Firewalla

Zgleda zanimivo, vendar bi mene skrbela podpora an dolgi rok.

Bolj resne alternative pa so?

tole zgleda kot orange pi zero z fancy ohisjem.
enak rezultat lahko dosezes za 1/10 cene.

Pri 'home' je vedno nek črv v zadevi. Vse je na koncu nekje bolj 'TopShop' - veliko vpitja, kaj da zadeva vse zna in zmore, v resnici pa niti senca tistega, kar bi res želel imeti.

Vse, kar je nekje 'integrirano' v home napravah je zavito v meglo, pišejo o neki hudi inšpekciji, v resnici pa 2/3 prometa samo pogledajo, če gre na porn ali neko drugo stran. Že to je vprašljivo, koliko obsežno in posodobljeno bazo malware spletišč ti proizvodi v ozadju vzdržujejo.
Glede na analize 'znanih' proizvodov, še ti pogosto več obljubljajo, kot dejansko nudijo.

Je že tako, da se kot 'varnost' zlahka prodaja mačka v žaklju, ker še marsikateri 'ekspert' ne zna razločevati med različnimi rešitvami, kaj šele nek navaden domači uporabnik!

Kot domači uporabnik najbolj učinkovito prideš skozi, če si omisliš neko od komercialnih variant, ki se ponuja v 'home' licenciranju. Npr. Sophos ali Untangle. Žal pa tudi pri teh variantah zamolčijo, koliko so stvari dejansko 'oskubljene' v primerjavi z polno komercialno licenco. Nekako bi moral biti precej naiven, če misliš, da zastonj dobiš isto, kot nekdo, ki plača polno komercialno licenco. Malo bolj konkreten je Untangle, ki ti nudi free opcijo in pove, da je vse malo 'oskubljeno', potem pa ti za 50$/leto ponuja Home Pro licenco, ki naj bi bila kvazi 'skoraj popolna' - a vraga na koncu piše, da ne vključuje 'Virus Blocker', temveč le 'Virus Blocker Light'...bravo....

Je pa tu potem spet drug problem - taka rešitev potrebuje dodaten računalnik, ki ga moraš poganjati dan in noč, potem pa potrebuješ še nekoga, ki to sploh zna postaviti na noge. Seveda teta Jožica pri svojih 70-ih, tega ne bo vešča.... Pa tudi marsikateri mlajši ne.

Dejansko bi za take uporabnike bilo najbolje, če bi ISP-ji ponujali neko malo boljše filtriranje, ki bi ga tudi predkonfigurirali za uporabnike, naprej pa bi si ga lahko vsak sam prilagajal.

Dejansko obstajajo tovrstne naročniške storitve, vendar jih ne nudi vsak ISP, pa tudi potem je treba biti realen v pričakovanjih in vedeti, kaj taka storitev dejansko 'gleda'. Ne da misliš, da imaš neko vrhunsko zaščito (kot je marketing obljubljal), v resnici pa se samo gleda SNI-je (imena spletišč na katera se podajaš) in to primerja z bazo 'škodljivih in neprimernih' naslovov.

Kadar želiš realno ocenjevati neke 'varnostne' rešitve, je dobro, da poznaš vsaj eno napredno profesionalno rešitev - da veš, kaj je možno in tako potem lahko ocenjuješ, koliko % vsega tega ti neka home rešitev dejansko tudi omogoča.
Brez tega znanja, ti napišejo, da ima zadeva notri 'antivirus' - dejansko pa 2/3 prometa sploh ne pregleduje. Kaj je potem še važno, kakšen antivirus ima vgrajen, če takointako pregleduje samo 1/3 prenešenega?

Pa saj to sploh ni router, to je res igrača!
Takole piše:
If your router is not on the list, it is very likely to be compatible with Firewalla. This list will be updated as we learn from our customers and detection algorithms.
For Meshed routers: Additional instructions are explained here.
DHCP Mode: If your router has the option to turn off the built-in DHCP server then DHCP mode will work for you. And for some routers DHCP cannot be turned off, a trick like this might work.
If you encounter problems such as 'slow throughput', please also make sure your router's firmware is up to date.
To connect Firewalla, your router (or a switch connected to the router) must have a free ethernet port.
If you run into devices keeps on changing IP address and you don't have a network extender, double-check your router's DHCP lease time. Make sure it is long.

bluefish je 24. nov 2019 ob 15:16 izjavil:

Bolj resne alternative pa so?

