Newsgroup: it.comp.reti.ip-admin
Titolo: Consiglio su firewall

Ciao a tutti,
vorrei chiedere in generale un parere su un firewall.... HO un rack in un
datacenter con 10 mbit di banda, 1 porta internet con 2 blocchi da 16 IP
sulla mia VLan. Lo switch mio è un 3Com 4226T (24porte + 2 porte Gigabit).
Dentro questo rack ho 19 server (tutti web + 1 email e 1 mysql). Il traffico
sviluppato è mediamente di 2 mbit. Le connessioni medie sul webserver
principale sono a volte quasi 300 contemporaneamten.
Ora tutto questò è senza firewall. Finora abbiamo usato, visto che erano
macchine linux, iptables ma la situazione, dato il traffico inizia a pesare.
Abbiamo cercato di vagliare diversi prodotti hardware di firewalling. su
Cisco ci è stato detto che per poter avere un dispositivo che supporti tutto
questo traffico/connessioni ci sarebbe costato un patrimonio. Qualcuno
invece ci ha suggerito di orientarci su NetScreen.
Il budget sarebbe di c.a. 1000 euro, non molto. qualcuno conosce qualche
prodotto che possa fare il mio caso?
Grazie dei consigli
Stefano

 invece ci ha suggerito di orientarci su NetScreen.
<snop>
Hm .. hai provato a dare un'occhiata a GnatBox o FireBox ?
GnatBox 
http://www.gta.com/products/
FireBox 
http://www.watchguard.com/products/
oppure potresti "partizionare" i servers usando più firewalls
ciascuno dei quali servirà un gruppo di servers...
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 qualche prodotto che possa fare il mio caso?
Un PC con un Athlon qualcosa, o un P4, 256MB di RAM, tre schede 10/100Mbps
decenti (Intel) e IpCop 
www.ipcop.org
, cosi' ti gestisci anche la DMZ.
Volendo, puoi usare schede 1Gbps per le porte LAN e DMZ, ottenendo un
discreto throughput.
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Networking, Windows NT/2000/XP
http://support.microsoft.com/newsgroups/default.aspx

 prodotto che possa fare il mio caso?
2 mbps e qualche centinaio di connessioni non mi sembrano un traffico 
preoccupante. Dovrebbe essere alla portata di una macchina linux o 
OpenBSD anche di fascia abbastanza bassa. Visto che avete esperienza di
linux non vi dovrebbe essere difficile configurare un fw netfilter da 
piazzare tra lo switch e il router. Potreste provare, se avete tempo, 
a configurare una macchina con netfilter e poi fare un test tra qualche
client in lan e i server sullo switch, per vedere come si comporta.
Personalmente prenderei in considerazione anche la possibilita' di
mettere due firewall linux in configurazione di alta disponibilita',
visto il budget elevato :-)
Fabio

 > sviluppato č mediamente di 2 mbit. Le connessioni medie sul webserver


 cretinate? come devo affrontare la cosa allora?
No, il concetto è giusto, comunque:
se hai ip liberi da usare, puoi pensare di fare il firewall in proxy arp.
Hai il vantaggio che tutto il routing avviene in automatico e nessuno si
accorge di nulla.
Forse potrebbe essere un problema il fatto di dover gestire 3 reti tutte
in proxy arp (dato che ne avrai una per ognuna delle due subnet più una
per il resto del mondo).
Forse se fai il firewall in bridging viene tutto più naturale e meno
incasinato: non hai routing, non sprechi indirizzi, ti limiti a filtrare
pacificamente e trasparentemente.
Meglio di tutto: grazie a STP, meraviglia delle meraviglie, dentro le
patatine trovi in omaggio anche la ridondanza...
Problema: il filtering su bridge al momento fa un po' schifo, su linux.
Quindi:
- o fai un filtering come linux lo permette,
- oppure ti fidi a mettere in produzione codice ancora piuttosto
sperimentale (ebtables e famiglia)
- oppure lo fai su OpenBSD
Forse la terza è la migliore ;-)
Buonanotte, la smetto di dire boiate (tanto so già che domani leggerò 'sta
cosa e penserò: "ma la dovevo scrivere per forza?!?!?!")
Ciao a tutti e due...
-- 
Emanuele Balla   aka Skull
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

> - oppure lo fai su OpenBSD
Concordo al 100% :-)

