VPN in oddaljene pisarne

Pa začnimo z odgovori:
a) načeloma ti vsak slovenski internetni operater lahko ponudi vsaj statični IP naslov, z nekaj papirologije (ripe obrazci) pa kak subnet, torej cel skupek statičnih IP naslovov; nekateri gredo celo korak dlje, in ti, če imaš na vseh lokacijah istega ponudnika, omogočajo lastne VPN rešitve (MPLS/VPLS)
b) vsekakor... 'network design' je sila pomembna reč, morebiti boš videl, da bi /24 (256 IPjev) bilo premalo za določeno lokacijo, pa bi lahko dodeljeval recimo /16 (65536 IPjev) na posamezno lokacijo.. ki bi jih potem seveda naprej razbil v /24-ke... eden za DMZ, drugi za računovodstvo, tretji za tajništvo, ... priporočam, da pridobiš kakšno pomoč na to temo
c) na glavni lokaciji je vsekakor priporočeno imeti zmogljivejši usmerjevalnik, bolj kot to, pa je pomembno imeti zanesljivo in hitro linijo do interneta (najbolj sigurno je, da sešteješ pasovne širine vseh oddaljenih lokacij, prišteješ še zahteve glavne lokacije, in naročiš linijo)... če si lahko privoščiš, postavi dva usmerjevalnika, zato da bo eden v pripravljenosti, če primarni zaštrika (kakšen VRRP ali kaj)
d) na trgu je cel kup proizvajalcev, ki omogočajo 'VPN' rešitve.. bodisi PPTP, L2TP, IPSec, SSTP, ovpn, ... ker boš iz nule postavljal več lokacij, svetujem enega samega vendorja, saj bo verjetno več popusta na naprave, če jih boš kupil v paketu, če ne druga; velika verjetnost pa je, da se bosta tudi usmerjevalnika različnih proizvajalcev lahko pogovarjala v istem jeziku, če podpirata isti protokol

zelja_1) road warrior vpn... ja, načeloma lahko s kjerkoli po svetu dostopaš do VPN-a (če ga kdo vmes ne blokira), in potem usmerjaš ves internet čez šifrirano povezavo, svetujem kak SSTP, ker se tcp/443 redkokdaj blokira

zelja_2) da, to je bolj priporočeno (torej se v Mariboru le promet za Ljubljano usmerja čez VPN, ostalo gre direkt ven)

Priporočam, da pogledaš opremo Mikrotik (RouterBoard), ter za nadaljnje svetovanje in morebitno vzpostavitev poiščeš strokovno pomoč, saj sprašuješ dosti začetniška vprašanja :) Šefi pa verjetno ne bodo veseli, če bo zadeva slabo postavljena.

Jaz pa se osebno izogibam Draytek usmerjevalnikom, ker so pred časom imeli nek grd bug, ki je omogočal izkoriščanje sistema za DrDOS napade (imel je odprt DNS razreševalni strežnik). Upam, da so zadevo v novejših firmwareih že odpravili...

Če se že reklamiramo, tudi jaz se bavim z implementacijami takšnih rešitev :) Več na ZS

Gapi je 17. mar 2014 ob 16:58 izjavil:

Še en glas za mikrotik .........

No comment!

Jaz sem OP-u zasebno zastavil še kopico dodatnih vprašanj, pa še ne vem, kaj bi bilo optimalno zanj. Vi pa kar čez palec "Mikrotik naj bo!".
Resnost je nekaj drugega.

Pa nimam nič proti Mikrotiku, če je uporabljen tam, kjer mu je mesto!

Zdravo in hvala za dosedanje odgovore.

Tisto česar nisem omenil, pa bi očitno moral, je sledeče:
- oddaljenih lokacij je zdaj cca 6. Usmerjevalnik naj bo dimenzioniran na vsaj 15 lokacij (oz. 15 hkratnih VPN povezav), za primer razširitve poslovanja.
- na vsaki lokacijo bodo max 3 uporabniki, izjema je centralna lokacija kjer bo max 5 uporabnikov, pa še to ne vedno.
- zakaj se sploh gremo ta projekt? Kot omenjeno, na centralni lokacij bo file server. Nanj se bodo odlagali poskenirani dokumenti in različne tekstovne datoteke. Kar se zna še postaviti je videonadzor lokacij -> na oddaljenih lokacijah bo IP kamera, ki bo streamala v Ljubljano (cent. lokacija) na strežnik, ki bo hranil zgodovino posnetkov za recimo 7 dni nazaj. S tem upam, da sem odgovoril na obremenjenost samih (VPN) povezav, da boste lahko lažje predlagali dovolj zmogljiv usmerjevalnik
- UTM/appliancei zdaj niso v načrtu, bo pa vsaka delovna postaja zaščitena s protivirusnim programom.
- subneti oddaljenih lokacij se ne smejo videti s seboj, lahko pa vidijo centralno lokacijo oz. samo file server. Bo potreben namenski firewall ali bo "izbrani" usmerjevalnik na centralni lokaciji dovolj?

Prosil bi, da tisti, ki tržite tovrstne zadeve, demonstracije/linke pošljete na ZS. V temi pa bi rad obdržal argumentirane predloge in nasvete. Pa upam da ne bo prevladalo "svaki cigo svoga konja hvali" :)

Glede Drytek-a priporočam, da si prebereš kar piše na smallnetbuilder.