Fortinetov Fortigate.

SMNS bo pa naredil še reklamo za his favorite cup of poison.

Je še nekaj drugih, bodo pa vse dražje od 200 eur.

Najboljsi je tisti, ki ga poznas in ga bos znal vzdrzevati.

Ampak za nekega povprečnega uporabnika, ki ima samo router od providerja in, ki nima časa, da bi nastudiral stvari in bi si postavil nek svoj sistem.

A ni to vseeno dobrodošla nadgradnja, ki deluje out of the box. Ima VPN, DHCP in še obilico drugih stvari...

A je bolje kupiti to firewallo za 100eur in ponucati obstoječ isp-jev router ali pa kupiti asus ali synology router za 200eur?

tony1 je 24. nov 2019 ob 19:07 izjavil:

bluefish je 24. nov 2019 ob 15:16 izjavil:

Bolj resne alternative pa so?

Fortinetov Fortigate.

SMNS bo pa naredil še reklamo za his favorite cup of poison.

Je še nekaj drugih, bodo pa vse dražje od 200 eur.

Fortigate ?!? Kaj zdaj neumnosti govoriš, če je govora o domačih omrežjih!

In zakaj podtikaš, da 'bom naredil reklamo....' - če sem že napisal svoje mnenje za 'domačo rabo'.

Če bi se šlo za poslovno rabo, pa pač imam svojo preferenco, katero nikoli nebi menjal za Fortinet, pa če mi plačaš! A kaj, ko ljudje kupujejo Fortinet kište, ne da bi sploh prej preverili, kaj je še na trgu, samo zato, ker so nekje slišali, da je 'baje dober'.
Potem še preberejo nekje, da je pri Gartnerju v Leader kvadrantu in so že 'kupljeni'. Še najmanj se potrudijo prebrat kaj je Gartner napisal (da uporabniki kritizirajo uporabniški vmesnik), sploh na ne razumejo, kaj Gartner pravzaprav sploh analizira/prikazuje - ob tem da še zapovrhu vsega gledajo napačno Gartnerjevo poročilo (mikro podjetje gleda Enterprise Firewall MQ?!?).

'Moj favorit' je vsaj specialist za SME, poleg tega eden redkih, ki so 3 leta zapored na NSS Labs testih prejeli 'priporočeno' oznako. se pravi na testu, ki dejansko meri tehnične sposodnosti rešitev, ne pa njihovo 'marketinško uspešnost', kar dejansko Gartner počne.

Pa poleg vsega, tisti največji faktor "kako se upravlja", ne analizira nihče. Moraš se kar lepo sam potruditi, nafehtat demo napravo in stvar sprobat v živo, ter primerjati z konkurenti. Če ne... se pač pustiš nategniti prodajnikom. Edino žalostno, da jim za to še plačaš!

-----

Pri 'mirovanju' vzdrževanja, je odbitek 1/2 leta neke vrste industrijski standard. Podobne 'kazni' ti bodo naložile tudi raznorazne Software hiše.

Ni mi pa jasno, kako lahko prične licenca teči od dneva, ko daš napravo na skladišče. Pri 'mojem favoritu' prične licenca teči od trenutka, ko stranka napravo registrira (brez registracije ima zelo omejeno funkcionalnost).
Skratka napravo imaš lahko na zalogi tudi po uradnem koncu prodaje s strani proizvajalca, pa bo še vedno polno aktivna, če jo aktiviraš in to za celotno obdobje, za katero ima vključeno naročnino.

Da bi moral POSEBEJ plačevati posodobitve Firmware-a? Pri 'mojem favoritu' se naročnine kupujejo v paketih. VSI paketi vključujejo tudi posodobitve firmware-a, tehnično podporo proizvajalca in podaljšano garancijo (zamenjavo naprave ob okvari).
Če pristaneš na manj...si sam kriv, ker nisi preveril, kaj je na trgu na voljo!

