Newsgroup: it.comp.reti.ip-admin
Titolo: Firewall per LAN

Avrei bisogno di un consiglio:
Situazione:
- LAN aziendale di circa 50 pc e 6 server
- ADSL verso internet
- nessuna protezione perimetrale
E' nata la necessità di proteggere la rete aziendale con un firewall. Il 
nostro fornitore e consulente usuale ci ha proposto l'adozione di un 
firewall ASTARO ASG220. Oltre alla spesa iniziale ci sarebbe un sostanzioso 
costo annuale per l'aggiornamento dei servizi.
Ne vale la pena rispetto all'usare un PC con Linux e Apache? I costi di 
gestione di Linux/Apache sarebbero lo stesso alti considerando che dovremmo 
far fare l'amministrazione e gestione della macchina ad un tecnico esterno?
Grazie per le risposte
Ciao
Solstrom

 e gestione della macchina ad un tecnico esterno?
per quale motivo ?
Ed in ogni caso, spiega meglio cosa vuoi ottenere
ossia.. basta un semplice firewall o avete necessità
di controllare/bloccare l'accesso a siti/domini/ecc..
inoltre, che tipo di rete è; sono tutte macchine windows
o avete vari sistemi operativi o .. cosa ?
detto questo; considera che installare qualcosa come
http://m0n0.ch/wall/
su (es.) un hardware come
http://m0n0.ch/wall/hardware.php
costa relativamente poco, l'installazione è estremamente
semplice e la configurazione/gestione avviene utilizzando
un'interfaccia accessibile tramite browser; al proposito
vedi  
http://m0n0.ch/wall/screenshots.php
 a questo punto
non so quanto sia necessario far gestire il tutto da esterni
dato che basterebbe "skillare" una persona interna per
riuscire a gestire decentemente la cosa
ciao

 riuscire a gestire decentemente la cosa
... io sono il primo da skillare...
Grazie per le idee e informazioni
Solstrom 

 far fare l'amministrazione e gestione della macchina ad un tecnico esterno?
Sicuramente è una soluzione inizialmente più economica ma se non cè un 
tecnico che sappia poi gestire la macchina può essere molto inefficace 
(ed anche costosa).
Non hai chiesto preventivi per la manutenzione?  Almeno per i primi anni?
Ciao
Giovanni
-- 
   A computer is like an air conditioner,
   it stops working when you open Windows.
   Registered Linux user #337974  < 
http://giovanni.homelinux.net/
 >

> Non hai chiesto preventivi per la manutenzione?  Almeno per i primi anni?
mi sto muovendo ora e mi hanno indirizzato su Astaro che non avrebbe bisogno
di niente se non i canoni annui dei vari servizi. L'hardware starebbe sui
2500 e il canone annuo dei servizi e aggiornamenti sui 3500.
Il Pc con Linux mi era venuto in mente per evitare questa spesa ma, come
dici, se la macchina non è ben gestita si corre il rischio di una soluzione
inefficace. In questo caso dovrei ricorrere al "supporto esterno" per la 
gestione.
Il casino è che vorrei qualcosa di efficace, poco costoso perchè la
direzione non percepisce il problema sicurezza e che mi desse pochi guai
perchè il mio lavoro è in realtà un altro. Insomma tipica situazione botte 
piena e moglie ubriaca :-(
Devo trovare il miglior compromesso digeribile economicamente.
Ciao
Solstrom

 tecnico esterno?
Apache non c'entra niente, comunque con la soluzione suggerita da ObiWan
avresti una macchina che fa la stessa cosa di quella che ti vorrebbero
vendere con la stessa difficoltà di gestione (ovvero: perdi 2 giorni a
configurarla bene la prima volta e poi ti dimentichi che esista).
-- 
Vide

 configurarla bene la prima volta e poi ti dimentichi che esista).
la considererò sicuramente.
Grazie
Solstrom 

SolStrom ha scritto:

Oltre a M0n0wall puoi usare IPCOP.
Lo sto utilizzando su una rete di 5 client, 1 stampante HP di rete, un 
NAS e FUNZIONA BENISSIMO.
Da quando l'ho installato, non ho fatto piu' manutenzione su quella 
macchina (premetto che la "manutenzione" la fai via browser).
Il pc utilizzato e' un pentium 3 a 600mhz, 128 mb di Ram, 13 gb di Hard 
disk e 2 schede di rete.
Se hai un catorcio da buttare, pensaci bene. Ti potrei aiutare 
tranquillamente nella configurazione.
Nic0la

SolStrom ha scritto:

