[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[asche77]

Linux wird meist 2-4W niedriger liegen als BSD (s. auch 0815 User). Die Werte von Onyx sind daher kein direkter Maßstab für eine *sense, sondern allenfalls für eine OpenWRT/ipfire Installation.

 

[oNyX`]

Das mit dem Verbrauch stimmt, mit *sense sinds 6.4W (@i-B4se N5105/Crucial 1x16GB DR 3200@2933MHz/Samsung PM991A/4x i225-v3) pro aktiver Link ca. +0.4W dazu.

Video selbe HW nur mit Debian 11:
---------------------------------------------------------------
Intel N5105 Crucial
1x 16GB DR 3200MHz@2933MHz
Samsung PM991A 256GB
1x HDMI, 1xDP, 2x USB2.0, 2x USB3.0, 1x Sim Slot
1x NVME PCIe3.0 x2/1x Sata/1x mPCIe
4x Intel I225-v3
1x RJ45 Console
Mean Well GSM36E12-P1J (12V/36W)
---------------------------------------------------------------

Datenschutzhinweis für Youtube

An dieser Stelle möchten wir Ihnen ein Youtube-Video zeigen. Ihre Daten zu schützen, liegt uns aber am Herzen: Youtube setzt durch das Einbinden und Abspielen Cookies auf ihrem Rechner, mit welchen sie eventuell getracked werden können. Wenn Sie dies zulassen möchten, klicken Sie einfach auf den Play-Button. Das Video wird anschließend geladen und danach abgespielt.

Youtube Videos ab jetzt direkt anzeigen

Video anzeigen

Edit Box2: N5105/Crucial 2x16GB DR 3200@2933MHz/SN530/4xi225-v3

 

[0 8 15 User]

@asche77, @oNyX`, wobei man das Problem des nicht Erreichens höherer C-States durchaus umschiffen kann, indem man pfSense (FreeBSD) bzw. OPNsense (FreeBSD) mit Proxmox (Linux) virtualisiert.

 

[Dale Nixon]

@oNyX`
Der Rechner sieht mit < 5 Watt sehr interessant aus, wo kann ich den kaufen? Ich bin gerade auf der Suche nach genau sowas!
Bei Aliexpress sind die Versandzeiten leider sehr hoch (teilweise September und später), und anscheinend muss man das richtige Gerät treffen - bei servethehome.com haben sie diese Topton Jasper Lake Router getestet, und hatten wohl mehr als 10 Watt Stromverbrauch im Idle. Die ca. 5 Watt wären mir schon sehr wichtig.

 

[oNyX`]

@Dale Nixon sind aliexpress Boxen, einmal Topton Store einmal Wooyi Store, Topton hatte ~Sep als Lieferdatum angegeben, kam nach 9 Tagen, die andere nach 11.

Das mit dem Verbrauch lag an deaktivierten Cstates und scheiss NTs (die mitgelieferten sind Elektroschrott)

 

[0 8 15 User]

Meine Werte von oben sind mit dem mitgelieferten Netzteil (DAJING ADP-36C2) entstanden.

 

[oNyX`]

@0 8 15 User Mean Well ist empfehlenswert falls es dir nen 20er wert ist (sind die effizientesten)

MEAN WELL GST60A12-P1J oder GSM36E12-P1J

Brauchst halt nen 5.5/2.1 auf 5.5/2.5 Adapter.

 

[0 8 15 User]

So ein Teil hatte ich sogar schon mal im Warenkorb liegen, aber mir dann gedacht, bei dem bisschen, was das einspart, lohnt es sich einfach nicht - wobei meine Sorge sowieso eher der Brandgefahr des Billigteils galt.

Brauchst halt nen 5.5/2.1 auf 5.5/2.5 Adapter.

Wirklich? Ich dachte eigentlich, das ADP-36C2 hätte auch einen 5,5 / 2,1 mm Hohlstecker.

