Newsgroup: it.comp.reti.cisco
Titolo: Cisco Firewall Service Module

Ciao a tutti,
	volevo chiedere su qualcuno ha esperienza
sul prodotto in oggetto, il Firewall della Cisco
per i Catalyst 6500.
Impressioni ? Commenti ? Maturita' del prodotto ?
Ho usato e uso PIX, quindi conosco la piattaforma
ma leggendo la documentazione pare che sia un po' PIX,
un po' nuova roba essendo per 6500...e senza un po' di roba
(cfr. VPN visto che esiste un modulo vpn per i 6500...).
La cosa che mi lascia un po' perplesso, sempre leggendo la 
doc, che a mio parere e' pessima, direi che abbia ancora
un po' di strada da fare prima di essere al pari di un
Nokia-Checkpoint o Netscreen...come piattaforma...
Stando alla doc, le performance dovrebbero essere molto 
alte, quanto e' realistico ?
Impressione sbagliata ?
-- 
----------------------------------------------------------
Furious Angel -  
http://www.ncc1701e.net/life/blog
##########################################################
Vorrei essere nato al contrario per capire questo mondo storto.
				-Jim Morrison-
##########################################################

 Nokia-Checkpoint o Netscreen...come piattaforma...
Puoi essere piú specifico in cosa manca per essere al pari di un 
checkpoint/netscreen come piattaforma ?
~mm 

100K new connections/sec for HTTP
1 million Concurrent connections
100 VLANs 
4 processor
6 GBps Backplane
mi pare che le prestazioni siano eccellenti, poi se ti riferisci ad
altre feature in più tipo vpn ids o altro allora per quello hai ragione
anche se ci sono degli altri moduli a parte per i 6500
ciao
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

[Music: U2 - The Fly]
In caccia di demoni, la mia katana ha raccolto il messaggio di 
marco <> del 2004-11-10:

Uhmmm trovare questa risposta da una persona che posta dal server
di Cisco mi inquieta...e mi fa piacere :)
Diciamo che il mio post era piu' per avere una idea dell'uso in 
ambito reali...quindi avrei preferito che dei clienti avessero risposto.
Il fatto che parlo anche di Netscreen e' solo per porre un ulteriore
antagonista alla discussione e uso come termine di paragone CP che per 
ora ritengo molto avanzato rispetto a Cisco e Netscreen. 
Un punto di riferimento, anche se li mitato su questioni di grandi 
volumi di traffico.
Comunqe, gioco a carte scoperte, nella mia ditta stiamo usando
tali prodotti, e io per esperienza professionale ho avuto modo
di usare in ambiente reale le soluzioni Nokia-CP e Netscreen...
La prima e' stata praticamente perfetta come soluzione, la seconda
molto ma molto meno...
A livello di managment CP e' secondo Me all'avanguardia, Netscreen e' 
ancora indietro come soluzione centralizzata ma quella locale funziona...
anche se la cli fa abbastanza pena sotto molti aspetti.
Parto dalla documentazione, pessima se non ridicola per un prodotto del genere. 
Una documentazione che e' organizzata cosi':
a) Descrizione sommaria delle funzionalita' della fwsm
b) Riferimenti alla doc del pix con eccezioni ("Si veda doc pix capitolo...")
Il risultato pare molto un testo stile codice civile, con continui rimandi
ad altri testi, comportando un tempo di startup piu' alto...senza poi citare
i casi di completa non documentazione.
Sia la cli che il pdm hanno problemi seri, la prima con contraddizioni
tra ios-pix, la seconda per bachi grossolani sulla gestione degli oggetti e 
delle statistiche. Un esempio: se creo un oggetto 
10.0.0.0/8
 e poi voglio
creare un oggetto 
10.0.0.0/24
, il risultato sara' la modifica del primo oggetto
e non la creazione di due oggetti effettivamente distinti.
Se per un programmatore non esiste differenza, per una persona che lavora
sulla rete o peggio nella sicurezza c'e' una differenza abissale.
Il PDM tutt'ora presenta problemi di "comprensione" della configurazione"
nel caso si debba fare lavori da cli...
Per la cli, per fare un clear arp-cache devo entrare in configurazione, mezz'ora
a capire dove fosse...e nel caso voglia usare il " | include" attenzione a non
sforare gli otto caratteri...
Non esiste una seria e valida stazione di managment dei firewall e quando
ne inizi ad avere tanti di FWSM inizia ad essere un problema la gestione 
di oggetti comuni...
Venendo al software, sono rimasto alquanto sorpreso scoprendo che 
se natto una rete uffici dietro un nat uno a molti, una delle funzionalita'
che si perdono gli host dietro il firewall e' il traceroute...
Risolvibile con nat uno a uno per ogni host, ma inapplicabile su sitauzioni
di vaste reti aziendali e/o ristrettezza di ip pubblici...
Unica cosa che si salva sono le prestazioni di tutto rispetto...ma ci sono
alcuni fixup(moduli dedicati per l'analisi di certi protocolli) che hanno
avuto reazioni un po' troppo esose in fatto di cpu, quello sul dns puo' essere
un esempio.
E' solo una breve descrizione...ma potrei fare tranquillamente una lista di
problemi...Si abbiamo gia' discusso con il supporto...
Che per ora risulta valido come gia' provato :)
La sensazione e' che...il prodotto ha ancora un po' di strada da fare 
per essere realmente concorrente con un CP (escludendo la parte economica...)
e' ad un buon punto, buone promesse e buone premesse...ma personalmente 
non vedo quel "quid" per fare, oggi, realmente la differenza da CP.
-- 
----------------------------------------------------------
Furious Angel -  
http://www.ncc1701e.net/life/blog
##########################################################
   Sometimes I think the surest sign that intelligent life exists elsewhere in
the universe is that none of it has tried to contact us.  -- Calvin
##########################################################

