonder capabele indruk.
Weet iemand of er een trial-versie van FW-1 beschikbaar is? (geen warez, *trial*)

Een trial versie van FW-1 kan je gewoon bij CheckPoint aanvragen, dan krijg je 3x 30 dagen om te testen. De nokia's zijn er in verschillende prijsklassen en als ik naar je behoeften kijk hoef je echt niet de duurste te nemen. De raptor zou ik niet nemen, op zich een goede firewall, alleen een van de minder gebruikte. Je krijgt snel problemen als je je support nou eens niet bij Symantec wilt weghalen. Ik zou gaan voor of een CheckPoint of een Cisco PIX. Welke je kiest is daarbij afhankelijk van het soort filters dat je wilt gaan inbouwen (wil je bijvoorbeeld ook filteren op domain etc?)

[Verwijderd]

Ik verwacht in principe een behoorlijk basic setup te maken. Alles dicht, met een paar gaatjes:
- van het internet naar het dmz (25,110,80,443,vpn,etc)
- van het LAN naar het DMZ (oracle synchronisatie, smtp-relay, 80, 443,etc)
- van het externe segment naar internet (80, 443)
- enkele specifieke machines welke een "bijzondere verbinding" outbound moeten maken wat losse regeltjes.

De raptor's hebben wat specifieke mogelijkheden om bijvoorbeeld ook in een pakketje op poort 80 te kijken of het wel echt http-verkeer is en niet een "stiekum" msn-pakketje ofzo. Dat soort grappen kan de FW-1 niet (heb ik me laten vertellen ?!)

[Bor]

Kan FW-1 ook hoor. Bedenk wel dat dat soort zaken erg veel performance kost. Wat FW-1 niet zelf kan kun je gewoon met een CVP server inrichten, dat is het mooie aan CheckPoint: ontzettend veel producten ondersteunen FW-1 zodat je ze er zo "in" kan hangen. Als het verkeer niet zo heel schokkend is zou ik voor de Cisco PIX gaan denk ik. Wil je ook VPN functionaliteit. Een firewall aanschaffen is altijd moeilijk, er is weinig informatie beschikbaar die er echt toe doet, de meeste firewalls doen op hoofdlijn hetzelfde. Hoe belangrijk is support voor je? CheckPoint kan verreweg het meest, maar daar hangt dan ook een prijskaartje aan. CheckPoint is de marktleider, gevolgd door Cisco met de PIX serie. Die firewall's hebben de meeste bedrijven en daar zul je absoluut het makkelijkste ondersteuning bij kunnen krijgen. Ben je al bekend met Cisco en Cisco CLI?

Verwijderd schreef op 27 september 2002 @ 09:48:
Ik verwacht in principe een behoorlijk basic setup te maken. Alles dicht, met een paar gaatjes:
- van het internet naar het dmz (25,110,80,443,vpn,etc)
- van het LAN naar het DMZ (oracle synchronisatie, smtp-relay, 80, 443,etc)
- van het externe segment naar internet (80, 443)
- enkele specifieke machines welke een "bijzondere verbinding" outbound moeten maken wat losse regeltjes.

De raptor's hebben wat specifieke mogelijkheden om bijvoorbeeld ook in een pakketje op poort 80 te kijken of het wel echt http-verkeer is en niet een "stiekum" msn-pakketje ofzo. Dat soort grappen kan de FW-1 niet (heb ik me laten vertellen ?!)

[Verwijderd]

Cisco en Cisco CLI?

Caller Line Identification ?? (waarschijnlijk niet )

Op zoek naar:
- VPN
- goede/snelle support
- n00b-interface
- performance
- schaalbaar
- uit te breiden met radius/IDS/etc.

[igmar]

Verwijderd schreef op 27 september 2002 @ 10:21:
[...]

Caller Line Identification ?? (waarschijnlijk niet )

Command Line Interface

Op zoek naar:
- VPN
- goede/snelle support
- n00b-interface
- performance
- schaalbaar
- uit te breiden met radius/IDS/etc.

Ik heb alleen ervaring met *BSD, Linux en PIX, dus voor FW-1 advies moet je niet bij mij wezen, de rest van m'n ideeen erover staan al in eerdere posts.

[Verwijderd]

schroevendraaier schreef op 26 september 2002 @ 20:03:
[...]


