Mikrotik pfSense oder Endian Router Firewalllösung gesucht

Hallo miteinander,

aufgrund Umstrukturierung unseres Netzwerkes und Einführung von VLANs, plane ich in diesem Zuge auch eine neue Firewall mit Routingfunktion. Das Szenario habe ich mal auf die Schnelle auf Blatt Papier gezeichnet, es soll so aussehen:


Bei Kritik oder Verbesserungsvorschläge bin ich natürlich ganz Ohr. Hinzufügen möchte ich an dieser Stelle:

Die synchronse DSL-Leitung bei der Telekom war unser erster ISP, bei dem wir auch einige statische IPs inbegriffen haben. Sie bietet höheren Upstream. Diese Internetleitung (=ISP2) verwenden wir demnach für Mail-, EDI-, Webserver, usw... . Diese DMZ-Hosts haben also als default gateway die IP vom Telekom-Anschluss eingetragen und gehen direkt darüber ins Internet. Alle anderen Hosts (Workstations, usw...) haben als default gateway den cisco-Switch eingetragen und gehen über einen squid-Proxy via ISP1 (=KabelBw) ins Internet.

In Zukunft sollen ALLE Hosts als default gateway den cisco Switch erhalten. Auf diesem Cisco C3560G Switch ist "wccp" aktiviert. Alle Anfragen auf Port 21, 80, 443, usw... leitet dieser "wccp"-Dienst an die IP der zukünftigen Firewalllösung. Dort wird nämlich ein Web-Cache-Proxy laufen (squid oder ähnliche). Diese wiederum soll anhand policys entscheiden, ob für den Verbindungsaufbau ins Internet ISP1 oder ISP2 verwendet werden soll.

Ich weiß noch nicht, welche Firewall ich einsetzen sollte, deswegen bitte ich um Rat und Empfehlungen. Wichtige Leistungsmerkmale wären:

- Proxy WebCache sollte möglich sein, bevorzugt wäre squid, ist aber kein Muss.
- OpenVPN zwingend notwendig. Unsere externen Mitarbeiter oder Filialen arbeiten wie bisher mit OpenVPN.
- multi WAN fähig: das heißt, ich sollte zwei Internetleitungen daran betreiben können.
- daraus folgt: ich möchte statische Routen festlegen können, z.B. sollen bestimmte Hosts oder ganze Subnets die WAN2 Leitung über Telekom verwenden
und alle anderen sollen über WAN1 / KabelBW ins Internet gelangen.
- kein Muss, aber optional wünschenswert wäre dann natürlich auch die Möglichkeit FailOver haben zu können. Das heißt: sollte WAN1 offline gehen, sollen ALLE Hosts über WAN2 rausgehen. Oder wenn ISP2 ausfällt, sollten halt alle über den ISP1 rausgehen können.

Ich habe bereits etwas recherchiert und bisher habe ich drei Firewalllösungen ins Auge gefasst:

1.) der immer wieder gelobte Review geschrieben gehabt und geht auf die wichtigsten Sachen ein. Der dort gezeigte Versionsstand ist jedoch schon etwas älter, da wurde noch Version 3.29 eingesetzt, aktuell ist 6.20. Damit hat man laut meinen Recherchen auch mit der WebGUI volle Konfigurationsmöglichkeit, also alles was man auch über das Configtool "Winbox" erzielen könnte. Winbox läuft auf Windows, oder über Wine-Emulation auch in Linux, nebenbei bemerkt. Nachteile von diesem Mikrotik Router sind: IPSec Implementierung unterstützt nur IKEv1 und OpenVPN kein UDP, also nur via TCP. Man möge mich korrigieren falls diese Informationen nicht korrekt sind. Vorteile: er kann SSTP, was ich aber bisher nie gebraucht habe. Und wenn ich mir die Wiki anschaue dann finde ich in diesem Wiki-Abschnitt auch die Erklärung dazu, dass man zwei ISPs daran betreiben könnte, oder nicht? Demnach sollten ja mit diesem Gerät meine Anforderungen alle erfüllt werden können, nicht?

Hier auf YouTube gibt's noch eine ganze Video-Reihe zu Mikrotik.

Und HIER gibt's nen Demozugang zur Konfiguratiosoberfläche. Ganz unten kann man sich auch "Winbox" downloaden und ausführen, damit man auch diese Winbox-Konfigurations-GUI sich anschauen kann.

Nachteilig meiner Ansicht nach ist der angesprochene Punkt, dass OpenVPN nur via TCP funktioniert (kein UDP) und dass die Lernkurve extrem steil ist. Wenn ich mir z.B. anschaue wie OpenVPN konfiguriert wird, da wird mir schon schwindelig (im Vergleich zu IPFire als Beispiel).

2.) Die Firewall-Lösung pfSense wäre in der Lage Multi-WAN und auch Failover/Load-Balancing auszuführen. Alle anderen Funktionsmerkmale bietet sie auch. Von PfSense lese ich auch immer wieder des Öfteren und denke, dass es kein schlechtes Produkt ist. Mir gefällt vor allem, dass es auf FreeBSD aufbaut und somit auf pf statt auf iptables, ist aber Geschmackssache.

3.) Die Firewall-Lösung Endian kann wohl auch Multi-WAN und Failover/Load-Balancing mit all den anderen geforderten Funktionen. Endian kannte ich bis heute noch nicht, bin erst durch Recherche darauf gestossen. Alles in allem hört sich das ja auch alles ok an was man da so liest, ob das wirklich was taugt weiß ich nicht. Hier stört mich ein wenig, dass zwischen kostenlos- und Bezahlversionen unterschieden wird. Das hätte ich bei der Wahl von pfSense nicht.

Ich freue mich sehr auf feedback und bin auf eure Meinungen gespannt. Danke im Voraus.

Gruß,
Pangu