[Kaufberatung] PfSense Open VPN Hardware für 500 MBit Leitung.

[Transient]

Hallo

Ich bin auf der Suche noch Hardware für eine PfSense Firewall (als Open VPN Router).
Mein Internet Anschluss hat aktuell 500/50 Mbit.

Meine Anforderungen an das System wären wie folgt:

Mindestens 250MBit via OpenVPN noch besser wären 500 MBit...
2 NICs. (evtl auch einfach Nachrüstbar via PCI/PCIE)
So stromsparend wie möglich.

Gerne wie gesagt Hardware Vorschläge für DIY, bin aber auch "fertigen" Systemen gegenübger nicht abgeneigt.
Mein Budget liegt hier ca bei 200-350€ Aber je "günstiger" ich hierfür wegkomme um so besser

Gruß

 

[Green7]

Netgate 1100 pfSense+ Security Gateway

The Netgate 1100 security gateway appliance with pfSense Plus software is the ideal microdevice for the home and small office network. With a compact form factor, low power draw, and silent operation it can run completely unnoticed on a desktop or wall. Featuring a Dual-core ARM Cortex-A53 1.2...

www.netgate.com

 

[MicroCane]

Alternativ wenn man IPS nutzen möchte: Zotac CI327 oder CI329

SG-1100 finde ich ungeeignet:

 

[Transient]

Danke, aber das IPSec Protokoll würde ich gerne vermeiden.
Vorab auch das neuere Wireguard Protokoll kommt für mich aus Sicherheitsgründen nicht in Frage da es hier klar ein paar drawbacks im vergleich zu OpenVPN hat.

Und der SG-1100 scheint nach etwas research nicht wirklich die Speeds bei OpenVPN erreichen zu können die ich suche?

 

[Gen8 Runner]

Was möchtest du überhaupt genau haben?
Einen VPN Anbieter nutzen und quasi allen Verkehr tunneln oder nur ab und an per VPN mit deinem Heimnetzwerk verbinden?
Sprich, Remotewartung, ab und zu Files kopieren etc.

PCEngines APU2 war sonst immer recht beliebt für PFSense oder QOTOM mit Intel waren sonst immer noch beliebt.
Würde bei den Wünschen aber definitiv auf AES-NI der CPU achten. 4GB sind ausreichend, 8GB top mehr als ausreichend.

Desweiteren, eventuell hast du ja schon gehört, dass PFSense derzeit in kräftiger Veränderung ist und ich -wenn es nicht absolut eilt- noch ein paar Wochen abwarten würde, ob zukünftig überhaupt noch diese Software-Plattform für dich in Frage kommt.

 

[Green7]

Die Netgate SGs gibt’s ja auch größer , ansonsten ich hab nen Dell R210II als Router laufen mit Opensense. Der hat mehr als genug power

 

[AliManali]

Hi

500 Mbit/s ist halt so eine Sache. Meine Zywall 110 wird mit 350Mbit/s VPN und 1.5 Gbit/s SPI Durchsatz angegeben. Die 1.5Gbit/s macht sie in der Praxis nur bei 2 UDP Streams. Jumboframes kann sie nicht. Sprich ich erreiche TCP auf einem Stream echt nicht mehr so viel; 200 Mbit/s, wenns hoch kommt. Mit 4 Streams komme ich auf 700/500 TCP, wenns gut läuft. Auch zwischen den internen Netzwerken/VLANs gehts nicht wirklich schneller. Und das Gerät wurde vor nicht allzulanger Zeit als ausserordentlich leistungsfähig bezüglich Preis beworben.

Also 500 Mbit/s OpenVPN ist halt schon sportlich. Mit snort/IDS und so einem Gedöhns brauchst Du dann noch mehr CPU Leistung.

