gateway soho

[Tasslehoff]

Stiamo per configurare la rete di una nuova sede operativa dove la topologia sarà abbastanza semplice, ma per decisioni del management non ci si vuole sporcare le mani con un semplice gateway basato su linux o bsd, soluzione che abbiamo utilizzato fin'ora.

La topologia prevederà la suddivisione della rete in 3 differenti subnet:
- subnet tecnica con client del personale tecnico, server di sviluppo e dispositivi di vario genere
- subnet commerciale/guest con accesso a web e a pochi dispositivi di uso comune (es stampanti)
- subnet vpn

Viste le necessità stiamo quindi valutando una appliance hardware che agisca da gateway, firewall perimetrale e concentratore vpn.
Non avendo molta familirità con questo genere di dispositivi mi stavo rivolgendo prima di tutto a Cisco con l'ASA 5505, dispositivo carino che però mi sembra troppo castrato da limitazioni legate alle licenze piuttosto che da politiche commerciali esageramente macchinose (in pieno stile Cisco...).

Come alternativa mi stavo informando sui firewall Juniper che non sembrano male, in particolare il modello SSG5, anche se (budget permettendo) anche la serie SRX con Junos OS sembra davvero attraente.

Qualcuno ha esperienza con i prodotti Juniper?
Avete alternative da proporre?

[Gian_Carlo]

Juniper fa prodotti ottimi: penso che ti troverai bene!

[Alfonso78]

con un semplice gateway basato su linux o bsd, soluzione che abbiamo utilizzato fin'ora.

Curiosità: cosa avete utilizzato fin'ora e cosa avresti voluto utilizzare nella nuova sede come gateway su macchina dedicata?

[Wolfhwk]

Oh grande Tassle, :D

Juniper fa dei firewall decenti, il resto è da vedere :asd:
Hai guardato anche qualcosa di Checkpoint? Preferibile secondo me.
Il Cisco asa non lo prendere, troppo limitato da scelte di...marketing. A meno che non ti orienti verso le serie maggiori dello stesso firewall (con conseguenti costi incrementati notevolmente).


Edit. OMG, i checkpoint costano un' assurdità. Non me li ricordavo così cari. :asd:

Vai di Juniper, sono certamente meglio di un Cisco ASA 5505.

[Tasslehoff]

Curiosità: cosa avete utilizzato fin'ora e cosa avresti voluto utilizzare nella nuova sede come gateway su macchina dedicata?Fin'ora abbiamo utilizzato una soluzione custom nostra con una macchina linux (centos) configurata di tutto punto usando iptables come firewall.
Sicuramente una soluzione più laboriosa però credo molto più flessibile di qualche appliance o distribuzione ad hoc tipo ipcop (o simili).

Ovviamente la macchina in questione non si limitava a questo, faceva un po' di tutto, reverse proxy, proxy socks e http, vpn server ssl, dns interno, webserver, insomma di tutto un po'.
Figurati che fino ad un paio di anni fa girava su un HP Netserver dei bei tempi (Pentium II 233MHz), quando ancora HP faceva server a prova di bomba :asd:

Da una parte sono curioso di provare anche una soluzione commerciale come queste di Juniper piuttosto che altri dato che non ho esperienza in merito (sono sistemista prevalentemente di area applicativa/sistemi sempre in giro per clienti, capita raramente di mettere mano alle componenti di rete), dall'altra devo ammettere che preferirei una soluzione simile a quella che abbiamo adottato fin'ora proprio per la flessibilità massima che comporta.

Diciamo che il management spinge per una soluzione più commerciale anche perchè vede la configurazione e manutenzione di un firewall custom come una attività non strategica (meglio staffare le risorse dai clienti dove si possa fatturare che perdere tempo nella gestione degli asset aziendali), per cui spinge verso una soluzione commerciale pseudo black-box dove una volta fatta la configurazione il lavoro è fatto, alla peggio in caso di guasto o disastro se ne compra un'altro identico e si applica l'ultima configurazione valida per ripartire.

