Newsgroup: it.comp.sicurezza.varie
Titolo: Acquisto Appliance Nokia

Ho chiesto ad un vendor di scrivermi le specifiche di un appliance Nokia da
mettere in modalità failover.
Purtroppo (forse in malafede - mah...) mi ha scritto quelle di un Pix 525.
Ora ho bisogno di scoprire quale nokia corrisponde al Pix 525.
Mi sembra che sia il nokia Ip380.
Quindi vorrei sapere se il nokia che ho identificato è quello giusto, quale
è il suo prezzo e se è in grado di supportare il load balancing se funziona
come proxy e se fa url filtering.
Grazie,
Pietro


Per carita' evita quelle chiaviche dei PIX Cisco :-)
A meno che la Nokia non sia riuscita a creare finalmente un appliance
"serio" mi dispiace deluderti ma IP380 non fa "content filtering" (e non url
filtering) e non funziona come proxy (a meno che non ci sia un'opzione su
voyager per abilitarne l'uso, ma io non me la ricordo proprio). Allora, se
accetti una dritta su degli appliance sicuramente piu' completi dal punto di
vista della dotazione posso indicarti "SGS symantec" content filtering,
firewall, ids, proxy tutto in un unico appliance, l'unico problema con le
macchine Symantec e' il throughput, la fascia piu' alta arriva a 90 Mbit.
Invece c'e' un'alternativa se il tuo bisogno e' un throughput maggiore, si
chiama Clavister (content filtering, proxy, firewall, ids, vpn gateway ecc.
ecc.) la famiglia M1080 potrebbe fare al caso tuo, e' un appliance che puo'
competere con l'IP530 della nokia ma sicuramente ha molte piu' funzionalita'
e sempre comprese nel firmware di bordo, non come Nokia che ti fa pagare i
plugin aggiuntivi, in piu' Clavister ha un throughput maggiore (oltre
1Gbit/s)con il massimo di acl-connection table e permission ristrettive
assegnate e traffic-shaping attivo, pur costando molto meno dell'IP380.
Supporta 8021Q (quindi vede ogni interfaccia del fw come una vlan e le tagga
al next hop su di un unico cavo, quindi trunki un router e il fw), fa policy
routing e puo' essere messa in HA/LB.(E la M1080 non e' il top della gamma,
hanno macchine che arrivano a 4.5 Gbit/s di throughput) A mio parere le
migliori macchine in commercio.
--------------------------------
Inviato via 
http://usenet.libero.it

 chi mai potra' avere bisogno di un simile throughput? :)
Una giusta osservazione,
i carrier italiani (esclusa Telecom) viaggiano su CDN da 24Mbit/s fino a
48Mbit/s, I.Net (se non ricordo male) due CDN da 155Mbit/s, Telecom italia
due CDN da 2.5 Gbit/s.
La maggior portata di una macchina appliance posta tra router d'ingresso e
livello di accesso alla rete ti permette di restringere ulteriormente le
ACL e Connection-Table sulla parte fw, di giocare con le ridondanze e con i
bilanciamenti su di ogni singola interfaccia (con VRRP ad esempio) e cmq di
stare tranquillo sulla garanzia di continuita' nell'erogazione della
connessione (solo un problema al cavo puo' creare seri problemi, perche'
oggi giorno anche i router vengono messi in bilanciamento o in
spannig-tree). Tutto qui :-)
-- 
ian - Ivan at Net
E-mail: 
i...@altervista.org
Web:    
http://ian.altervista.org

 
Scusa ma non ho risposto a tutte e due le domande precedentemente :-)
L'ultima nota sulle CDN disponibili in italia riguarda i gateway degli enti
di ricerca, GARR ha alcuni gateway a 4.5 Gbit/s ma escluderei RUPA (se non
sbaglio sono ancora a 155Mbit/s.
Chiedi ad un (onesto) amministratore di network che utilizza Pix come FW,
chiedi quali problemi hanno (throughput basso, acl scarne, rebootano se la
macchina cui loro fanno da next-hop fa un ping-flood :-) ecc. ecc. e poi
sono Cisco, io odio le "multinazionali" ... ;-)


 chi mai potra' avere bisogno di un simile throughput? :)
Ecco un'altra risposta ;-)
http://punto-informatico.it/p.asp?i=44045


Ho letto con interesse del Clavister M1080.
Vorrei sapere se è distribuito in Italia, ed eventualmente una quotazione.
Inoltre vorrei sapere se funzionano in modalità cluster o failover.
Grazie ancora,
Pietro


A parte specifiche configurazioni flessibili (di un cluster) tra un cluster
e un'architettura "fail over" c'e' poca differenza (inteso sulla
distribuzione dei carichi e la gerarchia delle macchine in caso di "point of
failure), la prima puo' lavorare con entrambi i nodi la seconda solo al
failure del primo e seguente reinstradamento dei pacchetti da ispezionare,
questo perche' ogni firewall e' a sua volta un router (per cortesia
correggimi se sbaglio, io di solito consiglio cluster per una questione di
affidabilita' e di mia specifica conoscenza piu' profonda), trovo cmq la
soluzione cluster in bilanciamento molto piu' performante, nel caso tu
voglia ispezionare piu' subnet, applicare del QoS (sulle macchine poste dopo
il fw)così clusterizzi piu' nodi. Cmq le macchine supportano entrambe le
modalita' di configurazione.
Riguardo un'eventuale offerta ti posso dire indicativamente un prezzo di
listino (io non sono un rivenditore, quindi devi sentire il distributore per
la scontistica), il listino a prezzo intero dice 24.000 euro (molto meno del
nokia). Il distributore e rappresentante ufficiale del marchio in italia e'
la societa' EXWAI s.r.l. di Torino.



Ovviamente come router uso Cisco, per l'esattezza due Cisco 12.000 ma sono
dell'azienda per la quale in questo periodo progetto.
Riguardo le acl non e' solo un discorso correlato al firewalling, anche il
PIX ha un CT da implementare, ma l'uso delle acl per il droppaggio e
relativa redirezione di traffico sospetto o malizioso e' quasi sempre un
obbligo su piattaforme medio-grandi.
Non voglio certo accendere una polemica, quindi, alla fine di tutti questi
bei discorsi, che si usi PIX Fw1 o altri, l'importante e' essere capaci di
creare una piattaforma sicura :-)
