Kennt sich jemand mit Firewall Appliances aus ?

dt2510

Ich will doch mal sehen, ob hier der ein oder Andere Spezialist rumschwirrt.

Ich plane gerade eine Auslagerung unserer VPN Verbindungen in ein externes Rechenzentrum. Aktuell wird dafür eine CheckPoint 4200 Appliance und ein OpenVPN Gateway genutzt.
Nun sollen die vorhandenen Verbindungen auf IPSec umgestellt und auf einem HA Cluster ausgelagert werden. Hier mal eine kurze Übersicht, wie die Tunnels später laufen sollen...

Auf dem Cluster werden ca. 20 Tunnels definiert, die man in 3 Gruppen einteilen kann:

1) eine Verbindung zum Mainframe - hierhin muss jeder andere Tunnel geroutet werden (und natürlich von dort zurück)
2) eine Verbindung zur Zentrale (das sind wir) - unser lokales Netz wird nicht geNATtet, das gesamte Mainframe Netz ist erreichbar
3) mehrere Verbindungen zu Kunden - die lokalen Netze hinter dem jeweiligen Tunnel werden auf jeweils eine IP Adresse geNATtet, im Mainframe Netz ist nur eine Adresse erreichbar

Weiterhin muss das Netzwerk (ggfs. nur einzelne Adressen), in dem sich der HA Cluster befindet, von allen Tunnels erreicht werden, da dort Linux Server platziert werden sollen.

Angeboten wurde mir jetzt eine CheckPoint 4200 HA, die mit ca. 4000€ (alles Netto) zu Buche schlägt, Wartung und Firewall Lizenz kommt dann jährlich auf ca. 4500€.
Alternativ habe ich ein Angebot für eine Sophos SG 210 hier liegen, 2 Geräte für zusammen ca. 3000€, Wartung und Firewall Lizenz pro Jahr ca. 600€

Auf dem Papier ist die Sophos sogar stärker als die CheckPoint, aber jetzt die Frage: Sind die beiden Geräte für unser Vorhaben überhaupt richtig dimensioniert bzw. sind die immensen Mehrkosten der CheckPoint gerechtfertigt ?
Leider konnte mir bisher niemand wirklich (objektiv) Pro und Contra nennen, da natürlich beide Hersteller ihr Produkt für das Beste halten...

SkyBird1980

Tut mir leid das zu sagen aber diese durchaus sicherheitsrelevante Frage gehört in ein Fachunternehmen.
Die Leute werden für eine vernünftige Dimensionierung sorgen. Wenn Euch das zu teuer ist tuts mir leid.
Die Frage hat meines Ermessens nichts in einem Fanforum zu einem Mediacenter zu suchen.
Nehmt euch z.B. Telekom Systems und lasst Euch ein vernünftiges Angebot geben.

Warum ich das so sage? Ich komme aus der Branche und hab schon diverse VPNs in Betrieb genommen. Dazu gehört eine Ortsbegehung und ein vernünftiges Planungsgespräch.

dt2510

Die Angebote liegen ja bereits vor, allerdings kann mir niemand wirklich sagen, weshalb seines besser sein soll. Dadurch ist es für mich um so schwerer zu entscheiden...

Klar hat die Frage nichts mit einem Mediacenter zu tun, allerdings ist der Nerd-Level hier ziemlich hoch und es gibt vielleicht jemanden, der mir sagen kann, wodurch sich die Geräte überhaupt unterscheiden.

SkyBird1980

Ok, dann geb ich dir ein paar Unterschiede:
Der Checkpoint ist ungemein leistungsfähiger. Möglich sind hier bis 25.000 VPN Verbindungen und 400 Mbit Übertragung via IPSEC VPN.
Die Sophos sind für Kleinunternehmen. Hat 14 Gbit Ports. also 10 Ports mehr als die Checkpoint in der Grundaustattung.
Dafür ist die Checkpoint halt universell erweiterbar auf die wirklichen Bedürfnisse und kann wachsen mit dem Unternehmen.

Alles in allem solltest Du einfach mal die Datenblätter vergleichen (inkl. Optionen)
Checkpoint: https://www.checkpoint.com/downloads/prod…e-datasheet.pdf
Sophos: https://www.sophos.com/de-de/medialib…df?la=de-DE.pdf

dt2510

25000 VPN Verbindungen ... wir haben 20 und viel mehr werden das auch nicht mehr. Darüber laufen ca. 500 User und die Appliance muss auch keine aktive Filter (für Webzugriffe) haben oder Antivirenprüfungen machen, da kein User vor Ort sitzt ...

SkyBird1980

Ich sprach halt von dem maximal möglichen. Das man vieles nicht braucht ist klar. Läuft ja mehr auf so einer UTM. Virenschutz, Email Accounts, Firewall usw.

dt2510

Ist hier absolut nicht notwendig, da die verbundenen Netze an sich geschützt sind und die Linux Server ebenfalls über Sophos AV verfügen. Also blankes IPSec VPN mit Source-/Dest-NAT
Lediglich IPS und Application Control werden benötigt.

noob_at_pc

Zitat von dt2510

Ist hier absolut nicht notwendig, da die verbundenen Netze an sich geschützt sind und die Linux Server ebenfalls über Sophos AV verfügen. Also blankes IPSec VPN mit Source-/Dest-NAT
Lediglich IPS und Application Control werden benötigt.

wenn du schon sophos av einsetzt dann tu dir den gefallen und schau dir die sophos FW Lösungen an ist einiges schöner als Checkpoint - schutzfunktionen sind recht glecih - am ende sinds alles Firewalls, aber die sophos hat shcon was. gerade das reporting...

Jetzt mitmachen!