Kateri router?

Ko ste že tako razigrani, kateri software namenjen UTM je na voljo za Openwrt?

čuhalev je 24. jun 2015 ob 22:37 izjavil:

Ko ste že tako razigrani, kateri software namenjen UTM je na voljo za Openwrt?

Ponavadi se 'UTM' zadeve kombinirajo s pfSense, če se kdo loteva 'samogradnje'.

trnvpeti je 24. jun 2015 ob 22:38 izjavil:

ce bos dal priblizne cene, in kaj bodo dobili za ta denar, konkretno, bos se bolj izobrazeval

Ne morem, ker bi se to potem šlo za odkrito oglaševanje, tu pa še prikrito ni zaželjeno.

Če te pa RES zanima, pa ti lahko kakšen okvirni podatek dam na ZS.

Drugače pa namig: vzameš v roke Gartnerjev MQ za UTM naprave v malih podjetjih,
pogledaš koga vse zajema, potem pa na Ebay in Amazon, da najdeš cene.
Seveda se je pred tem dobro še podučiti o modelih in cicenčnih opcijah, ki jih ima posamezni proizvajalec, da ne gledaš pri enemu ceno za rešitev z 10Gbps prepustnostjo, pri drugemi pa 50Mbps.

trnvpeti je 24. jun 2015 ob 22:51 izjavil:

ne rabis na ZS
v bistvu, boljs da ne poves cen...
pa ne bo samo ta cena, moras se povedat svetovalne ure, dokumentacija za tako firmo,...

Dokumentacija je prosto razpoložljiva, celo brez registracije.
Svetovalne ure? Isti šmoren, kot če pride expert šraufat tvojega Mikrotika. Sicer pa to odvisno od podjetja do podjetja.
Cene...morda res bolje, da ne veš, da se ti ne bo začelo kolcati :)

500e :) joke

Palo Alto Networks Firewall PA-200 Platform #PAN-PA-200
Our Price: $2,000.00

GlobalProtect Gateway subscription for PA-200 - 1 Year #PAN-PA-200-GP
Our Price: $400.00

Content URL filtering subscription for PA-200 - 1 Year #PAN-PA-200-URL4
Our Price: $400.00

Threat prevention subscription for PA-200 - 1 Year #PAN-PA-200-TP
Our Price: $400.00

WildFire subscription for PA-200 - 1 Year #PAN-PA-200-WF
Our Price: $400.00

Premium support subscription for PA-200 - 1 Year #PAN-SVC-PREM-200
Our Price: $320.00

SeMiNeSanja je 24. jun 2015 ob 23:21 izjavil:

Potem pa greš poiskati najdražjega od vseh.....

to bi pa moral ti vedeti, da se zdalec ni najdrazji

lahko povemo, da so to cene za cca 15 userjev

ali pa untangle, samo del cen...
Individual Subscriptions, 1-10 Devices
Individual
Monthly
Annual
3-Year
5-Year
App
Subscriptions
(base price)
(10% off)
(20% off)
(30% off)
A la carte apps available
Web Filter
$25
$270
$720
$1,050
from Untangle for 1-10
Policy Manager
$5
$54
$144
$210
devices.
WAN Balancer
$10
$108
$288
$420
IPsec VPN
$25
$270
$720
$1,050
Application Control
$25
$270
$720
$1,050
Web Cache
$5
$54
$144
$210
Bandwidth Control
$25
$270
$720
$1,050
Virus Blocker
$10
$108
$288
$420
Spam Blocker
$10
$108
$288
$420
Directory Connector
$7
$76
$202
$294
WAN Failover
$5
$54
$144
$210
HTTPS Inspector
$10
$108
$288
$420
Annual
3-Year
5-Year
(base price)
(20% off)
(30% off)
Live Support
n/a
$216
$518
$756
Branding Manager
n/a
$108
$259
$378

SeMiNeSanja je 24. jun 2015 ob 23:31 izjavil:

trnvpeti je 24. jun 2015 ob 23:23 izjavil:

SeMiNeSanja je 24. jun 2015 ob 23:21 izjavil:

Potem pa greš poiskati najdražjega od vseh.....

to bi pa moral ti vedeti, da se zdalec ni najdrazji

NSS Labs Security Value Map

(Y os ponazarja stopnjo zaščite, X pa ceno na zaščiteni Mbps)

Podatki so sicer lanski ampak kaj bistveno se cene tudi niso spremenile...

ceno imas za PA-3020, ki ni vstopni model

tudi upravljanje utm na lokaciji ne bodo sami delali
in to ne bo zastonj...

