Firewall - Build or Buy

Question

Tengo una granja de servidores web Linux con aproximadamente 5 servidores web, el tráfico web es de aproximadamente 20Mbps.

Actualmente tenemos un Barracuda 340 Load Balancer (manténgase alejado de este dispositivo - ¡pedazo de porquería!) Que actúa como un cortafuegos. Quiero instalar un firewall dedicado y me gustaría saber qué opiniones tienen las personas sobre la construcción versus comprar un firewall dedicado.

requisitos principales:

• dinámicamente bloquear el tráfico rouge
• dinámicamente el tráfico de límite de velocidad de
• bloquear todos los puertos excepto 80, 443
• puerto Límite 22 a un conjunto de direcciones IP
• alta disponibilidad configuración

También si vamos para la ruta de compilación, ¿cómo sabemos qué nivel de tráfico puede manejar el sistema?

Answer 1

Como dicen - "hay más de una manera de pelar un gato":

construir por sí mismo, algo así como correr Linux o * BSD. El beneficio de esto, es que hace que sea más fácil hacer la parte dinámica de su pregunta, es solo cuestión de unas pocas secuencias de comandos shell/python/perl/whatever. El inconveniente es que su tasa de tráfico de techo podría no ser la misma que en un dispositivo de cortafuegos especialmente diseñado, aunque aún así debería poder obtener velocidades de datos en el rango de 300Mbit/sec. (En este punto, comienza a tener limitaciones en el bus PCI). Esto puede ser lo suficientemente alto como para que no sea un problema para usted.

Compre un "dispositivo de firewall" dedicado - Posibles inconvenientes de hacer esto, es que hacer la parte "dinámica" de lo que está tratando de lograr es algo más difícil - dependiendo del dispositivo, esto podría ser fácil (Net :: Telnet/Net :: SSH vienen a la mente), o no. Si le preocupan las tasas de tráfico pico, tendrá que verificar cuidadosamente las especificaciones del fabricante: varios de estos dispositivos son propensos a las mismas limitaciones de tráfico que las PC "normales", ya que todavía se topan con el ancho de banda del bus PCI, etc. . En ese punto, es mejor que muevas el tuyo.

Supongo que podría leer esto más como un "pro y contra" de hacer cualquiera, si lo desea.

FWIW, ejecutamos firewalls dobles de FreeBSD en mi lugar de trabajo, y presiono regularmente 40 + Mbit/seg sin cargas/problemas notables.

Answer 2

No sé mucho sobre este campo, pero tal vez un Astaro security gateway?

Answer 3

Durante los últimos 8 años mantuvimos una pequeña red de desarrollo con aproximadamente 20 a 30 máquinas. Tuvimos una computadora dedicada a ser el firewall.

En realidad, nunca nos encontramos con problemas graves, ahora lo estamos reemplazando con una solución de enrutador/cortafuegos dedicada (aunque aún no hemos decidido cuál). Las razones de esto son: simplicidad (el objetivo es el cortafuegos, no mantener el linux para ejecutarlo también), menos espacio y menos consumo de energía.

Answer 4

Relacionado con la alta disponibilidad: OpenBSD se puede configurar de manera Failover/HA para cortafuegos. Ver this description. He oído que han hecho demostraciones en las que tales configuraciones han sido tan buenas (si no mejores) como las de alta gama de Cisco.

Answer 5

Definitivamente construir. Ayudo a administrar un ISP y tenemos dos firewalls construidos. Una es para el fracaso y para la redundancia. Usamos un programa llamado pfsense. No podría recomendar este programa más. Tiene una gran interfaz web para configurarlo y en realidad lo ejecutamos en una tarjeta flash compacta.

Answer 6

Hola, me gustaría un producto de firewall dedicado en este escenario. He utilizado la gama de productos de firewall Checkpoint durante muchos años y siempre me pareció fácil de configurar y administrar, y tienen un gran soporte. Usar Checkpoint o uno de sus competidores es una opción bastante costosa, especialmente si lo comparas con el software de código abierto, por lo que depende de tu presupuesto.

También he usado la línea de firewalls PIX y ASA de Cisco. Estos también son buenos, pero en mi opinión son más difíciles de administrar

Answer 7

en mi inicio actual, hemos utilizado PFSense para reemplazar múltiples enrutadores/firewalls, y tiene un rendimiento que reemplaza enrutadores mucho más costosos.

Quizás es por eso que Cisco está teniendo problemas? :)