Hardware Empfehlung Firewall / Nas Rack

[exelzur]

Hallo zusammen,

mich möchte meine Hardware modernisieren, habe z.Z. Einen fileserver auf freenas Basis (16 Tb mit 2 Tb Platten) mit nem super Micro Board drinne.

folglich suche ich ein NAS was sparsam ist und OTB funktioniert, dachte an qnap oder synology? cool wäre wenn es ne Rack Montage hat, aber habe auch chböden. Es sollte möglichst silent sein.

Anbindung wäre an ein Netgear gs748T 48 Port mit 4x1G sfp Ports.


Dazu ist mir vor ein paar Monaten meine Hardware Firewall ausgestiegen, jetzt hänge ich nur an einer Fritz.Box 7490.
Ziel soll sein Werbung filtern, externer Schutz, interne Übersicht was nach Hause telefoniert.
Welche Hardware empfiehlt sich für opnsense / pfsense.

Wäre für eure Hilfestellung dankbar, bin Hardwareseitig nicht auf dem aktuellsten Stand.

 

[p4n0]

Wie waers mit einer Dose, welche beides tut?
--> ESXi

--> Virtualle Storage Appliance
--> Virtuelle Firewall/Router
--> PiHole

Damit kannst du eig. alles bedienen was der gemeine Luxxer zu Hause so braucht.

 

[exelzur]

Ja möglich wäre das, aber frisst nicht ein potentes esxi System ordentlich Strom?

weil langsam darf nix mehr laufen… kriege bei der Fritz.Box schon die Krise 😂

 

[p4n0]

So potent muss das gar nicht sein.
Ne aktuelle 4Kern Intel CPU reicht da ewig aus.

Mit ~30w im Idle wirst du hinkommen wenns keine exotische Harwareanforderungen gibt.

 

[i-B4se]

Meine Persönliche Meinung:
Ich würde keine Firewall als VW auf einem Server laufen lassen.
Muss man etwas am Server machen, stürzt ab und man muss recherchieren etc., dann hat man kein Internet.
Wie gesagt, ist meine Meinung und sieht jeder anders.

 

[p4n0]

Meine Meinung:

Am ESXi muss / kann man nicht groß rumspielen. Daher vernachlässigbar ob die FW virtualisiert ist.
Nutze ich selbst hier seit April so. Bisher nichts davon gemerkt. Davon ab kann man einfach den Unterbau wechseln
wenn man mal die HW tauscht.

 

[exelzur]

Okay wir haben 2 Praxis Vorschläge,

Wie würde die Hardware dazu aussehen? Angedacht wären 6-8 neue Platten. Eventuell auch weniger je nach dem wie ich eskalieren will 😂

 

[Gen8 Runner]

Deine Vorstellungen beißen sich
- Sparsam
- Silent
- 6-8 Platten

Das wird nur sehr schwer unter ein Dach zu kriegen sein.

 

[Beinfreiheit]

Aus der Synology-Welt würden die Desktop-Modelle DS1621+ und DS1821+ passen. Mit NVMe-SSD-Cache (angebunden über PCIE Gen2x1 --> ~430MB/sek) können die relativ viel machen und es kann über einen PCIe Gen3x8(elektrisch 4) auch eine Netzwerkerweiterung eingesetzt werden. Alternativ das RS1221+(optional RP), was gleich zu den anderen zwei Geräten als Rackmount OHNE SSD-Cache arbeiten würde.
QNAP hat sehr ähnliche Lösungen, zu ähnlichen Preisen, bietet aber auch im kleineren Segment ZFS an. Bei Synology sind die iSCSI's nur File-Based, bei QNAP weiß ich es aus dem Kopf nicht mehr. Das BTRFS bei Synology ist nicht die Basis für das Raid, somit ist auch ein Raid5/6 ohne Risiko möglich.

