Avoimen lähdekoodin palomuuriratkaisut

Abstract

Tämän JYVSECTECille tehdyn opinnäytetyön tarkoituksena oli tutustua avoimen lähdekoodin palomuureihin. Niiden ominaisuuksia tuli vertailla, ja niitä tuli opetella konfiguroimaan eri skenaarioita varten. Palomuureina käytettiin pfSenseä, ShoreWallia ja Vyatta Corea. Puhdasta iptables-komentoa käytettiin kerran.

Skenaariot toteutettiin virtualisoiduissa IPv4-verkoissa, jotka luotiin VirtualBox-ohjelman avulla. Työtä varten suunniteltiin eri verkkoja, joille annettiin useita toteutettavia tavoitteita. Tavoitteita olivat mm. DMZ-alueen luonti ja yrityksen sisäverkon suojaus, harjoitusverkossa olleen hallintaaliverkon suojaus, sekä runkoreitittimien suojaaminen. Tavoitteiden toteutuksessa tarvitut komennot ja työvaiheet dokumentoitiin tarkasti.

Varsinaisten skenaarioiden lisäksi mitattiin palomuurien nopeutta. Ohjelmapohjainen palomuuri ei ole koskaan yhtä nopea kuin laitteistopohjainen. Siksi haluttiin tietää, paljonko ne hidastivat verkkoa. Kaikki nopeustestit tehtiin sadan megabitin nopeudella toimineissa verkoissa. Nopeustestit eivät olleet täysin moitteettomasti tehtyjä, joten tulokset olivat vain hieman suuntaa antavia.

Skenaarioiden toteuttamisen jälkeen voitiin todeta, että ohjelmapohjaiset palomuurit ovat hieman ristiriitaisia. Ne eivät ole lähimainkaan yhtä nopeita kuin laitteistopohjaiset palomuurit: verkon nopeus leikkaantui noin puoleen alkuperäisestä. Mutta kotikäyttäjille, pienyrityksille ja harjoitus/simulaatioverkkoihin ne ovat mainioita valintoja. Koska peruskäsitteet eivät muutu, on työssä läpikäytyjä asioita ja vaiheita mahdollista soveltaa muihinkin tuotteisiin.

Jatkokehitystä varten olisi hyvä toteuttaa nopeustesti paremmin, sekä suunnitella laajempia skenaarioita. Myös IPv6 ja VPN-tekniikat tulisi käydä läpi.

The purpose of this JYVSECTEC-assigned bachelor's thesis was to become familiar with open source firewall products. Their features were to be compared and configured for various scenarios. The firewalls used were pfSense, ShoreWall and Vyatta Core. The raw iptables command was used once.

The scenarios were realized in virtualized IPv4-based networks that had been built using the VirtualBox virtualization software. Various networks were designed and for each network several objectives were set. For example, in one scenario a small company required a DMZ while keeping their internal network protected; and in another scenario, the management subnet and the core routers had to be protected. The commands and tasks required to realize these objectives were meticulously documented.

Software firewalls are never as fast as hardware firewalls. Thus, it was necessary to measure exactly how much they slowed down the network. The tests were performed in networks running at the speed of 100 Mbit/s. Because the testing methods used were somewhat insufficient, the results should not be considered as complete truths, but merely as guidelines.

The results showed that software firewalls are a somewhat mixed bag of products. They are nowhere as fast as hardware firewalls: the network performance was only about a half of the original. However, they are perfectly fine choices for home users, small enterprises and for practicing/simulation networks. Because the basic concepts do not change, the ideas and scenarios covered in this work can be adapted to work with other scenarios and products.

For further development, the speed tests should be thoroughly revised and the test scenarios should be expanded. In addition, IPv6 addressing and VPN technologies should be covered.