 Ciao a tutti e due...
Ciao


 sia abbastanza sconsigliato....
NAT e routing sono compito di ipcop, che gestisce gli alias, per cui gli IP
pubblici che ti sono stati assegnati vengono rediretti su IP della DMZ (o
della LAN) e su porte specifiche, chiudendo tutto il resto. In questo modo,
quindi, puoi tranquillamente redirigere una porta di un IP ad una data
macchina, un'altra porta dello stesso IP ad un'altra macchina eccetera,
spendendo al meglio la tua connessione pubblica.
Su OpenBSD non ti so aiutare, ma mi interessa e sto cercando documentazione
al riguardo.
IpCop e' una robetta facile facile, la ISO pesa una ventina di mega e si
installa e configura da solo in 5 minuti. La release corrente (1.3.0) usa il
kernel 2.4 per cui dovrebbe essere abbastanza tranquillo.
Intanto prova, dato che puoi riciclare un pc di recupero con 2-3 schede di
rete, cosi' per il momento ti metti al sicuro; dopodiche' puoi valutare se
passare ad altri tipi di soluzione.


 
Concordo pure io, anche perche linux e si ottimo ma iptables e un po
lentino.
Io utilizzo una coppia dio macchine OpenBSD con ipf per firewallare una 34
megabit con un traffico medio si 20 mega, su una macchina non potentissima
ma comunque sovradimensionata ( un amd 1800+ ) e va davvero davvero bene.
Ti consiglio questa soluzione che reputo la migliore tra quelle "fai da te".
nextime

 comodita....
Non solo, se non ti "basta" la velocità potresti splittare le subnet ed
usare
più macchine IPCop configurate in modo che ognuna serva un gruppo di
servers distribuendo così il carico (se veramente ne hai bisogno)


 servers distribuendo così il carico (se veramente ne hai bisogno)
Sono un po' curioso relativamente al discorso velocita'.
Prima avevo IpCop su un P4, e la premurosa DELyMyth, come l'ha saputo, si e'
messa a ululare dandomi dell'esagerato :-)
Dopodiche', dato che mi serviva quel P4, ho installato IpCop su un P-III
833MHz con 256MB di RAM; la connessione e' a 10Mbps e ho fatto qualche test
da altra citta' sulla stessa rete (fastweb), ottenendo quasi il 100% della
banda su trasferimento di file di media dimensione (< 40MB).
Fra l'altro ho LAN e DMZ a 100Mbps full-duplex e accedo alle macchine DMZ
alla massima velocita'.
Oh, puo' darsi che sulla gestione di molti pacchetti di piccola dimensione
(es. posta) il discorso sia piu' critico, come del resto lo e' in un
qualsiasi trasferimento file a causa dei numerosi I/O, che in questo caso
potrebbero tradursi in ritardi dovuti a iptables.
Cosi' a occhio, se Stefano non ha una 43Mbps, dovrebbe bastare una macchina
cosi', almeno credo.


 macchina cosi', almeno credo.
Si, in ogni caso (come ho scritto) basterebbe splittare la subnet ed
aggiungere
altri IPCop nel caso in cui ci fossero problemi di performance; ovvio che
usare
un cluster "vero" sarebbe il top sia in termini di velocità che di
affidabilità, ma
poi tutto dipende da quanto uno si voglia "complicare la vita"


 potrebbe essere un'attimo + ostico)
A proposito, ObiWan, ti avevo scritto in privato, ma probabilmente non hai
letto la mail.
Puoi darmi una mano su questo discorso firewall su BSD? Si potrebbe anche
discuterne qui, ma non so se sia la sede piu' corretta.
In particolare, mi interessa la gestione di una DMZ e la possibilita' di
usare schede Gigabit per LAN e DMZ.
Se hai tempo, mi dai una mano?


 una 34
Come mai non pf?
Fabio

 Se hai tempo, mi dai una mano?
Intanto leggiti la mail di risposta; in ogni caso ...
beh, si fa quel che si puņ (purtroppo i giorni di
36 ore ancora non sono stati inventati) ;-) !
Ciao


 quelle "fai da te".
Considerato il fatto che ipf è più lento di pf e che pf è più lento di
iptables, mi permetto di dissentire ;-)
Non lo dico io, lo dicono quelli di benzedrine (e mi riferisco allo
stesso paper di Fabio, oltre ad altro che avevo recuperato tempo addietro
e che confrontava ipf con iptables - se lo ritrovo lo mando).
Nel caso di utilizzo come firewall dedicato (quindi solo forwarding, non
bastion) iptables è decisamente più performante rispetto agli altri due.
Il motivo, banalmente, è il fatto che iptables utilizza un unico ruleset
dedicato a tale traffico, contro i due di pf.
Ho uno di questi giocattoli, con HW P III 1.2 GHz, che supera piuttosto
agevolmente i 70 Mbps di throughput (in routing).
Paper su cui si analizzano le prestazioni del codice di bridging
associato a netfilter parlano di 65/70 Mbps su P III 1 GHz.
La velocità di netfilter non è in dubbio, dal mio punto di vista.
Piuttosto, alcune funzionalità più esotiche (il bridging è un esempio, ma
pensa al modulate state...) in linux non esistono o sono ad un livello di
sviluppo non paragonabile...
CMQ, se hai link a documentazione al riguardo, è ben accetta ;-)
Mandi...


