Lizenzierung von Firewalls

Moin,

jeder Hersteller kocht da sein eigenes Lizenzsüppchen. Aber meistens lassen die sich jeden Furz extra bezahlen, zumindest, wenn sie zu den Platzhirschen gehören.

Die "kleinen" versuchen dann manchmal mit "all-inclusive" zu punkten.

lks

Moin ..
das ist völlig legitim.
Wenn dein Chef keine Bedarf an einer anderen Lösung hat soll er halt zahlen.
Opensource ist keine schlechte Alternative, in der Regel ist man aber für alles selbst verantwortlich und entstehende Personalkosten für den Mehraufwand müssen auch gedeckelt werden.
Im Unternehmensumfeld ist es somit sinnvoll eine Variante zu wählen die auf den ersten Blick teuer sein mag, aber immer eine gewisse Gewährleistung enthält.

VG
Ashnod

Hallo!

Es gibt diverse Anbieter, die nicht alles einzeln lizensieren, aber die Frage ist doch, was Du brauchst. Bisher ist das alles viel zu allgemein. Oft ist es auch so, dass es ab einer bestimmten Geräteklasse dann z.B. 1000 IPSec-Tunnel inklusive gibt, was für die Leistung dieser Geräte eh nicht erreich bar ist - also quasi All-Inclusive...

Phil

Das kann man so ja nicht einfach stehen lassen, seit wann haftet ein Hersteller/gibt Gewährleistung für eine Fehlfunktion oder nicht gepatchte Sicherheitslücken (siehe Cisco oder vergleichbares)? Das einzige was die eigentlich dazu legitimiert die Preise zu nehmen wie sie es tun: Behörden und Versicherungen usw. beurteilen die System als "sicher", wobei eine gut eingestellte pfSense bedeutend sicherer ist wie proprietäre Systeme und einmal korrekt eingerichtet ist der personelle Aufwand der gleiche wie bei jeder anderen Firewall auch.

@to
Es gibt einige Hersteller, aber nahezu alle rühren in irgendeiner Weise in der Lizenzsuppe rum, egal ob Fortinet, Watchguard, Juniper, Sophos und wie sie alle heißen, du zahlst immer (für den Komfort der Einrichtung und den Namen)

Just my 2 Cent
@clSchak

...oder eine Firewall wo man seine Freiheiten wiedererlangt ohne am Lizenz Fliegenfänger zu kleben
Preiswerte, VPN fähige Firewall im Eigenbau oder als Fertiggerät

Moin ...
also dieses Konstrukt hast du selbst gebastelt, also nicht drüber aufregen!
Gewisse Gewährleistung bedeutet nicht das was du daraus machst ... natürlich haftet die nicht für einen Schaden der durch einen erfolgreichen
Angriff entstanden ist.

Die Gewährleistung bezieht sich aber auf die zugesicherten Eigenschaften der Hardware/Anwendung und deren Funktionalität.

Wenn dir Fa. XYZ zusichert das du damit eine Anzahl X-Clients über VPN verbinden kannst, dann müßen sie das auch gewährleisten.
In dem Fall setzt sich nicht erst eine Arbeitsgruppe zusammen um die Hardwareanforderungen in einem einwöchigen Workshop in idyllischer Umgebung zu diskutieren ( If you know what i mean)
Lizenzkosten können manchmal weniger eine Rolle spielen!

VG
Ashnod

Hallo,

Man kann sich ja auch einmal bei anderen Anbietern erkundigen was die an Lizenzen benutzen.

Auch etwas ungewöhnlich aber gut, macht eben jeder anders.

> Meine Frage ist, sind die Lizenzmodelle bei allen Herstellern gleich, das man für jede Funktion zahlen muss?
Sicherlich gibt es da Unterschiede, nur AV Signaturen muss man bei allen Anbietern bezahlen und die Malware und
Spam Signaturen wollen die anderen Anbieter sicherlich auch bezahlt bekommen. Und wer mehr als 25 VPN Benutzer
hat muss eventuell auch bei anderen Anbietern mal eine Zusatzlizenz dazu kaufen.

Sicherlich nicht nur Checkpoint sondern das machen andere auch so.

Wohl eher nicht. Eventuell kann man andere Anbieter etwas sparen und bekommt trotz alledem den selben Service
und die selbe Qualität anbieten. Nur bei dem einen oder anderen Anbieter muss man dann sicherlich auch wieder
hinsichtlich dieser Punkte Abstriche machen.

