Mittlerweile gibt es auch diverse Anbieter die den Microsoft ISA 2004 in eine 19"-Kiste stopfen und das als "Hardware-Firewall" verkaufen.
Wenn es eine Hardware-FW sein soll auf jeden Fall etwas von einem etablierten Hersteller kaufen bei dem langjähriger Support und Softwareupdates und Ersatzteilversorgung sicher gestellt sind.
Wenn Ihr extern nur eine öffentliche IP-Adresse habt ist die PIX nicht unbedingt das Richtige für Euch.
Die meisten Hardware-Firewalls basieren auf Linux, BSD und manchmal auf ISA2004. Daneben gibts noch einige herstellereigene Plattformen. Wichtig ist ein vertrauenswürdiger Hersteller, der auch nach Jahren noch Updates liefert. Firewalls sind auch nur Software und damit gibts da auch Bugs und Löcher.
Dann stellt sich noch die Frage nach den weiteren Funktionen bzw Service:
Hardware Firewalls auch als VPN Server oder den VPN Traffic nur durchleiten?
Wie "tief" soll gefiltert werden? Nur nach Port und IP? Auch nach Protokoll. Das kann inzwischen wohl jede Firewall. Soll auch nach Inhalt gefiltert werden? Dann kann nicht jede.
Wer soll die Kiste konfigurieren? Das ist meist garnicht so einfach.
Ich hab bestimmt noch einiges vergessen...
Mich irritiert auf Deinem Bild die Verbindung von LAN in die DMZ.
Bisher hatten wir eine Linux Software Firewall, die ich in nächster Zeit gegen eine Hardware Firewall auswechseln möchte.
Wenn die auf einem separaten Computer installiert wurde, ist das schon eine "Hardware-Firewall". Wenn die gut funktioniert, gibt's doch eigentlich keinen Grund, die zu ersetzen, oder?
ich habe mit watchguard firebox x gute erfahrungen gemacht die firebox 1000 haben wir mit 150 user im einsatz ist sehr gut auch von der geschwindigkeit..
astaro kann ich dir auch anraten..
ist aber alles eine kostenfrage firebox 1000 glaube ich 2000 -2500 euro...
die nokia firewall wird viel treurer sein ...
prinzipiell würde ich mir auch die frage stellen, warum das vpn-gateway eine direkte verbindung ins lan hat. ich würde das auch über die firewall routen. somit gibt es absolut keine verbindung ins lan.
ich würde auch zu einer checkpoint auf einer nokia-box empfehlen. günstiger wirds auf einer secureguard-plattform...
