[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

  • Ersteller Gelöschtes Mitglied 63700
  • Erstellt am
Wenn Du diese Anzeige nicht sehen willst, registriere Dich und/oder logge Dich ein.
Hallo,

da ich grad mein Heimnetzwerk ein bissl umplane, war die Überlegung auf OPNsense als Router umzusteigen. (als Modem das Vodafone Ding nehmen).

Aktuell nutz ich als Router eine FritzBox 6490 die DECT und DHCP macht (und halt Modem). Wlan habe ich ein Unifi Access Point.

Desweiteren läuft Pihole mit unbound.

Jetzt hab ich aktuell zur Auswahl so einen Fujitsu Futro S900 der aber wahrscheinlich ein bissl schwach ist.

Dann noch einen HP ProLiant ML10v2 mit Intel Xeon E3-1220 v3, 28 Gb Ram und zusätlichen 4 Port Intel Nic, Und Speicher hab ich von 128GB bis 500GB SSD liegen, und/oder auch dieverse Festplatten.

Jetzt halt die Frage wie ich das am besten mache. So das ich mein Netzwerk nicht aufreiße wie ein Scheunentor.

Also erstmal ist meine Hardware ausreichend, oder schon übertrieben? Und dann brauch ich wohl eine Anleitung zum konfigurieren. Das mit Vodafone Kabel usw. läuft.

Und dann noch die Frage wie ich das mit Telefonieren mache (tatsächlich 2ranging, währe nur schön wenn das weiterläuft iwie)

Wenn das alles umsetzbar ist und läuft als i Tüpfelchen noch einen VPN für unterwegs.


Damit währen meine aktuellen wünsche dann erfüllt :)


gruß

geheim5000

PS: Bin noch am lesen des ganzen Threads
 
Auf den Xeon bezogen: Wenns nur ums Routing (1g) geht sollte die HW ausreichen, sobald dann IPS/IDS oder sowas wie Sensei ins Spiel kommt wirds anspruchsvoll, VPN (Wireguard/OpenVPN) sollte die Kiste locker abkoennen.

PiHole brauchst mit pfblockerng oder Sensei dann dann eh nimmer.
 
Thread durch

so wie ich das jetzt gelesen habe, währe IPS/IDS schon interessant (OK ist wohl eher der "Spieltrieb" aktuell). Wenn die Leistung nicht ausreicht kann man es ja deaktivieren oder?

Wireguard hab ich jetzt öfters gelesen. Was ist das genau? Oder ich muss mal googeln morgen. OpenVPN läuft bei mir aktuell von der DS918+

Wie sieht es dann mit Alternativen zu Unbound aus?
 
Ist auch eher eine Alternative für openvpn oder?
Oder machst du deine clients auch mit ipsec?
 
Ja ist uch TOP, also es funktioniert auffällig unauffällig.

Ist dies bei OPNsense enthalten? oder brauch ich dafür noch den Pi?

Das mit Telefonie ist ungünstig, da würde ich eher auf Telefonie verzichten.
 
Und für den Anfang kann man auch direkt im opnsense unbound eine Reihe von DNS blacklists aktivieren. Dann braucht es (erstmal) auch nicht piHole/adguard.

PS: der Xeon ist überdimensioniert für eine Home Firewall/router. IDS/IPS braucht es auch nicht wirklich, dann lieber erstmal ein paar IP Blocklisten einrichten.
 
geheim5000 schrieb:
Das mit Telefonie ist ungünstig, da würde ich eher auf Telefonie verzichten.
Zum Vergrößern anklicken....
Für Telefonie habe ich bei mir einfach ne günstige Fritzbox 7412 geschossen und als reiner Client ins Netzwerk gehängt. DECT Geräte damit verbunden und funktioniert super.
 
Hab den auch noch mit G3240 CPU stehen. Wie viel Speiche soll ich einplanen?

Ich werd das die Tage mal als test aufsetzen um mir die Oberfläche anzuschauen.

@ccgx

Wenn das Problemlos funktioniert behalte ich das mal im Hinterkopf
 
Uiui, schade, vielen dank für die Info.
Wird das dann auf OPNsense betreffen?

