[Kaufberatung] S: Hardware Firewall

[Pstar]

Hi Leute,

ich benötige für meinen Heimarbeitsplatz eine HW-Firewall.
Nun hab ich schon die letzte Nacht Google gequält aber nichts wirklich sinnhaftes gefunden.

Hat jemand Empfehlungen ?

Für mich gibt es folgende Möglichkeiten:

-Banana PI Router und OpenWRT
-gebrauchte HW-Firewall von Netgear, Juniper, Sophos oder Watchguard. Sind in der Regel aber alte Modelle und da weiss ich nicht wie sicher das ist.
- Mini ITX System mit 2 Nics und IPfire oder eine andere spezifische Linux-Distri ?

Über jeden eurer Vorschläge bin ich froh

Grüße

 

[Pstar]

Aus Sicherheitsgründen ,

nein Spaß beiseite. Ich hänge per LAN an eine Fritzbox die in der unteren Wohnung steht und mit Ihren Bewohnern die DMZ stellt .
Aktuell hänge ich da per Gbit mit einem normalen Switch dran, da ich mein Netzt aber gerne getrennt hätte auf Grund von Home-Office sowie NAS und verschiedenen anderen Dienste benötige ich zusätzlich eine HW-Firewall.

Grüße

 

[NTB]

Ich glaube, ich würde einfach einen Router nehmen. Oder spricht da etwas gegen?
Ansonsten pfsense oder ipfire auf irgendwas installieren.

 

[UsAs]

Dafür hätte ich mir auch einfach einen Router hergestellt und dann DD-WRT o.ä. raufgeknallt. Sollte für das geforderte Szenario ausreichen.

 

[KingArthur0502]

Ich lese aus Deiner Signatur heraus, dass Du eine Fritz!Box verwendest.
M.W verfügt diese über eine Firewall, sodass eine weitere für den Heimgebrauch nicht notwendig wird?!
(Bei Fehlern/Unwissenheit bitte ich zu korrigieren|Man lernt nie aus)

 

[hominidae]

....die Fritz bedient wohl mehrere Nutzer gleichzeitig und man will etwas mehr Privatsphäre....wurde oben ja schon beschrieben.
Ein normaler Router macht das...eine "echte" Firewall ist nicht nötig...einfach ein Router der nochmal NAT macht.
Evtl eine zweite Fritz, dann könntest Du auch die Telefonie der Haupt-Fritz mitnutzen...ansonsten ein normaler Router ohne Modem...wurde ja auch schon gesagt.

 

[Pstar]

Die Fritzbox wird von KabelBW gestellt, das führt dazu das das interne Netz nicht unbedingt privat bleibt.

Grüße

 

[NTB]

Warum?

 

[Pstar]

Weil die im Supportfall genau sehen was du im Netz hast. Welche Rechner usw.

 

[gemm]

Hol dir ein Mini ITX Board mit J1900 Celeron oder in einer ähnlichen Leistungsliga. Sollte zwei Netzwerkkarten haben - idealerweise von Intel. Damit bist du bei weitem leistungsfähig genug für eine Firewall. Dazu ein Gehäuse mit kleinem Lüfter, eine Pico PSU + externes 12V Netzteil, eine kleine (z.B. 16-32GB) PCIe Mini Card SSD und z.B. 2x4GB RAM SODIMM. Darauf kommt pfsense als Firewall Distribution.
Das Ganze setzt du zwischen die KabelBW Fritzbox und deinen hausinternen Router. An der KabelBW Fritzbox schaltest du den verwendeten LAN Port in den Bridge Modus (du hast doch hoffentlich einen Office Tarif für Business Kunden bei KabelBW geordert und keinen Privatkundentarif ? Falls nicht -> schleunigst ändern lassen.) Damit kannst du alles was du an Filtern haben möchtest realisieren. Zusätzlich kannst du so netten Kleinkram wie Virenscanner, SNORT/Barnyard, usw. auf deiner pfsense Box laufen lassen.

