[ervaring] Netscreen-50 / Symantec Firewall/VPN 200

[Verwijderd]

Hallo Tweakers,

Ik ben systeembeheerder in een organisatie waar we 25 externe lokaties hebebn. Deze lokaties maken over internet m.b.v VPN tunnels verbinding met de hoofdlokatie.
Dit zijn zogenaamde subnet to subnet tunnels (site to site). De tunnel is dus volledig transperant. Met andere woorden: vanaf de buitenlokaties kan ik alle servers/pc's bereiken op de hoofdlokatie en visa versa.

En hier ben ik dus niet zo gelukkig mee.

In principe hoeven de buitenlokaties alleen verbinding te maken met de terminal servers en dan alleen op poort 3389. Simpel gezegd: De VPN tunnels moeten centraal op de hoofdlokatie gefirewalled worden.

Eitje zou je zeggen, maar helaas

Op de externe lokaties staan Zyxel zywall 10 routers. Op de hooflokatie staat een Zyxel Zywall 100 router. Je kunt het zo gek niet bedenken of het kan dicht getimmerd worden met firewall regels. Helaas hebben deze firewall regels geen invloed op het verkeer wat door de vpn tunnels binnenkomt.

Ik heb hierover contact gehad met Zyxel en ze erkennen het probleem. Beetje jammer dat ze er niks aan gaan doen. Ben ik dus mooi klaar mee


Het is mogelijk om tussen ons lan en de lan poort van de Zywall100 een linux machine te hangen (bridge) en dan met behulp van Iptables het zaakje alsnog dicht te timmeren. Dit betekend wel dat mocht de linux machine uitvallen dat de externe lokaties geen verbinding meer kunnen maken. Daarnaast ben ik de enige met (enige) linux kennis hier, dus loop ik morgen onder de trein dan hebben we ook een probleem.


Nu heb ik 2 routers gevonden die wel aan mijn eisen voldoen denk ik. Het kastje van Netscreen of het kastje van Symantec.

Mijn gevoel zegt neem de Netscreen. Veel technische documentatie over te vinden en veel positieve reacties op internet (got e.d). Ook het dichttimmeren van de vpn tunnels is volgens de handleiding een eitje. Helaas is de prijs 5000 euro wat aan de hoge kant.

De Symantec Firewall/VPN 200 is voor slechts 1000 euro te koop. Echter op internet is meer commercieel geblabla te vinden dan echte technische handleidingen e.d Daarnaast kan ik uit de handleiding niet echt opmaken of dat het mogelijk is om VPN tunnels dicht te timmeren tot op applicatie nivo.

Kan de Symantec de vpn tunnel wel dicht timmeren dan kan ik net zo goed voor deze router gaan, scheelt 4000 euro en als ie doet wat ie moet doen, dan is het toch goed? Of hebben jullie toch de voorkeur voor de Netscreen (of een andere hardwarematige router) ???


Cisco is voor ons geen oplossing. we zijn hier geen cisco goeroes, dus een webinterface is wel een pre.
Op de hoofdlokatie hebben we een 2Mbit SDSL lijn liggen. Beide routers kunnen 2 MBit simpel handelen.

Iemand een goed advies voor mij of ervaring met een van deze 2 producten?

[Abom]

Mag ik toch even op cisco terug komen?

Laat iemand de standaard instellingen van de cisco configureren en vervolgens krijg je gewoon een webinterface waarmee je heel gemakkelijk je firewall en VPN kunt configureren.
Dat heb ik hier ook 'laten' doen, imo hoef je geen goeroe te zijn voor een cisco PIX ofzo.

[Whieee]

http://www.gfo.nl/

ZIj bieden o.a. de iKloak Firewall aan, die voor dit soort zaken uitermate geschikt is. Deze is ook linux based, maar middels een webgui eenvoudig te beheren. De prijs is voor zover ik weet ook een stuk lager. Ik raad je zeker aan om eens contact op te nemen met hen.