 ha scritto nel messaggio
news:baauhn$r8flq$1...@ID-175458.news.dfncis.de...


 se ho detto qualche fesseria le correzioni sono bene accette.
Non mi riferivo a questo, ma al fatto che iptables usa la chain di forward
per il traffico in passaggio, mentre pf ha sia la in dell'interfaccia di
ingresso che la out di quella di uscita, con l'effetto che il tempo totale
di attraversamento può risultare anche raddoppiato nel caso peggiore, per
via del fatto che il codice deve matchare le rules di entrambe, liddove
iptables invece si limita a "ravanare" in una unica tabella.
uno skull che pass in pass out
Byez...
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com


 aver velocizzato parecchio (
http://www.openbsd.org/faq/pf/tables.html
)
Giusto una nota rapida ... anche se posso essere d'accordo sul fatto che
in condizioni "normali" usare il firewalling con Linux garantisce
prestazioni
più elevate, questo non è vero in condizioni di "carico" elevato; in questo
caso, a parità di hardware/connessioni BSD regge molto meglio, mentre
linux inizia a "sbuffare" e necessita (di solito) di un potenziamento h/w
questo significa che una macchina con BSD garantisce un maggior livello
di carico rispetto ad una corrispondente macchina Linux il tutto si traduce
in una maggiore "robustezza" anche in condizioni limite (es. DoS)


 condizioni limite (es. DoS)
Soprattutto, PF si comporta meglio nel caso di rule table molto
affollate...
Byez.


 affollate...
Uff... mi aspettavo un flame ... invece vedo che concordi :-)
A propo; non voglio dire che Linux vada male, anzi ! Solo
che come ho scritto per applicazioni "critiche" preferisco
andare su BSD .. poi, ovvio, ognuno ha le sue idee ;-) !

 ha le sue idee ;-) !
Sono utente OBSD da ~ tre anni, giro con una maglietta verde con la
faccia del diavoletto con l'aureola (anche se in questo momento ne ho una
con un grosso Gnu che medita..) ;-)
I miei commenti riguardo alla velocità di iptables su PF erano puramente
tecnici, non derivano da partito preso...
PF è indubbiamente il miglior packet filter in circolazione, anni luce
avanti anche rispetto a qualsiasi prodotto commerciale. L'unica
caratteristica che gli mancherebbe è il buffering dell'handshake in
stile pix, poi nulla più.
Ciò non toglie che per la maggior parte degli utilizzi risulta più lento
di iptables, il che è anche abbondantemente normale visto che implementa
molte caratteristiche che PF non ha...
Per attività di packet filtering "puro" sono il primo a consigliare
OpenBSD... Tuttavia, non darei in mano ad utenti poco esperti OBSD con la
stessa facilità con cui dò in mano una macchina Debian o, ancor più, RH.
Se usare uno o l'altro di solito dipende di più dalla composizione del
CED del cliente che altro...
Ciao...


 elevato; 
Non so, io ho sicuramente poca esperienza con OpenBSD, ma mi sembra che
il paper di cui abbiamo postato il link, l'unico a me noto che presenti
dati oggettivi, sembra che sia proprio in condizioni di elevato carico
che OBSD cede, laddove linux continua a fornire il servizio. C'e' anche
da dire che sono test che si riferiscono a una versione di pf superata,
penso. 
Fabio

 Con la 3.3 sono stati apportate _tante_ migliorie.
... non mi resta che riattaccare alla rete 'sto celeron 266 che ho 
appena tolto dalla produzione e vedere com'e' questa 3.3 :-)
Fabio

 appena tolto dalla produzione e vedere com'e' questa 3.3 :-)
Beh ... considera che questi 
http://www.open-rsc.org
 servers
usano BSD (per la maggior parte) e ... beh penso di avere
reso l'idea :-)


 reso l'idea :-)
Spero che theo de raadt non si offenda se pasticcio con il suo 
giocattolino su macchine meno nobili :-)
Fabio