Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 5 replies
  • Subscribers 2 subscribers
  • Views 3141 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

ADSL bridge or router??

Toontje
My new ASDL provider sent me a ZyXEL Prestige 650R as ADSL modem.
By default this device is configured as bridge, which means that the WAN interface of the firewall gets an IP-address from the DHCP server of the provider based on the MAC-address of the interface.
In my opinion this is very good because it means that the interface that is 'visable' from the Internet is the firewall itself, so I'm very much in control about how to handle portscans, ping reqests ect.
In my opinion it should not be possible to 'see' the bridge from the Internet, so it should not be possible to abuse possible weaknesses in the bridge.

Now some people advice me to configure the ADSL modem as router. They say I'm more in control about how to handle traffic.
Personally I only see disadvantages: the router will be visable from the Internet and can be hacked when there are weaknesses.
A second disadvantage could be that I introduce an extra network, which is between the router and the firewall, which makes the complete system slower because an extra step of address translation should take place.

What is your opinion about this subject? 


This thread was automatically locked due to age.
Parents
  • 0
    With NAT, you won't be able to IPsec to the interface, but since you're DHCP, you can't do that (yet!) anyway.

         Your friends have a point; as a routing device, you can set up simpy routing ACL rules on the DSL device to do some pre-screening of packets hitting the external interface (in the trade, this is known as using  a screening, filtering, or bridgehead router). by having the DSL device do some of that filtering work, you free up CPU cycles for other tasks Astaro might do; you shouldn't need to do it at first (and it's not advisable that you do because you would be starting off with a complex configuration, and complexity always invites failure), but if you find you're under packet attack at a later date, you will then have a quickly configurable option...
           
Reply
  • 0
    With NAT, you won't be able to IPsec to the interface, but since you're DHCP, you can't do that (yet!) anyway.

         Your friends have a point; as a routing device, you can set up simpy routing ACL rules on the DSL device to do some pre-screening of packets hitting the external interface (in the trade, this is known as using  a screening, filtering, or bridgehead router). by having the DSL device do some of that filtering work, you free up CPU cycles for other tasks Astaro might do; you shouldn't need to do it at first (and it's not advisable that you do because you would be starting off with a complex configuration, and complexity always invites failure), but if you find you're under packet attack at a later date, you will then have a quickly configurable option...
           
Children
No Data
Cookie Information Banner