12
Dimensionierung Hardware Firewall
Hallo,
ich bin auf der Suche nach einer Hardware Firewall Ersatz.
Folgendes ist derzeit vorhanden und ist etwas "angestaubt"
Fortigate 60C an einer 8M/1M DSL Line
Jetzt ist als neuer Zugang eine nettes Glas ins Haus gekommen (150/50M ).
Folgendes sollte die FW bewerkstelligen:
Den gewünschten Downstream von 150M wuppen, ein Traffic Shaping auf einen / mehreren LAN-Ports.
Ich hab mir jetzt ein paar Gerätschaften angeschaut, aber bin bezüglich dem Throughput nicht ganz sicher.
Was mir nicht so schlecht einleuchtet wäre eine ZyXEL USG60.
Wobei ich bei meinen Recherchen auch über folgendes gestolpert bin Allied Telesis AR2050V
bei letzterem bin ich mir aber nicht so sicher, da ich keine Site-to-Site VPN benötige aber ich denke die würde ja meinen Ansprüchen auch genüge tun.
Dank und Gruß
ich bin auf der Suche nach einer Hardware Firewall Ersatz.
Folgendes ist derzeit vorhanden und ist etwas "angestaubt"
Fortigate 60C an einer 8M/1M DSL Line
Jetzt ist als neuer Zugang eine nettes Glas ins Haus gekommen (150/50M ).
Folgendes sollte die FW bewerkstelligen:
Den gewünschten Downstream von 150M wuppen, ein Traffic Shaping auf einen / mehreren LAN-Ports.
Ich hab mir jetzt ein paar Gerätschaften angeschaut, aber bin bezüglich dem Throughput nicht ganz sicher.
Was mir nicht so schlecht einleuchtet wäre eine ZyXEL USG60.
Wobei ich bei meinen Recherchen auch über folgendes gestolpert bin Allied Telesis AR2050V
bei letzterem bin ich mir aber nicht so sicher, da ich keine Site-to-Site VPN benötige aber ich denke die würde ja meinen Ansprüchen auch genüge tun.
Dank und Gruß
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 373815
Url: https://administrator.de/contentid/373815
Printed on: April 16, 2024 at 13:04 o'clock
12 Comments
Latest comment
Moin,
Die Frage ist ja nicht nur, was du an brutto-Datentraffic da bewegt werden will, sondern, welche Dienste du auch mit wie vielen Usern betreiben möchtest. Es macht ein Unterschied, ob 50 Leute in Foren rumstöbern oder 5 Leute sich 4k-Video-Material permament streamen, während 20andere einen VPN-Tunnel mit Druckdaten- durch die Leitung feuern (alles ein wenig überspitzt formuliert).
Und muss das Gerät irgednwie mit SIP klarkommen, oder gibt es dafür eine dedizierte Anlage?
Was ist zudem dein Budget?
Welches Modem wird seitens deines ISP bereitgestellt?
Ohne diese Angaben wird es etwas schwieirig, aber ich schmeiße dennoch mal eine pfSense mit einem APU2C4-Board in den Raum.
mit 3x 1G und 4GB RAM sowie einer 1GHz CPU hat die schonmal etwas auf dem Kasten. Ne SSD daran und auch ein Proxy kann da zügig cachen, neben den ganzen Log-Einträgen o.Ä.
Gruß
em-pie
Die Frage ist ja nicht nur, was du an brutto-Datentraffic da bewegt werden will, sondern, welche Dienste du auch mit wie vielen Usern betreiben möchtest. Es macht ein Unterschied, ob 50 Leute in Foren rumstöbern oder 5 Leute sich 4k-Video-Material permament streamen, während 20andere einen VPN-Tunnel mit Druckdaten- durch die Leitung feuern (alles ein wenig überspitzt formuliert).
Und muss das Gerät irgednwie mit SIP klarkommen, oder gibt es dafür eine dedizierte Anlage?
Was ist zudem dein Budget?
Welches Modem wird seitens deines ISP bereitgestellt?
Ohne diese Angaben wird es etwas schwieirig, aber ich schmeiße dennoch mal eine pfSense mit einem APU2C4-Board in den Raum.
mit 3x 1G und 4GB RAM sowie einer 1GHz CPU hat die schonmal etwas auf dem Kasten. Ne SSD daran und auch ein Proxy kann da zügig cachen, neben den ganzen Log-Einträgen o.Ä.
Gruß
em-pie
Hallo,
also auf dieser Leitung passiert nicht viel, da kommen vorwiegend Filmdaten für ein Kino rein ( kein Streaming ) und ein bisschen was vom Reservierungssystem geht raus.
Max. 5 Benutzer die Filminformationen aufrufen, oder "Zeitunglesen" online. Also kein Heavy Load.
