Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Администрирование » Windows системы
Страницы: 1
RSS
Чем лучше дропить пакеты в Windows 2003, Ipsec, rras или ICF?
 
#1
Это нравится:0Да/0Нет
25.09.2005 11:43:43
Никто не знает чем лучше (исходя из производительности) дропить пакеты в W2k3 встроенными средствами (Ipsec, RRAS или ICF). Несколько тысяч хостов в правиле..

МОж кто экспериментировал или встречал подобное сравнение...
 
 
 
#2
Это нравится:0Да/0Нет
25.09.2005 23:06:46
не IPSec'ом точно (ИМХО)
 
 
 
#3
Это нравится:0Да/0Нет
25.09.2005 23:11:32
Цитата
nester пишет:
не IPSec'ом точно (ИМХО)
Это не ответ. Мне лично больше нравится через IPsec.
Хочешь быть мудрым? Не желай всего, что видишь; не верь всему, что слышишь; не говори всего, что знаешь; не делай всего, что умеешь, а только то, что полезно.
 
 
 
#4
Это нравится:0Да/0Нет
25.09.2005 23:22:23
Если завтра на работе нечего будет делать, отвечу подробнее почему я так думаю
 
 
 
#5
Это нравится:0Да/0Нет
25.09.2005 23:31:42
тут нужны результаты тестов.. Врядли обычным экспериментом можно понять что быстрее.
Хочешь быть мудрым? Не желай всего, что видишь; не верь всему, что слышишь; не говори всего, что знаешь; не делай всего, что умеешь, а только то, что полезно.
 
 
 
#6
Это нравится:0Да/0Нет
26.09.2005 10:23:51
Цитата
Марк Барнетт пишет:
Еще одна проблема IPSec - низкая производительность. Мне приходилось видеть сети, производительность которых падала на 10-15% в результате применения фильтров IPSec, даже без шифрования и туннелирования. Снижение производительности не всегда представляет серьезную проблему, но если ресурсы сервера на пределе или необходимо высокое быстродействие, то IPSec вряд ли будет лучшим решением. Каждая среда имеет свои особенности, поэтому следует провести тесты, чтобы точно определить влияние IPSec на сервер.

Взято из статьи "Фильтрация пакетов в Windows".
 
 
 
#7
Это нравится:0Да/0Нет
26.09.2005 10:32:46
Если я правильно понял логику обработки пакетов по IPSec-фильтрам , то в IPSec пакеты проходят по ВСЕМ фильтрам
и уже в конце выносится вердикт. В обычных фаэрах пакет обычно гуляет по правилам до первого вхождения.
Соответственно если в IPSec куча правил, то и тормоза соответствующие.

Но это всё моё личное мнение - на данный момент не могу проверить на конкретных серверах и задачах -
времени нэма ((
 
 
 
#8
Это нравится:0Да/0Нет
26.09.2005 10:42:56
1. IPSec медленней чем всех, ибо просматриваются все правила. Он хорош когда есть несколько разрешающих правил, а остальное грохается.
2. ICF - однозначно медленней чем rras ибо stateful.
3. rras - заточен под пакетный фильтр, можно дропать на входе, до поступления стеку tcp/ip. нормально скриптуется через netsh. недостаток - правила либо чистый блэклист либо чистый вайтлист. поэтому иногда приходится раскидывать по входящим-исходящим цепочкам.
 
 
 
Страницы: 1
Читают тему