Drugače pa če si 'resen partner', lahko barantaš z tzv. MSSP opremo. Se pravi si 'ponudnik varnostnih storitev', kupiš poceni "HW only" napravo, povsem ločeno pa varnostne storitve v obliki predplačniške storitve. V bistvu si naložiš točke na svoj račun, nato pa lahko aktiviraš ali deaktiviraš storitve na posamezni napravi. Se pravi, da jo daš za 3 mesece v najem svoji stranki, nato pa vrneš v skladišče in deaktiviraš varnostne storitve. Čez dva meseca daš drugi stranki in spet aktiviraš storitve. Plačuješ pa samo za čas, ko je naprava dejansko bila aktivirana.

Ampak to je vse izključno za poslovno okolje. Za domačo rabo...noja, če smo realni...če imaš deanr za nevem kako hudo mašinerijo, vsak družinski član najnovejši Ajfon,.... potem pa hočeš da je router za 50€... hja...pa imej potem jajca.

hojnikb je 24. nov 2019 ob 20:30 izjavil:

ajfona dobis na kredo, dober router tezko, razn ce gre na obroke preko kartice.

Leasing?

hojnikb je 24. nov 2019 ob 20:54 izjavil:

sam tko za info, firewallin firmware je zgrajen na armbianu in več kot očitno gre za nekakšen allwinner chipset. Moja domneva je, da ima tapoceni Orange Pi Zero board, tadrag pa Orange Pi Zero+.

Če ima kdo takšen board (pa verjetno bo tudi zlaufal na katerm drugem allwinner boardu) lahko proba in si prihrani 100$

popravek; ocitno gre za nano pi neo plosce.

Vseeno za kaj gre: stvar ima samo en ethernet, poleg tega pa brez softw. in ustreznih spodobnih baz z kategorizacijami spletnih strani, IPS signaturani,.... nisi nič naredil.

Tudi pfSense je 'poceni' samo dokler ne vzameš supporta in plačljivih signatur.
Nekdo je zadnjič rekel, da mu tiste zastonjske 1 mesec stare signature delujejo odlično... Ne vem... pri AV bi rad v pol ure po pojavu novega virusa imel signaturo, pri IPS pa ni problem, če pride mesec dni kasneje, ko je določen tip napada že v upadanju?

Po moje je bolj štos v tem, da ljudje sploh ne vedo, da so tiste zastonjske IPS signature 30 dni v zaostanku za plačljivimi.Ampak ok...za domačo rabo 'osebna' licenca, je to $30/senzor ($400 za poslovno rabo!!!).

No, pestro potem postane pri 'uradnem' supportu pfSense-a, saj znaša 240€ PER INCIDENT. Polno EU vzdrževanje pa od 1.200€ ("S") do celih €3.450 ("L" paket). Pa še to je zgolj PON-PET og 9h-17h !!!

Dodaj zraven še Netgate (uradni vzdrževalec pfSense-a) hardware, pa si dražji od Fortineta, SonicWall-a, Sophosa in WatchGuarda.
Ampak ja... vsi samo vpijejo, da je OpenSource in zato ZASTONJ....

jukoz je 24. nov 2019 ob 22:40 izjavil:

SeMiNeSanja je 24. nov 2019 ob 22:04 izjavil:

Ampak ja... vsi samo vpijejo, da je OpenSource in zato ZASTONJ....

Pri vseh temah o požarnih zidovih samo ti nekaj ves čas vpiješ.

Sicer pa, kaj ti pa garantira da te bo ne 30dni stara signstura obvarovala? Če je neznan napad je neznan in pika. Če so pa uporabniki tako neuki jim pa nobeno varnostno orodje ne pomaga.
Ravno sem bral da nek phishing napad uporablja foro, da v xlsx file vpiše da se moraš zlogirati da bo delal. In ti pokaže fake office365 login.

Koliko userjev bo naredilo to?
A tvoje signature že najdejo to?
Kaj pa če ima ta fake stran najprej captcho za izpolnit?

Aha, se mi je zdelo. Tudi 30 dni stara bo pol kar ok =)

Si prepričan, da je bil xlsx in ne xlsm? Prvi ne vsebujejo makrojev in bo bolj teško silil uporabnika v neko prijavo..?

Kot drugo: jaz xlsm priponk ne prepuščam do uporabnikov in to že nekaj let ne, odkar so se začele štale z xlsm in docm v kombinaciji z ransomware. Ti pa danes prvič slišiš za te fore?!?

