Milyen Router/Firewall OS

Linux-haladó

Sziasztok!

Egy kollégiumi hálózatot szeretnénk kiépíteni. Adott egy szervergép, még nincs rá telepítve semmi. A kapcsolat 100Mbps optika:)
Amire szükség lenne:
- Kb. 150 felhasználó várható
- DHCP
- MAC szürés
- Traffic shaping hosztonként, tehát ha valaki túl sokat tölt, akkor le lehessen korlátozni
- DNS szerver
- Proxy szerver
- Ingyenes legyen
A kérdés az, hogy a tapasztaltabbak milyen operációs rendszert/firewall disztribúciót ajánlanak. Előny, ha van webes interfész.
Próbáltuk az IpCop-ot, de az kevésnek bizonyult, nincs benne hosztonkénti shaping se.
Ha lehet, ne legyen túl bonyolult, nincs túl nagy tapasztalatunk rendszerüzemeltetésben. Ha ez lehetetlen kérés, akkor jöjjön, aminek jönnie kell...

Előre is kösz a segítséget.

  • 1993 megtekintés

( Steelman | 2009. 11. 05., cs – 08:27 )

Ha jól értelmezem, ez a gép csak tűzfal/gateway funkciókat látna el, routing-ra nem lenne szükség. Akkor valóban valamilyen Linux (pl. Debian), iptables és tc.
Ha akarod, megnézheted ezt is.

--------------------
Tegnap beállított hozzám egy Tyrannosaurus Rex és Hamlet. Volt nagy dinóm-dánom...

+1
Amennyire emlékszem már rég volt, hogy m0n0wall-t alapul vették, és azóta általában őket inkább több szolgáltatás, előbbit inkább kisebb erőforrásigény miatt szeretik.
Zavaró lehet az addon-ok "beta" ill. alacsony verziószáma (már akit ez zavar egy éles tűzfalnál pl. :), ill. ha jól rémlik load-balance volt csavaros pppoe esetén.
Viszont grafikus felületről jól adminisztrálható, és az OpenBSD-ből "átemelt" pf jól jöhet ha szűréseket akarsz.

Bár a legutolsó érved szakmailag megdönthetetlen ;-), azért kérdeztem, hogy community addonokkal együtt hasonlítottad-e össze a kettőt, mert IpCophoz elég sok félhivatalos és gittegyletben készült kiegészítő van (ami nem feltétlenül bizalomgerjesztő...), spamszűrőből, vírusirtóból, ids stb. mintha mind külső termék hozzáillesztése lett volna csak, de fakó emlékeim vannak már csak.
Az új verzió "rendes" QoS képessége viszont érdekes lehet.

Ipcop-->Endian-->pfSense úton járva nyúztuk ezeket eddig az egyik cégnél, máshol OpenBSD,FreeBSD és Debian megoldásokkal. Eddig gyakorlatilag mindegyik bevált a viszonylag egyszerűbb dolgokra, de hamarosan hasonló igények várhatók nálunk is mint topiknyitónál (gyakorlatilag cizelláltabb Traffic Shaping ill. több rászabaduló felhasználó és többféle jogosultsági kör; a többi igény eddig is megvolt), és lehet, hogy kevésbé unix/linuxkedvelő gazda számára is menedzselhetővé kell tenni, ezért érdekes lehet pl. hogy Endian okosabb lett.
(Amúgy nem cserélném le bevált pfSense/Free/OpenBSD-t :)

( fimikz | 2009. 11. 05., cs – 08:32 )

ha jot akarsz magadnak, es mondjuk szempont az, h a tuzfalat lehessen debugolni, akkor baratkozz meg az openbsd-fele pf-fel. mondjuk a macszures az egyetlen gyenge pontja, mivel ez layer3-4 tuzfal. a macszurest en switchben szoktam megoldani, he tenyleg ilyenre van szukseg, bar igazabol komoly okom ilyet csinalni meg nem volt. fbsd-ben is van pf, megy redundansan is state table szinkronizacioval (az iptables ezt nem tudja), ami szerintem sokkal fontosabb, mint a macszures :)

pf, megy redundansan is state table szinkronizacioval (az iptables ezt nem tudja)

Az iptables parancs valóban nem, ellenben a conntrackd (conntrack-tools) igen.

http://conntrack-tools.netfilter.org/

Ettől függetlenül az openbsd-t könnyebb beállítani tűzfalnak ha egyébként nincs tapasztalat.

Viszont ha a traffic shaper is szempont, a tc többet tud szerintem mint az OpenBSD-ben az altq vagy a hfsc. Ráadásul ha Linux alatt a tc-t összekombinálod a layer7filterrel, akkor minden olyan forgalmat ami csak viszi a sávszélt (torrent, MSN-file küldözgetés, stb.), szépen le lehet korlátozni. OpenBSD pf-je - sajnos - nem tudja a l7filter-t. Az tény, hogy tűzfalnak egyszerűbb beállítani az OpenBSD-t, és ahogy olvastam, a teljesítménye is jobb talán mint a Linuxnak...

--------------------
Tegnap beállított hozzám egy Tyrannosaurus Rex és Hamlet. Volt nagy dinóm-dánom...

( lzskiss | 2009. 11. 05., cs – 19:23 )

openbsd.
leghatekonyabb.

OpenBSD 4.6/i386 theo for the prezident:D

( CheeseE | 2009. 11. 05., cs – 21:35 )

Telepítettem a pfsense-t, szerintem tökéletes lesz, de még barátkozok vele:)
KÖszönöm a segítséget:)

( jevgenyij | 2009. 11. 06., p – 10:16 )

Jó az IPCOP, csak kell hozzá advanced QoS plug-in, innen:
http://mhaddons.tk/
Ezzel akár protokollonként szűrhetsz, up és down sávszélesség limitek beállításával.