GST60A12

Ich glaub ich hatte mir damals das GST40A12 ausgeguckt.

 

[oNyX`]

Also meine beiden Boxen haben definitiv 5.5/2.5 Anschlüsse. Hab mir extra nen Pack Adapter bestellen muessen. Hauptgrund war auch das Vertrauen in die China PS + 24/7 und Brandgefahr.

 

[0 8 15 User]

Kann mir mal bitte jemand erklären warum Post #1 gelöscht wurde?

 

[maxpowers]

bob dig scheint es nicht mehr zu geben im Luxx, deshalb ist vielleicht auch sein Post weg

 

[i-B4se]

Oh..
Ist was vorgefallen?

 

[27k1]

@asche77, @oNyX`, wobei man das Problem des nicht Erreichens höherer C-States durchaus umschiffen kann, indem man pfSense (FreeBSD) bzw. OPNsense (FreeBSD) mit Proxmox (Linux) virtualisiert.

Funktioniert das wirklich? Praxiserfahrung oder glaubst du nur, dass das dann so sein wird? Sofern ja, eine VM mit *sense exklusiv (oder weitere VMs) auf Proxmox?
Mit Proxmox habe ich keine Erfahrung. Kenne es allgemein aber eher so, dass Stromverbrauch mit VMs nicht gerade besser wird.

 

[0 8 15 User]

@27k1, ja, meine obigen Messwerte für Linux sind mit pfSense auf Proxmox entstanden.

Sofern ja, eine VM mit *sense exklusiv (oder weitere VMs) auf Proxmox?

Ja, einfach nur pfSense auf Proxmox. Keine weiteren VMs oder Container.

Kenne es allgemein aber eher so, dass Stromverbrauch mit VMs nicht gerade besser wird.

Ich will nicht ausschließen, dass der Stromverbrauch noch ein bisschen niedriger gewesen wäre, wenn ich die VM angehalten hätte, aber im Leerlauf sollte der Unterschied minimal sein.

 

[27k1]

Soo, just in dem Moment ist auch mein Glasfaseranschluss (500 Mbit down, 100 Mbit Upload) geschaltet worden. Ich betreibe meine OPNSense auf einer Sophos XG 105 (Intel Atom E3930).
PPPoE und Trafficshaping gehen bis so ca 480 MBit, könnte mir aber auch vorstellen dass da mehr geht.

OPNsense und PFsense sollen gegenüber Linux-Lösungen in manchen Situationen deutlich langsamer sein. Oft wird geschrieben, dass man das erst bei 1000Mbit oder so merken wird. Bei solchen Aussagen werden aber i.d.R. Zusatzdienste wie IPS nicht berücksichtigt bzw. davon ausgegangen, dass man die nicht nutzt.
Ich habe mir zu dem Thema *sense und Perfomance leider keine Bookmarks gesetzt aber schon einige male von heftigen Einbrüchen im Durchsatz von bis zu 50% gelesen gegenüber Linux-Lösungen bzw. den Usern sind die Augen aufgegangen, als die auf der Sense-Hardware mal eine Linux-Lösung wie OpenWrtoder IPFire installiert haben.
Es heißt immer, dass es daran liegen soll, dass unter BSD noch nicht alles auf multithreading ausgelegt ist. Aber was genau? PPPoE habe ich schon identifiziert, dass das bremst (sofern man es nutzt, siehe unten). Sonst noch etwas?

@27k1, ja, meine obigen Messwerte für Linux sind mit pfSense auf Proxmox entstanden.

Ja, einfach nur pfSense auf Proxmox. Keine weiteren VMs oder Container.

Ich will nicht ausschließen, dass der Stromverbrauch noch ein bisschen niedriger gewesen wäre, wenn ich die VM angehalten hätte, aber im Leerlauf sollte der Unterschied minimal sein.

