Firewall s content filteringem, antivir, AD autentizací

martas

Ahoj,

měl bych dotaz na řešení Firewall + Router s možností funkcí content filter, antivir, AD autentizací. Nevím, jaké řešení by bylo nejvhodnější. Značky o kterých vím - Zyxel, Fortinet, Kerio nebo Sophos, ale zkušenosti se všemi nemám. Konekt je zatím 50Mbit, do budoucna asi více (např. 200 Mbit), takže by to mělo zvládat routing a filtering v takových rychlostech. Počítačů kolem 60-ti. Mohl byste mi prosím někdo poradit, případně říct vaše zkušenosti jaké řešení vybrat, případně co je cenově nejlepší jako HW + licence?

zero

Ahoj,

Fortigate 60F s prstem v nose - https://www.fortinet.com/content/dam/fortinet/assets/data-sheets/fortigate-fortiwifi-60f-series.pdf

Když to koupíš v tzv. bundle balíčku (HW + záruka (FortiCare) + UTP (AV, IPS/IDS, DLP, Web) vyjde to lépe.
Jen se připrav, že roční obnova vyjde na cca 1/3 ceny celého firewallu (s většími modely ještě víc).
Pokud by jsi chtěl nějaký detail. informace, napiš. Děláme s tím už cca 10let, takže nějaký tipy můžu dát.

martas

zero Jo, to nevypadá špatně. Otázka jak to bude cenově vycházet. Prvotní nákup bude z projektu HW + 5 roků licencování v době udržitelnosti, potom tu licenci asi nikdo nezaplatí.

jenda_master Kerio jsme provozovali, HW i ve virtuálce. Licenčně to je docela raketa.

Jenom je možná dobré zmínit, že je to ve školství, takže kdyby nějaká společnost měla licenční zvýhodnění edu, tak by to bylo super. Kdyby nebyla povinnost dokumentace ke specifickému HW routeru, který splňuje tyto podmínky, tak tam dám Linux router nebo Mikrotik CCR a naše proxy řešení, bohužel to musí splňovat ten box.

jenda_master

Běžně používáme Kerio.

Buď na jejich HW, případně se to dá provozovat na skoro libovolném HW.

Jestli se nepletu, plná licence do 600Kc/user/year

zero

martas

Dodavali jsme spousty FortiGatu do skol. Napojeni na AD + Eduroam, radius na WiFi atd., vzdy bylo vse bez problemu a slape to bez starosti. Jen je nutny sledovat CVEcka (posledni dva roky na tom Fortinet neni moc ok, ale reagujou rychle).
Pokud to mas na 5let, je lepsi vzdy po tom obdobi koupit novej box, nez prodluzovat.

jcltm

A nebo trochu slevíš z požadavků a nasadíš opensource pfSense 😉

zero

jcltm pokud je to z toho stejnyho projektu, jako si myslim (proplaceno z ministerstva/mesta), pfSence neprojde.

martas

jcltm Však bych to tak klidně udělal, kdyby to šlo 😀, aktuálně to tam běží na OPNsense.

ifivecz Ty podmínky jsou tak drsné, že si nemyslím, že by to prošlo.

A někdo zkušenost se Zyxelem nebo Sophosem?

jcltm

zero Tak to pak jo...

ifivecz

My treba dodali OPNsense do zdravotnickeho zarizeni. Placeno z IROP.

ifivecz

martas Jak rikam, 5 let zpet (a ano, meli jsme s tim potize jako napadeni konkurenci dodaneho produktu) to proslo. Jak je psano nade mnou, neni duvod, proc by to neproslo a staci SM do 30k + pfSense/OPNsense.

mkey3

Zkus poptat Hillstone v PROFIComms. Pro školy dají docela velkou slevu...

Alois

Sophos jsem zažil u dvou firem a to bych fakt nedoporučil.

jcltm

Mně se upřímně tohle pro**bávaní veřejných peněz na úkor vyčuraných firem dost příčí. Proč kupovat něco za raketu peněz a s pravidelnými poplatky, co za 5 let zahodíš, když můžeš koupit za 25k pěkné Supermicro a na něj nasadit opensource podle svého výběru. Zrovna pfSense totiž to co je požadováno umí, i s AD to jde provázat. Tak proč to řešit kšeftem pro jinou firmu, když si můžeš nechat zaplatit vlastní práci a ještě je zbavit koule na noze s licencemi.

mirmo80

jcltm Tak proč to řešit kšeftem pro jinou firmu

V tejto otazke je zaroven aj odpoved.

jcltm

ifivecz Přesně tak. Opensource má velký potenciál, za sebe nevidím důvod proč bych měl někoho uvrtat do pravidelných licenčních poplatků, naopak dělám vše pro to, abych jich zákazníky pokud možno zbavil.