Punto di vista discutibile imho, anche perchè gli aggiornamenti andanno cmq fatti, le esigenze cresceranno ed è impensabile credere che rimarranno cristallizzate nel tempo, e anche in caso di disastro non è pensabile che un pincopallino qualunque (es una segretaria) possa ordinare un nuovo fw, collegarlo correttamente e ripristinare la configurazione del precedente guasto in totale autonomia... :rolleyes:
Vabbè soldi loro, scelta loro, per come la vedo io è un pezzo nuovo si cui mettere le mani che fa cmq curriculum ed esperienza.

Dimenticavo, grazie a tutti per il feedback :)

[malatodihardware]

Valuta anche Netasq, a livello di IPS\IDS secondo me è uno dei migliori..

[Wolfhwk]

Diciamo che il management spinge per una soluzione più commerciale anche perchè vede la configurazione e manutenzione di un firewall custom come una attività non strategica...

Sì ma, non ricordo bene se juniper ha una GUI, ma l' ASA della cisco te lo devi configurare bene bene con la command line. Ha una sintassi diversa da IOS, più semplice.
Insomma, c'è da divertirsi, altrochè "strategie di business -> configura e lascia come è finchè non si rompe" :asd:
Per il monitoring puoi anche usare la GUI dell' ASA.


PS. Chi nominerà ASDM verrà punito :banned:

[Tasslehoff]

Valuta anche Netasq, a livello di IPS\IDS secondo me è uno dei migliori..Interessanti anche quelli, faccio un po' fatica però a trovare documentazione di dettaglio a parte qualche brochure genericissima.

Sì ma, non ricordo bene se juniper ha una GUI, ma l' ASA della cisco te lo devi configurare bene bene con la command line. Ha una sintassi diversa da IOS, più semplice.
Insomma, c'è da divertirsi, altrochè "strategie di business -> configura e lascia come è finchè non si rompe" :asd:
Per il monitoring puoi anche usare la GUI dell' ASA.


PS. Chi nominerà ASDM verrà punito :banned:Rotfl :asd:
Ricordo che quando feci la CCNA (ormai son passati 10 anni, me ne ricordo come se fosse ieri... :old: ) sui vecchi 827 chi osava lamentarsi per la mancanza di una gui veniva sonoramente cazziato :asd:
Da me cmq mi aspetto che arriveranno anche con questa richiesta vista la poca "familiarità" che hanno i responsabili con le cli...

Per le appliance juniper da quanto ho visto la serie SSG hanno una gui web based piuttosto completa e ben fatta (e infatti non sono basate su Junos), la serie SRX invece è basata su Junos e ha una gui penosa e lentissima, praticamente tutto è da fare via cli.

[malatodihardware]

Interessanti anche quelli, faccio un po' fatica però a trovare documentazione di dettaglio a parte qualche brochure genericissimaPer Netasq c'è una demo online (user & psw = demo)
https://demo.netasq.com/

Qui trovi un quickstart in italiano:
http://netwhat.altervista.org/docs/QUICKSTART.pdf

Mentre qui c'è la wiki di guida (sempre in italiano):
https://netwhat.wiki.zoho.com/

A livello di sicurezza è l'unico firewall certificato dall'Unione Europea..

[trottolino1970]

Stiamo per configurare la rete di una nuova sede operativa dove la topologia sarà abbastanza semplice, ma per decisioni del management non ci si vuole sporcare le mani con un semplice gateway basato su linux o bsd, soluzione che abbiamo utilizzato fin'ora.

La topologia prevederà la suddivisione della rete in 3 differenti subnet:
- subnet tecnica con client del personale tecnico, server di sviluppo e dispositivi di vario genere
- subnet commerciale/guest con accesso a web e a pochi dispositivi di uso comune (es stampanti)
- subnet vpn

Viste le necessità stiamo quindi valutando una appliance hardware che agisca da gateway, firewall perimetrale e concentratore vpn.
Non avendo molta familirità con questo genere di dispositivi mi stavo rivolgendo prima di tutto a Cisco con l'ASA 5505, dispositivo carino che però mi sembra troppo castrato da limitazioni legate alle licenze piuttosto che da politiche commerciali esageramente macchinose (in pieno stile Cisco...).

