1Gbs Leitung trotz Firewall kein Flaschenhals

JayS87

Hallo zusammen

Ich habe einen Kunden, mit ’ner Fiber Leitung und 1Gb/s Option und dieser wünscht sich nun eine eigenständige Firewall mit maximaler Sicherheit bei möglichst hohem Durchsatz.

Die Firewall sollte so Dinge bieten wie IDS, WAF und IDP, dabei trotzdem kein Flaschenhals für die 1Gb/s aufm WAN sein.

Der Kunde möchte mindestens 80% seiner Geschwindigkeit trotz Firewall.

Würde eine SonicWALL NSA 3600 schon genügen?

Danke!

PowerMac

Kommt drauf an.

Ein Produkt, das “NSA” schon in der Modellbezeichnung trägt? Naja…
Gemäss Prospekt hat das Gerät ja eine eindrückliche Zahl an Features: Malwarescanner, Intrusion Prevention (IPS, hast du das gemeint mit IDP?), Deep-Packet Inspection, WLAN-Controller… Der erzielte Durchsatz steht und fällt mit der Anzahl der aktivierten Features. In aller Regel verlangen die Hersteller noch einen erklecklichen jährlichen Abonnementsbeitrag für die Signaturupdates, dh. unbedingt mit berücksichtigen.
Gemäss Datenblatt sind einige potentielle Flaschenhälse ersichtlich. Deep-Packet-Inspection mit und ohne SSL-Decryption musst du ja nicht oder wenigstens nicht für sämtlichen Datenverkehr aktivieren. Die Antimalwarescanengine wird sinnvollerweise auf den Web- und FTP-Traffic angewandt und wird diesen auf 600Mbit/s begrenzen. Falls dein Kunde die Forderung “mindestens 80% der Geschwindigkeit” auf gefilterten Web- und FTP-Traffic bezieht, wäre die Sonicwall gemäss Datenblatt ungeeignet.
Betreibt dein Kunde einen eigenen Webserver, oder warum braucht/will er WAF? Falls ja, würde ich ihm dringend von einem Swisscom-Residential-Anschluss abraten und ihm einen Anschluss mit fixer IP (gibts von Swisscom Business oder bei der Konkurrenz) ans Herz legen.

Abgesehen von kommerziellen Lösungen gibts auch gute Open-Source-Firewalldistributionen, welche auf günstiger Hardware betrieben werden und den “teuren” Firewalls teilweise durchaus das Wasser reichen können.

marcus

Um die 80% auf Dauer zu garantieren, musst du eine Cisco Firewall o. ä. wahlen.

glaube nicht, dass das vorgeschlagene Gerät dies schafft. Vor allem, wenn die Firewall aktiv ist. Besser und günstiger ist wahrscheinlich ein PC mit IP-Fire drauf.