Посоветуйте устройство выдерживающее 100Mb/s IPSec VPN

Question

[xalcounitx]

Необходимо организовать 100 мегабитный канал (по UA-IX) между офисами в разных городах. Посоветуйте не очень дорогое безглючное устройство способное реально прокачать 100 мегабит IPSec VPN'a без загрузки своих ресурсов на 100%. Бюджет где то до 2000 у.е. на каждый офис…

Answer 1

[Sergey]

*nix-сервер.
Всё остальное выше бюджета.

Comments

[xalcounitx]

Надо бы все же законченное аппаратное решение с Web GUI, пусть даже на базе *nix ибо люди которые будут это поддерживать не фанаты командной строки мягко говоря…
Хочется поставить, настроить и забыть.

[Sergey]

ClearOS, например. Опен-сорц, очень качественная вещь. Да и большинство подобных сборок умеют через вебгуй конфигурять айписек.

[Sergey]

zentyal (eBox)
SmoothWall
m0n0wall
IPCop
pfSense

[Sergey]

…
Shorewall
ну и т.д.

Сами погуглите. Выбор огромен.

[xalcounitx]

О подобных вещах я в курсе, но их надежность и стабильность под сомнением…
Да и подбор подходящего железа и его тюнинг под все это тоже не очень интересное занятие…
Так что ищем готовое устройство!

[Sergey]

напрасно сомневаетесь. И напрасно уповаете на «железки». Глючат циски не меньше, чем линукс-шлюзы (кстати, на многих их продуктах стоит линукс — ASA, DDoS Guard, etс.), Juniper работают на БСД и не стесняются этого, Brocade тоже, F5 — на линуксе. Можно ооочень долго продолжать. Нормальное, серверное железо берите, вот и будет вам стабильно, быстро и недорого. Да, забыл, Checkpoint тож сегодня насквозь — linux.

[xalcounitx]

Одно дело линукс от крупного вендора который обеспечивает его коммерческий поддержку по всему миру и гарантирует 100% работоспособность на своем оборудовании, а другое дело кустарные поделия любителей опенсоурса, даже если за ними стоят небольшие местные фирмочки…

Holy war разводить не собираюсь, спасибо за совет! Использование серверов я тоже изначально рассматривал, но все же надеюсь на законченное решение…

[Sergey]

на законченное решение готовьте от $4000 минимум (самые дешевые UTM-ки от чекпойнта).
Насчет «кустарных» вы также зря огульно покрыли всех )
Тот же первый названный мной ClearOS вполне себе коммерческий (как и некоторые другие из списка). Т.е. сам софт распространяется бесплатно, а множество финтифлюшек (удаленный сервис бэкапа, там, или апдейты сигнатур IPS) и саппорт — за денежку. Все гарантии, как положено. Но более честное ценообразование.
В общем, или переосмысливайте бюджет, или переосмысливайте свою веру в 100%-е гарантии крупных вендоров. Как правило, это просто значит, что за больший баблосы саппорта в год, вам быстро привезут новую железку или пришлют крутяцкого спеца. И хорошо, если крутяцкого, а то есть печальный опыт, когда у очень крупного вендора в не менее крупном интеграторе нет вменяемых спецов по конкретным железкам. Или он один на всех заказчиков, а остальные — валенки.

[xalcounitx]

Ну я б например с удовольствием купил бы за $1199 фирменный ClearBOX на ClearOS если он подойдет по производительности, но к сожалению у нас такое не продается… :)

[Sergey]

Запросто справится в минимальной комплектации. Но железки там никакие не волшебные, как и у крупных вендоров.

[pietrovich]

сталкивался однажды с продуктами endian. забавные цацки на уровне настроил и забыл. со своими глюками, но если не напороться то очень ничего. у меня уже пятый год такая пашет в одном из офисов, если бы не ваш вопрос я бы про нее и не вспомнил, т.к. она о себе не напоминает абсолютно )

[pietrovich]

забыл добавить. софт от них есть бесплатный, накатить на свое железо и получится вполне ГУЙево и производительно. готовые железки от них не дешевы.