[Acmosa]

Als je echt alleen firewalling wil doen met goede rule sets dan raad ik de netscreen aan.
Dat is echt een topper wat rules en de configuratie mogelijkheden betreft. Je kan ook per rule aan geven hoeveel bandbreedte hij in beslag mag nemen of reserveren.

[Bud_s]

* Bud_s ook zeer tevreden over de Netscreens zowel de NS-25 als de NS-5

Handige webinterface, met zelfs wat wizzardjes er in voor het opzetten van nieuwe verbindingen.

Idd de mogelijkheid om het verkeer per verbinding per poort in te stellen.

Ook dailup werkt super met de Netscreen remote client
Die symantec ken ik niet, kan er dus niks over zeggen.

[Acmosa]

off-topic:

Bud_s schreef op 04 juni 2004 @ 16:10:
* Bud_s ook zeer tevreden over de Netscreens zowel de NS-25 als de NS-5

Handige webinterface, met zelfs wat wizzardjes er in voor het opzetten van nieuwe verbindingen.

Idd de mogelijkheid om het verkeer per verbinding per poort in te stellen.

Ook dailup werkt super met de Netscreen remote client
Die symantec ken ik niet, kan er dus niks over zeggen.

Weet je misschien wat die remote client software kost? Geen van mijn leveranciers kan fatsoenlijk antwoord geven.

[Whieee]

De netscreen is inderdaad niet verkeerd, maar persoonlijk prefereer ik de iKloak. Deze heeft is qua functionaliteit en capaciteit toch beter.

[Taigu]

Die software kost dacht ik rond de 100euro voor 10 clients, komt nog wat bij als je daar upgrade contracten bij hebt. Ik ben niet zo heel blij met de software overigens, het is voor laptopgebruikers gewoon niet handig om de policy te moeten enablen en disablen. Wat dat betreft zou ik het liefst iets als de cisco client zien icm netscreens, maarja...

[ Voor 15% gewijzigd door Taigu op 05-06-2004 16:39 ]

[GrittyKitty]

mag ik hiero iets toevoegen: koopt geen symantec vpn firewall 200 of hoe heet die nou..

We hadden hier de 100 versie maar we zijn niet tevreden over die product, en die symantec helpdesk support is ook gen van de beste. Die hebben we, met de komst vn nieuwe dsl abbo, vervangen met vigor 2600 (aangezien dat we maar 2 locaties moeten verbinden). Het was dan ook tijdje geleden.

Netscreen, cisco etc. heb ik geen ervaring. maar zo te horen van andere gebruiker zijn ze ook goed, of beter dan die symantec.

[Verwijderd]

Wij op de zaak gebruiken watchguard firewall's, die heb je in verschillende soorten en maten en kunnen wat jij wil.

Symantec hebben wij ook bekeken maar ook niet echt tevreden over de service.

[ Voor 32% gewijzigd door Verwijderd op 05-06-2004 17:50 . Reden: spatie / symantec ]

[iceme]

Wij gebruiken al 2 jaar Netasq www.netasq.com misschien iets minder bekend in nederland maar deze kunnen ook alles wat jij wilt met een mooie stukje software erbij om ze te configureren en te beheren en te monitoren.

[Verwijderd]

ik zou ook voor cisco gaan, dan heb je een doos met alle functies die je nodig hebt, dat houtje touwtje netwerken vind ik niet zo geweldig.

cisco = 1 doos

[Taigu]

Suggereer je nou dat Netscreen / Symantec houtje touwtje oplossingen zijn ?

[Verwijderd]

buddhole schreef op 07 juni 2004 @ 08:58:
Suggereer je nou dat Netscreen / Symantec houtje touwtje oplossingen zijn ?

Je insinuatie doet dat haast geloven, ik refereer echter slechts naar de methodiek.

Ik suggereer dat een ketting oplossing vaak ook ketting problemen kan opleveren.

[paulhekje]

Verwijderd schreef op 07 juni 2004 @ 09:52:
[...]

Je insinuatie doet dat haast geloven, ik refereer echter slechts naar de methodiek.
Ik suggereer dat een ketting oplossing vaak ook ketting problemen kan opleveren.

