Je me pose la question des avantages inconvénients entre une solution
* firewall basé sur un PC OSA (debian par exemple)
* un firewall matérial (exemple: http://www.ldlc-pro.com/sscat/140202.html )
 
j'ai l'impression que la solution du firewall software est une solution un peu de bricolage, sauf si on a vraiment le temps de mettre en place des scripts solides (temps que je n'ai pas).
 
edit: lien corrigé

Lien invalide

-) +l
http://www.ldlc-pro.com/sscat/140202.html

De ce que je vois :
 
* pas de limitation en nombre de sessions VPNs
* HA dispo nativement
* Fonctionnalités de filtrage avancées
* Pas de licensing à la con (tm)

Comme souvent dans ce débat, les avantages pour une solution de type appliance sont les suivants :
  - dispo "out-of-the-box" - en théorie tout est dispo de base pour gérer ta solution. Pas forcément besoin de compétence très poussée dans la théorie du firewalling, dans la mise en place d'un système de supervision, dans les scripts, etc... Faut juste ouvrir le porte feuille

 - de bonne performance : pour obtenir de bonne perf en filtrage/routage/commutation il faut pouvoir toucher au hard et ne pas prendre n'importe quel type de matos. Donc s'y connaitre aussi dans ce domaine

 - "disponibilité" du support : pour une solution de type OSA, d'une part, il te faut avoir les compétences en interne. Lorsque ça les dépasse, il te faut soit creuser et augmenter des compétences soit  faire appel à des boites.

 - transfert/redondance des compétences sur l'archi mise en place.

Le gros point noir d'une solution appliance sera au niveau du prix + licensing.
Le gros avantage d'une solution full custom, c'est que tu maitrises tout de bout en bout, tu en fais ce que tu veux.

Donc à la base, ça tient plus des compétences, du temps, et de ta polique interne.

J'ai pas suivi l'actu des distro firewall, mais un bon ipcop ne suffit pas ?

Je pense que escagasse ne parle pas justement de solutions de ce genre (IPCOP, m0n0wall, pfSense), mais d'une configuration à partir d'une Debian de base.
En gros s'il est plus intéressant de faire un "apt-get les_outils_necessaires & je_met_ma_config.sh" ou d'acheter directement de la boîte noire Cisco&co.
 
Je dirais plutôt de voir au niveau compétence et organisation du réseau, s'il y a une tétra-chié de VPN à mettre en place sur le même site, avec n+1 (n>3) redondance à l'accès WAN, oui il vaut mieux partir sur un IPCOP ou équivalent.
S'il y a un nombre restreint de VPN et un ou 2 liens WAN, partir sur un Cisco ou Zyxel (suivant le matos réseau avant et après)