500e je prisla cena ven :)

zdaj si ze prisel na 500e(nisi povedal na kolk casa) za 5(kje je sele 20 , kot jih je bilo na zacetku) zaposlenih in se ne vemo, kaj je notri(lahko nic vec kot konfiguriran mikrotik z transparent proxijem,vpnjem,...)

in ko sem rekel, da si drugo zgodbo napletel(jo probava sedaj odpletat), si se neki bunil...

SeMiNeSanja je 25. jun 2015 ob 00:19 izjavil:

Tisto z 20 si ti vnesel

moj predlog mikrotik na OP, ki je rekel, da ima cca toliko klientov

SeMiNeSanja je 25. jun 2015 ob 00:19 izjavil:

Sicer se mi zdi precej krivično, da lahko drugi direktno oglašujete Mikrotike in ostale variante, poleg navajate tudi cene in kje dobiti, ampak tako so si pač izmislili pravila.

ni bilo oglasevanje, predlog je bil
in tudi obrazlozil, zakaj mikrotik, in ne kaksen z dd-wrt/tomato/...

SeMiNeSanja je 25. jun 2015 ob 00:19 izjavil:

Cena 500€ pa je veljala po istem principu, kot jo podaja večina proizvajalcev 'device + 1 leto standardnih UTM storitev'. Pod standardne UTM storitve pa se razume IPS, AV, prepoznava alikacij, spletni filter, antispam.

problem bi bil samo, ce bi dal na svojo firmo link
ce pa reces 500e, in ne ves kaj dobis, je pa zavajanje
ker teh 500e si lahko gladko zmislis

SeMiNeSanja je 25. jun 2015 ob 00:32 izjavil:

Bog vedi katerega OP-a imaš ti v mislih

sem dal reply enemu(zadnjemu), in na ta predlog si imel kaj povedal
bos pa ja tudi sam vedel, kam leti

SeMiNeSanja je 25. jun 2015 ob 00:32 izjavil:

Ampak tudi pri tem rangu se da priti skozi že za cca. 1600€+ddv z enoletno naročnino (pri tem da dobiš 2-3x večjo prepustnost, kot pri PA-200).

evo, sam se podatek, koliko bo pa drugo leto narocnina
in kolk pride se tvoje delo, da prides in popravis pravila

pa se link ti manjka , pa ne do tvoje firme

Ker ste 'prosili'...(da ne bom potem obsojen, da delam reklamo)...

V praksi naši kupci v štartu praviloma jemljejo napravo skupaj z 3-letno naročnino, kasneje pa različno podaljšujejo, eni po eno leto, drugi po 3 leta.

Kadar delam primerjave s konkurenti imam običajno kar nekaj težav, da nekako sestavim smiselno primerjavo, ker vsi nekako drugače licencirajo svoje pakete, pa tudi 'vsebina' se lahko precej razlikuje.

Pri nas se v osnovnem 'UTM' paketu dobi naprava + IPS, AV, Web filter, prepoznava aplikacij, antispam in reputacijski servis. Vključena je tudi Windows upravljalsko okolje (poleg Web vmesnika in CLI) in virtualna varianta strežnika za logiranje in poročanje, kot tudi VPN klienti. Pri napravah, ki so namenjena okoljem nad 50 uporabnikov, se v paketu dobi še licenca za centralno upravljanje 4-ih naprav.
Ves lifetime imaš z naročninami hkrati pokrito tudi HW zamenjavo v primeru okvare ter po 5 support incidentov/leto. Z enotno naročnino so pokrite tudi vse nadgradnje firmware-a in ostalega software-a.

Poleg osnovnih naročnin, ki so že zajete v paketu, je možno dodatno licencirati še APT blocker (Sandbox analiza) in DLP opcijo.
Kdor vseh zgoraj naštetih standardnih UTM storitev ne potrebuje, ima na voljo še nekoliko okrnjen NGFW paket naročnin, ki vsebuje zgolj IPS in prepoznavo aplikacij. Ta paket pri večini naprav nižjega ranga ni na voljo.

