18
Neue Open-Source-Firewall: DynFi
DynFi kannte ich seit einiger Zeit als zentrale Verwaltungssoftware für pfSense und OPNsense.
Das französische Unternehmen hat aber auch kürzlich seinen OPNsense-Fork "DynFi Firewall" veröffentlicht: https://dynfi.com/de/dynfi-produkte/firewall/dynfi-firewall/
Experimentierfreudig bin ich bei Firewalls eher nicht und habe sie demnach auch noch nicht ausprobiert. Aber vielleicht findet ja jemand, dem die Alteingesessenen nicht zusagen, hier eine Alternative und teilt dann idealerweise auch seine Erfahrungen.
Das französische Unternehmen hat aber auch kürzlich seinen OPNsense-Fork "DynFi Firewall" veröffentlicht: https://dynfi.com/de/dynfi-produkte/firewall/dynfi-firewall/
Experimentierfreudig bin ich bei Firewalls eher nicht und habe sie demnach auch noch nicht ausprobiert. Aber vielleicht findet ja jemand, dem die Alteingesessenen nicht zusagen, hier eine Alternative und teilt dann idealerweise auch seine Erfahrungen.
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 1573279659
Url: https://administrator.de/contentid/1573279659
Ausgedruckt am: 21.11.2024 um 16:11 Uhr
18 Kommentare
Neuester Kommentar
Wenn man auf DynFi-Firewall Benutzerhandbuch geht und eine französisches Handbuch bekommt, dann sträuben sich bei mir alle Nackenhaare.
Ich habe seit >10 Jahren Erfahrungen mit französischen IT Dienstleistern und Entwicklern und habe die Erfahrung gemacht, dass die, oft faktisch nicht vorhandenen, Sprachkenntnisse der Franzosen in Richtung Englisch in etwa auf meinem Sprachniveau Französisch sind. Dazu muss man wissen, dass ich genau 4 Monate Französisch in der Schule hatte und diverse Frankreichurlaube.
Ich habe seit >10 Jahren Erfahrungen mit französischen IT Dienstleistern und Entwicklern und habe die Erfahrung gemacht, dass die, oft faktisch nicht vorhandenen, Sprachkenntnisse der Franzosen in Richtung Englisch in etwa auf meinem Sprachniveau Französisch sind. Dazu muss man wissen, dass ich genau 4 Monate Französisch in der Schule hatte und diverse Frankreichurlaube.
1
<satire>Wenn die so gut Firewalls bauen wie Autos....</satire>
3
Ein Fork nach dem anderen, genau so schnell verschwinden sie auch von der Bildfläche. So sehr ich auch Opnsense von der GUI gut finde, so instabil ist sie im Vergleich zu PfSense. Diverse Funktionen laufen nicht wie so eigentlich sollten. Updates zerstören selten rudimentäre Features... An welche Firewall erinnert mich das denn? Irgendwas mit Forti...
Zitat von @surreal1:
Ein Fork nach dem anderen, genau so schnell verschwinden sie auch von der Bildfläche. So sehr ich auch Opnsense von der GUI gut finde, so instabil ist sie im Vergleich zu PfSense. Diverse Funktionen laufen nicht wie so eigentlich sollten. Updates zerstören selten rudimentäre Features... An welche Firewall erinnert mich das denn? Irgendwas mit Forti...
Ein Fork nach dem anderen, genau so schnell verschwinden sie auch von der Bildfläche. So sehr ich auch Opnsense von der GUI gut finde, so instabil ist sie im Vergleich zu PfSense. Diverse Funktionen laufen nicht wie so eigentlich sollten. Updates zerstören selten rudimentäre Features... An welche Firewall erinnert mich das denn? Irgendwas mit Forti...
Welche Probleme hast du denn?
Ich betreibe diese die Opnsense bei 5
Kunden und habe keine großen Probleme.
Eingesetzt wird immer OpenVPN und HAProxy
Zitat von @tech-flare:
Welche Probleme hast du denn?
Ich betreibe diese die Opnsense bei 5
Kunden und habe keine großen Probleme.