Aber nochmal zurück zu der eigentlichen Frage und der bestehenden Technik:
Du willst vermutlich die bestehenden Festplatten weiterbenutzen und nur die Systeme tauschen? Mein Rat wäre ein Umbau der Systeme und eine entsprechende Einschätzung der benötigten Leistung.
Wenn Rack-Montage keine direkte Rolle spielt würde ich ein solches System wie Folgt aufbauen:
2x HPE Proliant DL20 Gen10 oder HPE MicroServer Gen10 Plus mit einem E2224 und 1x 16gb Ram (je ~30w Idle)
--> Carrier für den DL20 und den MicroServer müssten noch dazu besorgt werden; für den DL20 würde ich eine M2 NVMe-SSD mit einem generischen Riser nehmen, da die Caddies relativ teuer sind.
2-4x 1TB SATA-SSD (2x Raid 1)
2x 240GB SATA SSD (System)
Ram nach Bedarf - muss nicht unbedingt mit HPE-Lable sein
1x Synology DS420+ (mit drei Platten ~20w idle)
3x Seagate Ironwolf 8TB (Raid5)

Das Synology mit den 8TB-Festplatten ausstatten, die Server mit je zwei 1TB und einer 250GB SSD. Das Synology über NFS im ESXi einbinden und mit den 1TB-SSDs an ein virtualisiertes Storage-System wie TrueNAS übergeben. Dieses soll dann die Verwaltung für den Speicher übernehmen. Den SSD-Storage für die Images im ESXi verwenden und über den Rest kann frei verfügt werden. Auf dem Synology über ABB können dann alle VMs mit SnapShots gesichert werden, was eine gewisse Ausfallsicherheit zusätzlich bring. Die zwei 1TB SSD-Pools dann über die zwei Server als Raid1 Verbinden und alle Images drauf lassen.
Danach kannst du dich an das Erstellen der VMs machen. Für den DL20 bräuchte es noch eine weitere Netzwerkkarte, die an die pfSense-VM weitergereicht werden kann, damit WAN und LAN getrennt laufen kann.

Für PiHole habe ich bisher noch keine Einschränkungen bemerkt, wenn es direkt als Docker-Image auf einem Synology läuft, kann aber auch als VM betrieben werden. PfSense läuft gut als VM auf derartigen Servern und kann dank Virtualisierung auch relativ gut erweitert werden.

Ich würde aber nochmal über Kosten/Nutzen nachdenken und nochmal auf Produkte, wie einem Mikrotik RB5009UG+S+IN o.Ä. schauen ...
___________
Als Empfehlung würde ich vorweg einen dedizierten Router empfelen, welcher relativ einfach zu ersetzen ist, wenn es einen ausfall gibt. Ansonsten bringen dieverse Hypervisor wie Proxmox, TrueNAS Scale, ESXi und viele Weitere auch möglichkeiten mit, wie Speicher und VMs auf einer Platform verwaltet werden. Dadurch könnte der Storage-Part direkt in den Servern integriert werden. Auch QNAP, Synology und diverse Weitere bieten Virtualisierungsmöglichkeiten, welche je nach System mehr oder weniger Mächtig sind.

Und vlt. mein Fehler - ich bin erstmal von HA ausgegangen, was verwendet werden soll ...

 

[exelzur]

Deine Vorstellungen beißen sich
- Sparsam
- Silent
- 6-8 Platten

Das wird nur sehr schwer unter ein Dach zu kriegen sein.

Sehe ich nicht so. Habe ja heute schon Systeme die leise können nur nicht mehr meinen Ansprüchen genügen.

Aus der Synology-Welt würden die Desktop-Modelle DS1621+ und DS1821+ passen. Mit NVMe-SSD-Cache (angebunden über PCIE Gen2x1 --> ~430MB/sek) können die relativ viel machen und es kann über einen PCIe Gen3x8(elektrisch 4) auch eine Netzwerkerweiterung eingesetzt werden. Alternativ das RS1221+(optional RP), was gleich zu den anderen zwei Geräten als Rackmount OHNE SSD-Cache arbeiten würde.
QNAP hat sehr ähnliche Lösungen, zu ähnlichen Preisen, bietet aber auch im kleineren Segment ZFS an. Bei Synology sind die iSCSI's nur File-Based, bei QNAP weiß ich es aus dem Kopf nicht mehr. Das BTRFS bei Synology ist nicht die Basis für das Raid, somit ist auch ein Raid5/6 ohne Risiko möglich.

