home firewall

[spaad]

Pozdrav
Treba mi savet u vezi kupovine home firewall uređaja. Cena je bitna kao i uvek, ali i da radi posao, i naravno da se može kupiti kod nas. U pitanju je kućna mreža, Optika sa ulaznim uređajem calix gigacenter 844e. On trenutno radi sve. Trebalo bi da se podigne server za neko testiranje. Statička IP adresa. Interesuje me da li u koliko se stavi firewall uređaj posle HG-a na kablu do servera sve ostalo(wifi, ostatak kabl mreže) nema nedozvoljenog pristupa serveru spolja? Po logici bi trebalo da nema, valjda? Ili, da li postoji ruter sa hardverskim firewall-om, pa da se stavi posle calix-a i da on sve radi? Latencija nije toliko bitna.
Hvala

 

[alex303]

Ne postoji tako nešto kao što je "hardverski firewall". Sve su to x86 ili ARM uređaji koji teraju neku verziju proprietary ili open source operativnog sistema koji igra ulogu firewall-a. Jedino što možeš naći kod nas, a da nudi pristojne mogućnosti, su MikroTik i Ubiquiti. Zaboravi na Fortinet, Palo Alto i Cisco.

MikroTik - Po običaju slabašan hardware koji ima jako mnogo mogućnosti ali je prekomplikovan ako nemaš vremena.
Ubiquiti - Siromašan mogućnostima sa nešto većom cenom ali relativno lak za korišćenje.

Statička IP adresa. Interesuje me da li u koliko se stavi firewall uređaj posle HG-a na kablu do servera sve ostalo(wifi, ostatak kabl mreže) nema nedozvoljenog pristupa serveru spolja?

Da, ako je sve iskonfigurisano kako treba i ako sve kontroliše firewall. Ako imaš server koji je kritičan, njega svakako treba staviti na odvojeni subnet/vlan. Na taj način niko ne može dobiti pristup serveru (slučajno ili namerno) ukoliko to nije striktno omogućeno firewall polisom.

Po logici bi trebalo da nema, valjda?

Ljudi vole da trpaju sve na jedan subnet jer "tako mi je lakše". Ima dosta ljudi koji imaju firewall, ali ipak sve drže na istom subnetu. Tako da je odgovor na tvoje pitanje vrlo šaren.

Ili, da li postoji ruter sa hardverskim firewall-om, pa da se stavi posle calix-a i da on sve radi? Latencija nije toliko bitna.
Hvala

Većinu tih firwall rešenja možeš bez problema staviti iza svog uređaja. pfSense i OPNSense firewall rešenja imaju mogućnost da rade kao transparent bridge firewall/router i na taj način izbegavaš dupli NAT. Ali, pošto si rekao da ćeš zakupiti statičku IP adresu, onda provajderov uređaj možeš prebaciti u bridge režim, a firewall iskonfigurisati tako da bude primarni router.

Na žalost, kod nas je ponuda gotovih rešenja siromašna. Uređaji su ili prekomplikovani ili preskupi. Pošto nisi naveo budžet, predpostavljam da nebi bio problem da kod nas nabaviš recimo Ubiquiti Edge Router ER-X-SFP koji se kod nas može naći za 15000 din, ili nešto noviji Ubiquiti Cloud Gateway Ultra koji se kod nas može naći za 18000 din. Sa ovim uređajima ćeš moći da odradiš barem segmentaciju mreže, ali nemoj očekivati čuda za taj novac. Ukoliko su ti ipak mogućnosti primarna stvar, za 15000 din imaš MikroTik L009UiGS-RM. Ali se sa njim spremi da zagreješ stolicu. Ako je sve ovo preskupo, možeš razmotiriti i neki jeftini plastikander tipa TP-Link C50 v5 na koji ćeš instalirati OpenWRT firmware.