Eigenbau Linux Router mit IPFire

Ich habe bis jetzt nichts besseres gefunden als das Webinterface mit Checkfox Extension. Komfortables administrieren kostet halt, wie so oft, deutlich mehr. Technisch möglich ist es aber auch mit Lösungen die wenig bis nichts kosten.
Snez ist übrigens ein WebGUI für Snort, welches nicht so schlecht sein soll, das werde ich mir mal genauer ansehen.

Von OpenAppID erwarte ich mir sehr viel und hoffe, dass die Community darauf anspringt. Nicht nur für die Privatsphäre von Personen, auch für viele Firmen ist es problematisch proprietäre, im Userspace laufende Programme, die per Port 80 und 443 kommunizieren, effektiv zu erlauben oder zu verbieten.

Übrigens, pfSense dürfte auf der J1900 Plattform noch nicht laufen:

Dort soll dieses Board besser geeignet sein:
https://geizhals.at/gigabyte-ga-c10...u-a1057988.html

Quellen:
https://redmine.pfsense.org/issues/3678
https://forum.pfsense.org/index.php...10919#msg410919

Zitat von Neo-=IuE=-

CheckPoint ist gerade durch sein Management der Konkurrenz weit überlegen. Dort wo Konkurrenten aufgeholt oder sogar überholt haben, wird CheckPoint mit der nächsten großen Major-Release wieder weit davon ziehen (soweit man das schon gehört hat).

Ich denke nicht, dass somit da je ein Community-Projekt mithalten wird....

Jo, i know - installier das Zeugs ja beruflich Was ich bisher von R80 (bzw. wies auch immer beim Release heißen wird ...) gehört hab kling ja schon mal sehr vielversprechend.

Deswegen auch die mit großem Interesse gestellte Frage ob es auch nur etwas annähernd vergleichbares gibt (um sein IPS einigermaßen in griff zu haben komfortabel).

Letzten Donnerstag ist das Update 2.15 82 erschienen!

Mehr dazu hier:
http://www.ipfire.org/

Auch meine IPFire ist gewachsen, konkret hat sie ein weiteres physikalisches Netzwerk-Interface dazubekommen, welches als Netzwerk "Blau" eingesetzt wird. Der Grund, IPFire kann in Version 2 noch keine VLANs oder VTP. Dafür ist sie auch deutlich günstiger in der Anschaffung als Geräte die dies können, jede Broadcastdomain braucht also ein eigenes Interface, wenn man es über das Webinterface verwalten will.

Realisiert habe ich es mit einer billigen Digitus 100 Mbit USB-RJ45 NIC, die ich mit doppelseitigem Klebeband am Gehäuse befestigt habe, sie schafft einen realen Durchsatz von etwa 50 Mbit/s, was für mein Gäste-LAN und -WLAN völlig ausreichend ist und im Ernstfall schnell abgesteckt werden kann.



Die Einrichtung ist easy, Netzwerkkarte anstecken, IPFire einmal rebooten, den Setup Dialog in der shell mit ./setup nochmal durchlaufen lassen, das neue Interface als Netzwerk Blau einrichten, oder Orange falls es eine DMZ werden soll. Dem Interface eine IP zuweisen, die sich nicht mit dem Roten und dem Grünen Netz überschneidet, dann noch einen DHCP-Server drauf laufen lassen und glücklich sein.



Außerdem möchte ich etwas näher auf die Firewall Konfiguration eingehen, grundsätzlich empfiehlt es sich die Firewall im Blocking-Mode zu betreiben, also alles zu blockieren was nicht explizit erlaubt ist.


Um eine grundlegende Internet-Konnektivität herzustellen, haben sich bei mir folgende Regeln als nützlich erwiesen:


Um weitere Services zu erlauben oder zu verbieten kann man relativ komfortabel Netzwerk-, oder Service-Gruppen definieren.
Ich will euch ein paar zeigen, um Blizzard-Spiele zu erlauben habe ich z.B folgende Service-Gruppe im Einsatz:


Für League of Legends folgende:


Für Steam, Origin und jedes weitere Service, das man nutzen will, muss man wieder die passenden Ports freischalten.

Letztlich braucht man nur noch den Datenverkehr aus den internen Netzen erlauben:


Um Skype zu blockieren kann man sich z.B. folgende Netzwerk-Gruppe definieren und den Datenverkehr zu den Supernodes unterbinden, das funktioniert aber nur bis mit neuen Versionen weitere Supernodes hinzukommen:


Hier noch ein paar mehr Screenshots aus dem laufenden Betrieb:

IPFire funktioniert ganz wunderbar und läuft absolut stabil, kann über das WUI aber noch kein 802.1q (VLANs). Das möchte ich mir mal bei pfSense anschauen, wie gut das funktioniert.

wie gut ist die ipfire FW wirklich?
ich suche noch eine anständige FW mit vlan und dmz Unterstützung für meinen vmware Server. ich nehme and das ding kann man auch virtuell installieren - oder?

also besser pfsense anstatt ipfire - oder wie jetzt?

achja, kennst du eventuell auch eine FW for free die ssl vpn mit dabei hat - so wie bei cisco mittels IE? Beim IPCop gabs sowas mal kurz - aber die haben das dann weiter verkauft - soweit ich mich erinnern kann.

Nachdem IPFire und pfSense beide kostenlos sind, ist es bestimmt kein Fehler sich beide anzuschauen!
IPFire ist ein gehärtetes Linux, pfSense basiert auf freeBSD, featureseitig kann pfSense manches im Webinterface, was IPFire noch nicht kann, mit guten Bash-Kenntnissen kann man sich z.B. VLANs aber nachbauen. Manche Sachen sind im IPFire einfacher zu konfigurieren und die Hardwareunterstützung ist weitläufiger. Auch gibt es eine ziemlich aktive deutsche Community. Unlängst hat z.B. jemand ein Addon für TV-Recording rausgebracht. Ich würde sagen für den Heimgebrauch ist IPFire die bessere Wahl, wer geschäftliche Interessen hat, ist bei pfSense besser aufgehoben.

Die derzeitige IPFire Version 2.15 Update 85 verwendet noch Snort Version 2.9.6.1, die mittlerweile End-of-Life ist. Das Problem dabei ist folgendes, die Updates der IDS-Rules funktionieren ohne eine kleine Modifikation nicht mehr, weil die URLs nicht mehr stimmen.

Nachdem sich von Version 2.9.6.1 auf die noch unterstützte Version 2.9.6.2 an der Struktur nicht grob was geändert hat, ist es ausreichend das cgi-Updatescript anzupassen.

Man editiert die Download-Rules der Datei ids.cgi in ./srv/web/ipfire/cgi-bin/. Sucht z.B. im vi mit /2961 und ersetzt die beiden Einträge mit 2962, speichert ab mit einem simplen !wq und kann schon wieder updaten!