为什么购买高端硬件防火墙?

瞻博networking和思科存在的防火墙比房屋成本高。

所以我想知道:从10 000美元以上的防火墙,到2U服务器,运行4个10Gbit的网卡(例如OpenBSD / FreeBSD / Linux),我们得到了什么?

硬件防火墙可能有一个Web界面。

但是,还有什么人得到$ 10,000或$ 100,000防火墙?

    这只是一个规模问题。 数千美元的防火墙具有可扩展和全球pipe理的特性和容量。 许多人不使用它们的function在他们(我们)能够欣赏他们的个人优点之前要进行相当多的研究。

    您典型的家庭路由器并不需要能够处理办公室设备或多个ISP连接,所以它更便宜。 无论是在接口的数量/types,还是硬件容量(RAM等)方面。 办公室防火墙也可能需要一些QoS,您可能希望它能够build立到远程办公室的VPN连接。 对于那个小型办公室来说,你还需要稍微好一点的日志logging。

    不断扩展,直到您需要处理每个站点数百或数千个用户/设备,连接到公司全球数十个/数百个其他防火墙,并在一个位置使用一个小团队进行pipe理。

    (我忘了提到IOS更新,支持合同,硬件保证 – 而且可能还有几十个其他我不知道的事情……但是你明白了)

    通常情况下,随着硬件防火墙,你会得到一个经常性的年度维护费用和未来的date的承诺,当“硬件支持”将不再可用,你将不得不叉车装备和更换(思科PIX到ASA过渡)。 你也被困在与单一供应商的关系中。 例如,尝试从其他Cisco系统获取Cisco PIX 515E的软件更新。

    你也许可以说我对专门构build的防火墙硬件相当负面。

    免费和开源(FOSS)操作系统为一些着名的“硬件”防火墙设备供电,并不是任何延伸的未经证实的技术。 您可以从许多不同的方面购买FOSS的软件支持协议。 您可以使用您select的任何备件/服务协议购买任何硬件。

    如果你真的在推动很多的话,也许,一个特制的硬件防火墙设备将是必要的。 然而,FOSS可以在很多情况下为您提供支持,并为您提供巨大的灵活性,性能和总体拥有成本。

    你已经有一些很好的答案已经谈论技术的东西和支持。 所有重要的事情。

    让我来介绍另外一个需要考虑的事情:你在内部创build,configuration和支持一个“自己的”硬件防火墙的时间是你的雇主的投资。 像所有的事情一样,企业必须决定投资是否值得。

    你/你的经理需要考虑的是你的时间花在哪里。 如果你是一个专业的networking安全人员和/或你的雇主有专门的防火墙要求,而不是在一个现成的产品中设置,那么是否“滚动你自己”是值得的问题可能会完全改变。除了networking安全以外,还有很多职责需要考虑,通过插入networking设备很容易满足其需求。

    不仅仅是在这个特定的情况下,总的来说,我已经有几次购买了“现成的”解决scheme,或者在一些咨询公司雇佣了一些我可以自己做的事情,因为我的雇主宁愿我的时间被花费别处。 这可能是一个相当常见的情况,特别是如果你面临最后期限,节省时间比节省金钱更重要。

    而且不要打折“责怪别人”的能力 – 当你在早上3点追踪到防火墙中的一个漏洞时,能够与供应商说话并说“我不知道” 不pipe它的软件还是硬件,它都是你的问题“。

    您的自制防火墙如何处理在线硬件维护?

    当达到40 + Gbps的吞吐量时,你的自制防火墙将如何维持?

    您的自制防火墙分段对于不同业务部门的pipe理员来说将如何授予权限,以便他们只能pipe理自己的规则库部分?

    如果你有15000多条规则,你将如何pipe理你的规则库?

    当你走进沟里的时候谁支持你?

    它将如何承担一个共同的标准审计。

    顺便说一下,对于防火墙来说,10万美元并不是靠近“高端”的任何地方。 另一个零会让你在那里。 对于他们所保护的资源而言,这确实是一笔不小的开支

    显然,对这个问题没有一个通用的答案,所以我会描述我所做的和为什么。

    设置图片:我们是一个相当小的企业,大约有25名办公室员工,生产车间的人数可能相同。 我们的主要业务是作为专业打印机,曾经享有垄断地位,但现在正遭受越来越多来自中国廉价import品的反对。 这意味着,虽然我们会喜欢劳斯莱斯的服务和硬件,但我们通常还需要解决更多的问题。

    在我们的情况下,像思科或类似的东西的成本是不合理的,特别是因为我没有经验(我是一个单独的IT部门)。 而且,昂贵的商业单位对我们并没有真正的好处。

    看了看公司的产品和需求之后,我select使用旧电脑并安装了Smoothwall Express,部分原因是因为我已经使用了该产品多年,并且已经对此感到自信和舒适。 这当然意味着防火墙没有外部的支持,但是这是一个风险,但是这是一个风险。 我只是将其作为一个防火墙进行添加Smoothwall就像我见过的那样好,但对于一个更大的组织来说,它不一定是最好的select。

    该解决scheme适用于我们。 它可能会或可能不会为你工作。 只有你可以做出这个决定。

    如果您拥有一个具有95%数据包丢失率的XXXisco品牌防火墙,则可以起诉某人; 如果你的盒子上有相同的掉落率(这也不是罕见的,那么在一个很好的旧的简单的ICMP洪水下),那么你即将下船看看你的工资即将被放入新的防火墙。