Es lohnt sich je nach Netzlast in ein mini ITX Board mit 2x Intel NIC zu investieren, denn diese haben deutlich höheren Durchsatz bei deutlich geringerem Rechenaufwand als alle anderen. Dafür kosten die Boards in der Anschaffung mehr. Das Supermicro X10SBA wäre z.B. so ein Fall - liegt aber um 200 Euro. Andere Boards kosten weniger als die Hälfte. Musst du wissen, was dir wichtig ist.

So eine Firewall läuft dir jahrelang ohne große Probleme und hat immer noch leistungsmäßig Luft nach oben. Außerdem braucht es nur um die 10W und verursacht damit nur moderate Betriebskosten.

 

[hostile]

m0n0wall kann ich empfehlen, aber ipfire oder pfSense geht genauso gut. Ich selbst benutze netfilter/iptables.

- - - Updated - - -

PS: Such bei ebay mal nach Alix bzw. PC Engines, die haben gute embedded boards.

 

[p4n0]

Die Alix / Embedded Dinger kann man allerdings nicht 'ohne weiteres' updaten.
Man muss fuer nen Update immer die ganze Karte neu flashen, was den Betrieb im long-run umständlicher macht...

 

[NTB]

Weil die im Supportfall genau sehen was du im Netz hast. Welche Rechner usw.

Das verstehe ich nicht.

 

[Pstar]

Habe mir jetzt einen MinITX Rechner geholt mit nem Dualcore Atom. 4GB RAM. Ne 120GB Samsung SSD eingesteckt und IPFire installiert. Läuft Top

 

[gemm]

m0n0wall kann ich empfehlen, aber ipfire oder pfSense geht genauso gut.

Das m0n0wall Projekt ist seit anfang letztem Jahr beendet und wird nicht weitergeführt. Es hat sich alles auf den fork pfsense verlagert. m0n0wall würde ich nicht mehr einsetzen.

Habe mir jetzt einen MinITX Rechner geholt mit nem Dualcore Atom. 4GB RAM. Ne 120GB Samsung SSD eingesteckt und IPFire installiert.

Lass mal Details hören. Welches Gehäuse, wie warm wird das Gerät wie liegt der Verbrauch und wie ist die Auslastung ? Auch Langzeiterfahrungen wären nützlich d.h. wie oft musst du die Maschine rebooten, wie zuverlässig laufen die automatischen updates usw. Hast du einen Virenscanner laufen ? Intruder detection oder sogar prevention ? Proxy (z.B. TOR) ? Laufen auf deinem Firewall noch andere Dienste ? Verwendest du ihn zusätzlich als Router oder hängt ein extra Router dahinter ?

 

[sysctl]

Huch, hier hat ja noch niemand moniert, dass drei Leute behaupten "da brauchst du keine Firewall, sondern ein doppel-NAT", obwohl es genau andersrum ist.

 

[hostile]

Das m0n0wall Projekt ist seit anfang letztem Jahr beendet und wird nicht weitergeführt. Es hat sich alles auf den fork pfsense verlagert. m0n0wall würde ich nicht mehr einsetzen.

Ach Mensch, sieh mal an. Das find ich traurig. Ich habe lange Zeit m0n0wall benutzt - ab 2005 oder so...

 

[Pstar]

So Maschine läuft seither durch,

CPU-Last is bei 8% im Durchschnitt, mittlerweile hab ich auch noch ClamAV und einige andere Dienste am laufen.
Funktioniert perfekt. Hab IPfire jetzt auch auf einem ALIX-Board bei meinen Eltern am laufen.

Das ALIX-Board ist langsamer und hat wenig Speicher aber verbraucht auch nur ca. 4 Watt.

Grüße

 

[JojoTheMaster]

Das m0n0wall Projekt ist seit anfang letztem Jahr beendet und wird nicht weitergeführt. Es hat sich alles auf den fork pfsense verlagert. m0n0wall würde ich nicht mehr einsetzen.

SmallWall