[Kaufberatung] Home-Firewall

[Sc0rc3d]

Hi Leute,

bei meinen Eltern wird im Laufe der nächsten Woche endlich der FTTH-Anschluss gelegt (200Mbit/s down 10Mbit/s up).
Da vom Anbieter 'nur' ein Modem geliefert wird, möchte ich dahinter eine Firewall aufbauen die das Heimnetz
(4 Wohnungen = Mietparteien - alles Familie) versorgt. Jede Wohnung bekommt (stehen schon in den Wohnungen) einen
Accesspoint+WLAN ohne eigene Firewall.

Ich möchte nun das Interne-Netzwerk der vier Wohnungen die an einem NAS angebunden sind eine Firewall davor setzen,
um das "Heimnetz" vom Internet zu trennen. Dazu habe ich bisher nur einen Switch (Netgear 16 - Port smart Managend
mit VLAN/QOS). Im Laufe der Zeit werde ich dort einen Server in der DMZ betreiben um ein paar Projekte zu testen. Da ich
meistens nur alle 2 Wochen bei meinen Eltern zu Besuch bin möchte ich es halbwegs sicher gestalten. Ich hoffe das
passt, um euch etwas an Randinformationen hierzu zu geben.

Kommen wir nun zum eigentlichen Thema. Ich möchte eine Firewall (Software: Sophos Home UTM?) zusammenbauen, die
ich nun zwischen das Modem und den Switch hängen kann. Als Hardware habe ich mir Folgendes rausgesucht:

Mainboard + CPU : Gigabyte GA-J1900N-D3V
Lüfter : Noiseblocker NB-BlackSilentFan XS1
Lüfter-Adapter : Stromadapterkabel 12V auf 9V
RAM : Kingston 4GB, DDR3L-1600 KVR16LS11/4
SSD : Kingston SSDNow V300 60GB
Gehäuse : Inter-Tech Mini ITX Q-6, 60W
------------------------------------------------
~ 208€

Passt das so? Wichtig ist hierbei nur möglichst klein, leise und Energieeffizient.


Gruß

Sc0rc3d

 

[hominidae]

...die Frage ist ob Du ne UTM brauchst oder ob eine reine FW reicht.
ich habe gerade ein pfsense mit ner pc-engines APU aufgebaut.....kommt etwas günstiger, wird sparsamer und leiser sein, aber für ne UTM eher nix sein. -> APU.1D4 Bundle(Board,rotes Gehäuse,Netzteil,16GB mSATA) #800060BR | eBay
Die 200MBit WAN wird die APU auch schaffen, aber nicht über VPN.

 

[katzenhai]

Mein nächster UTM sollte eigendlich ein APU werden, dann habe ich aber das gesehen. Mal schauen was das Teil mit 4 NIC's kosten wird.

 

[AliManali]

Wenn Du noch einen Server bzw. ein NAS betreiben möchtest, würde ich etwas mit 3 NIC's nehmen, bzw. mindestens noch eine dazustecken (für die DMZ). Wenn Du neben dem WLAN auch noch ein LAN (brauchst Du wohl alleine schon für den Zugriff aufs UI ) haben möchtest, brauchst Du schon 4 NIC's.

Wie wärs denn mit einer fertigen Appliance? Ich hatte früher die Endian, und bin mittlerweile bei der Zywall angekommen. Bei den neuen Zywalls besteht bei passenden AP's auch die Möglichkeit, die AP's direkt an der FW zu konfigurieren. Wenn Du bei der Zywall UTM Funktionalität möchtest, müsstest Du aber Abokosten bezahlen.

 

[Sc0rc3d]

Hi, danke für eure Antworten.

Das APU.1D4 Bundle hatte ich mir auch angesehen. Ich finde die CPU aber "etwas schwach" im Vergleich und die 16GB-RAM etwas oversized. Hätte dann aber einen dritten LAN-Port. Eine UTM wäre schon gut, da einige Kinder im Haushalt sind (Contentfilter) und die Antivirus Geschichte auch nicht schaden kann. Ich hoffe eigentlich das zwei LAN-Ports genügen, ich dachte ich kann die "DMZ" über den Switch (VLAN) regeln. Das NAS/Homeserver existiert schon (HP N54L) mit zwei LAN-Ports. Ich bin davon ausgegangen (eventuell mit zweiten "dummen" Switch) dies über VLAN Regeln zu können. Zum Thema zugriff auf das UI bin ich davon ausgegangen, dass dies über die LAN-Seite problemfrei möglich sein sollte, oder?

