Forum Debian Users Gang

Preibx · 2006-06-15 12:33:36

Witam!
[b]
Główne pytanie jest następujące:
Czy lepiej inwestować w już skonfigurowane małe skrzynki renomowanych firm np. CISCO lub D-Link - czy w dobrze skonfigurową mocną maszynę (1GB RAM, 2,4 GHz, 200GB dysk) Debian
[/b]
Podaje przykładowe parametry:
[b]1)D-Link DFL-700 FireWall 1FEth;1WAN xDSL;200VPN; 1500 zł netto[/b]
[url]http://www.dlink.com/products/?pid=327[/url]
[url]http://www.dlink.com/products/resource.asp?pid=327&rid=1152&sec=0[/url]
[i]
Ta zapora jest przeznaczona szczególnie dla małych i średnich przedsiębiorstw. Pełni ona funkcje: NAT (Network Address Translation), zapory, wykrywania ataków typu odmowa usługi (DoS) i VPN. Ponadto obsługuje ona połączenie WAN i dysponuje niezawodnym złączem sieci LAN 10/100 Mbs, jak również złączem DMZ do podłączenia lokalnego serwera WWW i e-mail.

Kolejne cechy, które normalnie występują tylko w drogich zaporach korporacyjnych, to filtrowanie pakietów SPI, wbudowana obsługa VPN, złącze DMZ, wiele adresów IP i wiele serwerów wirtualnych. DFL-700 zapisuje w dzienniku wszystkie ataki i ustala, spod jakiego adresu IP wyszedł atak. Raport o ataku zostaje następnie wysłany na określony adres e-mail, a cały przychodzący ruch od wykrytego adresu IP będzie w przyszłości blokowany. Administrator sieci może skonfigurować adres e-mail do odbierania wiadomości od zapory. Wykrycie ataku jest zapisywane w dzienniku, a informacja o tym jest wysyłana przez e-mail. Za pomocą wbudowanej funkcji VPN można utworzyć maksymalnie 200 połączeń tunelowych IPSec z różnymi lokalizacjami. IPSec stosuje efektywne systemy szyfrowania jak DES, 3DES, AES i automatyczne zarządzanie kluczami IKE/ISAKMP. Utworzenie tunelu VPN łączącego zaporę ze zdalnym komputerem gwarantuje użytkownikom mobilnym bezpieczne przesyłanie danych z szyfrowaniem DES. W ten sposób ważne, poufne informacje mogą być bezpiecznie pobierane i przesyłane. Umożliwia to bezpieczne i niezawodne połączenie pracowników zewnętrznych i domowych biur z siecią firmową.

Istnieje możliwość utworzenia pewnej liczby tuneli VPN bez IKE (Internet Key Exchange). Obsługiwane jest blokowanie adresów URL. Raporty o przesyłaniu danych w czasie rzeczywistym, ostrzeżenia o atakach internetowych i komunikaty o działaniach internetowych są zapisywane w dziennikach i mogą być przekazywane przez e-mail. Zapora obsługuje uwierzytelnienie RADIUS i umożliwia wykorzystanie serwera RADIUS z informacjami użytkownika.
[/i]

Kod:

Specyfikacja techniczna


    * 1 port LAN 10/100Base TX, 1 port DMZ 10/100BaseTX Obsługa bramy poziomu aplikacji (ALG) NAT
    * 1 port 10/100BaseTX WAN do podłączenia modemu telewizji kablowej lub DSL
    * Klient/serwer DHCP
    * Obsługa PPPoE do zdalnego logowania
    * Obsługa PPTP, L2TP, IPSec, tranzytu VPN
    * Filtrowanie treści, blokowanie URL/domen i sprawdzanie słów kluczowych
    * Agresywny/główny tryb klienta w sieci VPN
    * Obsługa serwerów wirtualnych
    * Ochrona zapory przy użyciu SPI (Stateful Packet Inspection)
    * Konfigurowanie i monitorowanie w czasie rzeczywistym za pomocą przeglądarki internetowej
    * Blokowanie ataków typu odmowa usługi (DoS), także w wersji rozproszonej (DDoS)
    * Obsługa protokołu Syslog
NAT (Network Address Translation) / NAPT (Network Address Port Translation)

[b]2) 1)Serwer+Stacja Robocza - wszystkie usługi poniżej + srodowisko graficzne 1500 zł netto[/b]

Kod:

* serwera PROXY - strony internetowe są ściągane prosto z naszego serwera (a nie z internetu) co znacznie przyśpiesza ładowanie stronw www i zmniejsza obciążenie łącza! - nie trzeba wpisywać ustawień proxy w przelgądarkę www, dzięki czemu użytkownik sieci nawet nie wie, że korzysta z proxy!
    * lokalnego serwera DNS - dzieki czemu zapytania o adresy internetowe sa realizowane znacznie szybciej, a co za tym idzie strona www wczesniej sie ukaże w przeglądarce
    * limitów pedkośći wysylanych i odbieranych danych przez uzytkowników sieci lokalnej (dynamiczny i/lub statyczny podział pasma.)
    * limitów danych wysylanych i odbieranych przez serwer
    * ilości połączeń jakie może wykonać pojedynczy komputer z/do internetu
    * prowadzenia rozmów głosowych czy wysyłania plików (np. przez GG) przez komputery w LANie, mając tylko jeden publiczny adres IP
    * udostępnianie internetu jedynie wybranym adresom MAC i/lub IP
    * blokowania dostępu do internetu oraz przekierowaniem użytkownika na stonę z komunikatem administratora
    * calkowitego blokowania programów p2p w wybranych przez siebie godzinach i/lub dniach tygodnia
    * prowadzenia statystyk zużycia łącza dla każdego użytkownika (foto 2) i nie tylko
    * limitu transferu wysłanych i odebranych danych przez komputery w sieci lokalnej - bardzo przydatne kiedy tpsa daje nam limi kilku GB miesięcznie (jak np. w Neostradzie).
    * serwera DHCP (serwer sam przydziela adresy sieciowe komputerom w LANie (moga to byc zawsze te same adresy)).
    * wyświetlenie komunikatu o zapłacie za internet w oknie przeglądarki www (foto 3)
    * wysyłania komunikatów administratora widocznych w przeglądarce www użytkownika (foto 4)
    * Filtracja TTL uniemożliwia podudostępnianie internetu dalej przez naszych użytkowników.
    * śledzenie łącza - serwer wysyla nam maila w momencie podłączenia nowego komputera do sieci, natychmiast mozna wykryc ewentualnych kombinatorów :)
    * ssh - aby można było zdalnie łączyć się z serwerem.


Dodatkowo serwer można skonfigurowac pod kątem:

    * serwer może być w całości zarządzany jednym, czytelnym panelem z poziomu strony www (foto 5)
    * możliwość ustawienia różnych prędkości ściągania/wysyłania przez użytkowników w dzień i w nocy
    * RAID-1 (tzw. mirroring) - dokłada sie do serwera drugi dysk. Wtedy obydwa dyski posiadaja taką samą zawartość (jeden jest "lustrem" drugiego i na odwrót...) co podnosi niezawodność serwera w momencie awarii jednego z dysków.
    * jest możliwość wykonania kopii systemu na płycie CD lub DVD, lub na dodatkowym HDD
    * serwer pocztowy z tzw. uwierzytelnianiem i dostępem przez www
    * serwer ftp
i wiele innych....

Z góry dziękuje za rzetelne opinie

Ulter · 2006-06-15 13:40:30

leprze nie jest nic.

ps. jak mozna robić takie błędy?

BiExi · 2006-06-15 14:38:28

Moim zdaniem lepszym rozwiazaniem jest server debianowy dlaczego?
- mozna go aktualizowac i przystosowywac do zmieniajacyhc ise waruunkow np nowe zagrozenia itp?
- wdrazanie nowych technologi
- brak ogranczen np w liczbie obslugiwanych klijentow czy tuneli itp....
- rozwiazani sprzetowe moga sie zestarzec co moze utrudnic ochrone naszej sieci
- debian jest wilofunkcyjny mozna go skonfgurowac dla konkretnych potreeb i zastosowan

Tylko tu jest uwaga
- najlepiej skonfigurowac debiana samemu ze zrozumieniem wedziec co sie na tym debianie robi by w razie potrzeby szybko umiec usunac usterke
- ewentualnie miec dobrego i zaufanego administratora ktory by sie tym zajmowal i co najwazniejsze byl dyspozycyjny

xanax · 2006-06-15 19:28:41

Jak zwykle [b]Biexi[/b] ma racje :). Router sisco sprawdza się jeśli potrzebne jest coś na szybko i jest nieskomplikowane. Serwer na debianie jest bardziej elastyczny i ma nieograniczone możliwości ale pochłania więcej czasu no i wymaga wiedzy.

Libo · 2006-06-15 23:15:56

a ja chcialbym wtracic swoje 5 groszy i stanac troche w obronie rozwiazan sprzetowych :)
Xanar - nie chce zebys sie obrazil ale chyba masz nikle pojecie o zaawansowanym sprzecie sieciowym szczegolnie Cisco. Po pierwsze jest zasadnicza roznica miedzy PIX'ami a Routerami i nie dokonca poprawne jest uzywanie tych pojeci zamiennie. dodatkowo stwierdzenie ze urzadzenia te sa "szybko konfigurowalne i nieskomplikowane" tez raczej swiadczy o tym ze nie miales z nimi za bardzo do czynienia ( jezeli sie myle to sory ale twoje wypowiezi o tym swiadcza )

Waznym pytaniem jest to do czego chcemy wykorzystac nasze urzadzenia ale jednoczesnie nalezy pamietac ze router to nie serwer a serwer to nie router ( mozna probowac z gorszym lub lepszym skutkiem przystosowac jedno zeby dzialalo jak drogie, ale nie bedzie to rozwiazanie sprawdzajace sie w 100% )
Sa dziedziny w ktorych serwery debianwe nie poradza sobie, chodzi tu miedzy innymi o zaawansowany routing z wykorzystaniem protokolow OSPF, EIGRP czy BGP. Oczywisnie istnieja proby napisania odpowiedniego oprogramowania (np. Zebra ), ale rozwiazania sprzetowe sa znacznie wydaniejsze i mniej zawodne.