Come alternativa mi stavo informando sui firewall Juniper che non sembrano male, in particolare il modello SSG5, anche se (budget permettendo) anche la serie SRX con Junos OS sembra davvero attraente.

Qualcuno ha esperienza con i prodotti Juniper?
Avete alternative da proporre?

Io purtroppo sono fissato sempre con lo stesso hardware: una bella routerboard e risolvi tutti i problemi.


sent from mg iPhone 3GS 32 giga white

[Wolfhwk]

Rotfl :asd:
Ricordo che quando feci la CCNA (ormai son passati 10 anni, me ne ricordo come se fosse ieri... :old: ) sui vecchi 827 chi osava lamentarsi per la mancanza di una gui veniva sonoramente cazziato :asd:
Da me cmq mi aspetto che arriveranno anche con questa richiesta vista la poca "familiarità" che hanno i responsabili con le cli...

Per le appliance juniper da quanto ho visto la serie SSG hanno una gui web based piuttosto completa e ben fatta (e infatti non sono basate su Junos), la serie SRX invece è basata su Junos e ha una gui penosa e lentissima, praticamente tutto è da fare via cli.

Io vengo da bash e vi e quindi pensa te come le vedo le GUI superflue :asd:
Dunque, limitandomi agli ASA, la GUI è buggata, lenta, macchinosa e incasinata, inefficiente e spesso ci scappano un paio di comandi in più arbitrariamente inseriti da asdm se non fai caso a qualche box checkato (e magari non te ne accorgi se non ispezioni con calma i comandi che sta per implementare).
Non è un prodotto da prendere alla leggera, ma va configurato per bene rigorosamente via cli, come faresti con una implementazione di iptables, squid etc.
Negli anni ho avuto modo di trastullarmi con i firewall juniper e gli asa (se non i PIX) e quello che ho notato è che i cisco sono più stabili e soffrono meno di bug loschi in condizioni che mai ti aspetteresti e nel caso si trovi qualcosa, l'assistenza tecnica è migliore. Mentre i juniper non hanno limitazioni commerciali strane e hanno più feature.

Questo sempre secondo la mia umile opinione.

[Wolfhwk]

Io purtroppo sono fissato sempre con lo stesso hardware: una bella routerboard e risolvi tutti i problemi.


sent from mg iPhone 3GS 32 giga white

Fammi indovinare, magari Mikrotik :O

[trottolino1970]

Fammi indovinare, magari Mikrotik :O

esattamente, non mi sembri della stessa idea come mai?
io la uso da almeno 10 anni, da quando per comprare una licenza per pc dovevi sperare che qualcuno ti rispondesse.

Mi piacerebbe sapere cosa ne pensi e qualora non fossi (magari giustamente) della mia stessa idea, capire il perchè, magari sono io che mi sono fermato a questo hardware quando in realtà a parità di costi potrei avere hardware migliore.

[barzokk]

...
La topologia prevederà la suddivisione della rete in 3 differenti subnet:
- subnet tecnica con client del personale tecnico, server di sviluppo e dispositivi di vario genere
- subnet commerciale/guest con accesso a web e a pochi dispositivi di uso comune (es stampanti)
- subnet vpn

alla faccia del SOHO, questo sarebbe un small/home office ? :D
in un soho ci metto ddwrt o openwrt su un WRT54GL da 50 euro :D

[Wolfhwk]

esattamente, non mi sembri della stessa idea come mai?
io la uso da almeno 10 anni, da quando per comprare una licenza per pc dovevi sperare che qualcuno ti rispondesse.

Mi piacerebbe sapere cosa ne pensi e qualora non fossi (magari giustamente) della mia stessa idea, capire il perchè, magari sono io che mi sono fermato a questo hardware quando in realtà a parità di costi potrei avere hardware migliore.

I router Mikrotik fanno tutto, direi pure il caffè macchiato. E questo mi ricorda i Cisco in ambito aziendale (anche se gli ultimi usano ovviamente moduli specialistici, conformi poi alle esigenze e alle dimensioni dell' impresa ). Dunque, la Mikrotik in ambito SOHO è piuttosto imbattibile. Di sicuro preferisco la Mikrotik rispetto a edimax, netgear, tp-link etc
Questo grazie alla stabilità operativa dei suoi prodotti, ottima. E ovviamente le tante tante features.

