Eli lyhyesti: kertokaa omat kokemuksenne palomuurilaitteista joita käytätte/olette käyttäneet, kertokaa myös merkki ja malli. Uskon että auttaa moniakin jotka miettii palomuurilaitteen hankintaa ja helpottaisi valintaa.
Hyvässä palomuurissahan on ainakin seuraavat: SPI eli Stateful Packet Inspection (suomeksi pakettien tarkastus), DoS-esto eli Denial of Service (suomeksi palvelunestohyökkäysten esto), NAT (Network Address Translation) eli osoitteenkääntö.
Lisukkeena voi olla VPN (Virtual Private Network)-tuki sekä tarvittavat kryptausominaisuudet VPN-yhteyksiä varten, DMZ (DeMilitarised Zone, suom. Suojaamaton alue) tosin tälle on vähän käyttöä koska on riskialtis. Vielä lisäksi voi olla ns. varayhteys modeemilla tai ISDN:llä laajakaistakatkosten varalle. VPN:ää käytetään lähinnä etätyössä ym, jolloin kaksi konetta toimii ikäänkuin olisivat lähiverkossa mutta internetin kautta, joten tavallisessa kotikäytössä jossa etätyötä ei tehdä, lienee tarpeeton ominaisuus.
Hyvässä palomuurissahan on ainakin seuraavat: SPI eli Stateful Packet Inspection (suomeksi pakettien tarkastus), DoS-esto eli Denial of Service (suomeksi palvelunestohyökkäysten esto), NAT (Network Address Translation) eli osoitteenkääntö.
Lisukkeena voi olla VPN (Virtual Private Network)-tuki sekä tarvittavat kryptausominaisuudet VPN-yhteyksiä varten, DMZ (DeMilitarised Zone, suom. Suojaamaton alue) tosin tälle on vähän käyttöä koska on riskialtis. Vielä lisäksi voi olla ns. varayhteys modeemilla tai ISDN:llä laajakaistakatkosten varalle. VPN:ää käytetään lähinnä etätyössä ym, jolloin kaksi konetta toimii ikäänkuin olisivat lähiverkossa mutta internetin kautta, joten tavallisessa kotikäytössä jossa etätyötä ei tehdä, lienee tarpeeton ominaisuus.
Vastaukset 9
Vanhimmat
Näytä mulle yksikin soft-/hardware palomuuri joka kykenee estämään Denial of Servicen, niin näytän sulle miten tehdään Denial of Service sitä vastaan. Yksikään palomuuri ei pysty sitä estämään. Ainoa tapa millä DoS:sia vastaan voi taistella on hankkia myllyyn lisää tehoa ja kaapeliin lisää kaistaa.
Checkpoint Firewall-1
Ekanakin haluisin tietää millaiseen käytöön, eli paljonko siitä menee liikenettä läpi ja missä muodossa, salataanko se vai meneekö puhtaana? paljonko yhtäaikaisia VPN yhteyksiä?
Tuleeko tää yritykseen vai kotio? Itse käytän kahdennettuna PIX505E, riittää hyvin 200 yhtäaikasta käyttäjää.
Eli kotikäyttöön on tarkoitus. Eli VPN-yhteydet ei välttämättömiä, käyttäjämäärät kotikäytössä luultavasti ei kovinkaan suuria, muutama kone.
Unixille väsätty palomuuri on ihan ok.
OpenBSD/pf on varsin toimiva, niin kotona kuin töissäkin.
Saa VPN:t, runsaasti ominaisuuksia (pakettien manglaamista, tcp/ip stakin tweakkailua (nmapin os-fingerprinttien huijausta) yms.)
PIX on tietysti kanssa ihan kova. Kotiin tollanen neljäreikänen pikkupiksi.
ei suinkaan ollut tarkoitus valjastaa yks tietokone kokonaan palomuuri käyttöön, samahan toki onnistuis Linuxillakin. Vaan ihan erillislaitteita ja kokemuksia niistä tässä kysellään.
..palomuurina ja muut erikseen. Omat kokemukseni ZA Pro:n virityksistä ovat todella negatiivisiä, koska ko. ohjelma pyrkii laajentamaan reviiriään ohjelmakontrolliin. Mikäli esim. käynnistän Apache Tomcat-palvelimen niin silloin ZA kysyy sallinko Java:n toimivan kuin palvelin ja "Yes"-napin painamisen jälkeen n-määrä portteja avautuu automaattisesti. Nähdäkseni tämä antaa ainakin Java-pohjaisille viruksille mitä parhaimman pohjan takaportin asentamiseen, koska palvelin mikä palvelin...
Seuraava palomuuri, jonka asennan tulevaan Linuxiin tulee olemaan käsin konfiguroitava, jossa voidaan yksiselitteisesti määrätä verkkoadapterikohtaisesti mitkä portit ovat auki ulkoa sisälle. Prosessikontrolliin en lähde niin kauan, kun ohjelmistot eivät ole digitaalisesti allekirjoitettuja, jotta kontrolloiva ohjelma voisi laskea käynnistettävän ohjelman alkuperäisyyden/muuttumattomuuden.
Tämä digitaalinen allekirjoitus verifiointi uusissa käyttöjärjestelmissä tulee olemaan ns. akileenkantapää, koska käyttöjärjestelmän on voitavat verifioida jossain ohjelman alkuperä ennen sen käynnistämistä. Ja silti mikään ei estä etteikö johonkin ohjelmaan voisi jäädä verifioinnista huolimatta aukkoja, jolloin hyökkääjän rooli vaihtuu vain aktiivisesta passiiviseksi.
-Jonttu-
"Omat kokemukseni ZA Pro:n virityksistä ovat todella negatiivisiä, koska ko. ohjelma pyrkii laajentamaan reviiriään ohjelmakontrolliin. "
Tuo on yksi softamuurin hyvistä puolista, tarkkailla softia jotka pyrkii nettiin. Ja voithan aina antaa pysyvän luvan jos tuntuu että käytät jotain softaa useammin. Mm. todella tarpeellinen ominaisuus tuo ohjelmakontrolli, varsinkin kun nykyisin on niin paljon kaikenlaisia tihulaissoftia, spywarea, troijalaisia ym joten hyvä että jokin kontrolloi mitä sinne nettiin pääsee mellastamaan!
Itsellä on Linksys BEFSX41 reititin. Siitä taitaa löytyä kaikki mitä luettelit. Hinta Verkkokaupassa 84 euroa.
http://www.linksys.com/products/product.asp?grid=23&prid=433