[SECURITE] Firewalls Open Source VS Firewalls constructeur

Recherche :

Dernière réponse

Sujet : [SECURITE] Firewalls Open Source VS Firewalls constructeur

Pims

Voila l'offre firewall:

Citation :

Architecture proposée :

La solution proposée repose sur la mise en place de 2 firewall ; un par accès et de construire le lien privé à partir de ces derniers.
Le produit utilisé est un Firewall qui se présente sous la forme d?un applicatif compilé sous FreeBSD (IPFW).
Il combine hautes performances et sécurité et ne nécessite pas de puissance CPU importante
Il est orienté sur la notion d?états (state full) et possède la totalité des fonctionnalités nécessaires a la protection d?un accès IP ou d?un site Internet

Serveur PIII monoprocesseur 900 MHZ
Carte mère INTEL
128 MO SD RAM
1 DD de 18 GO
Rack 2 U haute tolérance de pannes
Garantie 3 Ans

Le fire wall dispose de 3 accès :

1 accès WAN
1 accès LAN
1 accès DMZ (zone démilitarisée) permet aux utilisateurs de l?Internet d'accéder à l'information sur les serveurs publics de l?entreprise, tels que le Web, l'E-commerce ou les serveurs de messagerie, tout en maintenant la sécurité du réseau interne (LAN).

Les services apportés sont les suivants :

Filtrage par ports et par protocole
Autorisation ou interdiction par classes ou adresses IP
Serveur Proxy
Gestion de la bande passante
Filtrage URL
Mise en place de liens VPN
Connexion ; accès distant (pptp)

So?

Votre réponse

Nom d'utilisateur

Pour poster, vous devez être inscrit sur ce forum .... si ce n'est pas le cas, cliquez ici !

Le ton de votre message

Votre réponse

Smilies

Liste des smilies perso
Wiki smilies
Chercher un smiley

Options

Activer votre signature
Désactiver les smilies
Activer la notification par email du sujet

Aperçu

Vous avez perdu votre mot de passe ?

Vue Rapide de la discussion

Pims

Voila l'offre firewall:

Citation :

So?

seb31

firewall Turbo Linux Powa

Pims

Guru a écrit a écrit :

Sur quels points portent tes doutes ?

Les les avantages et les inconvenients des deux possibilités ... objectivement ...

THE REAL ROTOUTOU

Pims a écrit a écrit :

Meme plus que ca :eek: :eek: :eek: C'EST QUASI IMPOSSIBLE !
Notre societé ici pourrait faire de la maintenance (soft) à distance ... mais pour le HARD !

De plus la chine est un pays TRES TRES TRES fermé au niveau Internet ... je sais meme pas si on va etre autorisé à mettre en place un VPN cripté entre nos deux site ....

On va surement etre obligé de donné les clefs de cryptage comme c'est la mode actuellement :sarcastic:

y a une distri linux special chinois (une société de hong kong), j'avais vu ça car ils etaient à la pointe sur le clustering linux avant que tout le monde s'y mette

je suis pas sur, mais je pense que linux a une bonne implantation en chine, ça devrait pas etre trop dur de trouver un etudiant chinois maitrisant cet OS

a+

Guru	Sur quels points portent tes doutes ?

Pims	D'autre avis? Je suis tjrs pas convaincu, ni dans un sens, ni dans l'autre !

Guru	Visiblement sur le site de Cisco ils annoncent un certain nombre de partenaires / revendeurs en Chine. Cela peut être un avantage en faveur de la solution propriétaire...

Pims

Jar Jar a écrit a écrit :

Bah ça te prendra peut-être un peu plus de temps à installer, surtout si tu veux faire ça bien, mais après, c'est très simple. Il faut juste se tenir informé des updates de sécurité, et encore, il existe des systèmes de mise à jour automatisés.

Citation :

Si ta société ne dispose pas à chaque extrémité d'équipes en mesure de faire cette maintenance, il peut être judicieux de se tourner vers un partenaire d'envergure mondiale qui sera en mesure d'assurer un contrat de maintenance pour les deux extrémités.

C'est clair, mais un partenaire en Chine, c'est balèze à trouver non ?