Eingesetzt wird immer OpenVPN und HAProxy
Zitat von @surreal1:
Ein Fork nach dem anderen, genau so schnell verschwinden sie auch von der Bildfläche. So sehr ich auch Opnsense von der GUI gut finde, so instabil ist sie im Vergleich zu PfSense. Diverse Funktionen laufen nicht wie so eigentlich sollten. Updates zerstören selten rudimentäre Features... An welche Firewall erinnert mich das denn? Irgendwas mit Forti...
Ein Fork nach dem anderen, genau so schnell verschwinden sie auch von der Bildfläche. So sehr ich auch Opnsense von der GUI gut finde, so instabil ist sie im Vergleich zu PfSense. Diverse Funktionen laufen nicht wie so eigentlich sollten. Updates zerstören selten rudimentäre Features... An welche Firewall erinnert mich das denn? Irgendwas mit Forti...
Welche Probleme hast du denn?
Ich betreibe diese die Opnsense bei 5
Kunden und habe keine großen Probleme.
Eingesetzt wird immer OpenVPN und HAProxy
Keine mehr seitdem ich PfSense nutze
Ich würde pfSense oder OPNsense als Firewalls überhaupt nicht einsetzen. Zumindest nicht am Perimeter. 90+% des Internet Traffics ist SSL-verschlüsselt, und da kann keines der beiden Produkte mehr in den Traffic reinschauen. Mit ein bisschen Gefummel kriegt man zwar den Squid dazu, SSL aufzubrechen, das ist dann aber auch nur die halbe Miete, weil nur Traffic inspiziert wird, der über den Proxy läuft.
Zitat von @cryptochrome:
Ich würde pfSense oder OPNsense als Firewalls überhaupt nicht einsetzen. Zumindest nicht am Perimeter. 90+% des Internet Traffics ist SSL-verschlüsselt, und da kann keines der beiden Produkte mehr in den Traffic reinschauen.
Das kann keine Firewall solange sie nicht die Schlüssel der Clients hat.Ich würde pfSense oder OPNsense als Firewalls überhaupt nicht einsetzen. Zumindest nicht am Perimeter. 90+% des Internet Traffics ist SSL-verschlüsselt, und da kann keines der beiden Produkte mehr in den Traffic reinschauen.
Mit ein bisschen Gefummel kriegt man zwar den Squid dazu, SSL aufzubrechen, das ist dann aber auch nur die halbe Miete, weil nur Traffic inspiziert wird, der über den Proxy läuft.
Viele Firewall die ich bei Kunden gesehen (nicht installiert) habe, lassen SSL Traffic unbeachtet durch.Denn für die Installation muss man jedem Geräte beibringen mit dem Proxy zu sprechen und dessen Zertifikate zu akzeptieren. Besonders Online-Banking mag das gar nicht.
Und SSL-Traffic der sich nicht daran hält, wird schlicht blockiert.
Das kann so ziemlich jede kommerzielle Firewalls, selbst Billigheimer wie Sophos, Watchguard und Konsorten. SS-Decryption ist seit vielen Jahren Grundausstattung der meisten Firewalls. Mir fiele keine ein, die das nicht könnte.
Viele Firewall die ich bei Kunden gesehen (nicht installiert) habe, lassen SSL Traffic unbeachtet durch.
Kann man so machen, die Firewall ist dann halt bei 90+% des HTTP Traffics komplett blind.
Denn für die Installation muss man jedem Geräte beibringen mit dem Proxy zu sprechen und dessen Zertifikate zu akzeptieren. Besonders Online-Banking mag das gar nicht.
Das ist kein Problem. Zum einen arbeiten die meisten richtigen Firewalls nicht mit Proxies, zum anderen gibt es transparente Proxies, wo man dem Client nichts beibringen muss. Abgesehen vom Rollout des Zertifikates. Aber das ist mit einer GPO fix gemacht.
Auch das mit Online Banking ist kein Problem. Zum einen kann man bestimmte Kategorien (wie Online Banking) einfach von der SSL-Decryption ausschließen, zum anderen lassen sich Whitelists für problematische Ziele (Stichwort Certificate Pinning) pflegen.
Und SSL-Traffic der sich nicht daran hält, wird schlicht blockiert.
Woran hält?
