UNI•Sikkerhed – udskiftning af routere

En række af de routerplatforme, som hidtil har været understøttet af UNI•C Sikkerhed, slettes af UNI•Cs liste over godkendt CPE-udstyr. Det sker, fordi routerne ikke mere sælges og vedligeholdes hverken mht. hardware eller software.

Disse routere udgår:
Alle routere i serierne Cisco 16xx, 17xx, 25xx, 26xx udgår, og derfor kan UNI•C ikke længere garantere hverken for sikkerhed eller drift.

Disse routere anbefales:
UNI•C anbefaler, at skolerne udskifter de eksisterende routere til enten Cisco ASA firewall, der er en dedikeret firewall, eller ny Cisco IOS router, der er en router med firewall-funktion.

ASA firewalls
ASA firewalls er karakteriseret ved at performe rigtig godt til prisen. For skoler med kraftige fiberforbindelser og behov for høj intern båndbredde, vil en ASA derfor ofte være et godt valg. ASA’en indeholder ikke det brede udvalg af avancerede netværksfunktioner som IOS, men er generelt førende i forhold til rene sikkerhedsopgaver. UNI•C er således i øjeblikket ved at give muligheder for lokal terminering af VPN på ASA.

Endvidere har ASA mulighed for ’BotNet filter’ (årlig licensudgift til Cisco): Firewallen henter/vedligeholder en database med sites, som på baggrund af tidligere registrerede hændelser over hele kloden er kategoriseret i forskellige trusselskategorier, dvs. på baggrund af ’reputation’. Firewallen kan sættes til at droppe trafik mod definerede trusselskategorier, og skolen får dermed mulighed for dels at registrere brugertrafik mod tvivlsomme sites, dels at droppe den.

IOS routere
IOS-routere med firewallfunktion har været anvendt på skolerne gennem mange år og til stor tilfredshed. IOS-routeren har flere avancerede netværksfunktioner end ASA’en, men kan have svært ved at udnytte kraftige fiberforbindelser fuldt ud. Behovet for antal fysiske interfaces kan have betydning for valget (se tabel i højre side).

Generel anbefaling 
Generelt anbefaler UNI•C en ASA-firewall når:

• skolen kun har én internetforbindelse.
• skolen maks. har ét IP-net konfigureret direkte på interface (ASA understøtter ikke flere IP-net konfigureret på samme interface, men kan dog håndtere flere IP-net på et interface, hvis der etableres en bagvedliggende router/L3-switch på interfacet).
• der max er 256 IP-adressers dhcp-service pr. interface.

I øvrige tilfælde anbefales en router, da den ikke har ovenstående begrænsninger.