Tretje: Ni naloga IPS-a 'loviti', če nek dokument zahteva vsebino z interneta. Princip 'prenosa' vsebine pri takšni avtentikaciji je popolnoma isti, kot pri kakršnemkoli legitimnem prenosu, tako da si z IPS in signaturami tu nimaš kaj pomagati.

Torej... koliko sploh razumeš, kako danes sodobne požarne pregrade delujejo, za kaj je katera varnostna storitev in kako morajo biti orkestrirane, da bodo preprečile tak xlsm? Občutek imam, da namesto da za mene pišeš, da ves čas nekaj vpijem, bi bilo bolje, če bi tudi kdaj kaj prebral, kar napišem. Morda se potem nebi spotikal ob to, če IPS lovi Excel-ove http request-e.

In kaj ima nek captcha na fake strani veze? Kao da bo bolj 'verodostojna' ali kaj? Z networkingom / požarno pregrado to nima čisto nobene veze.

"Pri vseh temah o požarnih zidovih samo ti nekaj ves čas vpiješ." je presneto bedna izjava. Kdo pa naj se 'pri vseh temah od požarnih zidov' oglaša, če ne nekdo, ki ima 20+ let izkušenj z njimi, ki različne rešitve pozna malenkost bolje od tega, da bi znal zgolj našteti znamko, ki razume ozadje delovanja,....... IN JE PRIPRAVLJEN TO ZNANJE DELITI S TISTIMI, KI JIH ZANIMA?

Tebe očitno ne zanima... ali pa si domišljaš, da že vse veš - a na koncu še vlogo IPS-a ne razumeš najbolje. Verjetno pa niti ne želiš brati mojega pametovanja....

Torej - naj se v vseh temah oglašajo samo tisti, ki o sami tematiki nimajo pojma? Bolje, da se oglašajo troli, kakor kdo, ki ima kaj znanja z določenega področja?

Ali te moti, da nekdo razbija mit o tem, da obstaja samo en proizvajalec požarnih pregrad, da je ponudba bistveno bolj pestra, da naj vraga ljudje že enkrat začno preverjati, kaj vse lahko za svoj denar dobijo, ne pa da jih 'dvorni dobavitelj' na suho nateguje in rine najdražjo možno opcijo v najbolj oskubljeni izvedbi?

Nisem programer in se ne oglašam v programerskih temah. Mogoče bi se še kdo drug lahko držal te modrosti, da ne pametuje preveč na področju, na katerem ni doma? Če znaš napisat "hello world" programček, še ne pomeni, da si programer. Če pa nekdo zna 'naštimat' Mikrotika, je pa že kar ekspert za varnostne rešitve? Žal marsikdo točno to misli....

tony1 je 25. nov 2019 ob 09:26 izjavil:

Stavki s klicaji / ALL CAPS so v (n)etiketi definicija vpitja. In potem te folk malo neha brati.

In ja, Fortinet definitivno je recommended po NSSu, verjetno že desetletje zaporedoma. (Ne bom šel preveriti, ker jih ne prodajam.)

Če hočeš točno vedeti, so samo 3-je proizvajalci, ki so 3 ali več let zapored bili označeni kot 'Recommended': Fortinet, StoneSoft/ForcePoint in WatchGuard.

Je pa toliko več proizvajalcev, ki so v zadnjih treh letih vsaj enkrat dobili označbo "Caution": Barracuda, CheckPoint, Cisco, Juniper, PaloAlto, SonicWall in Sophos.

Kaj to pomeni? Ne prav veliko. Žal.

Tako kot ima vsak športnik kakšen slab dan, se tudi varnostnim rešitvam zgodi, da imajo kdaj kak 'slab dan'. Sicer je NSS Labs zadnja leta teste precej razširil na področja, ki niso tako odvisna od 'dnevne forme' (evasion testing,...), pa tudi testno obdobje je daljše.

Kljub temu je treba biti previden pri razlagi teh rezultatov, saj so močno odvisni od (dovoljene) konfiguracije na testu. Ta je lahko povsem drugačna, kot v realnem življenju. Stvar, ki se v laboratoriju krasno obnese, se lahko v realnem življenju odreže povsem drugače.