[xalcounitx]

Endian когда то пробовали как интернет-гейтвей — очень много ресурсов кушает при включении всех необходимых сервисов, много мелких глюков, неработающая уже пару версий фильтрация сайтов на DansGuardian. Короче вручную настроенный Debian-сервер сейчас справляется с этими задачами намного лучше, хоть и не имеет приятного веб-интерфейса…

[Sergey]

а зачем на VPN-шлюзе (вопрос-то о чём?) запускать прокси с дансгардианом?

[xalcounitx]

Я писал о общих ощущениях о данном продукте, читайте внимательно пожалуйста.

[Sergey]

еще вот, российский продукт, представителей в Украине масса:
http://www.ideco-software.ru/products/hardware.html

Answer 2

[BigD]

возможно, мощный mikrotik routerboard подойдет.

Comments

[xalcounitx]

Кстати интересные железки, нет у кого то опыта их использования для VPN?
Хотя судя по этому топику надо как минимум RB1000

[BigD]

У меня, к сожалению, нет. Пользую простейшую 750G для дома. Но RB1000 не самая дорогая железка.

Answer 3

[IlyaPodkopaev]

cisco asa 5505.

Comments

[xalcounitx]

Хоть в спецификации и написано VPN Throughput — Up to 100 Mbps, но по опыту использования цыскового оборудования это число надо делить на 5…

[xalcounitx]

Тут кстати товарищ один и жалуется что не может выжать более 20 мегабит при загрузке проца 95%, что не удивительно на платформе AMD Geode LX 500 MHz

[IlyaPodkopaev]

мы тестили — получили 95мбит. AES 128.

[xalcounitx]

Я верю что в некоторых искусственных условиях, поотключав все лишнее, уменьшив безопасность до минимума и пакетами ровно по 1500 байт можно достигнуть заявленных значений, но на практике все по другому…
Я уже намучился с производительностью роутеров Cisco 2800 серии и не хочу опять по тем же граблям ходить…

[IlyaPodkopaev]

да нет, ничего особенного. просто соединили ftpклиент и ftp-сервер через асу. и получили без проблем. ISR в общем случае не предназначен для IPSec, а ASA заточена под это и в целом справляется на заявленном уровне (по помоему опыту)

[xalcounitx]

Ну как я и говорил: ftp-скачка — это flat поток с максимальным размером пакета, шифрование ослабленное 128 бит вместо 256, наверно AH без ESP

[IlyaPodkopaev]

нет, ну я вполне себе трезвый :) ESP конечно. а 256 bit и смысла нет, имхо. Хотя да. это не голос. но тогда еще дело не в полосе, а в pps

[xalcounitx]

Просто офисный трафик который будет гонятся по каналу это в основном много мелких пакетов и потому pps конечно не менее важен чем общая производительность.

[IlyaPodkopaev]

на днях испрошу у коллег, имеющих такие site-to-site каналы на 5505, посмотрим.

Answer 4

[IlyaPodkopaev]

кстати, еще можно подумать про vyatta, очень производительные и функциональыне решения с понятным механизмом конфигурации (но CLI конечно же!)

Answer 5

[FeNUMe]

собираете бюджетный комп без винта, с процом 3ггц+, ставите интеловские «умные» сетевухи, втыкаете флешку с pfsense и получаете то что хотели за 3-5 сотен баксов. Вполне стабильно, надежность железа вы сами выбираете при покупке(мать работать будет и от асрока или мси, но о надежности можно забыть) и функционал в случае чего намного шире чем готовая железка.

Answer 6

[deleted-fmquartz]

Прочитал это всё и диву дался... Люди да вы что ?? какие никсы ?? какие циски ?? какие компы и проч. ?? Про микротики забудьте сразу !!! у них производительность НОЛЬ ! Покупаете TP-Link TL-ER6120 это чисто аппаратный VPN маршрутизатор, поддерживает IPSec до 160-180 мегабит! Можно поднять до 100 туннелей. В нём для шифрования используется процессор как северный мост Intel ! Лично у меня они стоят! Заменял ими ваши погоревшие циски... Цена одного маршрутизатора 15 тыс. руб. Производительность роутера (NAT) 600 мегабит при гигабитном интернет канале. Цена вопроса - 2 шт. 30000 руб.