[Kaufberatung] Network Security Appliance

[Tandaril]

Moin zusammen,

ich würde gerne eure Expertise im Hardwarebereich in Anspruch nehmen und hoffe es findet sich jemand der Unterstützen kann.


Ziel:

- Schaffen einer neuen Network Security Appliance (für Privat)


Anforderungen:

- min. 4 NICS des Herstellers Intel
- Intel CPU
- über 2 GHz pro Core
- AES-NI Unterstützung der CPU
- 8 GB RAM
- 19“ Gehäuse
- So stromsparend wie mit den Anforderungen möglich unter Berücksichtigung eines stabilen Betriebes


Vorhandene Hardware:

- 60GB Intel SSD (diese kann auch gerne ersetzt werden wenn ihr gute Tipps habt)


Nichtziele:

- Auswahl des OS oder Software


Die Intel Celeron sind mir hier bereits aufgefallen und ich habe den Eindruck das diese CPU Serie gut passen würde.

- Celeron G3930
- Celeron G3950

Dies sind jetzt nur Beispiele und keinesfalls in Stein gemeißelt. Hier würde ich gerne eure Meinungen zu lesen.


Letztlich geht es hier dann tatsächlich um Unterstützung zu einem kompletten System:

- CPU
- Mainboard
- RAM
- Gehäuse
- Netzteil
- usw.

Gerne auch Empfehlungen zu guten 19“ Gehäusen und vor allem die Frage ob man das sauber in einem 1HE Gehäuse unter bekommt, vor allem wegen dem CPU Lüfter.

Gerne würde ich auch eure Meinungen zu einem Netzteil hören, da hier eh etwas neues angeschafft werden muss. Meine Vorstellung würde hier auch in Richtung Pico PSU gehen. Könnte Ihr mir eins empfehlen, sowie auch ein dazu passendes gutes Netzteil?

Bei dem Mainboard ist es nicht zwingend Voraussetzung, das hier bereits mehrere NICs direkt auf dem Board sind. Eine Dual Port oder Quad Port NIC ist auch kein Problem.


Budget:

- kein festes Budget
- Kosten sollen im Verhältnis zur Leistung / Umfang stehen
- Kosten sollten unterhalb eines Preises für fertige Appliances liegen

In dem Bereich bin ich gerne bereit ein paar Taler mehr auszugeben wenn es Sinn macht.

Wenn Ihr gute fertige 19“ Systeme kennt, wo man als Privat Person kaufen kann, ist auch das eine Option.

Sollten Informationen fehlen gebt gerne Bescheid.

Ich bedanke mich schon einmal im voraus für eure Unterstützung.


V/R
tandaril

 

[besterino]

Nachfrage wegen „privat“-Einsatz: Lautstärke egal?

 

[Tandaril]

Das System soll nicht direkt im Wohnzimmer betrieben werden.

Es wird in einem Rack betrieben in dem sich auch ein HP Proliant ML310 v2 G8 befindet.

Das System sollte also nicht unbedingt viel lauter sein.

Von daher ist die Lautsärke nicht egal, sondern sollte eher etwas angenehmer sein.

 

[VirtuGuy]

HP DL20 + Quadport Netzwerkkarte

 

[Tandaril]

Der HP könnte evtl. eine Option sein.
Wobei mir hier etwas viel Overhead dabei wäre ILO usw.

Und so wirklich Stromsparend wird der wohl nicht sein.

Aber vielen Dank schon mal dafür ich schaue mir den nochmal genauer an.

V/R
tandaril

 

[p4n0]

Heyho,

was soll das Ding denn machen? IPS/Proxy/Filter/DPI etc? Welche Bandbreiten muessen abgearbeitet werden?
Unter umständen wirds da mit nem Celeron sehr schnell eng ^^

 

[Opticum]

Hab das Teil hier seit 3 Monaten im Einsatz und bin TOP zufrieden:
Aliexpress.com : Buy QOTOM Q355G4 2017 New fanless X86 4 LAN Micro Computer I5 5200U Dual core onboard.support AES NI.1080P HD Video from Reliable micro computer suppliers on qotom Official Store

IPS macht er um die 200Mbit/s Durchsatz pro Kern, VPN ohne AES-NI ebenso.

 

[p4n0]

Sowas in die Richtung kann gut funktionieren, stimmt.
Generell ist fuer IPS bei Software Appliances ne hohe IPC mit moeglichst hohem Takt notwendig.

 

[Tandaril]

Moin,

korrekt das ist der Grund warum die CPU Leistung auch so "hoch" sein soll.

Das System soll folgendes leisten:

- IPS mit rund 2GBit/s
- Proxy (mit AV)
- VPN
- PF

Generell sollte der Celeron das packen, viele Hersteller verwenden einen Celeron in Ihren Appliances.

Die Appliance sieht auch interessant aus, was verbraucht die an Strom?


V/R
tandaril

 

[p4n0]

2GBit/s IPS auf normaler x86 Hardware ohne ASIC unterstzetung auf nem Celeron?
Keine chance.

Die Hersteller fertiger Appliances basteln noch spezielle Chips auf das Board, welche wirklich fix ihre Aufgaben erledigen können.
Dabei lastet nicht alles auf der normalen CPU, darum funktioniert das auf der Herstellerhardware auch so flott.

Bei Selbstbau klappt das jedoch nicht, darum brauchst du viel CPU Leistung wenn du inspecten willst.