Kijk, dat is dus onzin. De GUI is zelfs geheel grafisch, dus klikken en slepen maar. Onderhuids kun je code kloppen, maar dat is 99 van de 100 keer niet nodig.
Kun je met windows uit de voeten, dan kun je de GUI bedienen. Kennis van C is geheel niet nodig. Wel moet je weten hoe je netwerk er uit ziet (topologie en functioneel), maar dat geldt voor alle firewalls.

daag, de Rules niet... Ja, mischien wel dat die ene hem wel mag zien en de andere niet. Maar ga jij er maar eens meer in verdiepen. Potverdikkie. Ik heb hier 2dagen code zitten kloppen

[Verwijderd]

igmar schreef op 27 september 2002 @ 10:52:
[...]
Command Line Interface

*doh*
Maar dat is wel gelijk het probleem. Ik ben daar zelf wel aardig in thuis, maar ben niet alleen, vandaar de voorkeur voor een n00b-interface

[...]


Ik heb alleen ervaring met *BSD, Linux en PIX, dus voor FW-1 advies moet je niet bij mij wezen, de rest van m'n ideeen erover staan al in eerdere posts.

Waarvoor dank

[Bor]

Verwijderd schreef op 27 september 2002 @ 10:57:
[...]

*doh*
Maar dat is wel gelijk het probleem. Ik ben daar zelf wel aardig in thuis, maar ben niet alleen, vandaar de voorkeur voor een n00b-interface

De PIX heeft ook een prima webinterface, die al aardig op de veelgeprezen FW-1 GUI gaat lijken. Via deze interface is 90% van de zaken te configureren. Dingen als VPN zal je met de CLI moeten doen. Wat is het budget dat je wilt besteden? Veel PIX modellen zijn goedkoper als FW-1. Als je deze laatste kiest zou ik een Nokia versie nemen, dan heb je vrijwel geen omkijken naar het OS wat "onder" de FW-1 draait. Als je de normale software matige versie FW-1 aanschaft blijf je bezig met het hardenen van het onderliggende OS. Ik heb ervaring met beide firewall's (ben CheckPoint Certified Engineer) maar ik kan je niet vertellen welke firewall je moet kiezen, dat is heel vaak een persoonlijke keuze. FW-1 en Cisco PIX zijn beide top of the bill firewalls. Zoals ik al eerder zei gaat de keuze vaak in de kleine details zitten of speciale behoeften.

[schroevendraaier480]

kweetniet welke firewall jbalk bedoelt, maar is zeker niet checkpoint (misschien een pix vanuit CLI).

Ik heb het misschien al eerder gezegd, maar je kan FW-1 ook prima op 'secure platform' draaien. Je kan dan zelf de intel hardware kiezen (a-merk, maar ook zelfgebouwde kloon). Het secure platform is een hardened linux wat door checkpoint zelf wordt gemaakt. Bovenop dit hardened OS draait dan FW-1 NG. UIt ervaring (ik is ook CCSA en CCSE) kan ik je garanderen dat het zeer stabiel is. Het voordeel ten opzichte van Nokia hardware is natuurlijk een lage aanschafprijs voor de hardware. Afhankelijk van de gekozen hardware zal de throughput vergelijkbaar zijn. Let wel, kies voor een a-merk (Compaq, HP) voor de hardware omdat je hier dan Carepaq o.i.d. op kan afsluiten, waarmee je snelle recovery van de hardware kan garanderen.

PIX van Cisco is zeker ook een goede keuze, maar vanuit de praktijk weet ik dat sommige mensen toch moeite hebben met managen. Vanaf PIX 6.1 kan ook PDM (Pix Device Manager) 2 of hoger worden geinstalleerd, waarmee je ook VPN's vanuit de GUI kan knutselen. PIX is zeker ook geen slechte keuze, maar ik prefereer toch FW-1

schroevendraaier shakes hands with bor_de_wollef

[hermanb|IA]

De firewalls van tunix kun je laten beheren. Is veel veiliger, want die worden geheel bewaakt voor je door experts die niets anders doen.
Is niet voor niks maar wel heel veilig. www.tunix.nl dus.

[Bor]

schroevendraaier schreef op 27 september 2002 @ 19:27:

Het secure platform is een hardened linux wat door checkpoint zelf wordt gemaakt. Bovenop dit hardened OS draait dan FW-1 NG. UIt ervaring (ik is ook CCSA en CCSE) kan ik je garanderen dat het zeer stabiel is.

Dus je hebt goede ervaringen met dit platform? Ik heb er zelf nog niet mee gewerkt. Heb je toevallig even snel een linkje voor mij voor meer info?

[schroevendraaier480]

http://www.checkpoint.com...otect/secureplatform.html

als je download access op de checkpoint site hebt (meestal het geval als je CCSA en CCSE bent) kun je de iso downloaden. Zeker de moeite waard om eens mee te spelen. Leuke tegenhanger van Nokia platform op Intel hardware te realiseren.