Und hat jemand noch eine Idee, wie ich SMB über OpenVPN beschleunigen kann? Ich komme nicht über 4-5 MB/s, also ca 40 Mbit. Die Standleitung hat momentan aber 100 MBit, die ich im Speedtest in beide Richtungen auch hinbekomme...
Als Verschlüsselung bin ich momentan auf 256GCM.
 
OPNsense hat atm WG nicht im Kernel sondern als Plugin.
 
fard dwalling schrieb:
Uiui, schade, vielen dank für die Info.
Wird das dann auf OPNsense betreffen?

Und hat jemand noch eine Idee, wie ich SMB über OpenVPN beschleunigen kann? Ich komme nicht über 4-5 MB/s, also ca 40 Mbit. Die Standleitung hat momentan aber 100 MBit, die ich im Speedtest in beide Richtungen auch hinbekomme...
Als Verschlüsselung bin ich momentan auf 256GCM.
Zum Vergrößern anklicken....
Mehr Singlecore Leistung oder mit der Schlüssellänge runter. Alternativ für OpenVPN ne andere Cryptolib nehmen, statt OpenSSL z.b NaCl. Vorher noch gucken, ob die MTU auf dem Pfad passt und entsprechend die MSS einstellen (sofern dein Router kein MSS Clamping beherrscht).
 
Ne hab ja pfSense. Privat hatte ich 2x OPNsense aufgesetzt, die sich nach kurzer Zeit verabschiedet hat...
 
Mh, OK, stärkere CPU wäre machbar. Aktuell ist ein Pentium D 1508 drin. Meine zweite Kiste hätte einen Xeon D 1518. Vielleicht bringt der noch ein bisschen mehr. AES haben aber beide.
 
******* schrieb:
@ccgx Musst Du keinerlei Ports öffnen dafür? Das geht einfach so?
Zum Vergrößern anklicken....
Im Regelfall ist das eigentlich nie wirklich n Problem. Weder Telekom noch Vodafone (wobei letzteres bei uns zum Glück echt die Ausnahme ist). 5060 zur FB, die RTP Ports sind eigentlich dann auch kein Problem, sofern die FB mit denen raus darf. Sowohl Telekom als auch Vodafone nutzen (beim SIP Trunk weiß ich’s, bei Privat zumindest bei der Telekom auch) NAT über Latching. Die FB schickt dann RTP Ports zur Gegenstelle und die antworten dann erst darauf. Blockst du jetzt die RTP Ports gehend von der FB geht’s entsprechend nicht.
 
Falls das wer noch nicht mitbekam: WireGuard kommt als Kernelmodul in FreeBSD wieder. Donenfeld hat das mit paar Kumpels nun SELBST in die Hand genommen gehabt. Das Ding ist quasi fertig. Muss bzw. soll halt seine Testphasen noch sauber durchlaufen.

Das Gute dabei also (doch noch) ist, FreeBSD bekommt bald WG in der Quali und Speed wie z.B. im Linuxkernel. Damit können das dann die *senses sozusagen nativ nutzen.
 
Zuletzt bearbeitet:
Ah...??(?) Den letzten Absatz hab ich so nicht mitbekommen. Das ist natürlich so lala. Wobei die Geschichte ja vom März ist. Backfrisch also. CE2.5 ist ja Mitte Februar rausgegangen.
Mir fehlt da jetzt die genaue Zeitlinie dazu. Auch lese ich, er versuchte sich an dem Stümper selbst (Kontakt), nicht aber an Netgate (??)

Kannst du dir vorstellen, daß denen nochmal sowas passiert? Ich nicht ;) Jetzt sind sie halt leicht angekokelt. Wenn nochmal sowas abgehen würde, sind sie direkt komplett verbrannt. Schätze die Sache ist daher also durch.

Spannend wird was nun beim nächsten Update damit passiert... Und muss trotzdem zugeben, ohne jeglichen Lob, daß die ganze Aktion eben das echte WireGuard :) nach FreeBSD als Kernelmodul gebracht hat. Wer aber Faceplams zu vergeben hätte, der kann das berichtigterweise auch tun.
Schon recht peinlich die Story.

