*Inhalt gelöscht*
Zuletzt bearbeitet von einem Moderator:
[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)
Die NICs sind von Intel:
Sandy Bridge mobile sollte doch relativ sparsam sein. Ich würde unter 10W im Leerlauf erwarten.
@FieserOstfriese Danke. Werde ich mir mal anschauen. Ist der HP laut? Der NEXCOM ist passiv.
Zuletzt bearbeitet:
FieserOstfriese
Enthusiast
ne eigentlich nicht. Aber der steht auch im extra Raum, von daher achte ich da nicht drauf. Da es ansich Business Hardware ist, denke ich das die nicht laut sind.
Ich kann einen Lenovo Tiny M720q mit einer zusätzlichen Intel i350 Netzwerkkarte empfehlen.
M720q mit i3-8100 / 8GB-Ram / 250 GB-SSD bekommt man des Öfteren um € 100-120 (zumindest bei mir in Ö)
I350 Netzwerkkarte (je nachdem ob 2, oder 4 Ports) gibt’s auch um € 30-60
„Riser/Adapter“ zum Einbau – ca. € 25
So um schwach € 200 hat man also eine sehr gute/robuste/leistungsstarke/stromsparende Firewall.
Hatte vorher eine Zeit lang eine „Aliexpress-Box“ – das NoName-Bios und die eher dürftigen/vertrauensunwürdigen Updates haben mir nicht so zugesagt – da vertraue ich Lenovo doch etwas mehr.
LG
Zuletzt bearbeitet:
Den Tiny kenne ich und ein paar i350 liegen hier auch noch hier rum. Aber das wäre eher was, wenn ich das dauerhaft nutzen würde.
Also NEXCOM scheint ein etablierter Hersteller von Indutrie-Rechnern zu sein. Sophos nutzt für manche Appliances Hardware von NEXCOM. So bin ich überhaupt auf den Hersteller gekommen.
Ich würde unwesentlich mehr ausgeben und 8th gen oder höher kaufen.
Bei mir: Lenovo m720q i5-9400T mit PCIe riser und Intel i350-T4. All in dürfte es das mittlerweile für ca 200 geben.
EDIT: Da war jemand anderes ja schneller
Ich finde den sechsfachen Preis schon "wesentlich" höherIch würde unwesentlich mehr ausgeben...
Die Kiste, die ich verlinkt habe, kostet ja nur so viel wie "einmal Essen bestellen". Es soll ja auch keine Dauerlösung sein.
Weltherrscher
Experte
- Mitglied seit
- 28.04.2008
- Beiträge
- 811
Und wie bitte soll der Port dann im WAN sonst geöffnet werden?
Eventuell hätte ich den Typ (Port-Forward) der NAT-Regel spezifizieren sollen... -.-
Wenn wir hier vom WireGuard der Sense sprechen, einfach eine Firewallregel auf die WAN-Adresse eingehend machen, kein Portforward.
So sähe das auf der anderen Sense aus. 😉
Zuletzt bearbeitet:
Weltherrscher
Experte
- Mitglied seit
- 28.04.2008
- Beiträge
- 811
Ja, Wireguard in der sense.
Ohne die gehts es bei mir nicht:
Dann ist da noch ne Outbound-Regel drin:
Mach ich was falsch?
//Edith:
Gerade gesehen:
Die obigen Port-Forward-Regeln tauchen dann genau so auch unter Rules/WAN auf.
Also nur eine Naming-Sache.
Ohne die gehts es bei mir nicht:
Dann ist da noch ne Outbound-Regel drin:
Mach ich was falsch?
//Edith:
Gerade gesehen:
Die obigen Port-Forward-Regeln tauchen dann genau so auch unter Rules/WAN auf.
Also nur eine Naming-Sache.
Zuletzt bearbeitet:
Du NATest etwas, was nicht geNATet werden sollte, damit verschenkst Du potentiell Performance. Darf ich fragen, wohin Du WG NATest? Letztlich ist das aber auch egal.
