-je ne comprends pas le "cas particulier" qui est fait sur les ICMP. Je m'explique: impossible de faire une regle de NAT sur les ICMP, et les autres regles (filtrage) gèrent les ICMP au petit bonheur la chance. Pour un produit phare c'est mal (tm).
Après tout ICMP est "over IP" et devrait etre traité comme TCP et UDP.
-les VPN: la moitié des settings sont sur l'objet FW (ou l'objet cluster FW) et l'autre moitié sur l'objet "encrypt" de la regle de filtrage ... c'est penible quand on veut faire des VPN avec pleins de partenaires differents qui ont des equipement differents (on est tot ou tard oblige de modifier les parametres "globaux" et donc revalider tous les VPNs ...).
-les licenses, outre le fait qu'elles sont chères, sont compliquées à gerer et liées à une adresse IP (pouquoi ??)
-le "management station" c'est un truc que tu peux approcher simplement avec des scripts si tu utilises iptables. C'est vrai que le clustering est bien etudié, cependant, a mon avis bien en dessous de celui des PIX cisco.
-le log: FW1 c'est plein de truc proprio difficiles a integrer dans une architecture ouverte. le log est dans un format bidon, pas simple a exporter en syslog...
-l'interface graphique SUX de temps en temps. J'aimerai mieux comprendre ce qu'il y a en dessous. Comment sauvegarder la conf et la re-installer facilement sur un autre firewall ? c'est tres simple en iptable, de meme avec les PIX cisco. C'est non documente et quasi infaisable avec FW1.
-la mise a jour. avec FW1 c'est le cirque pour recuperer les patchs et mettre a jour la machine. C'est encore pire avec Cisco cependant. Alors qu'avec linux c'est hyper simple.
bref il manque surtout le clustering a Iptables (partager les tables de connexions entre deux machines iptables pour pouvoir basculer sans perdre les connexions en cours ...).
Ce que j'apprecie justement avec iptable c'est le mode de gestion "scriptée" qui est adaptable et automatisable comme JE l'entends.
[^] # Re: Sécurité en Open Source
Posté par PLuG . En réponse à la dépêche La sécurité en Open Source. Évalué à 5.
-je ne comprends pas le "cas particulier" qui est fait sur les ICMP. Je m'explique: impossible de faire une regle de NAT sur les ICMP, et les autres regles (filtrage) gèrent les ICMP au petit bonheur la chance. Pour un produit phare c'est mal (tm).
Après tout ICMP est "over IP" et devrait etre traité comme TCP et UDP.
-les VPN: la moitié des settings sont sur l'objet FW (ou l'objet cluster FW) et l'autre moitié sur l'objet "encrypt" de la regle de filtrage ... c'est penible quand on veut faire des VPN avec pleins de partenaires differents qui ont des equipement differents (on est tot ou tard oblige de modifier les parametres "globaux" et donc revalider tous les VPNs ...).
-les licenses, outre le fait qu'elles sont chères, sont compliquées à gerer et liées à une adresse IP (pouquoi ??)
-le "management station" c'est un truc que tu peux approcher simplement avec des scripts si tu utilises iptables. C'est vrai que le clustering est bien etudié, cependant, a mon avis bien en dessous de celui des PIX cisco.
-le log: FW1 c'est plein de truc proprio difficiles a integrer dans une architecture ouverte. le log est dans un format bidon, pas simple a exporter en syslog...
-l'interface graphique SUX de temps en temps. J'aimerai mieux comprendre ce qu'il y a en dessous. Comment sauvegarder la conf et la re-installer facilement sur un autre firewall ? c'est tres simple en iptable, de meme avec les PIX cisco. C'est non documente et quasi infaisable avec FW1.
-la mise a jour. avec FW1 c'est le cirque pour recuperer les patchs et mettre a jour la machine. C'est encore pire avec Cisco cependant. Alors qu'avec linux c'est hyper simple.
bref il manque surtout le clustering a Iptables (partager les tables de connexions entre deux machines iptables pour pouvoir basculer sans perdre les connexions en cours ...).
Ce que j'apprecie justement avec iptable c'est le mode de gestion "scriptée" qui est adaptable et automatisable comme JE l'entends.