Misha Volodko <a href="http://techoover.blogspot.com/2008/01/blog-post.html">подготовил документ/a> с описанием методики разделения одного физического Cisco PIX/ASA firewall на несколько виртуальных.URL: http://techoover.blogspot.com/2008/01/blog-post.html
Новость: http://www.opennet.ru/opennews/art.shtml?num=13804
а нафига оно? - пиксы даже по мнению сиськи уже устарели.
>а нафига оно? - пиксы даже по мнению сиськи уже устарели.Это применимо к PIX/ASA appliance, не уверен насчет FWSM.
>> а нафига оно? - пиксы даже по мнению сиськи уже устарели.при чем здесь то, что пиксы устарели? Что бы узнать нафига, нужно почитать хотя бы subj.
> Это применимо к PIX/ASA appliance, не уверен насчет FWSM.
И для FWSM.
Так она в ентом режиме не поддерживает VPN так что не полноценная виртуализация получается однако
Ссылку не читал, но подозреваю, что это секьюрити-контексты. Офигительно нужная вещь)) Если сдавать пиксы в аренду с повременной оплатой их услуг. :)
>Ссылку не читал, но подозреваю, что это секьюрити-контексты. Офигительно нужная вещь)) Если
>сдавать пиксы в аренду с повременной оплатой их услуг. :)штука удобная, особенно если одну железку пользует много организаций.
но реализация говеная, vpn, дин. маршр., qos, и что-то еще не работает как класс.
так что не все так хорошо.
>>Ссылку не читал, но подозреваю, что это секьюрити-контексты. Офигительно нужная вещь)) Если
>>сдавать пиксы в аренду с повременной оплатой их услуг. :)
>
>штука удобная, особенно если одну железку пользует много организаций.
>но реализация говеная, vpn, дин. маршр., qos, и что-то еще не работает
>как класс.
>так что не все так хорошо.Кстати, что интересно у checkpoint'a при использовании vsx (контексты по сути его аналог) vpn и динамика работает прекрасно.
А вы у себя действительно используете эти возможности? Мне всегда казалось, что у нас найти хостера, который фаерволит сервисы пиксами/асами днем с огнем не найти =))
не обязательно раздавать их в качестве решения для хостинга. Можно использовать и для своих нужд, вместо 10 железок стоит всего одна, экономия налицо.
с лицензированием туго, если еще и av, web анализ делать надо, надо лишнюю денежку за эту лицензию платить, у того же Fortigate даже в самой младшей модели 10 виртуальных доменов в комплекте.
Еще проблема в том что эти все виртуальные контексты нельзя связать нативно с MPLS/VRF, приходиться сводить все vrf в один и его вытаскивать на таком файрволе вручную.
>с лицензированием туго, если еще и av, web анализ делать надо, надо
>лишнюю денежку за эту лицензию платить, у того же Fortigate даже
>в самой младшей модели 10 виртуальных доменов в комплекте.
>Еще проблема в том что эти все виртуальные контексты нельзя связать нативно
>с MPLS/VRF, приходиться сводить все vrf в один и его вытаскивать
>на таком файрволе вручную.Заитересовал Fortigate, однако на сайте ничего кроме маркетинговых материалов не нашел, не поделитесь ли информацией? В частности интересует:
1. На какой он платформе? Линух?
2. Какой движок используется для антивирусной проверки?
Вроде достаточно подробно: http://www.fortinet.com/products/
Платформа может когда-то и был линух но сказать сейчас трудно. Хороший веб интерфейс и консоль, цена на антивирус и веб фильтеринг ниже чем у Ц. Чей движок антивируса честно говоря не знаю. Весьма добротный продукт есть свои плюсы свои минусы.
>Вроде достаточно подробно: http://www.fortinet.com/products/
>Платформа может когда-то и был линух но сказать сейчас трудно. Хороший веб
>интерфейс и консоль, цена на антивирус и веб фильтеринг ниже чем
>у Ц. Чей движок антивируса честно говоря не знаю. Весьма добротный
>продукт есть свои плюсы свои минусы.Нашел на сайте форму для скачивания Solution Brief, уже что-то...
1. Ядро таки линуховое. Сами они это скрывают, но товарищи с gpl-violations.org раскопали -
http://gpl-violations.org/news/20050414-fortinet-injunction....
2. Антивирусный движок похоже свой - www.fortiguardcenter.comИнтересная штуковина, как оно в продакшене? Если не сложно, расскажите в каких условиях оно у вас работает?
2 Fg 500A, раздается клиентам в виде услуги вируальный firewall с защитой от вирусов, с резервированием друг друга. На каждое подключение создается mpls/vrf который затем таргетится в общий vrf роуты которого по bgp отдаются на fortigate там NATом выходят наружу. С точки зрения провижининга конфигурация проста, само устройство также просто в обслуживании и эксплуатации, небольшие минусы в виде непересекающешося адресного пространства и слабоватого qos, плюс по мелочам. Во время вирусных эпидемий реально выручал. Для анализа и репортов еще используем fortianalyzer. В плане изоляции доменов друг от друга, то можно делать практически все независимо от других доменов, т.е. давать услуги virtual managed firewall. Можно потыркать живое демо отдельного виртуального домена www.fortigate.com, юзер demo, пароль fortigate
>[оверквотинг удален]
>от вирусов, с резервированием друг друга. На каждое подключение создается
>mpls/vrf который затем таргетится в общий vrf роуты которого по bgp
>отдаются на fortigate там NATом выходят наружу. С точки зрения провижининга
>конфигурация проста, само устройство также просто в обслуживании и эксплуатации, небольшие
>минусы в виде непересекающешося адресного пространства и слабоватого qos, плюс по
>мелочам. Во время вирусных эпидемий реально выручал. Для анализа и репортов
>еще используем fortianalyzer. В плане изоляции доменов друг от друга, то
>можно делать практически все независимо от других доменов, т.е. давать услуги
>virtual managed firewall. Можно потыркать живое демо отдельного виртуального домена www.fortigate.com,
>юзер demo, пароль fortigateЗа ссылку на демку отдельное спасибо. Крайне интересная штуковина, да и монопольное положение циски начинает напрягать.
>1. Ядро таки линуховое. Сами они это скрывают, но товарищи с gpl-violations.org
>раскопали -
>http://gpl-violations.org/news/20050414-fortinet-injunction....В новых ASA на базе >PIXOS 8.0 ядро тоже Linux-овое.
у пиксов и так с пропускной способностью туго, производительность в результате кто-нибудь мерял?
>у пиксов и так с пропускной способностью туго, производительность в результате кто-нибудь
>мерял?В каком месте вам не хватает пропускной способности?
FYI: http://www.cisco.com/en/US/products/ps6120/prod_models_compa...
автор забыл указать, что в режиме мульти контекстности не доступны еще и косы.