Newsgroup: it.comp.reti.cisco
Titolo: PIX vs. Router

Quli funzionalità offre in più in termini di firewall un PIX 501 rispetto
alle nuove versione IOS con FW?
Dovrei creare una VPN tra due sedi, cosa mi consigliate? Due router con IOS
3DES oppure due PIX?
Grazie
Ciao
Luca
-----= Posted via Newsfeeds.Com, Uncensored Usenet News =-----
http://www.newsfeeds.com
 - The #1 Newsgroup Service in the World!
-----==  Over 80,000 Newsgroups - 16 Different Servers! =-----


io voto spudoratamente per due pix.
li ho e vanno bene.
--
                                                \\\\////
                                             (| (.)   (.) |)
*********************************.000o--()--o000.**********

 ha scritto nel messaggio
news:kvjl9.182888$pX1.6...@news2.tin.it...


 >
Mumble, mumble.
Ho capito che siete dalla parte dei pix per far fare da firewall, ma mi
sembra che la vostra decisione sia "per partito preso" e non per concreti
motivi, almeno non me li avete spiegati, aspetto che qualcuno aggiunga
info........
Comunque potrei essere d'accordo con voi per fare da firewall vanno
benissimo i pix, ma se devo aggiungere delle funzionalità VPN, le faccio
fare ai pix o ai router?
Se metto due pix che fanno la VPN (in 3DES), tutti i router, cisco e non,
supportano la VPN dei pix?
Ciao
Luca

Essere o non essere.
Direi che PIX è più veloce per fare VPN IPSEC, però ricorda che un firewall
non è un router e fa un mestiere preciso e limitato. Fa fondamentalmente NAT
e VPN ma li fa bene e velocemente.
Un router fa un numero di funzioni molto più elevato. Il routing, primo tra
tutti, molto versatile, con routing dinamico ed un minimo di priorizzazione
dei pacchetti. Secondo me IOS fa NAT in maniera più versatle di PIX. Può
fare VPN anche non IPSEC. Gestisce più protocolli oltre all'IP. Ha la
possibilità di avere molti tipi di interfacce LAN e WAN. E con loro vari
tipi di incapsulamento e dial-up (non sottovaluterei il trunking VLAN
IEEE802.1q). Infine oggi integrano anche periferiche Voice-over-IP.
Insomma per fare solo NAT e VPN IPSEC preferisco il Pix che è più veloce e
sicuro, se i soldi lo permettono.
Ma il Pix ha solo ethernet per cui tra lui e la linea del provider ci deve
essere un router. Se lo porta il provider non c'è problema, ma se lo devi
comprare puoi pensare di tenerli separati (ad ogniuno il suo mestiere) o di
fare tutto solo con un router 3DES.
Mau


Io seglierei 2 router! Per le ragioni non tanto comprensibili (ho la 
testa dura):
1. PIX non supporta rsa-encrypted nonces come metodo per fare 
l'autenticazione del peer VPN, supporta solo pre-shared e rsa-sig (per 
CA), mentre IOS supporta preshared key, rsa-sig (per CA) e anche rsa-encr.
Chi ha il vizio di configurare VPN con pre-shared e traquillamente fa 
telnet e copy tftp su router alza la mano? hehehe... ciao capo [:-B].
Con rsa-encrypted nonces e' possibile fare l'authenticazione con la 
chiave publico del altro peer senza usare CA (certificate authority), 
questo e MOLTO piu' sicuro rispetto pre-shared... e premette di 
configurare VPN senza CA ma e mantenendo la brutta abitudine di fare 
telnet e tftp.
Mentre pix non supporta authenticazione con rsa-encrypted nonces, pero' 
anche vero che la configurazione di PIX da remoto si fa solo con ssh. 
cmq pre-shared e' un brutto animale. per fare VPN su PIX la scelta e' o 
pre-shared o CA. niente via di mezzo.
2. perche' il massimo numero di SPI di PIX 501 e' 10, si deve comprare 
la licenza di 50 se vuoi fare VPN con sessioni piu di 10 SPI (10 SPI 
pratticamente vuoldire massimo tunnel tra 1 pc verso altri 10 pc oppure 
tra 2 pc verso 5 pc). Se ti basta 10 o fino 50  sessione di IPSec 
contemporaneamente non ci sono problemi. Non so neanche il massimo 
numero di sessione contemporaneamente su router, ma credo che sia piu' 
di 10, qualcuno sa il numero preciso?
Il mio dubbio e' anche che PIX 501 non fa VPN tanto veloce, ma questo e' 
puramente la mia immaginazione, controlla prima se PIX 501 va bene per 
fare VPN. Poi se si rischia a spendere troppo per comprare un PIX piu' 
grande... allora meglio risparmiare e prendere 2 bei router.
ciao
oamrg


