Kada firma preraste ruter koji je dobila od internet provajdera, dva imena se stalno ponavljaju: pfSense i MikroTik. Oba se široko koriste u mrežama malih i srednjih firmi, oba su daleko sposobnija od potrošačkih uređaja i oba mogu da se loše podese. Najbolji izbor zavisi od toga šta treba da radite i ko će ga održavati.
Ovaj tekst ih iskreno poredi, a zatim daje listu provere za bezbedno podešavanje firewall-a, bez obzira šta izaberete.
Dvojica ukratko
pfSense je firewall i ruter softver zasnovan na FreeBSD-u, koji radi na standardnom x86 hardveru ili na gotovim uređajima. Njegova snaga je bogat skup firewall funkcija, pregledan veb interfejs i veliki ekosistem paketa, uključujući VPN, detekciju upada i analizu saobraćaja.
MikroTik proizvodi mrežni hardver koji radi pod RouterOS-om. Pokriva rutere, svičeve i bežične pristupne tačke u jednoj porodici, po veoma dobrim cenama, sa veoma fleksibilnim rutiranjem i modelom podešavanja koji nagrađuje iskustvo.
Jedno pored drugog
| Oblast | pfSense | MikroTik |
|---|---|---|
| Oblik | Softver na sopstvenom ili namenskom hardveru | Hardver sa uključenim RouterOS-om |
| Fokus na firewall | Jak stateful firewall kao osnovna snaga | Sposoban firewall, pravila su moćna, ali manje vođena |
| Rutiranje i umrežavanje | Dobar za tipično poslovno rutiranje, VLAN-ove, multi-WAN | Odličan i veoma fleksibilan, uključujući napredno rutiranje |
| Interfejs | Pregledan veb GUI, lakši za učenje | WinBox i komandna linija, strmija kriva učenja |
| Dodaci | Paketi za IDS/IPS, VPN, proksi, izveštaje | Ugrađene VPN opcije, bežično i svičevi u istom ekosistemu |
| Cena | Cena hardvera i opciona podrška | Veoma niska cena hardvera |
| Najbolje za | Kancelarije koje žele bezbednosni gateway sa jasnim upravljanjem | Mreže sa složenim rutiranjem, više lokacija ili tesnim budžetom, kojima upravlja iskusna osoba |
Kada koji ima smisla
pfSense dobro odgovara kada
- je firewall glavna briga: segmentacija, udaljeni pristup i evidentiranje;
- želite detekciju upada ili inspekciju saobraćaja na gateway-u;
- tim više voli grafički interfejs sa razumnim podrazumevanim podešavanjima.
MikroTik dobro odgovara kada
- imate više lokacija, složeno rutiranje ili mnogo VLAN-ova;
- želite rutere, svičeve i Wi-Fi od jednog proizvođača po niskoj ceni;
- imate nekoga ko dobro poznaje RouterOS ili radite sa pružaocem koji ga poznaje.
Proizvod je manje važan od podešavanja. Pažljivo podešen MikroTik bezbedniji je od podrazumevanog pfSense-a, i obrnuto. Većina incidenata sa firewall-om potiče od pravila koja niko nije pregledao, a ne od brenda.
Lista provere za bezbedno podešavanje
- Podrazumevano zabrani. Blokirajte sve sa interneta i između internih zona, pa dozvolite samo ono što je potrebno.
- Segmentirajte mrežu. Odvojeni VLAN-ovi za korisnike, servere, goste, kamere i štampače, sa firewall pravilima između njih.
- Zatvorite pristup za upravljanje. Ne izlažite administratorski interfejs internetu. Dozvolite ga samo iz mreže za upravljanje ili preko VPN-a.
- Promenite podrazumevane vrednosti. Nova administratorska korisnička imena, jake jedinstvene lozinke i isključite nekorišćene servise.
- Koristite višefaktorsku autentifikaciju za VPN i administratore gde platforma to dozvoljava.
- Održavajte ga ažurnim. Planirajte ažuriranje firmware-a i paketa i prvo ga testirajte.
- Ograničite odlazni saobraćaj gde možete. Kompromitovan uređaj koji ne može da se javi napolje mnogo je manje opasan.
- Redovno pregledajte prosleđivanja portova i stara pravila i uklonite ono što više ne treba.
- Uključite evidentiranje i šaljite logove na centralno mesto, pa ih gledajte.
- Napravite kopiju konfiguracije posle svake promene i čuvajte kopiju van uređaja.
- Testirajte pravila spolja i između zona, umesto da pretpostavljate da rade.
Česte greške
- Ostavljena pravila „dozvoli sve“ iz početnog podešavanja.
- Udaljeni desktop prosleđen direktno na internet.
- Jedna ravna mreža za sve, uključujući goste.
- Niko nije zadužen za ažuriranja kad instalater ode.
Kako vam možemo pomoći
Alficom je specijalizovan za implementaciju i detaljno podešavanje pfSense i MikroTik okruženja, sa dubinskom inspekcijom paketa i snažnom prevencijom upada, u okviru usluge napredne zaštite od pretnji i firewall rešenja. Možemo da preporučimo odgovarajuću platformu za vašu mrežu, podesimo je i održavamo ažurnom. Ako planirate veći redizajn, pogledajte i našu uslugu dizajna mreže.
