Dotaz: Linuxová alternativa k ZyWall USG ???

[Hynek Bee]

Zdravím všechny, dostal jsem za úkol zabezpečit jednu malou síť (45 PC, škola). U jedné sítě to řeším pomocí ZyWall USG 200 (implementace content filteru, antivir, antispam, ...) Dobrá věc, ale stojí to peníze.

Jak byste to řešili pomocí Linuxu ? Firewall je jasný - iptables. Ale jak na Content filter? Existuje něco ? Vím o Squidu (proxy), ale je k němu někde nějaká databáze - black list ? Potřebuji nějak odfiltrovat všeobecně nežádoucí stránky např. ve školách ... Taky by bylo dobré nějaké uživatelské rozhraní. Po předání by případné nastavení měl zvládnout pokročilý BFU (dá-li se to tak říci)

Tak to jen pro nastínění. Jak byste to řešili vy ?

Odpovědi

[NN]

debian netinst + iptables + squid(acl(squidguard(havsp)))

Pokud potrebujete odfiltrovat stranky imho postaci bezne squid acl..

Celkove tak na 2 hodiny i s konfiguraci.. Uzivatelse rozhrani(?), na co..

NN

[Hynek Bee]

Děkuji za reakci. Proč uživatelské rozhraní ? Jak jsem již psal. Čas od času bude potřeba asi doplnit blacklist vlastními postřehy a to by si právě měl dělat sám, jak jsme již psal, pokročilý BFU ...

Jinak by mě zajímalo, jak k tomu squidu dodat databázi pro black list webů ? Nechtělo by se mi denně sledovat, kam kdo leze a psát to tam ručně. Ideální by bylo, kdyby se to dokázalo nakonektit na nějakou veřejnou db, tu si ideálně aktualizovanou stáhnout ...

[NN]

Na statistiku pristupu n aweb slouzi SARG, ktery poskytuje slusnou statitiku, kterou generuje do HTML.

NN

[kpt. Pejsek]

Osobne bych do te skolni site protlacil uvedeny ZyWall. Ano stoji to penize, nicmene Vy pracujete zadarmo a/nebo hodlate postavit ten fw na vyrazenem PC (nejhorsim z tech 45 PC)?

[Hynek Bee]

Ano, myslel jsem, že by se to postavilo na nějakém "střepu", který by měl dostatek místa pro squid cache.

Cena pro školství za ZyWall je dost velká, nehledě na to, že ročně se musí platit poplatek za ContentF, Antivir, ...

[kpt. Pejsek]

Tohle reseni neodsuzuju (a ZyWall neprotezuju, vubec to reseni neznam), jen si myslim, ze to je mozna setreni na nespravnem miste. A k rocnim poplatkum, pokud to nekdo nebude oprasovat zadarmo :) tak stejne budou za spravu platit. Samozrejme zalezi na Vas, co tam chcete mit. Sepsal bych jim TCO za napr. 3 dalsi roky + vyhody a nevyhody obou reseni.

[Hynek Bee]

To taky zvažuji a nějaká řešení na Linuxu už jsem dělal. Ale chtěl jsem pohled od někoho jiného. Třeba někdo používá něco, co jsem ještě nezkoušel.

Ono totiž řešení od Zyxelu stojí
ZyWall USG 200 - cca 15000
E-iCard 12 měs. Content filtering for ZyWALL USG 200 - 5000,-
Zyxel E-iCard 12 měs. Antivir Kaspersky for ZyWALL USG 200 - 4000,-
(ceny orientační)


Pokud pominu tu prvotní investici, Tak by zmíněná organizace platila ročně 9.000,- . To je celkem dost.

[aaa]

9000 ročně je dost? Si děláte srandu ne?

[Hynek Bee]

Asi máte jinou zkušenost ve školství ...

