[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[hs_warez]

Hm, mal sehen - die WD Blue SN570 ist momentan günstig.

 

[Speeddeamon]

Ich hätte gesagt im Zweifel die günstigste 9x0 pro von Samsung in der gewünschten grösse

Ich bin noch bei 23.1_11

Hatte etwas gezögert nach dem was ich hier so gelesen hab. Aber ich sollte mal updaten ;-)

 

[KurantRubys]

So ich hab hier noch ein Thema. Wenn mein DSL-Modem mal weg ist, bekommt die Sense keinen automatischen Reconnect der PPPoE mehr hin. Auch manuell greift das nicht, mach ich nen reboot gehts. Hat jemand von euch dazu ne Idee?

So siehts im Interface aus wenn ich das manuell mache



Und so nach nem Reboot

 

[hs_warez]

Ich hätte gesagt im Zweifel die günstigste 9x0 pro von Samsung in der gewünschten grösse

Ich bin noch bei 23.1_11

Hatte etwas gezögert nach dem was ich hier so gelesen hab. Aber ich sollte mal updaten ;-)

Die Pro brauchen vermutlich "deutlich" mehr Strom - ist die Frage, ob man das in der Praxis wirklich merkt!?

 

[asche77]

Es ist völlig egal, welche SSD Du nimmst.

Wichtig ist, dass Du regelmäßig ein backup der Konfiguration machst (zB auf google drive).

 

[hs_warez]

Es ist völlig egal, welche SSD Du nimmst.

Wichtig ist, dass Du regelmäßig ein backup der Konfiguration machst (zB auf google drive).

Sicherung auf Nextcloud habe ich schon eingerichtet.

 

[hs_warez]

So, bin jetzt günstig an einen Lenovo M720q mit i3-8100T gekommen; die fehlenden Teile (Riser+Slotblende) sind auch schon auf dem Weg (Intel i350-T4 NW-Karte habe ich noch liegen).

Bin gespannt, wie es dann mit dem Stromverbrauch im Vergleich zur jetzigen „China-Box“ (N5105) aussieht.


LG

 

[asche77]

Ca. 10-11W (basierend auf meinem m720q mit 9400T, 16GB RAM, i350-T4 und ESXi mit virtualisiertem OPNsense 23.7).

 

[hs_warez]

ESXi ist ja nicht gerade stromsparend.
Bare metal (oder ev. mit Proxmox als Unterbau) könnte es also noch etwas weniger werden.

Schwach 11 Watt braucht die jetzige N5105-China-Box auch (mit einer nicht sehr stromsparenden alten SATA2-Intel-DC-SSD).

 

[asche77]

Schwach 11 Watt braucht die jetzige N5105-China-Box auch (mit einer nicht sehr stromsparenden alten SATA2-Intel-DC-SSD).

Ist ja auch kein Wunder:
1. Brauchen die 4 NICs ca. 5W, egal ob sie in der China-Box verbaut sind oder im Lenovo.
2. Sind weder die China-Box noch der Lenovo dauerhaft im Stromsparmodus, da immer wieder (kleinste) Datenpakete an der firewall auflaufen.

Du erhältst allerdings gegenüber der N5105 China Box
- mehr CPU-Leistung
- ein deutlich flexibleres und professionelleres System (und damit grds. mehr Zuverlässigkeit)
- regelmäßige BIOS-updates.

Einer (oder besser mehrere) dieser Punkte sollte den Ausschlag für Deine Entscheidung gegeben haben, die Hardware zu wechseln. Sonst war sie falsch.

 

[hs_warez]

Argumente für mich waren:
- vertrauenswürdigeres Bios
- weniger Temp. - da Lüfter verbaut
- ev. langlebigere Hardware

Flexibler+mehr Leistung ist halt eine Draufgabe - bräuchte ich (jetzt) nicht.

 

[hs_warez]

So, bin jetzt günstig an einen Lenovo M720q mit i3-8100T gekommen; die fehlenden Teile (Riser+Slotblende) sind auch schon auf dem Weg (Intel i350-T4 NW-Karte habe ich noch liegen).

Bin gespannt, wie es dann mit dem Stromverbrauch im Vergleich zur jetzigen „China-Box“ (N5105) aussieht.


LG

Wenn die neue Hardware (siehe oben) einsatzbereit ist, werde ich OPNSense ev. wirklich mal via Proxmox virtualisieren.
Spricht etwas dagegen, wenn ich Adguard auch als eigene VM betreibe, oder doch lieber/besser als Plugin in OPNSense installieren!?

Danke!


LG

 

[KurantRubys]

Ich hatte das bei mir als Plugin mitlaufen, hab aber kürzlich auf Unbound umgestellt.

 

[hs_warez]

Ich hatte das bei mir als Plugin mitlaufen, hab aber kürzlich auf Unbound umgestellt.

Bei mir läuft derzeit die Kombi Unbound+Adguard als Plugins in OPNsense.

