Hardware Firewall

[Verwijderd]

Hallo mensen

ik weet niet of ik hier op de juiste plaats ben met het posten van deze thread.. anders moet die maar verhuist worden.

Ik zoek een firewall en dan niet zo'n 1 van een paar tientjes nee het gaat om een firewall van rond de 5 tot 10000 euro.. ofzo.. bv cisco, netscreen, symantec enz.

ik heb gehoord dat cisco firewall gewoon onder een OS draaie (windows/unix weet niet psies) en dat zoeken we niet..

minimale eisen:
VPN moet opgezet kunnen worden
minimaal 8 ports (voor bv verschillende DMZ)
makelijk beheer (bv met een web interface)
misschien ook een soort van virusscan eral ingebouwd
het liefs met vlan support
1 gigabit port (glas)

dat was hem even, ik mis nog een hoop maar dat tik ik in de loop van de dag er wel ff bij..

[Juicy]

Typisch een "Post je vraag en wacht op een kant-en-klaar antwoord" topic ...

[ Voor 167% gewijzigd door Juicy op 10-02-2004 12:33 ]

[GBits]

Ik zou tegenwoordig niet meer voor hardware firewalls gaan.
Een hardware firewall is niets meer dan een OS (bsd of iets eigens) + de firewall software.

Ik ben wel onder de indruk van Microsoft's ISA server 2004.
Ben je ook voor onder de 10k euro klaar.
http://www.microsoft.com/isaserver/beta/default.asp

[leuk_he]

Voor dat soort bedragen wil je blijkbaar nogal wat.

Ga eens bellen/mailen met wat bedrijven, die kunnen je vast vertellen wat voor soort oplossingen er zijn .

b.v.:

http://www.getronics.com/...isatie/infrastructure.htm

[Verwijderd]

Typisch een "Post je vraag en wacht op een kant-en-klaar antwoord" topic ...
Zo werkt het hier dus niet !

Misschien heeft er iemand wel een goeie type staat ik kan het zo niet vinden ben al wat site af gegaan.. maar het is een moeilijke keuze.. maar ik zou zeggen.. heb je niks op me vraag te melden, post dan gewoon niet..

[Verwijderd]

leuk_he schreef op 10 februari 2004 @ 09:23:
Voor dat soort bedragen wil je blijkbaar nogal wat.

Ga eens bellen/mailen met wat bedrijven, die kunnen je vast vertellen wat voor soort oplossingen er zijn .

b.v.:

http://www.getronics.com/...isatie/infrastructure.htm

ja een bedrijf met cisco en netscreen producten komen langs maar misschien zijn er nog andere goeie merken ofzo..? bedank voor je link in elkgeval

[Miki]

Verwijderd schreef op 10 februari 2004 @ 09:27:
[...]


Misschien heeft er iemand wel een goeie type staat ik kan het zo niet vinden ben al wat site af gegaan.. maar het is een moeilijke keuze.. maar ik zou zeggen.. heb je niks op me vraag te melden, post dan gewoon niet..

Blijkbaar doe je je huiswerk niet eens goed. Cisco systemen hoeven helemaal niet onder een OS te draaien, ut kan wel. Hun management systemen draaien in tegenstelling wel onder heel veel OS'en. Daarnaast je kunt als bedrijf zijnde ook verschillende offertes aanvragen, geheid dat er een leuke tussen zitten. Als je die info hebt, kom dan een topic openen met ervaringen die en die router/firewall ofzo.

[Verwijderd]

Lecram schreef op 10 februari 2004 @ 09:11:
Ik zou tegenwoordig niet meer voor hardware firewalls gaan.
Een hardware firewall is niets meer dan een OS (bsd of iets eigens) + de firewall software.

Ben ik nadrukkelijk niet met je eens. Er zijn wel degelijk firewalls die niet op een OS gebaseerd zijn. (ASIC based) Denk aan Netscreen, Sonicwall etc.

Omdat het OS waar de FW op draait een potentieel beveiligingslek is, ook al harden je het OS.

