Appliance PFirewall ME

[zeuss14]

Bonjour,

Je doit mêttre en place une architecture réseau assez simple dans une ptit PME.
Je fait ça de façon "bénévolle" pour un ami et je n'ai pas trop de temps à investir pour la gestion quotidienne.

Par contre, je peux investir du temps pour la mise en place si cela permet de simplifier l'administration quotidienne.

Le parc sera composé dans un premier temps d'un serveur, 2 postes de travail et un portable.

Pour l'instant seul le portable à accès à internet sur réseau séparer. Or pour des raison technique, tous les postes vont devoir avoir accès à internet.

J'aimerais bien trouver une appliance tout intégrer (Style checkpoint) qui ferrait office principalement de Firewall, DHCP, Proxy pour le filtrage d'accès à internet. Ce serait un plus s'il pouvait faire filtrage antivirus/spyware.

Comme le nombre d'utilisateur n'est pas enorme, je pense qu'il la charge de l'appliance devrait être relativement faible.


Que me conseillez vous ?

Merci d'avance.

[yean0693]

Je n'affirme pas que ces solutions soient les meilleures, mais je les ai expérimentées dans une boite qui avait des besoins similaires à ce que tu décris :

Solution propriétaire : Netasq F25 (avec Clamav. Possibilité d'avoir Kaspersky). Possède un IDS en prime.

Solution libre : achat d'un PC (ou d'un wrap) et installation IPCop avec addon Cop Filter.

Voilà

[jibe]

Salut,

Ipcop est pas mal. Perso, je mettrais une SME ou une FreeEOS.
Mais dans tous ces cas, cela peut s'installer sur une bécane recyclée ou achetée d'occase : effectivement, la charge est très faible et ces distribs sont très peu gourmandes en ressources.

L'administration de SME et FreeEOS est ultra simplifiée, il n'y aura presque rien à faire, et ça peut se faire facilement à distance via SSH. Je pense qu'il en est de même pour Ipcop, mais je connais très peu et je préfère ne pas m'avancer.

[zeuss14]

Dans un premier temps j'avais aussi pensé à des boitier du genre WRAP ou SOEKRIS mais je ne sais pas trop ou me les procurer.

Après je pense qu'il sera assez facile de trouver un distrib linux ou bsd administrable via ssh ou une interface web.

Concernant le recyclage d'un boitier, je pensait à un appliance car j'aurais bien voulu éviter d'utiliser un gros pc pour des raisons de place.

Si on compte bien ca serai :
- un freebox
- un WRT54G
- un routeur / FW / passerelle Antivirus
- le serveur
- le switch

Ca commence à faire bcp place à trouver et franchement dans mon cas c'est limité.

[yean0693]

Pour les WRAPs, tu as une liste de magasin dans la section "Shop" du site de PC Engines.
Il me semble même que certains fournisseurs proposent des boitiers avec distro sécurisée pré-installée.

En espérant que ça puisse t'aider...

[jdh]

Il doit être possible de faire mieux !

* Solution 1 :
- freebox (FAI)
- WRT54G avec firmware DD-WRT (non couvert par le forum Ixus mais déployé par certains)

Remarque : pas de fonction genre squid ou antivirus


* Solution 2 :
- freebox (FAI)
- appliance genre SonicWall ou Zyxell
- access point ou routeur wifi (ne pas connecter le Wan)

Remarque : peut-être certaines appliances font wifi, pas de fonction genre squid ou antivirus


* Solution 3 :
- freebox (FAI)
- PC avec 2 cartes eth + 1 carte wifi et distrib pfSense (qui sait faire Access-Point)

Remarque : il faut se mettre à pfSense, possibilité de faire du squid (squidguard , pfSense est installable sur boitier wrap ou soekris.

[zeuss14]

Je pense que j'ai oublier de préciser que le réseau Wifi DEVRA être isolé du réseau filaire pour des raisons de sécurité.

Concertant WRAP & Co, personnelement ça m'atire mais n'ayant jamais tester, j'hésite à investir de ce genre se solution. Surout que le suport ne semble et la doc ne semble pas très présent sur le net.

Concernant le WRT je serait bien tenter de chercher une appliance qui pourrait se raproché de ce que je cherche mais pour l'instant j'ai plutôt rien trouver.

En passant, est ce qeu vous connaissez d'autre "boitier" qui peuvent être modifier comme le WRT ?

[jibe]

Salut,

Je pense que j'ai oublier de préciser que le réseau Wifi DEVRA être isolé du réseau filaire pour des raisons de sécurité.

Sage décision, mais je crains un peu que tu cherches à avoir le beurre et l'argent du beurre ! La sécurité, ça demande un peu de moyens, et donc des appareils (de plus, tomtom dirait qu'ils doivent avoir chacun une seule fonction ).

Je ne connais pas tout ce que te propose jdh, mais comme il est toujours de bon conseil, c'est certainement le cas ici.

Pour ta Wifi, trois idées (je passe la quatrième qui consiste à mettre du câble, presque tous refusent d'admettre qu'avec un peu d'astuce c'est presque toujours possible, et en tous cas beaucoup plus sécurisé, fiable et moins cher - le beaucoup s'appliquant aux trois qualificatifs) :
- Avec SME, tu as un serveur RADIUS intégré,
- Ipcop a une interface (bleue je crois) réservée à un réseau Wifi,
- Tu peux la mettre sur ta Freebox, en amont d'une SME ou autre routeur.

[zeuss14]

Je pense que je vais me tourner vers un bon vieux IPCOP.

Maintenant il faut que je troube un boitier pour mettre tout ca. Il me faudrais un truc compact, genre 1U mais c'est pas facile à trouver.

J'ai regarder du coté de WRAP et SOEKRIS mais dans les deux cas c'est pas donné ...

[jibe]

Salut,

Cherche un peu, tu vas certainement trouver : par exemple, une carte mère à base de processeur VIA qui consomme très peu et, ne chauffant pas, n'a pas besoin de ventilos ou radiateurs énormes. Sibsib en dit quelques mots sur son site, et je crois bien que Franck78 en a parlé sur Ixus il n'y a pas si longtemps. Sinon, un petit coup de google...

[yean0693]

Je pense que je vais me tourner vers un bon vieux IPCOP.

Maintenant il faut que je troube un boitier pour mettre tout ca. Il me faudrais un truc compact, genre 1U mais c'est pas facile à trouver.

J'ai regarder du coté de WRAP et SOEKRIS mais dans les deux cas c'est pas donné ...

Peut-être ceci sur le site de LinITX, rechercher la référence DX-0031S-FW.

a+

[fred-info]

Salut,

Etudiant actuellement un cas assez proche (embarqué voiture), j'ai trouvé ce lien.

http://www.mini-box.com/s.nl/sc.9/category.-109/.f

Ils proposent aussi des extensions ethernet (3+1) etc ....

Si ça peut t'aider.

A+