Mikrotik + UTM for web filtering/proxy

[projectX]

Καλησπέρα σας,

Θέλω να πειραματιστώ στο εξής setup και θα ήθελα την γνώμη μας για το πόσο καλή πρακτική είναι σε productive περιβάλλον.

ISP-CPE-----Mikrotik CCR2004(VPNs, firewall, routing, DHCP, DNS etc)-------PFSense or UTM (Web filtering, app filter, AV etc)-------switch-----------client PCs/devices

Έχει υλοποιήσει κανείς κάτι αντίστοιχο ώστε να μεταφέρει εμπειρία πως παίζει, εαν δημιουργεί πρόβλημα στο δίκτυο κλπ;

Η σκέψη είναι να αξιοποιηθεί το MT για routing/FW ώστε να εκμεταλλευτώ τις ταχύτητες και το hardware του και να χρησιμοποιήσω 1 VM όπου θα στηθεί Pfsense ή κάτι παρεμφερές καθαρά και μόνο web fiiltering/proxy, AV etc δηλαδή δυνατότητες που δεν μπορεί να προσφέρει το ΜΤ από μόνο του.

Θα μου πεις γιατί δεν βάζεις κατευθείαν ένα UTM και να τα κάνει όλα μια συσκευή, η αλήθεια είναι οτι με βολεύει το MT με τις δυνατότητες που έχει και δεν θα ήθελα να δώσω ένα σκασμό λεφτά για 1 μεγάλο fortigate πχ. Σκεφτόμουν μήπως τα συνδιασω με μια open source λύση που θα αναλάβει το μπλοκάρισμα των σελίδων.

Ευχαριστώ!

[K1m0n]

Παίζει, με τον αστερίσκο ότι θα πρέπει να βάλεις το firewall σε bridge/passthrough mode (για να βλέπει τους hosts του lan το tik),
και κάποια services θα το θέλουν σε routing mode.
Γενικά αυτά τα all-in-1 utm-firewall-κάνω-τα-πάντα-όλα, είναι στημένα με την λογική ότι έχουν την wan πάνω τους και κάνουν και routing.
Το bridge είναι αν θες να το κάνεις drop-in σε υφιστάμενο δίκτυο χωρίς να αλλάξεις την τοπολογία,
παίζει μέν, δεν πολύ-προτείνεται δε.

Όσο για το content filtering, πέραν των τεχνικών θεμάτων (θες mitm + certs στους hosts του lan),
πολύ φοβάμαι ότι αν δεν πληρώσεις vendor δεν θα κάνεις δουλειά.
Εσύ πληρώνεις τον vendor, ο vendor τους ινδούς που συντηρούν τις λίστες, οι λίστες είναι up-to-date = όλοι ικανοποιημένοι

[netblues]

Εαν βαλεις pfsense το mikrotik περισσεύει. Το pf ειναι πρωτίστως firewall.
Για content ,το pfblockerng κανει δουλιτσα φτάνει να ασχοληθεις λιγο με τα feeds. Τωρα αν θες μαι mitm η πιστα ανεβαίνει πολυ οτι και να βάλεις

[RpMz]

Παίζει μια χαρά αυτό το σενάριο.

Το έχω κάνει με watchguard και λειτουργεί αρκετά καλά.