Mijn persoonlijke voorkeur gaat uit naar Netscreen, maar er zijn nog zat andere keuzes.

@TS... 5 - 10 K? Wat wil je met dat ding. Een hardware based firewall met 8 poorten/zones koop je daar niet voor.

[Bor]

Miki schreef op 10 februari 2004 @ 09:31:
[...]

Cisco systemen hoeven helemaal niet onder een OS te draaien, ut kan wel.

Cisco systemen draaien onder ios, ofwel Internetworking Operating System.

Het nadeel aan een asic is juist dat het vrijwel nooit geupdate KAN worden.

Kijk ook eens naar de nokia checkpoint producten. Erg snel en zeer uitgebreid. Maar eigenlijk vind ik dat je zelf wel wat meer research mag doen. Gebruik google, bezoek de sites van diverse leveranciers en maar daaruit een selectie (klein marktonderzoekje). Vraag offertes aan en post daarna nog eens een topic.

[ Voor 45% gewijzigd door Bor op 10-02-2004 09:40 ]

[Rob]

Mag ik vragen in wat voor omgeving de machine komt te staat en wat de verwachte 'load' wordt voor het apparaat?

[bonzz.netninja]

ja precies, waar in je netwerk komt het ding te hangen, hoe zijn jullie verbonden, etc etc. Dat maakt namelijk nogal wat uit, zeker prijs kaartje zou nogal kunnen fluctueren. Daarnaast is de vraag of je wel een risicoanalyse hebt uitgevoerd. Wat is de schade bij falen firewall...etc etc. Zou die schade namelijk niet erg hoog zijn, heeft het geen zin om veel kosten te maken. En is de firewall de oplossing voor je probleem, of ligt het mogelijke risico ergens anders....

[leuk_he]

bonzz.netninja schreef op 10 februari 2004 @ 09:43:
Daarnaast is de vraag of je wel een risicoanalyse hebt uitgevoerd. Wat is de schade bij falen firewall...etc etc. Zou die schade namelijk niet erg hoog zijn, heeft het geen zin om veel kosten te maken. En is de firewall de oplossing voor je probleem, of ligt het mogelijke risico ergens anders....

Ik denk dat bonzz hier een belangrijk punt heeft.

Je beveiligings infrastuctuur is veel belangrijker dan welk stuk ijzer je neerzet. Het heeft geen zin een top of the line firewall neer te zeten als elke persoon in je organisatie vervolgens wordt toegestaan kazaa te draaien.

Ook het feit dat er "Geen OS" op mag draaien is vreemd. Elk os kan inderdaad lek zijn, maar gespecialiseerde OS'en hebben daar heel veel minder last van dan windows XP/ de laatste linux distibutie. Bovendien is het dan te repareren , terwijl een stuk hardware vervangen moet worden. (DUUUR!)

Ik denk dat je eerst maar eens moet gan praten met een onafhankelijk bedrijf die meer dan 1 oplossing levert om je requirements lijstje eens door te nemen, en kijken of er niet meer bij komt kijken dan de aankopen van een stuk ijzer.

[teigetjuh]

Voor die prijscategorie wordt het een softwarematige oplossing. Hardwarematig is nog een stukje prijziger. Voordeel van hardwarematige oplossingen is dat je je niet hoeft druk te maken over het onderliggende OS (als je het nog zo mag noemen) en dat de performance vaak beter geoptimaliseerd is.

Softwarematig kom je uit bij checkpoint (draait ook op de nokia-firewalls), linux/BSD-oplossingen. Misschien is securepoint iets?

[teigetjuh]

Bor_de_Wollef schreef op 10 februari 2004 @ 09:33:
[...]


Cisco systemen draaien onder ios, ofwel Internetworking Operating System.

Het nadeel aan een asic is juist dat het vrijwel nooit geupdate KAN worden.

Kijk ook eens naar de nokia checkpoint producten. Erg snel en zeer uitgebreid. Maar eigenlijk vind ik dat je zelf wel wat meer research mag doen. Gebruik google, bezoek de sites van diverse leveranciers en maar daaruit een selectie (klein marktonderzoekje). Vraag offertes aan en post daarna nog eens een topic.