Ko delaš primerjave, moraš pri konkurentih ponavadi še prišteti loggin&reporting (+maintenance) in centralno upravljanje (+maintenance), pri nekaterih pa še VPN kliente. Nekateri potem ponujajo samo 'škatlo' in moraš nabrati naročnine posebej, drugi imajo podoben princip, kot pri nas.

Ampak generalno gledano, ponujamo najbolj obsežen osnovni paket. Ločen Logging&Reporting je pri marsikateremu konkurentu razmeroma drag in ga mnogi uporabniki sploh ne kupujejo - ne zavedajoč, da s tem izgubijo enega od bistvenih elementov takšne rešitve. Naše stranke - tudi ta najmanjše, se k sreči ne znajdejo v tej dilemi, ker imajo ta del brezplačen. Če nimajo VMware ali Hyper-V okolja, jim je na voljo AWS varianta.

Nekaj osnovnih (low end) modelov in cene (brez DDV) v SLO:

               Prip.           Zmogljivost              Naprava+naročnina     Podaljšanje naroč. 
Model          uporab. "Firewall"   "UTM"     VPN       1-leto     3-leta     1-leto   3-leta    
Firebox T10    5       200 Mbps     55 Mbps   30 Mbps   467 EUR    747 EUR    197 EUR  480 EUR   
Firebox T10-W  5       200 Mbps     55 Mbps   30 Mbps   582 EUR    923 EUR    245 EUR  598 EUR   
XTM 25         10      240 Mbps     80 Mbps   40 Mbps   822 EUR    1.313 EUR  352 EUR  854 EUR   
XTM 25-W       10      240 Mbps     80 Mbps   40 Mbps   1.019 EUR  1.638 EUR  443 EUR  1.058 EUR 
XTM 26         15      540 Mbps     108 Mbps  40 Mbps   1.179 EUR  1.889 EUR  507 EUR  1.211 EUR 
XTM 26-W       15      540 Mbps     108 Mbps  40 Mbps   1.361 EUR  2.183 EUR  587 EUR  1.403 EUR 
XTM 33         25      850 Mbps     146 Mbps  100 Mbps  1.644 EUR  2.652 EUR  710 EUR  1.713 EUR 
XTM 33-W       25      850 Mbps     146 Mbps  100 Mbps  1.852 EUR  2.956 EUR  795 EUR  1.900 EUR 
Firebox M200   60      3.2 Gbps     515 Mbps  1.2 Gbps  2.225 EUR  3.570 EUR  955 EUR  2.295 EUR

Poleg osnovnih cen so na voljo še popusti za Gov/Edu/NonProfit (20%) ter cenovno ugodne Trade-In in Trade-Up opcije.

Podrobnejše podatke o samih rešitvah se pa najde tukaj.

Zgoraj navedene naprave so na voljo tudi brez UTM naročnin. V tem primeru še vedno podpirajo DPI/aplikacijske proxije in AD integracijo, ravno tako se še vedno dobi Log&Report server in Windows upravljalsko okolje. Le tisti servisi, ki bazirajo na signaturah in storitvah v oblaku, niso na voljo. Seveda je v tem primeru cena znatno nižja. Te opcije se nekatere stranke poslužujejo za oddaljene lokacije, kadar poteka ves promet preko VPN in se filtriranje izvaja v 'Centrali', ki se jo opremi z nekoliko zmogljivejšo napravo.

Ker je bila omenjena dokumentacija - vsa je prosto dostopna na tem linku.

Koliko pride inštalacija je teško reči pavšalno, saj zavisi od mnogih faktorjev, koliko časa boš moral investirati. Istočasno pa tudi od stranke in poslovnega razmerja, ki ga imaš z njo. Najraje imam tiste stranke, ki imajo lastnega IT-jevca, ki ga popelješ skozi enodnevni crashkurs in si mu potem na razpolago, ko mu zmanjka 'štrene'. Dejansko gre lahko cena od 0 pa do ????.
Lahko pa te potolažim, da nisem še nikomur zaračunal ceno, po kakršni proizvajalec ponuja 'remote installation services' ($595 USD first 2 hours / $300 USD each additional hour) ampak bolj nekje v okviru med 25-50EUR/uro.