Der Punkt ist: Am Perimeter eine Firewall zu betreiben, die nicht in den SSL Traffic reinschauen kann, um auf Schadcode, gefährliche URLs wie Phishing Links etc. zu prüfen, ist grob fahrlässig.
Zitat von @StefanKittel:
Wieso? Die Ports 80 und 443 an den Proxy Port umeliten....fertig.Zitat von @cryptochrome:
Ich würde pfSense oder OPNsense als Firewalls überhaupt nicht einsetzen. Zumindest nicht am Perimeter. 90+% des Internet Traffics ist SSL-verschlüsselt, und da kann keines der beiden Produkte mehr in den Traffic reinschauen.
Das kann keine Firewall solange sie nicht die Schlüssel der Clients hat.Ich würde pfSense oder OPNsense als Firewalls überhaupt nicht einsetzen. Zumindest nicht am Perimeter. 90+% des Internet Traffics ist SSL-verschlüsselt, und da kann keines der beiden Produkte mehr in den Traffic reinschauen.
Mit ein bisschen Gefummel kriegt man zwar den Squid dazu, SSL aufzubrechen, das ist dann aber auch nur die halbe Miete, weil nur Traffic inspiziert wird, der über den Proxy läuft.
Viele Firewall die ich bei Kunden gesehen (nicht installiert) habe, lassen SSL Traffic unbeachtet durch.
Denn für die Installation muss man jedem Geräte beibringen mit dem Proxy zu sprechen und dessen Zertifikate zu akzeptieren. Besonders Online-Banking mag das gar nicht.
Dafür gibt es ja Ausnahmen.Denn für die Installation muss man jedem Geräte beibringen mit dem Proxy zu sprechen und dessen Zertifikate zu akzeptieren. Besonders Online-Banking mag das gar nicht.
Letztendlich funktioniert z.B. das Umbrella Security Internet Gateway auch genau. Es ist ein Proxy in der Cloud, welcher optional in den SSL Traffic reinschaut. Natürlich benötigen die Clients dann das Zertifikat oder eben das eine CA Zertifikat, sofern man dieses einbindet. Funktioniert übrigens problemlos.
Wenn man in den SSL Traffic als Unternehmen nicht reinschaut bzw. analysiert, wird es irgendwann schwierig mit der Gefahrenabwehr.
Zitat von @cryptochrome:
Ich würde pfSense oder OPNsense als Firewalls überhaupt nicht einsetzen. Zumindest nicht am Perimeter. 90+% des Internet Traffics ist SSL-verschlüsselt, und da kann keines der beiden Produkte mehr in den Traffic reinschauen. Mit ein bisschen Gefummel kriegt man zwar den Squid dazu, SSL aufzubrechen, das ist dann aber auch nur die halbe Miete, weil nur Traffic inspiziert wird, der über den Proxy läuft.
Wo ist das Gefummel? Port 80 und Port 443 an den Proxyport weiterleiten .Ich würde pfSense oder OPNsense als Firewalls überhaupt nicht einsetzen. Zumindest nicht am Perimeter. 90+% des Internet Traffics ist SSL-verschlüsselt, und da kann keines der beiden Produkte mehr in den Traffic reinschauen. Mit ein bisschen Gefummel kriegt man zwar den Squid dazu, SSL aufzubrechen, das ist dann aber auch nur die halbe Miete, weil nur Traffic inspiziert wird, der über den Proxy läuft.
Zitat von @cryptochrome:
Der Punkt ist: Am Perimeter eine Firewall zu betreiben, die nicht in den SSL Traffic reinschauen kann, um auf Schadcode, gefährliche URLs wie Phishing Links etc. zu prüfen, ist grob fahrlässig.
Der Punkt ist: Am Perimeter eine Firewall zu betreiben, die nicht in den SSL Traffic reinschauen kann, um auf Schadcode, gefährliche URLs wie Phishing Links etc. zu prüfen, ist grob fahrlässig.