Poleg tega noben od teh testov ne daje vpogleda v samo 'konfigurabilnost' posameznih rešitev. Ravno ta pa ima največji vpliv na to, kako bo neka konfiguracija na koncu dejansko implementirana.

Tisti "Value" del pri NSS Labs pa je tudi zelo problematičen, saj vrednoti podane v $/zaščiteni Mbps.
Pri diskih je vsakomur jasno, da večji kot je, cenejši bo Gigabyte. Ista zgodba velja tudi pri požarnih pregradah: zmogljivejša kot je, cenejši bo Mbps prepustnosti. Stvar pa potem postane absurdna, če en proizvajalec privleče škatlo z ceno v 7 števkah, drug proizvajalec pa 50x cenejšo. Kot bi primerjal ceno/MB pri 100GB in 10T diskom...

@Jukoz - si natančno prebral, kar sem napisal glede pfSense?

Ni bilo 'pljuvanje' - bilo je opozorilo, da naj se nanje ne gleda tako presneto 'romantično', ker imajo kar precej hud pricetag, če se jih lotiš implementirati 'zares' in ne po amatersko 'za hobby'.

So cool za domačo rabo in učenje. Ko se gre pa za RESNO rabo, pa zadeva hitro postane dražja od neke komercialne rešitve, če greš stvari sestavljati skupaj, da prideš na enako vrednost celokupne 'rešitve'.

Vse ostalo je pa zgolj romantika... ki ap v poslovnem okolju nima kaj dosti za iskati kot kriterij, kako/s čem boš varoval svoje uporabnike.

Glede 'Capcha' maškerade ali kajvem, kako bi to zadevo imenoval: požarne pregrade niso SEG-i, pa še za te ne vem, kateri deluje po tem principu, da gre 'lastnoročno' pogledati url-je v mailu, ker na tak način še vedno ne more odkriti, ali ti nekdo želi natveziti slona, ali pa ima poštene namere.

Požarne pregrade se večinoma sploh ne ubadajo z URL-ji v mailu, temveč analizirajo URL-je, ko dejansko dostopaš do določene spletne strani.
Takrat pa gredo skozi vrsto baz in kriterijev, s katerimi se ocenjuje, če je ciljna stran znana prodajalna slonov ali čisto normalna legitimna stran.

Ampak tudi tu požarna pregrada ne bo mogla delati panike, da ti hočejo natveziti slona, če to ni že nekdo drug prej na nek način zaznal in se je stran posledično znašla v neki od specializiranih baz.
Blokira se tudi sicer sumljive domene (npr. ravnokar registrirane, ali parkirane, ipd.) ampak kakorkoli obrneš, tudi najbolj premetena umetna inteligenca ne more prekositi zdravega človeškega razuma pri odkrivanju poskusov ribarjenja.

Malware je druga pesem. Tega lahko z raznoraznimi orodji kar precej zanesljivo zaznaš. Človeško hudobijo pa moraš 'zavohat'.

Drugače pa kar se 'tistega' primera iz članka tiče - kje si ti videl, da naj bi mail imel kakšno xls priponko? Piše o mailih BREZ priponk!
V mailu je zgolj 'Button' z linkom, ki ga moraš stisniti, da boš prenesel voicemail ali Google Doc z nekega Cloud accounta.

Kljub vsemu, je treba reči še to, da se tovrstni phishing maili ne razpišiljajo eden po eden, temveč se gre za kampanje. Če imaš kolikor toliko spodobno antispam orodje, bo tovrstna sporočila umaknilo na stranski tir že pri preverjanju, če se gre za spam.

Dejansko je ravno v tem čar sodobnih požarnih pregrad, da imaš kopico enih varnostnih storitev, ki se medsebojno dopolnjujejo. Če ena sfali določeno grožnjo, imaš še vedno vsaj eno, če ne še več drugih preverjanj, ki lahko grožnjo uspešno zaustavijo.

A nesporno dejstvo je, da moraš uporabnike izobraževati, saj vsa silna tehnologija služi zgolj temu, da poskusiš zajeziti uporabnikove napake. PREPREČI jih pa lahko le uporabnik sam, tako da 2x pomisli, kaj dela. Vse ostalo pa je gasilstvo. A žal brez gasilstva ne gre. In seveda upaš, da bodo tvoji gasilci tako uspešni, da bodo požar zaznali že v fazi, ko se šele kadi, ne pa šele potem, ko je bajta že pogorela.