Misschien zinvol om eens een TUS (technical update session) te bezoeken. Als je bij een reseller of distri werkt kun je deze eens per kwartaal bijwonen. Aanmelden bij checkpoint.

[xychix]

Verwijderd schreef op 22 september 2002 @ 14:07:
[...]


Ik ben ook voorstander van bsd maar gezien de eisen niet toepasbaar in deze situatie. En hadware box met noob interface zou de oplossing kunnen zijn hier.

zijn er regelmatig wijzigingen in de ruleset dan ? is het misschien interessant om de machine extern te laten beheren (kan qua kosten wel uit bij weinig wijzigingen)

oopps..

ik zie nu net waarom jullie van extern beheer af willen.
Onthoud goed dat je er met een firewall alleen niet bent, de rules zullen ook met enige kennis van zaken opgezet moeten worden.

boven dien ben ik tooltje aan het bouwen om een deel van de PF ruleset te kunnen wijzigen (een aantal blijven er gewoon altijd instaan, zoals nooit 127.** adressen van buitenaf acceptered enz enz enz.)

[Bor]

schroevendraaier schreef op 28 september 2002 @ 17:57:
http://www.checkpoint.com...otect/secureplatform.html

als je download access op de checkpoint site hebt (meestal het geval als je CCSA en CCSE bent) kun je de iso downloaden. Zeker de moeite waard om eens mee te spelen. Leuke tegenhanger van Nokia platform op Intel hardware te realiseren.

Misschien zinvol om eens een TUS (technical update session) te bezoeken. Als je bij een reseller of distri werkt kun je deze eens per kwartaal bijwonen. Aanmelden bij checkpoint.

Download access heb ik geloof ik wel. Ben zelf nog niet zo lang CCSE. Waar kun je de download vinden? Ik neem aan onder Services and Downloads, maar dan?

[Redje]

Mark schreef op 20 september 2002 @ 14:25:
Zelf heb ik zeer goede ervaringen met Borderware. Maar persoonlijk lijkt het mij eens verstandig dat jij contact opneemt met een onafhankelijke leverancier (of eentje die meerdere merken aanbied). Een firewall van dit kaliber koop je niet voor een korte periode, maar voor minimaal een jaar of 3 (wat vaak redelijk dure contracten met zich meebrengt). Laat je dus goed adviseren.
Mocht je wat willen weten over Borderware kun je een contact opnemen met de mensen bij Radix. Als ik het me goed herriner kunnen zij ook het hele beheer en onderhoud regelen (uiteraard wel betaald).

Couldn't agree more

PIX en FW-1 zijn de bekendste en worden dus vaak geadviseerd als ik kijk naar de replies.

Borderware is gewoon een hele goede firewall(op basis van BSD).
Ik werk er zelf dagelijks mee, zeer makkelijk te installeren en nog makkelijker te configureren, en heeft zo'n beetje alle functies die jij zoekt.
Bij http://www.borderware.com/ kan je een eval downloaden.

[Bor]

Redje schreef op 30 september 2002 @ 01:35:
[...]


Couldn't agree more

PIX en FW-1 zijn de bekendste en worden dus vaak geadviseerd als ik kijk naar de replies.

Inderdaad, niet dat ik wil zeggen dat Borderware geen goed product is maar met support van bijvoorbeeld 3e partijen in noodgevallen oid is het altijd lastig. Met FW-1 en PIX zit je zowiezo goed en heb je het voordeel dat iedereen in firewall land "die taal spreekt" zodat je overal met vragen terecht kan. Verder heeft FW-1 het grote voordeel dat hij erg uitbreidbaar is middels het hele OPSEC gebeuren. Producten ondersteunen officieel snel FW-1 en PIX en dat is met een Borderware etc veel minder.

[Verwijderd]

Het lijkt er bijzonder veel op dat het inderdaad een FW1 op Nokia wordt. Ik heb inmiddels ook een kleine demo gehad van een oud-collega en de interface is idd bijzonder handig.

Dank voor de wijze woorden.

[vanwegen]

Ik zou als ik jou was toch ook even mijn licht laten schijnen op de producten van netscreen (www.netscreen.com)

Een heerlijke interface, snel, en beschikt over de eigeschappen die jij er van vraagt.

Wij hebben er een aantal staan bij diverse klanten en tot nu toe kan ik niet anders dan tevreden zijn.