[trottolino1970]

I router Mikrotik fanno tutto, direi pure il caffè macchiato. E questo mi ricorda i Cisco in ambito aziendale (anche se gli ultimi usano ovviamente moduli specialistici, conformi poi alle esigenze e alle dimensioni dell' impresa ). Dunque, la Mikrotik in ambito SOHO è piuttosto imbattibile. Di sicuro preferisco la Mikrotik rispetto a edimax, netgear, tp-link etc
Questo grazie alla stabilità operativa dei suoi prodotti, ottima. E ovviamente le tante tante features.

finalmente uno che la pensa come me :)

[Wolfhwk]

Finora non ho visto mai nessuno dubitare delle capacità dei Mikrotik. ;)
Ora con calma provo a fare un po' delle loro certificazioni (MTCRE, MTCWE etc).

[trottolino1970]

Finora non ho visto mai nessuno dubitare delle capacità dei Mikrotik. ;)
Ora con calma provo a fare un po' delle loro certificazioni (MTCRE, MTCWE etc).

Sperando che ci perdonino l'off topic ti posso dire che esiste molta gente "scettica" sull'uso dei mikrotik :(

[Wolfhwk]

Uh? E perchè mai? Forse è gente che non ha lavorato con molti prodotti diversi ed è quindi superficiale nelle valutazioni.

Spostiamoci in pvt in caso, altrimenti ci castigano.

[Tasslehoff]

alla faccia del SOHO, questo sarebbe un small/home office ? :D
in un soho ci metto ddwrt o openwrt su un WRT54GL da 50 euro :DBeh francamente se un'azienda da una ventina di dipendenti non ha nemmeno la possibilità di spendere 300 euro per dotarsi di un minimo di infrastruttura perimetrale...
Non dico di dotarsi di infrastruttura di classe carrier, ma il minimo per poter lavorare decentemente e con un minimo di supporto e affidabilità.

Cmq per la cronaca e ragionandoci con calma stavo pensando che una possibile architettura con una appliance perimetrale di fascia bassa (es Juniper SSG5 o ASA 5505) da usare anche come router tra le diverse subnet potrebbe tramutarsi in un clamoroso collo di bottiglia nei trasferimenti sulla rete locale.
O si passa ad una appliance di fascia un po' più alta con interfacce Gbps (e il prezzo in quel caso salirebbe ad almeno 1000-1500 euro) oppure stavo pensando di affiancare all'appliance low-cost uno switch managed Gbps layer 3.

Stavo dando un'occhiata agli HP ProCurve serie 1910, avete feedback in merito?
Dando un'occhiata all'infrastruttura di rete dei clienti dove mi trovo vedo che HP è molto gettonata sugli switch periferici negli armadi di distribuzione, mentre per il core vedo o Cisco o Foundry Networks (ora Brocade).

Uh? E perchè mai? Forse è gente che non ha lavorato con molti prodotti diversi ed è quindi superficiale nelle valutazioni.

Spostiamoci in pvt in caso, altrimenti ci castigano.Per quanto mi riguarda potete continuare tranquillamente, la cosa interessa parecchio anche a me in ottica di una possibile sostituzione del mio attuale vecchio SOHO77 che comincia ad avere qualche problema meccanico sul connettore di alimentazione :(

[Wolfhwk]

Escludi Cisco dagli switch layer 3...è davvero troppa roba per così pochi dipendenti :asd:
Ma anche dal livello Core. A meno che non ti interessi scaricare tutta la tabella BGP. :read:

Vai pure su HP o altri.

[malatodihardware]

Non ho idea di quanto costino Juniper o Cisco (visto che non li tratto), ma un Netasq U30S costa 700 Euro di listino e fa routing a 400Mbps..

[Wolfhwk]

Non ho idea di quanto costino Juniper o Cisco (visto che non li tratto), ma un Netasq U30S costa 700 Euro di listino e fa routing a 400Mbps..

Dai 5000$ in sù. Il routing, il QoS e le acl si fanno via CEF in hardware, tutto simultaneamente grazie agli asics. Poi se si dispone di distributed CEF, addio...
E' un altro universo, specialmente di prestazioni e prezzi :asd:
Anche Juniper ha una tecnologia simile al CEF, introdotta un po' più in ritardo se non ricordo male.