Če samo na dve bistveni točki pokažem:

Site-to-Site VPN

The 2920 also supports standard IPSec options for creating a VPN tunnel between two or more routers. The 2920 can have up to 40 defined VPN tunnels, but only 2 can be active at any one time.

Zelo veliko o primernosti pove tudi test VPN performans: IPSec Site-to-Site 15,9Mbps

S tem mislim, da ni več potrebno naprej razpravljati o tem routerju, ker ne ustreza najbolj osnovnim zahtevam, ki jih ima OP - brez ozira na to ali je komu proizvajalec všeč ali ne.

Projekt je zelo ambiciozen, žal pa se mi zdi, da OP še ne razume, kako zelo ambiciozen:

1 IP kamera v resoluciji 640*480 in 7fps porabi 2,5Mbps - pri čemur se priporoča še 40% rezerve. To pomeni, da bi bilo imeti na oddaljenih lokacijah samo za kamere rezerviranega upstream bandwidth-a 3,5Mbps - ob dokaj skromni sliki. Če se ignorira 'rezervo', bi še vedno potreboval povezavo, ki bi imela najmanj 4Mbps upstream kapacitete.

Ko se to vse zgrne nad centralno lokacijo, nastane pri 10 lokacijah samo na račum videa najmanj 25Mbps prometa, če pa upoštevaš še rezervo, moraš planirati na 35Mbps. Če želiš, da bo zadeva zdržala tudi potem, ko boš imel 15 kamer, moraš že danes planirati dobrih 50Mbps.

K temu pa je potem potrebno prišteti še data promet.
Skeniran A4 list v PDF znese cca. 1-1,5 Mb (vsaj tisti, ki sem jih jaz nazadnje skeniral). Verjetno ne bodo vse oddaljene lokacije istočasno nalagale skenirane dokumente, definitivno pa na WAN odpade uporaba SMB ker je preveč počasen, pa še prekinjenega prenosa ne zna reštartati od mesta prekinitve. FTP je tu bistveno bolj na mestu in ga ni problem vzpostaviti na katerikoli platformi.

Če danes začneš s 50/50 na optiki boš za nekaj časa pokrit, lahko pa računaš, da boš nekoč (če se načrti s širitvijo izidejo) moral nadgraditi na 100/100.

Jaz bi na centralno lokacijo postavil UTM in ne Mikrotika, ker nebi imel čiste vesti in bi se zdel samemu sebi šalabajzer, če bi uporabnika prepustil v veri, da je s tem kaj naredil za varnost. Lahko še tako zapiraš porte, vendar manjkajo vsi dodatni varnostni mehanizmi, brez katerih si jaz danes nebi upal hraniti osebnih in finančnih podatkov. Tu se pač razhajajo mnenja 'povezovalcev' in 'varnostnih paranoikov'. Mikrotik je USMERJEVALNIK in NI varnostna rešitev. Kdor ga v svojih rešitvah uporablja, naj ga uporablja tam, za kamor ga proizvajalec dela, ne pa da ga prodaja kot ultimativno ceneno zaščito, za kar ni bil nikoli delan. Čisto OK je, če ga uporabljajo telefonisti za point-to-point povezavo kjer ne prepuščajo čez ničesar drugega kot IP telefonijo med dvema znanima IP naslovoma, ravno tako je OK, če usmerja promet pred požarno pregrado. OK je tudi, če ga uporabljamo za segmentacijo omrežja izza požarne pregrade. Ne pa NAMESTO požarne pregrade poslovnega omrežja, ki hrani občutljive osebne in finančne podatke!

Z mojega vidika, je bil celoten projekt zastavljen nekoliko prenagljeno, ne da bi se preračunalo, kaj dejansko pomeni shranjevanje videa na centralno lokacijo, koliko pasovne širine je za to potrebno in kakšen HW se za podporo tega dejansko potrebuje, da ne govorimo o tem, kakšne vrste zaščite je tu na mestu.
Predvidevam, da OP-u manjka izkušenj na tem področju in upam, da bo pazljivo prebral nasvete ter mnenja in še enkrat premislil projekt oz./ali proračun, ki ga zanj predvideva.

Priporočam tudi, da si nekje pusti demonstrirati Mikrotika, kako se ga upravlja in podrobno razložiti, kaj lahko za varnost njegovega omrežja nudi.
Enako pa naj si gre nekam pogledati demonstracijo spodobne UTM rešitve, kako se to upravlja in kaj to nudi za varnost njegovega omrežja.
Priporočam, da obe demonstraciji obišče skupaj z direktorjem - koneckoncev ta določa proračun. Če bo direktor rekel 'dam največ 2000€', potem naj tudi ve, kaj to konkretno pomeni in se zaveda, kaj bo za ta denar dobil - seveda pa tudi prevzame odgovornost za odločitev.

Vem, da me bodo ljubitelji Mikrotika napadli, kaj se 'spet grem'. Vendar jaz vsaj približno poznam razliko med povezovanjem in varovanjem omrežja. Če bi se šlo zgolj za povezovanje, je Mikrotik odlična izbira, saj zgoraj imenjeni model(baje) zmore do 800Mbps IPSec prometa - brez licenčne omejitve, koliko tunelov lahko poganjaš. Toda ko pridejo v igro osebni podatki, se je treba pogovarjati tudi o varovanju. Tu pa SPI filtriranje povezav ni več dovolj.

darkolord je 17. mar 2014 ob 23:15 izjavil:

SeMiNeSanja> samo za kamere rezerviranega upstream bandwidth-a 3,5Mbps - ob dokaj skromni sliki

Malo sicer pretiravaš, s takim bandwidthom brez težav prenašaš odlično 720p@25 sliko.