Sorry hoor maar de Cisco PIX firewaals draaien dus NIET met IOS (dat doen voornamelijk de routers), maar op finesse. De Nokia's draaien op een gestripte linux in combo met Checkpoint Firewall-1. Maar TS mag inderdaad wel eerst ff goed gaan googlen.

[Jazzy]

teigetjuh schreef op 10 februari 2004 @ 10:15:
Voor die prijscategorie wordt het een softwarematige oplossing. Hardwarematig is nog een stukje prijziger. Voordeel van hardwarematige oplossingen is dat je je niet hoeft druk te maken over het onderliggende OS (als je het nog zo mag noemen) en dat de performance vaak beter geoptimaliseerd is.

Nee hoor, een flinke Cisco PIX515E (wat voor de meeste situaties wel voldoende is) kost minder dan dat bedrag. Overigens draait iedere hardware-firewall gewoon op een OS, in dit geval IOS. (Edit: Laat maar, die 8 interfaces kunnen wel eens lastig worden in deze prijsklasse)

Gezien het belang en de kosten van zo'n investering is het wel belangrijk dat je de overwegingen aan iemand toevertrouwt die over een zekere mate van clue beschikt. Zolang dat niet het geval is kun je je alles aan laten smeren omdat je niet in staat bent om goed te beschrijven wat je wilt. Pas daar mee op, ik heb er ervaring mee.

[ Voor 5% gewijzigd door Jazzy op 10-02-2004 10:21 ]

[Verwijderd]

de firewall moet zo goed mogelijk zijn.. want het gaat hier om "lab onderzoek" data wat over het netwerk gaat.. het bedrijf heeft een internet verbinding met 2 webservers in de server kamer die in een DMZ hangen.. verder staat er allemaal "server" in het bedrijf die ook weer bepaalde toepassingen draaie en dus ook weer bepaalde rechten moeten hebben op die firewall.. dan hebben we nog guest computers waar gasten achter kunnen zitten maar niet op het netwerk mogen komen maar wel kunnen internetten..

ik hoor al verschillende meningen over hardware en software firewalls
er draait altijd wel een OS op de machine maar de firewall moet wel optimaal werken..

[Verwijderd]

Lecram schreef op 10 februari 2004 @ 09:11:
Ik zou tegenwoordig niet meer voor hardware firewalls gaan.
Een hardware firewall is niets meer dan een OS (bsd of iets eigens) + de firewall software.

Ik ben wel onder de indruk van Microsoft's ISA server 2004.
Ben je ook voor onder de 10k euro klaar.
http://www.microsoft.com/isaserver/beta/default.asp

Ik hoop dat die beter werkt als de vorige versie. Het hele bedrijfsnetwerk op zijn gat, alles werd denied etc. etc, en toch was alles door een mannetje van Microsoft goed ingesteld. ISA server werd er na een maand weer uigeknikkerd

[Verwijderd]

gelukkig werk ik er niet alleen anders zou het een ramp zijn kwa beveiliging..

ik doe alleen voor me zelf wat research misschien dat ik daar wat wijzer uit wordt.. want

[leuk_he]

Jazzy schreef op 10 februari 2004 @ 10:20:
[...]
Zolang dat niet het geval is kun je je alles aan laten smeren omdat je niet in staat bent om goed te beschrijven wat je wilt. Pas daar mee op, ik heb er ervaring mee.

Hoewel enigzins off-topic denk ik wel dat het hier wellicht leerzaam is deze ervaring een s hier te posten/linken ?

offtopic:
leuk he zit met smart te wachten op sappige verhaatljes.

[DJ]

Ik ben een grote fan van Borderware (www.radix.nl). Is wel een dure oplossing, maar draait op een eigen OS (het IS een OS) afgeleid van volgens mij NetBSD (maar daar kan ik naast zitten). Het draait op een iNTEL doos met 3 of meer netwerk kaarten (moeten wel voldoen aan bepaalde eisen).