Es ist vorgesehen das für diese Benutzer auch nur max. 5M bereit stehen sollen, der Rest soll für den "FilmDownload" bereitstehen.
Kein SIP, keine dauernde VPN ( nur bei Bedarf im Supportfall )
Budget tja das alte Lied.... ~500 EUR mehr wird sich da nicht durchboxen lassen.
Das Modem Modell hab ich jetzt grad nicht parat, muss ich morgen mal nachsehen.
Ich hab auch schon über einen PC Engines APU3C4 nachgedacht, aber ich bin mir da bzgl. der Kühlung nicht klar.
also auf dieser Leitung passiert nicht viel, da kommen vorwiegend Filmdaten für ein Kino rein ( kein Streaming ) und ein bisschen was vom Reservierungssystem geht raus.
Max. 5 Benutzer die Filminformationen aufrufen, oder "Zeitunglesen" online. Also kein Heavy Load.
Es ist vorgesehen das für diese Benutzer auch nur max. 5M bereit stehen sollen, der Rest soll für den "FilmDownload" bereitstehen.
Kein SIP, keine dauernde VPN ( nur bei Bedarf im Supportfall )
Budget tja das alte Lied.... ~500 EUR mehr wird sich da nicht durchboxen lassen.
Das Modem Modell hab ich jetzt grad nicht parat, muss ich morgen mal nachsehen.
Ich hab auch schon über einen PC Engines APU3C4 nachgedacht, aber ich bin mir da bzgl. der Kühlung nicht klar.
Zitat von @godlie:
Folgendes sollte die FW bewerkstelligen:
Den gewünschten Downstream von 150M wuppen, ein Traffic Shaping auf einen / mehreren LAN-Ports.
Folgendes sollte die FW bewerkstelligen:
Den gewünschten Downstream von 150M wuppen, ein Traffic Shaping auf einen / mehreren LAN-Ports.
Wenn das deine einzigen Kriterien sind kannst du die 60c auch lassen, reines Firewalling kann die in Wirespeed mit 1GB/s.
Warum willst du die Fortigate denn ersetzen?
/Thomas
Zitat von @Th0mKa:
Wenn das deine einzigen Kriterien sind kannst du die 60c auch lassen, reines Firewalling kann die in Wirespeed mit 1GB/s.
Warum willst du die Fortigate denn ersetzen?
/Thomas
Wenn das deine einzigen Kriterien sind kannst du die 60c auch lassen, reines Firewalling kann die in Wirespeed mit 1GB/s.
Warum willst du die Fortigate denn ersetzen?
/Thomas
Ich antworte mal frecher Weise statt des TO:
1) die fest vordefinierten WAN- und DMZ-Ports der 60c können nur 10/100 MBit/s - er hat aber 150 MBit/s im Downstream...
2) die 60c müsste mittlerweile End of Support sein. Bedeutet u.a. dass es irgendwann keine Firmwareupdates dafür mehr gibt...
Gruß
sk
Zitat von @sk:
Ich antworte mal frecher Weise statt des TO:
1) die fest vordefinierten WAN- und DMZ-Ports der 60c können nur 10/100 MBit/s - er hat aber 150 MBit/s im Downstream...
Es gibt bei Fortinet keine fest definierten Ports, alle Ports könnnen frei definiert werden. An der Beschriftung muß man sich ja nicht stören. Man stellt den Switch auf Interface Mode , hat 5 frei definierbare Gigabitports und los gehts.Ich antworte mal frecher Weise statt des TO:
1) die fest vordefinierten WAN- und DMZ-Ports der 60c können nur 10/100 MBit/s - er hat aber 150 MBit/s im Downstream...
2) die 60c müsste mittlerweile End of Support sein. Bedeutet u.a. dass es irgendwann keine Firmwareupdates dafür mehr gibt...
erst 2022/Thomas
Der Auftraggeber will die Fortigate nicht mehr in seiner Struktur haben, da sie des öfteren einfach mal die Arbeit einstellt, hat auch schon einige Jahre am Buckel.
Zitat von @Th0mKa:
Es gibt bei Fortinet keine fest definierten Ports, alle Ports könnnen frei definiert werden. An der Beschriftung muß man sich ja nicht stören. Man stellt den Switch auf Interface Mode , hat 5 frei definierbare Gigabitports und los gehts.
Es gibt bei Fortinet keine fest definierten Ports, alle Ports könnnen frei definiert werden. An der Beschriftung muß man sich ja nicht stören. Man stellt den Switch auf Interface Mode , hat 5 frei definierbare Gigabitports und los gehts.
Ok. Das wusste ich noch nicht. Die kleinste Forti, die wir im Einsatz haben, ist eine 300er. Und da gib es in der Tat keine vordefinierten WAN-Ports.
