pfSense Hardware-Empfehlung

[thomas-hn]

Hallo,

ich möchte in Zukunft pfSense als Router/Firewall einsetzen und hierzu eine leistungsfähige, aber dennoch stromsparende, Hardware einsetzen.

Meine aktuellen Anforderungen:

• Betrieb von pfSense (oder OPNsense)
• das Gehäuse soll ein Server-Gehäuse für ein 19-Zoll-Rack sein
• aktueller Internetanschluss 100/40 MBit/s, aber mit Auslegung auf zukünftiges GBit FTTH
• ich möchte mir die Möglichkeit für Snort/Suricata offenhalten
• es soll ein DNS-Filter laufen
• es soll HAproxy laufen
• max. ca. 6-8 gleichzeitige VPN-Verbindungen mit IPsec/OpenVPN (IPsec hautpsächlich für Windows-Notebooks, OpenVPN hauptsächlich um sich via HTTPS um gewisse Einschränkungen in Netzen zu mogeln)
• Unterstützung von AES-NI
• IPMI
• Das System sollte genug Leistung haben, dass es für mindestens die nächsten 10 Jahre im Einsatz bleiben kann.

Zur Hardware die ich bisher im Blick habe:

• SuperMicro A2SDi-4C-HLN4F
  • CPU: Intel Atom C3558, 4 Cores
  • 4x GBit-LAN, Intel C3000 SoC
• Gehäuse SuperChassis 505-203B
• 8 GB RAM ECC
• SSD: Samsung EVO

Meine Fragen:

• Wie sicher sind die SuperMicro-Boards? Im Jahr 2018 wurden auf den SuperMicro-Boards ja chinesische Spionage-Chips entdeckt.
• Habt ihr Bedenken bzgl. Kompatibilität mit pfSense? Gibt es bekannte Probleme mit dieser Hardware?
• Würdet ihr andere Komponenten bevorzugen?
• Es gibt pfSense-Appliances ja auch mit i3, i5, Celeron oder Xeon CPUs.
  • Würden die gegenüber meinem "Intel Atom C3558, 4 Cores" bzgl. Leistung einen großen Vorteil bieten?
  • Wie sieht es dann aber mit dem Stromverbrauch aus (Der Intel Atom C3558 hat TDP 16W)?
  • Bekommen wir mit einer anderen CPU mehr Leistung bei gleichem oder nur minimal höherem Stromverbrauch?
• Habt ihr Erfahrungen bzgl. der Leistung meines vorgeschlagenen Systems gegenüber den sonst oft verwendeten pfSense-Hardware-Plattformen, wie:
  • APU 2E4/4D4 (da liege ich wahrscheinlich deutlich darüber)
  • IPU662 mit i5-6200U (Skylake Dual Core (4 Threads) 2.3 GHz, Turbo Boost bis zu 2.8 GHz, 15W TDP)
  • Celeron J3160 (4 Cores, 1.6GHz)
  • i5, Celeron, Xeon
• Wie sind die Netzwerk-Controller (Intel C3000 SoC) des genannten Boards einzustufen? Besser/schlechter/vergleichbar wie z.B. ein Intel i210/i211?

Vielen Dank im Voraus,

Thomas

 

[Man-in-Black]

Wie ist denn so deine Preisvorstellung?

bei Netgate gibt es auch fertige Appliances zum kaufen: https://www.netgate.com/products/appliances/
Oder noch ein anderer Shop: https://www.voleatech.de/de/pfsense/

Wenn das aber nichts ist (fertige Appliances), dann ist eben das Budget entscheidend was es am Ende wird.

 

[thomas-hn]

Das mit dem Preis ist ein guter Punkt, den hatte ich im Post doch glatt vergessen. Wenn wir irgendwo mit 400-500 EUR hinkommen wäre toll. Sonst bin ich da je nach Begründung etwas flexibel.

 

[Man-in-Black]

ok und die fertigen Produkte kommen nicht in Frage oder?

 

[thomas-hn]

Soweit ich weiß, ist da nichts in dem genannten Preisrahmen dabei was als 19"-Einschub verfügbar ist. Korrigiere mich, wenn ich falsch liege.

 

[Man-in-Black]

Soweit ich weiß, ist da nichts in dem genannten Preisrahmen dabei was als 19"-Einschub verfügbar ist. Korrigiere mich, wenn ich falsch liege.

Das ist richtig, aber es gäbe auch die Möglichkeit einen Einlegeboden rein zu packen.

Aber wenn es zwingend 19'' sein soll:

https://www.apu-board.de/

Hier gibt es alle möglichen APU-Boards inkl. 19'' Gehäusen, und das zum brauchbaren Preis.