Misschien wordt het tijd met argumenten te komen
Noem eens een type cisco dat voldoet aan alle eisen van de TS, waarbij je alles wat nodig is via de webinterface kunt instellen?

De TS heeft goed uiteen gezet wat hij wil. Een goede vergelijking op prijs, specs en ervaringen.
Ik heb kort met de Netscreen-50 gewerkt, deze heeft een prima web-interface. De CLI heb je bijna nooit nodig. Mijn ervaring met cisco web interfaces is dat er te weinig mogelijkheden inzitten, je hebt tevaak de CLI nodig.

Symantec heeft bij mij niet zo'n goede naam, maar dat is niet gebaseerd op hun firewall product. (NAV; AV for ISA)

[Verwijderd]

paulhekje schreef op 07 juni 2004 @ 10:16:
[...]

Misschien wordt het tijd met argumenten te komen
Noem eens een type cisco dat voldoet aan alle eisen van de TS, waarbij je alles wat nodig is via de webinterface kunt instellen?

De TS heeft goed uiteen gezet wat hij wil. Een goede vergelijking op prijs, specs en ervaringen.
Ik heb kort met de Netscreen-50 gewerkt, deze heeft een prima web-interface. De CLI heb je bijna nooit nodig. Mijn ervaring met cisco web interfaces is dat er te weinig mogelijkheden inzitten, je hebt tevaak de CLI nodig.

Symantec heeft bij mij niet zo'n goede naam, maar dat is niet gebaseerd op hun firewall product. (NAV; AV for ISA)

Het argument was al genoemd, houtje touwtje netwerken, ik vertel echt niet dat een cisco het gemakkelijkst te configgen is, ik vertel alleen dat het gebruiken van meerdere doosjes het er echter niet makkelijk op maakt.

Maar ook cisco heeft hier oplossingen voor in de vorm van sdm die vpn wizzards, acces-listen en ga zo maar door via een http of https interface kan aanbieden.

http://www.cisco.com/en/US/products/sw/secursw/ps5318/


Dus begrijp ik niet waarom cisco geen optie is. Ik vind het zelf veel beter als al die losse niet 19'kastjes onderin een rack met die losse block voedinkjes aan elkaar geknoopt.

Doe mij maar een 2610xm vpn bundle met sdsl wic alles in een doosje.

[ Voor 40% gewijzigd door Verwijderd op 07-06-2004 11:01 ]

[Verwijderd]

dubbel

[ Voor 99% gewijzigd door Verwijderd op 07-06-2004 10:52 ]

[paulhekje]

Een netscreen-50 is gewoon 19", en vergelijkbaar met cisco qua betrouwbaarheid en functionaliteit. geen houtje-touwtje m.i.
Cisco buitensluiten als keuze optie is inderdaad voorbarig.

[Verwijderd]

Ik heb de cisco pix 501 even bekeken. De standaard versie is stukken goedkoper dan een NS-50/Symantec doosje. Standaard kan die Pix slechts 10 vpn verbindingen verwerken. Ik heb er zeker 30 nodig en met oog op de toekomst wil ik toch een kastje hebben dat 50 vpn verbindingen kan verwerken. Ik neem aan dat ik dan met alleen een IOS upgrade er niet ben?

Mijn ervaring met zulke wizzards en dergelijke is toch de berperkte functinaliteit en moet het fijn tunen toch via de cli gebeuren. En na die aanpassingen in de cli is in 9 van de 10 gevallen de wizzard niet meer bruikbaar omdat je via de cli hebt liggen rotzooien.

