Newsgroup: it.comp.os.linux.sys
Titolo: Re: [OT] Scelta Firewall/Gateway

> Altri competitor?
Io trovo NetASQ di gran lunga superiore a moltissimi competitor. 
Politica commerciale chiara senza licenze trappola, features tutte 
sbloccate, ispezione dei pacchetti a livello di kernel e non come modulo 
aggiuntivo.
Prova a darci un'occhiata.
Anche Fortinet non ï¿œ male, ma non amo la politica di licenze. Gli ASA 
Cisco sono ottimi, ma anche molto costosi.


intendiamoci, non voglio vendertelo, perï¿œ c'ï¿œ qualche differenza. se non 
erro c'ï¿œ uno studio comparativo molto interessante che mette i vari 
firewall a confronto.
Personalmente io preferisco NetASQ a Cisco, ma sono pareri personali che 
vogliono dire poco e niente.
Di sicuro NetASQ ï¿œ un nome non molto conosciuto proprio perchï¿œ fa 
esclusivamente sicurezza informatica e null'altro. Perï¿œ il prodotto c'ï¿œ 
e, tra l'altro, faceva ispezioni L7 attive giï¿œ 10 anni fa quando a mala 
pena si parlava di IDS. Se poi a questo aggiungi che gli ASA sono 
recentissimi e fino a poco tempo fa si andava avanti con i PIX che sono 
dei SIF e null'altro... :)


Se non hai grossi problemi di budget ti consiglierei anche Checkpoint:
è veramente il leader nel mondo dei firewall di un certo livello. Io
sono certificato sia su Cisco che su Checkpoint, ma preferisco di gran
lunga il secondo.
Da alcuni clienti ho avuto modo di avere a che fare con Fortigate (non
sembra male, anche se l'ho visto poco) e con Watchguard (costa poco,
ma non mi piace).


P.S.
Tempo fa da qualche parte ho letto anche recensioni entusiastiche di
Clavister

 Consigli?
Personalmente mi trovo bene con una Routerboard Mikrotik, che non mi 
permette di avere prestazioni come quelle da te riportate, ma solo perche` 
ha hardware ridotto rispetto ad un Cisco ASA (ho una RB450G). Probabilmente, 
se le tue esigenze sono alte, una RB1000 e` piu` adatta, altrimenti vi sono 
delle soluzioni basate direttamente su Linux tipo Zeroshell o Endian 
Firewall (questi ultimi ti vendono anche delle appliance gia` pronte). Tutto 
questo senza contare, ovviamente, una macchina dedicata con sopra installato 
o Linux o un BSD a scelta
Enrico

 abbia buone features di base.
pfsense no?

 Comunque grazie delle indicazioni, vado a verificare...
scusa ma, pfsense mica lo devi installare su una scatoletta o su un 
desktop di risulta.. ti compri la macchina rack 1U e ce lo metti, non 
vedo il problema, considerando anche il fatto che la macchina più sfigata 
che trovi ha caratteristiche hw per tenerti su tutte le vlan, vpn, regole 
e sarcazzi "dell'universo criato" (Cit.)
S. 

 C'e' qualche motivazione particolare che ti spinge a preferirli?
C'è una console di gestione assolutamente favolosa (niente a che vedere 
con la ASDM)con la quale puoi gestire tutti i firewall della rete. Ad 
esempio con 3 click puoi creare un cluster o una VPN oppure (funzionalità 
favolosa) ammazzare una connessione (come ad esempio un P2P) in tempo 
reale. E poi ci sono un sacco di tool aggiuntivi (come ad esempio Eventia 
Reporter) che pur essendo a pagamento sono molto utili.
Ho letto che è uscita anche la nuova versione NGX-R70, ma non ho avuto 
modo di provarla.
Checkpoint dà il meglio di sè su piattaforma hardware Nokia IPSO.
-- 
"Mai sottostimare la larghezza di banda di un camioncino che sfreccia a
razzo sull'autostrada" 
Andrew S. Tanenbaum
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"

 Altri competitor?
Vyatta.
Ne ho un tot (10) in giro, di cui una tiene in piedi 5 VPN su un ponte
radio a 54mbit
ed è attiva da anni.
La gestione è stile juniper (ricalca proprio la junos), il firewall
integrato è un po
'strano' da gestire ma puoi sempre andare di iptables o altri
software, visto che
è una debian based.
Fa bilanciamento, gestisce un numero illimitato di vlan (limiti del
kernel, ovviamente)
ed è disponbile sia come software, sia come appliance.
Sono prodotti non ottimi, ma super ottimissimi.
volendo ti danno anche una assistenza 4ore.
www.vyatta.org

 conto di essere totalmente a digiuno su questi prodotti.
Nel mio ambiente non riesco a vedere molte di queste cose (se ho ben 
capito anche te sei toscano e quindi sai più o meno come è il mercato in 
zona), ma ho avuto occasione di vedere Checkpoint in produzione in 
un'università (addirittura usavano una pre-release in beta) e su alcune 
sottoreti di un service provider.


 JunOS si basa su una versione brandizzata di freeBSD se non erro.
Si, ma vyatta simula solo la CLI di Junos, il resto del sistema è
debian.

 ripetitivi e noiosi e ti velocizza alcune cose.
Mai usata l'asdm; è vero che stanno introducendo/hanno introdotto
funzionalità accessibili solo via asdm?

 Altri competitor?
Se vuoi spendere "non troppo" e avere comunque buone features ti direi
watchguard (noi qui lo proponiamo a clienti che vogliono spendere
poco), altrimenti vai tranquillo con NetASQ.
Una cosa che mi piace dei watchguard sono le vpn "simil-SSL". dico
"simil" perchè non è una ssl vpn classica, accessibile via browser, ma
è praticamente openvpn (e quindi non ha i contro di ipsec), con
un'interfaccia client customizzata da loro. di default è sulla porta
443, quindi funziona anche da dietro proxy che lasciano passare https.
ciao,
stefano


ciao, se ti serve altro dammi una email e ti mando del materiale.