[Kaufberatung] Router/Firewall/... Board + OS

[MSN]

Hi!

Zur zeit sieht mein Heimnetz grob so aus:


Die PfSense Box ist allerdings virtualisiert und es hängt noch ein Switch vor eth2 der FritzBox.

Das soll sich nun ändern: Die PfSense VM soll durch eine eigene Maschine ersetzt werden. Hier hatte ich an eine APU2D4 von PC Engines gedacht. Außerdem soll die neue Box dann auch gleich das Wlan mit übernehemen.

Eigentlich hatte ich vor auf der neuen Hardware OPNsense zu benutzen, allerdings sieht es wohl unter FreeBSD schlecht mit der unterstützung von Wlan Karten im AP modus aus.

Was die Box können soll:
- Firewall
- DHCP Server
- DNS Resolver mit Filterlisten (bisher pfBlockerNG)
- OpenVPN Server
- min. 2x Gbit Lan
- Wlan (ac)

Hat jemand Erfahrung mit der APU2D4?
Hat jemand eine andere Empfehlung?
Kennt jemand eine Wlan Karte die AC kann und von FreeBSD im AP-Modus unterstützt wird?
Wenn nicht oder auch Allgemein: Hat jemand einen anderen OS-Vorschlag als OPNsense?

Vielen Dank im Voraus,

Marc

 

[Gen8 Runner]

Moin,
warum möchtest eine eigene Box haben für PFSense haben?

Ich hab folgende Konfiguration:
- Kabelmodem -> HP Gen8 Server LAN1 -> sämtlicher Internet Traffic durch PFSense -> LAN2 -> Switch -> Kabelgebundene Geräte bzw. Ubiquiti AC Pro

Läuft extrem stabil mit ESXI. PFSense dient hierbei auch als Firewall, NIDS, DHCP Server, DNS Server, OpenVPN usw.
Desweiteren ist dort auch mehr als genug Dampf hinter, für den Fall dass mal ordentlich Traffic über VPN läuft. Das solltest du immer berücksichtigen. Inwiefern und welche Bandbreiten die von dir genannten Boxen bereitstellen müssen / sollen (gerade per VPN, Verschlüsselung braucht nicht zu wenig Rechenleistung), wäre das auch noch ein wichtiges Kriterium.

Ich wollte auch erst auf eine externe Box, wie APU für PFSense umsteigen. Aber mit 6 LAN Ports im Gen8 (2x intern, 1x ILO, 4x Intel QuadPort Gbit) läuft das so genial und flüssig, dass ich davon abgekommen bin. Und laufen tut der sowieso 24/7.

Desweiteren kam ich nach ewig langem Googlen leider zu dem Ergebnis, dass sämtliche WLAN Karten / Sticks unbrauchbar sind, als AP, sogar schon für's eigene Heim. Da sind externe AP's deutlich ausgereifter, stabiler und angepasster auf viele Clients, als sämtliche PCI / USB WLAN Karten.

Deine Zeichnung, falls dein Netzwerkaufbau so gestaltet ist, macht für mich auch keinen Sinn. PFSense hat bei solch einer Gestaltung gar keinen Nutzen. Der Traffic läuft ja weiterhin komplett über die FritzBox. Da müsstest du wenn eth0 -> PFSense WAN -> PFSense LAN -> Switch -> Kabel / Drahtlosnetzwerke per AP (NICHT das WLAN der Fritzbox nutzen, sonst hebelst du PFSense wieder aus, bzw. kannst auch mal Probleme mit DHCP bekommen, weil plötzlich zwei DHCP Server IP Adressen verteilen wollen. Und das am besten noch in unterschiedlichen Subnets).

 

[MSN]

keine sorge eth2 und das wlan der fritzbox bilden ein eigenes netzwerk. DHCP auf der Fritzbox ist natürlich auch aus.

Ansonsten ist meine Konfiguration wie bei dir, nur, dass ich von einem HP MS Gen8 auf einen dickeren Server gewechselt habe und das Wlan der FB benutze.

Edit: Anbindung ist übrigens 200/20.

 

[asche77]

OPNsense kann kein DNS / IP blacklisting (sprich: pfblockerNG) sondern nur URL Filterung durch SquidGuard.

Im übrigen dürfte die APU2D4 die Anforderungen locker (alles außer OpenVPN) bzw noch ordentlich(?) (OpenVPN) lösen.

Ist das nötig? Nein, virtualisiert läuft das mindestens genauso performant für zuhause (s. GEn8 Runner).

Vorteil daher allenfalls: Du kannst den Server neu starten, zeitweise ausschalten, etc., ohne das Internet zu stören. Also höherer WAF.

WLAN bitte über separate APs lösen. Die lassen sich deutlich besser positionieren in der Wohnung = viele Empfangs(=Leistungs-)probleme einfach gelöst.

Aufgrund vorgenannter Faktoren will ich das gerade mit einer Zotac Nano CI323 und pfsense probieren - dann sollen da aber auch noch der Unifi Controller, print-server und evtl anderes 24/7 low usage gedöns drauf laufen. Wie ich jetzt rausgefunden habe, aufgrund der realtek Chipsets nicht die ideale Kombi (Esxi macht Probleme). Ich berichte.

 

[MSN]

Meine Hauptgründe für die dedizierte maschine sind:
- Ich brauche den Großen Server einfach nicht mehr dauerhaft -> Strom Sparen
- Als ich am WE aus dem Urlaub kam hatte der Switch seine Config verloren, deshalb gabs kein Internet bis ich das repariert hatte. -> WAF
- Ich bastel gerne (auch am Server) und will währenddessen trotzdem internet

Meine aktuelle Wohnung ist nicht groß genug, dass ich mehrere APs brauche -> daher der wunsch nach einem AIO Gerät.

 

[Rocker]

Hallo,
@asche77
opnsense kann dnsbl sehr wohl, seit ein paar wochen gibt es das bind dns plugin und dort gibt es auch dns blacklists.

Gruß Rocker

 

[asche77]

Cool, danke!