 

[hominidae]

...äh, die 16GB sind mSATA SSD, RAM ist 2 oder 4GB bei der APU.
In meinem Dual-WAN setup idled die Kiste meist bei 250MHz und 5% Leistung...für eine UTM ist sie mMn allerdings wirklich etwas zu schwach.
Mit VLANs solltest Du das regeln können, aber eine fehlerhafte config könnte dafür sorgen, dass die FW umgangen werden kann, also vorsicht.
Wenn, dann lieber noch nen DUAL-NIC nachrüsten.

 

[pumuckel]

Hi Leute,

bei meinen Eltern wird im Laufe der nächsten Woche endlich der FTTH-Anschluss gelegt (200Mbit/s down 10Mbit/s up).
Da vom Anbieter 'nur' ein Modem geliefert wird, möchte ich dahinter eine Firewall aufbauen die das Heimnetz
(4 Wohnungen = Mietparteien - alles Familie) versorgt. Jede Wohnung bekommt (stehen schon in den Wohnungen) einen
Accesspoint+WLAN ohne eigene Firewall.

wenn vom Anbieter nur ein Modem (also kein router) geliefert wurde könntest du nicht mehr als einen PC damit betreiben (und müßte direkt angeschlossen sein)

ist das so ?

 

[AliManali]

LAN, DMZ und WLAN würd ich nicht zusammen über getagtes VLAN fahren. Ich habe auch noch keine FW gesehen, bei der das möglich wäre (habe mich allerdings auch nicht damit befasst).

Das taggen von VLAN's macht imho nur für mehrere DMZ's o.ä. Sinn.

Was Du machen kannst, ist alle Zonen (einzeln) auf den Switch fahren. So mache ich das zumindest.

Ja, der Zugriff aufs UI geht übers LAN. Du brauchst ja aber einen Port für's WLAN, sowie ich Dich verstanden habe? Wenn Du nur WAN und LAN machen willst, kannst Du genauso gut einen Router nehmen. Das trennen dieser Zonen ist ja gerade der Witz an einer FW.

 

[Sc0rc3d]

Nein, dann hatte ich mich falsch ausgedrückt. Alle vier Wohnungen sind "das Heimnetz". Dort muss nichts getrennt werden. In jeder Wohnung kommt eine LAN-Doppeldose an wo dann ein Accesspoint hinkommt der LAN/WLAN anbietet. Das läuft derzeit schon. Aktuelle sind es 4 x FRITZ!Box 7270v3. Diese werden vermutlich durch den FRITZ!WLAN Repeater 1750 ersetzt (n+ac) über die LAN-Brücke-Funktion. Es läuft derzeit alles im Keller auf den Switch auf, wo noch das NAS (HP N54L) angebunden ist. Was ich nun möchte ist:

Internet <-> Firewall <-> Heimnetz inkl. NAS.
_____________|
___________ DMZ (mein externer 'Spielplatz')

 

[AliManali]

Imho lohnt sich das UTM Feature erst ab min. 20 Clients. Ansonsten ist Virenschutz auf den Clients wohl günstiger. Auch Jugendschutz Content Filter würde ich eher auf den betreffenden Desktops realisieren.

Die Endian hat in der Community Version snort und wenn ich mich recht erinnere auch Virenschutz bei Proxy für lau dazu. Allerdings hatte sich IDS und Virenschutz bei mir nicht wirklich bewährt. Vor allem snort hat mich eher nervös gemacht, als das es mir einen Vorteil brachte. Bei der Zywall kostet das UTM jährlich, und das nicht zu knapp. Sophos kenne ich nicht, dazu kann ich nichts sagen.

Bei nur einem Netz (LAN) würde ich eher nen Router nehmen. Allenfalls einer mit echtem DMZ Port, wenn noch Server dran hängen sollen.

 

[Cyrrel]

Die Sophos Home hat ja eine Beschränkung auf 50 Clients. Langt das? Wenn ja dann wäre das schon ein nettes Stück Software. Aber je nach genutzten Features auch nicht ganz ohne was Hardware Anforderungen angeht gibt hier einen Sophos Thread. Ggf. Dort nochmal deine Frage anbringen?