1 votes

Sur quel pare-feu ma configuration réseau doit-elle être basée?

Je travaille sur un plan visant à remplacer un certain nombre de routeurs/pare-feu dans les réseaux de notre entreprise et de nos clients. Nous avons 2 bureaux et un certain nombre de serveurs hébergés dans un datacentre qui ont des liens VPN IPSec vers environ 100 sites clients. Dans le bureau principal, nous avons besoin d'un LAN et de 2 DMZ et dans le datacentre de 3 LAN et une DMZ.

La plupart des sites clients ont des pare-feu Gnatbox ou Zywall mais les nouveaux sites pourraient être équipés d'une version bas de gamme du même pare-feu que celui du bureau principal/datacentre.

J'avais prévu d'utiliser un Zywall USG 200 pour le bureau principal mais cela s'est révélé inadéquat lors des tests. Lorsqu'il est entièrement configuré, il met plus de 30 minutes à démarrer!

J'ai une liste restreinte de

Cisco ASA 5510
Watchguard XTM 520
Sonicwall NSA 3500
Juniper SRX240

Quelqu'un pourrait-il recommander du matériel ou des configurations?

2voto

isherwood Points 107

Notre entreprise utilise actuellement un Sonicwall NSA 4500. Nous avons changé pour cela d'un Watchguard X1000. (un précurseur du modèle XTM que vous avez choisi) Pour être parfaitement honnête, je ne suis pas content du changement. (et c'était ma décision - oups) Le Sonicwall a une meilleure interface (web). Il peut afficher des graphiques et des camemberts élaborés, et se met à jour facilement dans le navigateur. L'interface Watchguard était définitivement plus lourde et était un client lourd, mais je trouve que je préfère cela.

Le Watchguard était également un peu plus explicite dans ce qu'il faisait et pourquoi. Cela rendait beaucoup plus facile de déterminer pourquoi des paquets étaient rejetés. Cela dit, cela peut être un sabre à double tranchant, car cela pourrait facilement être plus difficile à analyser pour des administrateurs moins techniques? J'ai eu plusieurs problèmes avec le Sonicwall qui rejetait silencieusement des connexions, et ne le notait qu'en faisant une capture de paquets à travers l'appareil. Le support Sonicwall était alors toujours incapable de vraiment déterminer ce qui se passait, malgré les codes de rejet de l'appareil. (Donc, si quelqu'un sait pourquoi mon Sonicwall arrête aléatoirement la réplication NetApp Snapmirror, s'il vous plaît faites-le moi savoir!)

À l'époque où nous utilisions Watchguard, (~ il y a environ deux ans) leur support était atroce. Il était externalisé en Inde, et il fallait franchir une barrière de langue à chaque appel. Généralement, la personne prenant les informations initiales du ticket ne captait pas les subtilités du problème. Le commercial a prétendu que cela était en train de changer, mais nous n'avons pas attendu pour le vérifier. Le personnel de support de Sonicwall est entièrement anglophone. Cependant, comme mentionné précédemment, ils ne semblent pas pouvoir aider avec certains des problèmes plus difficiles que j'ai évoqués. Les temps d'attente avec les deux entreprises ont été assez pénibles.

Je ne peux pas parler de mon expérience avec l'équipement Juniper ou Cisco dans ce rôle. Mais les deux entreprises sont très solides, tout comme un bon nombre de leurs clients. À la fois WatchGuard et Sonicwall visent le marché des petites et moyennes entreprises. Cela peut donc être utile à prendre en considération, en fonction de la taille de votre entreprise.

--Christopher Karel

1voto

jjnguy Points 62123

J'ai travaillé avec des ASAs et des SRXes. Il y a une courbe d'apprentissage raisonnable sur ces deux appareils (une plus élevée sur l'ASA que sur le SRX cependant), et le SRX est beaucoup plus facile à gérer, à mon avis. Les deux sont assez fiables, bien que le SRX ait eu des problèmes récemment si vous avez activé ses fonctionnalités plus sophistiquées (filtrage d'URL et antivirus sont ceux qui m'ont causé des soucis). Cependant, les problèmes semblent résolus dans le dernier firmware. Je n'ai jamais eu affaire au support Cisco, mais j'ai généralement trouvé que JTAC était assez bon (bien qu'il soit utile de détailler tout ce que vous savez sur un problème avec eux, car ils peuvent parfois manquer des détails importants sinon).

1voto

Radio Dask Points 29

J'ai commandé un Juniper SRX210 car celui-ci fera probablement l'affaire pour notre siège social et notre centre de données. Si tout se passe bien, j'espère en obtenir quelques autres pour faire du clustering. Le SRX100 conviendra aux clients et à notre second bureau.

Merci à ceux qui ont soumis des réponses.

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X