 ciao
Bah personalmente potrei definirmi della vecchia guardia...
un router fa il router e non il firewall e i firewall fanno solo
da firewall... per cui la questione non si pone...
Il problema e' che un firewall, oltre alle "immense" prestazioni
deve avere anche altre qualita'.
Per esempio, nel caso di 50 coppie di fwsm da gestire che faccio?
Me le giro tutte ogni volta, se devo modificare un oggetto comune ?
E' solo un esempio...
Cmq ho postato una breve lista di questioni aperte su tale piattaforma...
Cosi' per chiedere, Tu ne hai qualcuna in produzione ?
-- 
----------------------------------------------------------
Furious Angel -  
http://www.ncc1701e.net/life/blog
##########################################################
Mulder: Hey, Scully, do you believe in the after-life?
Scully: I'd settle for a life in this one.
	"The X-Files: Shadows"
##########################################################

 Me le giro tutte ogni volta, se devo modificare un oggetto comune ?
la gestione di dispositivi multipli e' prevista da Firewall Management 
Center, che fa parte di ciscoworks VMS.
~mm 

 i casi di completa non documentazione.
ti riferisci a questa ?
http://www.cisco.com/univercd/cc/td/doc/product/lan/cat6000/mod_icn/fwsm/fwsm_2_2/index.htm
non mi sembra organizzata come dici tu, e nemmeno piena di rimandi al PIX...
cmq, anche per le altre cose secondo me le tue sono opinioni soggettive.. 
magari stai usando una versione vecchia del software ?
se ne vuoi parlare (non mi va di fare il pedante sul NG sostenendo che sia 
una bella macchina) il mio indirizzo email lo trovi su google
Ciao
~mm 

 cmq, anche per le altre cose secondo me le tue sono opinioni soggettive.. 
Certamente, e' per questo che cercavo qualcun'altro che usasse tale
prodotto...ma non mi pare che abbiano risposto in molti a questo post...
a parte Te, che spiacente dirlo, sei di parte (scusa il gioco di parole).
-- 
----------------------------------------------------------
Furious Angel -  
http://www.ncc1701e.net/life/blog
##########################################################
No one can guarantee the actions of another.
		-- Spock, "Day of the Dove", stardate unknown
##########################################################

[Music: - ]
In caccia di demoni, la mia katana ha raccolto il messaggio di 
marco <v35...@misitano.com.0> del 2004-11-14:

Lo hai mai usato ?
-- 
----------------------------------------------------------
Furious Angel -  
http://www.ncc1701e.net/life/blog
##########################################################
"Far out in the uncharted backwaters of the unfashionable 
end of the western spiral arm of the Galaxy lies a small 
unregarded yellow sun. "
##########################################################