Cisco - Cisco

[kim-aa]

Nowal

- Какова необходимая пропускная способность устройства?

- Если только для Интернет'а, то межсетевой экран вам совсем не сдался, тем паче почти все межсетевые экраны cisco построены на базе тех же маршрутизаторов.

- В 2500 вместе с экраном Вы не уложитесь

http://www.cisnet.ru/catalog/cisco/routers/

1000 - коммутатор

1800 - маршрутизатор с прошивкой включающей Фаервол.



На 5505 денег просто не останется (судя по этому

http://www.tmn.ru/03_oborud/cisco/cisco317.htm

вам нужно как минимум еще 1500)



Кстати, маршрутизатор только для Internet - это жирно. Если у Вас не будет ни протоколов маршрутизации ни каналов кроме как ethernet, то маршрутизатор Cisco Вам особо не нужен - вы просто не используете и 80% его возможностей.

[Ment69]

Nowal Проще собрать примитивный системный блок, установить LINUX и на нем поднять все требуемые задачи. Стоимость такого счастья уместится баксов в 500

[Ment69]

Ment69 Я конечно понимаю что дешево. Линукс я вообще ни разу не ставил и не настраивал и сколько времени у меня уйдет на настройку и установку даже представить сложно. И насколько отличается уровень безопасности информации при аппаратной защите (сетевой экран) и при софтварной. Главный приоритет это защита от внешних угроз. Поэтому что лучше сделать?



kim-aa Тоесть маршрутизатор вообще смысла не имеет ставить? А если брать маршрутизатор с прошивкой включающей фаервол насколько он там удачно реализован?

[kim-aa]

Nowal


Цитата:



Главный приоритет это защита от внешних угроз.



Что вы собрались защищать от внешних угроз? Если у вас есть ресурсы (сервера, службы) которые вы собираетесь выставлять наружу, то это одно.

Если же у вас просто куча пользователей будет тупо лазат ьв интернет это другое.

От закачки троянов фаерволы не помогают.




Цитата:



насколько он там удачно реализован



Приведите пример, с Вашей точки зрения, удачно реализованного фаервола и тогда я смогу ответить.

Кому-то и XP-шный фаервол счастье. а кого-то и firewall-1 не устраивает.

Какие функции по Вашему должен реализовать фаервол?



Вот вам, почитайте

http://www.cisco.com/global/RU/news/releases/0716.shtml

, как раз на одной странице описываетсяи ASA и IOS



Ment69

Ну она конечно Unix-подобна, только UNIX этот от силы семидесятых годов. (это по системе команд).

По архитектуре она больше походит на Windows 3.11

[sergey1234567]

Nowal

1) пока вы не определитесь с архитектурой и топологией системы которую Вы хотите построить - с оборудованием Вы не определитесь тем паче.

2) Рисуйте схему подключения серверов, рабочих станций.

3)
Цитата:



Базу sql 1с



Что вы имели в виду?

- Порты MS SQL?

- SMB порты?

- RDP/ICA порты?

- вобще стоит задача доступа к базе извне? Или такой задачи нет?

- https? какое приложение будет работать по данному протоколу? Оно должно быть доступно извне?

- вобще перечислите сервисы и машины которые должны быть доступны извне.

- 1С - какая версия? 7.7 или 8.0?

4) Ваша задача является задачей сегментации сети по уровням безопасности/производительности

для нее у нас существует отдельная ветка

Switch/802.3 - Сегментация сети на зоны безопасности (DMZ & VLANs)

Ознакомтесь. Может что-либо Вам пригодится.

[sergey1234567]

Цитата:



Что вы собрались защищать от внешних угроз?



Базу sql 1с, траффик через https, доступ к машинам локальной сети. Вот то что нужно защитить. Потому как высока вероятность что будут попытки взломать сервер(получить доступ к базам к документообороту) либо вывести его из строя. Планируется сильно ограничить доступ в интернет с целью уменьшить вероятность получения троянов. Доступ будет только к определённым доменам. А вот с оборудованием ни как определиться не можем. Нужен нам сетевой экран, маршрутизатор как отдельные устройства или можно взять сплит систему.

[kim-aa]

Цитата:



Коммутатор может являться роутером

Коммутатор 3-го уровня

(и выше) eстественно подерживает маршрутизацию.



Встроенные фаерволы там весьма простые (ACL - фильтрующие).

Типов Интерфесов не много однако все это окупается скоростью.



Маршрутизаторы - это полная противоположность вышеописанному.

Богатая функциональность и небольшие скорости.

http://wiki.oszone.net/index.php.htm/Маршрутизатор

Схемку вы нарисовали не правильно. По ней выходит что HTTPS имеет свой собственный доступ в интернет минуя маршрутизатор.



Мои рекомендации:

- Подбор оборудования - как в этой теме

http://forum.oszone.net/thread-79670.html

- Все на Cisco целиком вы не потянете - не уложитесь в бюджет.

- HTTPS сервер должен располагаться в отдельном сегменте или между интернет-фаерволом и основным фаерволом.

- При таких требованиях к защищенности 1С-сервер должен жить так же в отдельном сегменте, т. е. должна быть возможность отфильтровать любой трафик направленный к нему, в том числе и от локальных машин.

- Так же должен быть изолирован прокси-сервер.

- Роль основного фаервола должен играть или коммутатор 3-го уровня или устройство типа

http://zyxel.ru/content/catalogue/7/23/368

- Роль интернет-шлюза устройство типа

http://zyxel.ru/content/catalogue/7/23/245/

оно уже обладает аппаратной возможностью резервирования интернет-каналов.



- Общая архитектура будет состоять из 3х сегментов:

-- LAN (Сервера общего назначения + станции)

-- 1С

-- HTTPS, PROXY, MAIL



(В принципе можно вообще все построить на одном таком устройстве (Zywall 1050) - числа выводов как раз пять - 2xWAN + 1С+https+LAN

однако если оно сдохнет, вам нечем будет востановить сеть, в случае же наличия 2х железяк можно как-нибудь перекантоваться на время ремонта)



- Рисовать у меня нет времени, но если Вы потерпите, я попытаюсь чего-либо изобразить в понедельник.

[Nowal]

Схема построения сети в приложении.



К Серверу SERVER 1C+SQL хотелось что бы вообще доступа с интернета не было. С 1С будут работать только пользователи локальной сети.

А вот на HTTPS сервер будет лазить много народу с глобальной сети закидывать через него на компьютер USER1 данные которые он будет перенаправлять на SERVER 1c+SQL. Все остальные компьютеры должны работать в интернете по определённым адресам, тоесть полного доступа не будет.

Небольшой вопрос: Коммутатор может являться роутером или обязательно необходимо выделять отдельную машину?

Вложения

[Расширение jpg было запрещено, вложение больше недоступно.]

[kim-aa]

А нельзя ли попонятнее про Коммутацию третьего уровня (Layer 3 Switch). Т.е. с Коммутирующими маршрутизаторами (switching routers) всё ясно, а вот с Маршрутизирующими коммутаторами (routing switches) - ?. Если несложно очень хочется получить 'ликбез'.

[Nowal]

Да уже наверное 2500$ не потолок можно и больше главное что бы надежность была высокой. А HTTPS SERVER на схеме просто как машина на которой развёрнут WEB узел с которым будут работать клиенты нашей компании. Время пока не поджимает буду рад любой помощи.