Посмотрев это ролик я понял наконец почему мы спорим: Когда ты говоришь пакет трейсер - ты имеешь ввиду вот эту гуйную приладу в ролике, она показывает как прошёл пакет через все цепочки от входа до выхода, я eё не использую так как не использую гуй вообще. То, что мужик в ролике показывает, естественно зависит от интерфейсных акцесс-листов, ибо это полное прохождение пакета через железку.
Когда я говорю ASA sniffer - я подразумеваю сиэлайную команду "capture", и ей пофигу интерфейсные ACLы, наты и любые L4-L7 инспекции, ибо она просто нюхает входящие или исходящие пакеты на интерфейсе. Что бы проанализировать что произошло с пакетом внутри железки, я привык включать голову а не гуй, так как мир не идеален и в реальной жизни всё время вылазит какая-нибудь хрень типа бажков в доке, гуе, внутреннем коде или конфигурациях\кодах соседствующих девайсов.
PIX писал(а): Или ты хочешь сказать что Fortigate не конкурент ASA?
- Не знаю, в глаза Fortigate не видел. Для меня нет если честно как для человека принимающего решения - знаю Cisco, CheckPoint и Juniper.
Зайдем издалека
Вот в твоём золотом списке - Juniper. Все знают что собственных секьюрных решений у джунипера никогда не было и он прикупил по случаю файервольного возмутителя спокойствия в своё время - NetScreen за 4 биллиона грина. По странному стечению обстоятельств два неугомонных братца Xie, те самые которые основали/развили/надрали циске задницу в своем сегменте/и продали NetScreen джуниперу, основали Fortinet. Перетащили туда главные мозги,
которые делали NetScreen, и за несколько лет сделали новый продукт, и продали одного только железа пол-миллиона экземпляров, не считая туевой хучи всяких сопутствующих сервисов
типа регулярной подписки на antivirus\URL filtering\ и иже с ними. Просто как пример:
http://www.fortinet.com/press_releases/070917.html
Вот ты мне как художник художнику скажи, поддерживает ли PIX/ASA/FWSM:
1. BGP со всеми биджипишными рюшечками типа route-reflectors, confederations, ORF, etc?
2. Динамическую маршрутизацию внутри виртуальных firewalls (contexts)?
3. IPSEC inside виртуальных firewalls (contexts)?
4. IPSEC inside transparent firewall (L2 firewalls)?
5. GRE tunnels in single or multiple context mode?
Иными словами можно ли на ASA взять 200 скажем virtual firewalls (читай 200 разных кастомеров), поднять в каждом из них независимый IPSEC VPN, наложить на это дело сверху динамическую маршрутизацию (i.e. через GRE+OSPF или GRE+BGP), и сверху прогнать через это всё динамический
же мультикаст в виде PIM-SM?
Ты сам знаешь ответ на все эти вопросы - нихрена подобного не поддерживается в ASA. Fortigate это всё делал ещё четыре года назад.
Всё это (и даже лучше если говорить только про L3) можно естественно сделать на кошко-раутерах, но во первых, мы говорим про сегмент firewalls и UTM only, во вторых сразу возникает вопрос производительности, scalability и цены за эту производительность/scalability, и на кошко-раутерах там сильно не разбежишься, а если вдруг по условиям тендера нужны L7 функции - то всё становится совсем неоднозначно.
Я коснулся только L3 функционала, так как был завязан на него. В application layer (L7) разница c ASA будет ещё более удручающая, не в пользу ASA к сожалению.
Disclaimer: я не знаю как дела у них там сейчас, в каком состоянии продукт и как с продажами, так как не касался FortiOS-вской консоли более 4 лет. Знаю только что было успешное IPO в конце прошлого года. Вообщем это очень серьёзный кошкин конкурент в области секъюрных девайсов, откуда кошка постоянно п№;%?т новые фичи и идеи.
PIX писал(а):бизнес не подразумевает возможности покупать разнобой не важно насколько он рабочий и как здорово называется.
Они прошли уже этот период начального становления когда их никто не знал, и продают и в министерство обороны штатов и крупнейшим провайдерам и национальным банковским сетям.
Но я полностью согласен, что это фактор наверное самый главный который мешает повальному распространению, так как чисто технологически железка была лучше кошкиной просто на голову (по меньшей мере 4 года назад).
PIX писал(а):ЗЫ: Ты можешь меня на моб набрать - хочу поболтать о машине - я такую же купил )
Да надо потрепаться в офлайне а то всю конфу загадили уже своими сетевыми тараканами
Я не понял насчёт такой же - у меня фордов не было отродясь
я всё как-то больше и больше на новый GX460 из штатов нацеливаюсь
