Newsgroup: it.comp.reti.locali
Titolo: Consigli su rete centralizzata

Dopo anni di anarchia in cui le nostre 9 filiali potevano fare quello 
che volevano, stiamo passando finalmente (forse) a una rete chiusa MPLS, 
con un unico accesso ad internet dal centro stella.
Ora, considerate che io ne capisco un po' di reti et similia, ma non 
vorrei diventasse il mio lavoro a tempo pieno... non mi dispiacerebbe 
perï¿œ poter gestire la connessione ad internet centralizzata, dove per 
gestire intendo mettere filtri, blacklist, whitelist, bloccare quelli 
che p2pizzano, gestire i pc che possono e non possono andare in internet...
Le postazioni, piï¿œ o meno, saranno una 70ina.
Cosa mi consigliate di fare? Un proxy, un firewall, software, 
hardware...? Ditemi pure. (chiaramente soluzioni aggratisse sono 
privilegiate ;))
 
-- 
Jax

 privilegiate ;))
 
Ok, vuoi incasinarti la vita per risparmiare qualche soldo ? O
preferisci sborsare qualcosa ed avere una soluzione con tanto di
supporto tecnico in caso di problemi, aggiornamenti "automatici" e
minor investimento in termini di manutenzione/aggiornamento ?
 
Nel secondo caso, direi che potresti prenderti un UTM hardware o anche
una coppia in balancing o fault-tolerance e gestire bandwidth shaping,
filtraggi di vario genere e limitazioni direttamente con l'appliance
 
 

 Ditemi pure. (chiaramente soluzioni aggratisse sono privilegiate ;))
 
Le soluzioni aggratisse richiedono ulteriore tempo tecnico, mentre un 
UTM puï¿œ (deve!) essere coperto da contratto di assistenza con tempi 
certi di intervento.
 
Ciao
Luca
 
 

 filtraggi di vario genere e limitazioni direttamente con l'appliance
 
Rispondo a entrambi. Da quello che ho capito il provider dar� anche un 
firewall hardware a cui posso accedere. Non so bene cosa io potr� fare...
Preferirei incasinarmi la vita ma non troppo ;)
Diciamo che gi� se riuscissi a far fare una rete del genere sarebbe un 
successo, e non credo che spenderebbero ulteriori soldi per rendere la 
cosa pi� agevole a me...
 
-- 
Jax

 
 
non si tratta di agevolare te, ma di far lavorare l'azienda.
 
se sbagli qualcosa e non sai come sistemarlo, il tuo capo e' disposto ad 
aspettare che vieni sul ng a postare la richiesta e restare senza il 
collegamento, magari per un paio di giorni, mentre si arriva alla 
soluzione?
 
nel frattempo il capo ti dice 'poverino, dopotutto non e' il tuo mestiere e 
mi stai facendo un favore' (che non e' vero, perche' invece di produrre 
stai facendo altro ma lui ti paga lo stesso) oppure fuma come una ciminiera 
e s'incaxxa come un toro?
 
 
da come l'hai descritta, a me sembra che tu ti stia prendendo un rischio 
non da poco giusto per la gloria...
 
 
-- 
Paolo opg
 
BE AWARE that this post uses a fake reply-to address
to contact me write to:
janickg ( at ) hotmail ( dot ) com
--

 lavoro a tempo pieno :)
 
è esattamente quel che pensavo, e questo significa che, come ho
scritto, ci sono due possibilità; la prima è quella di mettere insieme
del s/w opensource che implementi le funzionalità richieste e poi
dedicare del tempo a mantenere il tutto aggiornato, risolvere eventuali
problemi, documentarsi su eventuali bugs (e relative correzioni)
etc...; la seconda è quella di spendere qualche soldo e prendersi un
UTM con tanto di contratto di assistenza, configurarlo per benino e
controllarlo periodicamente, lasciando all'assistenza il compito di
risolvere eventuali problemi... visto che NON vuole che tale compito
diventi "a tempo pieno" :) a questo punto direi che un bel NetASQ
potrebbe andare benone, anche perchè i "firewalls forniti dal provider"
nel 99.999% dei casi servono solo a permettere al provider di ciucciar
soldi al cliente ignaro ... anzi, in effetti se NON venisse fornito
alcun "firewall" ma un semplice router, sarebbe MOLTO meglio
 

 soluzione?
 