Meme plus que ca :eek: :eek: :eek: C'EST QUASI IMPOSSIBLE !
Notre societé ici pourrait faire de la maintenance (soft) à distance ... mais pour le HARD !

De plus la chine est un pays TRES TRES TRES fermé au niveau Internet ... je sais meme pas si on va etre autorisé à mettre en place un VPN cripté entre nos deux site ....

On va surement etre obligé de donné les clefs de cryptage comme c'est la mode actuellement :sarcastic:

Guru

Pims a écrit a écrit :

Surtout qu'on va acheter et maintenir les deux cotés: France <-> Chine !

Dans un tel contexte, avec des extrémités de liaison se trouvant à plusieurs milliers de kilomètres et quelques fuseaux horaires, ce ne sont pas uniquement des contraintes techniques qui devraient être prises en compte.

En effet s'il est possible d'obtenir le même niveau de sécurité avec une solution propriétaire (type Cisco) et une solution Open Source, c'est la question de la maintenance qui doit se poser.

Si ta société ne dispose pas à chaque extrémité d'équipes en mesure de faire cette maintenance, il peut être judicieux de se tourner vers un partenaire d'envergure mondiale qui sera en mesure d'assurer un contrat de maintenance pour les deux extrémités.

Cependant disposer d'un contrat de maintenance ne dispensera pas ta société d'un travail de supervision des firewalls.

Pims

Jar Jar a écrit a écrit :

Un déni de service, quel qu'il soit, est extrêmement difficile à contrer, et il n'y a pas de solution générique, avec aucun matos ni logiciel, si celui qui est en face bourrinise suffisamment.
Par contre, il est clair que tu es plus sensible à un déni de service si le matos ne suit pas, mais ça n'entraîne pas la compromission de ton réseau, heureusement.

Ok :)

Et au niveau du boulot que ca represente?
Je suis actuellement admin Reseau, ces pb de securité m'interresse vraiment mais j'ai d'autre choses à faire aussi ... donc si ca me bouffe tout mon temps, c'est à prendre en compte ...

Pims	Petite precision: On a besoin de faire: du VPN cripté ET du FWing donc en solution constructeur ca revient carement cher!!! Surtout qu'on va acheter et maintenir les deux cotés: France <-> Chine ! [jfdsdjhfuetppo]--Message édité par Pims--[/jfdsdjhfuetppo]

Pims

REMeo a écrit a écrit :

En bref, tu devrais prendre le FW en Open Source sur BSD.
Moins cher, plus sur, et plus souple.
Que demander de plus?

Plus?

Des avis divergents, des experiences, des conseils :)

Ca commence bien :)

costla

Pims a écrit a écrit :

Oui mais un contrat de maintenance ca se souscrit n'importe ou ... et sur le "PC" tu peux mettre en place une tolerance de panne assez facilement:

RAID 1 SCSI + Alim redondante pour commencer ...

oué cé vrai,
pour ma part j'ai déjà bossé avec un FW CISCO PIX 506, cé vrai que quand tu connais pas grand chose aux IOS de chez CISCO cé un peu prise de tete,

mais une fois en route, no bleme, ca va faire 8 mois qui tourne sans reboot,

la hotline CISCO aussi est tres competente, les mecs y connaisse le produit par coeur (par contre faut parleer anglais).

Voilà.

Pims

Jar Jar a écrit a écrit :

Effectivement, un P133 soutiendra un débit moindre. C'est toutefois largement suffisant pour un site de moyenne envergure, car il devrait tenir quelques Mo/s.
Par contre, pour la passoire, je ne comprends pas une seconde. En quoi la faiblesse du matos derrière ferait d'un des systèmes les plus sûrs une passoire ? Ce sera juste plus lent.

Oui mais les attaques brutales qui consiste à saturer les FW de connections jusqu'a ce qu'il en laisse passer ....
Enfin bon c'est clair qu'il faut tailler la machine en fonction mais bon ...

Pims

costla a écrit a écrit :

à noter que si tu prend un FW CISCO avec un contrat de maintenance, le jour ou ton FW tombe en panne, le gars de chez CISCO est chez toi 4 heures apres pour te le réparer,
faut comparer ca avec ton FW libre.

Oui mais un contrat de maintenance ca se souscrit n'importe ou ... et sur le "PC" tu peux mettre en place une tolerance de panne assez facilement:

RAID 1 SCSI + Alim redondante pour commencer ...

