Newsgroup: it.comp.sicurezza.varie
Titolo: ASA vs Checkpoint

Ciao a tutti,
volevo avere da qualcuno di voi alcuni consigli per l'acquisto di un 
firewall per proteggere una piccola azienda (circa 30 utenze) e posto tra 
LAN-Internet.
Ovviamente dovrà gestire anche VPN site-to-site e site-to-mobiles, come 
marca pensavo ad un Cisco ASA 5500 base oppure un Checkpoint Safe@Office, 
però non avendo molta esperienza (se non nei vecchi PIX) speravo in qualche 
vostro prezioso consiglio.
Ecco i modelli che ho trovato:
https://pricelist.checkpoint.com/pricelist/US/PLUShomeOffice/holist.jsp
http://www.cisco.com/en/US/prod/collateral/vpndevc/ps6032/ps6094/ps6120/prod_brochure0900aecd8048dba8.html
Grazie mille!
Ciao
Andrew

 speravo in qualche vostro prezioso consiglio.
Beh, se già conosci i pix, prendi un asa.

whiplash ha scritto:

già, pensavo proprio a quello.
Nel frattempo stavo dando un occhio alla documentazione della Cisco, ho 
trovato questo diagramma per la protezione di una singola rete LAN da Internet:
http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/products_configuration_example09186a0080094ea2.shtml
Ho sempre pensato che il router dovesse stare all'interno della LAN (dietro 
il fw) e non fuori. Non capisco il perchè di questa modalità...


Diciamo che non c'è scritto in nessun vangelo che deve esserci un router, ne 
dentro ne fuori, ma quando il tuo asa ha solo interfacce ethernet e tu hai 
ordinato una adsl.... 

 (dietro il fw) e non fuori.
Non esiste una regola generale, ma spesso non è così.
Pensa solo al fatto che i router possono interfacciarsi con
il fornitore di connettività con interfacce non ethernet che
difficilmente troverai su un firewall low-end.

 difficilmente troverai su un firewall low-end.
Mica solo quello! Disponibilità di protocolli di routing, spesso assente 
nel sw del firewall: mai visto un PIX routare il BGP. :)
saluti instradati
-- 
L'"affaire Dreyfus" del XXI secolo: 
www.brunocontrada.info

 
in realtà ho visto che gli ASA supportano ora anche i protocolli di routing 
come OSPF, BGP..
Cmq alla fine il discorso è che un router sostituisce anche il firewall, 
basta mettere la regola che nega di default l'accesso per poi gestire le 
eccezioni.

 eccezioni
A parte che un firewall moderno fa mooooolto di più che non bloccare 
pacchetti, ma anche questo umile mestiere lo si può fare bene o molto meno 
bene, un firewall degno di tale nome deve essere stateful, applicare 
politiche di tcp randomization, gestire correttamente i pacchetti 
frammentati, ecc.....
Esistono molti router spacciati per firewall che alla fine non sono altro 
che dei semplici packet filters.
Ciao,
         Tosh. 

 frammentati, ecc.....
Sembra che parli di OpenBSD+PF :-)
-- 
Ne rimarrà soltanto uno..

 routing come OSPF, BGP..
Eh, già...
panasa(config)# router ospf 1
panasa(config-router)#

 gestire correttamente i pacchetti frammentati, ecc.....
Idem come al punto stateful, direi.


Direi proprio che non c'entra niente :-)
Ciao,
        Tosh. 

>Sembra che parli di OpenBSD+PF :-)
In realtà mi riferivo a quei router da pochi euri che si spacciano anche per 
firewall.
Uso Openbsd ma non conosco PF, se non altro il nome mi sembra non lasci 
molto spazio a false aspettative :-)

Tosh ha scritto:

Beh ti consiglio di dare un'occhiata alla documentazione in merito su 
http://www.openbsd.org
, vale la pena.


 Direi proprio che non c'entra niente :-)
Direi proprio di sì.
C'erano un paio di grosse rogne nel fixup smtp dei pix
che, se lo stack iso/osi non è cambiato nel frattempo,
è un'inspection a layer 7.