    在一定程度上存在“它只是有效”的论点。 不用担心硬件怪癖,也不用担心软件问题。

    我在热备份configuration中使用一对PIX,并且从未失败过。 插入,input必要的规则,并把它留给它。 pipe理一个自己的方框所涉及的很多麻烦和努力都被完全覆盖了。 我们确实有一些OpenBSD盒子,它们使用pf进行一些过滤,并且我花费了10倍的时间,像PIX那样维护盒子和防火墙。 我们也偶然发现,我们在OpenBSD上遇到了严重的限制。

    还值得指出的是,PIX比iptables更重要。 PIX还包括入侵检测系统(IDS)中常见的一些元素以及其他位。 防火墙硬件通常也更专门用于高速处理数据包的目的,而不是沼气标准服务器的更普遍的性质。

    也就是说,还有其他厂商与思科同样值得,而且您可以自己重新创build。 你只需要衡量你的时间和任何可能的麻烦是否值得。

    对于防火墙,我宁愿知道我有一个坚实可靠的设备的理智。

    可以说,其中一部分归结为关于“自己动手”与使用设备的争论

    所有设备最终失败。 如果你build立了系统并且失败了,那就是你的问题。 如果你从供应商处购买一个系统,并且失败了,那就是他们的问题

    有了良好的支持,你已经训练有素的人准备好支持你。 思科,瞻博networking,NetApp等公司都是成功的,因为他们提供优质的产品和高质量的支持。 当他们失败(有时他们这样做),他们的生意受到了损害。

    高端设备可以得到一个良好的支持合同。 如果防火墙在除夕之后星期六的凌晨3点崩溃,我可以在5分钟内通过电话联系供应商技术人员。 技术人员可以在2小时内到现场为我换出失败的组件。 如果路由器支持大型企业,在这种情况下停机可能导致高昂的损失,那么获得高端路由器可能是值得的。 当它支持2000万美元或2亿美元的业务时,10万美元或10万美元似乎并不昂贵,停机时间可能使公司每小时花费数千美元。

    在许多情况下,这些高端路由器太昂贵或者是不必要的,或者由于预算或政治原因您无法获得高端路由器。 有时,一个自定义比萨盒或Soekris盒子更合适。

    多年后,这仍然是一个有趣的问题。 我们把它分成两个子问题:

    1. 为什么要购买专有的防火墙,而不是使用开源 (基于Linux,FreeBSD,RouterOS等)? 这一切都取决于你的需求:

      • 开源防火墙一般性能很好,而且成本很低,并且不提供供应商locking。 但是,他们很less提供先进的透明 UTM(统一线程pipe理)function,如内容过滤,应用程序过滤,网关防病毒,SSL解密等。 这并不意味着开源防火墙不能做到这一点,然而他们通常需要使用代理服务,需要configuration客户端(即:在浏览器中)。 两个很好的,不同的例子是Mikrotik (RouterOS,基于Linux)和Endian :前者具有高性能,低成本,防火墙(无UTM)产品; 后者提供了大部分基于代理的完整UTM产品。 例如,Endian的仅防火墙社区版是一个免费的产品,UTM套件是基于许可的(并且它们不是超便宜的)。
      • 还有一点要考虑的是WebUI:私有防火墙通常具有相当不错的用户界面,而免费/开源的防火墙有时不太直观的用户界面(即:Mikrotik)。
      • 专有的防火墙通常会捆绑附加的pipe理服务。 例如,他们可以包括一个pipe理控制台,将所有configuration更改复制到多个设备,或者提供深入报告。
      • 最后,防火墙厂商通常提供硬件replace和支持票务服务。 使用自build的开源防火墙,您通常只需更换硬件,而且支持并不总是免费的。 另一方面,当平台是开源的而不是封闭的时候,诊断(并解决)问题要容易得多。
    2. 如果购买专有防火墙,为什么购买高端防火墙而不是低性能产品? 这一切都归结为性能和function要求:

      • 如果您打算不仅在WAN链路(带宽经常受限),而且在内部链路(例如:DMZ,VLAN等)之间启用UTM服务,则需要具有高吞吐量的防火墙,特别是在有多个客户端的情况下。 而且,低端防火墙往往对并发用户数量,VPN隧道等(有时是人为的)有限制。
      • 低端防火墙可能会错过您的环境中所需的一些附加function(即:高可用性,WAN故障转移,链路聚合,10Gb端口等)。

    个人经验:权衡上述所有因素,我经常(但并非总是)决定使用专有防火墙,即使是基本的硬件replace服务, 或者至less为最终用途提供备件。 当预算非常紧张,不需要高级function时,我使用开源(Mikrotik)产品。

    这里的硬件略有不同,但这个概念仍然适用。 我们在一个networking上运行了几台调制解调器服务器,用一台价格便宜的8端口10/100“交换机”把它们捆绑在一起。 有一天,交换机开始冻结,我们不得不重启。 我们多次这样做,直到它真的被烧毁。 那调制解调器的stream量是非常唠叨的,而这个东西根本无法应对高温。

    我们买了一台二手的思科2924交换机,运行起来非常顺利,碰撞一路下滑。 原来的旧交换机是一个10Mbit的集线器,切换到一个100Mbit的集线器。 细微的差异,但这解释了成本差异。