Router gesucht: Selbstbau mit pfSense/OPNsens/IPFire, fertiges von Mikrotek, anderes?

[ccgx]

Hallo,

derzeit tut bei mir Zuhause eine Fritzbox den Dienst als Router. Leider ist das doch leider etwas eingeschränkt. Daher suche ich nach einen anderen Gerät. Die Fritzbox soll dann nur noch für Dect da sein, WLAN läuft bereits über Unifi, externes Modem ist schon vorhanden.

Anforderungen wären wie folgt:

• Verbindung ins Internet, Firewall und Portweiterleitung
• Trennung von Netzen (Heimnetz, DMZ, IoT, Gast, eventuell weitere) über VLANs. Diese sind schon bei mir vorhanden
• evtl. VPN, vielleicht ein Werbeproxy

Ich habe mich schon bezüglich Selbstbau mit z.B. APU informiert und mir schon einmal OPNsense in einer VM angesehen.
In anderen Threads lese ich aber auch immer wieder von Komplettpaketen von Mikrotek.

Daher bin ich mir nicht sicher, was am Ende am besten bei mir wäre. Basteln mit einer APU würde mich schon reizen, muss aber letztendlich nicht unbedingt sein.
Das es definitiv nicht so Klicki-bunti bei der Bedienung wird wie bei einer Fritzbox ist mir bewusst. VPN ist bei mir auch derzeit noch nachrangig, hier brauche ich nicht super-performance.

Vielleicht kann mir noch jemand helfen bei der Auswahl, auf was man noch achten sollte usw. Bin etwas überwältigt vom ganzen Thema. Bin über jeden Tipp froh. Vielen Dank!

 

[Firebl]

Naja wenn du schon Unifi nutzt, kannst du dir auch mal den Security Gateway anschauen. Die kleinen Router von Mikrotik oder der Edgerouter-X sind auch nicht verkehrt. Ich habe mittlerweise ein opnsense als VM laufen, der tuts auch.

Wie schnell muss denn das VPN werden? Daran bemisst sich die hardware.

 

[asche77]

USG3 kann alles genannte ausser Werbeproxy. VPN ist der USG3 auch eher mittelmäßig. Ansonsten fügt er sich halt schön ins unifi-System ein. Ich habe einen USG3, überlege den aber abzuschaffen und die VLAN-Trennung / DHCP Verwaltung direkt in der pfsense VM zu machen.

 

[Firebl]

Wenn du eine pfsense vm eh laufen hast, macht das sinn. wieder ein gerät eingespart was strom zieht. Der Server läuft sowieso

 

[v3nom]

Bin vor kurzem umgestiegen von einer Fritzbox zu Kabelmodem, Unifi WIFI und nem Qotom Mini PC als Pfsense FW. Das Setup läuft extrem gut, aber Pfsense ist entsprechend anspruchsvoll und braucht Zeit um alles richtig aufzusetzen wenn das Thema neu für einen ist.
Ein Qotom ist sehr leistungstark und ggf. Overkill wenn man keine schnelle Verschlüsselung braucht oder auch nichts CPU intensive macht wie DPI.

 

[ccgx]

Naja wenn du schon Unifi nutzt, kannst du dir auch mal den Security Gateway anschauen. Die kleinen Router von Mikrotik oder der Edgerouter-X sind auch nicht verkehrt. Ich habe mittlerweise ein opnsense als VM laufen, der tuts auch.

Wie schnell muss denn das VPN werden? Daran bemisst sich die hardware.

An den Security Gateway habe ich bisher noch gar nicht gedacht. Allerdings habe ich wirklich nur einen Access Point von Unifi, der Rest sind Netgear-Switches, von daher kann ich eh nicht die Integration erreichen, die der Unifi Controller bieten kann...
Das VPN hat derzeit noch keine hohe Priorität, daher kann ich dazu nichts genaueres sagen. Allerdings kenne ich mich, wenn ich mal grundsätzlich was laufen habe, möchte ich später auch noch gerne mehr Funktionen haben. (Was dann nicht nur VPN sein muss)

USG3 kann alles genannte ausser Werbeproxy. VPN ist der USG3 auch eher mittelmäßig. Ansonsten fügt er sich halt schön ins unifi-System ein. Ich habe einen USG3, überlege den aber abzuschaffen und die VLAN-Trennung / DHCP Verwaltung direkt in der pfsense VM zu machen.

