IPS / IDS performance

Koliko vam "pozre" bandwitha pri vkopljenem IPS-u?

Jaz uporabljam Sophos UTM, kjer imam vklopljen IPS in speedtest mi pokaze sledec rezultat:
Download: 43-45 Mbps
Upload: 14,63 Mbps

Brez IPS-a, je download na priblizno 76-77. Imam pa 80mbit...

Z vklopljen IPS-om je download 50% manjsi, kar se mi zdi dokaj slabo. Kako zadevo optimizirat? Izklopil sem storitve, ki ne tecejo v omrezju, ampak to ni obrodilo nobenih sadov.

Moja konfiguracij:
Modem ---> Firewall---> TP-Link Ruter Archer C7
Je problem mogoce ruter? Kmalu dobim en gigabitni switch, tako da bo ruter opravljal samo funkcijo AP...mogoce bo to kaj pomagalo?

Invictus je 2. jan 2018 ob 20:13 izjavil:

Kupi močnejšo škatlo, ker ti je trenutna prepočasna...

Mislis na skatlo, kjer je Sophos UTM gor? Le ta je PC Engines apu2c4...in kolikor sem bral teste gre skozi vec 100mbit kaj sele mojih 80.

Al kaj tocno mislis?

Hvala za nasvet. Mi res ne preostane nic drugega kot definirati izjeme pri straneh / storitvah vredne zaupanja.

Invictus je 3. jan 2018 ob 00:10 izjavil:

Kar piše uradno, ponavadi deliš vsaj z 2 .

Odvisno.

Največji problem je ta, da vsak proizvajalec po svoje navaja performančne podatke in jih le stežka med seboj primerjaš.

Celo takrat, ko nek neodvisen laboratorij opravi meritve, stvari niso nujno črno-bele - kar se pokaže, ko gledaš primerjalne teste, ki jih naroči enkrat en, drugič drugi proizvajalec.
Dovolj je že, da konkurenčno rešitev v eni točki ne skonfiguriraš optimalno, pa dobiš popolnoma drugačne rezultate.

Sam spet težko izvedeš podobne teste, ker nimaš opreme, ki bi generirala tisto 'tipično' IMIX zmes prometa. Tako ponavadi meriš performanse bolj ali manj na 100% https prometu, kar pa je precej 'težje prebavljiv' promet od tistega, ki ga običajno uporabljajo pri določanju objavljenih zmogljivosti neke rešitve. Tako morda res lahko prideš v določenih primerih do logike 'objavljeno deli z 2'.

Drugače pa je stvar lahko tudi odvisna od rešitve in licenciranja. WatchGuard virtualni firewall XTMv npr. licencira glede na prepustnost. Tako npr. SmallOffice verzija dejansko deluje do 1Gbps, nato pa začne limitirati promet - ne glede na vrsto prometa. Seveda pod pogojem, da imaš dovolj zmogljiv HW spodaj.

Možno, da ima Sophos free verzija tudi kakšne omejitve vgrajene, katere pa ravno ne obešajo na veliki zvon.

Kam bi pa dodal še en appliance? Vzporedno? Kako pa bi potem usmerjal promet?

Tudi če bi nekako šlo, se bojim, da nebi kaj dosti profitiral. Žal ne vem, ali je Sophos virtualna varianta na splošno tak crap, ali je 'home' varianta tako zelo omejena, ali pa enostavno tvoj HW/hypervizor ne da več...

Zdaj že imaš postavljeno, kar imaš.... drugače bi bilo zanimivo da bi probal kakšen drug virtualni firewall poganjat gor, da bi videl, kako se tisti obnese performančno - potem vsaj veš, kaj dejansko zmore tvoj HW/Hypervizor...

Če se hočeš igrat, lahko na WatchGuard strani zaprosiš za eval kodo za njihovo virtualko in jo en mesec poganjaš do nezavesti. Boš imel takoj primerjavo.

a maš na pfsensu iste težave? imaš tam tud kak snort/suricata vklopljen?

Saul Goodman je 5. jan 2018 ob 23:13 izjavil:

a maš na pfsensu iste težave? imaš tam tud kak snort/suricata vklopljen?

Nisem zal se sprobal. Bom jutri dal nazaj pfSense. Sedaj je ta test tudi bolj smiselen, saj sem upgrejdal internetni prikljucek iz 40 na 80mbit. Sem pa tudi tam imel snort vklopljen.