Considera anche un'altra soluzione, ovvero quella di mettere bene in chiaro (ovvero per iscritto) 
che te non sei responsabile della sicurezza aziendale, altrimenti la dirigenza, appena sarà chiamata 
in causa per qualche bega, si ricorderà di aver affibbiato la patata bollente a qualcun altro 
(indovina chi?) e gli farà un mazzo così
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
There is no TRUTH.  There is no REALITY.  There is no CONSISTENCY.
There are no ABSOLUTE STATEMENTS   I'm very probably wrong.

 tranquillamente nella configurazione.
grazie, sei gentilissimo :-) e, eventualmente, approfittero senz'altro della 
tua esperienza!
Guardo su google di cosa si tratta e se puo' andare bene per una rete di 
circa 50 client
Solstrom 

 altro (indovina chi?) e gli farà un mazzo così
ecc'hai ragione! effettivamente comincerò col paracularmi con una relazione 
scritta della situazione e dei potenziali rischi. Non è però semplicissimo, 
nella mia realtà, sottrarsi all'incombenza  senza far degenerare il 
rapporto. Vedrò di porre dei paletti ma non è facile.
Grazie
Solstrom

 Devo trovare il miglior compromesso digeribile economicamente.
Da quello che dici potrebbe andare bene anche partire piano piano.
Per un fai da te una macchina con configurazione molto semplice (come
i firewall integrati nei modem-adsl/router) potrebbe essere
sufficiente.  Tutte le porte di ingresso chiuse e tutte le porte di
uscita aperte.  Poi potresti aver tempo per migliorare ed inserire
nuovi servizi man mano che avanzi in esperienza.
Io ho gestito per alcuni anni la subnet del mio laboratorio (solo 10 
macchine con Windows e Linux) su un vecchio pentium 100Mhz ed avevo 
aggiunto anche un server di posta (a basso traffico) con scanner per 
la protezione.  Per quest'ultimo servizio però devi cominciare a 
pensare ai backup.


- nessuna protezione perimetrale
BRRRRRRRRRRRRR
mi vengono i brividi ....
comuqnue  ...
soluzioni ce ne sono tante, io penserei come prima cosa di
"sensibilizzare" il boss , fagli "ben" presente i rischi di un accesso
alla vs rete dall'esterno (virus, malware, ecc). butta li parole tipo
"perdita dati" "blocco totale" "impossibile lavorare", insomma fai un
po di sano terrorismo psicologico a scopo ottenere fondi adeguati,
senza mai parlare di soldi, ma di soluzioni ;) 
dai, scherzo, ma non troppo ;)
mentre fai questo, fatti fare dei preventivi per diverse soluzioni di
firewall.
in ogni caso, nel fare il tutto, valuta anche prodotti tipo m0n0wall
(che gia ti ha suggerito ObiWan) o tipo  IPCop (suggerito da nic0la).
sono entrambi ottimi prodotti, la gestione è molto semplice e spesso
si riduce al nulla o quasi.
Ciao

E' linux: dai un'occhiata.
http://www.nethesis.it/content/view/22/45/
Noi lo usiamo e lo rivendiamo anche e siamo molto soddisfatti !
Sandro Cocci
SolStrom ha scritto:


Sandro Cocci ha scritto:

Dalle schermate che vedo, mi sembra tanto un IPCOP con le schermate 
modificate e qualche modulo ben costruito.
Non so come la vedete voi, ma IPCOP, facile da installare e da 
amministrare, mi sembra veramente il minimo.
Ti serve un mouse, una tastiera e un monitor solo in fase di 
installazione e prima configurazione, poi puoi tutto amministrare via 
SSH e Browser.
Mejo de cosi' (scusate er romanaccio).
Nic0la

 costo annuale per l'aggiornamento dei servizi.
Più che il prezzo iniziale, a me pare alto il prezzo degli
aggiornamenti; confrontando ad esempio con un SonicWall Pro 3060 che
comprende in offerta 1 anno di supporto e il firmware 'enhanced'
compreso.
http://www.alias.it/index.php?pag=cat&forn=36&f=int&id=AS5366
E per la parte antivirus (non obbligatoria , magari per quello siete
già attrezzati o volete una soluzione a parte):
http://www.alias.it/index.php?pag=cat&forn=36&f=int&id=AS5758
Per l'assistenza ulteriore, hai a disposizione servizi tipo questo:
http://www.alias.it/index.php?pag=cat&forn=36&f=int&id=AS3061
Ovviamente potresti anche provare le soluzione 'in casa' suggerite
dagli altri, ma se devi interagire con un direttore che non ne
capisce, se gli mostri una bella scatola, una bel logo, un bel
depliant con tanti paroloni, di sicuro scuce i soldi più facilmente :)
Una domanda: a te serve un apparato che oltre a firewall faccia anche
da antivirus/spam/parental control o no ?
Gabriele

 2500 e il canone annuo dei servizi e aggiornamenti sui 3500.
Nessun firewall è efficace se non c'è chi lo gestisce con cognizione di
causa, credimi.