[malatodihardware]

Ok, ma se guardi nella stessa fascia, per farti un esempio, da un documento fornito ai partner da parte di Netasq stessa, a parità di prezzo, un SGG350M ha la metà del throughput (550 vs 1000Mbps) rispetto a un U450, oppure l'NG1000 di Netasq fa quasi 4,5Gbps contro 1Gbps del Juniper SSG550M con il quadruplo delle connessioni gestibili..

Poi ognuno fa le sue scelte, secondo me però è un buon prodotto a cui manca solo l'appeal che hanno grandi marchi come Cisco e Juniper

[Wolfhwk]

Sì ma io mi riferivo agli switch layer 3. Quello che vorrebbe prendere lui ora.
Oh, quando Netasq spenderà il 70% del budget in ricerca e sviluppo, come fanno i due rivali, anche essa avrà l'appeal. :cool:

Comunque mi sembrano notevoli i loro prodotti, anche se devo indagare sulle reali prestazioni tra Netasq e Juniper. C'è qualcosa che non mi quadra in tutti quei valori. Mi sembrano gonfiati assai.

Ora che ci penso, certo che in ambito firewall/vpn/IPS/IDS sono in tanti a darsele di santa ragione: Palo Alto, Checkpoint, Netasq, Cisco , Juniper, Fortinet solo per citare i più famosi. Bene bene, ci sarà del progresso.

[Wolfhwk]

Boh, ho cercato un po' di comparatives sul web, poca roba. La Netasq è semisconosciuta :nono:
Ma è anche vero che Cisco/Juniper non eccellono in soluzioni di sicurezza (prendo gli ASA come esempio e SRX di Juni), Checkpoint e Palo Alto se li mangiano a colazione. Dunque suppongo che per prestazioni brute, come osservato prima, la NetASQ sia superiore di diverse spanne alle soluzioni ASA/SRX. Valutate il range prezzi e la scelta ricade su roba tipo NG1000.

Allora, Tassle, guarda seriamente il ferro di Netasq.

[malatodihardware]

Non avevo capito ti riferissi a layer 3, in quel caso non c'è storia, Cisco e Juniper sono di gran lunga superiori a tutti (prezzo compreso :D).

In ogni caso secondo me la prima vera distinzione la fa il fatto se si vuole anche ips, filtering etc.. oppure se basta solo firewall e routing.

Inviato dal mio MB525

[Wolfhwk]

Ora trovo il modo di proporre a qualche cliente i NetASQ, così me li studio bene bene. Che mi sembrano parecchio buoni nel rapporto prezzo/prestazioni.

[barzokk]

Beh francamente se un'azienda da una ventina di dipendenti non ha nemmeno la possibilità di spendere 300 euro per dotarsi di un minimo di infrastruttura perimetrale...
Non dico di dotarsi di infrastruttura di classe carrier, ma il minimo per poter lavorare decentemente e con un minimo di supporto e affidabilità.

infrastruttura, perimetrale, classe carrier, belle parolone che fanno fico con i dirigenti :D
però soho non vuol dire quello
20 dipendenti è una piccola impresa


Cmq per la cronaca e ragionandoci con calma stavo pensando che una possibile architettura con una appliance perimetrale di fascia bassa (es Juniper SSG5 o ASA 5505) da usare anche come router tra le diverse subnet potrebbe tramutarsi in un clamoroso collo di bottiglia nei trasferimenti sulla rete locale.

eh beh dopo 20 post ce ne siamo accorti, meglio tardi che mai...
non so come ha fatto il thread ad andare avanti sparando una infinità di nomi, senza sapere come deve essere fatta la rete e senza sapere la quantita di device connessi :mc:

[Wolfhwk]

ah ah ah :asd:

[Tasslehoff]

infrastruttura, perimetrale, classe carrier, belle parolone che fanno fico con i dirigenti :D
però soho non vuol dire quello
20 dipendenti è una piccola impresa

eh beh dopo 20 post ce ne siamo accorti, meglio tardi che mai...
non so come ha fatto il thread ad andare avanti sparando una infinità di nomi, senza sapere come deve essere fatta la rete e senza sapere la quantita di device connessi :mc:Il thread non è nato per avere la pappa pronta con una soluzione fatta e finita ma per avere un feedback sulle soluzione soho Juniper e Cisco, eventualmente estendendo ad altri competitor.
La topologia definitiva saranno fatti nostri, così come la scelta tra un modello e l'altro delle appliance di un produttore piuttosto che di un altro.