Abschaffen um dein Setup zu vereinfachen oder gibt's noch andere Gründe?

Bin vor kurzem umgestiegen von einer Fritzbox zu Kabelmodem, Unifi WIFI und nem Qotom Mini PC als Pfsense FW. Das Setup läuft extrem gut, aber Pfsense ist entsprechend anspruchsvoll und braucht Zeit um alles richtig aufzusetzen wenn das Thema neu für einen ist.
Ein Qotom ist sehr leistungstark und ggf. Overkill wenn man keine schnelle Verschlüsselung braucht oder auch nichts CPU intensive macht wie DPI.

Wobei man bei leistungsstarker Hardware auch Zukunftssicherheit hat aus meiner Sicht. Daher weiß ich nicht ob ich wirklich was embedded haben möchte wie das Security Gateway oder Mikrotek, weil die irgendwann EOL sein können und eigene Hardware mit "Standard-Software" kann man einfach meist viel länger betreiben.

Wie man merkt tendiere ich doch zu eigener Hardware, daher würde ich gerne erstmal diese Richtung verfolgen. Brauchbare Hardware sind wohl die APUs, Qotom Mini PCs und auch die Zotax Zbox CI329/CI327.
Hauptunterschied ist bei diesen Geräten wohl Performance und Installation mit Bildschirm oder Headless.

An Software gibt es pfsense, OPNsense, IPFire als auch openwrt. pfsense und OPNsense sind soweit ich das gesehen habe noch recht ähnlich, da OPNsense auf pfsense basiert, aber wohl das modernere UI hat? Weiterhin geht pfsense anscheinend mehr Richtung kommerziell, daher auch die Abspaltung von OPNsense.
Was sind so eure Erfahrungen mit den einzelnen Systemen? Gibt es noch weitere die man Empfehlen kann, neben den 4 genannten?

 

[wenzilinho]

Gibt es noch weitere die man Empfehlen kann, neben den 4 genannten?

Sophos UTM, wenn du mit 50 IP-Adressen auskommst.

 

[sch4kal]

Bzgl. OPNSense vs. pfSense: sind beide mittlerweile extrem ähnlich, OPNSense hat ein paar coole Features die pfSense nicht hat und umgekehrt (2FA bei OPNSense, pfBlockerNG bei pfSense z.B.), aber im Groben und Ganzen kann man beide Distris empfehlen. pfSense bzw. Netgate versucht natürlich auch seine Hardware und Support zu verkaufen, haben aber in der Vergangenheit auch manche Sachen frei zur Verfügung gestellt, z.B. das pfSense Book oder die AutoBackup-Funktion. pfSense ist eher konservativ was das Einreichen von Patches und Featurerequests betrifft, die warten auf den FreeBSD Upstream während man das bei OPNSense etwas lockerer sieht. Beides hat Vor- und Nachteile. OPNSense hat mW. schon eine DS-Lite Implementierung von User "noctarius" aus dem inoff. Unitymedia-Forum erhalten, pfSense hat das noch nicht. IPFire kann ich auch noch empfehlen, OpenWRT kann ich leider nix zu sagen.

 

[asche77]

[USG3] Abschaffen um dein Setup zu vereinfachen oder gibt's noch andere Gründe?