 

[Shihatsu]

warum dieses? unbound kann doch selber filterregeln und kommt mit "handelsüblichen" filtern zurecht?

 

[KurantRubys]

Genau deswegen hab ich AdGuard wieder abgestellt, regelt Unbound alleine schon

 

[hs_warez]

warum dieses? unbound kann doch selber filterregeln und kommt mit "handelsüblichen" filtern zurecht?

Genau deswegen hab ich AdGuard wieder abgestellt, regelt Unbound alleine schon

Hm, wird im Netz eigentlich auch immer so beschrieben/umgesetzt.
Früher wurde ja auch schon unbound mit pihole kombiniert.


LG

 

[KurantRubys]

Seh ich echt keinen Grund zu, FIlterlisten sind in Unbound hinterlegt.

 

[asche77]

Ich sehe einige Gründe.

- der wichtigste: einfache GUI für die Kontrolle der Anfragen. Ich hatte schon zu viele false positives bzw "XYZ geht nicht, schalte es frei oder ..."
- einfaches blocken/erlauben von Domains aus dem GUI heraus
- einfache manuelle regeln
- ggfs client / netzabhängige Regeln
- Split DNS (zB damit WiFi calling oder Mediatheken zuverlässig laufen)

 

[asche77]

Opnsense Update 23.7.2:

OPNsense 23.7.2 released

OPNsense 23.7.2 released

forum.opnsense.org

---
Of special
note is the proper monitoring of down gateways which allows the new
gateway watcher to see the gateway come back online when plugging a
cable. A Wazuh agent plugin was added and the ddclient plugin received
new protocol support including AWS Route53 amongst others.
---

 

[hs_warez]

So, habe das Plugin von mimugmail (os-speedtest-community) installiert und über ookla div. Tests gemacht.

Tja, am Modem liegts nicht!

Konstant gleiche / gute Werte - wie früher.

Mache ich die Tests übern PC - wieder schlechte Werte.


Dürfte also irgendwie/irgendwo an Einstellungen liegen - nur wo!?


Hm, die Art wie/wo (siehe oben) ich den DNS-Server eintrage macht mal keinen Unterschied.

Wenn man mit dem Plugin von mimugmail (os-speedtest-community) Speedtests macht, sind dann irgendwelche Einstellungen/Regeln in OPNSense außen vor - sprich, kann man dies dann bei Speedproblemen ausschließen?

Nach einigen Tagen fingen die Probleme (schwankende Geschwindigkeit; bei best. "Internettätigkeiten" Aussetzer) wieder an.
Modem aus/ein - dann geht's wieder für unbestimmte Zeit - würde ja eigentlich auf ein Problem mit dem Modem hinweisen!?

Sollte es halt im Vorfeld möglichst gut "einschränken" - bevor ich den Kabeltechniker kommen lasse...


LG

 

[hs_warez]

Sollte ich sicherheitshalber zur Fehlereingrenzung ev. mal für ein paar Tage eine andere Hardware („normaler“ PC + i350) mit neuer 0815-OPNSense Installation (keine VLANs, kein Adguard, kein Geoblocking, …) testen?!

 

[asche77]

Obiges klingt klar nach typischen Problemen des Kabelanschlusses. Da hilft eine andere firewall nicht.

Was etwas hilft ist eine Zeitschaltuhr, die das Modem jede Nacht neu startet.

 

[hs_warez]

Hm, hatte jetzt mal Kontakt mit dem Helpdesk des Kabelnetzbetreibers.


Lt. ihren Tests kommen die vollen 400/40Mbit ohne Probleme an meinem Modem an – sie vermuten einen Fehler an der Firewall!?
(Sie nehmen meinen Anschluss jetzt mal bis 29.08. in ihre Detailanalyse auf.)

Wenn es eurer Meinung nach nicht an OPNSense liegen kann – ev. „schwächelt“ ja die Hardware der China-Box jetzt!?


Wie am besten vorgehen?

Bestehende SSD klonen – Bezeichnung der Interfaces in der Konfig. anpassen und dann meine derzeit bestehende OPNSense-Firewall/Instalaltion quasi 1:1 mit einer anderen Hardware (hätte einen Fujitsu P558 und eine i350 herumliegen) betreiben – wenn es dann wieder normal läuft, dann liegt es nicht an OPNSense selbst, sondern vermutlich an der verwendeten China-Box.

Sollte das Problem mit der anderen Hardware auch wieder auftauchen, dann ein komplett nacktes OPNSense installieren und damit testen.

Wenn es dann auch wieder auftritt – dann liegt der Fehler am Kabelnetz.


Was mein ihr!?

Danke!

(Riser + Blende für meinen Lenovo M720q sind leider noch auf dem Postweg …)

 

[hs_warez]

Hm, "spiele" mich heute schon seit Stunden mit meiner Firewall - derzeit bin ich mal vorsichtig optimistisch.