Sul piano tecnico anche io ti consiglio un appliance , i sonicwall
citati precedentemente sono buoni , che ricordi io hanno anche modelli
entry level.
Anche a me non piace il concetto di pagare un fee annuale, ma tante'
lo fanno quasi tutti.
Per la gestione e' certamente + facile questo approcio rispetto alle
soluzioni sw , specialmente se in linux,
ovviamente un po' di sbattimento ci vuole sempre, cmq meno di quello
che andrebbe fatto se virus o altro si introducono nella tua rete.
Per la parte + difficile , cioe convincere l'azienda a investire ti
suggerisco :
A Metterli a conoscenza che in ottemperanza alla legge  196/2003 sulla
privacy Allegato B , requisiti minimi di sicurezza  , il firewall e'
una misura obbligatoria.
   Le sanzioni per i titolari sono pesanti ,multe salate, penale. Il
dettaglio delle sanzioni puoi trovarle in rete e ti assicuro che sono
un buon stimolo a fare l'acquisto.
B Più che parlare di virus che puo' essere sottovalutato, chiedigli se
hanno piacere che estranei entrino nei loro computer e trafughino dati
aziendali importanti come db clienti , progetti, contabilità , banking
oppure informazioni personali dei titolari .
Ciao

Sicuramente ! Premesso che io non capisco niente di Linux ( e comunque 
lo gestisco trnquillamente ) questo prodotto raccoglie diversi prodotti 
Linux tra cui appunto IPCOP, sono stati messi assieme ed il tutto 
assemblato con nuove schermate di interfaccia web che ripeto anche chi 
non conosce linux come me riesce tranquillamente ad utilizzare.


 
http://www.nethesis.it/content/view/22/45/
Si lo conosco.. č un repackaging "commerciale"
di IPcop con l'aggiunta di vari add-ons; sinceramente
non so se valga la pena spendere dei soldi per un
prodotto che puoi avere gratis.. il nethesis ha un
contratto di manutenzione/aggiornamento che č
praticamente obbligatorio.. :6 
e considerando i costi di tale contratto non so se 
il TCO sia veramente conveniente; personalmente
ritengo il nethesis un prodotto da "venditori di fumo"
magari sbaglio, non lo so, ma a me non piace

 non conosce linux come me riesce tranquillamente ad utilizzare.
ah ecco.. e cosa ha di diverso rispetto a 
http://www.endian.com/it/
 ?

 macchina (premetto che la "manutenzione" la fai via browser).
Noi utiliziamo IP Cop con 30 PC e tutto funziona bene, ma un amico che 
ha raggiunto 50 macchine non ha avuto per ora problemi.
Considera che su IPCOP trovi molti addon per bloccare p2p o per 
aggiungere funzionalità. Vale la pena di provarlo.
Da un fork di IPCOP è nato anche un progetto italiano Endian Firewall 
che vende la soluzione sia opensource che a pagamento con supporto.
Ciao

>
Non serve nemmeno il mouse.
Ciao

 costo annuale per l'aggiornamento dei servizi.
Più che il prezzo iniziale, a me pare alto il prezzo degli
aggiornamenti; confrontando ad esempio con un SonicWall Pro 3060 che
comprende in offerta 1 anno di supporto e il firmware 'enhanced'
compreso.
http://www.alias.it/index.php?pag=cat&forn=36&f=int&id=AS5366
ciao innanzitutto anche se non devi curare il tutto devi dire come è 
strutturata la rete
stessa classe ip client - server
server che fanno cosa
Ad esempio io con endian gestico tre subnet, una dmz e un wfz, però se non 
dici come è strutturata la rete non si capirà mai come organizzare il tutto. 
Ad esempio io da utente endian presto promesso provo ipcop.. si possono 
gestire firewall con 5-6 nic ?
ciao
Devo perfezionare la rete di scuola
1- nic adsl ip pubblici
2- nic rete lan 1
3-nic rete lan 2
4- nic wfz wifi-zone
5-nic dmz
6-vpn tre sedi con zywall su due sedi 

giuseppe sportelli ha scritto:

IPCOP gestisce 4 nic, che lui chiama Orange, Blue, Red e Green.
Red = WAN
Green = LAN
Blue = WLAN
Orange = DMZ
Non ho provato a gestire 3 subnet sulla green, pero' penso si possa 
fare.... devo documentarmi in merito.
Inoltre, IPCOP gestisce VPN, ma e' una cosa che devo ancora provare.
Nic0la

 IPCOP gestisce 4 nic, che lui chiama Orange, Blue, Red e Green.
si puo' arrivare anche a 8 NIC
http://www.ban-solms.de/t/IPCop-xtiface.html