Setup vereinfachen und gefühlt kein wirklicher Mehrwert gegenüber pfsense für mich:
- DPI letztlich nur ein grafisches Gimmick
- Für schnelles IDS/IPS ist die USG3 etwas zu langsam
- DNS adblocking kann die USG3 nicht (oder nur mühsam mit hacks); ich könnte einen piHole aufsetzen aber pfblockerNG (pfsense) gefällt mir eh besser
- VLAN Einrichtung ist auch mit kompletten unifi-System nicht idiotensicher (q.e.d. = ich habs noch nicht ganz verstanden jedenfalls ), da kann ich mich auch gleich in pfsense einarbeiten
- DHCP Zuweisung geht mit pfsense (oder openWRT oder oder ...) genauso gut
- zieht nochmal Strom
- bringt nochmal eine firewall layer in das setup und macht es damit komplizierter (NAT habe ich schon händisch ausgeschaltet)

Also: objektiv höhere Komplexität mit zwei FW, subjektiv wenig echter Mehrwert

 

[ccgx]

Sophos UTM, wenn du mit 50 IP-Adressen auskommst.

Das ist ja quasi nix, da bin ich ja jetzt schon drüber xD
Aber hey, so wird man schlauer

Bzgl. OPNSense vs. pfSense: sind beide mittlerweile extrem ähnlich, OPNSense hat ein paar coole Features die pfSense nicht hat und umgekehrt (2FA bei OPNSense, pfBlockerNG bei pfSense z.B.), aber im Groben und Ganzen kann man beide Distris empfehlen. pfSense bzw. Netgate versucht natürlich auch seine Hardware und Support zu verkaufen, haben aber in der Vergangenheit auch manche Sachen frei zur Verfügung gestellt, z.B. das pfSense Book oder die AutoBackup-Funktion. pfSense ist eher konservativ was das Einreichen von Patches und Featurerequests betrifft, die warten auf den FreeBSD Upstream während man das bei OPNSense etwas lockerer sieht. Beides hat Vor- und Nachteile. OPNSense hat mW. schon eine DS-Lite Implementierung von User "noctarius" aus dem inoff. Unitymedia-Forum erhalten, pfSense hat das noch nicht. IPFire kann ich auch noch empfehlen, OpenWRT kann ich leider nix zu sagen.

pfBlockerNG ist ein Werbeblocker? Ich nehme aber an, die Funktionalität könnte man auch bei opnsense nachbauen, oder?

Also haben pfsense und opnsense meist die gleichen Features, nur das opnsense von der Software her eher moderner ist.
Von der Administration werden sich beide wahrscheinlich nicht viel geben bezüglich Komplexität?

Was wäre den deine Empfehlung zwischen den Systemen?

Setup vereinfachen und gefühlt kein wirklicher Mehrwert gegenüber pfsense für mich:
- DPI letztlich nur ein grafisches Gimmick
- Für schnelles IDS/IPS ist die USG3 etwas zu langsam
- DNS adblocking kann die USG3 nicht (oder nur mühsam mit hacks); ich könnte einen piHole aufsetzen aber pfblockerNG (pfsense) gefällt mir eh besser
- VLAN Einrichtung ist auch mit kompletten unifi-System nicht idiotensicher (q.e.d. = ich habs noch nicht ganz verstanden jedenfalls ), da kann ich mich auch gleich in pfsense einarbeiten
- DHCP Zuweisung geht mit pfsense (oder openWRT oder oder ...) genauso gut
- zieht nochmal Strom
- bringt nochmal eine firewall layer in das setup und macht es damit komplizierter (NAT habe ich schon händisch ausgeschaltet)

Also: objektiv höhere Komplexität mit zwei FW, subjektiv wenig echter Mehrwert

Ah, ok. Ich wollte ja wenn dann eh nur ein System haben, so wie ich mir das vorstelle wird die Konfiguration eh erstmal kompliziert genug.
Deine Empfehlung wäre wahrscheinlich pfsense?

 

[sch4kal]

pfBlockerNG ist ein Werbeblocker? Ich nehme aber an, die Funktionalität könnte man auch bei opnsense nachbauen, oder?

Ja, analog zu einem PiHole.
Funktionalität könnte man natürlich händisch nachbauen, PiHole ist ja auch nix anderes als ein Unbound DNS-Resolver mit entsprechenden Block-Listen und ner hübschen UI.

Also haben pfsense und opnsense meist die gleichen Features, nur das opnsense von der Software her eher moderner ist.
Von der Administration werden sich beide wahrscheinlich nicht viel geben bezüglich Komplexität?