Sem uporabil 'bandwidth kalkulator' enega od proizvajalcev kamer/snemalnih sistemov - vsaj teoretični bi moral dati 'uporabne podatke' od sebe.

darkolord je 17. mar 2014 ob 23:15 izjavil:

SeMiNeSanja> SMB ker je preveč počasen, pa še prekinjenega prenosa ne zna reštartati od mesta prekinitve

Zakaj bi se pa prenos prekinil?

Tebi vedno vsi prenosi potekajo 100% gladko? Saj načeloma stvari 'delujejo' - ampak ko se ti najbolj mudi zvleči kakšen ISO, bo pa zagotovo kje kakšen škrat - če ne drug pa čistilka z metlo, ki se bo zataknila ob stikalo.
Ampak resno - SMB preko VPN je neuporabno počasen. Sam uporabljam FTP kadar je le možno. Že samo sprehajanje med mapami je na SMB nočna mora. Če je pa potem še mapa nabita z datotekami, pa ti po možnosti gre še kakšen refresh delati vmes...potem sam prekineš zadevo, tudi čistilke ne rabiš.

Jaz nimam nobenih od naštetih težav pri uporbi FTP strežnika na Windows serverju.
Za resnejše (od zunaj) zadeve pa imam SFTP server, ki je tako skonfiguriran, da nima veze z Windows userji (cena licence cca. 12.000EUR).

Če pa malo pogledaš v svet 'malo resnejšega' IT-a, na področje 'Managed File Transfer' rešitev, pa takointako vse teče preko SFTP. Tako da ne govori preveč grdo čez njega.
Je pa res, da je navaden FTP priporočljiv samo za interne in 'anonymous' zadeve.

Ne govorim o težavah pri nadaljevanju, ampak da mora to delovati seamless.

Npr. v Wordu dam File -> Save, izberem direkt mapo na strežniku in kliknem OK. Vmes se mi prekine povezava, pa še malo popravim dokument, preden ponovno kliknem Save.

Jah, vem da nista idealen par, ampak tak scenarij je tipičen pri corporate file serverju.

NFS (btw, NFS server je v Windows Serverju) je pa praktično isti šmorn kot SMB; bolj primeren je kvečjemu če imaš zelo heterogeno okolje ali večino ne-win clientov.

Glede odlaganja datotek sta edina pogoja, da na lokalnem računalniku vidim network share iz file serverja, ki bi po možnosti bil 'home' folder tega računalnika/uporabnika. Drugi pogoj pa seveda, da je zadeva večino cajta uptime. Zadeva se bo bolj uporabljala za odlaganje datotek in bolj poredko za branje/odpiranje.

a MPLS ne pride v postev ?

No to, da razmišljajo o centralizaciji je že ok

Mogoče nebi bilo slabo če bi napisal seznam kaj vse že imate. Drugače pa v kolikor je cilj poceni rešitev, določite "glavni server" (eno Win Serv boxo že imate si napisal?) pa pred njega postavite gateway z OpenVPN + ClamAV + Snort pa rešeno

Ta 93. člen govori o katerih osebnih podatkih? Tistih, ki jih pokriva ZVOP? Seveda, če ima avtor teme sploh opravka s tem...

druga stvar pa je, da še sploh ne vemo kak budget je v planu.

Mesar je 19. mar 2014 ob 16:36 izjavil:

Ta 93. člen govori o katerih osebnih podatkih? Tistih, ki jih pokriva ZVOP? Seveda, če ima avtor teme sploh opravka s tem...

druga stvar pa je, da še sploh ne vemo kak budget je v planu.

Zavarovalničarji imajo več podatkov o nas, kot nam je ljubo!

Samo če avto zavaruješ, imajo vse tvoje osebne podatke, kot tudi vse podatke o avtu, vključno z registracijo in vsemi prometnimi nerodnostmi, ki si jih doživel.
Ti podatki povsem zadoščajo, da lahko tretja oseba naredi lažno odškodninsko prijavo in obere zavarovalnico, ti se boš pa potem čudil, kako ti je šel bonus k vragu.

Ko greš na področje življenjskih zavarovanj in raznih nezgodnih zavarovanj, pa postane zadeva še bolj kočljiva, saj poleg osebnih podatkov hranijo tudi tvojo zdravstveno dokumentacijo iz posameznih odškodninskih zahtevkov. Podatki, s katerimi se res ni za hecati.

Premoženjska zavarovanja - super informacija za potencialne tatove, saj jim lepo pove, kje se splača vlomiti in kaj lahko pričakujejo, da bodo našli. Če si na račun alarmne naprave znižal zavarovalnino, bodo tudi zanjo vedeli in se ustrezno pripravili.

Je potem sploh še za diskutirati če zadošča zgolj navaden ACL na routerju za varovanje takih podatkov?

Točno tako, kot praviš - megla.

Nikjer nobenih konkretnih 'minimalnih standardov', ki bi se sproti prilagajali s stanjem tehnološkega razvoja, panožne ocene ogroženosti in občutljivosti podatkov.