- ClamAV als AV Scann Lösung ist nicht vergleichbar mit Kaspersky, ESET und Sophos alleine von der Erkennungsrate
her, sicherlich ist ClamAV kostenlos nur das ist eben nicht alles!
- Squid, SquidGuard und SARG oder Ngix sind kostenlos, nur dann muss man auch ein paar Bücher mit einrechnen und
mit abstrichen leben bzw. sich den einen oder anderen Profi ins Haus holen und die wollen auch Geld für Ihre Arbeit haben.
- IDS/IPS, Snort ebenso wie Suricata, sind kostenlos einzusetzen, nur pro Sensor entstehen dann Kosten die um die 300 Euro
liegen und das für die Regeln. Und mehrere Sensoren und ein Server sollten dann auch vor Ort sein
- pfBlockerNG & DNSBL ist kostenlos einsetzbar nur das ist eben auch immer mit dem Aufwand der Listenpflege verbunden
denn jede Stunde dann die selben Listen zur Verfügung haben wie die, die man für Lizenzgebühren jede Stunde geupdated hat
bzw. haben will, ist ein auf jeden Fall größerer Aufwand zu unternehmen und bei vielen Listen ist man dann auch mit ~16 GB
RAM in der Firewall dabei!
- OPNSense, pfSense, IPFire und ZeroShell wollen auch alle eine kleine Zuwendung in Form von Spenden haben denn ansonsten
gibt es diese OpenSource Alternativen bald eventuell nicht mehr. pfSense ist da wohl auch schon am herum machen mit solchen
Ideen, genaues weiß man aber noch nicht, nur zwei Millionen vorwiegend bzw. überwiegend betrieblich genutzte Installationen und
nicht einmal jeder von denen meint 5 Euro spenden zu müssen und fast alle benutzen auch Snort oder Suricata kostenlos obwohl das
eigentlich nur und ausschließlich den Heim und Privatanwendern erlaubt worden ist (Regeln), da würde ich mir auch etwas überlegen
wollen. Denn OpenSource kann sicherlich kostenlos benutzt werden nur es kostet trotz alledem die Zeit der Entwickler und es entstehen
auch Entwicklungskosten die man wenigstens wieder rein holen möchte.
- Captive Portal mit Voucher System hat bis dato auch nur pfSense mit an "Board" zumindest das was man auch richtig benutzen kann.
Selber eines zusammenbauen ist da dann schon schwieriger und meist auch nicht von Erfolg gekrönt. Und bei den meisten echten
WLAN Controllern erhält man auch noch einen Radius Server und zusätzlich dazu, klar kosten die auch wieder Lizenzen je nach
Benutzeranzahl, nur die funktionieren alle "out of the box".
- FreeRadius 3.0 ist schon länger auf dem Markt nur bei den meisten Firewalls wie pfSense, OPNSense oder anderen wartet man
eben auch schon genauso lange auf ein neues Paket damit, und solange müssen dann eben alle FreeRadius 2.0 weiterbenutzen!

Alternativ kann man sicherlich auch etwas bei der Hardware sparen bzw. für weniger Geld genau die richtige Hardware zu
seinem Anliegen und Bedürfnissen erwerben, nur das kostet in der Regel auch nicht wenig und oftmals auch mehr Geld!
Allerdings sind Sophos UTM, Untangle UTM und Endian dann auch schnell installiert und man hat auch dort wieder
Lizenzen zu zahlen was auch nicht gerade billiger ist, man spart ergo nur an oder bei der Hardware.
ClearOS ist diesen Weg schon vor längerer Zeit gegangen und macht sich als Gateway auch nicht schlecht nur die Plugins
und Lizenzen sind auch hire ein Bestandteil der dem Projekt das Überlegen sichert bzw. dem Kunden die Verfügbarkeit!

Sicherlich der eine hat die eine Einstellung und der andere hart eine andere Einstellung zu solchen Angelegenheiten, nur
für wen oder was und vor allem Anderen bei wem zahlt man dann lieber weiter dafür ist doch hier eher die Frage.

Es gibt sicherlich die eine oder andere Möglichkeit und sicherlich auch nicht nur in eine Richtung nur das will sicherlich
ebenso gut überlegt sein mit wem man wann wohin geht und vor allem wie weit man den Weg zusammen gehen kann!

Gruß
Dobby

@ashnod
OT
dann hast mich nicht richtig verstanden, wenn z.B. Fortinet eine Sicherheitslücke in Ihrem Management Interface haben, sagen wir mal ein festgelegten und nicht änderbaren "Wartungszugang" und darüber bricht einer in dein Netz ein, der Hersteller gibt dir einen Schei** was Gewährleistung betrifft (Funktion Sicherheit: failed und kann durch den Kunden selbst nicht behoben werden) - liefert dir im Nachgang vielleicht ein Patch aber das war es auch - zumindest habe ich bisher noch nie irgendwo gelesen, dass ein Hersteller aufgrund von 0Day verklagt wurde....

Eine korrekt eingestellte pfsense oder andere OS Lösung bietet den gleichen, wenn nicht sogar besseren Schutz wie eine "Markenfirewall", Eine weitere Problematik, zumindest bei Firmen die an der Börse sind und durch Wirtschaftsprüfer geprüft werden: "OS? selbst eingerichtet? - das sehen wir als kritisch an" . Und es gibt mittlerweile auch Hersteller die dir pfSence auf x86 Hardware liefern inkl. "GWL" gegen Geld versteht sich.

Auf "Blech" GWL zu liefern ist easy, das meiste ist HotPlugged und kann im Betrieb getauscht werden ohne das Beeinträchtigungen zu spüren sind
/OT

Moin ...
nichts anderes habe ich behauptet ...
Ich habe auch nichts gegen pfSense ... verwende die für meinen privaten Bereich auch, deshalb sind Bekehrungen in die Richung nicht zwingend nötig

Ich verstehe aber auch, das ein Betrieb bevorzugt, für ggf. vermeintliche Sicherheit, viel Geld in eine etablierte Komplettlösung steckt.

Die Vor- und Nachteile hat @108012 ja recht ausführlich ausgeführt.

VG
Ashnod