网站数据中心networking的单一解决scheme

我正在寻找数据中心需要Web应用程序的不同解决scheme。 以下是我的要求。 我首先想要一个解决scheme,它可以在一个盒子里提供,尽可能简单

  • 边缘防火墙(因为我们只有Web应用程序,需要防火墙连接到世界没有传统的防火墙像思科asa)
  • 负载平衡器
  • 可以在世界,dmz和内部之间创buildDMZ和防火墙stream量
  • 可以处理SSL
  • Web应用程序防火墙(符合PCI-Dss)
  • 反向代理
  • VPN(SSL) – 这只是我们进入networking的一个点,所以需要通过VPN完全访问

我们的数据中心将有两台冗余的机器供上述解决scheme,然后是应用服务器,如Web,应用程序和数据库服务器。 没有路由器,没有其他防火墙。

我知道有一些公司提供负载平衡器,防火墙,VPN解决scheme,但有没有提供单一解决scheme? 如果已经使用过你的经验如何?

我很确定没有任何解决scheme,作为即买即用的商业设备。

你可以使用开源组件fx来构build它:

  • Linux的
  • Linux的Netfilter防火墙,也许使用像Shorewall这样的pipe理前端。
  • Apache 2.2用于SSL,L7负载平衡以及Mod_Security作为Web应用程序级防火墙。
  • 鱿鱼或清漆caching(反向代理)。
  • OpenVPN的SSL VPN。

除非您拥有强大的Unix系统pipe理员专业知识,否则构build这个非常重要的项目。 我不会build议。

你的一些担心似乎走错了方向。 我看不出如何降低复杂性来将这么多的function塞进一个设备中。 我build议把它分解到我们行业通常使用的多种设备上,也许让咨询人员处理你不熟悉的部分。

我们正在使用DenyAll.com的rWeb,从可用性的angular度来看,这是一个令人伤心的混乱。 这是非常昂贵的,理论上有很多有趣的function,但由于它很难使用,它不能被正确使用,所以它不会提供比基本(和免费)mod_security设置更多的安全性。

用户界面是一个笑话(它是如此不可用,它是反抗),命令行是一个痛苦的屁股,日志是可怕的(即你必须参考他们的doc / kb的每一行)

在任何情况下,它看起来像基本的string模式匹配,甚至不努力parsing请求的内容。

我不知道其他商业WAF,但他们可能是一样糟糕,昂贵。