Jaz že leta trdim, da imamo cel niz inštitucij, ki 'pridigajo' varnost na internetu, nobena pa ne naredi tistega koraka, da bi se nekje pa magari za začetek zgolj kot priporočilo definiralo 'minimalne standarde', po katerih bi se lahko podjetniki orientirali.

Če se v računovodstvi točno ve, kaj moraš imeti, o čem voditi evidence, poročati, pa vse tja, do tega kateri podatki morajo biti napisani na računu - zakaj mora potem biti v informatiki toliko megle?

Medtem, ko se američani tresejo pred PCI DSS, se pri nas nanj požvižgajo tudi tisti, ki bi mu načeloma morali biti zavezani - še celo marsikatera banka ne izpolnjuje PCI DSS v celoti.

Po moje nikomur nebi škodovalo, če bi si z neta prenesel PCI DSS self assessment formular (mislim, da nekje mora obstajati celo slovenska verzija) in pogledati, koliko od tistih checkbox-ov lahko oni v svojem omrežju obkljukajo pod stolpcem 'izpolnjujemo'. Koneckoncev PCI DSS ne zahteva nečesa nerazumnega in ga lahko jemljemo kot zbirko dobrih praks, tudi če ne poslujemo s kreditnimi karticami.

SeMiNeSanja je 19. mar 2014 ob 22:12 izjavil:

Medtem, ko se američani tresejo pred PCI DSS, se pri nas nanj požvižgajo tudi tisti, ki bi mu načeloma morali biti zavezani - še celo marsikatera banka ne izpolnjuje PCI DSS v celoti.

Dokler ne poslujejo s tujino, je to res malo mimo. Standarde imaš ponavadi zaradi tega. Recimo VISA lepo zahteva svoje standarde in če jih ne izpolnjuješ, tista črna škatlica, ki jo VISA zagotovi za kartično poslovanje, preprosto neha delat. In vse transakcijo z VISA kartico preko tebe ne delujejo.

Se je zgodilo na Bankartu ...

Pa da vprašam - kateri usmerjevalnik pa je zmožen furati 10-15 hkratnih tunelskih povezav, brez da bi ga moral vsak mesec resetirati?

Mikrotiki definitivno

@Podli112 - Predenj si se lotil komentiranja, bi se vsaj potrudil, da bi prebral, za kaj se pri celotni problematiki gre.

Ker se nisi in nabijaš v prazno, bom tvoje komentarje ignoriral, saj niso relevantni in ne doprinašajo k temi.

Glede PCI DSS, pa si takointako samo ponovil za mano, da za vse ostale, ki niso v kartični industriji, ta standard, oz. vprašalnik predstavlja 'plonk ceglc' dobrih praks - veliko tega, kar je notri, namreč velja za vsako podjetje.

Pa prosim ne nabijaj, da ne razumem, da je treba preceniti "razmerje med pomembnostjo podatkov / sistemov, ki jih ščitiš, in investicijo" - pozanimaj se pri OP-u, če mu nisem točno to napisal vsaj 2x na zasebno sporočilo.

Ni mi všeč tvoj odnos, da se zapodiš vame, samo zato, da bi me obtoževal, da skušam OP-u nekaj vsiliti. Jaz mu želim prikazati možnosti - odločiti se bo pa moral takointako sam.
Ne razumem, kaj je slabega pri tem, da se nekomu pokaže možnosti, ki so na voljo, mu predlaga, da naj se poduči o prednostih in slabostih posameznih možnostih, ter ceni?

Kar ti govoriš o 'črnih škatlicah', da so drage kot pes, v nekaterih primerih sicer drži, nikakor pa ne v vseh - danes so na voljo tudi alternative za bistveno bolj sprejemljivo ceno - vendar se je treba tudi kaj razgledati, kaj na trgu obstaja in ne vztrajati na nekem spoznanju, ki te je bog vedi kdaj 'prešinilo'.

Ravno tako ti tudi nebi škodovalo, da bi osvežil znanje glede tega, kaj je razlika med 'črnimi škatlicami' in nekim Mikrotik-om. 90% uporabnikov tega znanja namreč nima! Samo zato, ker si nekje slišal, da so za 'škatlo' dali 10+kEUR, namreč še ne pomeni ničesar, če ne veš kaj so dejansko dobili za ta denar. Včasih je taka investicija proč vržen denar, včasih pa je lahko tudi dobra naložba, včasih lahko sumiš na korupcijo, drugič pa so lahko naredili preklemasko dober posel, če so za 10kEUR pokrpali zadevo. Tu ni uravnilovke, kakršno bi ti rad uvedel!

Bi pa bilo dobro, da razložiš, zakaj si po tvojem mnenju OP nebi smel ogledati kakšne 'črne škatlice', da bi videl kaj zmore, kako se jo upravlja, kaj bi z njo pridobil - in kolikšno ceno bi za to moral plačati.