[Verwijderd]

Checkpoint op Redhat linux (is 1 pakket) snelste wat er is vraag checkpoint zelf.
en je kan er bijna alles mee koffie moet je nl zelf halen.
Maar ja das nie goedkoop maar wel de beste

[schroevendraaier480]

Verwijderd schreef op 06 oktober 2002 @ 05:46:
Checkpoint op Redhat linux (is 1 pakket) snelste wat er is vraag checkpoint zelf.
en je kan er bijna alles mee koffie moet je nl zelf halen.
Maar ja das nie goedkoop maar wel de beste

wat je bedoelt is dus Secure Platform. Dat was al eens aangestipt alhier

[Verwijderd]

BigM321 schreef op 25 september 2002 @ 11:38:
Ik hoor niemand ISA Server van Microsoft noemen. Is daar een reden voor (en nu geen anti Microsoft pro linux discussie aub) Veel klanten gebruiken het en zijn zeer tevreden.

ik ben pro windows, maar ik zou isa nooit aanraden als 1ste firewall...
als 2de firewall prima... je kan er leuke dingen mee doen...

als ik verder een PIX vergelijk met checkpoint zou ik voor de PIX gaan... voornamelijk gebaseerd op prijs/kwaliteit en minder points of failure bij de pix...
(en zover ik weet kan checkpoint sqlnet niet interpreteren)

[MADSMILE]

Best Choice Nokia Firewall met CheckPoint software , Checkpoint is gewoon via GUI te benaderen. En SQLNET sessies werken gewoon bij ons , ( gerouteerd over 3 nokia/checkpoint firewalls ) , ook Cisco Pix is een aanbeveling , ken ik persoonlijk in detail niet. Gebruik idd nooit een M$ firewall als 1e ( eigenlijk liever nooit en dit niet omdat ik anti m$ ben ) , al zou ik zelf al nooit voor een software oplossing ( zakelijk ) kiezen.

[Bor]

MADSMILE schreef op 09 oktober 2002 @ 22:40:
al zou ik zelf al nooit voor een software oplossing ( zakelijk ) kiezen.

Hoe bedoel je die opmerking? De PIX en Nokia zijn in feite ook gewoon software matige oplossingen hoor, bovenop speciaal hiervoor ontwikkelde gehardende os-sen. Echt veel puur hardwarematigs zit er niet aan hoor. Inderdaad, het voordeel van een "box" is dat je het OS niet zelf hoeft te hardenen (ook al moet je ook die van patches voorzien zo nu en dan).

[Verwijderd]

http://www.smoothwall.co.uk/

is misshien ook wel wat

[Verwijderd]

Naast KPN zijn er ook nog andere partijen in de markt die firewall diensten op een managed manier aanbieden. Op basis van WatchGuard zijn dat onder andere VIA NET.WORKS en EasyNet. Wijzigingen en config wordt door deze beide partijen gedaan. Je betaald dan een vast bedrag per maand voor het beheer en management van de firewall. Configwijzigingen zijn bij VIA iig gratis en de responstijd ligt vast in een SLA.

[GBits]

Grappig dat ISA van Microsoft hier niet wat beter wordt besproken, is nml door ex-Checkpoint mensen gemaakt.
Nuttige site: http://www.isaserver.org/

[NoTo]

Lecram schreef op 31 oktober 2002 @ 17:13:
Grappig dat ISA van Microsoft hier niet wat beter wordt besproken, is nml door ex-Checkpoint mensen gemaakt.
Nuttige site: http://www.isaserver.org/

das idd een nuttige site, ik zit namelijk met hetzelfde probleem. ik moet een firewall op gaan zetten en mijn voorkeur gaat uit naar ISA server, vooral omdat ze hier op het bedrijf nietecht veel unix kennis hebben. maar door dit topic heb ik wel al een aantal leuke alternatieven tegengekomen.

ik wil trouwens ISA gaan gebruiken in combinatie met dit, maarja die komt pas in december op de markt. en dan moet m'n stageopdracht zo'n beetje af zijn

[GBits]

http://www.isaserver.org/software/ISA/Anti_Virus/

2 anti-virus paketten voor ISA.

[NoTo]

idd die had ik ook al gezien, vooral die bovenste is interessant. zeker omdat je files kunt blocken op type, het moet dan toch ook mogelijk zijn om mp3, mpg en avi files te blocken.
Maar ik ben zelf nog al tevreden over symantec. teminste ik ga er van uit dat de professionele pakketten nog beter zijn of minimaal even goed zijn als de n00b bestendige thuisgebruiker pakketten

[NoTo]

maarja ik krijg vanavond ISA Server van een vriend, dus vanaf maandag ga ik installeren en testen

Is er behalve ISA nog een andere onder windows werkende professionele gateway oplossing die mogelijkheden als ip en packet filtering bied?

[Redje]

Persoonlijk vond ik de ISA niet zo geweldig.
Trager dan bv. een linux iptables/squid bak.
Verder vind ik het ook niet zo fexibel, zo kan je geen multiport proxies aanmaken,
ook de firewall client is onzin imho.