Несколько подключений к Интернету и один брандмауэр
У компании, в которой я работаю, есть три интернет-соединения. Мы планируем установить одно устройство брандмауэра, которое будет охватывать все три соединения.
Теоретически я могу представить, что это делается путем подключения всех сетевых линий к одному очень дорогому устройству.
Однако я хотел бы использовать решение OpenSource, например, для opensense или pfsense. Поэтому мне нужно будет собрать собственное оборудование.
Какой самый эффективный способ сделать это без необходимости покупать брандмауэр корпоративного уровня?
1 ответ
Что касается моего опыта, я могу сказать вам, что ни дешевое, ни дорогое оборудование не приведет к той же производительности, что и встроенное UTM-устройство. Я пробовал Endian как на ВМ, так и на голом металле. Нет никаких шансов, что он когда-нибудь будет работать так же быстро, как их UTM.
Я могу предложить вам попробовать способ с открытым исходным кодом (pfsense также является хорошим выбором), но вы должны проверить, хорошо ли он работает в вашей среде.
Многие функции, такие как фильтрация содержимого / антивирус на http (s) или такие, как формирование трафика, почтовый прокси и т. Д., Будут работать медленно в большой среде. С Endian я испытал чертовски медленный прокси с менее чем 30 клиентами!
Если у них есть как бесплатное программное обеспечение, поддерживаемое сообществом, так и аппаратные устройства корпоративного уровня, разница должна быть! В противном случае цена 4-5-10000 евро за их аппаратные средства не будет оправдана по сравнению с бесплатной ISO, которая может работать на ПК каждые 10 лет.
Поэтому, чтобы ответить на ваш вопрос, если вы хотите пойти по дешевке, используйте бесплатное программное обеспечение и HW, которые у вас уже есть, но учтите, что вам придется провести тестирование, прежде чем внедрять такое решение в производство.
Оба дистрибутива, упомянутые здесь, готовы для нескольких каналов связи. Вы можете настроить несколько сетей WAN с одним сетевым адаптером для красной стороны и управлять маршрутизаторами через управляемый коммутатор, используя VLAN (поддерживаемые обоими дистрибутивами), или вам потребуется один сетевой адаптер на маршрутизатор. Я предлагаю первый. Затем вы будете использовать несколько глобальных сетей, определяющих либо политику отработки отказа, либо набор правил маршрутизации политики, либо, желательно, оба!