Beh, considera che finora ï¿œ sempre stato cosï¿œ :)
Se non vuole pagare l'assistenza, si accontenta della mia (e vostra) 
prestazione e si attacca al tram ;)
 
-- 
Jax

 differenziando (se vuoi) le regole uno per uno
 
A cosa serve un firewall in ogni filiale se ha detto che acquista un
servizio di VPN MPLS?
 
Anyway, rispondendo a Jax, anche secondo me un UTM o meglio una coppia
di UTM come giï¿œ suggerito dagli altri, sono la scelta ideale; che poi
siano StoneGate, ZyWall, FortiGate, SonicWall, Cisco ASA o altro ï¿œ
abbastanza indifferente. Tutti fanno piï¿œ o meno le stesse cose in modo
piï¿œ o meno semplice e piï¿œ o meno costoso. L'unico differente dagli altri
ï¿œ forse l'ASA che per il content filtering necessita di Websense (e lï¿œ
sono palanche, circa 30ï¿œ/utente/anno) e che non permette certe cose
utili come il balancing dei provider, ma per il resto le soluzioni sono
tutte buone e valgon tutte nulla :)
 
Il proxy ï¿œ l'unico strumento che ti permetterebbe di avere un controllo
accurato sull'accesso ad Internet, ma c'ï¿œ il problema del trovare liste
affidabili e sufficientemente complete di catalogazione dei siti.
Inoltre ï¿œ una macchina in piï¿œ da gestire che rappresenta un onere non
indifferente, soprattutto per la gestione delle innumerevoli eccezioni.
Inoltre l'autenticazione via proxy ï¿œ semplice ma non ï¿œ semplice il
filtering, mentre il filtering sul UTM ï¿œ semplice ma non ï¿œ semplice
l'autenticazione. Le uniche soluzioni che conosco che rendono semplici
entrambe le cose sono quelle di Websense e Bluecoat, ma costano.
Accontentandosi di categorizzare gli utenti per IP o di segare porno e
roba simile per tutti indistintamente, ï¿œ l'uovo di Colombo che rende
l'UTM la scelta ideale per tutti.
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

 l'UTM la scelta ideale per tutti.
 
Innanzitutto ringrazio tutti per i consigli.
Vedo che molti (se non tutti) gli UTM sono a licenza per utente... Non 
mi piace molto sta cosa. Ne conoscete alcuni "flat"?
Intanto continuo a cercare.
 
Inoltre, giï¿œ che ci sono: qualcuno ha esperienza con accessi a internet 
centralizzati? MC-Link mi ha proposto una 10Mbit presso i loro 
datacenter. Non mi dispiacerebbe avere una connettivitï¿œ in meno, inoltre 
sarebbe in un posto piï¿œ sicuro e probabilmente funzionerebbe meglio di 
una o piï¿œ HDSL qua da me. Mi darebbero anche un paio di rack dove 
mettere il mio / i miei firewall.
Pareri?
 
-- 
Jax

 Pareri?
 
In MC-Link, nel DC di Trento, ho un paio di mezzi rack e l'azienda per
cui lavoravo prima (e con cui collaboro ancora) ha due sale...
personalmente sono soddisfatto.
 
Certo ï¿œ che in Italia i costi del datacenter sono proibitivi rispetto a
Germania o America.


 Germania o America.
 
Mi hanno proposto un accesso internet centralizzato a 10Mbit + 2 unitï¿œ 
rack in housing per 400 euro al mese. Non ï¿œ pochissimo, ma tutto sommato 
mi sembra accettabile (se dovessi installare delle HDSL qui mi 
costerebbe molto di piï¿œ).
 
-- 
Jax

 costerebbe molto di piï¿œ).
 
Lo so... tutto perchï¿œ siamo in Italia. Per un server dedicato in
germania, con 100mbit, pago 49ï¿œ al mese iva inclusa (
www.hetzner.de
).
Sono prodotti diversi, ma con prezzi altrettanto diversi.


 utente solo le VPN.
 
personalmente credo che dal punto di vista costi/risultati e per una
fascia di utenza come quella della quale stiamo parlando, i prodotti di
NetASQ potrebbero essere una buona scelta (e del resto, ho idea che
Luca potrebbe fornire ulteriori dettagli); non dico che non esistano
altri prodotti, il problema è che quando si decide di prendere un UTM
i fattori fondamentali sono la rapidità di assistenza ed aggiornamento
e l'efficienza dei vari "filtri" implementati