Günstiges Hardwarefirewall

[=DarkEagle=]

Moin,
Ich bin auf der Suche nach einer günstigen Hardwarefirewall mit IPS.
Das Gerät kommt nur in einer kleinen Firma mit einem 16 MegaBit-Anschluss zum Einsatz
VPN ist unnötig. Eine FritzBox dient bislang als Router.
Eigentlich soll das Gerät den traffic auf Angriffsmuster untersuchen und dann ggf einschreiten.
VPN, demilitarisierte Zone, WAN, etc. ist nicht nötig.
Jmd. ne Idee hier, ob es etwas unter 500€ gibt, was zu gebrauchen ist?

 

[Chimel]

Cisco ASA5505 ?

 

[blablub1212]

wenn du es nicht sofort brauchst, dann empfehl ich nen raspberry pi + usb lan-karte + ipcop:

http://www.ipcop.org
http://www.raspberrypi.org

bist dann bei unter 100€. altenativ irgendeinen anderen billig rechner und ebenfalls ipcop.

 

[xDream]

Ich hab hier noch ne originalverpackte, versiegelte Sonicwall TZ-100 Wireless-N mit Total Security Package stehen (also alles was geht dabei). Bei Interesse kann ich dir die hier im Marktplatz reinstellen.

Ansonsten solltest du vor allem spezifizieren was die FW können soll und nicht was du alles nicht brauchst. VPN z.B. kann heut eigentlich jedes Gateway, DMZs auch, etc. pp..

 

[=DarkEagle=]

ipcop hat natürlich snort mit an Board. Als IDS super, aber das IPS ist nicht ganz so umfangreich, da wohl gewisse Patches nicht nachgeliefert werden. Ist natürlich ganz nett, dass ClamAV den Traffic auch analysieren kann Auf jeden Fall ein sehr guter Vorschlag, den ich vllt mal privat verwenden werde

Habe eben mal nach dem Cisco ASA5505 geschaut. Sieht soweit sehr gut aus und laut Cisco Website hat es auch IPS. Ich muss mal genaueres über das Teil in Erfahrung bringen. Englische Testberichte gibt es wohl 82^^

Auf jeden Fall 2 sehr schöne Sachen

EDIT//
Die Sonicwall TZ-100 Wireless-N als UTM ist natürlich das Nonplusultra.
Filtert alles und prüft auch auf Viren, etc.
Allerdings wäre das wohl zu Overkill
bzw. sehe ich mich eher nicht in der Lage
das Teil vernünftig zu konfigurieren.
Ich hatte einmal eine UTM-Gateway-Software in ner VM laufen
und der Funktionsumfang hat mich so erschlagen,
dass teilweise zuviel Programme, etc. geblockt wurden.

Was ich suche wäre, dass typische Sachen wie die IRC Kommunikation von Botnetzwerken
geblockt werden oder auch die Möglichkeit spezielle IP-Netz aussperren zu können zu haben.

Wenn ich etwas mit nem Antivirenmodul, etc. kaufe, läuft es auf eine Lizenzn hinaus,
die jährlich erneuert werden muss.

Ich kann es leider nicht genauer definieren, was ich brauche ohne IPS/IDS/DPI durcheinander zu würfeln. nen Arbeitskollege von mir ist CCNP. Der kann mir hoffentlich bisschen was zur Cisco ASA5505 erzählen. Evtl gibt es son Gerät auch im Paket Tracer von Cisco. ich schaue mal

 

[Merle]

ASAs findest du nicht im Packettracer. Die sind auch sehr Komplex und werden vermutlich erweiterte CLI Kenntnisse erfordern... Auch nicht aus dem Bereich des CCNP (ich spreche aus Erfahrung), sondern wesentlich mehr.

 

[=DarkEagle=]

Meine CLI-Kentnisse sind doch eher beschränkt bei Cisco. Ich kann nen Router mit den grundlegenden Dingen konfigurieren. Das wars.
Ich hätte sonst gedacht, dass ich den 5500er per SDM einrichten könnte.
Bei einem 2800er konnte ich entsprechend auf das IDS zugreifen.

Ich versuche mal testweise eine 5500er aufzutreiben und schaue mir das Spektakel an.

 

[Electrix]

Also ich finde IPCOP super.
Das auf einem mini ITX System installiert, und man hat einen First Class Router / Firewall / Proxy mit sehr vielen Funktionen.

Linux Kenntnisse sind kaum notwendig, kann man alles über Web Interface einstellen.

An richtigen Standalone Geräten ready out of the box für den kleinen Geldbeutel fällt mir z.B. der CISCO PIX-501 ein. Gebraucht um die 100 Euro.
Oder ZyWall für ab ca 150 neu.

 

[ALiEn06]

Astaro in einer VM oder auf einem Intel Atom-Board installieren - für den Privatgebrauch kostenlos. Das Webinderface sollte auch selbsterklärend sein

 

[Hammelkopp]

Die Asa konfigurierst du am besten über den ASDM. Der ist ziemlich gut. Kannst ja mal nen bisschen mit gns3 rum spielen und schauen ob die asa für dich in frage komt.

 

[Merle]

Mit gns3 und entsprechender Ciscosoftware sollte das vollwertig gehen...