» Firewall (фаерволл) для Windows server, что выбрать?

сервер должен быть именно сервером а не рабочей станцией с Вордом и прочим, его обязанность - фильтровать проходящий трафик клиентов, если я правильно тебя понял

GOODmen
ага, и софт должен быть лицензионным - это демагогия. Есть задача, есть доступные ресурсы. В данном случае - есть виртуальный офис, который весь крутится на одной машине. Ставить vmware - не хочется, совсем не оптимально будет расходоваться ресурсы, желательно всё поставить под одной ОС.

И почему ISA не может работать как App. layer - не знаю... И с Agnitum'ом они не уживаются - трапается машина.

Вопрос все еще открыт =)

andycpp

Цитата:

вобщето позиционируется как продукт для огромных компаний, и я лично тормозов не замечал

+1
Задумайся над фразой....

Люди! Памагите найти мануал по встроенному в XP и 2003Server фаерволлу. Очень нужно

admslon

Цитата:

Памагите найти мануал по встроенному в XP и 2003Server фаерволлу

А в инфы в виндовой справке недостаточно?

Нахожусь в стадии выбора фаерволла для небольшой сети (50 компов), помогите пожалуйста.
Требования к оному:
1. Должен обеспечивать защиту как от внешнего несанкционированного проникновения в локальную сеть, так и от несанкционированного траффика внутри локальной сети и из локальной сети во внешний мир.
2. Возможность установки правил не только по портам, а и с привязкой к приложениям (тобиш возможность отсеч траффик инициализированный вирусным и шпионским ПО по открытым портам)
3. Централизированное управление.

На сколько я осведомлен всеми этими функциями облодают MS ISA Server и CheckPoint Firewall. Еслить ли более простые и более дешевые решения ???? Или не стоит парить мозги и ставить MS ISA Server ????

Я себе поставил McAfee Personal Firewall и Kaspersky Anti-Hacker. Хорошо работают в паре. Локалка из 12 компов.

Ищу серверное решение(для серваков, установленных в одиночку по всему миру на co-location) со следуюющими функциями:

0) Win32
1) Защита от вторжения и попыток взлома и атак с системой оповещения и блокировки.
2) К дополнению к верхенму требованию - желательно чтобы была возможность отгрузкии информации на центральный Report сервер.
3) Примитивные правила маршрутизации, блокировки портов и IP
4) Точный котроль и учет траффика с репортами и оповещением по критическим условиям: превышен траффик, пропало соединение и тд.
желательно 5) VPN клиент, и если VPN сервер, то вообще шикарно
желательно 6) Traffic Shaping или приотиризация траффика
желательно 7) Все это должно достаточно просто настраиватся..
желательно 8) Контрлоль spyware..


Перечислил еще не все...
Понимаю что жирно, но вдруг есть такое, даже готовы покупать..
Проблема основная - удерживать VPN, обнаружить когда идут всплески траффика или пропадает коннект, в обще во имя стабильности и контролируемости..

Буду признателен за любые советы, обыскался уже, можно писать в ПМ

С Уважением,

BlackXSun
MS ISA Server - оптимальное и стандартное решение, это большее, чем просто файерволл. Не понял насчет "привязки к приложениям" - привязываться к приложениям каждого из 50 компов... хммм... Может быть имеется в виду включение режима "proxy"?

drakunov
Опять же, MS ISA 2006 Server - нет ничего более стандартного корпоративного решения на сегодняшний момент + куча плагинов тебе явно понадобится.

drakunov
Если ISA тяжеловата, попробуй это.

drakunov
Цитата:

для серваков, установленных в одиночку по всему миру на co-location

очень долго сидел под Kerio ServerFirewall , пока проек не закрыли теперь под Tiny Firewall - рулит не плохо, только у многих когда ставят удаленно были грабли с ним, но если запустить под админскими провами пашет нет проблем.
Uptime- 171-day Moving Average птфу, птфу.


Цитата:

Точный котроль и учет траффика

MRTG (Multi Router Traffic Grapher) тебе помошник у нормальны хостером всегда такои сервес фрее, если уж засада идем ставим сами http://oss.oetiker.ch/mrtg/index.en.html

удачи если помог чем смог ...

euserz хотел бы услышать как Ису пихнуть на одну Ник карту ... проясните если знаете ????

Ага, Tiny рулит. Юзаю и рекомендую друзьям - правда, только тем, у кого хватает мозгов не наделать дырявых правил (впрочем, таким людям любой файрвол - не особо защита).

нужен очень простой фаер. На win2003, нужно тупо закрыть один порт в инет(инет по vpn), но при этом этот порт должен быть открыт в внутренней сети и все. При этом сервером управляю удаленно, то есть желательно чтоб настройка фаера была ДО его полной установки, а то он забарикадируется
Ковырял стандартный виндовый - так и не понял как в нем блокировать порт определенный в определенном направлении.
Еще пробовал Visnetic - вещь простая и хорошая. но пару раз он тупо глючил, барикадировался и до сервера приходилось добираться в ручную что не есть хорошо.