In ne dopuščam ti, da pljuvaš po meni, da skušam nekaj vsiljevati! Še dolgo predenj si ti sploh zasledil temo, sem spraševal, če kdo ve še za kakšno alternativo, ki bi bila nekje vmes med Mikrotikom (ki JE premalo) in UTM-i - (ki so predragi) za TA projekt.
Poleg tega OP-u nisem predlagal nobene konkretne 'črne škatlice' - kar ti bo znal tudi sam potrditi, temveč sem mu ponudil, da mu lahko pokažem razliko in razložim za kaj je katera funkcionalnost koristna - da bo znal REALNO preceniti, kaj od vsega tega dejansko potrebuje in kaj v posameznih rešitvah nižjega cenovnega razreda dobi ali ne dobi - da bo znal razen cene definirati še kakšen dodatni kriterij za rešitev, ki jo bo na koncu izbral.

Ampak enim očitno bolj ustreza, da so ljudje nevedni, nerazgledani,....., da nimajo kriterijev in vzamejo kar prvo, kar jim nekdo porine pod nos, brez da bi znali biti kritični pri tem?

Zakaj sploh si začel s sranjem o ščitenju podatkov in vlekel v temo zavarovalničarje, poslovanje s kreditnimi karticami in pci dss?

Zato, ker je dejavnost OP-a ZAVAROVALNIŠKO POSREDOVANJE.

PCI-DSS pa s samim problemom, ki ga ima OP nima NIČ skupnega (razen dobrih praks) - pozorno preberi že enkrat post, v katerem sem omenil PCI DSS in zakaj sem ga omenil, ter v kakšnem kontekstu.

Če nebi bil tako osredotočen na spodkopavanje mojih izjav in se bolj fokusiral na samo temo, bi OP-u zagotovo bolje pomagal - kar naj bi bil namen oglaševanja v neki temi, ne pa da se med sabo 'kausamo', ko otroci v vrtcu!

Uporabniku 'SeMiNeSanja' sem v zasebnem sporočilu povedal da se ukvarjamo z zavarovalniškim posredovanjem. V temi pa smo jo pozabili omeniti.

@Invictus - zgrešil si point (včasih je dobro prebrati, kar je bilo napisano, predenj odgovarjaš).
PCI DSS je bil prvotno omenjen kot zbirka dobrih praks, ki bi jih moral vsak upravljalec mreže imeti v mezincu - v odsotnosti nekega splošnega minimalističnega slovenskega IT standarda ali priporočil. PCI DSS vprašalnik je prosto dostopen, medtem ko razne ISO standarde skrivajo in moraš poseči v žep, če hočeš prebrati kar v njih piše - kot da nebi bili narejeni za uporabo.
Manjka se nek razumljiv slovenski splošni 'standard', katerega bi lahko vsakdo pogledal, tako kot PCI DSS self assessment in ocenil, kje stoji - zgolj v tem kontekstu je bil PCI DSS omenjen! (Zakaj to sploh razlagam?)

@Poldi
Čim bi konkretiziral in začel govoriti o konkretnih modelih, ki bi jih jaz uporabil v takem primeru iz lastne ponudbe, bi me obsodili, da zganjam reklamo. Mogoče ni fer, ker ostali lahko konkretno omenjate bilokateri proizvod, vendar pa tudi ni nič narobe pri tem.

Zato se omejujem na to, da vam dopovedujem, da ni nujno vedno vse tako hudo grozno drago, če naj bi bilo malenkost bolj zmogljivo. Nekaj domače naloge pa lahko tudi sami opravite. Saj ni tako teško vzeti v roke gartnerjev kvadrant UTM rešitev, pogledati, kdo kaj velja in malo pogooglati za cenami in si ustvariti realno sliko, kaj je na trgu na voljo in po katerih cenah?
Če si potencialni kupec, pa je še bolje zavrteti telefon in se pozanimati pri prodajalcih posameznih rešitev, saj lastno brskanje po spletu hitro pripelje do tega, da ne upoštevaš dodatke, ki bi jih moral pri enemu proizvajalcu dokupiti, medtem ko jih drugi že v osnovni ceni vsebuje.

Če te pa še malo bolj firbec, pa greš do prodajalca in si pustiš zadevo demonstrirati, eventuelno ga nažicaš, če ti zadevo posodi za en teden.

Kdor kupuje po drugem postopku, samo zato, ker je nekdo rekel 'tole je pa coool', dela veliko napako. Vsak od nas ima svoja merila in prav je, da si vsak ustvari lastno mnenje, ne pa da slepo posluša, kaj je nekdo drug rekel - pri vsej žlehtnobi, ki so jo nekateri sposobni, ti bodo tudi nalašč hvalili rešitev, ki jo sami nebi nikdar kupili.

Najprej pa je sploh potrebno razumeti, da obstajajo različne kategorije rešitev, da jih proizvajalci pakirajo zelo različno, da se tudi sami UTM servisi od proizvajalca do proizvajalva bistveno razlikujejo po kakovosti in ne le po ceni.

Routerji, kot npr. Mikrotik razen SPI paketnega filtra nimajo nobene dodatne varnostne funkcionalnosti. Lahko določiš, kateri IP sme komunicirati s katerim in po katerem portu, to je pa tudi vse. Glede na to, da se gre za KOMUNIKACIJSKO napravo, je to tudi povsem dovolj - če jo uporabiš tam, kjer ji je mesto (žal mnogi implementatorji in kupci ne razumejo, kje je to mesto).
Ker jim je namen čim hitrejše premetavanje paketov z enega vmesnika na drugega, tudi ne premorejo neke resnejše logike, ki bi nam dovoljevala analize prometa. Logirajo običajno preko Syslog protokola (cleartext) na nek syslog daemon. Iskanje po logih je iskanje po gromozansko veliki tekstualni datoteki, če nimamo dodatnih analitičnih orodij.
Prednost jim je, da so izredno zmogljivi na komunikacijskem nivoju, pri čemer ima Mikrotik še zelo ugodno politiko licenciranja VPN tunelov na zmogljivejših modelih.
Več tu ni za povedati.