 è un'inspection a layer 7.
Più che altro nelle versioni 6.x non gestiva l'esmtp, di conseguenza cassava 
gli ehlo e tutti i comandi correlati, il che ha portato a tecniche di 
aggiramento come quella di postfix.
Ciao,
        Tosh. 

 tunneling. Non va poi dimenticata la funzionalità chiamata di solito ALG
"Filtrare i pacchetti troppo grandi" non mi sembra una verifica
di tipo applicativo. E farlo sul traffico dns mi sembra stupido
anzicheno'. Semmai il tuo firewall verifichera' che sulla porta
53/udp stia transitando veramente traffico dns analizzandone il
contenuto e non le dimensioni. Ma questo adesso non lo chiamano
tutti ips (brrr)? O e' gia UTM (brrrrrrr)? 
Fabio

 tutti ips (brrr)? O e' gia UTM (brrrrrrr)?
Qui parliamo di ips, che direi abbiamo escluso fin dall'inizio.
Semmai io parlerei di utm "embrionale".
Ciao,
         Tosh. 

 dns-guard             Enforce one DNS response per query
[...]
"Hai"? Queste cose, veramente, le trovo anche sui *miei* 5510 :-) E,
in ogni
caso, non ci vedo nulla che possa bloccare un tunnel dns ;-)
Fabio

 Opinabile in che senso? 1) e' un controllo che avviene a layer 3 (osi)
[...]
Scusate, e' il primo post via google groups e non
avevo idea di come funzionasse il line folding.

 avevo idea di come funzionasse il line folding.
eche c'è un cisco di mezzo che sega le linee troppo lunghe. :-D

caso, non ci vedo nulla che possa bloccare un tunnel >dns ;-)
Non lo sapevi che posseggo la maggioranza delle azioni di Cisco?
Mai detto bloccare, è una misura come altre per mettere un freno, per quanto 
piccolo e discutibile possa essere.
Ad ogni buon conto a sbagliare non sarei precisamente io, visto che il 
"limite" di 512 bytes per la dimensione dei pacchetti dns fa parte della 
configurazione di default degli asa da diverse release.
Dici che sia il caso di vendere le mie azioni cisco ? ;-)
Ciao,
         Tosh. 

 configurazione di default degli asa da diverse release. Dici che sia il
Tu lo metti in produzione con un limite di 512 byte?? Mai sentito
parlare di EDNS0?
Fabio
Psssss: ti dico un segreto: nessuno farebbe dns tunneling usando
        pacchetti udp piu' grandi di 512 byte.

 eche c'è un cisco di mezzo che sega le linee troppo lunghe. :-D
LOL! Uhmmm... e ora provo fixup protocol nntp no-bullshits XXXXXX
XXX XX XXXXXXXXXX X XX XXXXXXXXX XXX XXXXXXX XXXXXXXXXXXXXX X XXX
XXXXXXXXXXX X X XXXXXXXXXXX XXXX XX XXXXXX XXXXXXXXXXXXX
XXXXX

 configurazione di default degli asa da diverse release.
Veramente è un limite imposto dal protocollo, su udp...

 parlare di EDNS0?
Devo confessare che me n'ero dimenticato.
Del resto, anche lì, basta un
fixup protocol dns maximum-length 4096

        pacchetti udp piu' grandi di 512 byte.
No grazie, di segretini ne ho abbastanza dei miei, poi non conosco sto 
nessuno, che deve essere pure un bel coglione.
Ciao,
         Polifemo. 

 Avrai pure perso del tempo per andartelo a cercare.
Quaesivi et non inveni era il titolo di un libro che era nella
biblioteca di famiglia.
Ma cercare e ricercare può far bene ed evitare di scrivere
zone transfer mentre si sta parlando di edns0.

> Quaesivi et non inveni ....
Piů che non aver trovato.....mi sono fermato al primo risultato, che 
ovviamente parlava di sessioni tra server e di meccanismo sostitutivo alle 
query tcp, decisamente la fotografia di uno zone transfer.
Ciao,
        Tosh. 

 Andrew
Checkpoint unlimited user 1149 $
Cisco asa che modello hai scelto ? e quanto ti costa ?
Hai una linea adsl ?
Se il firewall deve avere la connessione adsl la scelta si restringe e 
non credo cha gli asa abbiano la porta adsl. Forse il cisco firewall 837 
si ma non e' un'asa.
Kate.

Ciao,
lavoro come presales engineer per Stonesoft, multinazionale finlandese
che produce soluzioni firewall, ips e ssl-vpn.
Se sei ancora interessato all'acquisto di un firewall mi piacerebbe
fare due chiacchiere per capire se i nostri prodotti possono fare al
tuo caso (considerato anche che siamo piu' economici di circa il 40%
dei vendor che hai citato)
Fammi sapere,
Fabrizio