 

[thomas-hn]

https://www.apu-board.de/

Hier gibt es alle möglichen APU-Boards inkl. 19'' Gehäusen, und das zum brauchbaren Preis.

Soweit ich bisher gelesen habe, sind die APUs ja aber eher etwas schwach auf der Brust bzgl. VPN-Verbindungen und der Möglichkeit zu Snort/Suricata. Der selbe Anbieter hat ja auch die IPU-Serie im Angebot, welche mit i3/i5/i7 angeboten werden und daher leistungsmäßig eher geeignet sind.

Könnt Ihr zu dem von mir genannten Board und der CPU etwas sagen? Erfahrungen?

 

[drcooper]

Moin,

Zur Hardware die ich bisher im Blick habe:

• SuperMicro A2SDi-4C-HLN4F
  • CPU: Intel Atom C3558, 4 Cores
  • 4x GBit-LAN, Intel C3000 SoC
• Gehäuse SuperChassis 505-203B
• 8 GB RAM ECC
• SSD: Samsung EVO

Das Board mit dem Gehäuse habe ich seit Januar '19 unter pfSense laufen, mit vergleichbarem Anforderungsprofil. Läuft bisher störungsfrei, ich nutze allerdings kein ECC-RAM und eine M.2-SSD aus dem Desktop-Bereich.

• Wie sicher sind die SuperMicro-Boards? Im Jahr 2018 wurden auf den SuperMicro-Boards ja chinesische Spionage-Chips entdeckt.

Das ist kein Supermicro-spezifisches Problem, das könnte bei jedem Boardhersteller passieren, der in Fernost fertigt. Zumal es dafür letztendlich keinen konkreten Beweis gab, soweit ich das mitbekommen habe. Für mich nicht relevant bei der Kaufentscheidung.

• Habt ihr Bedenken bzgl. Kompatibilität mit pfSense? Gibt es bekannte Probleme mit dieser Hardware?

Mir ist nichts dergleichen bekannt, ebenso kann ich von keinen Kompatibilitätsproblemen berichten. Die SG-5100 Appliance von Netgate nutzt auch den C3558 mit 8 GB RAM, vgl. https://www.netgate.com/solutions/pfsense/sg-5100.html.

• Würdet ihr andere Komponenten bevorzugen?

Heute würde ich mich wohl für das X10SDV-2C-TP8F entscheiden, das hat 4x I350, 2x I210 und 2x SFP+ SoC. 10 Gigabit war damals für mich noch kein Thema, hat aber inzwischen schon seinen Reiz bei physisch getrennten Netzen.

• Wie sieht es dann aber mit dem Stromverbrauch aus (Der Intel Atom C3558 hat TDP 16W)?

Die Netgate SG-5100 Appliance soll lt. Specs 7 W im Idle ziehen, wohl gemerkt passiv belüftet und ohne BMC. Mein Setup mit dem originalen Netzteil aus dem CSE-505-203B und 2x 40x25 Lüftern zieht im Idle ca. 25 W. Mit besseren Lüftern und kleinerem Netzteil (z. B. PicoPSU) dürfte man da noch etwas optimieren können. Bedenke, dass der BMC dauerhaft rund 6-8 W am Gesamtverbrauch des Systems ausmacht (Werte sind Eigenmessungen, keien Ahnung, wie genau mein Brennenstuhl-Messgerät ist).

 

[Green7]

Nimm doch nen Dell R210II (mit nem Xeon E3 1220) den gibts mit 8 GB und iDRAC 6 für ca 150€ bei eBay
Stromverbrauch liegt bei mir im Normalen betrieb bei ca 20-25watt

 

[fdiskc2000]

Nimm doch nen Dell R210II (mit nem Xeon E3 1220) den gibts mit 8 GB und iDRAC 6 für ca 150€ bei eBay
Stromverbrauch liegt bei mir im Normalen betrieb bei ca 20-25watt

Dito. Finde ich nach wie vor gut. Nic zusätzlich rein und gut.

 

[Man-in-Black]

Könnt Ihr zu dem von mir genannten Board und der CPU etwas sagen? Erfahrungen?

Bei meinem alten Arbeitgeber waren die 3C4 Modelle als Hauptrouter und Hauptfirewall im Einsatz an 2 Gigabit Symmetrischen Internetanschlüssen.
Das hat problemlos funktioniert, auch mit ca. 60 VPN Tunneln drauf.

 

[Ceiber3]

Nimm doch nen Dell R210II (mit nem Xeon E3 1220) den gibts mit 8 GB und iDRAC 6 für ca 150€ bei eBay
Stromverbrauch liegt bei mir im Normalen betrieb bei ca 20-25watt

Brauch der nicht gut Strom ? Sicher das der nur 25 Watt brauch ?