Habe jetzt die 10Gbit/s Anbindung, und bin relativ ernüchtert, was da hinten noch raus kommt. Theoretisch reichts ja, aber ego will mehr. Und ich habe keine UTM Features aktiv, VPN mach ich auch erst dahinter. Btw. soll OpenVPN auch kein Effizienz Wunder sein. Hier kommen am Client gerade mal 15MB/s im TCP Download an, egal, wie viel Ressourcen ich OpenVPN und der Quelle zur Verfügung stelle.

2 NIC's sind recht wenig. Hast Du einen Switch dahinter? Selbst dann.

 

[p4n0]

>500Mbit openvpn capability schließt guenstig und stromsparend aus.
Du brauchst entweder: Enterprise HW mit ASICS fuer den verschluesselungskram, oder ne potente, aktuelle, hochtaktende CPU.

Sobald du noch weitere Dienste wie IPS und co. ankurbelst brauchst du zudem noch viele hochtaktende Kerne. Sonst wird die Moehre deine Erwartungen nicht erfuellen.

 

[Trambahner]

Ich werde Mitte des Jahr vmtl. in dieses (Luxus-)Problem (600/200 Mbit) laufen. Wäre ein Deskmini X300 mit 4650G/4750G geeignet? An einen der m.2 PCIe Slots würde ich dazu per Riser eine i350-T4 hängen.

 

[p4n0]

Sollte locker ausreichen

 

[Transient]

Was möchtest du überhaupt genau haben?

Ich möchte einen VPN Anbieter nutzen also meinen gesamten Traffic tunneln.

Desweiteren, eventuell hast du ja schon gehört, dass PFSense derzeit in kräftiger Veränderung ist und ich -wenn es nicht absolut eilt- noch ein paar Wochen abwarten würde, ob zukünftig überhaupt noch diese Software-Plattform für dich in Frage kommt.

Du meinst die Änderungen durch pfSense Plus?

>500Mbit openvpn capability schließt guenstig und stromsparend aus.
Du brauchst entweder: Enterprise HW mit ASICS fuer den verschluesselungskram, oder ne potente, aktuelle, hochtaktende CPU.

Was wäre dann hier angebracht an HW Anforderungen?

 

[Gen8 Runner]

Dann brauchst du in der Tat Hardware, die 500/50 handlen kann und die wird nicht so sonderlich sparsam sein, wenn sie wirklich nur mit OpenVPN laufen soll.
Irgendwas von Intel mit AES-NI wird es da schon werden müssen, wenn du volle Leistung möchtest. Desweiteren riecht es stark nach Kabelanschluss und dem Wunsch, sobald verfügbar, auf 1Gbit zu gehen?

Genau, pfSense Plus.

 

[Transient]

Dann brauchst du in der Tat Hardware, die 500/50 handlen kann und die wird nicht so sonderlich sparsam sein, wenn sie wirklich nur mit OpenVPN laufen soll.
Irgendwas von Intel mit AES-NI wird es da schon werden müssen, wenn du volle Leistung möchtest. Desweiteren riecht es stark nach Kabelanschluss und dem Wunsch, sobald verfügbar, auf 1Gbit zu gehen?

Genau Kabelanschluss, und ja 1 Gbit ist in der Zukunft evtl geplant sobald verfügbar.
Welche CPU wäre den hier in euren Augen tauglich?
Gut das es mich dann mehr Strom im Monat kostet damit muss ich dann wohl leben.

Dachte noch an den VILFO Router... aber für das Geld bekommt ich doch sicher eine evtl bessrere DIY Lösung hin?

 

[sch4kal]

OpenVPN ist performancetechnisch leider der größte Krüppel aus der VPN-Bande...darf man fragen, warum IPSec (immerhin Industriestandard, kann jedes Gerät, ist von den meisten Kryptoexperten als sicher, aber komplex bewertet worden,...) nicht in Frage kommt ? Da kann es dann auch sparsame Hardware sein.

