Newsgroup: it.comp.reti.cisco
Titolo: Che differenza c'e' tra FIREWALL HW e SW ??

Qual'e' la sostanziale differenza fra un firewall linux configurato al
massimo delle sue possibilità e un firewall hardware ??
Che potenzialità ha in piu' un firewall hw della cisco per esempio ?

Gerry wrote:

Non ho mai configurato firewall su linux, ma con ipfw o  IPF su FreeBSD, 
si puo fare tranquillamente un statefull firewall, che cisco cosi 
orgoliosamente si vanta. Anzi di piu', si puo perfino configurare 
statefull firewall per pacchetti icmp che PIX non e' in grado di fare... 
(tie [;-D]).
Credo che oggi  feature di programi firewall opensource su linux e 
FreeBSD sono abbastanza simile, allora posso darti la mia punto punto di 
vista tecnico:
1. Cisco dice che PIX ha un sistema operativo proprietario, questo puo 
essere una cosa piu' positiva che negativa. Esiste anche firewall 
hardware seri come quelli di Nokia che in realta un hardened FreeBSD,  
che puo sofrire stesse potenziali bucchi di FreeBSD, ma se per questo 
quelli  anche quelli che usano router Juniper devono stare attenti 
perche in realta JunOS nato da un FreeBSD...
2. PIX e' un statefull firewall, ma la parola *statefull* dice ancora 
poco...  perche' anche con FreeBSD o linux si puo fare statefull 
firewall, ma almeno fino qualche tempo il statetull firewall su FreeBSD  
tiene conto solo l'informazioni di layer 4... non le informazioni delle 
applicazione, tipo FTP che utilizza 2 porte contemporamente (es. per 
fare un sessione FTP attivo,  su "client" firewall si deve perforza 
aprire la porta 20 che permette i pacchetti per data channel). Mentre 
PIX inteligentemente apre temporanemente le porte necessario che 
permette di fare funzionare applicazione tipo FTP, H.323, vari 
applicazione di multimendia over IP etc, in piu' fa anche controlli 
 semplici per certe applicazioni (HTTP, SMTP, FTP, etc)... Questo credo 
la diferezza *fondamentale* tra PIX e altri statefull opensource 
firewall. Pratticamante PIX legge il data payload di pacchetti e utlizza 
l'informazione non solo a livello layer 3 o 4 ma anche livello 
application layer.
3. PIX cosi inteligente che riesce ancora difendersi da varie tipi di 
DoS, ma anche su questo fronte OS opensource stanno lavorando. PIX 
riesce a diffendersi da fragmentation strani (che puo anche causare 
problemi allora si deve disabilitare). Ma la cosa interesante che PIX fa 
da "buffer", accetta connessioni da fuori, poi una volta che si verifica 
che la connesione e' una connessione legitimo (non un half-open 
connection senza nessun intenzione di proseguire = tipico attacco DoS), 
il PIX gira la connessione verso il server reale a quale il client 
esterni vuole connettersi, prattiamente PIX aspetta che la connesione 
sia legitimo prima di fare proseguire verso server, una cosa che credo 
un OS opensource non e' in grado di fare.
4. PIX un cut-through proxy, ma anche OS opensource sono in grado di 
fare questo... credo.
5. PIX puo fare fail over (pure fino statefull failover)... praticamente 
usando 2 identiche PIX poi anche permettere di staccare la spina di PIX 
attivo, e  cisco garantisce che non l'altro PIX riesce a continuare il 
lavoro copiando perfino il state tabel.... questo un OS opensource non 
credo che sia in grado.
7. PIX puo anche fare IDS (intrusion detection system) ma forse snort 
(IDS su OS opensource) ancora piu' completo...
8. con PIX puoi fare VPN tranquillamente.... con opensource OS pure... 
ma con piu fatica.
9. so con ipfw ultimamente si puo fare dei fine tunning molto avanzate 
che non si puo fare con PIX, ma questo  forse serve solo per i 
personaggi paranoici...
poi adesso non mi viene altre cose....
Da punto di vista praticita':
 prendi un PIX, configuri in un quarto d'ora e sei a posto... con linux 
o FreeBSD se va bene sei sodisfatto dopo un giorno...
Da punto di vista sodifazione:
non c'e' confronto la sodisfazione di fare vedere la configuraziona ipfw 
o IPF o ipchains o quello che sia rispetto un "nameif..."
Da punto di vista economico:
Forse un PC con FreeBSD o Linux configurato per fare firewall costa di 
meno...
oh cavolo dovevo scrivire solo la sostaziale diferenza, spero che cosi' 
 posso spegarti meglio..
ciao
Ting2

 meno...
Forse costa "Tanto" di meno. Diciamo che quello che puoi fare con un pc 
e un os opensource (nel mio caso linux) dipende solo da quanto sei 
capace di usarlo. Con un pix dipende da quanto puoi spendere...
Byez
-- 
Emanuele "SKULL" Balla
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 Byez
Ciao
ting2

 capace di usarlo. Con un pix dipende da quanto puoi spendere...
io propongo ai miei clienti firewall linux|openbsd e pix, e tuttavia i
servizi offerti non sono poi cosi' diversi.
il costo di un firewall openbsd e' piu' basso perche' il mio costo di
engineering e' distribuito tra tutti i clienti, e parto da un disco
preinstallato che personalizzo per ogni cliente.
ma se dovessi pratire con una installazione da 0 per ogni cliente ... o
il costo sarebbe molto maggiore (il costo del mio tempo presso il
cliente) o i servizi in numero minore ed in qualita' non saprei ...
dipende dalle giornate :))))
 
di fatto rendo obbligatoria la scelta pix solo in caso di stateful
failover o di helper particolari. o necessita' di enormi performance.
un mayhem che aspetta la sua bella
-- 
Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
SPP  wpage: 
http://www.spippolatori.com
Hacklab VR: 
http://www.m2net.it.eu.org
Remove ME to reply

 dipende dalle giornate :))))
sono d'accordo... ma questo (ovvero i vari template, basesystem 
ottimizzati ecc. ) vale un po' per qualsiasi servizio vai ad offrire, e 
lo riterrei parte del know-how...
Byez...