Ok
Du könntest ggf. auch überlegen OpenWrt in einer VM vor der *Sense laufen zu lassen, falls du Einwahl per PPPoE machst. PPPoE scheint bei Sense eine der größten bzw. die größte Bremse zu sein. OpenWrt macht dann nur die Einwahl und sonst nichts; das soll sich je nach Hardware und Szenario teilweise deutlich merkbar auf die Performance auswirken (und wenn man sucht, findet man in einigen Foren auch User, die das so machen).

Beispiel:
"Might I ask why you are using an OpenWRT device in front of Opnsense?"

"Yes of course. The PPPoE only gives me 250MB/s from the ONT. If I put my ISP box or my Openwrt router into the ONT then I get full 500MB/s out of the OPNsense interface."

IPv6 BT Openreach FTTP, OpenWRT and OPNsense - SOLVED

IPv6 BT Openreach FTTP, OpenWRT and OPNsense - SOLVED

forum.opnsense.org

@oNyX`:​

Coreboot gibt es nicht für die Kiste? Bei Protectli, die CoreBoot anbieten, scheint es noch nichts baugleiches zu geben.

 

[0 8 15 User]

@27k1, ich hab mich damals relativ schnell von der ursprünglichen Überlegung, pfSense zu virtualisieren, verabschiedet.

PPPoE scheint bei Sense eine der größten bzw. die größte Bremse zu sein

Wobei der Typ aus deinem Beispiel offenbar mit einer APU.4D4 (mit AMD GX-412TC) unterwegs ist und eine IPU (mit Intel Celeron) schon deutlich mehr Bums hat:

Quelle: https://www.ipu-system.de/benchmarks.html

 

[i-B4se]

@oNyX`
Wäre das dieser hier?
Sorry, aber ich komme mit Aliexpress irgendwie nicht klar

 

[27k1]

Wobei der Typ aus deinem Beispiel offenbar mit einer APU.4D4 (mit AMD GX-412TC) unterwegs ist und eine IPU (mit Intel Celeron) schon deutlich mehr Bums hat:

Unter Linux ist mit der ollen Hardware halt mehr möglich. Mit besserer Hardware kann man natürlich Software-Defizite bei der Performance häufig entgehen. Nur bleibt dann für weitere Dienste ggf. auch weniger übrig...

 

[oNyX`]

@i-B4se ja alternativ gibts noch ne v3

€ 204,86 36%OFF | New 2.5G Soft Mini Router Celeron N5105 Quad Core 2*DDR4 NVMe SSD 4 Intel i225 Nics HDMI2.0 DP Type-C pfSense Firewall Router PC

176.85€ 40% OFF|2,5G Weiche Mini Router N6005 N5105 Quad Core NVMe SSD 4x Intel i226 V Nics TPM 2,0 HDMI 2,0 DP typ C OPNsense Firewall Router PC| | - AliExpress

Smarter Shopping, Better Living! Aliexpress.com

a.aliexpress.com

N5105, kein Ram, keine SSD, Eu Plug

204Eur -Voucher

 

[i-B4se]

Hat dafür schon jemand ein Adapter für ein 19“ Rack gedruckt oder gefunden?
Hab das mal bestellt. Mal gucken wie lange ich warten muss

 

[oNyX`]

Ich hab 1U Fachboden reingeklatscht, und Topton waren bei mir 9Tage rum.

 

[konfetti]

bob dig scheint es nicht mehr zu geben im Luxx, deshalb ist vielleicht auch sein Post weg

find das auch komisch, vorallem steht dort ja: Bearbeitet von einem Mod.

Den Startpost mit den Infos hätte man doch lassen können...