 

[Transient]

Hab eben noch einen alten I5 650 inkl Board und 8 GB Ram beim ausmisten gefunden, dieser supportet wohl AES NI.
Und in 2 Monaten hätte ich ein Ryzen 1200 + Board und 8 GB Ram über...
In beiden Fällen müsste ich natürlich eine externe Netzwerkkarte besorgen um genug ports zu haben.

Was denkt Ihr, wäre davon was für dieses Vorhaben zu gebrauchen?

 

[p4n0]

Hab eben noch einen alten I5 650 inkl Board und 8 GB Ram beim ausmisten gefunden, dieser supportet wohl AES NI.
Was denkt Ihr, wäre dieser für mein Vorhaben zu gebrauchen?

Wird ne Gurke fuer OpenVPN. Ich tippe auf ~200mbit.
(Je nach verwendeter Verschluesselung..)

 

[Transient]

Wird ne Gurke fuer OpenVPN. Ich tippe auf ~200mbit.
(Je nach verwendeter Verschluesselung..)

Hab meinen Post nochmal angepasst ein Ryzen wäre auch bald noch frei
Wenn dieser auch nicht ausreicht hat jemand hier eine CPU Empfehlung?

 

[Gen8 Runner]

Wenn der Ryzen dir nicht zu viel Strom frisst, wirst du damit glücklich werden (weiß nicht, wie die im IDLE sind).
Der wird mit ziemlicher Sicherheit genug Bumms haben, um das Gigabit zu stemmen (sofern dann da auch dein VPN Anbieter mitspielt).

Da die Hardware aber sowieso herumfliegt:
1. Mit dem alten Intel ausprobieren
2. Sobald der Ryzen frei ist, gegeneinander den Vergleich anstellen (Leistung, Verbrauch) und die Entscheidung treffen

 

[Transient]

Wenn der Ryzen dir nicht zu viel Strom frisst, wirst du damit glücklich werden (weiß nicht, wie die im IDLE sind).

35-40 Watt (Headless) inkl einer SSD und den 8 GB Ram.

 

[Gen8 Runner]

35-40 Watt (Headless) inkl einer SSD und den 8 GB Ram.

Ah okay, das ja nicht so wenig.
Hast du keinen Server herumstehen, wo du PFSense virtualisiert laufen lassen kannst, da dieser eh 24/7 läuft?

 

[Transient]

Ah okay, das ja nicht so wenig.
Hast du keinen Server herumstehen, wo du PFSense virtualisiert laufen lassen kannst, da dieser eh 24/7 läuft?

Ja wären im Monat halt gut 7€
Leider nein alle meine Server werden wenn Sie nicht gebraucht werden runtergefahren bzw einige sind so eingerichtet das Sie nur für bestimmte Tasks starten und wenn dieser erledigt sind wieder runterfahren..

 

[Gen8 Runner]

Ja wären im Monat halt gut 7€
Leider nein alle meine Server werden wenn Sie nicht gebraucht werden runtergefahren bzw einige sind so eingerichtet das Sie nur für bestimmte Tasks starten und wenn dieser erledigt sind wieder runterfahren..

Und durchkalkuliert, wieviel es kosten würde, wenn du einen deiner Hauptserver durchlaufen und darauf PFSense virtualisiert laufen lassen würdest?

Nur als Denkanstoß. Eventuell kommt dabei ja auch heraus, dass du zwei Fliegen mit einer Klappe schlagen könntest (dauerhafte Verfügbarkeit der anderen Dienste zu "Betriebskosten" der PFSense.
Ich hatte hier auch erst zwei Server rumstehen und nun alles auf einen Server geschmissen und nun läuft alles virtualisiert...War das beste, was ich machen konnte. Wenn es mal einen Hardwareausfall gibt? Nicht tragisch, nutze das alles nicht für berufliche Zwecke und dann gibt's eben mal ne Downtime von drei Tagen im schlechtesten Fall und Internet läuft ohne VPN in der Zeit.