Newsgroup: it.comp.reti.cisco
Titolo: router o firewall

Salve a tutti,
ho un dilemma che vorrei condividere con qualcuno tanto per avere una
dritta.
Ho 5 server in datacenter; 2 sono webserver che ostano diversi domini
(50-70 domini) e 3 macchine hanno dei server virtuali (5 vps per
macchina) con relativi webserver (sempre hosting).
I flussi di rete si aggirano intorno ai 5-6 Mbit e di core abbiamo
10Mbit con backbone in rame a 100.
Routing e tutto il resto è gestito dal fornitore che ci allaccia un
doppio cavo di rame su due catalyst 2950 da 24 porte, ma ora vorrei
diventare indipendente.
Le macchine hanno tutte personal firewall (sono tutte linux box con
iptables) però vorrei aggiungere un firewall perimetrale che faccia
statefull,ips,ids etc. etc.
Oltre tutto vorrei portare il routing dal mio lato facendomi passare -
staticamente o dinamicamente - le classi di ip che attualmente il
fornitore di connettività mi sta gestendo su i suoi apparati in modo
da porter dividere il traffico in vlan.
Sono un fanatico di cisco e i prodotti che stavo valutando sono:
1. cisco asa 5520;
2. oppure un cisco 2811 con security bundle.
So che molti di voi direbbero che dovrei acquistare sia uno che
l'altro perché ogni apparato deve fare il suo mestiere, però devo
stare dentro un certo budget :(
Onestamente sono più propenso al 2800.
Tenendo conto che vorrei un apparato che mi dia affidabilità, sia
scalabile e sicuro, mi permetta di fare traffic shaping e sia
disponibile in configurazioni HA... Voi cosa mi consigliate?
Grazie a tutti.

disponibile in configurazioni HA... Voi cosa mi consigliate?
Il router può lavorare come firewall (anche se le eventuali funzionalità IPS 
saranno scarsine), mentre l'asa di certo non può lavorare come rotuer.
Hai indicato il 5520 che ha interfacce gigabit e prestazioni elevate, ma in 
realtà potrebbe andarti bene un 5510.
Se vuoi funzionalità IPS devi acquistare un modello che disponga anche del 
modulo AIP10, come ad esempio l'ASA5510-AIP10-K9.
Se vuoi avere ridondanza potresti acquistare due ASA5510-SEC-BUN-K9 e 
aggiungere i due moduli ASA-SSM-AIP-10-K9.
Direi che le prestazioni e le funzionalità in un ASA+AIP siano decisamente 
migliori rispetto ad un 2800, ma anche il prezzo sale in modo significativo.
Bisogna poi valutare il budget che hai a disposizione, quali funzionalità 
ritieni irrinunciabili, e che grado di ridondanza vuoi ottenere.
Io prenderei un 2801 + ASA5510-AIP10-K9.. in futuro se vorrai avere 
ridondanza... raddoppi il tutto e aggiungi ai firewall la licenza SEC.
In alternativa potresti prenderti il router con funzionalità SEC e usare 
un'appliance come IPS, ad esempio un IPS-4240-K9
Ciao
Don
------------------------
http://www.ciscoshop.it

 un'appliance come IPS, ad esempio un IPS-4240-K9
Siamo sempre li...Anyway pensavo a 2811-SEC-K9; ma non esiste un
modulo AIP per i 2800?
Grazie per la risposta.

modulo AIP per i 2800?
come mai un 2811 e non un 2801 ( es un 2801-HSEC) ?
come modulo potresti prenderti con il 2811 un NM-CIDS-K9.. ma con 2.8K euro 
mi sa che dovrai pensare ad altro..


 mi sa che dovrai pensare ad altro..
Non male...Però sono 1,5k Euro...
Penserò a fare un passo per volta. Magari inizio con il router e poi
l'anno prossimo metto a budget
il resto.

 un apparato che poi non lo supporta.
Fino alla release 7 supportavano: statico, OSPF, RIP1 e RIP2.
Con la nuova release 8 si aggiunge anche EIGRP.
-- 
Alessandro Pensato,
AreaNetworking Staff
ICT Documentation Repository
Cisco Users Group
web: 
http://cug.areanetworking.it
mail: 
alessandr...@areanetworking.it
personal web: 
http://www.alessandro-pensato.it
Neurona: 
http://alessandro-pensato.neurona.it
LinkedIn: 
http://www.linkedin.com/in/alepensato

 Con la nuova release 8 si aggiunge anche EIGRP.
Con che prestazioni?

 Con che prestazioni?
Purtroppo non te lo so dire perché non ho esperienza in merito.
Se hai il libro SNPA Certification Guide 3th, trovi qualcosa sulle 
caratteristiche a partire da pagina 280.

il resto.
Be non è che il modulo IPS per l'ASA costi meno...


 Be non è che il modulo IPS per l'ASA costi meno...
Sono più o meno identici. I moduli aggiuntivi di CISCO costano quanto
un apparato O_o