[aaa]

rozhodne

[Hynek Bee]

Tohle už bych zde nerozváděl, v této diskuzi už je to mimo mísu ;)

[Shob]

Nejvetsi problem bych videl v praktickem pouziti tech "Unified featur". Antivir USG je v praxi uplne na nic - je to pekna marketingova vec, ale v realu to nezachyti bud vubec nic nebo jen nejake promile malware (po roce provozu teto licence jsem ji na vsech ZyWALLech co mame ve firme uz neprodluzoval - vyhozene penize). Podobne je to s tim Content filterem. Ten sice funguje dobre (je to tusimze postaveno na BlueCoatu?), ale... diky neustalemu on-line dotazovani se, zda dany obsah bude filtrovan se prace s internetem cca dvojnasobne zpomali - to kdybych se pokusil nasadit, tak mne uzivatele "sezerou". Jinak nic proti ZyWALLum, spolehlive, dobry pomer cena/vykon, jednoduche na administraci... pravda, jeste by meli zapracovat na svem ZyNOSu, ale jinak ve sve tride hodne zajimave zarizeni.

[aaa]

Rad bych se zeptal jak jste s ZyWall USG 200 spokojen. Ja to do jedne skoly koupil na test a totalni nespokojenost. Absolutne to nestiha. Jo na ADSL/ VDSL linku ok ale staci k tomu prihodit 100 Mbps a nepouzitelne. Vite toto narikani ze skoly nemaji penize mne vadi. Ono to neni az tak uplne pravda. Znam spoustu skol kde toto narikani je jen narikani IT protoze je jednodussirict ze penize nejsou. Pro zadnou skolu v CR neni toto problem. V porovnani treba s jinejma vydajema.

[Hynek Bee]

Máte pravdu s nestíháním... Řešením je však nepřekračovat počet uživatelů, pro který je daný typ ZyWallu navržen. A samozřejmě aktuální firmware.

[Tomasekkkk]

Zdravím, co se týká USG, takže USG 200 by měla na těchto 45 PC fungovat bez problémů, jediný problém o kterém moc lidí neví je, že pokud máte rychlejší internet např. 30Mbit/30Mbit, a zapnete content filtr, tato rychlost internetu se stáhen třeba jen na 15/15. Další vadou může být zapnuté ADP (Anomaly Detection) atp. Jinak tyto zařízení implementujeme do školství i do firem. Co se týká počtu klientů, opravdu mají zařízení rezervy a otestováno máme, že pokud nejsou zapnuty všechny funkce, nejsou vytvořeny desítek vlanů (a desítky DHCP serverů), tak jsou tyot zařízení dostačující. Ad. školství, nevím jak u Vás ale ve Zlínském kraji byl problém pro školy koupit i občejné USG100

[MMMMMMMMM]

mrknul bych na nějaké distro, např. http://www.techradar.com/news/software/applications/7-of-the-best-linux-firewalls-697177, např. IPCop, Shorewall, ClearOS, SmoothWall atd.

[Beetljuice]

mrknul bych na nějaké distro, např. http://www.techradar.com/news/software/applications/7-of-the-best-linux-firewalls-697177, např. IPCop, Shorewall, ClearOS, SmoothWall atd.

Doplňuji Zentyal a potvrzuji IPCop

[Tomasekkkk]

Ve školství jsem kamarádovi nasazoval DEBIAN + SQUID + SQUID GUARD + SHOREWALL + WEBMIN s doinstalovaným modulem pro squid guard. Máte tak všechny služby a přes webmin rozhraní jak požadujete. Jednoduché a praktické. Osobně si ale myslím, že potom je pro Vás USG 200 již zbytečné. Osobně se pak přešlo z linuxového serveru k Zywallu + licence pro content filtr atp. Nevím jaké máte ceny za licence, ale my jsme schopni školství dohodnout lepší podmínky než pro koncové uživatele (firmy atp.). Zywallu máme nasazeny desítky možná už to bude přes stovky.