Newsgroup: it.comp.os.linux.sys
Titolo: HW per firewall linux

Ciao,
a breve upgradiamo l'HDSL verso internet a 8Mb (banda
garantita 4Mb) perchè ci mettiamo in casa un ambiente di test
che dovrà essere visibile verso Internet (ora abbiamo un'ADSL con ip
dinamico).
Attualmente stiamo utilizzando un vecchio PC dismesso come firewall
(P75,32MB,4GB montato SCSI e modem ethernet) con sopra una versione di
debian antidiluviana.
Sul nuovo link vorrei gestire anche VPN (sia IPSec che OpenVPN), DMZ, DNS
(fully managed), NTP ed SNMP, che hw mi consigliate per il nuovo firewall
(visto che dovrà durare anni...)?

 (visto che dovrà durare anni...)?
Una coppia di server 1U di fascia bassa, come come questo:
http://configure2.euro.dell.com/dellstore/config.aspx?c=it&cs=itbsdt1&kc=305&l=it&oc=PE018601&s=bsd&sbc=pedge_860
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 (visto che dovrà durare anni...)?
Un server come questo:
http://linitx.com/product_info.php?cPath=14_50&products_id=699
Perché:
- ha 3 schede di rete;
- la CPU è fanless (ma comunque 533 Mhz sono più che sufficienti per un
firewall);
- ha  un adattatore CF sulla scheda madre per installarci sopra l'OS e
non avere parti meccaniche in movimento soggette a rotture.
Io comunque non farei girare altri servizi (NTP e DNS) sul firewall,
preferibilmente prenderei questo:
http://linitx.com/product_info.php?cPath=14_50&products_id=1066
In un case 1U da 19" sono presenti due schede come quella precedente:
uno lo usi come firewall e l'altro come DNS e NTP server.
-- 
Tobe Bofh

 preferibilmente prenderei questo:
NTP e DNS, IMHO (non stiamo parlando di ISP), si può fare benissimo - 
sono poco soggetti a problemi di sicurezza.

 fare un firewall in cluster con l'aggeggio doppio) ?
le epia vengono un botto per quello che danno, ormai trovi delle appliance
su amd (con cf) con 3 nic ben sotto i 300 euro

 su amd (con cf) con 3 nic ben sotto i 300 euro
Puoi postare link dove posso comprare on-line (possibilmente in europa 
in modo da non spendere una follia per la spedizione) ?
Grazie

 fare un firewall in cluster con l'aggeggio doppio) ?
Proprio sulla crittografia le CPU Via hanno un *vero* RNG in hardware e
un motore crittografico supportato dal kernel linux:
http://www.via.com.tw/en/initiatives/padlock/hardware.jsp
Qui trovi un benchmark comparativo abilitando il Padlock con SSL e AES:
http://www.linuxjournal.com/article/8042
L'aggeggio in rack è anche quadruplo, nel caso.
-- 
Tobe Bofh

 sono poco soggetti a problemi di sicurezza.
Beh, dire che BIND in particolare non ha una storia di sicurezza abbastanza
travagliata...è un po' azzardato, non trovi?

 
http://www.via.com.tw/en/initiatives/padlock/hardware.jsp
Infatti, è quello che stavo per aggiungere anche io.

 su amd (con cf) con 3 nic ben sotto i 300 euro
Se andiamo a vedere il costo finale hai ragione, considera però che ti
fanno pagare molto caro il case 1U e l'alimentatore fanless.
I prezzi delle schede madri EPIA sono calati ultimamente sia per
l'introduzione dell'AMD Geode che per il recente annuncio della Intel di
offrire anch'essa sistemi Mini-ITX.
-- 
Tobe Bofh

Tobe Bofh ha scritto:

e` vero, sto giusto ricontrollando, sulle epia non ci metto mano da tanto,
ultimamente ho lavorato su delle ncs rimarchiate
(x gordon: le ncs sono fichissime, ma non ho un distributore da indicarti,
non so se si trovino al dettaglio, provo a chiedere, appliance non epia ne
vendono pure in italia comunque: intercomp, yashi ecc.)

 
http://www.linuxjournal.com/article/8042
sbav.. sbav...

 travagliata...è un po' azzardato, non trovi?
Bind (charoot jail) configurato come si deve è lo stesso che usano molti
ISP... vedi tu.