Aber nochmal zurück zu der eigentlichen Frage und der bestehenden Technik:
Du willst vermutlich die bestehenden Festplatten weiterbenutzen und nur die Systeme tauschen? Mein Rat wäre ein Umbau der Systeme und eine entsprechende Einschätzung der benötigten Leistung.
Wenn Rack-Montage keine direkte Rolle spielt würde ich ein solches System wie Folgt aufbauen:
2x HPE Proliant DL20 Gen10 oder HPE MicroServer Gen10 Plus mit einem E2224 und 1x 16gb Ram (je ~30w Idle)
--> Carrier für den DL20 und den MicroServer müssten noch dazu besorgt werden; für den DL20 würde ich eine M2 NVMe-SSD mit einem generischen Riser nehmen, da die Caddies relativ teuer sind.
2-4x 1TB SATA-SSD (2x Raid 1)
2x 240GB SATA SSD (System)
Ram nach Bedarf - muss nicht unbedingt mit HPE-Lable sein
1x Synology DS420+ (mit drei Platten ~20w idle)
3x Seagate Ironwolf 8TB (Raid5)

Das Synology mit den 8TB-Festplatten ausstatten, die Server mit je zwei 1TB und einer 250GB SSD. Das Synology über NFS im ESXi einbinden und mit den 1TB-SSDs an ein virtualisiertes Storage-System wie TrueNAS übergeben. Dieses soll dann die Verwaltung für den Speicher übernehmen. Den SSD-Storage für die Images im ESXi verwenden und über den Rest kann frei verfügt werden. Auf dem Synology über ABB können dann alle VMs mit SnapShots gesichert werden, was eine gewisse Ausfallsicherheit zusätzlich bring. Die zwei 1TB SSD-Pools dann über die zwei Server als Raid1 Verbinden und alle Images drauf lassen.
Danach kannst du dich an das Erstellen der VMs machen. Für den DL20 bräuchte es noch eine weitere Netzwerkkarte, die an die pfSense-VM weitergereicht werden kann, damit WAN und LAN getrennt laufen kann.

Für PiHole habe ich bisher noch keine Einschränkungen bemerkt, wenn es direkt als Docker-Image auf einem Synology läuft, kann aber auch als VM betrieben werden. PfSense läuft gut als VM auf derartigen Servern und kann dank Virtualisierung auch relativ gut erweitert werden.

Ich würde aber nochmal über Kosten/Nutzen nachdenken und nochmal auf Produkte, wie einem Mikrotik RB5009UG+S+IN o.Ä. schauen ...
___________
Als Empfehlung würde ich vorweg einen dedizierten Router empfelen, welcher relativ einfach zu ersetzen ist, wenn es einen ausfall gibt. Ansonsten bringen dieverse Hypervisor wie Proxmox, TrueNAS Scale, ESXi und viele Weitere auch möglichkeiten mit, wie Speicher und VMs auf einer Platform verwaltet werden. Dadurch könnte der Storage-Part direkt in den Servern integriert werden. Auch QNAP, Synology und diverse Weitere bieten Virtualisierungsmöglichkeiten, welche je nach System mehr oder weniger Mächtig sind.

Und vlt. mein Fehler - ich bin erstmal von HA ausgegangen, was verwendet werden soll ...

Wow super Ausführung! Also die Platten müssen nicht übernommen werden die haben alle Betriebszeiten von 24/7 jenseits von gut und böse…

-Der Mirotik Rb5009…. Kommt erst wenn ich das richtig sehe oder?

