Die Südtiroler Firma Endian stattet ihre grasgrün lackierte Firewall-Appliance mit allerlei Sicherheitstechniken aus. Wie gut sie sich in der Praxis bewähren, zeigt dieser Test.

Scharfer Hotspot

Endian liefert die Macro X2 mit einem sehr brauchbaren Hotspot-Feature aus, das Chillispot [6] als Captive Portal verwendet und zusätzlich Freeradius und PostgreSQL integriert. Der Hotspot ist eine Eigenentwicklung von Endian und basiert nicht auf der Zone-CD oder anderen Open-Source-Hotspots.

Der Endian-Admin definiert das blaue Netzwerk-Interface als WLAN-Hotspot-Interface und patcht dahinter ein offenes Wireless-Netzwerk. Anschließend aktiviert er den Hotspot, er funktioniert wie von vielen Hotels und öffentlichen Accesspoints bekannt: Der Benutzer findet die offene SSID (Service Set Identifier). Der Hotspot leitet den ersten HTTP-Request zu einem Splashscreen um, der die weiteren Schritte erklärt, um Zugang zum Internet zu erhalten.

Da nicht jeder Hotspot-Betreiber Kreditkartenzahlungen online entgegennehmen kann (besonders kleinere Betriebe wie Bäckereien, Waschsalons oder Biergärten) schickt der Endian-Hotspot den Benutzer zur Rezeption/Kasse, wo er bezahlen kann und einen Usernamen sowie ein Passwort erhält. Beliebt sind hierfür kleine Thermodrucker mit einem Kassenbeleg-artigen Format. Der Endian-Hotspot kontrolliert die verbleibende Onlinezeit. Zusätzlich gibt es für den Hotspot ein Json-API [7], mit dessen Hilfe andere Applikationen zum Beispiel Abrechnungsdaten austauschen oder Accounts zentral synchronisieren können.

Interessanterweise schafft es Endian mit Hostrouten und trickreichen ARP-Einträgen, dass der Hotspot im WLAN jede IP-Adresse akzeptiert. Selbst wenn jemand eine IP statisch eingetragen hat - bei Firmen-Notebooks ist das häufig der Fall -, aber nicht die notwendigen Rechte auf seinem Laptop besitzt, um DHCP zu aktivieren oder die IP zu ändern, kann er trotzdem mit dem Endian-Hotspot ins Internet. Erst wenn zwei Notebooks die identische statische IP verwenden möchten, scheitert das Konzept.

UTM-Features

Beim Test der weiteren UTM-Funktionen fiel erneut die mangelnde Integration einzelner Module auf. Benutzer, die der Admin im OpenVPN-Modul anlegt, kann er für den Webproxy nicht wiederverwenden, er muss alle Accounts doppelt eintragen. Das stört auch den User, der sich zwei Passwörter merken muss. Für kleine Betriebe mag das noch angehen, im Enterprise-Markt jedoch nicht. Der Hersteller verspricht für Version 3.0 mehr Einheitlichkeit und Usability.

Am Proxy und am Contentfilter selbst gibt es aber nichts auszusetzen. Alle nötigen Features sind vorhanden und funktionieren tadellos: transparent oder explizit, Benutzerauthentifizierung, Viren- und Contentfilter und vieles mehr, sogar die Datenmenge, die ein Benutzer maximal hochladen darf, kann der Admin begrenzen. Das vermeidet, dass ein Trojaner im Hintergrund ohne Wissen des Benutzers massenhaft Firmendokumente per HTTP nach Hause schickt.

Der eingebaute Mailserver ist für den Enterprise-Markt zu dünn. Er kennt zum Beispiel keine Aliases und kann interne E-Mail-Adressen nicht in externe umschreiben. Quarantänebereiche, die Nutzer per HTTP erreichen könnten, gibt es auch nicht. Es empfiehlt sich daher, möglichst einen eigenen Mailserver aufzusetzen. Dank seiner Greylisting-Option eignet sich der Endian-Mailserver aber gut als Spamfilter, er kann zudem öffentliche Blacklists verwenden. Bei einem kurzen Test ohne Greylisting erkannte die Appliance immerhin 85 Prozent des eingehenden Spam.

Zu den positiven Seiten gehört eindeutig auch die DHCP-Konfiguration. ISC-DHCP-geplagte Admins wird freuen, dass die Endian-Firewall alle wichtigen Funktionen in einem einfachen und übersichtlichen GUI zusammenfasst.

Hardware

Bereits beim Auspacken überrascht Endians UTM-Appliance durch ihre schöne Pulverlackierung und das grüne Design, das an Kawasaki-Motorräder erinnert. Aufgeschraubt offenbart das Gerät die beste und leistungsfähigste Firewallhardware, die den Linux-Magazin-Testern in den letzten zwölf Monaten vorlag. Sie hat eine schnelle Intel-CPU Core2Duo 6600 mit 2,4 GHz sowie 4 GByte DDR2-667-Non-ECC-RAM (PC2-5300). ECC-RAM ist den Testern bisher noch in keiner Appliance begegnet. Im Gegensatz zu anderen Appliances (etwa Edenwall [9] oder dem MSM VPN Router [11]) hat die Endian-Appliance keine Compact-Flash-Karte, sondern arbeitet mit zwei 80 GByte großen SATA-Platten (Laptop-HDs von Seagate mit 7200 RPM), die in der Performance eventuell etwas unterhalb einer Solid-State-Disk liegen. Der Hersteller hat die Platten als Raid-1 vorkonfiguriert. Die Appliance hat leider nur ein Netzteil sowie eine serielle COM-Schnittstelle (Terminal) und zwei USB-Anschlüsse. Das Motherboard sieht aufgeräumt und professionell aus. Auch die Luftführung von den Ventilatoren in den Innenraum der Appliance ist mit zusätzlichen Blechen gut umgesetzt (in Abbildung 3 sind die Bleche abgenommen). Wie auf dem Appliance-Markt allgemein üblich setzt auch Endian auf einer handelsüblichen Plattform auf, hier Axiomtek NA-820. Bei deren Auswahl hat Endian ein glückliches Händchen bewiesen. (Norbert Landowski) Abbildung 3: Das Innenleben der Endian Firewall-Appliance Macro X2 überzeugt durch ordentlich verbaute, leistungsfähige Komponenten wie der Core2Duo-CPU von Intel und dem PC2-5300-RAM.

Die Südtiroler Firma Endian stattet ihre grasgrün lackierte Firewall-Appliance mit allerlei Sicherheitstechniken aus. Wie gut sie sich in der Praxis bewähren, zeigt dieser Test.