Náhrada za Cisco ASA

[LukášST]

S narůstajícimi výpadky letité asy Cisco 5506-x vyhlizim vymenu.
Asu nam spravuje externi firma, ktera mi nabizi Meraki mx75 nebo Palo Alto PA-415.
Nejsem zastance predplatnych a navic si rikam ze funkce tech FW jsou pro nase potreby az moc.

Alternativne se teda poohlizimpo fortiguardu, pfsense a nebi opnsense, pripadne bych vyuzil UCG Ultra ktery mam nejakej patek v supliku a do ekosystemu unifi by sednul jak prdel na hrnec.

Zajima me, zda nekdo tohle uz resil a byl by ochotny poradit.
Pripadne se nebranim jinym navrhum reseni FW a VPN.

Kam to mame?
Mala firma s verejnou ip, VPN pro pristup na RDP serveru (ucetni a vyjimecne HO 1-2lidi) v siti je 10 stolnich pc, 2 nvr (hik+dahua), 20 bezdrat (mobil, tablet, terminal) .. vyhledove pribudou 3 tel.cisla VOIP.
Switche i APcka uz mam komplet unifi.

K ase mam vystaveno 5 certifikanu pro VPN a za 12let co ji mame jsem nenarazil na zadny velky utoky natoz prunik.
Ale ASU uz mi nechteji aktualizovat a tak resim cim ji nahradit.

Diky za pripadny nazory a rady.

[Brázda.l]

Ahoj,
potřebuješ nějaké "nextgen" security featury? (pravděpodovně budou všude fungovat jen za předplatné)

Pokud je odpověď NE, tak bych šel cestou Mikrotiku, případně té Unifi GW, jestli už jedeš další Unifi prvky a "nevadí" ti jak se to nastavuje.
VPN pak buď Wireguard nebo OpenVPN.

Libor

[LukášST]

Díky za reakci.

Odpověď je NE.
Koukal jsem na ty možnosti a funkce co se dneska nabízí právě s tím předplatným atd. a to fakt nevyužijeme a nepotřebujeme.
Primární je VPN a slušná ochrana z venku.
Nahodím unifi, právě z důvodu že už tu zbytek na unifi mám. Nastavení je pro mě OK.

[Shaquille]

UCG Ultra může mít problém s propusností... pokud unifi, koukl bych spíše po Dream machine.

[LukášST]

Pripojeni 70/70mbit.. myslis ze to i tak bude limitujici?
A optiku nam tu vykopoou buhvi kdy.. to pak na dream machine uz nebude problem upgradovat, me ted nejvic desi prechod z asy

[killerek]

Trochu pozde, ale prece jen lehce pridam zkusenost. Z testovani pred par lety v korporatu. Nejlepe dopadl Fortigate (i ty male SB krabicky meli dost vykonu) i bez NGFW slusne moznosti spravy. Checkpoint nebo CIsco ASA byly bezne nasazene a kazdy mel nejakou tu vyhodu a nevyhodu. PaloAlto bylo v hodnoceni az za nima. Totalne propadl jeden vyrobce, jehoz jmeno si uz ani nezpomenu, ale to byl SW strasny kram, ze jsme jim tu zapujcku vraceli hodne rychle az se rozcilovali. A Hnujvej FW byly take hruza.

Meraki nekdy koupilo Cisco, tak by teoreticky mohli mit zmaknutou migraci z ASA.

Kazpopadne migrace kamkolik bude zabavna. Zaprve si udelej analyzu existujich pravidel, jestli jsou jeste vsechny potreba a na novem vendorovy je pak nastavis (ohnes) dle jeho moznosti nastaveni.