Dotaz: FireWall, webový přístup a monitoring pro firmu

[Chmatos]

Ahoj,

prosím o radu, jaký firewall a systém pro přístup do internetu požíváte ve firmách?

Stavající stav:

Linux Debian

FW - shorewall

DNS - bind9

DHCP - isc-dhcp-server

Web přístup - dansguardian, squid3

Analýza webového přístupu - squint dle IP adres

VPN - OpenVPN

Tento stav je nevyhovující. Při aktuálním vytížení je problém dohledat co se přesně děje, jestli někdo stahuje. Nasadil jsem ntopng a jinak iftop, ale není to ono, né všichni kolegové zvládají perefektně linux, ideální by bylo nějaké webové řešení, ale lepší než zmíněný ntop. DNS a DHCP je ok. Dansguardian blokuje jen http s https je problém, což už je teď hodně webů facebook youtube. Analýza webového přístupu přes squinta je to možné, ale jen přes IP adresu a není to pěkné. Shorewall je OK, ale pokud je nějaké kompletní řešení tak nemám problém ho nahradit. OpenVPN je OK.

Žádoucí stav: Nejlépe přehledný web nebo aplikace s aktuálním vytížení přenosové linky do internetu, optimálně i s možností dané připojení sestřelit. Blokování jak http tak https. Přístup do internetu přes jméno a heslo, nebo rovnou přes doménu ldap nebo ad. Nějaký web analyzing, kde už by byl daný uživatel nebo přidělené uživatelské jméno.

Nějaké komplexní řešení by bylo super, ale budu rád za každou radu.

Odpovědi

[NN]

O jak velkou sit se jedna? Pocet uzivaku? Kapacita pripojky?

[Chmatos]

Bude více sítí, respektive pobočet. Nejmenší má 1 uživatele, největší cca 200.

[citanus]

asi chces pouzit proxy pro pristup na web? mrkni treba na squid

[citanus]

srr prehlidl jsem ze uz ho pouzivas.. v tom pripade pogoogli artica for squid

[Chmatos]

vypadá to zajímavě, díky za tip

[Ruža Becelin]

pfsense?

[Chmatos]

preferuji spíše řešení založené na linuxu, ale mrknu na to, jestli správně koukám tak je to kompletní systém na BSD, ale také to nevypadá špatně

[Chmatos]

Jen ještě doplním, že bych nejradši měl řešení založené na Linuxu nejlépe Debiánu. Zatím vypadá dobře "Artica for squid", ale korporátní verze bude asi celkem drahá. Ta podporuje propojení s AD. Jsou ještě nějaké jiné alternativi, které používáte?

[NN]

Je ta autentizace proxy nutna? Osobne, reseni omezovani serfovani moc nefunguje a nefungovalo. Mam pocit, ze mas proste hodne uzivatelu a pomalou linku.. Tzn. bud navysis kapacitu linek, nebo pouzijes traffic shaping. Jinak ti zacnou uzivaci, hledat cesty jinudy, vytvaret VPN tunely a podobne..

[Chmatos]

Autentizace nutná není. Spíš mi jde o to, že když zablokuju facebook, tak aby šel jen uživatelům, kterým to povolím, jestli přes IP adresu, MAC nebo přihlášením je jedno. Ostatním ten facebook, fungovat prostě nemá, se stávajícím řeším se jim to hodí přes https a půjde jim to. O VPN se nebojím to zvládne tak možná 1 člověk z těch všech co tu jsou, když nepočítám IT a ti to budou mít povolené, stejně jako ostatní vedoucí.

[NN]

To je presne ono, potom potrebujes firewall, ktery trasparentne interceptuje/proxuje SSL a zaroven umi odhalit treba maskovany Tor, nebo HTTPS tunel ie. inspekci layter 7..

[dd]

Nejlepší content filter a web analyzing jsou dostatečně vytížení zaměstnanci. Ti si potom hledí práce a nebrouzdají zbytečně po internetu.