Drugače pa preprodajalci ponavadi tudi Mikrotike postavljajo in še nisem slišal, da bi imeli različne urne postavke za eno ali drugo. Druga zgodba pa je, kaj se potem zmenijo v okviru projektov, ko stranke pritiskajo na cene...

Only mikrotik:
- zascita priklapljanja dodatnih naprav na IP
- vlan
- vpn
- identity aplikacij (lahko tudi sam poskeniras katerokooli aplikacijo)
- kdaj, kdo , katera aplikacija dostopa od znotraj/zunaj ....
- priponke brez skeniranja
- prikaz prometa glede na parametre(mangle)
- ...

Dodatki za mikrotik(na enem serverju/racunalniku/appliance napravi)(lahko sam, smoothwall, ...)
- ids
- napredni prikaz, reporting,..
- web filtering (squid , squid quard) z avtomatskimi posodobitvami
- antispam (neomejene moznosti)
- antivirus (lahko tudi z vecimi ponudniki) z avtomatskimi posodobitvami
- ....

na hitro, kaj se lahko da na tehtnico..

Še par pomislekov glede UTM za 5oseb
- ni kadra za pregled/reagiranje/...
- pri 5osebah ne bo v DMZ kaksnega mail serverja/web serverja,...
- zaradi tega nic ne prinese kaksen ids, napredni reporting (itak bo moral zunanji odreagirat)
- pri malo notranje infrastrukture je (skoraj)vse zaprto od zunaj
- antispam/av je tudi na mail/storage/... strezniku
- pri tako malem stevilu clientov(in posledicno malo serverske infrastrukture)
je vprasljiv ucinek pregleda trafic contenta
- pri tako malem stevilu naprednih uporabnikov, je tudi(predvsem) notranji streznik dodatno zasciten(av,...)

dolg uvod, zavajanje, neresnice,... za 5 userjev :)
naj te potolazim , jz to(samo spisek je za tehtnico) ne bi delal za 5 userjev
še tam, kjer je moznost(v veliki vecini je moznost) postavit squid(verjetno tega ne uporabljas, ce prodajas blackbox(mogoce bo celo ta spisek pomagal razumeti to skatlo)) ze na obstojec hw, ne das vedno te resitve
je pa tehtnica(nanjo se lahko da marsikaj, tudi pomisleke) zanimiva stvar

@klemenSLO - se popolnoma strinjam in sem že tudi sam napisal, da je izvorna napaka, da se za 'routerje' sprašuje v isti temi, ne glede na to, ali si domači ali poslovni uporabnik, saj so kriteriji popolnoma drugačni.

Že samo če gledamo worst case scenarij, kaj se lahko zgodi domačemu uporabniku ali poslovnemu, je razlika precejšnja.

Domači uporabnik bo v najslabšem slučaju oropan svojih prihrankov, v javnost lahko pridejo fotografije ali drugi občutljivi zasebni podatki. Zadeva je lahko zelo boleča, vendar vsaj pri prihrankih lahko v večini primerov pričakuješ, da bo izgubo pokrila banka.

Poslovni uporabnik je tudi lahko soočen z praznjenjem računa, pri čemer 'pomoč' banke nikakor ni več samoumevna. Poslovni podatki lastnega podjetja in tretjih, ki jih hraniš na računalniku, so lahko tako občutljive narave, da 'pobeg' teh podatkov lahko predstavlja tudi konec za tvoje podjetje.
Ne vem koliko je verjeti ameriškim statistikam, ki pravijo, da 60% podjetij, katerih omrežja so bila kompromitirana, propade v 6 mesecih od vdora.
Tudi če jih je samo 10% - bi vi želeli, da je med njimi vaše podjetje?

Zaostruje se tudi EU zakonodaja glede varovanja osebnih podatkov, vključno z obveznostjo poročanja in sankcijami za tiste, ki te podatke niso ustrezno varovali. Vrag pa je, da so danes že skoraj vsi podatki, kjer se poleg pojavi neko ime, klasificirani kot osebni podatki.

Ko se gre za naše zdravje, se v preventivo zganja boga in pol. Od zdrave prehrane, športa, pa vse tja do jemanja vitaminskih preparatov in kakšnih resnično mističnih stvari. Poleg tega pa še hodimo na preglede.