Momenteel hebben we hier een Cisco2600 draaien (bijna uitgefaseerd). Deze hebben we een aantal jaren geleden geconfigureerd. Het werkt allemaal als een trein en stabiel (dat moet je die jongens van Cisco wel meegeven). Nu moest er pas geleden een gateway aangepast worden. Niemand had de afgelopen 2 jaar naar de 26000 omgekeken en de IOS kennis was al weer zo ver weggeebt dat we gewoon te lang bezig zijn geweest om die gateway aan te passen. (Daarnaast draait die 2600 in een productie omgeving dus enige voorzichtigheid was geboden)

Wat ik met bovenstaand verhaal wil zeggen: Cisco is mooi en stabiel. Als je IOS beheerst dan ben je heer en meester over je Cisco router. Maar zoals in mijn geval als je bijna nooit met IOS werkt (en dus een beperkte kennis hebt) dan werkt het niet.

Mijn collega's denken er net zo over dus een cisco oplossing krijg ik niet binnen gepraat hier.

@Abom: Heb je misschien wat schermafdrukken van je web interface? Ben wel benieuwd hoe het eruit ziet.

[Verwijderd]

Verwijderd schreef op 07 juni 2004 @ 12:01:
Ik heb de cisco pix 501 even bekeken. De standaard versie is stukken goedkoper dan een NS-50/Symantec doosje. Standaard kan die Pix slechts 10 vpn verbindingen verwerken. Ik heb er zeker 30 nodig en met oog op de toekomst wil ik toch een kastje hebben dat 50 vpn verbindingen kan verwerken. Ik neem aan dat ik dan met alleen een IOS upgrade er niet ben?

Mijn ervaring met zulke wizzards en dergelijke is toch de berperkte functinaliteit en moet het fijn tunen toch via de cli gebeuren. En na die aanpassingen in de cli is in 9 van de 10 gevallen de wizzard niet meer bruikbaar omdat je via de cli hebt liggen rotzooien.

Momenteel hebben we hier een Cisco2600 draaien (bijna uitgefaseerd). Deze hebben we een aantal jaren geleden geconfigureerd. Het werkt allemaal als een trein en stabiel (dat moet je die jongens van Cisco wel meegeven). Nu moest er pas geleden een gateway aangepast worden. Niemand had de afgelopen 2 jaar naar de 26000 omgekeken en de IOS kennis was al weer zo ver weggeebt dat we gewoon te lang bezig zijn geweest om die gateway aan te passen. (Daarnaast draait die 2600 in een productie omgeving dus enige voorzichtigheid was geboden)

Wat ik met bovenstaand verhaal wil zeggen: Cisco is mooi en stabiel. Als je IOS beheerst dan ben je heer en meester over je Cisco router. Maar zoals in mijn geval als je bijna nooit met IOS werkt (en dus een beperkte kennis hebt) dan werkt het niet.

Mijn collega's denken er net zo over dus een cisco oplossing krijg ik niet binnen gepraat hier.

@Abom: Heb je misschien wat schermafdrukken van je web interface? Ben wel benieuwd hoe het eruit ziet.

Heb je sdm al bekeken dan ?

[Verwijderd]

Verwijderd schreef op 07 juni 2004 @ 12:01:
Ik heb de cisco pix 501 even bekeken. De standaard versie is stukken goedkoper dan een NS-50/Symantec doosje. Standaard kan die Pix slechts 10 vpn verbindingen verwerken. Ik heb er zeker 30 nodig en met oog op de toekomst wil ik toch een kastje hebben dat 50 vpn verbindingen kan verwerken. Ik neem aan dat ik dan met alleen een IOS upgrade er niet ben?

Mijn ervaring met zulke wizzards en dergelijke is toch de berperkte functinaliteit en moet het fijn tunen toch via de cli gebeuren. En na die aanpassingen in de cli is in 9 van de 10 gevallen de wizzard niet meer bruikbaar omdat je via de cli hebt liggen rotzooien.

