On Wed, 6 Dec 2000 ark@eltex.ru wrote:
> "Michael V. Smirnoff" <aidan@miee.ru> said :
>
> > > Может, речь шла о нокиевской шелезяке с fw-1?
> >
> > Они сейчас не только с nokia дружат.
> > Что же касается нокии - там внутри FW-1/VPN-1.
> > Хотя я сомневаюсь в целесообразности таких железячных решений.
>
> Если абстрагироваться от мысли, что fw-1 - дерьмо, то его нокиевский вариант
> наименее неприятен судя по отзывам.
Если абстрагироваться - то нокиевский вариант ничем не лучше в силу
идентичности софтв, а то и хуже по причине привязанности к железке =>
меньшей масштабируемости (я могу выбрать из линейки Sun именно ту
платформу, которая удовлетворяет моим требованиям).
>
> > > > P.S. Ща придет Арканойд и будет матерится -
> > > > не любит он checkpoint, ох не любит. :)
> > >
> > > Пусть кто-нибудь попробует сказать, что необоснованно ;)
> > Ну загнобить любое решение можно. :)
>
> Не в этом дело..
И в этом тоже. На тебя слова "FW-1" и "Checkpoint" действует как красная
тряпка.
>
> > Я согласен что FW-1 в свежеустановленном состоянии
> > крив, но в умелых руках доводим до ума.
>
> Heh. "доводим до ума". Давайте посмотрим на это с количественной стороны.
> Усилия, необходимые для доведения этой дурацкой глюкалки до относительного
Усилия, как правило, прилагаются организацией-исполнителем проекта (ибо
сейчас заказчик заинтересован в комплексных решениях по информационной
безопасности) и нетрудно догадаться, что у таких организациях имеются
типовые решения адаптируемые к текущему состоянию продукта. Поэтому
разница прилагаемых усилий обратно пропорциональна числу реализуемых
проектов.
> Мало того,
> чтобы хоть как-то разобраться, как оно работает, нужно читать не документацию
> с красивыми скриншотами, а странички людей, которые это _раскопали_ (sic!).
Ну ты знаешь, я как далеко не девственник в общении с FW-1 и говорю об
этом не с красивых картинок в презентациях и на сайте checkpoint.
>
> > Меня другое бесит -
> > для того чтобы получать сервис паки для него - нужно
> > покупать CD subscription. Но реально сервис паки получаются
> > у партнеров после краткой беседы. :)
> > Но нужно отдать должное - Checkpoint хорошо постарался, раскручивая
> > OPSEC, благодаря чему теперь имеет мощную поддержку продуктами
> > 3-х фирм.
>
> М-да, теперь этот opsec как кость в горле - надо разработать открытую
> альтернативу, да что-то не видно чтобы это кого-то всерьез волновало :(
Вот когда кто-нибудь разработает открытую альтернативу, тогда и появится
смысл об этом говорить. Сейчас, к сожалению, достойных альтернатив нет.
>
> > А по-поводу всего остального - продукт прост
> > в управлении, рулится как из X, так и с
> > виндюков. Возможен вариант решения: несколько
> > firewall agents + management server.
> > Продукт поддерживает stateful filtering.
> > Если будут более конкретные вопросы - отвечу.
>
> Не "поддерживает stateful filtering", а "полагается на него как на основной
> инструмент инспекции данных".
Блин, а что-ты предлагаешь? Конечно, было бы неплохо иметь возможность
отключения stateful для определенных правил/политик, но этого нет.
Тем более что споры на тему порочности идеи firewalls заглядывающих
выше L3 можно вести бесконечно и с обоих сторон можно находить все
новые и новые аргументы.
> Г-да, стряхните маркетоидную лапшу с ушей,
> хвалиться тут нечем..
Ну стряхивать мне нечего. Могу легко навешать :). Но не буду.
Я не говорю, что FW-1 ЭТО КРУТО, я говорю что
это вариант. А когда на границе сети нужна
не только фильтрация, но и интеллектуальная
работа с контентом - это один из немногих вариантов.
__________________________________________
Sincerely Yours, mailto:aidan@miee.ru
Michael V. Smirnoff tel. +7-095-532-0581
CCNA-R/S,CCDA
MIEEnet Network Operations Center
=============================================================================
"inet-admins" Internet access mailing list. Maintained by East Connection ISP.
Mail "unsubscribe inet-admins" to Majordomo@info.east.ru if you want to quit.
Archive is accessible on