Weltherrscher
Experte
- Mitglied seit
- 28.04.2008
- Beiträge
- 811
auf die IP vom WireGuard-Server der sense.
Soweit ich weiß, sind diese Regeln aber automagisch erzeugt worden.
Wo soll die Regel mit den Ports denn hin?
Sie taucht ja bereits unter WAN auf:
Das ist dieselbe Liste wie oben unter NAT/Port Forward...
Soweit ich weiß, sind diese Regeln aber automagisch erzeugt worden.
Wo soll die Regel mit den Ports denn hin?
Sie taucht ja bereits unter WAN auf:
Das ist dieselbe Liste wie oben unter NAT/Port Forward...
Welche Version von WireGuard nutzt Du? Ggf. mal Screenshot einstellen. Denn eigentlich gibt es solch eine IP nicht.
wddn
Enthusiast
M720q mit 9500T (8GB RAM) : 150€
2x32GB RAM: 120€
4TB NVME: 190€
256GB 2230 inkl Adapter: 25€
Intel X550-T2 10Gbit: 100€
Total: fast 600€
Weltherrscher
Experte
- Mitglied seit
- 28.04.2008
- Beiträge
- 811
KurantRubys
Legende
Machst Du auch einen Port Forward für WG selbst darauf? Welche Version von WG setzt Du ein?
Jetzt muss ich mich mal nochmal an euch wenden und hoffe ihr könnt mir vielleicht weiterhelfen.
Ich hab immer noch massive Probleme mit Vodafone und dem Internet. Ich schließe auch nicht mehr aus, dass irgendwas in der Konfiguration der Opnsense nicht passt.
Seit den Problemen mit den Rückwegstörern habe ich mehrfach am Tag kein Internet mehr. Manchmal betrifft das jedoch nur einzelne VLANs. Manchmal ist die IPv4 weg, manchmal die IPv6. Egal ob ich die Vodafone Station als Modem, oder das Technicolor TC4400EU nehme. Nach einem Neustart der OpnSense funktioniert es meist wieder nen halben Tag oder so, dann gibts wieder Probleme.
Dass manchmal nur spezielle VLANs betroffen sind macht mich schon sehr stutzig, habe bereits überlegt die Sense nochmal komplett neu aufzusetzen.
Ich habe überlegt, ob es vielleicht an der Zuteilung des Präfixes liegt. Eingestellt hab ich ein /62er Präfix, das ist anscheinend das, was Vodafone ausgibt. Kann ich das irgendwie nachprüfen, ob ich das auch tatsächlich bekomme, wenn ich es anfordere? Bzw. wie konfiguriere ich den Präfix richtig? Ich hab den Haken bei "Request only an IPv6 prefix" und bei "Send IPv6 prefix hint" gesetzt. Dann hab ich bei meinen VLANs IPv6 auf "Track interface" gestellt und dann bei "IPv6 Prefix ID" für meine 4 VLANs die Ids 0x0 bis 0x3 vergeben.
Unter Interfaces im Dashboard steht bei allen VLANs die selbe IPv6 (2a02: ...) und bei WAN eine fe80: Adresse. Sollte das so sein?
Habt ihr sonst Ideen, woran das liegen kann, dass die IPs nicht richtig zur Sense kommen oder dort nicht richtig verarbeitet werden?
Danke schonmal.
Ich hab immer noch massive Probleme mit Vodafone und dem Internet. Ich schließe auch nicht mehr aus, dass irgendwas in der Konfiguration der Opnsense nicht passt.
Seit den Problemen mit den Rückwegstörern habe ich mehrfach am Tag kein Internet mehr. Manchmal betrifft das jedoch nur einzelne VLANs. Manchmal ist die IPv4 weg, manchmal die IPv6. Egal ob ich die Vodafone Station als Modem, oder das Technicolor TC4400EU nehme. Nach einem Neustart der OpnSense funktioniert es meist wieder nen halben Tag oder so, dann gibts wieder Probleme.