Momenteel hebben we hier een Cisco2600 draaien (bijna uitgefaseerd). Deze hebben we een aantal jaren geleden geconfigureerd. Het werkt allemaal als een trein en stabiel (dat moet je die jongens van Cisco wel meegeven). Nu moest er pas geleden een gateway aangepast worden. Niemand had de afgelopen 2 jaar naar de 26000 omgekeken en de IOS kennis was al weer zo ver weggeebt dat we gewoon te lang bezig zijn geweest om die gateway aan te passen. (Daarnaast draait die 2600 in een productie omgeving dus enige voorzichtigheid was geboden)

Wat ik met bovenstaand verhaal wil zeggen: Cisco is mooi en stabiel. Als je IOS beheerst dan ben je heer en meester over je Cisco router. Maar zoals in mijn geval als je bijna nooit met IOS werkt (en dus een beperkte kennis hebt) dan werkt het niet.

Mijn collega's denken er net zo over dus een cisco oplossing krijg ik niet binnen gepraat hier.

@Abom: Heb je misschien wat schermafdrukken van je web interface? Ben wel benieuwd hoe het eruit ziet.

Als jullie dan al problemen hebben met het kunnen beheren van een productie omgeving denk ik dat jullie alleen maar om de problemen heen werken.

Je staat dus nu op het punt om een beslissing te nemen vanuit de aanwezige kennis en niet vanuit de beste oplossing.

Vergeet niet dat bij een implementatie ook training hoort, en dan is standarisatie een instrument om de kosten binnen de perken te houden.

Je moet nu en kennis van ios hebben, en van je firewall en van je adsl router.

Alleen ios lijkt mij dan toch echt makkelijker hoor, maar het kan aan mij liggen

[Verwijderd]

Verwijderd schreef op 07 juni 2004 @ 12:23:
[...]

Vergeet niet dat bij een implementatie ook training hoort, en dan is standarisatie een instrument om de kosten binnen de perken te houden.

Pin je even niet op de bedragen:

een cisco pix 50x + ondersteuning voor 50 vpn tunnels: € 1500
3x een cisco traning ala € 1000 p.p : € 3000

Maakt samen € 4500 Hmm daar heb ik ook bijna een NS-50 voor

Het configureren van de router zal na die training wel lukken (ook zonder training als ik er voor ga zitten denk ik). Nu draait het zaakje en wordt er weer jaren niet na gekeken tot dat er weer iets veranderd moet worden. Dikke kans dat mijn IOS kennis weer op een bedroevend laag nivo staat nadat ik er 2 jaar niet mee bezig ben geweest.

Je moet nu en kennis van ios hebben, en van je firewall en van je adsl router.

Waarom denk je dat we die 2600 aan het uitfaseren zijn

edit:

Ik heb even naar SDM gekeken. Echter ik kan het niet testen op onze 2600 router. Maar zoals ik uit de handleiding kan opmaken worden via de wizzard vpn tunnels gemaakt over GRE. Alleen ondersteunen de Zywall routers dit niet.

[ Voor 12% gewijzigd door Verwijderd op 07-06-2004 13:34 ]

[Verwijderd]

Verwijderd schreef op 07 juni 2004 @ 13:25:
[...]

Pin je even niet op de bedragen:

een cisco pix 50x + ondersteuning voor 50 vpn tunnels: € 1500
3x een cisco traning ala € 1000 p.p : € 3000

Maakt samen € 4500 Hmm daar heb ik ook bijna een NS-50 voor

Het configureren van de router zal na die training wel lukken (ook zonder training als ik er voor ga zitten denk ik). Nu draait het zaakje en wordt er weer jaren niet na gekeken tot dat er weer iets veranderd moet worden. Dikke kans dat mijn IOS kennis weer op een bedroevend laag nivo staat nadat ik er 2 jaar niet mee bezig ben geweest.

[...]

Waarom denk je dat we die 2600 aan het uitfaseren zijn

edit:

Ik heb even naar SDM gekeken. Echter ik kan het niet testen op onze 2600 router. Maar zoals ik uit de handleiding kan opmaken worden via de wizzard vpn tunnels gemaakt over GRE. Alleen ondersteunen de Zywall routers dit niet.

Ik zeg ook niet dat het goedkoop in aanschaf of training is, echter de kosten moet je bekijken als totaal plaatje, je geeft zelf al aan det die 2600 al 2 jaar werkt zonder problemen, ik ben bernieuwd waarmee je die gaat vervangen dan.