Mreža v podjetju je kot človeški krvni obtok. Koliko kdo naredi zanj, pa se zelo razlikuje. Če so računalniki neke vrste 'organi', si lahko predstavljamo, da se posamezni organ še lahko nadomesti, ko pa je enkrat prizadet krvni sistem, pa lahko pride do kolapsa sistema, odpovedi vseh organov.

Preventivni pregledi? Ja - v velikih podjetjih. V manjših, pa jih ne bomo videli, niti v tistih, ki vsakodnevno barantajo s kopico strogo zaupnih osebnih podatkov svojih strank.

Podatke se da povsod ukrasti. Če ne drugače, pa ugrabiš direktorjevo družino in od direktorja za 'odkupnino' terjaš podatke.
Vendar mislim, da ni govora o tovrstnem odtekanju podatkov, temveč o tistem, ki bi se ga dalo z neko znosno investicijo v varnost preprečiti. Taka 'investicija' se prične pri ozaveščanju uporabnikov, gre preko načina, kako se dela s podatki (Dropbox, imaš prostor za naše excel datoteke?), pa vse tja do AV programov in požarne pregrade.
Opustitev ali omalovaževanje katerekoli od teh komponent ni 'varčevanje' ampak preprosto malomarnost.

V tujini se takšno malomarnost že kar nekaj časa sankcionira s zelo sočnimi kaznimi (malo googlajte, koliko to stane v Angliji). Pri nas pa še tako daleč nismo prišli, da bi se s prstom pokazalo na tistega, ki za takšno malomarnost nosi odgovornost.

Ko se bomo pričeli pogovarjati o odgovornosti, se bo zelo hitro začalo spreminjati tudi dojemanje glede tega, kaj so minimalni standardi, ki bi jih morali imeti uveljavljene v podjetju.

V tujini trgovce že leta prisiljuje PCI DSS, da vsrnost uredijo do določene stopnje. Pa nima veze, ali se gre za trafiko, v kateri sta dva zaposlena, ali za neko veliko trgovsko verigo, kot npr. Mercator.
Kdorkoli trdi, da je za malo podjetje 'overkill', da bi pogledali alarme, ta si naj gre pogledati PCI DSS, kaj pravi o tem.

Ravno zaradi takšnih 'patronov', ki stvari ne jemljejo resno, se zavira napredek na tem področju. Za avto je vsakomur jasno, da mora iti opraviti vozniški izpit, poznati prometna pravila in znake, če želi na cesto.
Na področju informatike pa je preveč zahtevano, da v malem podjetju nekdo tedensko pogleda poročilo požarne pregrade, če kje piše beseda 'virus' ali 'botnet'? Že res, da nek špediter ne bo razumel povezave vseh prikazanih parametrov v tedenskem poročilu. Ampak toliko se ga pa že da naučiti, da bo pogledal, kateri računalniki so bili največkrat blokirani, pa da pokličejo ustreznega strokovnjaka, da pogleda, zakaj na tem seznamu eden izstopa z 10x večjim številom od ostalih?

Tudi ko govorimo o zdravju, se od nikogar ne pričakuje, da je sam svoj zdravnik. Ampak če ti termometer pokaže, da imaš 42 stopinj vročine, se pa verjetno boš podal do zdravnika, da pogleda, kje je razlog za to?

Popolnoma enako bi moralo biti tudi v malih podjetjih. Ampak ja, če je problem kupiti in uporabiti tisti 'termometer' in pokličeš zdravnika šele takrat, ko se ti začne megliti pred očmi, potem se nikar ne čudi, če ti bo 'zdravnik' moral povedati, da ne more ničesar več naresti zate.

trnvpeti je 26. jun 2015 ob 10:59 izjavil:

PR tudi mora biti
svetovanje in tehnicni del je pa druga stvar

PR?
Arnes, SI-CERT, Varni na Internetu in kaj vem kere organizacije še, se vam trudijo že leta dopovedovati, da ne klikajte na vsak link, ki se vam prikaže, da ne odpirajte vsake priponke, ki vam vleti na mail.

Je to res skrajni nivo 'varnosti', ki ga je povprečni 'Janez' še sposoben dojeti?

V 30 letih interneta, bi si mislil, da smo že počasi nared, da gremo en korak naprej. Ampak takšni kot ti, me prepričujete, da temu očitno ni tako.