VARNOSTNE rešitve, pa se lahko razdeli na klasične požarne pregrade in UTM rešitve. 'Klasiko' danes redko kdo še kupuje, zato se ne bom ukvarjal z njo.
UTM rešitve so multifunkcijske varnostne naprave. Tako kot imaš 'multifinkcijski tiskalnik', ki je hkrati tiskalnik, fotokopirc, scanner in še fax, je podobno tudi pri UTM rešitvah.
V eni napravi lahko združujejo funkcionalnosti, za katere se je včasih postavljalo ločene naprave in strežnike, namesto da vzdržuješ pet različnih rešitev, plačuješ vzdrževanje samo še ene. Ravno tako se poenostavlja tudi upravljanje in nadzor, saj imaš opravka zgolj še z eno samo integrirano rešitvijo.
UTM zmore kar nekaj tega, kar zmore router - ni pa nujno, da vse (večina npr. ne obvlada MPLS). Vendar tudi ni nobene potrebe, da bi - saj v bolj zahtevnih okoljih pred UTM napravo stoji router, ki lahko prevzame vse zahtevnejše komunikacijske naloge.

Kaj torej UTM doda?

- IPS - preverja promet na značilne vzorce znanih napadov in zlorab. Za to potrebuje stalno posodobljene signature, podobno kot antivirus. Od kakovosti signatur zavisi tudi uspešnost IPS-a
- Antivirus - preverja datoteke, ki jih prenašamo preko naprave, če so okužene s škodljivo kodo. Proizvajalci UTM rešitev se zelo razlikujejo po kakovosti AV signatur, tako da je vedno dobro preveriti, kakšen AV dejansko dobiš v paketu.
- Prepoznava aplikacij - danes, ko gre že skoraj vse preko porta 80 ali celo kriptirano čez 443, je dobro, če lahko ločimo med aplikacijami in dovoljujemo promet samo zaželjenim - tega z blokiranjem porta ne moremo doseči. Različne rešitve so na tem področju različno močne.
- Antispam - je tudi prisoten pri večini ponudnikov. Nekateri znajo zgolj dodati [Spam] pred subject, drugi pridejo skupaj s strežnikom, ki hrani neželjeno pošto, in uporabniku zgolj pošlje periodično poročilo o neželjeni pošti, ki jo nato lahko prepošlje v svoj predal, če bi se kaj napačno okarakteriziralo kot spam.
- Prepoznavanje uporabnikov - večina UTM rešitev danes omogoča, da pišemo pravila glede na uporabnika ali skupino uporabnikov, ne glede na njegov IP naslov. Tako lahko napišeš pravilo "From:Admin To:Any". Podprte so različne metode avtentikacije, od ActiveDirectory, pa do Radious-a, običajno pa obstaja tudi možnost integrirane avtentikacije, če nimamo MS domene, radius strežnika, ipd.
- URL filter - če smo še tako liberalni in nas ne moti, če zaposleni med delovnim čason brskajo po pornografiji, pa bomo še vedno želeli, da se jim blokira dostop do spletnih strani, za katere že ves svet ve, da se preko njih širi škodljiva koda. Večina UTM ponudnikov ima v svojih filtrih tudi možnost blokiranja tovrstnih, resno nevarnih strani.
- Cloud servisi - večina ponudnikov ima danes na voljo še dodatne storitve v oblaku, ki podobno kot URL filter preprečijo dostop do IP naslovov in vsebin, za katere se je z zbiranjem podatkov iz različnih virov pokazalo, da so potencialno nevarni. Ti servisi strežejo vedno aktualne podatke, za razliko od IPS in AV signetur, ki se v najboljšem primeru posodabljajo le nekaj krat na dan.
- Analitika prometa - Če govorimo o vpogledu v realnem času, kaj se ta hip dogaja na požarni pregradi, obstajajo precejšnje razlike med posameznimi ponudniki. Večina omogoča nekakšen 'dashboard', kjer se naniza 'top users', 'top destinations', 'top applications'. Korelacija med temi podatki je težavna, vendar poljše rešitve ponujajo tudi možnost 'vrtanja' po podatkih. Če imaš pred seboj 'top users', lahko klikneš na tistega, ki ustvarja največ prometa, in ti analitika takoj pokaže, katere so NJEGOVE 'top aplikacije', 'top destinacija', 'top spletne kategorije',... Tako lahko že na prvi pogled oceniš, ali imaš opravka z začasno povečanim legitimnim prometom, ali pa se bo treba pogovoriti s tem uporabnikom, da naj internet uporablja bolj racionalno.
- Logiranje podatkov - nekatere rešitve pridejo vključno z možnostjo naprednega logiranja in analitike, pri drugih je to potrebno dokupiti, včasih celo kot samostojno dodatno napravo. Boljše rešitve kriptirajo komunikacijo med napravo in strežnikom, ki shranjuje podatke. Ker se podatki običajno shranjujejo v SQL bazo, je tudi njihova uporabnost bistveno višja, kot pri navadnem Syslog logiranju. Analitika logiranih podatkov zavisi od proizvajalca, v boljših primerih, lahko 'vrtamo' po podatkih enako, kot sem omenil zgoraj pri vpogledih v trenutno dogajanje.
- Aplikacijski proxiji - določene rešitve uporabljajo specifične proxije, ki pregledujejo promet na protokolske anomalije in ga 'normalizirajo'. Omogočajo tudi, da blokiramo prenašanje različnih tipov datotek ).exe, .bat,....). Nudijo še niz drugih možnosti 'odstranjevanja' nevšečnosti in omejevanja zahtev (npr. število napačnih avtentikacij na ftp strežniku, omejitev tipov dns query-jev,...) Spisek možnosti je predolg, da bi se tu spuščal v podrobnosti.
- Centralizirano upravljanje - ponekod je vključeno, drugič moraš dokupiti posebno napravo, tretjič kupiti licenco za ustrezno število naprav. Čim imaš opravka z večjim številom naprav, ti centralizirano upravljanje bistveno olajša delo. Žal pa se v nekaterih primerih prodaja za izredno visoko ceno (ali pa celo sploh ni na voljo).
- ..........