En dat Zywall geen gre ondersteund ligt toch dacht ik niet aan Cisco.

Als ik het zo lees doen jullie te weinig aan documenetatie, wat dus ook wel degenlijk een onderdeel is van beheer.

Elke keer het wiel opnieuw uit moeten vinden kost voor een beetje it organisatie veel meer als de meerprijs op degelijke apparatuur.

Vergeet ook niet dat het uitvallen voor crusiale verbindingen voor een bedrijf meer betekend dan dat jij een storing op moet lossen.


Ik denk nog steeds dat je het gevolg aan het aanpakken bent en niet de oorzaak.

Maar goed ik denk dat ik dieper op de totaal materie in ga als de bedoeling is, ik hoop toch dat ik je een eye opener mee gegeven heb.

Niet lullig bedoeld hoor, maar deze zaken worden normaal gesproken door procedures en documentatie geborgd.

[ Voor 9% gewijzigd door Verwijderd op 07-06-2004 13:59 ]

[Verwijderd]

Ik zeg ook niet dat het goedkoop in aanschaf of training is, echter de kosten moet je bekijken als totaal plaatje, je geeft zelf al aan det die 2600 al 2 jaar werkt zonder problemen, ik ben bernieuwd waarmee je die gaat vervangen dan.

Vroeger haalde men via ISDN emails op bij de mailserver op de hoofdlokatie. Op de externe lokaties belde men in via een Cisco 760 op de 2600.

Anno 2004 hebben bijna al onze lokaties de beschikking over ADSL. Er moet nog een lokatie over en dan is die 2600 "overbodig"

De documentatie over deze configuratie is inderdaad summier. Het afgelopen jaar hebben we kwa documentatie een enorme inhaal slag gemaakt. Alles is gedocumenteerd behalve het cisco verhaal (kennis weg, niemand wist meer precies hoe het zat)

Tsja dat die Zywall routers geen GRE praten is misschien wel een probleem van Zyxel en niet van Cisco. Maar daar ben ik dus niet mee geholpen. 25 buitenlokaties overzetten op cisco is gewoon Not done! (en cisco is gewoon geen oplossing, zie bovenstaande posts)

Maar heel eerlijk: Als de NS-50 toch precies aan mijn eisen voldoet, waarom zou ik dan een even dure (al dan niet duurdere) Cisco oplossing binnen halen?

[Maarten @klet.st]

Verwijderd schreef op 07 juni 2004 @ 14:25:
[...]
Maar heel eerlijk: Als de NS-50 toch precies aan mijn eisen voldoet, waarom zou ik dan een even dure (al dan niet duurdere) Cisco oplossing binnen halen?

Het lijkt me dat je moet gebruiken waar je je het prettigst bij voelt. Al is dat een zelfbouw linux doos met FreeSwan, dat lijkt me jouw beslissing.
Mash_man heeft wel goede punten als hij het heeft over standaardisering en dat je je niet blind moet staren over aanschafprijs alleen.

Mijn persoonlijke mening is dat die PDM weinig zinvol is. Als je dan toch in Cisco investeert (meestal iets duurder dan de Netscreens van deze wereld en een aardige leercurve), dan kun je maar beter meteen via de console werken. Mijn ervaring is dat die PDM leuk is, maar slechts 80% van de features kan bedienen. En vaak wil ik nou net de controle over meer dan 80%, maar dat is de aard van het beestje.

Zo'n Pix 501 is overigens een erg ondermaatse doos, daar zou ik met goed fatsoon geen 10 verbindingen mee op durven bouwen, daarvoor zul je toch een maatje groter moeten. Het apparaat is bedoeld voor telewerkers of hele kleine branch offices, niet als centrale schakel. Wat dat betreft kun je een ZyWall 10 vergelijken met een Pix 501 en een Zywall 100 met een Pix 506 (zo op de specs afgaand).

[Verwijderd]

Ik zal niet meer spammen.

[ Voor 92% gewijzigd door BalusC op 19-07-2004 12:13 ]