Habe meine SSD in meinen "Test-PC (Fujitsu P558+Intel I350-T4)" verbaut - die Interfaces angepasst und seither sind meine Speedtests konstant gut/schnell.
Wenn die Sache jetzt die nächsten Tage so bleibt, dann dürfte es eher ein Hardwareproblem gewesen sein!?



Hätte da noch eine Frage zum "traffic shaper"!

Egal was ich einstelle, ich erreiche beim gewünschten VLAN nur max. 125MBit Download - woran kann das liegen!?

stelle ich 150MBit ein - erreiche ich nur so um die 100MBit
stelle ich 200MBit ein - erreiche ich so um die 120-125

Danke!


LG

 

[hs_warez]

Wohl zu früh gefreut - es „kommt“ trotzdem wahllos irgendwas an Leistung/Speed rüber.

D.h. andere Hardware + bestehende SSD/Installation hat doch keine Abhilfe gebracht!

Muss dann wohl morgen zur Fehlereingrenzung doch noch eine andere SSD einbauen und dann ein frisches/nacktes 0815-OPNSense installieren.

Bleiben die Probleme bestehen, dann liegt es 100% am Kabelnetz/Modem.

 

[hs_warez]

Sonderbar!

Gestern Vormittag bis am Abend lief mit der "neuen" Hardware alles völlig ohne Probleme - bis dann am Abend wieder wahllos irgendwas an Leistung/Speed kam.
Heute Vormittag - bis jetzt - läuft es wieder so wie es sein soll - ohne das ich etwas gemacht habe!?

Werde jetzt trotzdem auf einer anderen SSD eine "Standard-Neuinstallation" machen und dann mal testen - dann kann ich es wirklich eingrenzen wo der Fehler liegt und dann auch entsprechend beim Kabel-Helpdesk handeln.

So sitzt man immer irgendwie zwischen 2 Stühlen - lt. Kabelbetreiber gibt's bei ihnen kein Problem - wird wohl an meiner Firewall liegen.

Wenn ich aber dann 2 versch. "PC's" und zusätzlich eine Neuinstalllation getestet haben, dann kann der Fehler nicht mehr auf meiner Seite liegen.


LG

 

[andrer250282]

Vielleicht hab ich es überlesen aber den Anschluss an sich kannst du ausschließen? Der liefert immer volle Leistung?
Weil ist das nicht eigentlich der Nachteil vom Kabel-Internet als shared medium? Das zu Stoßzeiten nicht die volle Bandbreite verfügbar sein muss? Deine Messungen in Zusammenhang mit der zeitlichen Komponente spricht irgendwie dafür - die Probleme sind ja (so wie ich das hier leicht verfolge) zu den Hauptzeiten?

Falls du das schon ausschließen konntest bitte ich um Verzeihung dann hab ich es auf die Schnelle überlesen

 

[hs_warez]

Vielleicht hab ich es überlesen aber den Anschluss an sich kannst du ausschließen? Der liefert immer volle Leistung?
Weil ist das nicht eigentlich der Nachteil vom Kabel-Internet als shared medium? Das zu Stoßzeiten nicht die volle Bandbreite verfügbar sein muss? Deine Messungen in Zusammenhang mit der zeitlichen Komponente spricht irgendwie dafür - die Probleme sind ja (so wie ich das hier leicht verfolge) zu den Hauptzeiten?

Falls du das schon ausschließen konntest bitte ich um Verzeihung dann hab ich es auf die Schnelle überlesen

Na ja, ausschließen ist relativ - lt. Kabelbetreiber gibt es von deren Seite angeblich keine Probleme.

Bin seit 2016 bei diesem Anbieter und hatte immer den vollen/gebuchten Speed (eigentlich immer minimal drüber) - egal zu welchen Zeiten.

Die Probleme fingen erst vor einigen Wochen an - seither ist das halt alles irgendwie...


Da ich mit OPNSense generell schon ein paar Probleme hatte seit den letzten größeren Updates, bin ich mir halt nicht sicher woran es wirklich liegt!



Ist das normal?
Lade gerade ca. 14 GB via JDownloader und die CPU-Last meine OPNSense hüpft immer zw. ca. 3-30% (Pentium G5420 / 3,8GHz)!?
Downloadspeed lt. JDownload schwankt auch immer von 5-25MB/s!?



Wenn es hakt (die Speedtest schlecht sind) dann merkt man das sogar beim normalen Surfen in Edge.


Na ja...

 

[andrer250282]

Naja, shared medium sagt ja genau das. Du weißt ja nicht ob und wie der backbone an deiner Anschlussstelle belastet ist.

Kannst du Mal ein paar Tage mit z.b. einer Fritzbox testen? Ob diese Schwankungen mit wandern?
Ich würde aus dem Bauch heraus auf den Anschluss tippen, der Provider kennt ja die Just-in-time Auslastung an deiner Anschlussstelle nicht