Das OPNSense von pfSense abstammt, sind die Features natürlich sehr ähnlich.
Was heißt für dich moderner ? Die UI von pfSense/OPNSense unterscheiden sich nicht großartig, sind beide gleich modern.
Soweit ich weiß bietet pfSense mehr Packages an als OPNSense.
Ich nutze pfSense seit mittlerweile über 10 Jahren als FW und hatte eig. nie Probleme damit, wobei das natürlich auch für OPNSense gelten kann.

Was wäre den deine Empfehlung zwischen den Systemen?

Die kann ich für Beide aussprechen, such dir eins aus dessen UI dir besser zusagt.
Wenn du unbedingt einen Ersatz für PiHole brauchst müsstest wohl zu pfSense greifen.

 

[ccgx]

Ich habe PiHole nicht in Benutzung, aber finde es natürlich interessant ein solches System direkt im Router zu haben.

Am besten schaue ich mir die Systeme einmal in Ruhe in einer VM an und spiele ein wenig herum.

Für die Hardware wird es für die Grundfunktionen wahrscheinlich egal sein, ob es ne APUs, Qotom Mini PCs oder eine Zbox CI329/CI327 wird?

Was habt ihr da so im Einsatz?

 

[sch4kal]

Wenn du IDS/IPS machen willst und auch pfBlockerNG rate ich von einer APU ab. Meine APU2C4 packt das jedenfalls nicht. Würde mir die Qotom's anschauen oder selbst was basteln:
Homeserver CPU - sparsam und doch Power

 

[v3nom]

Hier gibts die Qotoms mit i5 oder i7: https://de.aliexpress.com/item/32920921042.html?spm=a2g0s.9042311.0.0.3a794c4dwenZin

Habe diese auch in nem deutschen Shop gefunden, aber hier gehts nur bis zu nem i5 max hoch: https://www.ipu-system.de/

 

[ccgx]

IDS/IPS? Das heißt Intrusion Detection/Prevention System oder? Brauche ich das?

Hier gibts die Qotoms mit i5 oder i7: https://de.aliexpress.com/item/32920921042.html?spm=a2g0s.9042311.0.0.3a794c4dwenZin

Habe diese auch in nem deutschen Shop gefunden, aber hier gehts nur bis zu nem i5 max hoch: https://www.ipu-system.de/

Ich glaube bei Aliexpress will ich lieber nicht bestellen, aber innerhalb der EU wäre ok. Hatte da schon blöde Erlebnisse mit dem Zoll.

Welche Version von der Kiste wäre den zu empfehlen?


Was sagt ihr zur Zbox CI329 bzw CI327? Da ich eh alles über VLANs machen möchte, würden mir 2 Ethernet Ports reichen.

 

[asche77]

IDS/IPS? Das heißt Intrusion Detection/Prevention System oder? Brauche ich das?

Genau das heisst es. Brauchst Du (als Privatperson) nicht.

Welche Version von der Kiste wäre den zu empfehlen?

Hauptsache der Prozessor kann AES-NI. Der Celeron J1900 ist daher zB _nicht_ zu empfehlen. Die bei IPU Systems gezeigten i3/i5 Systeme sollten alle gut funkionieren (alle AES-NI), würde aber tendentiell nicht den kleinsten nehmen (alte Technik).

Was sagt ihr zur Zbox CI329 bzw CI327? Da ich eh alles über VLANs machen möchte, würden mir 2 Ethernet Ports reichen.

Geht (bei mir ESXi + pfsense), aber die Realtek NICs haben einen schlechten Ruf, gerade bei hoher Last (VLAN
routing). Ich hatte (bei 100/50 Kabelmodem) bisher keine Probleme, aber eben auch keine nennenswerte Last. Die CPU ist jedenfalls stark genug für alles was Du normalerweise brauchst (schnelles VPN/IDS/IPS müsste man sich genauer ansehen).

 

[Opticum]

genau was asche77 geschrieben hat würde ich auch so unterschreiben.