Заранее спасибо за помощь.

fredben
Цитата:

Еще пробовал Visnetic - вещь простая и хорошая. но пару раз он тупо глючил, барикадировался и до сервера приходилось

сделай правила где твои ИП или еше лутьше Мак адрес доверенные на все 100%, да и чтобы Visnetic тупо не глючил запусти от адмiна. Правый кнопка мыши, Run As... , The following user =Administrator= (толко не Current user ) думаю понятно обьяснил

2h00021C
мммм, ну я коннекчусь туда админом. по идее от его имени и запускается.
насчет мак адреса - чет я не догадывался спасибо попробую

Цитата:

мммм, ну я коннекчусь туда админом. по идее от его имени и запускается

извини конечно но идее тут не катят, сделай как я написал и не мучь себе голову удачи

разобрался. все работает спасиб огромное

у кого есть опыт, подскажите пожалуйста файрволл с возможностью настройки доступа для приложений, наличие режима обучение приветствется, но главное требование — минимальное использование ресурсов, чтобы выдерживал 1000 соединений на общей скорости в 100мбит (ну хотя бы 70 при загрузке атлона 2ггц на 30%), или то что я прошу нереально?

Требуется фаерволл на серверную винду. Внешний и внутренний интерфейсы.

Требования:
- уметь различать в правилах порты с которых инициировано соединение (from)
- NAT
- крайне желательно statefull
- крайне желательно именно фаервол, а не мясорубку прокси-mail-IDS-DHCP-DNS-WEB-всё-в-одном.

Совсем замечательно, если будет уметь отдавать статистику по NetFlow.

В качестве варианта имею "на прицеле" wipfw. Ещё есть что-нибудь подходящее?

Всем привет. Есть проект - подцепить к работающему сайту, сервер локальной сети, с установленным форумом, т.е. внутри локалки форум настроен и работает. Теперь хотим сделать так, что бы люди снаружи тоже могли региться и писать сообщения. Есть ADSL подключение с внешним статическим IP, на ADSL роутере мы пробрасываем 80ый порт, настраиваем DNS и готово. Теперь встаёт задача как-то защититься от внешнего мира, сервер форума ничего особенного из себя не представляет: AthlonXP 2000+/512DDR, работает на Win2k3S SP1 - так что ставить ису не катит, да и не нужны её функции ната, прокси и т.д.
Насколько я понял наиболее подходит в моей ситуации Tini Faerwall, как думаете?

Storm
В твоей ситуации подходит даже встроенный в винду фаерволл
И, соответственно, любое из шапки.

Цитата:

Теперь встаёт задача как-то защититься от внешнего мира

От какого "внешнего мира"? От того, который ходит к тебе на 80 порт?
Вся защита от "внешнего мира" должна сводится к двум вещам: защита ADSL (чтобы DNAT ещё каких-то портов не сделали), которая сводится, фактически, к смене пароля по умолчанию, и контроль за web-сервером и форумом (наблюдение и оперативная установка обновлений). Фаерволл в этой ситуации излишен, у тебя все его функции выполняет ADSL.

"nat и простой брандмауэр" люди добрые, помогите найти чего не будь похожее на это, только с более продвинутыми настройками или можете подсказать как на определенный IP открыть определенные порты?

PAV2
Ситуацию опиши подробнее.
Совершенно непонятно, чего ты хочешь добиться.

Duke Shadow
Так, в w2003 есть служба "Маршрутизация и удаленный доступ" в неё входит "NAT/Простой Брандмауэр" в ней указаны две сетевые карты, одна внутренняя без ограничений, а вторая внешняя с закрытыми TCP. И получается такая ситуация открыть можно только всем или закрыть всем, а мне нужно открыть конкретно определенным ip-адресам некоторые порты.

Ps. Извините за мой корявый русский язык.

PAV2
Т.е. ты хочешь, чтобы к тебе СНАРУЖИ могли присоединяться на некоторые порты?

Duke Shadow
да, IP:порт, IP:порт и т.д.

PAV2

Цитата:

да, IP:порт, IP:порт и т.д.

В общем, настроить это можно и на Basic Firewall (правда КАК смогу сказать только завтра - давненько я этим не пользовался).
Другой вопрос, что если правил много и/или они будут частенько меняться, то лучше от Basic Firewall отказаться сразу. Очень неудобно. Если заморочек с лицензионностью нет - никто не мешает поставить тот же KWF и, поотключав ненужное, радоваться жизни. Там работа с правилами на порядок удобнее и понятнее.

Duke Shadow KWF сразу отпадает, а Basic Firewall с натом дружит, он внутреннию локалку будет пускать во внешнию?

PAV2

Цитата:

KWF сразу отпадает

Зачем ты его так грубо?!

Цитата:

а Basic Firewall с натом дружит, он внутреннию локалку будет пускать во внешнию?

Естественно!
Единственное - насколько я помню, головняк там ещё тот.