Ker je večina UTM storitev vezana na posodabljanje signatur ali dostop do aktualnih podatkov v oblaku, je samoumevno, da se mora zanje plačevati naročnino. Ta se lahko močno razlikuje od proizvajalca do proizvajalca. Dejansko se nam lahko zgodi, da plačujemo visoko naročnino, dobimo pa slabe signature - in obratno. Zato je pred nakupom treba temeljito opraviti domačo nalogo in iz prodajalca izvrtati tudi tiste umazane podrobnosti, o katerih ne mara govoriti. Včasih tudi ne škoduje vprašati konkurenta in potem prodajalca soočiti z 'govoricami'.

Bistvo varnosti UTM rešitev je v tem, da vsaka od storitev, doda nek dodaten nivo zaščite, tako da na koncu zelo teško še kaj neželjenega pride skozi požarno pregrado.
Pri tem ne govorim o prometu, ki bi mogoče od zunaj prišel noter, temveč o prometu, ki zapušča naše omrežje. V 90% primerov namreč sami 'zvlečemo' težave na naše omrežje - od vznotraj.
Večina postavljalcev 'routerjev' se ne potrudi, da bi v smeri proti ven zaprla vse nepotrebne porte. Dejansko je to tudi teško izvedljivo, ker za to potrebuješ dober pregled nad tem, kaj se v danem omrežju dejansko uporablja in na osnovi tega definirati outgoing pravila. Pri orodjih, ki jih routerji nudijo, je to zelo mukotrpno delo, katerega se potem večina sploh ne loti.
Kaj nam potem na koncu k varnosti doprinese SPI paketni filter, ki navzven prepušča ves promet, razen kar morda blokira peščico izbrani 'neželjenih' portov? NIČ! Zgolj lažen vtis varnosti. Uporabniki so seveda navdušeni, ker se nikoli nič ne zatakne - namesto, da bi bili alarmirani, da morda nekaj z njihovo varnostno rešitvijo ni čisto tako, kot bi moralo biti. Seveda navdušenje izgine, ko se nalezejo kakšnega cryptolockerja, li ga njihova 'varnostna' rešitev ne more zaustaviti. Žal pa se vsa krivda prevali na antivirus na delovni postaji in ne razmišlja o tem, da bi tako grožnjo morda lahko blokirali že na prehodu na internet.

Kaj od naštete UTM funkcionalnosti dejansko potrebuješ?
Če je cena ugodna, se to ne boš spraševal. S tem vprašanjem se ukvarjamo zgolj takrat, ko je cena visoka in moraš kupovati opcijo po opcijo, cena pa z vsako dodatno raste v višave.

Toda kaj je tu UGODNA cena?
Domači uporabnik bo rekel 40€, morda bi bil celo pripravljen odšteti do 100€ in plačevati 20€ za letne naročnine. Ker je kaj takega vsaj za enkrat nerealno, UTM rešitev ne boste našli po domovih.
Pri poslovnih uporabnikih pa bi morala biti zavest in pripravljenost investirati v varnost na bistveno višjem nivoju.
Toda če si nek frizeraj in imaš zgolj en računalnik, potem je razumljivo, da ne boš investiral več kot 100€ v zaščito, ki jo v večini primerov sploh ne potrebuješ. V končni fazi si edini uporabnik in (vsaj misliš), da veš, kaj počneš na internetu.
Čim pa imaš več kot le frizeraj in imaš dva, tri zaposlene, se že začnejo kazati določene problematike, ki se jih zlahka rešuje z UTM rešitvami, medtem ko jih navaden router ne more. Vendar je potrebno opraviti domačo nalogo in poiskati USTREZNO rešitev in ne iti najprej do najdražjega ponudnika, ki te bo šokiral s ceno, na kar boš ostal na navadnem routerju, saj boš prepričan, da je vse to čisto izven tvojega dosega.
Če je za podjetje s tremi zaposlenimi 22 cenov/dan/zaposlenega prevelik strošek (20€/mesec!) za nabavo in vzdrževanje napredne varnosti, potem tako podjetje že tako nima ravno svetle prihodnosti pred seboj in je čisto vseeno, če jih pokoplje virus, črv, ali pa stečajni upravitelj.
Pri 30 zaposlenih cena pade že na 7 centov/zaposlenega/dan, pri 100 na 4 cente,.....
Vse je odvisno, s katere perspektive gledaš. Seveda lahko operiraš tudi z absolutnimi številkami, vendar sem namerno želel ponazoriti, kako 'butasto' lahko izpade razmišljanje o N+K€ za spodobno varnostno rešitev. Seveda bo šla nabavna cena v tisoče, če imamo ogromno uporabnikov in apetite po 10+Gbps prepustnosti - vendar se ob pametni izbiri tudi v takem primeru še ni potrebno ubadati z številkami v šestmestnem področju, če smo opravili domačo nalogo.