Co do wypowiedzi BiExi to kto powiedzial ze urzadzena sprzetowe nie mozna aktualizowac ?? Wrecz przeciwnie support takich firm jak Cisco jest znacznie szybszy a reakcaj na wykryte bledy jest praktycznie natychmiastowa. Dodatkowo nie zgodze sie z toba ze na serwerach nie ma ograniczenia co do "liczby obsl. klientow czy tuneli...", zawsze istnieja ograniczenia mimo ze teroetycznie wydaje sie to prawda w praktyce czesto spotykaja nas niemile niespodzianki, dodatkowo mozliwosc dobrych PIX'ow sa naprawde imponujace ( do 500,000 jednoczesnych sesji )
Zaden serwer nie bedzie dzialal wydajnie w roli routera niz specjalnie do tego celu zaporojektowana platforma.

Kolejna kwestia jest bezpieczenstwo. Platformy na ktorych odpalne jest kilka uslug spelniajacych rozne zadanie jest duzo bardziej podatna na wszelkiego rodzaju bledy w oprogramowaniu i ataki.

chcialem przedstawic pare zalet rozwian sprzetowych bo one tez takowe posiadaja. jednoczenie jeszcze raz podkreslam ze najwazniejsze jest to do czego takie urzadzenie ma byc wykorzystywane. w malych lub srednich przedsiebiorstwach serwer jest roziwazaniem znacznie bardziej oplacalnycm i spelniajacym wszystkie wymogi jekie takowy zaklad moze miec. jednoczesnie nie do pomyslenia jest zeby duza firma z wieloma siedzibami czy przedsiebiorstow telekomunikacyjne opieralo swoja infrastrukture o same serwery.

pozdrawiam

BiExi · 2006-06-16 10:57:33

Libo - tak ale jesli chodzi o rozwiazania sprzetowe trzeba brac pod uwage ich kodzt - zobacz sobie na ceny cisco obecnie produkowanych......
Kolejna sprawa jest taka ze np dla cisco upgrade jest platny
Co do technologii to przy wiekszych sieciach oczywiscie laczy sie ze sobom rozwiazania sprzetowe i programowe to jest raczej oczywiste....

Co do tych ograniczen co pisalam wyzej bardziej chodzilo mi o ograniczenia sprzetowe tzn moc obliczeniowom itp samego uzadzenia :]

Mialam do czyenienia w swojej karieze z Cisco oraz z routerami Nortel'a i nie mowie ze sa one zle, tylko po prostu moim zdaniem jest to rozwiazanie dla firm kotre maja duzyyyyyyyyy zapsas pieniedzy.....

Acha i jeszcze ejdno co do faktu konfiguracji np cisco to tez trzeba miec dosc duza wiedze :]

Time (s)	Query
0.00007	SET CHARSET latin2
0.00003	SET NAMES latin2
0.00055	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.15.143.18' WHERE u.id=1
0.00098	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.15.143.18', 1732373330)
0.00049	SELECT * FROM punbb_online WHERE logged<1732373030
0.00050	SELECT topic_id FROM punbb_posts WHERE id=32242
0.00115	SELECT id FROM punbb_posts WHERE topic_id=4093 ORDER BY posted
0.00027	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=4093 AND t.moved_to IS NULL
0.00026	SELECT search_for, replace_with FROM punbb_censoring
0.00053	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=4093 ORDER BY p.id LIMIT 0,25
0.00076	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=4093
Total query time: 0.00559 s

Forum Debian Users Gang

Ogłoszenie

#1 2006-06-15 12:33:36

Preibx - Użytkownik

Co lepsze ? Sprzętowy firewall czy skonfigurowany Debian?

Kod:

Kod:

#2 2006-06-15 13:40:30

Ulter - Użytkownik

Re: Co lepsze ? Sprzętowy firewall czy skonfigurowany Debian?

#3 2006-06-15 14:38:28

BiExi - matka przelozona

Re: Co lepsze ? Sprzętowy firewall czy skonfigurowany Debian?

#4 2006-06-15 19:28:41

xanax - Członek DUG

Re: Co lepsze ? Sprzętowy firewall czy skonfigurowany Debian?

#5 2006-06-15 23:15:56

Libo - Użytkownik

Re: Co lepsze ? Sprzętowy firewall czy skonfigurowany Debian?

#6 2006-06-16 10:57:33

BiExi - matka przelozona

Re: Co lepsze ? Sprzętowy firewall czy skonfigurowany Debian?

Stopka forum

Informacje debugowania