Dass manchmal nur spezielle VLANs betroffen sind macht mich schon sehr stutzig, habe bereits überlegt die Sense nochmal komplett neu aufzusetzen.
Ich habe überlegt, ob es vielleicht an der Zuteilung des Präfixes liegt. Eingestellt hab ich ein /62er Präfix, das ist anscheinend das, was Vodafone ausgibt. Kann ich das irgendwie nachprüfen, ob ich das auch tatsächlich bekomme, wenn ich es anfordere? Bzw. wie konfiguriere ich den Präfix richtig? Ich hab den Haken bei "Request only an IPv6 prefix" und bei "Send IPv6 prefix hint" gesetzt. Dann hab ich bei meinen VLANs IPv6 auf "Track interface" gestellt und dann bei "IPv6 Prefix ID" für meine 4 VLANs die Ids 0x0 bis 0x3 vergeben.
Unter Interfaces im Dashboard steht bei allen VLANs die selbe IPv6 (2a02: ...) und bei WAN eine fe80: Adresse. Sollte das so sein?
Habt ihr sonst Ideen, woran das liegen kann, dass die IPs nicht richtig zur Sense kommen oder dort nicht richtig verarbeitet werden?
Danke schonmal.
Wechsel zu DSL, damit hat doch die Sense nichts zu tun.
Aber ja, wenn Du eine schlechte Leitung hast, dann kann das weitere Probleme machen, z.b. mit IPv6, weil sich der Prefix bei jedem Reconnect ändern kann und das mögen die Sensen gar nicht, schon ein einziger Wechsel ist nicht ohne. 😉
Aber das ist nicht der richtige Thread für die Bearbeitung von Leitungsstörungen.
Ich weiß, aber da Vodafone immer behauptet mit der Leitung sei alles in Ordnung, hab ich halt doch gedacht, dass es vllt mit meiner Konfiguration der sense zu tun hat.
Und ich wäre schon lange auf DSL umgestiegen, wenn bei uns nicht nur 50 MBit zu nem höheren Preis als 1000mbit Kabel verfügbar wäre 🤔
Und ich wäre schon lange auf DSL umgestiegen, wenn bei uns nicht nur 50 MBit zu nem höheren Preis als 1000mbit Kabel verfügbar wäre 🤔
Weltherrscher
Experte
- Mitglied seit
- 28.04.2008
- Beiträge
- 811
Vodafone hat einen sehr schlechten IPv6-Support...
Sobald ich das in der Fritze aktiviere, gehen die Probleme los (OPNsense ist exposed Host und zieht sich ein /60er Prefix von der Fritze).
Deshalb habe ich IPv6 wieder deaktiviert.
Die Fritz-Config ist gemoddet, so dass sie sich ein /56er Prefix holt.
Ohne die Mod holt sich die Fritze ein /62er Prefix, was natürlich garnicht zu gebrauchen ist...
Wie das bei Enduser-Verträgen ist weiß ich nicht, ich hab so nen halbprivaten Business-Tarif mit fester IP.
Dazu kommen manchmal Routing-Probleme.
Da kann ich dann nicht viel machen außer meckern und hoffen, dass sich das bald wieder gibt...
Sobald ich das in der Fritze aktiviere, gehen die Probleme los (OPNsense ist exposed Host und zieht sich ein /60er Prefix von der Fritze).
Deshalb habe ich IPv6 wieder deaktiviert.
Die Fritz-Config ist gemoddet, so dass sie sich ein /56er Prefix holt.
Ohne die Mod holt sich die Fritze ein /62er Prefix, was natürlich garnicht zu gebrauchen ist...
Wie das bei Enduser-Verträgen ist weiß ich nicht, ich hab so nen halbprivaten Business-Tarif mit fester IP.
