Bonjour la liste ! 8 ans qu'on carbure ici sur du netasq puis du stormshield. Aujourd'hui on a deux SN2000 en HA avec des milliers de connexions à la seconde, du proxy transparent, de l'IPS et un filtrage de tout ce qui rentre mais aussi de ce qui sort le tout avec des logs bien détaillés. Alors oui c'est pointilleux car très complet. Mais l'interface graphique est simple à prendre en main et la ligne de commande en ssh te permet de faire ce que tu veux une fois que tu maîtrises la bestiole. On a vite fait d'aller expliquer à l'IPS que oui de nos jour une url peut être (très) longue ou comporter des caractères qui ne sont pas dans les RFC et si on prend un peu le temps de configurer l'ensemble on se retrouve avec un outil souple, puissant qui te casse pas les pieds tous les matins. Les mises à jours sont fréquentes (faciles à passer) et en cas de pépin ou même de question le support réagit plutôt vite et bien (et en français ce qui ne gâche rien). Pour une fois qu'on a un produit européen (consortium Airbus industrie) qui n'est pas plein de backdoor et qui fonctionne bien, pourquoi se priver ? ;-) Manu. ________________________________ De : FRsAG <frsag-bounces@frsag.org> de la part de David Ponzone <david.ponzone@gmail.com> Envoyé : vendredi 9 mars 2018 15:15 À : SIMANCAS Hugo Cc : frsag@frsag.org Objet : Re: [FRsAG] Choix de firewalls Sauf que ça se permet de virer la payload SDP d'un paquet MGCP sans trop qu'on sache pourquoi :) C'est très très pointilleux apparemment du côté de la vérification de conformité des paquets qui transitent. Donc c'est peut-être pas le plus simple à prendre en main. Le 9 mars 2018 à 15:09, SIMANCAS Hugo a écrit :

Salut David,

De mon côté je recommande les stormshield, c'est français et ça marche bien. Pour 150 postes, je recommande le SN510, du coup en HA, deux boitiers. https://www.stormshield.com/wp-content/uploads/2016/09/SNS-FR-SN510-Datashee... CONTINUITÉ BUSINESS POUR DES ARCHITECTURES COMPLEXES ...<https://www.stormshield.com/wp-content/uploads/2016/09/SNS-FR-SN510-Datasheet-201611.pdf> www.stormshield.com moyennes organisations networ security i endpoint security i data security continuitÉ business pour des architectures complexes

* NAT OK * régles OK * facilité d'utilisation de l'interface web ultra simple * HA (haute dispo) mise en place 15 minutes * VPNs SSL & IPSec * IDS / IPS : depuis la couche 3 à la couche 7 * support éditeur ou partenaire * performances (pour 150 postes, c'est pas trop gros :D) * facilité des mises à jour IPS maj automatique, pour le reste c'est l'upload d'un fichier * autres qu'on aurait pas pensé...

Hugo

Cordialement, Regards, --- Hugo SIMANCAS Directeur Technique & Informatique Associé Fixe : 05 34 26 50 57 Mob : 06 95 44 29 64 hugo.simancas@humansconnexion.com 1 Chemin Virebent – 31200 Toulouse

-----Message d'origine----- De : FRsAG <frsag-bounces@frsag.org> De la part de David Durieux Envoyé : mercredi 7 mars 2018 09:14 À : frsag@frsag.org Objet : [FRsAG] Choix de firewalls

Bonjour,

Auriez-vous des retours d'expérience sur des firewalls, on doit changer les notres et on aimerai des informations sur des firewall du marché, notamment :

* NAT * régles * facilité d'utilisation de l'interface web * HA (haute dispo) * VPNs * IDS / IPS * support * performances (pour 150 postes, c'est pas trop gros :D) * facilité des mises à jour * autres qu'on aurait pas pensé...

merci d'avance pour vos retours d'expériences la dessus ;)

Cordialement,

David Durieux

_______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/

FRsAG<http://www.frsag.org/> www.frsag.org Le FRench SysAdmins Group (FRsAG) est un groupe d'échange d'informations, de techniques, de conseils entre administrateurs systèmes et architectes techniques ...

_______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/ FRsAG<http://www.frsag.org/> www.frsag.org Le FRench SysAdmins Group (FRsAG) est un groupe d'échange d'informations, de techniques, de conseils entre administrateurs systèmes et architectes techniques ...

_______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/ FRsAG<http://www.frsag.org/> www.frsag.org Le FRench SysAdmins Group (FRsAG) est un groupe d'échange d'informations, de techniques, de conseils entre administrateurs systèmes et architectes techniques ...

On 09/03/2018 15:18, frsag@jack.fr.eu.org wrote:>> De mon côté je recommande les stormshield, ça marche bien.