Pims

Et pense tu que c'est plus de boulot qu'un CISCO ou autre?
(pour resté un minimum à jour ....)

Et que reponds tu à ca:

Citation :

Bah du Cisco, tu ne le maîtriseras sûrement jamais complètement. En plus, s'ils changent leur technologie, tout ce que tu auras appris ne te servira plus à rien. Alors que sur un firewall Open Source, tu peux choisir de A à Z ta politique de sécurité (sans que ce soit plus difficile), faire tourner les services que tu veux, bénéficier en permanence d'updates de sécurité et des dernières versions des logiciels en question... Et en plus, ce que tu as appris n'est jamais perdu. Quelqu'un qui sait faire tourner un firewall sur une version d'OpenBSD vieille de 4 ans ne sera pas perdu sur un GNU/Linux récent, par exemple.

:jap:

costla

à noter que si tu prend un FW CISCO avec un contrat de maintenance, le jour ou ton FW tombe en panne, le gars de chez CISCO est chez toi 4 heures apres pour te le réparer,
faut comparer ca avec ton FW libre.

zeb59

Maintenant je ne dis pas que tous les fw open source sont miteux, c'est juste plus risqué...

zeb59

En ce qui me concerne, j'ai vu des trucs assez hallucinants, genre un vieux pentium 133 recyclé en firewall... avec un linux qui tourne comme il peut...Pour brider tes débits, c'est top, par contre en FW c'est passoire...

[jfdsdjhfuetppo]--Message édité par zeb59--[/jfdsdjhfuetppo]

Pims

zeb59 a écrit a écrit :

Un firewall contructeur sera plus au point pour les parades aux attaques.
En plus tu as d'autres fonctionnalités intéressantes. Maintenant, c'est clair que si t'as un site pas particulièrement sensible à protéger, le truc bidouillé au fond d'un garage suffira peut-être.

Heuu ... faut pas abuser quand meme ! c'est si artisanal que ca?

zeb59

Un firewall contructeur sera plus au point pour les parades aux attaques.
En plus tu as d'autres fonctionnalités intéressantes. Maintenant, c'est clair que si t'as un site pas particulièrement sensible à protéger, le truc bidouillé au fond d'un garage suffira peut-être.

Pims

zeb59 a écrit a écrit :

Non, c'est surtout plus intéressant pour eux.
Tu auras moins d'emmerdes avec un FW constructeur mais cisco y sont cher. va voir du côté de www.netasq.com

Oui mais niveau budget ca n'a rien a voir ... il y a une notion de licence :(

De plus c'est compliqué car c'est pour une liaison avec la CHINE :eek: or en chine on trouve vraiment pas grand chose au niveau securité ... et pour passé la douane avec un FW :pt1cable:

C'est pourquoi un Open Source semble pas mal ...

Ensuite niveau resistance au attaque? c'est comparable ou pas?

zeb59

Non, c'est surtout plus intéressant pour eux.
Tu auras moins d'emmerdes avec un FW constructeur mais cisco y sont cher. va voir du côté de www.netasq.com

[jfdsdjhfuetppo]--Message édité par zeb59--[/jfdsdjhfuetppo]

Pims

Jar Jar a écrit a écrit :

Ils ont bien raison. C'est plus intéressant pour eux comme pour toi...

Why that?
:)

PS: c'est un bon point (pour moi) de maitriser la config de FW open source? ou maitrisé du CISCO est plus interressant ... :D

[jfdsdjhfuetppo]--Message édité par Pims--[/jfdsdjhfuetppo]

Pims	ok :jap: mais en fait une societe qui peut me proposer les deux solutions m'oriante plus vers l'open source ... Et vous?

seb31

CISCO c'est du costaud mais faut une IP fixe sinon marche po

Pims

Voila on me fait des offres composées de FW Open Source et d'autre de FW constructeurs (CISCO)

FW Open Source: PC industriel (tolérance de panne) + BSD

FW Constructeur: Materiel dedié + notion de licences ...

Qu'en savez vous? qu'en pensez vous? que me conseillez vous?

:jap:

[jfdsdjhfuetppo]--Message édité par Pims--[/jfdsdjhfuetppo]