 ISP... vedi tu.
Il fatto che molti tendano a metterci una chroot intorno suggerisce
qualcosa. :-)
Ora, visto che il contesto di riferimento era "mettere BIND su un firewall"
e che anche gli incidenti di chroot escape sono stati non pochissimi in
passato...

Eugenio Silvestri ha scritto:

-- 
Luca Villani        NOC, OpenSailing.org
                     Remove "+settanta" in address for e-mail replies
http://www.opensailing.org
 , il primo Portolano collaborativo online

 (visto che dovrà durare anni...)?
Se non avessi detto dns, ti avrei consigliato il pc più a buon mercato 
che trovi in giro, pieno zeppo di schede di rete, ma con il dns ti 
consiglio di prendere due pc, i più a buon mercato che trovi in giro, 
identici, pieni zeppi di schede di rete, e di metterteli in HA
 
http://www.linux-ha.org/
Ovviamente, un po' di ricambi.
Tanto, con l'hardware odierno anche gli entry level sono 
sovradimensionati per questi usi.
Lato software, visto che hai già esperienza di debian, metti una fetida 
debian stable.


 debian stable.
Fetida ?

 in modo da non spendere una follia per la spedizione) ?
Non so se ti interessino questi apparati; comunque io e un collega (quando
ci arriveranno) siamo intenzionati a provare, a casa, queste
http://www.pcengines.ch/wrap.htm
 (circa 190 euro l'una, comprese spese di
spedizione - senza wi-fi)
Un altro collega sta usando, da un cliente, questa unità, che ha anche la
usb  
http://www.soekris.com/net4801.htm
.
Ciao
-- 
Norbert il COBOLdo
E anche adesso una parte di me
sorvola Dresda a quota 1 5 
(Pink Floyd)

 Fetida ?
Si, fetida.
Niente backports, niente roba custom, modello base insomma.
Si prende il net install e si fa una installazione minimale, senza 
tasksel, poi si mette solo il minimo indispensabile per fare il boot, 
partire con la rete ed arrivare ad una shell di root.
A questo punti installi solo le cose che ti servono e basta.
AFAIK, solo trustix riusciva a installare meno roba...


 usb  
http://www.soekris.com/net4801.htm
.
Ma su questa scheda posso installare distro general purpose (debian, 
centos...) su CF ?

 centos...) su CF ?
Ni, per quel che ne so.
ovvero: il mio collega ha provato mezza giornata a installare ubuntu, ha
bestemmiato numerosi olimpi pagani ma senza risultato.
Ha poi installato voyage (derivata debian specifica) e non ha avuto
problemi; per ora, almeno (la sta usando da una settimana scarsa).
Io, sulla mia, vorrei provare ipcop (ne esiste una versione specifica per
il mio scatolino). Poi, magari su un' altra cf, devil linux o un' altra
distro specifica
Una lista non esaustiva di distro specifiche per wrap (ma a volte ci sono
anche quelle specifiche per soekeris) la trovi in fondo a questa pagina
http://www.pcengines.ch/wrap.htm
Mi spiace di non poterti essere più di aiuto, ma su tre macchinette
ordinate (a fornitori diversi) una (la soekeris) è arrivata una settimana
fa. Le altre due (wrap) sono ancora in viaggio.
Buon pomeriggio


 AFAIK, solo trustix riusciva a installare meno roba...
E' perchè non hai mai provato a fare lo stesso con slackware...
Gufo
-- 
  ,___,          Armageddon means never having to say you're sorry.
  (9v9)
  (_^((\                    .: May the owl be with you :.
-^-"-"-\\-^-                  
http://gufo.dontexist.org
 

 E' perchè non hai mai provato a fare lo stesso con slackware...
Slack è stata la mia prima distro.
E quando hai più di una ventina di server da amministrare, non è una 
alternativa percorribile.
IMHO.