Bonne blague Pour en avoir malheureusement supporté pendant trop longtemps : stormshield, shitstorm

Il est vrai que le monde du "firewall" est un monde de merde où l'incompétence est omniprésente, puisque l'unique but desdits produits est de rassurer les décideurs à l'aide d'une facture "pour la securité"

Très constructif et argumenté... Fabien

Je le dirais pas de cette façon mais on a fait du Netasq depuis quasiment leur début (1999-2000) et au fil du temps malgré des mecs au dev et tech super bien ça c'est fortement et profondément dégradé. Et ils n'écoutaient plus que les besoins pour Orange car eux font du volume... Des exemples non exhaustif : J'ai ressorti plusieurs fois a l'event qu'il faisait (NSA) chez mickey un besoin sur le filtrage web par session et non par IP. Il pouvait techniquement faire (aveu de la part du responsable dev) mais qui n'ont pas fait pendant ouf longtemps trop pas dans la todolist du Market (ou de l'Agrume). C'est très con car on faisait de plus en plus de serveur Citrix (STE). Console central de M.... On n'a pas eu de soutien pour un client CAC40 alors que l'on avait déjà énormément de boitier chez ce dernier, c'est passé du coup chez Forti... Une des raisons assez bête : les rapports inexistant (dans les 2000 boitiers perdu quand même ) Bref vraiment pas (plus) à l'écoute et trop d'installateur qui pose avec tout ouvert mais qui eux vendent plus donc sont considéré.... Sur quand tu propose une analyse des flux et d'ouvrir que selon les besoins tes honoraires sont la ! Et l'autre pose pour pas cher. Je rejoints l'argument j'ai une facture pour la sécurité chef ... Après sur le plan technique l'ASQ a posé de plus en plus de souci. Sur la VoIP c'est bullshit², paquet mal réécrit, modifié .... Pb hardware, pb de cout de licence en HA. Et quand tu es en panne on te remplace par le modèle au-dessus "sympa" car l'autre on fait plus. Par contre ton abonnement passe sur la grille du nouveau boitier et le HA pareil. La ton client te tire dessus a boulet rouge pour ton super cadeau Je pourrais plus dire vraiment ce qu'il en ait depuis quelques temps, mais je constate juste que nos partenaires qui étaient sur Stormshield ont également majoritairement changé de produit. Xavier -----Message d'origine----- De : frsag@jack.fr.eu.org [mailto:frsag@jack.fr.eu.org] Envoyé : vendredi 9 mars 2018 21:01 À : frsag@frsag.org Objet : Re: [FRsAG] Choix de firewalls C'est un retour d'expérience, il n'y a donc pas d'argumentation possible mais seulement une énumération de fait, tels que perçu par le sujet Si mes expériences dans le domaine te choque, j'en suis désolé, On 03/09/2018 08:52 PM, Fabien Germain wrote:

On 09/03/2018 15:18, frsag@jack.fr.eu.org wrote:>> De mon côté je recommande les stormshield, ça marche bien.

...

Bonne blague Pour en avoir malheureusement supporté pendant trop longtemps : stormshield, shitstorm

Il est vrai que le monde du "firewall" est un monde de merde où l'incompétence est omniprésente, puisque l'unique but desdits produits est de rassurer les décideurs à l'aide d'une facture "pour la securité"

Très constructif et argumenté...

Fabien _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/

_______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/

On 10 mars 2018 à 16:20 +0100, Xavier Beaudouin <kiwi@oav.net>, wrote:

Alors qu'avec des solutions de firewalls opensource (pfsense, opnsense, ....) ces emmerdes ne seront même pas une réalité et le temps de mettre en place un truc intelligent serait beaucoup plus court...

Bref, je suis probablement déformé par le fait que je fais du reseau ET du système et pas de la "sécurité"….

+1 avec ipfire que j’ai préféré à pfsense, embarquant nativement openvpn + proxy filtrant (squid, squidguard, squidclamav). On peut soit prendre la machine de son choix ou la boite derrière le soft propose aussi ses "appliances". Nicolas

Le 10/03/2018 à 16:53, Stéphane Rivière a écrit :

Sinon, pour revenir à du fermé (vraiment) pas cher : mikrotik, on les trouve à des prix ridicules chez certains fournisseurs centre europe. Pas testé (en reste au libre), mais on m'en a dit beaucoup de bien. +1 Super produit, par contre il ne fait pas du tout IPS/IDS/Anti-virus/Anti-spam, ce n'est pas la cible du produit.

Matthieu

Hello, Le 10/03/2018 à 16:18, Xavier Beaudouin a écrit :

Alors qu'avec des solutions de firewalls opensource (pfsense, opnsense, ....) ces emmerdes ne seront même pas une réalité et le temps de mettre en place un truc intelligent serait beaucoup plus court...