 e VPN ma li fa bene e velocemente.
beh in realta' un firewall fa da firewall, ovvero blocca l'accesso a tutto
cio' che proviene dall'esterno.
Allo stesso modo un router e' esattamente il contrario, ovvero cerca di
rendere possibile l'accesso a tutto cio' che e' a lui collegato.
In realta' il prodotto per fare VPN si chiama VPN Concentrator (VPN3xxx).
Poi a mio avviso un router va molto bene per fare VPN, soprattutto per via
dei moduli di encryption hw che puoi montare sui Cisco1721 o sui 2600. In
questo modo puoi ottenre davvero delle ottime prestazioni a poco scapito
della CPU.
Ciao
Marco

 ha scritto nel messaggio
news:3D97831E...@inwind.it...

Mi sembra che la discussione abbia preso il giusto "piede".
Grazie a voi ho capito un po' cose. (tra cui perchè è meglio un pix rispetto
ad un IOS FW)
Mi rimangono solo due domande, una pratica ed una teorica.
Pratica:
Mi avete detto che l'IOS con FW e VPN ha dei problemi di stabilità..... come
sono questi problemi?
La stabilità è tra le più alte priorità da rispettare, se non c'è stabilità
il lavoro non si può fare, altrimenti lascio stare.
Chi sa' alzi la mano.
Teorica:
Poniamo una situazione tipo di una sede centrale ed una filiale.
Se dalla filiale due PC si connettono contemporaneamente ad un server nella
sede principale vengono creati due tunnel, uno per ogni sessione?
Grazie.


 ha scritto nel messaggio
news:3d987...@corp.newsgroups.com...


sede principale vengono creati due tunnel, uno per ogni sessione?
Essatamente, riccordati che IPSec funziona al livello layer 3, allora
anche se tra il PC e il server ci sono tante connesioni verso diverse
porte, la sessione del VPN e sempre lo stesso (stesso SPI per ogni
direzione).
ciao
mraog


connessione VPN di Windows 2000/XP?
Il vpn client funziona sia con PIX, router e ovviamente cisco VPN
concentrator.
Mentre per fare VPN con M$ win2k senza il VPN client credo che si puo
solo fare con PIX e VPN concentrato ma non con router (ma non sono
siccuro), PIX supporta L2TP/IPSec. 
ciao
morag


 con ssh.
Eh? Ma quando mai? Telnet funziona benissimo, cosi` come l'interfaccia
web (copia sputata di quella di checkpoint) - al momento non mi
sovviene come si chiama in nomenclatura cisco.
-- 
	kinkie (kinkie chiocciola tiscalinet punto it)
	E ora, qualche parola dai nostri sponsor:
Technology is dominated by those who manage what they do not understand.

 poco scapito della CPU.
-- 
	kinkie (kinkie chiocciola tiscalinet punto it)
	E ora, qualche parola dai nostri sponsor:
Spring is here, spring is here,
Life is skittles and life is beer.

non voglio fare polemica, pero' per favore non riportare tutto il
messaggio a cui rispondi.
bebe


Mi sembra di capire che quì dentro non ci sono solo fans di Cisco...... e
checkpoint dove lo mettiamo come firewall? Qualcuno mi dice che non c'è
paragone neanche con i PIX.
Qualcuno sa' se si può fare VPN tra router IOS e client Win2k/xp?


 Qualcuno sa' se si può fare VPN tra router IOS e client Win2k/xp?
puoi fare vpn in ipsec con tutto cio' che supporta ipsec standard,
compreso w2k. 
un mayhem che solo con linux ... manca il des ... ma ...
-- 
I dilettanti hanno costruito l'arca, i professionisti il Titanic
Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
SPP  wpage: 
http://www.spippolatori.com
Hacklab VR: 
http://www.m2net.it.eu.org

sovviene come si chiama in nomenclatura cisco.
boh.. io ho letto che telnet verso PIX funziona sono se arrivi da
interfaccia inside e dal esterno uso solo ssh... beato me l'ignorante
che usa ssh...hehehe.
allora hai raggione a dubitare la storia di siccurezza in mente.
se veramente si puo telnetare da esteno un PIX e commiciamo
allegramente configurare VPN con pre-shared allora questo e' un
ragione in piu' per segliere 2 route per fare configurazione con
rsa-encrypted nonces.
ciao
omarg

Io sono arrivato quasi alla fine delle mie "perplessitŕ".
Un grazie a tutti ed all'immancabile mayhem che mi ha sciolto uno dei grandi
dubbi.
Aggiungerei:
- dove posso trovare un po' di documentazione su VPN (DES,3DES, ASH,
MD5....per IOS? ed in particolare la configurazione con un client remoto
come Windows 2000/XP?
a parte networkingitalia e 
mayhem.oltrelinux.com/icrc
- Con un router IOS, se faccio NAT per uscire in internet dalla mia lan,
posso anche "pubblicare" un server interno in internet senza problemi?
(Qualcuno puo' dirmi se ci sono controindicazioni).
P.S.
Ho letto sulle FAQ mayhem:
"Q: Perche' non riesco a collegarmi con il portatile alla mia VPN dalla rete
di un cliente"
A questo punto mi sorge spontanea la domanda ... NAT non va' d'accordo con
VPN?