-Auch wenn ich 1 He Server lustig finde, fallen die DL 20 raus die werden bestimmt brüll Mücken sein 😂

Primär geht es um Storage und Firewall, Virtualisierung wäre nett aber nicht die primärste Aufgabe.

Storage sollte in Richtung ZFS o.ä. Gehen um eine relative Sicherheit zu haben, wichtige Daten werden eh extern gespiegelt.

Der serverschrank steht bei mir im Büro, leises Summen/ brummen ist okay, ein startenden Jumbo hingegen nicht 😂

 

[Beinfreiheit]

So, der RB5009 kommt Anfang September und kann vorgestellt werden, ansonsten ist auch der RB4011 immer eine gute Wahl.
Bei den DL20 hast du wenig Probleme mit Lautstärke, die sind super geregelt. Außer beim starten 😁 Vermutlich ist der Netgear lauter.

Wenn es aber primär nicht um Virtualisierung geht, dann würde ich zu einem Synology DS1621+ oder DS1821+ raten, wo auch einfache Virtualisierung und Docker möglich ist. Sollte die leiseste Möglichkeit sein. Natürlich neben einem Router, wie bspw. einem Mikrotik, FS, Netware oder was auch immer.

 

[oNyX`]

Meine Persönliche Meinung:
Ich würde keine Firewall als VW auf einem Server laufen lassen.
Muss man etwas am Server machen, stürzt ab und man muss recherchieren etc., dann hat man kein Internet.
Wie gesagt, ist meine Meinung und sieht jeder anders.

Hatte am Anfang die selbe Einstellung aber Cluster + HA regelt

Aber ohne Cluster/HA wuerd ich das auch nicht machen.

 

[sch4kal]

So, der RB5009 kommt Anfang September und kann vorgestellt werden, ansonsten ist auch der RB4011 immer eine gute Wahl.
Bei den DL20 hast du wenig Probleme mit Lautstärke, die sind super geregelt. Außer beim starten 😁 Vermutlich ist der Netgear lauter.

Wenn es aber primär nicht um Virtualisierung geht, dann würde ich zu einem Synology DS1621+ oder DS1821+ raten, wo auch einfache Virtualisierung und Docker möglich ist. Sollte die leiseste Möglichkeit sein. Natürlich neben einem Router, wie bspw. einem Mikrotik, FS, Netware oder was auch immer.

Ich hab über die Firma nachfragen lassen, Liefertermin im November.

 

[Beinfreiheit]

@sch4kal interessante Information, danke. Hatte bisher nur den voraussichtlichen Ankunftstermin bei omg (10.09) und eurodk (03.09) als Info.

 

[exelzur]

Sehr schade, meine geduld und lange liefertermine .

jetzt klamüser ich gerade mit mir, was es den wird.

Also Synology oder QNAP stehen "fest", hatte ganz vergessen das ich noch einen kleinen HP G8 am netzwerk hängen habe und die frage ist ob dieser "Upgrade" fähig für meine vorhaben ist. ( Stock Config, versuche gerade meine ILO IP rauszufinden XD)

// so ilo läuft zumindest wieder 😜

Synology ds1621+ mit 8gb RAM Erweiterung und ein Satz ironwolf 4tb sowie eine passende nvm sind auf den Weg.

 

[exelzur]

gibt es erfahrungen von Opnsense Hardware?

DEC3840 – OPNsense® Rack Security Appliance – OPNsense® Shop

shop.opnsense.com

wäre eine überlegung, einzige sorge ist das es 1HE ist und keine erfahrung zu finden ist ob es eine brüll mücke ist.

 

[Beinfreiheit]

Ok, damit sind wir in einer komplett anderen Liga und wir sollten nochmal Anforderungen durchgehen.
Der DEC3850 ist als Gerät sehr gut und kann als HA-System auch für größere Installationen genutzt werden. Meine letzte Begegnung mit Rack-Mountable Hardware von OPNSense hatte ich in einem Serverraum mit 12x 48 HE, einem Klimakonzept und Sauerstoffreduktion zur Brandvermeidung. Dort musste Gehörschutz getragen werden und ich kann überhaupt nichts zur Lautstärke sagen. Bei den meisten anderen Kunden hatten wir vorrangig mit der Cisco x5500er Serie gearbeitet.

