Newsgroup: it.comp.reti.cisco
Titolo: Consiglio Firewall

Salve,
ho una domanda/consiglio da porre:
Attualmente ho come Firewall un SonicWALL PRO 2040 con Servizi di AV e
IPS in Hardware Failover.
Throughput Stateful   : 200 Mbps
Throughput Deep Packet Inspection : 25 Mbps
Throughput 3DES/AES VPN : 50 Mbps
Connessioni : 32,000
Memoria: 128 MB
Flash : 64 MB
Come posso upgradare la mia soluzione con un prodotto Cisco ASA che mi
integri AV/IPS e prestazioni migliori?
Quale prodotto mi consigliate di migliore?
Grazie Mille

Nel mezzo del cammin di nostra vita, mi ritrovai con Andrea che diceva:

Sei proprio sicuro di volere un ASA?
Costano moltissimo, soprattutto se integrati con una IPS/IDS/AV e sono un 
po' poco mantenibili.
Io ti consiglierei di provare Checkpoint NGX: costa caro, ma è veramente 
strepitoso: la Smart Dashboard ti permette di gestire in maniera 
semplicissima e intuitiva topologie di rete estremamente complesse.
-- 
"Le opinioni dei fanatici prescindono dai fatti"
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"
Linux Registered User: 461615

 Quale prodotto mi consigliate di migliore?
Ciao,
io ti posso consigliare di andare su Fortinet se vuoi migliorare la componente AV, oppure
su NetASQ se vuoi un IPS con funzionalità Firewall/UF/AV e prestazioni decenti.
Checkpoint, ha alcuni limiti nella versione UTM. Cisco ha lo svantaggio del costo e della
gestibilità.
Oppure vai su soluzioni distribuite, il costo cresce, ma le performance pure.
Saluti

Saluti
Ciao,
premesso che non sono assolutamente un ninja della sicurezza pero' gli 
apparati in questione (tranne fortinet) li uso tutti quotidianamente.
NetASQ e' ottimo nel caso di una piccola realta' e se non hai bisogno di 
un'altissima affidabilita'.
L'HA e' supportato ma alcune limitazioni lo rendono di difficile 
gestione.Senza entrare troppo nello specifico.Non puoi fare active active.
Pero' la cosa figa e' che fa tutto. Vpn ssl, ipsec, urlfilter, antivirus. 
Quindi invece di prendere N licenze e N apparati con la sola licenza 
urlfilter hai un allinone.
Il supporto tecnico e' un po' difficoltoso, in Italia riesci a trovare 
sicuramente aiuto di persone in gamba ma per problemi particolari devi 
rivolgerti in Francia e se hai un problema serio "in produzione" i tempi di 
risposta non sono quelli che desidereresti.... , forse pero' per questo 
aspetto e' un po' meglio di checkpoint....
Essendo una piattaforma poco usata c'e' poca documentazione ma non credo che 
sia un grosso limite in quanto il firewall e' molto intuitivo da utilizzare.
L'IPS pero' ha un miliardo di controlli che checkpoint si sogna.... per 
contro il tuning iniziale per evitare casini in produzione e' impegnativo.
Voto 6,5: Versatile ed Economico. Hai tutto incluso.
Checkpoint secondo me con tutti gli ammennicoli ti viene a costare di piu'. 
C'e' una montagna di documentazione e l'interfaccia di gestione e' meno 
"baggosa" e piu' raffinata. Il solo fatto di poter mettere in una rule 3 4 5 
oggetti mentre su netasq devi fare 3 4 5 regole (o una con un object_group) 
la dice lunga. Per gestire ambienti complessi e' , per me, la piu' adatta 
(fra le tre si intende).
Assistenza discreta. Per un bug sul gated abbastanza particolare abbiamo 
impiegato un bel po' (mesi) per farglielo tirare fuori e testare.... ma 
credo che con Cisco non sarebbe stato diverso.
Voto 7 : Costoso ma indispensabile quando hai centinaia di oggetti da 
gestire.
 *** Se vuoi fare tutto quello che fai con un netasq pero' preparati al 
mutuo ***
(le vpn ssl su NetAsq sono moooolto belle e strautili e sono incluse nelle 
versioni decenti di Netasq)
Asa/PIX
Ho visto di sfuggita le nuove gui di Cisco e hanno fatto passi da gigante 
anche se io li uso solo in terminale.
Una cosa e' certa, il pix sembrera' anche un router travestito da firewall 
ma quando qualcosa Va continua ad andare.
Non ci sono processi Gated che si inchiodano o tunnel che non salgono e non 
si sa perche'.
Il debug e' molto piu' immediato. E' molto meno immediata invece la gestione 
della quotidianita'. Le acl sono un delirio intestinale soprattutto quando 
hai una cifra di host da gestire.
voto 7: Un carro armato.
Questo e' un mio parere, magari qualcuno che lavora principalmente con 
checkpoint dira' che e' l'oggetto del desiderio di ogni scurity engineer, 
tuttavia secondo me, oltre al mio personalissimo parere alla fine della 
fiera sono sicuro che deciderai guardando i preventivi....
Che senza dubbio porteranno sul Netasq.
Rene' 

 Rene'
Ottimo confronto, non conosco il NetASQ (mi fai venire voglia di 
documentarmi), ma per quanto riguarda Checkpoint, PIX e ASA concordo



Se mi permettete voglio dire la mia, visto che ho la fortuna di bazzicare 
presso molte realtà piccole/medie/grandi/molto grandi ed ho una certa 
esperienza vissuta (modestamente) in merito.
VPN SSL
promettenti ma alla fine non interessano più di tanto, vuoi perchè la loro 
pervasività a qualcuno fa paura, vuoi perchè quasi sempre basta ed avanza il 
classico client vpn installato sul notebook con scheda umts.....standby
GRAFICA
accattivante ma sostanzialmente inutile, spinge solo l'utente a fare dei 
guai, di contro le interfacce a carattere tengono lontani gli smanettoni e 
costringono maggiormente i tecnici a sapere quello che fanno.....meglio se 
non ci sono o sono più complesse dell'interfaccia a carattere (cisco docet)
IDS/IPS
non viene particolarmente richiesto e non risolve molti più problemi che un 
buon software da pc da pochi ? a postazione non possa risolvere, di contro 
ne crea, soprattutto nella fase iniziale....roba da intenditori, per gli 
altri zappa sui piedi.
Prevalgono quindi i soliti criteri classici di robustezza affidabilità, 
strumenti di troubleshooting...oppure il prezzo.
Nei primi Cisco non ha nemmeno lontanamente rivali, 
nell'ultimo........nemmeno (in negativo ovviamente).
I miei 2 cents.
Ciao,
        Tosh.