Newsgroup: it.comp.reti.ip-admin
Titolo: Proxy

Ciao a tutti ho questa situazione: router soho 97 e firewall pix 501. Ora 
vorrei installargli un proxy sia che mi fa da web caching e sia da 
autenticazione user.
Un consiglio su queste due soluzioni:
ISA Server 2004 con una sola Sk di rete oppure Websense.
Qual'è il migliore, se avete qualche suggerimento è ben accettato.
Grazie
Tony76

 Qual'è il migliore, se avete qualche suggerimento è ben accettato.
Squid...ma questo perche' trovo ISA ancora giovane e poco
performante.
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFD84YuuxRXtjsR9sRA4lEAKDeA659ZBv1i0uDiKZLO6+eqxwh8wCg46HJ
8A5R1DLTuSjwDJ11o7gWjGE=
=fovd
-----END PGP SIGNATURE-----

> ISA Server 2004 con una sola Sk di rete oppure Websense.
dipende da cosa vuoi fare; websense va benone se si tratta
di filtrare contenuti ecc.. ISA invece necessita di plugings per
il filtraggio (o per altri scopi) ma è completamente integrato
nell'infrastuttura Windows
detto questo; se vuoi implementare un "one legged proxy"
ti consiglio di configurare il PIX in modo da permettere l'accesso
verso le porte 80/443 di hosts esterni al solo indirizzo IP che
assegnerai al proxy in tal modo gli utenti non potranno bypassare
il proxy ed uscire direttamente attraverso il PIX
ciao

Grazie per il suggerimento, ma volevo sapere una cosa: Websense mi permette 
l'autentica degli utenti e funge anche da web caching.
Ciao 

 anche da web caching.
si ad entrambe anche se l'integrazione č meno trasparente
rispetto ad ISA ed il caching non č il punto di forza di websense;
per dirla in due parole; websense č utile soprattutto se si desidera
filtrare l'accesso al web; ma a questo punto, se i requisiti sono
anche un caching robusto e l'autenticazione integrata (AD) penso
che potresti andare direttamente su ISA 2004 e poi, se necessario
installare qualche add-on (ne esistono sia free che commerciali)
per implementare il filtering ed altro; ma.. a questo punto; visto che
ISA non č solo un proxy ma anche un firewall.. non ti converrebbe
ripensare l'architettura ed installare un ISA con due schede di rete
utilizzandolo anche per il filtraggio del traffico (e non solo di quello
WEB) in base all'utenza, per il traffic shaping ed altro ancora ?

Sai, io penso che un Firewall Hardware sia sempre opportunamente 
consigliabile rispetto ad uno software.
Mi potrň anche sbagliare, che ne dite?


dipende quello che devi implementare io mi sono trovato molto bene con i 
fortigate..
ciao
pep

 opportunamente consigliabile rispetto ad uno software.
guarda che NON stavo consigliandoti di utilizzare ISA
al posto del PIX; al contrario, di utilizzare ISA "a valle"
del PIX; in pratica qualcosa del tipo
Internet
|
soho97
|
PIX501
|
+-- DMZ
|
ISA
|
LAN
in pratica in questo modo otterresti una DMZ "vera"; avresti
il PIX "esposto" ad internet con l'ulteriore filtraggio attuato da
ISA ed avresti anche il totale controllo di accesso a livello
utente fornito da ISA; non mi sembra un'idea malvagia :-)
Ciao

 ISA Server 2004 con una sola Sk di rete oppure Websense.
usare ISA2004 con una sola sk di rete e' un'abominio e uno spreco di soldi.
Comunque ISA2006 e' gia' disponibile, e te lo consiglio.
-- 
Tinto

 performante.
sulla gioventu' si puo' discutere, sulle performance sappi che ISA
risente molto delle errate configurazioni, specialmente del DNS.
Puo' bastare qualche clic per farlo accelerare decisamente, se e'
impostato male.
-- 
Tinto

 l'autentica degli utenti e funge anche da web caching.
l'autentica degli utenti su tutto il traffico IP e non solo sull'HTTP
credo sia ancora prerogativa di ISA.
-- 
Tinto

 Mi potrò anche sbagliare, che ne dite?
che, se e' una questione di sicurezza, puoi anche avere entrambe le
cose, ad esempio un PIX davanti e un ISA dietro (ma sempre con almeno 2
schede di rete!). Questo puo' farti sentire piu' sicuro ed e' vero che
l'attaccante dovrebbe compromettere due firewall per entrare, pero' e'
altrettanto vero che doveer gestire 2 firewall al posto di uno complica
la gestione e rende piu' probabili gli errori.
-- 
Tinto

 ISA.
esatto, ed è proprio a questo che mi riferivo; l'idea
potrebbe essere quella di usare ISA (con due NIC)
dietro al PIX guadagnando così una DMZ ed allo
stesso tempo garantendo che il traffico proveniente
dalla LAN venga opportunamente autorizzato; certo
si tratterà di gestire due firewall, ma facendo le cose
a dovere non sarà poi una grossa complicazione
ciao

 a dovere non sarà poi una grossa complicazione
e' comunque una complicazione e un costo maggiore rispetto a quello di
usare un solo firewall ;)
-- 
Tinto