 

[danielmayer]

Das ist wirklich eine Ansage. Aus meiner Erinnerung ist der Höchstdurchsatz mit Celeron bisher irgendwo bei 100Mbit "bestätigt" worden, dann durfte aber auch kein VPN ernsthaft Traffic verlangen.
Als Empfehlung gilt das sicher nicht, aber evtl. packt das ein neuer C3000-Atom mit Quick-Assist, z.B. octa-core c3758? Der ist auf 25W spezifiziert. Ausprobieren & berichten
Edit: Und wenns knapp daneben ist, gibt es die Atoms auch bis 16 Cores...

 

[MicroCane]

http://www.shc.eu/wp-content/uploads/2014/11/sophos-sg-series-sizing-guide.pdf

Hier mal ne ganze grobe Übersicht welche CPUs in den Sophos Modellen (Allerdings Rev. 1) stecken und welchen IPS-Durchsatz diese jeweils bieten.

 

[Opticum]

MicroCane: Der Sizing Guide enthält lauter Laborwerte. Im Realbetrieb erreicht man die Werte kaum. Das ganze ist nur als ganz grobe Richtung zu sehen, am besten die Werte mit 50% ansetzen um halbwegs realistisch zu sein.
Hier findet man noch den Sizing Guide für die 9.3 mit der neuen SG Hardware

EDIT: selbst 50% sind z.T. schwer zu erreichen. Alles mit vorsichtig genießen.

 

[MicroCane]

Ok, ich muss zugeben, ich hab den "Realwerten" die dort genannt werden vertraut. Da sieht man aber auch, dass selbst ein E3 Quadcore mit 3,3Ghz nicht ausreichen wird.

 

[Tandaril]

Moin,

ersteinmal vielen Dank für eure Antworten.

Die 2 GBit/s sollen nicht in Verbindung mit AV oder sonstigen UTM Diensten erreicht werden. Hier geht es dann um reines IPS.

Es ist klar das die Angaben Laborwerte sind, jedoch dienen diese schon als Richtwert.

Eine Sophos SG 210 z.B. schafft ca. 2GBit/s im IPS und ist mit einem Celeron ausgestattet.

In diesen Boxen sind keine Crypto oder Beschleuniger Karten verbaut. Hier handelt es sich um simple X86 Hardware.

Daher habe ich das auch als Richtwert genommen. Den genannten Atom schaue ich mir auf jeden Fall mal an.

Kann mir denn jemand alternativ ein gutes Board für z.B. eine Celeron CPU empfehlen oder einen Tip geben welcher Chipsatz zu empfehlen ist?

Danke euch schon mal.


V/R
tandaril

 

[p4n0]

Keine Ahnung was in der Sophos SG210 verbaut ist...
Meine selbstbau-Sophos (16GB Ram, I3-6100 2c/4t 3,7Ghz) kommt bereits bei ner 16Mbit Leitung an 10%CPU Load.

Daher steckt in der HW Appliance entweder ASIC Kram an Board oder die 2Gbit/s sind schlichtweg falsch.

Das sind meine Erfahrungen :>

 

[Fr3@k]

In einer SG210 Rev. 3 ist ein Intel Celeron Dual Core G3900, 8GB DDR4 und eine 120GB SSD verbaut.

 

[Opticum]

2 Gbit/s IPS mit einem Celeron ist völlig abwegig. Sorry.

 

[Tandaril]

Moin,

~snip~
Meine selbstbau-Sophos (16GB Ram, I3-6100 2c/4t 3,7Ghz) kommt bereits bei ner 16Mbit Leitung an 10%CPU Load.
~snip~

Du sprichst hier von deiner WAN Schnittstelle korrekt? Ich würde jetzt pauschal davon ausgehen das du hier mehr als nur IPS fährst (Proxy, AV usw) korrekt? Gesetzt dem Fall meine Annahme ist korrekt, werden hier zwei völlig unterschiedliche Dinge verglichen. Mir geht es um reinen IPS Durchsatz.

Zurück zu der Hardware, ich habe mich jetzt nochmal ein wenig umgeschaut und folgende Hardware scheint mir geeignet:

- ASUS P10S-I
- Intel Celeron G3930
- Kingston ValueRAM DIMM 8GB, DDR4-2400, CL17-17-17 (KVR24N17D8/8)
- Intel Gigabit ET, 2x 1000Base-T, PCIe x4
- Supermicro SuperChassis 512L-200B
- PicoPSU-90
- LEICKE Power Supply 60W

Habt Ihr Verbesserungsvorschläge oder Hinweise?
Über ein Feedback hierzu würde ich mich freuen.


V/R
tandaril

 

[p4n0]

Jap, ich nutze folgende Dienste auf der UTM:
- NAT
- Forwarding
- Firewall
- IPS

Jedoch generiert der kram != IPS quasi keine Load.
Sobald man IPS ankurbelt wird das System belastet... Und bei mir laufen gerademal 1500 von moeglichen 30k ++ IPS Pattern.

Ich bitte dich dann um Durchsatzmessungen, wenn deine Moehre steht..

 

[Fr3@k]

Meine UTM läuft virtuell unter VMware( 4 CPUs, 3GB RAM) CPU ist ein Xeon E3-1265L V2.
Mit aktiviertem aber angepasstem IPS hat die CPU in der Firewall eine Auslastung von etwa 18% bei Download einer Datei mit Fullspeed über meine 150Mbit Leitung.

 

[Tandaril]

Moin,

klar sobald das Ding steht kann ich gerne Werte liefern.

Was sagt Ihr zu den Komponenten, passt das alles soweit?

Passt die Netzteil Konstelation zusammen? Passt das ganze Zeug zusammen mit dem Kühler in das Gehäuse? Hat da evtl. jemand Erfharungen?


V/R
tandaril