Bei den Netzwerkanschlüssen würde ich auf jeden Fall zu Intel Chipsatz raten, wir hatten hier schon oft genug Ärger mit Realtek und Co. so das wir das vor viele Jahren generell auf Intel umgestellt hatten und seit dem 0 Probleme hatten. Zuverlässigkeit im Netzwerk erspart einiges an Fehlersuche und Kopfschmerzen.

 

[Elmario]

All deine Anforderungen könnte auch die Fritzbox mit Freetz-Firmware erfüllen.

 

[v3nom]

Ich glaube bei Aliexpress will ich lieber nicht bestellen, aber innerhalb der EU wäre ok. Hatte da schon blöde Erlebnisse mit dem Zoll.

Hat bei mir geklappt mit genau dem Qotom
Per DHL Express und mit korrekter Angabe des Warenwertes null Probleme.

 

[sch4kal]

Genau das heisst es. Brauchst Du (als Privatperson) nicht.


Hauptsache der Prozessor kann AES-NI. Der Celeron J1900 ist daher zB _nicht_ zu empfehlen. Die bei IPU Systems gezeigten i3/i5 Systeme sollten alle gut funkionieren (alle AES-NI), würde aber tendentiell nicht den kleinsten nehmen (alte Technik).


Geht (bei mir ESXi + pfsense), aber die Realtek NICs haben einen schlechten Ruf, gerade bei hoher Last (VLAN
routing). Ich hatte (bei 100/50 Kabelmodem) bisher keine Probleme, aber eben auch keine nennenswerte Last. Die CPU ist jedenfalls stark genug für alles was Du normalerweise brauchst (schnelles VPN/IDS/IPS müsste man sich genauer ansehen).

All deine Anforderungen könnte auch die Fritzbox mit Freetz-Firmware erfüllen.

Mit der unterirdischen VPN Leistung wird er nicht viel Freude haben.

 

[ccgx]

[Zbox CI329] Geht (bei mir ESXi + pfsense), aber die Realtek NICs haben einen schlechten Ruf, gerade bei hoher Last (VLAN
routing). Ich hatte (bei 100/50 Kabelmodem) bisher keine Probleme, aber eben auch keine nennenswerte Last. Die CPU ist jedenfalls stark genug für alles was Du normalerweise brauchst (schnelles VPN/IDS/IPS müsste man sich genauer ansehen).

Hat jemand Erfahrungswerte ab wann es mit VLANs bei Realtek Probleme gibt? Derzeit habe ich nen VDSL 100/40-Anschluss, hoffe aber ja das es irgendwann mal mehr wird. Und dann wäre es ja Blöd wenn es auf einmal da hängt. Ich würde ja die Hardware gerne langfristig einsetzen können.

genau was asche77 geschrieben hat würde ich auch so unterschreiben.

Bei den Netzwerkanschlüssen würde ich auf jeden Fall zu Intel Chipsatz raten, wir hatten hier schon oft genug Ärger mit Realtek und Co. so das wir das vor viele Jahren generell auf Intel umgestellt hatten und seit dem 0 Probleme hatten. Zuverlässigkeit im Netzwerk erspart einiges an Fehlersuche und Kopfschmerzen.

Klingt sinnig. Das heißt in meinen Fall eher keine Zbox, aber ne APU oder Qotom. Wobei der Qotom dann auch mit Hinblick auf die CPU-Leistung die bessere Wahl wäre.

Hat bei mir geklappt mit genau dem Qotom
Per DHL Express und mit korrekter Angabe des Warenwertes null Probleme.

Ok. Da sich das preislich aus meiner Sicht aber nicht so sehr was gibt, ist es mit immer lieber doch den Händler greifen zu können wenn was ist. Aber danke für den Tipp und die Infos

All deine Anforderungen könnte auch die Fritzbox mit Freetz-Firmware erfüllen.

Mit der unterirdischen VPN Leistung wird er nicht viel Freude haben.

Genau, das ist auch ein Grund warum ich die Fritzbox ja ersetzen möchte. Sonst könnte ich ja auch einfach openwrt draufwerfen.

