Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 4 replies
  • Subscribers 3 subscribers
  • Views 3325 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Questions about inline setup (behind existing router)

iroc409
After taking down my Sophos rig due to the Heartbleed issue (and some trouble reinstalling), I wanted a new toy (I guess) so I picked up an EdgeRouter Lite.  I've had it running for about a month and it's great and all (it's plenty fast, uses no power, totally silent), but it has some shortcomings and after literally years of running UTM's I feel a bit lacking.

I'm thinking about putting a UTM in place again, but now I have the ERL and I'm past the return period.  So, I'm thinking about leaving it in place and running the UTM behind the router--either running a very low power dedicated box, or finally breaking down and building an ESXi box (I don't really want to have a virtual machine on the perimeter, even if it's silly).  Additionally, I've added a new AP/guest VLAN, and everything is (mostly) running peachy, and it would be nice to mostly drop-in the UTM and be back in business.

Is this just a poor plan, should I scrap the ERL all together, or is it doable?  I'm not necessarily looking to have a transparent device, but I also don't want to deal with dual-NAT and the like.  For the UTM, I would probably like to use these features (from what I can remember):

-IPS/AV/filtering
-Email relay (relays server mails through Comcast service thanks to their port blocking)
-Full usage reporting would be nice, along with daily executive report emails
-DNS (because it's not fully ready on the ERL other than forwarding)
-Maybe firewall (though I have mine well set on the ERL)
-VPN endpoint (OpenVPN)
-Maybe a HTTP reverse proxy, but that's up in the air

I think that's most of what I am using.  Network layout will of course be a challenge, but being that it would be behind the router, it would also take some load off the UTM device.

Currently the VLANs are "untagged" for the regular network, and a tagged VLAN for the guest wireless.  It seems I read Sophos doesn't necessarily support the untagged VLAN.  Will that have to change?


This thread was automatically locked due to age.
Parents
  • 0
    OK, thanks Barry, that's what I was afraid of.  I lose several features in a transparent bridge, correct?  Obviously, anything that needs an IP, but I think I read a lot of the reporting goes away as well?
  • 0 in reply to iroc409
    OK, thanks Barry, that's what I was afraid of.  I lose several features in a transparent bridge, correct?  Obviously, anything that needs an IP, but I think I read a lot of the reporting goes away as well?


    I'm not sure.

    BTW, if you expect the router to give you a layer of protection from heartbleed-type vulnerabilities in the UTM, what makes you think the router can't have such vulnerabilities?

    Barry
Reply
  • 0 in reply to iroc409
    OK, thanks Barry, that's what I was afraid of.  I lose several features in a transparent bridge, correct?  Obviously, anything that needs an IP, but I think I read a lot of the reporting goes away as well?


    I'm not sure.

    BTW, if you expect the router to give you a layer of protection from heartbleed-type vulnerabilities in the UTM, what makes you think the router can't have such vulnerabilities?

    Barry
Children
  • 0 in reply to BarryG
    I'm not sure.

    BTW, if you expect the router to give you a layer of protection from heartbleed-type vulnerabilities in the UTM, what makes you think the router can't have such vulnerabilities?

    Barry


    No, I didn't expect the router to protect from heartbleed.  The reason I actually went that route was for totally different reasons.  My firewall & server both are more than 7 years old.  The heat & noise (often 10-15 degrees warmer than the rest of the house) from the systems in my office was driving me batty, so I thought I would do some upgrades and consider going without the UTM.  It just happened to coincide with Heartbleed.  I was out of town when it "hit", so I had my wife shut it down.  I downloaded the latest version of the UTM for a clean install, had some sort of hiccup, and went ahead with the ERL.  The draw of a tiny, silent, almost-no-power device was too much!  I've upgraded the file server to a quieter, lower power unit and that combined with the ERL has been pretty nice in the office.

    However, I'm missing a couple features I'd like on the network, and have lost pretty much all of my network visibility.  The ERL is a pain for advanced features (for now), and obviously does very little advanced protection (some is available, all manual).  I actually considered running a Snort bridge on my file server, but it sounds like doing it manually is a constant labor--so now I'm looking at adding Sophos again, either with a dedicated box or ESXi so I can set up some other stuff as well (maybe).

    [:$]