необходимость ISA в связке

[Remy Профиль ICQ]

Добрый день, я сейчас может глупость спрошу, но тем неменее, недавно поговорив с одним сис.адмом, задумался:

Завелся у нас разговор, что связка моя ненадежна (Inet - Router - Net)
и что даже то что в рутер у меня вживлен firewall модуль, не есть гуд!
Что рутер должен рутить, а фаерволить должен отдельный нормальный фаервол, и связка должна быть (Inet - Router - ISA - Net) - к примеру.

до переезда офиса, у меня стояла FreeBSD, на ней был и рутинг и фаервол,
я мониторил весь трафик и реально представлял картину.

сейчас FreeBSD сменилась Allied AR-745, на котором тоже настроен рутинг, поднят NAT и фаервол, но такого же удобного средства для мониторинга нет.
в сети так же есть ISA, но используеца она как proxy, а траф в сети большой,
и хоть компания и не испытывает проблем по затратам на траф, хотелось бы его видеть и причесывать.

C одной стороны, не хочеца городить огород, а с другой, хочеца все видеть и знать.

Так вот собсна вопрос, где правда брат?

Какая связка хороша и чем, а если они обе в порядке, то какая для чего лучше?

[GifteD]

ИМХО
зависит от бюджета.
Обе в порядке
1. Это минимальный вариант для работы, зависит от нагрузки.
2. Тоже не плохо разносить службы по железкам.

[GifteD]

[GifteD]

Remy Как понимаешь все зависит от настроек ISA2000 При наличии интернета безопастность вообще понятие эфимерное

[Remy Профиль ICQ]

GifteD

у нас проблема с VPN каналами, которые настроены на W2kS
падают сцуки, связь рвеца и через минуту восстанавливается.
Вот и хочу железки поставить, но мне сказали что проблемы могут быть еще и из-за ИСА 2000, вот и думаю куда мне ее засунуть,
- за рутер нельзя - опять будет на каналы давить,
- перед рутером, не хочу ее наружу ставить

- может вторым выходом в Инет выставить? Примерно так:
1.
до рутера пакеты доходят по прямой, если пакет во второй офис, то заварачиваем его в VLAN2 и отправляем в канал, если в третий офис то в VLAN3 и опять в канал.
2.
если пакет наружу направдяю его в VLAN4, в ИСА 2000, а ИСА уже рутит его обратно на рутер на eth0.

муторно, но зато каналы ИСА не трогает, но зато весть траффик мониторица, считаеца и режеца, если надо!

Заработает?

или даже вот:
в первый порт рутера VLAN1 (LAN) во втрой порт VLAN2(второй офис)
третий, третий офис, в четвертый ИСА,
1.
до рутера пакеты доходят по прямой, если пакет во второй офис, то заварачиваем его в VLAN2 и отправляем в канал, если в третий офис то в VLAN3 и опять в канал.
2.
если пакет наружу направдяю его в в ИСА 2000
(маршрут по умолчанию) а она его соответсвенно VLAN4, на рутер на eth0.

этот даже красивее, но как его реализовать я не знаю, ведь если я пропишу
ISA как GW, она пакет на IP адрес второго или третьего офиса будет воспринимать как внешний и пропускать через себя, а этого я наоборот хочу избежать.

[GifteD]

попробуй, должно.
Дорого осилит идущий, так трудно сказать