Maar, zoals al veel mensen hiervoor gemeld hebben, bel leveranciers en laat verschillende offertes uitbrengen, en laat mensen adviezen uitbrengen. Huur desnoods een (of meerdere) security specialisten in om een audit uit te voeren. Dan kunnen ze jou een beter advies geven en dus ook een betere offerte.

Bezint eer ge begint!

[Verwijderd]

Wij hebben een firewall van kahuna. www.kahuna.nl
deze kunnen zeker weten de firewall die jij wilt leveren.

succes

[paulhekje]

Verwijderd schreef op 10 februari 2004 @ 10:56:
Wij hebben een firewall van kahuna. www.kahuna.nl
deze kunnen zeker weten de firewall die jij wilt leveren.

die leveren o.a. WatchGuard: machine die moeite heeft met een paar blaster besmettingen, alle internetverkeer plat!

maar ja, met alle firewalls is wel eens iet mis

[ Voor 8% gewijzigd door paulhekje op 10-02-2004 12:09 ]

[Jazzy]

leuk_he schreef op 10 februari 2004 @ 10:45:
[...]


Hoewel enigzins off-topic denk ik wel dat het hier wellicht leerzaam is deze ervaring een s hier te posten/linken ?

offtopic:
leuk he zit met smart te wachten op sappige verhaatljes.

Dat is inderdaad wel leerzaam, en ik schaam me niet voor mijn fouten.

Toen ik nog maar kort als systeembeheerder werkte moest ik voor ons bedrijf de internettoegang aan gaan pakken. De hoofdlokatie ging via een Smoothwal firewall via ISDN naar het internet, tussen de hoofd- en sublokatie lag een ISDN-lijn met 2 ISDN-routertjes. Die ISDN-lijn lag ongeveer 8 uur per dag open (interlokaal) en dat was dus veel te duur.

De vraag:
Dat moest anders dus ik wilde op beide lokaties een DSL lijn met 2 x een firewall en een VPN verbinding. Het doel was: snel internet en VPN tussen de lokaties. Verder wilden we inzicht in het internetgebruik en de mogelijkheid om het internetten te beperken voor gebruikers (op basis van AD-groepen). Ook wilden we thuiswerken mogelijk maken.

Omdat ik van deze materie nog niet voldoende wist heb ik een bedrijfje in de hand genomen die dit al x keer gedaan had en het zeker kon leveren. Hun offerte/projectbeschrijving besloeg 1,5 A4-tje inclusief simplistisch schetsje. De tekst beloofde wat we vroegen en nadat we het mondeling hebben doorgesproken zijn ze aan de slag gegaan.

Technisch zat de oplossing op zich prima inelkaar: Cisco PIX515E op de hoofdlokatie met een 512/512 SDSL lijn. Op de sublokatie een PIX501 achter een XS4all ADSL lijn (eigen wens, want goedkoop). Op beide PIX-en werdt een VPN-tunnel opgezet en de routering in de netwerken aangepast. Op de hoofdlokatie werd IAS geconfigureerd zodat adhv. een AD-groep kon worden bepaald of een gebruiker wel of niet naar buiten mag. Op een werkstation werdt een Syslog deamon gezet die de logs van de firewall zou opvangen.

Resultaat:
So far so good, denk je dan. Wat ging er uiteindelijk mis:
- Als er stevig gesurfd wordt op één van de lokaties dan blijft er onvoldoende bandbreedte over voor de VPN-tunnel. Met de ISDN-lijn was er altijd 64/128 kb maar als iemand nu een bestand binnen haalt dan daalt de bandbreedte naar 0.

- Als iemand op zijn werkplek wil internetten dan moet hij zijn naam en wachtwoord ingeven om gevalideerd te kunnen worden, helaas wordt dat niet onthouden dus na 30 minuten geen activiteit moet dat opnieuw. Onacceptabel.

- Slechts één vraag kon via IAS getoetst worden aan AD-groepen, wij wilden zowel bepalen wie VPN-toegang vanuit huis krijgt, als wie van binnenuit mag internetten.