Le parolone per alcuni possono anche fare fico con i dirigenti, per altri invece possono avere un significato ben preciso e un senso.
Non so per te ma per me ce l'hanno, e non solo per le offerte commerciali ma anche sugli aspetti tecnici che mi trovo ad affrontare insieme ad altri colleghi consulenti dai clienti e negli scenario in cui lavoro.

Riguardo al dimensionamento io penso che valutare le esigenze di una azienda basandosi unicamente sulla dimensione o il numero di client sia un modo di fare che non abbia molto senso.
Noi ad es siamo una società che si occupa di sviluppo e consulenza IT, non siamo molti e spesso siamo sparpagliati da clienti, però stai pur certo che tra servizi che offriamo, ambienti di pre-produzione e sviluppo, vpn con i clienti per garantire la continuità operativa da remoto, beh insomma tra tutte queste cose abbiamo necessità che vanno ben oltre quelle di aziende con molti più dipendenti che però si occupano di altro.
Semplicemente non ci occupiamo di infrastrutture di rete ma di tutto quanto sta a più alto livello (sistemistico e applicativo), quindi in un caso come questo mi sembra normale chiedere consiglio e cercare di informarsi il più possibile.

La mia segnalazione sulla possibilità di includere uno switch Gbps layer 3 è solo frutto della serie di considerazioni in atto in questi giorni per definire la topologia e il dimensionamento di questa rete.

Se i paroloni ti danno fastidio e pensi si possa fare tutto con un dlink da Mediaworld ti ringrazio del contributo ma credo che questa soluzione non sia quello che cerchiamo...

[Tasslehoff]

Escludi Cisco dagli switch layer 3...è davvero troppa roba per così pochi dipendenti :asd:
Ma anche dal livello Core. A meno che non ti interessi scaricare tutta la tabella BGP. :read:

Vai pure su HP o altri.Ti ringrazio :)
Effettivamente non abbiamo grosse esigenze riguardo allo switch, la segmentazione in VLAN non è un mio obbiettivo in questo momento, mi serve unicamente per scaricare l'appliance perimetrale dagli instradamenti di rete interna tra le subnet.

In questo modo potrei restare su una appliance di fascia bassa (350 euro circa) che si occuperebbe unicamente di instradamenti per il traffico wan, vpn e firewall (ed eventualmente scansioni mediante subscription ad hoc, IPS, IDS etc etc...) senza avere alcun collo di bottiglia (il provider che useremo è Fastweb in fibra con taglio di banda da 100Mbps), mentre tutti gli instradamenti tra le subnet della lan saranno gestiti dallo switch (anch'esso sulle 300-400 euro).

[Wolfhwk]

Tassle, ma avete deciso su quale marca orientarvi per il firewall/VPN concentrator/IPS?

[Tasslehoff]

Tassle, ma avete deciso su quale marca orientarvi per il firewall/VPN concentrator/IPS?Non ancora, i papabili però sono Juniper SSG o al limite Netasq.

Se ne riparla dalla prossima settimana, in questi giorni di ferie (ho un monte infinito di ferie arretrate e ne approfitto per consumarne un po'...) ne approfitto per fare un po' di R&D con Netsim, dovrei avere ancora una licenza da qualche parte residuato dal corso per la CCNA.

[Wolfhwk]

Netsim? Vai con gli emulatori, il GNS3.

[Tasslehoff]

Netsim? Vai con gli emulatori, il GNS3.Eh vedi, io sono rimasto al mitico Boson Netsim, tra l'altro una versione talmente vetusta che credo risalga ai tempi di Windows 98 e Windows 2000 :asd:

Ci darò un'occhiata grazie :)