Glavni problem pa je, ker nihče ne opravlja svoje domače naloge in se meče denar skozi okno, potem pa se jamra, kako so take rešitve grozljivo drage.
Tisti redki, ki pa so opravili domačo nalogo, pa se jim lahko samo posmehujejo - ali pa se sprašijejo, kako težka je bila kuverta, ki je romala pod mizo.

darkolord je 21. mar 2014 ob 22:20 izjavil:

In kje vse te funkcionalnosti UTMja, ki si jih naštel, pridejo v poštev pri site-to-site VPNjih?

IPS in AV zagotovo tudi na VPN-u koristita, če je računalnik na oddaljeni lokaciji okužen.
Tudi prepoznava uporabnika zna včasih priti prav, ravno tako prepoznava aplikacije, ki ji dovoliš komunicirati češ VPN tunel.

Če se okužba kljub temu prenese, pa spet pridejo v poštev vsi našteti mehanizmi, da okužba nebi mogla komunicirati z internetom.

Pa kaj res moram razlagat najbolj osnovne fore varnostnih mehanizmov?

Že samo, da omenjaš 'ne ravno legalne' funkcije, vse pove o tvojem poznavanju problematike.

Ravno taki kot ti, pa čez mesec ali dva v bajto navlečejo kakšen PaloAlto.
Aja, ta kao ni UTM, ta je kao 'Next Generation'...?

Pri vprašljivosti legalnosti je verjetno mislil iz vidika zasebnosti zaposlenih, kar zna biti zanimivo pri nas, sicer ne poznam na pamet naše zakonodajo ampak kolikor zasledim tu in tam se zadeve hitro spreminjajo in naša IP tudi ukrepa, ni blo ravno par dni nazaj, ko so morali nekje v Celju v neki šoli cel "elektronski sistem" za malice izklopit, ker ni bil v skladu s zahtevami IP?

@Mesar - vse je samo vprašanje, kako imaš poštimano po ustreznih pravilnikih in kako so z njimi seznanjeni delavci, ter seveda, kako se držiš pravilnikov, pa bo IP prišla, pogledala in odšla brez vsake pripombe.

Ničesar tu ni ilegalnega, če se stvari uporablja v skladu z zakonodajo in internimi akti podjetja. Kdor trdi drugače, je en velik bumbar, ki naokoli trosi laži. Če se potrudiš, lahko celo najdeš konkretna mnenja/priporočila IP na to tematiko. Obstajajo tudi odvetniške pisarne, ki so specializirane, da ti poštimajo potrebno papirologijo, če nekdo to sam ni sposoben naresti.

Seveda pa je groba kršitev zakonodaje, če se bo nekdo zgolj iz firbca pasel po URL-jih, ki jih je neka oseba obiskovala.
Vendar mislim, da ni bilo govora o zlorabah informacij, temveč o golem beleženju teh. Če bi to bilo v nasprotju z zakonodajo, potem bi bila vsa resna omrežja v Sloveniji v prekršku, saj se povsod shranjujejo prometni podatki - od Arnesa pa stavim, da tudi na omrežju IP. Nikoli v bistvu ni problem samo beleženje podatkov. Problem je namen beleženja, kdo ima dostop do teh podatkov in na kakšen način in za kaj so uporabljeni. Dokler se uporabljajo zgolj za diagnosticiranje težav na omrežju s strani pooblaščenih oseb, se ne bo nihče obregnil.

Žal pa je razumevanje informacijske varnosti pri nas tako nizko, da nekateri posamezniki naokoli trobijo, da je že dekriptiranje https prometa kriminalno dejanje. Pri tem pa ignorirajo dejstvo, da se danes vse več malware-a prenaša na naše računalnike ravno preko https in tako IPS in AV nadzor nad tem prometom postaja čedaje večja nuja.

Je pa res, da kljub temu, številni uporabniki, čeprav bi lahko, (še) ne uporabljajo https dekripcije, ker je to povezano z distribucijo certifikatov, da se ohranja 'veriga zaupanja' in ne more kar tako nekdo tretji še vskočiti v povezavo (da ne dobiš stalnih lažnih sporočil, da spletna stran ni varna). Potem moraš dodajati razne izjeme, kjer se promet ne bo smel dekriptirati (vse bančne transakcije, kje se uporablja dvostranske certifikate). Skratka nekaj dodatnega dela in možnih zapletov.

Tudi je razlika, če dekriptiraš https promet gostom v cyberkafiču ali pa v podjetju. Predenj boš gostom razložil zakaj in čemu, je bolje da to opcijo zanje izklopiš in se ne ubadaš z njimi. Svoj lastni promet pa še vedno lahko pošlješ skozi vse filtre, od AV pa do xy.