Dazu kommen manchmal Routing-Probleme.
Da kann ich dann nicht viel machen außer meckern und hoffen, dass sich das bald wieder gibt...
Beitrag automatisch zusammengeführt:
Ja, korrekt, das WAN-Interface soll sich ja nur nen Prefix holen.
OPNsense 24.1.2 mit Rückkehr zu Suricata 7:
Ah okay. Bei mir funktionieren dann immer viele Seiten nicht mehr, wenn die IPv6 nicht geht.
Hab ich irgendwelche Nachteile, wenn ich die IPv6 komplett deaktiviere?
Ich hab mir extra im Vertrag die IPv4 zusichern lassen, über das Technicolor bekomme ich aber eh echtes Dual Stack. Muss ich dann die IPv6 im Technicolor auch deaktivieren (geht das überhaupt?) oder reicht es, wenn ich es in der sense deaktiviere?
Fusseltuch
Enthusiast
Falls Vodafone mit IPv6 tatsächlich so schlecht ist und ihr nicht auf IPv6 verzichten wollt, wäre https://tunnelbroker.net/ sicherlich einen Blick wert. Hatte ich vor Jahren mal sehr erfolgreich laufen und Hurricane Electric ist ein Urgestein der Branche. Lässt sich mit der *sense gut umsetzen.
Weltherrscher
Experte
- Mitglied seit
- 28.04.2008
- Beiträge
- 811
Das Technicolor ist ja nen reines Modem?
Sollte dann an der sense reichen.
Ich muss es in der Fritze deaktivieren, sobald die ne IPv6 hat, geht nach einer Weile das Gespacke los.
//Edith:
Ich hab ne feste IPv4 / -v6, Tunnelbroker wär da ziemlich unbrauchbar...
Die großen Email-Provider spacken gerne mal rum, wenn sich dauernd deine IP vom eigenen Emailserver ändert...
Sollte dann an der sense reichen.
Ich muss es in der Fritze deaktivieren, sobald die ne IPv6 hat, geht nach einer Weile das Gespacke los.
//Edith:
Ich hab ne feste IPv4 / -v6, Tunnelbroker wär da ziemlich unbrauchbar...
Die großen Email-Provider spacken gerne mal rum, wenn sich dauernd deine IP vom eigenen Emailserver ändert...
Ja, das Technicolor ist ein reines Modem.
Kannst du mir sagen, warum ich unbedingt eine IPv6 benötige? Was kann ich nicht erreichen, wenn ich keine IPv6 habe?
Kannst du mir sagen, warum ich unbedingt eine IPv6 benötige? Was kann ich nicht erreichen, wenn ich keine IPv6 habe?
Fusseltuch
Enthusiast
@Weltherrscher
Ist das beim Tunnelbroker so? Ich war der Meinung, man bekommt darüber ein festes IPv6 Prefix, was sich nicht ändert. So war es zumindest "früher". Ist wie gesagt ein paar Jahre her, dass ich das im Einsatz hatte...
@Wirman
Naja IPv6 ist die Zukunft, das wird immer wichtiger. IPv6-only Dienste sind mir aber tatsächlich keine bekannt. Hier gilt dann vll "besser vorbereitet sein".
Ist das beim Tunnelbroker so? Ich war der Meinung, man bekommt darüber ein festes IPv6 Prefix, was sich nicht ändert. So war es zumindest "früher". Ist wie gesagt ein paar Jahre her, dass ich das im Einsatz hatte...
@Wirman
Naja IPv6 ist die Zukunft, das wird immer wichtiger. IPv6-only Dienste sind mir aber tatsächlich keine bekannt. Hier gilt dann vll "besser vorbereitet sein".
Nja gut, eine Dauerlösung ist das ja auch nicht. Aber wenn es die ersten IPv6-only Dienste gibt, ist hoffentlich bis dahin bei mir am Haus Glasfaser.