Dies kann doch aber OPNsense und PFSense...nur eben nicht so schön "Klicki-Bunti"
Zitat von @tech-flare:
Dies kann doch aber OPNsense und PFSense...nur eben nicht so schön "Klicki-Bunti"
Dies kann doch aber OPNsense und PFSense...nur eben nicht so schön "Klicki-Bunti"
Zum einen ist es meines Wissens nach nicht offiziell "supported", zum anderen - und das ist viel schwerwiegender - schaust Du dann nur den Traffic an, der über den Proxy geht. Und da hast Du dann keine vernünftige Threat Prevention (Malware etc.), kein vernünftiges URL-Filtering, etc. - Und das IPS kriegt überhaupt nix mit.
pfsense ist toll für Hobbyprojekte zu Hause, aber im Unternehmensumfeld ist es einfach den Umständern der Zeit nicht mehr gewachsen. Wer hier spart, spart am falschen Ende.
Zitat von @cryptochrome:
Das kann so ziemlich jede kommerzielle Firewalls, selbst Billigheimer wie Sophos, Watchguard und Konsorten. SS-Decryption ist seit vielen Jahren Grundausstattung der meisten Firewalls. Mir fiele keine ein, die das nicht könnte.
Das kann so ziemlich jede kommerzielle Firewalls, selbst Billigheimer wie Sophos, Watchguard und Konsorten. SS-Decryption ist seit vielen Jahren Grundausstattung der meisten Firewalls. Mir fiele keine ein, die das nicht könnte.
Die Firewall agiert hier, egal ob Proxy oder hidden Proxy als Man in the middle.
Das funktioniert nur wenn die Firewall eigene Zertifikate für SSL verwendet und der Client diese akzeptiert.
Dazu muss man CA-Zertifikat der Firewall dem PC als Vertrauenswürdig beigebracht haben.
Das ist der gleiche Prozess mit einer Sophos als auch bei einer PFSense.
Und das machen viele Dienstleister bei der Einrichtung schlicht nicht. Wodurch die Firewall quasi sinnlos wird.
Siehe z.B.
https://support.sophos.com/support/s/article/KB-000034264?language=en_US
"Sophos UTM's Web Proxy can transparently filter HTTPS traffic. When this is activated and set to Decrypt & Scan, secure sites will be prompted with a security warning in the client browser unless the UTM Proxy CA certificate is installed on the client browser."
Unfreundliche Programme verschlüsselt ihre Daten zusätzlich zur SSL Verschlüsselung. Dies kann die Firewall nicht entschlüsseln. Also entweder alles durchlassen oder alles blockieren.
Stefan
Zitat von @StefanKittel:
Das funktioniert nur wenn die Firewall eigene Zertifikate für SSL verwendet und der Client diese akzeptiert.
Das funktioniert nur wenn die Firewall eigene Zertifikate für SSL verwendet und der Client diese akzeptiert.
Korrekt. Und eben das beherrschen quasi alle Firewalls heutzutage. Man legt auf der Firewall ein Zertifikat für die Entschlüsselung an und verteilt es auf die Clients.
Dazu muss man CA-Zertifikat der Firewall dem PC als Vertrauenswürdig beigebracht haben.
Richtig. Und wo ist das Problem?
Und das machen viele Dienstleister bei der Einrichtung schlicht nicht. Wodurch die Firewall quasi sinnlos wird.
Das macht genau genommen kein einziger "Dienstleister". Wie auch. Selbstverständlich muss man hier selbst Hand anlegen.
Unfreundliche Programme verschlüsselt ihre Daten zusätzlich zur SSL Verschlüsselung. Dies kann die Firewall nicht entschlüsseln. Also entweder alles durchlassen oder alles blockieren.
Klar, man kann auch einfach den Kopf in den Sand stecken und mögliche Lösungen zur drastischen Erhöhung der eigenen Sicherheit ignorieren.
Oder man legt sich Whitelists für "unfreundliche" Programme an - die übrigens deshalb in diesem Kontext nicht funktionieren, weil sie Certificate Pinning einsetzen. Es ist allemal besser, 99% des SSL Traffics kontrollieren zu können und für 1% Ausnahmen zu schaffen, als einfach gar nichts zu kontrollieren.
Wer sich an der Stelle vor dem zusätzlichen Aufwand scheut (der sich übrigens in einem überschaubaren Rahmen bewegt), der tut sich keinen Gefallen.
Kein Problem, aber das kann die PFSense mit Squid auch.