zero

jcltm

Ono je to trošku složitější.
Já chápu, že většina z nás je tady z ISP prostředí a co se týká požadavků korporátů apod., moc to v lásce nemáme a pořád máme takovej ten přístup "ať to moc nestojí a nějak to funguje".
Ale budu mluvit za Fortinet: v těch pravidelných fee je tým stovky lidí, kteří reagují na CVE, vydávají definice pro IPS/IDS, sledují (a ověřují) reputaci domén, C&C botnety a spoustu dalšího... Vše dnes něco stojí a nejvíc lidská práce.

vstk

Řeším zrovna něco obdobného, z pozice konzultanta zadavatele (školy). A zvažuju, jestli dává smysl dát podmínky takové, aby to šlo splnit s nějakým (převážně) OSS řešením, a jestli to vůbec jde, nebo jestli jít "na jistotu" a nastavit zadání tak, že to splní jen Fortinet nebo ještě dražší řešení.

Ať se bavíme konkrétně, v mém případě jsou jediné tvrdé požadavky toto: https://www.edu.cz/wp-content/uploads/2022/08/220725_Standard-konektivity-skol_final.pdf

Přijde mi to napsané překvapivě rozumně, řada parametrů je tam jen jako doporučení. Úplně nevidím proč by např. ten OPNsense + Proofpoint ET Pro Ruleset subscription, v kombinaci s FlowMon IPFIX collectorem (který bych chtěl stejně i k Fortigate), nemohl požadavky splnit. Tedy není to řešení "zadarmo", protože tahle práce něco stojí, ale pořád by to nákladově v 5letém horizontu zřejmě bylo o statisíce Kč níže (uvažuju 2x FG-100F).

Co vím, že neudělám ve standardních možnostech OPNsense/pfSense: 1) VPN s autentizací proti OAuth s MFA (např. Azure AD), 2) Identity-based firewall.

Otázka je zda to za to stojí. Dokumentace k FortiGate mě taky moc nenadchla. Forticlient je docela hrůza, a pro plnou funkčnost navíc další nemalé peníze za každého uživatele...

zero

vstk
Rozumím, tohle je standart konekticity z IROPu.

Ale když to vezmu jen z pozice práce, bude to vyžadovat nepoměrně víc MD pro implementaci a vyladění.
A to se nebavím o nějakým supportu, vyjímkách pro SSL inspekci, nastavení WAF (dnes už to je opravdu nutnost), vyjímky pro APP, WEB apod. Pokud zvolíš nějakej all-in-one blackbox (Forti, Velo, Sophos, Kerio), bude to znamenat pro admina nepoměrně míň práce.
OAuth s MFA funguje na Fortině super, zvlášť pokud si škola platí Entra ID
Identity-based fw v kombinaci s SSO collectorem na AD je rock stable a dokonce to můžeš nakombinovat i s Radiusem nebo dělat vyjímky, pokud se někdo přihlásí jen na RDP apod.
FortiClient: pro základ 2FA nepotřebuješ platit - umí to i free verze. 2FA se dá udělat právě přes Entra ID, Cisco DUO (3$ per user/month).
A poslední verze FCT (7.0.12) jsou naprosto v poho.

Já vyzkoušel oobě varianty - jak open source, tak i komplet krabičku. Za těch 10 let už bych se (právě kvůli lidský práci a starostem kolem toho) k open source nevrátil.

vstk

zero
OK, díky, dobré vědět.

Měl bych ještě pár otázek k FortiGate.

Má cenu připlácet za UTP bundle vs ATP, pokud není požadován content filtering?

SSL web inspekci máte běžně zapnutou? Na jednu stranu je už skoro všechen provoz SSL, takže bez toho je účinnost L7 firewallu velmi omezená. Na druhou stranu mi to přijde jako prasečina, se kterou musí být spoustu problémů. Chrome má na spoustu domén key-pinning, non-web aplikace si to mohou ověřovat po svém mimo systémový cert store, musím si být jistý, že všichni klienti na které to aplikuju mají nahraný potřebný certifikát... Takže na to bude mít Fortinet asi vychytané výjimky, ale stejně. Co to ve výsledku reálně přinese, pokud to zapnu?

Co IPv6, funguje všechno dobře i s tím? Třeba zrovna ten identity-based firewall. Na centrálně spravovaných klientech dokážu vypnout privacy extensions a mít stabilní IPv6 adresy. Ale dozví se to o nich ze SSO AD collectoru? A co klienti na WiFi? Dokáže to řídit podle MAC adres když VLAN s těmi klienty bude zakončená přímo na tom FortiGate, nebo jak se to řeší?

Další stránka »