- De logging van de firewall is niet geschikt om te bekijken wie bijvoorbeeld het meeste internet gebruikt of welke websites bezocht zijn, een goede loganalizer is niet geleverd.

- Het zou mogelijk zijn om de oude ISDN-lijn als backup te houden, helaas moet ik dan stekker om prikken en de routering aanpassen, ook op de remote lokatie.

Conclusie:
Les 1: Kijkend naar de offerte heb ik gekregen waar ik voor betaald heb. Als je inhoudelijk niet goed kunt sturen omdat je geen kennis hebt dan moet je heel goed formuleren welk eindresultaat je wilt behalen. Doordat ik dat niet duidelijk heb gedaan heb ik niet (volledig) gekregen wat ik wilde.

Les 2: Een goede opdrachtnemer luistert goed, tast af wat de klant écht wil en past zijn aanbieding daar op aan. Het bedrijfje heeft zich er redelijk makkelijk vanaf gemaakt door een 80% oplossing op te leveren. Voor het steeds moeten aanloggen hadden ze geen oplossing, ook het bandbreedte probleem, de gebrekkige logging en de onvoldoende 'regel en beperk-mogelijkheden' hebben ze niet kunnen oplossen.

Ik hoop dat je hier wat mee kunt.

[igmar]

Verwijderd schreef op 10 februari 2004 @ 09:32:
[...]


Ben ik nadrukkelijk niet met je eens. Er zijn wel degelijk firewalls die niet op een OS gebaseerd zijn. (ASIC based) Denk aan Netscreen, Sonicwall etc.

Ah, en hoe doe je dan je config ? Een nieuwe ASIC bakken ? Die ASIC zijn onderdeel van het geheel, en versnellen over het algemeen het geheel. Op al die systemen draait zonder uitzondering een embedded OS.

Omdat het OS waar de FW op draait een potentieel beveiligingslek is, ook al harden je het OS.

Een 100% ASIC bases FW bestaat gewoonweg niet. Het risico is mede afhankelijk van de complexiteit, maar over het algemeen zijn de meeste producten behoorlijk veilig.

[igmar]

Bor_de_Wollef schreef op 10 februari 2004 @ 09:33:
Cisco systemen draaien onder ios, ofwel Internetworking Operating System.

Een PIX draait geen IOS. De enige overeenkomst is de config, die op die van IOS lijkt. Onder water zijn de verschillen echter aanzienlijk.

[Bor]

igmar schreef op 10 februari 2004 @ 11:52:
[...]


Een PIX draait geen IOS. De enige overeenkomst is de config, die op die van IOS lijkt. Onder water zijn de verschillen echter aanzienlijk.

Dat is al eerder aangegeven. Ik had het ook niet noodzakelijkerwijs over de PIX serie trouwens, welke inderdaad geen ios draait.

[bonzz.netninja]

leuk_he schreef op 10 februari 2004 @ 10:08:
[...]


Ik denk dat bonzz hier een belangrijk punt heeft.

Je beveiligings infrastuctuur is veel belangrijker dan welk stuk ijzer je neerzet. Het heeft geen zin een top of the line firewall neer te zeten als elke persoon in je organisatie vervolgens wordt toegestaan kazaa te draaien.

Ook het feit dat er "Geen OS" op mag draaien is vreemd. Elk os kan inderdaad lek zijn, maar gespecialiseerde OS'en hebben daar heel veel minder last van dan windows XP/ de laatste linux distibutie. Bovendien is het dan te repareren , terwijl een stuk hardware vervangen moet worden. (DUUUR!)

Ik denk dat je eerst maar eens moet gan praten met een onafhankelijk bedrijf die meer dan 1 oplossing levert om je requirements lijstje eens door te nemen, en kijken of er niet meer bij komt kijken dan de aankopen van een stuk ijzer.

ja, maar ook vooral, de juiste tool voor de juiste situatie. Je praat over lab informatie, maar is het hele waardvolle informatie, of is het eigenlijk gewoon openbaar goed. En wat voor onderzoek is het, doen jullie iets uniek wat niemand anders kan, of is het gewoon lopende band werk. Wil je de bestanden beveiligen tegen buitenaf, of tegen binnenaf.