Schade halt daß bisher der Punkt fehlt, wo Donenfeld Netgate fragte "Hej Leute... Was macht der Typ denn da bitte damit?!". Wenn es das noch wäre, DANN wäre es wirklich übel.
 
Zuletzt bearbeitet:
What9000 schrieb:
Mich würde interessieren, ob jemand Erfahrung mit der OPNSense auf den Thin-Clients a la T610 Plus oder Futro S720/S920 hat und ob die kleinen Dinger genug Leistung für 1GBit/s haben.
In meiner VM (weil ich neben OPNSense noch PiHole auf dem Rechner laufen lasse) kann ich den CableMax nicht wirklich ausnutzen (ca. 400Mbit/s, bei 90% CPU, is halt alte i3-Hardware), obwohl ich außer Firewall, vnstat und Unbound nichts laufen lasse.
Zum Vergrößern anklicken....
Würde mich auch interessieren.
Mein S920 ist auf dem Weg.
1GBit/s sollte er als reine Firewall schaffen.
Mit aktivem IPS etc. wird er die Lesitung nicht mehr schaffen, glaub ich.

Wenn ich den S920 eingerichtet hab und mich eingelesen habe, werd ich berichten.
 
@XTaZY
Würde mich sehr freuen, danke dir!
Wobei ich mich aber frage, wofür ich daheim IPS bräuchte. Kennst du da einen praktischen Anwendungsfall?
 
Hast du jetzt IPS oder IDS gemeint? IPS erklärt sich irgendwie von alleine oder wie meinst du das? :)
 
Meinte damit, dass IDS/IPS für "normale Heimnutzer" ein wenig Overkill ist oder irre ich mich da?
 
IPS Zuhause ist fragwürdig. Kann man machen, muss aber keinesfalls. Hardware (CPU) Anforderungen sind hoch und lohnt mE nur, wenn man die Datenströme dann auch alle erfasst, speichert und auswertet.

(Ich hatte Suricata sowie Sensei auch Mal laufen, frass bei mir - qotom i5250U - aber zuviel Leistung).

Wichtiger wäre mE DNS blacklisting von Malware Domains sowie IP blacklisting von "bösen" IPs in der Firewall. Deutlich performanter und schützt vor dem gröbsten.

pfblockerNG macht beides sehr einfach, Opnsense mit adguard Home/piHole (oder das eingebaute unbound blacklisting) und etwas Handarbeit bei den Firewall regeln funktioniert ebenfalls gut.
 
Da würden mich die Regeln interessieren, die du da gesetzt hast. Soweit ich weiß funktioniert IP blacklisting in OPNSense nicht via DNSBL?
 
Anmelden, um zu antworten.

Ähnliche Themen

F
Neuer PfSense / Opnsense Router bzw. Mainboard, stromsparend, ECC RAM fähig, PCiex für Connect-X 4 Netzerkkarte, gesucht
Antworten
12
Aufrufe
841
Zyxx
Z
O
PfSense, OPNsense Hardware - Eure Empfehlungen?
Antworten
10
Aufrufe
1K
Zeitmangel
Z
P
[Kaufberatung] Zwei Heimserver für OPNsense und Proxmox
Antworten
5
Aufrufe
939
Pixolantis
P
O
pfSense Hardware - Empfehlungen / Kaufberatung / Erfahrungen
Antworten
0
Aufrufe
825
OsiMosi
O
ebniv
  • Artikel
[Sammelthread] Gigabyte MC12-LE0 (AM4, B550, servertauglich: IPMI, Dual Lan, ECC)
102 103 104
Antworten
3K
Aufrufe
284K
busiderbaer
busiderbaer
Hardwareluxx setzt keine externen Werbe- und Tracking-Cookies ein. Auf unserer Webseite finden Sie nur noch Cookies nach berechtigtem Interesse (Art. 6 Abs. 1 Satz 1 lit. f DSGVO) oder eigene funktionelle Cookies. Durch die Nutzung unserer Webseite erklären Sie sich damit einverstanden, dass wir diese Cookies setzen. Mehr Informationen und Möglichkeiten zur Einstellung unserer Cookies finden Sie in unserer Datenschutzerklärung.


Zurück
Oben Unten refresh