 Qualcuno sa' se si può fare VPN tra router IOS e client Win2k/xp?
Penso di si`. Cisco fornisce client VPN praticamente per ogni
piattaforma sotto la luce del sole.
-- 
	kinkie (kinkie chiocciola tiscalinet punto it)
	E ora, qualche parola dai nostri sponsor:
Pascal:
	A programming language named after a man who would turn over
	in his grave if he knew about it.
		-- Datamation, January 15, 1984

 rsa-encrypted nonces.
Io mi atterrei alla regola aurea che un sistema e` sicuro quanto e`
bravo (e paranoico) il suo amministratore :]
-- 
	kinkie (kinkie chiocciola tiscalinet punto it)
	E ora, qualche parola dai nostri sponsor:
When God endowed human beings with brains, He did not intend to guarantee them.

 con VPN?
se vpn=ipsec, se con ipsec firmi i pacchetti ....
cosa succede se firmi un pacchetto, al fine che non venga modificato, se
poi applichi nat che ... modifica il pacchetto ...
un mayhem e le cose che a volte sfuggono :)


 bravo (e paranoico) il suo amministratore :]
 
non sono mai stato cosi' d'accordo con una affermazione, escluso il
"paranoia is a virtue".
un mayhem che cita ... e tarzan?


 un mayhem e le cose che a volte sfuggono :)
scusa se mi inserisco con un leggero OT ma anche io ho qualcosa che mi
sfugge ;-) (premetto che,per ora, conosco IPsec solo sulla carta)  IPsec
non ha anche un modo di funzionamento detto "tunnel-mode" che incapsula
un pacchetto IP in un altro pacchetto IP applicando tutta la sicurezza
(AH o ESP) solo al piu' interno? Se usato in questo modo IPSec dovrebbe
essere NAT compatibile o sbaglio (e' possibilissimo vista l'ora :-) )
E' possibile con i cisco usare IP in tunnel mode o e' supportato solo il
funzionamento detto end-to-end?
grazie e ciao
bebe

bebe

Roba commerciale. Symantec per esempio.
A me risulta che i prodotti di symantec funziona solo su piattaforma
M$, non immagino usare prodotti IDS fatto per M$ per monitorare veri
server...


 server...
Hanno recentemente comprato un'azienda (il cui nome mi sfugge) per
avere il suo prodotto di IDS ManHunt, le cui sonde girano solo su
Solaris. Non lo ho ancora visto sul campo, ma sembra abbastanza
promettente, anche perche` NON lo ha fatto Symantec. Detto questo e`
abbastanza comune per prodotti IDS o affini prevedere azioni di
hardening automatico dei firewall come reazione a attacchi veri o
presunti. Nessuno di cui io sia a conoscenza supporta questa funzione
sui (nostri amati) PIX.
-- 
	kinkie (kinkie chiocciola tiscalinet punto it)
	E ora, qualche parola dai nostri sponsor:
You should never wear your best trousers when you go out to fight for
freedom and liberty.
		-- Henrik Ibsen

sui (nostri amati) PIX.
Hai raggione, ho controllato il sito di symantec dopo il tuo post, e
effetivamente hanno questo prodoto che gira su gli solaris... fanno
bene, effetivamente sembra molto logico se symantec mantiene anche
prodotti di IDS visto loro successo con antivirus (btw si chiama
Recourse Technologies la societa' che svilupava ManHunt).
btw, leggendo libro di IDS di cisco, hanno proprio in mente di
aggiungere questa feature, di bloccare indirizzi IP sospetti
(shunning) su PIX, (sul router cisco esiste gia' questa feature), anzi
sul libro c'e' proprio scritto che stanno per incorporarlo su PIX ver
6.0, qualcuno ha mai provato?
Pero' mi domando esiste veramente dei personaggi che usano IDS
seriamente? leggendo articoli su IDS,  mi sembra che questa campo e'
ancora troppo immaturo, prodotti che esistono sono o troppo paranoiche
(troppi falsi positivi) o troppo sorpassato oppure oppure troppo
avanti... boh...
ciao
omarg