[Firewall]Routertje, Linux distro of hardware firewall?

[smvs]

Ik werk bij een klein bedrijf (10 werkplekken) waar we een nieuwe router zoeken. De huidige router is een NT4 (file)server met Wingate proxy bouwjaar 1912 er op. Dit programma is zo bruut verouderd dat het problemen geeft met automatische virusupdates op de clients en met Windowsupdate. Deze server gaat er zowieso uit en er komt wat schappelijkers voor in de plaats, en we zoeken dus ook gelijk een nieuwe oplossing om de internet op een veilige manier te verdelen.

Nu zijn er zo ongeveer de volgende opties:
- NAT routertje / firewall van bijvoorbeeld Linksys / Draytek etc. Kost weinig en is simpel te troubleshooten (reset en draaien weer mocht er wat loos zijn)

- NAT router met serieuze SPI firewall zoals de Linksys RV042. Dit is echter wat duurder en er zitten dingen op zoals dual Wan en VPN, wat we niet nodig hebben. http://www.linksys.com/pr...?grid=34&scid=29&prid=639

- Serieuze firewall zoals een Symantec Gateway Security of een Netasq (Die Netasq schijnt helemaal de bom te zijn alleen die kost 1000 euro, maar dan krijg je wel 3 jaar updates op het ingebouwde spamfilter en de ingebouwde Kaspersky virusscan)
http://www.symantec.com/smallbiz/gtw/
http://www.netasq.com/en/products/f25.htm

- Smoothwall / Ipcop etc. op oude PC gooien. Schijnt aardig veilig te zijn en kost niks, alleen is voor een leek niet te troubleshooten. De kans is groot dat ik snel weer weg ben bij het bedrijf en dan zijn er alleen nog maar leken, dus dat kan lastig worden.

Mijn vraag is eigenlijk: Is een simpel NAT routertje nog veilig genoeg? Of moet je meer geld uit gaan geven? Wat is wijsheid?

[ Voor 10% gewijzigd door smvs op 01-11-2004 19:07 ]

[Verwijderd]

Ik zou voor een cheapass routertje gaan. 100 euro en geen cent meer uitgeven. Je zegt zelf dat je vpn en een 2e wan aansluiting niet nodig hebt. (in die elcheap gevallen zit tegenwoordig ook vpn support / packet inspection)

Geweldig dat zo'n Symantec je http/smtp stream scant op virussen maar dat doet je antivirus ook (als het goed is)

Je zegt dat de technische expertise in je bedrijf praktich nul is. Als je een Symantec/Netscreen/Pix firewall wilt configureren moet je toch wel een beetje kennis van zaken hebben.

Al met al zou ik in jouw situatie gewoon voor een goedkoop routertje gaan.

[smvs]

Verwijderd schreef op 01 november 2004 @ 20:05:
Ik zou voor een cheapass routertje gaan. 100 euro en geen cent meer uitgeven. Je zegt zelf dat je vpn en een 2e wan aansluiting niet nodig hebt. (in die elcheap gevallen zit tegenwoordig ook vpn support / packet inspection)

Geweldig dat zo'n Symantec je http/smtp stream scant op virussen maar dat doet je antivirus ook (als het goed is)

Je zegt dat de technische expertise in je bedrijf praktich nul is. Als je een Symantec/Netscreen/Pix firewall wilt configureren moet je toch wel een beetje kennis van zaken hebben.

Al met al zou ik in jouw situatie gewoon voor een goedkoop routertje gaan.

Mijn overwegingen hebben meer met de firewall te maken eigenlijk. Is de firewall in een goedkoop routertje goed genoeg? Er kan 100x SPI op zitten maar wil dat werkelijk wat zeggen? Ik bedoel er zijn ook Opels die als sportmodel verkocht worden, wat in de meeste gevallen nogal lachwekkend is.