 

[sch4kal]

@i-B4se ja alternativ gibts noch ne v3

€ 204,86 36%OFF | New 2.5G Soft Mini Router Celeron N5105 Quad Core 2*DDR4 NVMe SSD 4 Intel i225 Nics HDMI2.0 DP Type-C pfSense Firewall Router PC

176.85€ 40% OFF|2,5G Weiche Mini Router N6005 N5105 Quad Core NVMe SSD 4x Intel i226 V Nics TPM 2,0 HDMI 2,0 DP typ C OPNsense Firewall Router PC| | - AliExpress

Smarter Shopping, Better Living! Aliexpress.com

a.aliexpress.com

N5105, kein Ram, keine SSD, Eu Plug

204Eur -Voucher

Hm, da würd ich afaik eher auf nen RB5009 setzen bei dem Preis. Mit RAM und SSD + ordentliches Netzteil ist man ja direkt bei 300 €. Und hat immer noch nur 2.5G und kein SFP+.

 

[i-B4se]

@sch4kal
Ich hab noch einige SSDs und SODIMM hier rumliegen. Das ist kein Problem.
Zudem mag ich das Interface von Mikrotik nicht. Die Produkte sind gut und ich hab hier noch zwei Switchs von denen rumliegen, aber das Interface ist aus dem letzten Jahrtausend.
Meine Meinung!

 

[oNyX`]

Naja ne sparsame NVMe bekommst fuer 20-25Eur (WD SN530/PM 991A), Ram gabs grad beim Primeday 8GB 3200er fuer 22Eu, 16 fuer 45.

Vorteil bei den Boxen du hast die freie Wahl was du damit machst. 2te wird bei mir Node3 im Cluster.

Mikrotik is super, hab selbst 4 Switches von.

 

[Azrael_ct]

Das ist leider der Nachteil an den BSD-Lösungen. Mit neuer Hardware kommen die nicht klar. Ich hab hier einen Eigenbau (i5-12400, 16G DDR4, Samsung 970 NVMe, Dual-Port 25 Gbit Mellanox-Netzwerk, 4x Gigabit, 1x Gigabit und 1x 2,5 GBit onboard). Die Messwerte mit professionalem Multimeter sind da jedenfalls räudig:

OPNSense 22.1: 47W
OPNSense 22.7_rc1: 44W
Debian 11: 37W
Windows 10: 29W (!!)

Nur, es gibt keine brauchbare Alternative zu PFSense/OPNSense.

 

[Sannyboy111985]

Mich wundert das Windwos so viel besser ist als Linux . Hast du das Debian mal mit Powertop optimiert?
Hast du ohne die Mellanox getestet?

Interessant wäre wie sich ein OpnSense unter Proxmox / ESXi mit durchgereiter HW schlägt.

 

[Azrael_ct]

Ich vermute hier ganz stark, dass der Chipsatz von Alder Lake noch nicht voll unterstützt wird. Oben drauf kommt dann die CPU selbst noch.
Auf Debian wollte ich es noch mit einem aktuellen Kernel versuchen, bin aber nicht mehr dazu gekommen. Die Mellanox schlägt mit 2x 25 GbE SFP mit ca. 10W zu Buche. Auch hier gibts vermutlich bißchen Potential für das Betriebssystem zu optimieren.

Ein wenig bringt es bei der OPNSense, wenn man ihr höhere CStates beibringt:

Bei den Tunables / Optimierungen dev.cpu.0.cx_lowest eintragen und auf Cmax setzen. Muss man für jeden Kern einzeln machen, also bei 12 Kernen von 0-11.

Bringt ein klein wenig etwas:

 

[27k1]

Nur, es gibt keine brauchbare Alternative zu PFSense/OPNSense.

Das ist doch sehr pauschal dahin geschrieben und hämgt davon ab, was man machen möchte.
Wenn die Feature von IPFire reichen, dann fährt man mit IPFire durchaus besser bzw. hat ggf. mehr Performance (bzw. keine mögliche "BSD-Bremse").

 

[0 8 15 User]

Bei den Tunables / Optimierungen dev.cpu.0.cx_lowest eintragen und auf Cmax setzen.

Bei pfSense kann man `hw.acpi.cpu.cx_lowest` auf `C3` setzen, um je nach CPU das eine oder andere Watt raus zu schinden.