Tu pa je potem velika razlika kaj ti določene rešitve omogočajo - pa tudi kaj si kot admin sposoben skonfigurirat.
Če se že v štartu lotiš zadeve po sistemu 'pa ne morem uporabnikom prepovedat tega pa onega...', potem si bitko že izgubil, predenj si jo sploh pričel.
In vraga... kdo danes sploh še pošilja Makro enabled Office dokumente naokoli? Takim je uhle za potrgat!

Se pravi, da če prav razumem, je trenutno za domače igranje in malo boljšo zaščito od firewalla na routerju Sophos UTM najboljša izbira? Dal bi pa na eno nuc varjanto z dvema mrežnima...

Kaj pa tole (fingbox) kot dodatek routerju?

Zanimiv review:

in
https://the-gadgeteer.com/2017/12/19/fi...

Delovanje fingboxa, a to je ok?

This is a very informative video, thank you for taking the time to review our product. This is Violet from Fing and I just wanted to let you know that Domotz is the parent company of Fing. Domotz acquired Fing in May 2016, though the teams operate individually. Fing is not a white-labeled Domotz, both software's have very different features and target different audiences. Fingbox is designed for home networks and Domotz PRO is for professionals which provide tech support to other networks.

I'd just like to add in a few comments on the technology used in Fingbox.

The ARP poisoning technique was not invented with Fingbox, and there are plenty of plenty of free/open source tools allowing anyone to perform and execute MITM (Man in the Middle) attacks.

Many devices can take full control of your network as soon as they are plugged in for the purpose of parental control or as a security gateway by automatically re-routing all traffic through the device. Fingbox in opposition to many competitor devices does not try to take full ownership of your network and uses ARP-poisoning only selectively and temporarily. It's used for the internet pause and during bandwidth analysis while devices are intentionally selected to run a bandwidth analysis over a short period of time.

There are also dozens of pre-packaged hardware's and how to's on the internet that anybody with bad intentions can use to perform ARP Spoofing, Man in the Middle attacks, or the likes.

By having Fingbox on a network, our appliance can detect ARP attacks and alert a user immediately if they are happening, thus providing extra peace of mind and security.

Fingbox is still the only hardware available at its price point which notifies the user of such threats if they occur. The reason we invented Fingbox is to promote our clients' awareness and understanding of their networks - the safety and cybersecurity of our clients is our primary concern! Please note that we have even released an additional Internet Security feature since your last review which shows a user any open port on their router from the public internet which may increase the vulnerability of their network to cyber risks.

Pa si ključek sprobal še na keri drugi mašini?
Lahko da si ga naredil čisto o.k., ampak se sistem nekaj upira....
Si preveril BIOS, da imaš omogočen boot z USB naprave?

Če imaš na voljo boot menu ob zagonu (se mi zdi, da F10 na nekaterih računalnikih) in tam izbereš USB, se tudi nič ne zgodi?

SeMiNeSanja je 11. dec 2019 ob 15:21 izjavil:

Pa si ključek sprobal še na keri drugi mašini?
Lahko da si ga naredil čisto o.k., ampak se sistem nekaj upira....
Si preveril BIOS, da imaš omogočen boot z USB naprave?

Če imaš na voljo boot menu ob zagonu (se mi zdi, da F10 na nekaterih računalnikih) in tam izbereš USB, se tudi nič ne zgodi?

To sem pa res pozabil probat še kje drugje, čeprav Ubuntu sem brez težav naložil na to mašinco (kasneje z istega ključka).

MrStein je 11. dec 2019 ob 15:52 izjavil:

downloadaš vga verzijo, daš na ključ*

Si delal po navodilih? https://opnsense.org/users/get-started/


* prej seveda odzipaš

Jup, mašina je "recomended" (i5, 8gb ram, 120ssd), dol sem potegnil najprej vga verzijo, odzipal, "zapekel" z rufusom...

Bom danes zvečer probal še na kaki drugi mašini nardit...

Hvala!

MrStein je 12. dec 2019 ob 20:09 izjavil:

če še ne gre, zapeci z dd

To je pa že hardcore!