Dotaz: HW řešení typu Fortinet vs Linuxové stroje na komoditním HW

[LFCIB]

Dobrý den,

prosím o Váš názor. Používáme léta 2ks Fortigate v HA režimu pro Firewall, DMZ a VPN.

Celkem mi vadí zabugovanost Fortinet softwaru a nepotřebuji žádné antiviry ani next-gen fw funkce.

Čistě by stačil soft co umí VDOMy virtuální routery a nastavovat politiky mezi nimi a k VPN si zprovozním openvpn nebo wireguard vpn server.

Provozujete někdo ekvivalentní řešení profi firewallu jen na bázi komoditního HW a Linuxu?

Můžete mi prosím doporučit ověřený software na které máte řešení postavené?

Případně klady a zápory co vnímáte u svého řešení proti profi firewallu od nějaké firmy typu Fortinet?

Stojím před upgradem jak HW i SW Fortinetu a zvažuji jít jinou cestou- cestou serverů s Linuxem tak sháním info z praxe.

Děkuji.

LFCIB

---

---

Odpovědi

[Jendа]

Můžete mi někdo vysvětlit, jaktože po těchto průserech pořád existuje někdo, kdo používá Forti*?! 1, 2, 3

Provozujete někdo ekvivalentní řešení profi firewallu jen na bázi komoditního HW a Linuxu?

Ano, všude. Teda jako SOHO, nejsou za tím veliké korporace, a hardware jsou gigabitové Mikrotiky na které jsem nainstaloval OpenWRT a APU2 s Debianem.

Můžete mi prosím doporučit ověřený software na které máte řešení postavené?

Ehm, iptables? Nebo nechápu co že vlastně potřebuješ (a co si představit pod VDOMy virtuální routery). Zkus to víc rozepsat, jaká pravidla, výkonové požadavky…

[j]

Viz predchozi, nevim co si od toho prestavujes a tyhle krasomarketingozvasty nehodlam dekryptovat, ale co se tyce sitovani, tak si na libovolnym tuxovi nastavis co chces. Jen to mozna nebude "samo" generovat uzasny grafy pro managory.

Ve finale je to spis presne naopak, narozdil od vsemoznych blackboxu, u kterych kdyz nedo nefunguje, tak ti proste nezbejva, nez doufat, ze to mozna nekdy nekdo opravi, tak v pripade toho tuxe mas hromady moznosti co s tim delat.

Jo a taky to (u normalnich dister) nikam nic samo neposila.

Samozrejme nevyhodou muze byt to, ze nemas na koho ukazat prstem, a rict "on za to muze, ja nic...".

Takze spis napis, co od toho chces, nez co od toho nechces. Vsemozny neviry ti jsou nekde na GW stejne khovnu, pokud nehodlas na celou sit poradat MITM* (ale urcite k tomu dodavaji letacky s vysmatejma rodinkama na voskovym papire, ze?).

*BTW: Se ukazalo, ze MITM na celou sit a vsechny zakazniky porada setrvale telecum (anobrz O2) a taky to prej CTU nevadi. Nejakej trestnej cin sem nebo tam ... https://www.lupa.cz/aktuality/cast-zakazniku-o2-hlasi-problem-s-nacitanim-nekterych-webu/

---

Dete s tim guuglem dopice!

[vencour]

Mně se na těchto krabičkách líbí to, že umí "paket v silikonu", neřeší vše procesorem.
A samozřejmě souhlasím s tím, že nějaký backdoory jsou pěkná "ošklivá věc".

Pokud vybíráte další železo, sepište si, co chcete, co potřebujete.
Oddělení managementu (OoB mgmt) od vlastního provozu? SSL nebo ipsec akceleraci (má to dnes ještě smysl?)? Bude to hraniční box, takže interfejsů tolik nepotřebuje? Musí umět full-state failover? Chcete víc portů? Nějak víc škálovat? Kdo se o to bude starat, vlastní tým nebo ještě někdo další?

[Jendа]

Mně se na těchto krabičkách líbí to, že umí "paket v silikonu", neřeší vše procesorem.

To máš 10GE? Mi přijde, že dnešní počítače (a to i úsporné a málo výkonné) dají v klidu gigabit.

[vencour]

Nee, 10 Gb ne. Nějaká logika v ASICu se můžut líbit tak jako tak, ne?

[bigBRAMBOR]

to nemusi byt 10GE, nahore nekdo doporucuje mikrotik. Ten se zapotí i na VLAN pokud se ti nepovede postavit ji ciste nad portama jednoho vnitrniho switche s podporou HW offloading. Pak se rozhodnes do te VLAN na tom mikrotiku udelat DHCP server a jde ti vsechno pres CPU a uvidis jak to pujde dolu. A u masiny postavene na linuxu ti pujde pres CPU vsechno. Takze budes mit sice vlastní router ale s linuxem a s xeonem.

[vencour]

IP options se taky řeší v CPU. Proto se často doporučuje všechny "vyfikundace" zahazovat. Nebo aspoň v nouzovém režimu to dělat.

[Max]

Fortigate má jedna naše dceřinka, celkem to jde. Já používám Zyxel (ZyWALL) a Mikrotik.
Nevím jak teď, ale asi to bude stejné. Každopádně standardní linux myslím stále nepodporuje range adres a musíš kouskovat na subnety. Tzn. to, co v Zyxelu nebo Fortigate naklikáš jako jedna položka o hodnotě "192.168.1.0-192.168.5.255", tak v Mikrotiku a jinde musíš definovat jako x subnetů (192.168.1.0/24, 192.168.2.0/23, 192.168.4.0/23) a počítat a počítat a kouskovat a kouskovat.

Takže kromě toho, že tyhle malé krabky jsou relativně malé a nenáročné na spotřebu, tak mnoho takových základních věcí usnadňují.
Samozřejmě ale záleží na druhu použití a skillu. Jen jsem to uvedl jako příklad, že si tím někdo může zbytečně komplikovat život.
Zdar Max
PS: Zyxel / ZyWALL také není bez chyby a řešil jsem tam už celkem dost nepěkných věcí a vypadá to, že s novou krabičkou další přibyla. To je ostatně důvod, proč začínám vážně přemýšlet o nasazení Mikrotiku ve větší míře.

[Pavel 'TIGER' Růžička]

Já se snažím jet IPFire, slušnou ispiraci můžeš nají i na miniserver.it.

[LFCIB]

Dobrý večer, děkuji za TIP na IPFire - prozkoumám.