[Verwijderd]

Geweldig dat zo'n Symantec je http/smtp stream scant op virussen maar dat doet je antivirus ook (als het goed is)

Ja leuk...
Het grote verschil is echter dat ie dan ook al in je mailserver zit en dus wel afhankelijk ben van een GEACTIVEERDE anti4us op de client!
Alles wat je zo kortmogelijk bij de bron, in dit geval binnenkomst, kan afvangen zou ik niet nalaten.

Wat betreft je firewall:
Als je er 100% zeker van bent géén inkomend verkeer, dus ook geen eigen backdoors, nodig hebt, en je de router goed vertrouwd, hoeft het geen probleem te zijn je te beperken tot de firewall in je router.

Wil je toch iets hebben waar wat meer zekerheid, ondersteuning en ontwikkeling achter de hand hebben, zou ik toch eens kijken naar een andere oplossing.
Daarbij zou je dan kunnen denken aan een WatchGuard of misschien een PIX van Cisco.
Ik heb bij mij op de zaak zelf een Firebox 700 van WatchGuard staan, en ben er zeer tevreden over.

[Darth Punk]

je zou in plaats van een linux distro ook kunnen kijken naar BSD. BSD is standaard al "more secure". zo ver ik weet zijn er 3 varianten: openBSD, netBSD en freeBSD.

heb ff snel hun homepages bekeken. freeBSD lijkt me het interessants omdat:

quote van freebsd homepage:

Cutting edge features
FreeBSD offers advanced networking, performance, security and compatibility features today which are still missing in other operating systems, even some of the best commercial ones.

Powerful Internet solutions
FreeBSD makes an ideal Internet or Intranet server. It provides robust network services under the heaviest loads and uses memory efficiently to maintain good response times for thousands of simultaneous user processes.

misschien heb je er wat aan dacht ik zo


update: omdat wij tweakers ook erg lazy zijn
http://www.openbsd.org
http://www.netbsd.org
http://www.freebsd.org

[ Voor 9% gewijzigd door Darth Punk op 02-11-2004 08:38 ]

[Verwijderd]

Verwijderd schreef op 02 november 2004 @ 08:24:
[...]

Ja leuk...
Het grote verschil is echter dat ie dan ook al in je mailserver zit en dus wel afhankelijk ben van een GEACTIVEERDE anti4us op de client!
Alles wat je zo kortmogelijk bij de bron, in dit geval binnenkomst, kan afvangen zou ik niet nalaten.

True. Als men geld zat heeft zou ik het ook niet nalaten, (blijft dat puntje staan mbt de technische kennis in het bedrijf). Daarnaast vang je gezipte virussen met wachtwoord beveiligd en virussen over SSL verbindingen niet af.

Ik heb bij mij op de zaak zelf een Firebox 700 van WatchGuard staan, en ben er zeer tevreden over.

Inderdaad een leuk kastje zie ik nu . Ik neem aan dat die MCafee licentie een jaar geldig is? Daarna zul je hier toch ook weer een nieuwe licentie voor aan moeten schaffen.

De vraag blijft: Wil je (zoveel) geld uitgeven in zo'n kleine omgeving. Ik denk dat je gewoon voor een standaard nat routertje moet gaan en een goede (draaiende) virusscanner op de clients.

[Verwijderd]

Darth_Punk schreef op 02 november 2004 @ 08:35:
je zou in plaats van een linux distro ook kunnen kijken naar BSD. BSD is standaard al "more secure". zo ver ik weet zijn er 3 varianten: openBSD, netBSD en freeBSD.

misschien heb je er wat aan dacht ik zo

- Smoothwall / Ipcop etc. op oude PC gooien. Schijnt aardig veilig te zijn en kost niks, alleen is voor een leek niet te troubleshooten. De kans is groot dat ik snel weer weg ben bij het bedrijf en dan zijn er alleen nog maar leken, dus dat kan lastig worden.