 

[Stueckchen]

Eigentlich solltest du erstmal zwei bis drei Sachen dir überlegen:
1. wie viel willst du ausgeben.
2. wie viel "Basten" bzw. Flexibilität und Komfort willst du haben.
3. sind irgendwelche vorlieben da bzw. gibt es Software die es könne muss.

Wenn Punkt eins egal ist: dann so groß es geht.
Am anderen Ende wenn Geld doch eine Rolle spielt mikrotik hex

 

[Morpheuz]

Als Firewall habe ich meinen treuen Dell Optiplex 9020 SFF (i5 4570, 8GB RAM, 120er SSD) genommen. Ist eig ein recht sparsamer Geselle (so um die ~15W). Ne Intel I350-T4 rein und ab geht die Luzi.
Definiv mehr power als diese APU Teile. Man kommt auch recht gut an die 9020er Optiplexe ran. Hättest somit bissl was von beidem; nen Fertigsystem wie der Optiplex und das Basteln (die NIC verbauen, jaja Hardcorebasteln !). Dann deine x86 basierte Firewall deiner Wahl drauf und Feuer.

 

[maxpowers]

Jo die fertig Rechner von Dell eignen sich da auch super für.
Den 7010er gibts auch häufig günstig auf Ebay zu ergattern.

 

[asche77]

Als Firewall habe ich meinen treuen Dell Optiplex 9020 SFF (i5 4570, 8GB RAM, 120er SSD) genommen. Ist eig ein recht sparsamer Geselle (so um die ~15W). Ne Intel I350-T4 rein

Das dürfte in der Tat günstiger als jede Qotom Lösung sein - und definitiv leistungsfähiger im Bedarfsfall da kein U/Y-Prozessor. Nur halt nicht ganz so "schnuckelig klein und ohne Lüfter".

 

[Morpheuz]

Naja so groß sind die SFF auch nicht, etwas kleiner als frühere Desktop Gehäuse für auf den Schreibtisch/unter den Monitor. Im Notfall gehen auch die Micro, die sind dann so groß wie ne NUC, haben aber auch wieder das Problem wie nen NUC -> keine PCIe Addon Karten möglich.
Ob jetzt Dell/HP/Lenovo die nehmen sich alle in der preisklasse nichts (größe und leistung sind die alle ähnlich). Habe halt den Dell genommen, weil ich den eh schon zuhause hatte.

 

[ccgx]

Das dürfte in der Tat günstiger als jede Qotom Lösung sein - und definitiv leistungsfähiger im Bedarfsfall da kein U/Y-Prozessor. Nur halt nicht ganz so "schnuckelig klein und ohne Lüfter".

schnuckelig klein und ohne Lüfter hat aber nen hohen WAF und den sollte man nicht unterschätzen. Von daher hätte ich lieber etwas kompaktes.

 

[derchris]

Wollte auch demnächst in meinem Hyper-V (dedizierte NICs) pfSense installieren. Der Server läuft eh, dann kann er auch pfSense machen.

Habt ihr MagentaTV laufen? Das hat besondere Erfordernisse (IGMPv3 Multicasts) ... werde mich da mal dran wagen

 

[sch4kal]

IGMPv3 Snooping ist eher wichtig für den Switch, damit der Multicast-Traffic nicht auf jedem Port rausgehauen wird.
Aber eine pfSense beherrscht das natürlich auch. MagentaTV läuft aber mW über ein separates VLAN.

 

[derchris]

IGMPv3 Snooping ist eher wichtig für den Switch, damit der Multicast-Traffic nicht auf jedem Port rausgehauen wird.
Aber eine pfSense beherrscht das natürlich auch. MagentaTV läuft aber mW über ein separates VLAN.

das VLAN macht der DrayTek Vigor 165 schon davor. Im LAN gibt es kein separates VLAN mehr bei der aktuellen Plattform, wenn ich das richtig verstanden habe

Kein Magenta aber pfSense in Hyper-V. Hab davor noch den ISP-Router für Telefonie etc. und pfSense ist in dessen DMZ, funktioniert wunderbar.

Telefonie fliegt bei mir raus. Wir telefonieren eh nur noch mit den iPhones und die Kinder nehmen die Echos dafür.