Sans compter que pfSense tient largement la charge sur des équipements standards d'entrée de gamme. Le système actif/passif est hyper solide pour avoir une solution redondante. En revanche, la gestion en DC peut devenir un peu "lourdingue" au fur et à mesure que le nombre de zones augmente. Je ne sais pas pour les autres solutions opensource mais c'est pour moi le seul point faible qui m'a encouragé à me tourner vers du proprio. -- Olivier

@job[$] on place du Watchguard. Les boîtiers (ou appliances virtuelles) sont dimensionnées pour +/- n utilisateurs et sont perf avec toutes les briques de sécu activées. HA possible (actif/actif ou actif/passif) avec deux boîtiers, VPN (Site à site et client), IDS et IPS également. Ca peut NATer dans à peu près tous les sens Filtrage web par catégorie/applications, spamblocker, antivirus, module antiransomware (TDR). Multiwan (RR, failover, RFC2992, etc.). Côté administration, il y a l'historique client lourd mais également une bonne interface web. Les mises à jour sont ultra simplistes via le client lourd et web, et gère le HA ou non. Gestion centralisée des logs de plusieurs boîtiers dans l'appliance virtuelle Dimension. (Les boîtiers font offices de contrôleurs Wifi avec les bornes du même constructeur) Très peu de bug, le support est super réactif et prend la main sur les boîtiers pour le diag. Le 11 mars 2018 à 15:19, Guillaume Barrot <guillaume.barrot@gmail.com> a écrit :

Hello

Voilà ce que l'on va pousser chez les clients, avec les raisons :

# mode intégrateur

Le client sait pas trop ce qu'il veut faire, mais veut acheter sur catalogue (= fournisseur ayant pignon sur rue, support, etc) => Fortinet Ca fait à peu près tout, c'est plutot stable, il y a toujours des petits bugs, mais rien de bien bloquant,il faut juste savoir qu'on va upgrader assez souvent, et downgrader de temps en temps aussi. Niveau prix, c'est aggressif. Gestion centralisée pas mal.

Le client veut acheter sur catalogue mais a des vrais existences de sécurité (= il sait de quoi il parle, il a un vrai SOC, ou il a des flux pas marrants genre Citrix) => Palo Alto C'est ultra complet, ça sait venir chercher des poux à Checkpoint dans le milieu bancaire, mais c'est très limité en perf vs Fortinet à cause d'une approche FPGA. Ca coute une couille, mais ça les vaut. Gestion centralisée au top (+ API complète et stable, ça fait plaisir)

En entrée de Datacenter on a aussi F5, qui a maintenant un module de Firewalling complet. En fonction de la stratégie du client, ça peut faire sens (prix élevé, gestion centralisée pas trop mal) Plutot par opportunité : si y a déjà du F5 et qu'il est pas au taquet, autant conseiller au client de racheter juste la licence qui va bien.

# mode service provider

Le client achete un service de firewalling, mais franchement, il se fout de savoir ce qu'on va y coller ? Par contre il veut bien un petit bout d'interface graphique. La perf reste inférieure à 10G. PFSense, OPNSense, IPfire en VM (pour pas avoir à s'emmerder avec les drivers des cartes Intels, Mellanox, ou Broadcom).

# autres

SonicWall : depuis que Dell a revendu, on a plus de visu sur la pérennité de la boite. Stormshield : je partage la vision de Xavier, ça a été bien, puis c'est devenu une filiale officieuse d'Orange. A conserver uniquement quand le client est un OIV relou, genre Mindef.

My 2 cents,

Le 11 mars 2018 à 08:38, Olivier Le Cam <olc@glou.fr> a écrit :

...

Hello,

Le 10/03/2018 à 16:18, Xavier Beaudouin a écrit :

...

Alors qu'avec des solutions de firewalls opensource (pfsense, opnsense, ....) ces emmerdes ne seront même pas une réalité et le temps de mettre en place un truc intelligent serait beaucoup plus court...

Sans compter que pfSense tient largement la charge sur des équipements standards d'entrée de gamme. Le système actif/passif est hyper solide pour avoir une solution redondante.

En revanche, la gestion en DC peut devenir un peu "lourdingue" au fur et à mesure que le nombre de zones augmente. Je ne sais pas pour les autres solutions opensource mais c'est pour moi le seul point faible qui m'a encouragé à me tourner vers du proprio.

-- Olivier

_______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/

-- Cordialement,

Guillaume BARROT

_______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/

-- Ludovic SCOTTI

Faut l'activer la backdoor hein :) Le 16 mars 2018 à 09:34, Emmanuel Jacquet <manu@formidable-inc.net> a écrit :

Le 12 mars 2018 à 10:24, Ludovic Scotti <tontonlud@gmail.com> a écrit :

...

[...] le support est super réactif et prend la main sur les boîtiers pour le diag.

Ah, une sorte de backdoor officielle ? :-)

-- Emmanuel Jacquet manu@formidable-inc.net

_______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/

-- Ludovic SCOTTI