[請益] 家用防火牆機器建置?

[ch010062 (faker)]

老實說不知道該發寬頻/儲存/防毒版/MIS板
想了一下偏家用DIY所以統整發這

[討論背景]
上半年有Q牌NAS勒索災情
最近NAS相關的FB社團也出現了S牌中獎和被大量網路攻擊的案例
所以開始思考是否要建置 實體家用防火牆 來阻擋網路攻擊/勒索
因為近期打算購入S牌NAS (DS1821+)
預計對外開PLEX/Webdav/網頁服務/SSR給在中國出差的家人翻牆

[使用環境]
網路: 中華光纖 1G/600M
路由器: Mikrotik RB4011igs+rm (只開常用port，關不用的服務，刪掉Admin，對外網域掛cloudflare proxy)
個人防毒: 卡巴斯基 家庭包

[建置評估]
若要同時啟用 IPS/IDS(入侵防護/偵測) + AV(防毒) + Web filter(網頁過濾)
想跑到Throughput 1Gb/s會非常吃效能...
畢竟我不想加了防火牆保護反而拖慢了我的1G網路速度


* 建置方案1: 實體UTM產品
如fortigate或是ZyXEL的產品
=> 若要開了IPS+AV後有1G輸出，至少要五萬以上的產品
中華雖然能租用機器可是實在太貴....因此先放棄這方案

* 建置方案2: 自組開源/免費的防火牆如pfsense或是sophos防火牆家用版，但需要有DIY的
=> 組A300/X300 + Ryzen 3100/3400G的CPU + 轉接4埠網卡
效能夠用還能開ESXi
不過功耗可能會到70W
國外論壇已確認Ryzen 3100可以跑滿sophos防火牆家用版 1G防護

=> 對岸一萬上下的x86工控主機(研凌N18)，CPU只有I家行動版 i5 8250u i7 8550U
硬體整合的小電腦，功耗極低15W而已，但效能能否足夠跑滿1G防護很懷疑...

* 建置方案3: 中華電信的防駭守門員服務
最近接到電銷說一個月60問我要不要加購
但網路上找不到什麼案例分享
很懷疑這東西的實際防駭能力 ?
就怕想上的網站反而不能上

不知道有沒有家用1G光纖的用戶有家用防火牆低成本建置的案例
我發現1G的防火牆硬體需求跟500/300M實在差太多了
目前還打不定主意到底該如何建置
預算希望在15000以下搞定
不然就靠Ros和中華防駭方案佛系防護了...
-----
Sent from JPTT on my iPhone