Da es aber um Lautstärke geht und ich noch nichts zu der eigentlichen Anforderungen gelesen habe, würde ich von dem DEC3840 abraten, da eine 10g Internet-Leitung nicht vorhanden oder geplant ist. Darunter würde ich ein solches Gerät nicht empfehlen. Falls es dich doch interessiert und nur die Lautstärke das Problem ist, der DEC840 ist das gleiche Gerät, ohne 1HE, einzelne Stromversorgung und passiv gekühlt.
Für ein normales Büro mit <50 Mitarbeiter und einer normalen Internetleitung <= 250mBit reicht ein DEC670 vollkommen und ist bedeuten Leistungsstärker, als fast alles, was bswp. Mikrotik im Angebot hat.

 

[sch4kal]

Ok, damit sind wir in einer komplett anderen Liga und wir sollten nochmal Anforderungen durchgehen.
Der DEC3850 ist als Gerät sehr gut und kann als HA-System auch für größere Installationen genutzt werden. Meine letzte Begegnung mit Rack-Mountable Hardware von OPNSense hatte ich in einem Serverraum mit 12x 48 HE, einem Klimakonzept und Sauerstoffreduktion zur Brandvermeidung. Dort musste Gehörschutz getragen werden und ich kann überhaupt nichts zur Lautstärke sagen. Bei den meisten anderen Kunden hatten wir vorrangig mit der Cisco x5500er Serie gearbeitet.

Da es aber um Lautstärke geht und ich noch nichts zu der eigentlichen Anforderungen gelesen habe, würde ich von dem DEC3840 abraten, da eine 10g Internet-Leitung nicht vorhanden oder geplant ist. Darunter würde ich ein solches Gerät nicht empfehlen. Falls es dich doch interessiert und nur die Lautstärke das Problem ist, der DEC840 ist das gleiche Gerät, ohne 1HE, einzelne Stromversorgung und passiv gekühlt.
Für ein normales Büro mit <50 Mitarbeiter und einer normalen Internetleitung <= 250mBit reicht ein DEC670 vollkommen und ist bedeuten Leistungsstärker, als fast alles, was bswp. Mikrotik im Angebot hat.

Der DEC670 ist doch auch nur ein APU2C4, oder ? Also derselbe SoC ? Da hat MT Stärkeres im Angebot. Dafür reicht ja schon ein RB5009UG+S+IN für weniger als die Hälfte.

 

[Beinfreiheit]

@sch4kal Details zum Modell DEC670 du hast recht, es wird ein APU2C4 verwendet. Explizit ist es der AMD Embedded GX-416RA G-Series SOC (4x 1.65Ghz, L2 cache 2MB, 15W, No GPU).
Der DEC840/DEC3840 setzt hier auf doe AMD Epyc 3000er Serie.

Aber es gibt auch noch weitere Modelle vom gleichen Hersteller, die teilweise günstiger bei gleicher Hardware sind und ein größeres Spektrum abbilden.
Als Beispiel gibt es mit dem DeC2630 ein sehr ähnliches Model zu dem DEC670 mit SSD als 1HE Rackmount.

Für die Anforderungen stimme ich zu, deshalb hatte ich mich über den Vorschlag eines DEC3840 gewundert. Der RB5009 hat einen Marvell Armada Quad-core ARMv8 1.4 GHz und als DEC840-gegempart könnte der CCR2004 genannt werden.
Vorteil bei OPNSense wäre die Möglichkeit des Expotes zu unterschiedlichen Systemen oder auch einer nachträglichen Virtualisierung. Auch ist es relativ einfach, eine Hardware-Redundanz für die Systeme zu erstellen, aber meist ist der schwächste Punkt dann das Modem ...