Aangezien de technische kennis nihil is zou ik hier niet aan beginnen. Volgens mij is een *BSD installatie niet "klik klik ok" en het werkt

[Darth Punk]

ik had al een vermoeden dat iemand dat al zou zeggen: maar ik beweer het tegendeel:

http://www.freebsd.org/projects/newbies.html

http://www.freebsd.org/do...oks/handbook/install.html

dus...installereren zal weg makkelijk gaan, maar voor de rest? dat weet ik niet

ik gebruik zelf alleen windows, maar met een nieuw pctje op het oog wil ik zeker ook een ander Os proberen.

[smvs]

Installatie van een Linux / BSD router is geen probleem, dat kan ik wel en ik kan het ook wel aan de praat houden. (Ik heb vroeger een hele tijd thuis Smoothwall gedraaid en ik heb recentelijk zowel Smoothwall als Ipcop getest in Vmware, ging perfect.) Qua BSD router heb je M0n0wall, dat schijnt vrij goed te zijn. Echter het mooie van een hardware router is dat het als het eenmaal aangelegd is, iedere idioot op reset kan drukken en het werkt weer. Als bij een Linux router een keer de stroom uitvalt, is het maar weer de vraag of hij daarna gewoon weer de lucht in gaat door hem weer aan te zetten. Misschien kan ik beter vragen: Zijn er mensen die ervaring hebben met een Linux router in een lekenomgeving?

[ Voor 11% gewijzigd door smvs op 02-11-2004 11:40 ]

[Verwijderd]

Aangezien de technische kennis nihil is [...]

Dit is al reden genoeg om niet aan een softwarematige oplossing te gaan!
Geen BSD, geen FreeSCO, etc.

Vraag anders eens aan de bedrijfsleiding wat het kost, cq. wenselijk is, als hun bedrijfsgegevens op straat komen te liggen en of ze er geld voor over hebben om dat te voorkomen?!?

Beveiliging KOST GELD en is alleenmaar lastig.
Je mag opeens niet alles meer, en moet opeens volgens regeltjes gaan werken die je eigenlijk helemaal niet wil.
Daar kan ook ik niet omheen, en je verdiend er direct (geld) niets aan terug.

Om beveiliging te implementeren mag het nooit iets kosten, maar als er "stront aan de knikker is" mag het opeens alles kosten en wordt alles en iedereen die ze er maar voor verantwoordelijk kunnen houden voor het vuurpeleton gezet.
De directie bepaaald het beleid! niemand anders!!
Als ze er geen geld voor willen uitgeven, perfect, maar dan moet wel bij diezelfde personen duidelijk zijn dat daar risico's mee genomen worden!!
(Zet dit altijd wel SCHRIFTELIJK (mail of papier doet er niet toe) neer)
En als ik naar WatchGuard kijk, heb ik het hier over een investering van < € 1000,-

mbt licenties van Anti4us (ongeacht wie), daar heb je altijd lopende licenties voor nodig.
Zelf gebruik ik Panda Antivirus en ook daar had ik 1 jaar standaard in zitten. Na dat jaar heb ik 'm gelijk met 3 jaar verlengd! (was iets van rond de € 55,- voor 3 jaar!!)
Als ik 1 virus binnen krijg die voor besmetting zorgt kost het me na een halfuur puinruimen al meer.
Dan heb ik het nog niet over de destructieve virussen waarbij ik online informatie kwijt ben geraakt.
Jaja, we hebben backup.... Maar hoeveel tijd kost het je om een bestand dan terug te halen?
Hoelang zitten de mensen dan met hun armen over elkaar?
Tel maar uit je "winst" als je geen goede beveiliging wil doorvoeren omwille van de kosten!

[SSH]

Het hangt er maar helemaal vanaf hoe je van plan bent je werkplekken te beveiligen en dit al reeds gedaan hebt(dus al geinversteerd).

Als je een extra firewall, redelijke virus scanner, alternatieve software(mozilla, open office etc) en met beperkte rechten werkt moet je met een simpele router veilig genoeg zijn.