Kenne das ansonsten z.B. von Zyxel - da sind bei den kleineren Modellen künstliche Restriktionen eingebaut, damit man bei erhöhten Funktionsanforderungen die unrestriktierten teureren Modelle kauft. Aber auch hier lassen sich die Restriktionen der kleinen Modelle mit etwas Hintergrundwissen zumindest teilweise leicht umschiffen...
2) die 60c müsste mittlerweile End of Support sein. Bedeutet u.a. dass es irgendwann keine Firmwareupdates dafür mehr gibt...
erst 2022Aber nur noch Securtiyfixes bzw. Pflege der "alten Entwicklungszweige", oder? FortiOS 6 scheint es jedenfalls für die 60c nicht mehr zu geben...
Gruß
Steffen
Zitat von @godlie:
Der Auftraggeber will die Fortigate nicht mehr in seiner Struktur haben, da sie des öfteren einfach mal die Arbeit einstellt, hat auch schon einige Jahre am Buckel.
Der Auftraggeber will die Fortigate nicht mehr in seiner Struktur haben, da sie des öfteren einfach mal die Arbeit einstellt, hat auch schon einige Jahre am Buckel.
Und ist der Boden für eine neue Fortigate "verbrannt" oder kommt auch ein Nachfolgemodell in Frage?
Das Schöne bei Fortinet ist ja, dass sie vieles performanter als andere abwickeln können, weil sie es auf spezialisierten ASICs machen, statt auf der oder den CPU(s).
Ansonsten nochmal zur Duchsatzanforderung:
Es ist ein Unterschied, ob Du den Traffic lediglich "klassisch" bis Layer 4 beregeln und ggf. noch den HTTP(S)-Traffic filtern willst oder ob Du z.B. Gateway-AV oder IDP benötigst. Richtig anspruchsvoll wird es spätestens bei reiner Applikationsbasierter Steuerung. Die von Dir z.B. als Alternative herausgesuchte USG60 von Zyxel hat mit dem reinen SPI-Durchsatz sicherlich kein Problem (auch wenn die im Datenblatt angegebenen Laborwerte mit den Praxiswerten nicht viel gemein haben) - sobald Du jedoch z.B. AV oder IDP auf den Traffic los lässt, bricht das Teil massiv ein. Da sollte es dann schon mindestens eine USG110 sein.
Die Frage ist also: Wie tief möchtest Du in den Traffic reinsehen können? Für ein bisschen SPI-Firewalling tut es auch ein Mikrotik HEX für 45 EUR Endkundenpreis...
Gruß
sk
Zitat von @godlie:
Der Auftraggeber will die Fortigate nicht mehr in seiner Struktur haben, da sie des öfteren einfach mal die Arbeit einstellt, [...]
Und was sagt Fortinet dazu? Ansonsten kann man z. B. eine Fortigate 50E nehmen, die erfüllt alle deine Anforderungen. Der von dir angedachten AR2050V ist ja eher ein Router, da tut es wirklich jauch eder andere Semipro-Router wie z. B. der schon genannte von Mikrotik für 10% des Preises.Der Auftraggeber will die Fortigate nicht mehr in seiner Struktur haben, da sie des öfteren einfach mal die Arbeit einstellt, [...]
Für ein bisschen SPI-Firewalling tut es auch ein Mikrotik HEX für 45 EUR Endkundenpreis...
Oder ein APU Board mit ner pfSense:Preiswerte, VPN fähige Firewall im Eigenbau oder als Fertiggerät
Fortinet sagt dazu nicht mehr viel, da keine Subscription mehr besteht ( wurde vom Auftraggeber einfach mal so gekündigt..... ).
@aqui
Ja die APU Boards gefallen mir auch recht gut, ich hab mir das APU3C4 angesehen sieht eigentlich sehr nett aus.
Gibt es eig. einen großen Unterschied zwischen pfSense und openSense ?
Dank und Gruß
@aqui
Ja die APU Boards gefallen mir auch recht gut, ich hab mir das APU3C4 angesehen sieht eigentlich sehr nett aus.
Gibt es eig. einen großen Unterschied zwischen pfSense und openSense ?
Dank und Gruß
OPNsense enthält lt. eigenen Aussagen nur noch 10% des Codes von PFSense, der Rest wurde neu entwickelt um ein paar alte Zöpfe abzuschneiden. Ansonsten ist wohl der Hauptunterschied das es bei OPNsense keine Community Packete gibt, man hat also nur das was im Release drin ist. Mir persönlich gefällt der time base Relasezyklus von OPNsense besser als die feature based Releases von PFsense, aber das ist wohl eher Geschmacksfrage.
/Thomas