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 111.184.72.143 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/PC_Shopping/M.1627910785.A.95F.html
→ fonzae      : 去撿台二手forti，然後買授權
※ 編輯: ch010062 (111.184.72.143 臺灣), 08/02/2021 21:28:34
→ fonzae      : 個人認為這是最便宜的方案
※ 編輯: ch010062 (111.184.72.143 臺灣), 08/02/2021 21:29:20
→ fonzae      : 然後有一個問題只要是開防護都會吃
→ fonzae      : 硬體防火牆效能，所以頻寬會下降
→ fonzae      : 除非你設的規則不納入UTM
※ 編輯: ch010062 (111.184.72.143 臺灣), 08/02/2021 21:30:25
→ ch010062    : 個人是希望防火牆放在小烏龜和路由
→ ch010062    : 中間走通透模式
→ ch010062    : 這樣比較不影響原本的網路配置
推 creepy      : 中古fortigate 兩三千打死
→ ch010062    : 回樓上那價位的我看過了，開了IPS和
→ ch010062    : Av速度剩1~200M
推 creepy      : 那就要買....6000左右的...
→ creepy      : IPS有沒有用...覺得好像沒感覺
→ ch010062    : 網拍高階二手的機子，便宜的大都授
→ ch010062    : 權也到期了，無法更新資料庫所以先
→ ch010062    : 放棄...
→ creepy      : NAS用vpn方式分享 撥進自家網路再讀
→ creepy      : 我自己只用便宜的forti跑vpn就夠了
→ eric00169   : pfsense你直接拿NUC就可以跑了
→ eric00169   : pfsense上下限很高 你的需求不用高
→ creepy      : 有要跑對外服務才比較需要高階機器
→ Euphokumiko : CF免費版只forward http request
→ ch010062    : 考慮到TLS加解密還有網卡相容性，也
→ ch010062    : 是有想過NUC,先列入比較清單
推 eric00169   : 你如果用pfsense也可以考慮找雙網孔
→ eric00169   : 一個接小烏龜一個接內部
→ eric00169   : 然後搭配openvpn+Freeradius直接進
→ eric00169   : 內網就好了 可以省去不少麻煩
→ ch010062    : 預計NAS不直接對外只開https服務,vp
→ ch010062    : n翻牆/管理/roon
→ ch010062    : 看到不少dsm被try的案例，覺得可怕
→ fonzae      : VPN我都自建憑證，上面radius也是
推 Koibito     : Unifi dream machine pro也許可以
→ Koibito     : 看看
推 selfhu      : 出差是多久啊？短期的話直接漫遊就
→ selfhu      : 好了
→ ch010062    : 回樓上，是派駐所以還是得有個穩定t
→ ch010062    : ls梯子
推 sppmg       : 要pc的話考慮 pi4？
推 gameguy     : 中華電信企業用 先進防火牆服務還不
→ gameguy     : 錯，可以考慮
※ 編輯: ch010062 (111.184.72.143 臺灣), 08/02/2021 23:03:54
→ asdfghjklasd: 我用 Fortigate & CP
推 lovespre    : forti 50E夠你用了，除非你的時間
→ lovespre    : 多到不知道要幹嘛整天來建置除錯
※ 編輯: ch010062 (111.184.72.143 臺灣), 08/03/2021 00:27:47
→ ch010062    : forti 50E過濾後速度太慢了...不然
→ ch010062    : 二手簡單就搞定
→ ch010062    : 不要說1g,300M都沒 https://i.imgur.com/sTEwy7M.jpg [m111.184.72.143 08/03 00:35
s
※ 編輯: ch010062 (111.184.72.143 臺灣), 08/03/2021 00:36:28
→ cs8425      : pi4別鬧 純NAT還行 log量多就卡IO
→ cs8425      : 當IPS 不知道會剩多少 (目前用pi4..
→ wario2014   : 1G/600乖乖買台主流pc(顯卡可省)跑
→ wario2014   : 軟防火牆，不然規則下去，地理ip再
→ wario2014   : 濾一下，cpu使用率一見頂就慢下去了
推 violetish   : OpenBSD PF
推 eric00169   : 對岸基本上ip都不會變 你可以試試看
→ eric00169   : 白名單其實也可以了
→ eric00169   : 除非妳家人用的是手機
推 b325019     : FG60F也才700M你一定要滿還是x86自
→ b325019     : 幹吧
推 b325019     : 你還要記得FG的規格表是單項功能的
→ b325019     : 數字，功能開多還要打折
推 CKT0804     : 如果只是怕nas 被攻擊 鎖二階段 驗
→ CKT0804     : 證就好了
→ HamalAri    : 為什麼會有防火牆可以擋勒索病毒的
→ HamalAri    : 想法?
→ HamalAri    : 有些東西是錢買不到的
沒有絕對安全的牆,但至少提高被攻破的難度..
推 a2470abc    : 我比較簡單 用UDM pro, ips dpi全
→ a2470abc    : 開。nas只開https 有掛ssl. 仍然被
→ a2470abc    : 照三餐試密碼。心得是改用金鑰的方
→ a2470abc    : 式認證比較安全
二段驗證是基本了，但預設5000 5001不打算對外
推 Windcws9Z   : 刪掉Admin..你該不會都用root登入八
→ Windcws9Z   : ？
新創一個別的名字的管理員啦
※ 編輯: ch010062 (111.184.72.143 臺灣), 08/03/2021 14:32:26
推 Windcws9Z   : 預算15000我會建議你UDM Pro
→ Windcws9Z   : 買一買
→ Windcws9Z   : 開IPS/IDS就好
推 Windcws9Z   : 網頁過濾也沒有很吃
→ Windcws9Z   : 掛葛腳本讓他自己更新
→ Windcws9Z   : 主要還是防毒，你就找台電腦裝UTM
→ Windcws9Z   : e.g.Untangle之類的用免費Clam AV去
→ Windcws9Z   : 掃
→ Windcws9Z   : 好用還能付費改卡車司機etc
→ Windcws9Z   : 整合在一起，要效能就貴 便宜就是慢
→ Windcws9Z   : 然後VLAN該切的就切一些
→ Windcws9Z   : *切一切
推 snowcreeper : NAS不開對外port 用代理或VPN進內
→ snowcreeper : 網 x86主機架v2ray (ws+tls方案)
→ snowcreeper : 加BBR加速 翻牆和內網存取一舉兩得
推 Windcws9Z   : 勒索病毒87%不是內控失靈就是人員87
→ Windcws9Z   : 你要注意的是有人手賤亂點亂插USB
→ Windcws9Z   : 沒辦法用權限鎖，就只能多備份
推 free112136  : 我都用nginx做反向代理與解https(
→ free112136  : 加上自動更新憑證，免費就是爽）,
→ free112136  : 然後在nginx的access log端加上fai
→ free112136  : l2ban,碰到登入失敗規則上限自動ba
→ free112136  : n ip
→ IMDH        : 中華有PA授權的NGFW可以考慮...
→ flypenguin  : 家用備份做勤一點就好了吧…
→ flypenguin  : 企業是不能忍受服務下線，才必須往
→ flypenguin  : 外部防護這無底洞一直砸錢。
→ amy79968    : Mikrotik繼續pppoe 然後買fortigate
→ amy79968    : 二手還有授權的 看不用跑pppoe有沒
→ amy79968    : 有機會
推 soto2080    : 你都有VPN了 那把服務只對內網開
→ soto2080    : 放不就好了
推 Windcws9Z   : 說的也是，反正都VPN回來惹
→ Windcws9Z   : 那也沒有對外開放的必要
→ Windcws9Z   : NAS內網用就好
推 Windcws9Z   : 不過我會建議你，那葛VPN要切VLAN
→ Windcws9Z   : 跟你原本的內網隔開
推 Windcws9Z   : NAS服務對外開放就是有風險
→ Windcws9Z   : 有開Port，就會有白目用Tool去掃
→ Windcws9Z   : 去Try
→ Windcws9Z   : 如果好死不死NAS有資安漏洞
→ Windcws9Z   : 你又沒馬上下線去做Patch
→ Windcws9Z   : 弄葛Injection手法，直接入侵遠端
→ Windcws9Z   : 連登入都不用，更別說觸發fail2ban
→ Windcws9Z   : 今年上半年，QNAP就是這樣中勒索的