 

[Green7]

Brauch der nicht gut Strom ?

Hatte mich auch gewundert. Aber da ist ja nen 250Watt 80+ Silver NT Verbaut. Ich habe den gesamt verbrauch von meinem 19" Rack (2 19"Switches , 1 Server 450Watt 80+, 1 Drucker)
Vorher 125 Watt gesamt und bin nun bei 150 , muss dazu sagen ich habe noch nen 8 Port POE Switch Nachgerüstet weil ich probleme mit igmpv3 hatte und mein ganzes "Telekom" Netzwerk Outsourchen musste

 

[hominidae]

...alternativ sowas (gibt es bei Aliexpress auch günstiger, aber hier direkt in DE): https://www.ipu-system.de/
Habe das IPU662 mit opnsense (in einer VM, 4 NICs durchgereicht) im Einsatz....für eine pure Firewall 8GB und eine kleine NVMe rein und fertich.
Zum VPN Durchsatz kann ich nix sagen, da nicht gemessen. Einen verschlüsselten GRE Tunnel konnte ich mit 32MBit auslasten (mehr gab der DSL einer Seite nicht her) und CPU-Load war 25%

 

[Ceiber3]

Warum als VM auf dem IPU662 und nicht nativ ? Gibt es dafür ein bestimmten Grund ?
Edit: Also ich habe bei mir mal schnell auf dem Fujitsu Esprimo e500 e85+ OPNsense installiert.
Ich komme auf rund 34 bis 37 Watt im Idle wenn die Firewall nichts zu tun hat. Verbaut ist da ein I5 2400 und 8 GB DDR3 Ram + eine weitere Netzwerkkarte.

 

[sch4kal]

Das ist richtig, aber es gäbe auch die Möglichkeit einen Einlegeboden rein zu packen.

Aber wenn es zwingend 19'' sein soll:

https://www.apu-board.de/

Hier gibt es alle möglichen APU-Boards inkl. 19'' Gehäusen, und das zum brauchbaren Preis.

Die APUs schaffen keinen Gigabit-Durchsatz, nicht mit all den ganzen Sonderfeatures die der TE haben möchte.

Hier mal mein nächster Kandidat: https://geizhals.de/?cat=WL-1596055

 

[hominidae]

Warum als VM auf dem IPU662 und nicht nativ ? Gibt es dafür ein bestimmten Grund ?

Weil es ein kleines NAS/Homeserver in der FeWo ist...läuft unRAID drauf, weil so schön einfach.
Wollte eigentlich einen Mikrotik CHR nehmen (der braucht nicht so viel Ressourcen), aber der läuft mit den Intel NICs in dem IPU noch nicht stabil (nur die routeros v7beta hat die Treiber).
Ich nutze zerotier für den Zugang zum Heimnetz - Verbindung zwischen Heimbasis+FeWo über einen IPSEC-GRE-Tunnel

 

[Uhrzeit]

Nimm doch nen Dell R210II (mit nem Xeon E3 1220) den gibts mit 8 GB und iDRAC 6 für ca 150€ bei eBay
Stromverbrauch liegt bei mir im Normalen betrieb bei ca 20-25watt

Ich hoffe hier war der 1220L gemeint.
Sowas war bei mir aktuell auch ein Thema. Erste Erkenntnis: R210II fallen nicht wirklich im Preis. Also, nicht mehr, seit 2019 oder so. Zweite: Sinn bei sowas machen nur die "L" Xeons.

Schnell zu dem Schluss gekommen, meine Dreammachine dafür wäre wohl ein R220. Ein Träumchen weiter: mit einem E3-1240L v3.
Neue erste Erkenntnnis anschliessend: R220 kaum zu bekommen und schweineteuer (oder ich hatte damals kein Glück beim Suchen). Neue zweite Erkenntnis: Die EU kennt die CPU nicht

Dachte, naja, vielleicht was neueres dann (Dell). Und falls sich was anbietet auch mal gucken ob die *sense damit überhaupt zurecht kommt.
Dann fiel mir auch ein was das Prob dieses Segments (in gebraucht) ist. Nach dem R220 gabs bei Dell keine... 1:1 äquivalente Maschinen mehr. Am Ende ist dann mit sehr viel Glück doch ein "voller" R210II mit einem 1265L v2 geworden.

Das mit dem 1240L v3 und dem R220 wäre wohl zu schön gewesen

 

[AliManali]

Das mit den Spionagechips auf SM Boards war übrigens eine Hoax.

Ich trau da eher den "Chinesen" als den Amis in dem Bereich. Siehe Cisco Obwohl SM auch amerikanisch ist.