Sicer pa so takšni, kot si ti, pred 20 leti tudi za AV kvasili, da je samo PR in FUD. Res ne vem, zakaj se pretvarjate, da se nevem kaj spoznate v zadeve, na koncu pa zavajate folk s svojim amaterskim razmišljanjem.

Kaj za avto tudi govoriš, da ni problema, če greš na cesto z zlizanimi gumami, pa da je samo PR, če kdo pravi, da rabiš vsaj 3 oz. 5mm profila, pozimi celo zimske gume? Glede na obnašanje, si lahko mislim, da si do uvedbe zakona ljudjem govoril, da tudi pozimi komot gredo na cesto z zlizanimi letnimi gumami.

Očitno se tudi na področju informatike ne bo spremenilo nič, dokler se zakonsko ne bo določila minimalna zaščita?

Že samo če gledamo worst case scenarij, kaj se lahko zgodi domačemu uporabniku ali poslovnemu, je razlika precejšnja..

Drži, ampak si preveč posplošil. Zelo je odvisno od tega, kako veliko je podjetje, kaj počne in kako to počne. Enako za posameznika.

Marsikateri posameznik ima na računu več sredstev kot podjetja (čeprav imajo ta lahko visok promet, operirajo bolj "na knap"). Enako ima lahko podjetje pri sebi zelo občutljive, zaupne ali vredne podatke, lahko je pa največ, kar jim ukradejo, cenik njihovega dobavitelja.

Ne moreš vsega vreči kar v isti koš.

Očitno se tudi na področju informatike ne bo spremenilo nič, dokler se zakonsko ne bo določila minimalna zaščita?

To je bolj boga rešitev. Potem večinoma samo prisiliš nekoga, da gre po seznamu in slepo dela kljukice samo zato, ker jih mora.

aha, te zmotlo mikrotik ime
no sej dodatki(syslog, log analyzer, trafic flow, squid) lahko priklopis tudi na kaj drugega z drugim imenom :)
pa ja ne mislis, da v 15+ let se nisem nic nadgradil?

SeMiNeSanja je 26. jun 2015 ob 12:04 izjavil:

trnvpeti je 26. jun 2015 ob 11:54 izjavil:

aha, te zmotlo mikrotik ime
no sej dodatki(syslog, log analyzer, trafic flow, squid) lahko priklopis tudi na kaj drugega z drugim imenom :)
pa ja ne mislis, da v 15+ let se nisem nic nadgradil?

Ne, zmotilo me je to, da nakladaš o stavreh, ki jih tudi poskusil še nisi sestaviti skupaj, zorkestrirati in vzdrževati - kot da bi to počel vsak dan.

Če bi se omejil na tisto, kar si dejansko kdaj tudi probal naresti in posredival resnične lastne izkušnje, ne pa nekaj, kar si nekje prebral 'da se baje da naresti', me zagotovo nebi nič zmotilo.

kdo je rekel, da ne?

SeMiNeSanja je 26. jun 2015 ob 12:24 izjavil:

trnvpeti je 26. jun 2015 ob 12:07 izjavil:

kdo je rekel, da ne?

Prosim nehaj trollati.

se lahko samo tolazis...

SeMiNeSanja

V tujini trgovce že leta prisiljuje PCI DSS, da vsrnost uredijo do določene stopnje. Pa nima veze, ali se gre za trafiko, v kateri sta dva zaposlena, ali za neko veliko trgovsko verigo, kot npr. Mercator.

In potem bereš, kako so vdrli v njihov bazo in ukradli XY milijonov nezasoljenih & nekriptiranih podatkov o strankah & kreditnih karticah.


https://slo-tech.com/novice/t637566
https://slo-tech.com/novice/t629053
https://slo-tech.com/novice/t621338
https://slo-tech.com/novice/t597726
https://slo-tech.com/novice/t595737
https://slo-tech.com/novice/t588568

P.S.: ravno zato sem mnenja, da bi morali tisti, ki na takem forumu sodelujejo in so strokovno vsakodnevno vpeti v te zadeve skušati vsaj nekaj teh dobrih praks prenašati naprej na uporabnike, ki se s tem ne ukvarjajo vsak dan, ali pa jim to sploh ni ožje strokovno področje.

'Spodjebavanje', kakršno nekateri tu uprizarjajo, k temu prenosu znanja in izkušenj zagotovo ne prispeva.