Klar, bringt Dir dort halt nur nicht viel, weil Du auf einer pfsense weder eine vernünftige Malware detection, noch einen vernünftigen URL Filter hast, und das IPS den Squid Traffic nicht untersuchen kann. So gesehen bin ich dann ganz bei Dir: Da kann man es auch lassen. Deswegen war ja mein Punkt: pfsense taugt nix
Zitat von @cryptochrome:
Klar, bringt Dir dort halt nur nicht viel, weil Du auf einer pfsense weder eine vernünftige Malware detection, noch einen vernünftigen URL Filter hast, und das IPS den Squid Traffic nicht untersuchen kann. So gesehen bin ich dann ganz bei Dir: Da kann man es auch lassen. Deswegen war ja mein Punkt: pfsense taugt nix
Klar, bringt Dir dort halt nur nicht viel, weil Du auf einer pfsense weder eine vernünftige Malware detection, noch einen vernünftigen URL Filter hast, und das IPS den Squid Traffic nicht untersuchen kann. So gesehen bin ich dann ganz bei Dir: Da kann man es auch lassen. Deswegen war ja mein Punkt: pfsense taugt nix
Ok, Roger.
Klar ist, eine PFSense ist ein prima Router aber keine UTM-Firewall.
Ok, Roger.
Klar ist, eine PFSense ist ein prima Router aber keine UTM-Firewall.
Klar ist, eine PFSense ist ein prima Router aber keine UTM-Firewall.
Naja.....die Frage ist.....was definierst du als UTM....
Schnell danach im Web gesucht steht folgendens:
Internet-Gateway -> ist natürlich die *sense
Firewall -> ist natürlich die *sense
VPN Gateway -> ist natürlich die *sense
Spam-Protection - kann die *sense mit Plugin
Virusschutz -> kann die *sense mit Plugin...auch mit Hilfe eines externen Scanners
Content-Filter -> Ist Umsetzbar mit Plugins
Intrusion Detection System - > SNORT ---> geht also
Endpoint-Protection und Surf-Protection -> wenn alles durch den Proxy leitet und dieser richtig konfiguriert ist, besteht auch gewisser Entschutz
Authentifizierung -> Logisch....AD, Radius, MFA...
Quality of Service (QoS) -> geht
Reporting -> geht.....zb via Syslog und Grafana
Zitat von @cryptochrome:
Klar, bringt Dir dort halt nur nicht viel, weil Du auf einer pfsense weder eine vernünftige Malware detection, noch einen vernünftigen URL Filter hast, und das IPS den Squid Traffic nicht untersuchen kann. So gesehen bin ich dann ganz bei Dir: Da kann man es auch lassen. Deswegen war ja mein Punkt: pfsense taugt nix
Und was ist das deiner Meinung nach die ultimative Firewall?Klar, bringt Dir dort halt nur nicht viel, weil Du auf einer pfsense weder eine vernünftige Malware detection, noch einen vernünftigen URL Filter hast, und das IPS den Squid Traffic nicht untersuchen kann. So gesehen bin ich dann ganz bei Dir: Da kann man es auch lassen. Deswegen war ja mein Punkt: pfsense taugt nix
Die ultimative Firewall gibt es nicht. Es gibt nur passende Firewalls für die eigenen Anforderungen.
Wer wirklich Sicherheit will, ist mit einer pfsense nicht gut bedient. Ja, sie kann vieles, wie Du in Deiner vorherigen Beitrag geschrieben hast, aber wie gut sie es kann, steht auf einem anderen Blatt. Technisch sicher prima, aber der Knackpunkt ist die Security "Intelligenz".
Hinter den entsprechenden Engines (IPS, Malware Detection, malicious URL detection, etc.) kommerzieller Anbieter stehen Heerscharen von professionellen Security Analysten, die auf Basis von riesigen Datenmengen, mittlerweile auch KI und Verhaltensanalysen auf Erkennungs- und Vermeidungsraten kommen, an die kein kostenloses Produkt jemals auch nur ansatzweise herankommen könnte.
Sowas kostet eine Menge Geld.
Es gibt aber auch schon günstige Produkte, die in Sachen Sicherheit jede pfsense komplett in den Schatten stellen. Zum Beispiel Sophos oder Fortinet. Wer es noch besser will, greift zu Palo Alto Networks, oder von mir aus auch Checkpoint.