Stel, het is redelijk belangrijke informatie, maar als het lekt, is de schade laten we zeggen een paar duizend euro aan mogelijke (nogmaals MOGELIJKe, want het staat helemaal niet zeker dat de informatie gebruikt kan worden) schade, en nouwelijks intellectuele waarden (geen spannend onderzoek). Waarom zou je dan een systeem er neer zetten wat meer kost dan de kosten van de beveiliging?? Bedrijfs technisch gezien slaat dat namelijk nergens op. Ok, natuurlijk is het balen als er informatie kwijt raakt, maar wat is de daadwerkelijke schade, bedenk dat eerst, en schaf aan dehand daarvan de beste oplossing aan. En ga dus niet hardware kopen omdat het zo l33t of vet is, en lekker duur, dus goed, of ozo mooi in elkaar zit.

[ Voor 4% gewijzigd door bonzz.netninja op 10-02-2004 13:44 ]

[Charly]

DID, de bedragen die je noemt en de te beveiligen informatie is niet kinderachtig te noemen. Maar afgaande op wat je hier post heb je zelf niet echt veel kennis van zaken, is het geen beter idee om je trots even opzij te zetten en een specialist te huren om hier naar te kijken en een goede oplossing voor te zoeken en te implementeren?

Of ga eens met verschillende leveranciers babbelen, ik denk dat je daar voor een dergelijk project meer aan hebt dan een 'hobby forum' als GOT.

[ Voor 19% gewijzigd door Charly op 10-02-2004 13:44 ]

[bonzz.netninja]

hobby forum?? excuse me:)

[Jazzy]

bonzz.netninja schreef op 10 februari 2004 @ 13:44:
hobby forum?? excuse me:)

Als je in zijn posthistory kijkt dan begrijp ik het wel...

Maar inderdaad, in dit deel van het forum ligt het niveau (als het goed is) wel wat boven het gemiddelde.

[Jazzy]

leuk_he schreef op 10 februari 2004 @ 10:45:
Hoewel enigzins off-topic denk ik wel dat het hier wellicht leerzaam is deze ervaring een s hier te posten/linken ?

offtopic:
leuk he zit met smart te wachten op sappige verhaatljes.

En, had je er wat aan? Ik heb dat verhaal toch niet voor niets zitten uittypen hoop ik?

[bonzz.netninja]

een jazzy, ik zit net naar je site te kijken. Ik heb nog een epsonpx8 liggen, hebben?

en terug ontopic. Ik vond je verhaal wel leuk hoor

[leuk_he]

Jazzy schreef op 10 februari 2004 @ 13:48:
[...]
En, had je er wat aan?

[rdoorn]

Over hardware en software firewall; hier: http://www.smoothwall.net/products/softwarefirewall.html
een aardig artikel over de voordelen van een software fw. (geschreven door een leverancier van een SoftwareFW natuurlijk).

Ik ben trouwens bezig met een zelfde onderzoek, maar dan voor een mkb bedrijf. Dus 40 mensen, hoge beveilingseisen, en vpn, maar het mag niets kosten.
Mijn oog viel op smoothwall, hoe zijn de ervaringen hiermee?

[Verwijderd]

Mja, verhaaltjestijd is over.

Ik stel voor dat je met je nogal geringe kennis en mogelijkheid je eisen goed onder woorden te brengen, kiest voor een consultant. Ga met duidelijk eisen eens met wat lui om de tafel zitten en probeer iets te regelen.

Op deze manier heeft niemand er echter wat aan. Je dumpt hier een vraag zonder zelf ook maar íets uitgezocht te hebben en verwacht dat wij je de beste machine aanraden. Sorry, maar zo werkt het hier niet; het moet van twee kanten komen.

En voor Jazzy en leuk_he: Systeembeheerders en hun problemen :) deel 3