फ़ायरवॉल - बनाएं या खरीदें

Question

मेरे पास लगभग 5 वेब सर्वर के साथ एक लिनक्स वेब सर्वर फार्म है, वेब यातायात लगभग 20 एमबीपीएस है।

वर्तमान में हमारे पास बारैकुडा 340 लोड बैलेंसर है (इस डिवाइस से दूर रखें - बकवास का टुकड़ा!) जो फ़ायरवॉल के रूप में कार्य कर रहा है। मैं एक समर्पित फ़ायरवॉल डालना चाहता हूं और मैं जानना चाहता हूं कि समर्पित फ़ायरवॉल खरीदने के विरुद्ध इमारत पर लोग क्या राय रखते हैं।

मुख्य आवश्यकताओं:

• गतिशील रूप से उबटन यातायात
• गतिशील रूप दर सीमा यातायात
• ब्लॉक आईपी का एक सेट
• उच्च उपलब्धता के लिए 80 को छोड़कर सभी बंदरगाहों, 443
• सीमा पोर्ट 22 ब्लॉक सेटअप

अगर हम जाते हैं निर्माण मार्ग के लिए, हम कैसे जानते हैं कि सिस्टम किस स्तर पर यातायात को संभाल सकता है।

Answer 1

वे कहते हैं के रूप में - "एक से अधिक तरीके एक बिल्ली त्वचा को देखते हैं":

यह अपने आप का निर्माण, लिनक्स या की तरह कुछ * बीएसडी चल रहा है। इसका लाभ यह है कि यह आपके प्रश्न के गतिशील भाग को आसान बनाता है, यह केवल कुछ अच्छी तरह से रखे गए खोल/पायथन/पर्ल/जो भी स्क्रिप्ट्स का मामला है। दोष यह है कि आपकी छत यातायात दर एक उद्देश्य-निर्मित फ़ायरवॉल डिवाइस पर नहीं हो सकती है, हालांकि आपको अभी भी 300 एमबी/सेकंड रेंज में डेटा दर प्राप्त करने में सक्षम होना चाहिए। (आप इस बिंदु पर पीसीआई बस सीमाओं को मारना शुरू करते हैं) यह काफी अधिक हो सकता है कि यह आपके लिए कोई समस्या नहीं होगी।

एक समर्पित "फ़ायरवॉल डिवाइस" खरीदें - ऐसा करने की संभावित कमीएं यह है कि आप जो कुछ करने की कोशिश कर रहे हैं उसके "गतिशील" भाग को कुछ और मुश्किल है - डिवाइस के आधार पर, यह आसान हो सकता है (नेट :: टेलनेट/नेट :: एसएसएच दिमाग में आता है), या नहीं। यदि आप चरम यातायात दरों के बारे में चिंतित हैं, तो आपको निर्माता के विनिर्देशों की सावधानी से जांच करनी होगी - इनमें से कई डिवाइस "नियमित" पीसी के समान ट्रैफिक सीमाओं से ग्रस्त हैं, जिसमें वे अभी भी पीसीआई बस बैंडविड्थ मुद्दे आदि में भाग लेते हैं। उस बिंदु पर, आप अपना खुद का रोल भी कर सकते हैं।

मुझे लगता है कि यदि आप चाहें तो आप इसे "प्रो और कॉन्स" के रूप में पढ़ सकते हैं।

एफडब्ल्यूआईडब्ल्यू, हम अपने रोजगार के स्थान पर दोहरी फ्रीबीएसडी फ़ायरवॉल चलाते हैं, और नियमित रूप से 40 + एमबीटी/सेक को बिना किसी ध्यान देने योग्य लोड/मुद्दों के साथ धक्का देते हैं।

Answer 2

इस क्षेत्र के बारे में बहुत कुछ नहीं पता, लेकिन शायद Astaro security gateway?

Answer 3

पिछले 8 वर्षों में हमने लगभग 20 से 30 मशीनों के साथ एक छोटा सा विकास नेटवर्क बनाए रखा। हमारे पास फ़ायरवॉल होने के लिए समर्पित एक कंप्यूटर था।

दरअसल, हम गंभीर समस्याओं में कभी भी भाग नहीं लेते हैं, अब हम इसे समर्पित राउटर/फ़ायरवॉल समाधान के साथ बदल रहे हैं (हालांकि हमने अभी तक फैसला नहीं किया है)। इसके लिए कारण हैं: सादगी (लक्ष्य फ़ायरवॉल है, इसे चलाने के लिए लिनक्स को बनाए रखने के लिए नहीं), कम जगह और कम बिजली की खपत।

Answer 4

उच्च उपलब्धता से संबंधित: ओपनबीएसडी को फ़ायरवॉल के लिए एक फेलओवर/एचए तरीके से कॉन्फ़िगर किया जा सकता है। this description देखें। मैंने सुना है कि उन्होंने डेमो किया है जहां उच्च सेटअप सिस्को गियर के रूप में ऐसे सेटअप किए गए हैं (यदि बेहतर नहीं हैं)।

Answer 5

निश्चित रूप से निर्माण करें। मैं एक आईएसपी का प्रबंधन करने में मदद करता हूं और हमारे पास दो फ़ायरवॉल बनाए गए हैं। एक असफल होने और अनावश्यकता के लिए है। हम pfsense नामक प्रोग्राम का उपयोग करते हैं। मैं इस कार्यक्रम की अधिक सिफारिश नहीं कर सका। इसे कॉन्फ़िगर करने के लिए इसमें एक शानदार वेब इंटरफ़ेस है और हम वास्तव में इसे कॉम्पैक्ट फ्लैश कार्ड से चलाते हैं।

Answer 6

हाय मैं इस परिदृश्य में एक समर्पित फ़ायरवॉल उत्पाद के लिए जाऊंगा। मैंने कई वर्षों तक उत्पादों की चेकपॉइंट फ़ायरवॉल रेंज का उपयोग किया है और मैंने हमेशा उन्हें सेटअप और प्रबंधित करने में आसान पाया है और उनके पास बहुत अच्छा समर्थन है। चेकपॉइंट या उनके प्रतिस्पर्धियों में से एक का उपयोग करना काफी महंगा विकल्प है, खासकर यदि आप इसे ओपन सोर्स सॉफ्टवेयर से तुलना कर रहे हैं, तो यह आपके बजट पर निर्भर करता है।

मैंने सिस्को की पिक्स और एएसए फ़ायरवॉल की लाइन भी उपयोग की है। ये भी अच्छे हैं, लेकिन मेरी राय में

Answer 7

को मेरे वर्तमान स्टार्टअप में प्रबंधित करना अधिक कठिन होता है, हमने एकाधिक राउटर/फ़ायरवॉल को प्रतिस्थापित करने के लिए पीएफएसेंस का उपयोग किया है, और इसमें थ्रूपूट है जो अधिक महंगा राउटर को प्रतिस्थापित करता है।

शायद यही कारण है कि सिस्को को परेशानी हो रही है? :)