「FreeBSD に pf が組み込まれる」記事へのコメント

商用ファイアウォールとの比較

[fil (17752)]

若干ストーリーにそぐわないかも知れませんが、商用ファイアウォールではアプリケーションレベルまで見る FireWall-1 と ASIC の NetScreen が戦っていますが、とかく高価な商用ファイアウォールに匹敵するオープンソースのパケットフィルタってありますか？

昔は ipfw のルールをガリガリ書いたりしましたが、UDP 関連のルールが煩雑になるし、スプーフィング対策でインタフェースレベルまでフィルタを記述するとテストが大変だったりします。

だから、以下のような機能を実装して

Re:商用ファイアウォールとの比較

[Anonymous Coward]

仕事で使うなら、大人しく売り物にすべきと思う。
導入時の検証の手間や、いざトラブルの際の対応など、
さらに運用を考えれば自分で構築する意味は薄い。

FW-1 は分からないが、NetScreen ならそれほど高価でないし。

Re:商用ファイアウォールとの比較

[Anonymous Coward]

FireWall-1でそれなりに満足しているので、あえてフリーで構築しようと思ったことはありませんね。
Solarisだと、SunScreenなんてモノで簡単にでっちあげることもありますし、
ハコ物だとPIXも使いますね。
PIXやNetScreenってフェイルオーバー環境が簡単に構築できてメリットが非常にあると感じています。

#FreeBSDを仕事で使っているんですけどね・・・

Re:商用ファイアウォールとの比較

[Anonymous Coward]

PIXでの構築をみてて、「IOSからいろんなモノが欠落した感じで、凄い設定しにくいね」とコメントをしたら、周囲の設定経験者からも同意が帰って来ました。
NetScreenはともかくPIXはちょっと問題ありすぎです。
# SonicWallみたいに不安定なのは論外ですけど。

Re:商用ファイアウォールとの比較

[Anonymous Coward]

>「IOSからいろんなモノが欠落した感じで、凄い設定しにくいね」
CLIの話ですよね。
私はそーゆーものだと思ってなれてしまった人間なので特には感じないのですけど、
ポリシをしょっちゅうメンテする様な場所に導入するのは、人間の教育時間が間に合わないかもしれませんね。

導入時にかっちりとポリシが決まってしまうような処に導入するので
あれば、社内の適当な人間にテキストファイル１つ持っていってもらって流してもらったら
設定が終わってしまうので好きなんですけどね。。。
（フェールオーバーも1行書いて線をつなげばおしまいですしね）

使ったことはありませんけど最近は
Cisco PIX Device Manager [cisco.com]というモノも用意されているようですね。