[Kaufberatung] Router zur VPN-Verbindung

[zerosys]

Guten Abend Kollegen,

aufgrund eines Umzugs plane ich aktuell das zukünftige Netzwerk. Als Basis dient eine 150k-Leitung der Unitymedia.

Da ich aktuell mehrere Geräte (Notebooks bei Bedarf, Receiver durchgehend, Smartphones bei Bedarf) mit meinem VPN-Anbieter NordVPN verbinde, hatte ich mir überlegt das in Zukunft einfacher zu gestalten und gleichzeitig die Anzahl der angemeldeten Geräte im NordVPN-Account zu senken (Maximum liegt bei 5).

Meine erste Idee ist es mehrere Netzwerke aufzubauen:

LAN 1: direkt mit Kabel am Router der Unitymedia angeschlossen: Notebook, PS4
WLAN 1: über WLAN mit dem Router der Unitymedia verbunden: Android TV, Drucker, Smartphone
Gäste-WLAN: Über einen Gastzugang am Router der Unitymedia werden dann alle zeitweise aktiven WLAN-Geräte mit Internet versorgt

An einen der noch zwei freien LAN Slots des Routers soll dann ein "VPN-Router" angebracht werden. Dieser soll ein VPN-LAN (für Receiver und bei Bedarf Notebook) und ein VPN-WLAN (bei Bedarf Smartphones) zur Verfügung stellen.

Da ist dann meine erste Frage, ist es überhaupt sinnvoll das so umzusetzen?
Und Frage Nummer zwei ist dann: welchen Router für die VPN-Netzwerke würdet ihr empfehlen? Ich würde gerne noch im zweistelligen Euro-Bereich bleiben.

Falls weitere Informationen benötigt werden, lasst es mich wissen.

Danke vorab!

 

[Boy2006]

Wat 150GBit Leitung?!

 

[zerosys]

Nein, 150 Mbit/s.

 

[Boy2006]

Hole dir ne Zyxel UTM achtung schaue auf die max. Bandbreite die du bei der Firewall hast.

 

[Digi-Quick]

Du solltest erstmal klären, ob eine LAN Kopplung überhaupt vorgesehen ist.
Ein VPN-Gateway ist kein VPN Client!
Ein VPN-Client bekommt genau eine VPN-IP Adresse, Ein VPN-Gateway koppelt die IP-Range des Lokalen Netzwerks an den VPN-Host.

Oh Boy"
Für VPN ist der Firewall-Durchsatz irrelevant sondern der VPN-Durchsatz, der ist i.d.R. deutlich geringer als der Firewall-Durchsatz einer einfachen Portbasierten und/oder SPI-Firewall, da hier der Netzwerkverkehr verschlüsselt wird. Bei einer DPI-FW sieht das dann schon anders aus, aber sowas findet man nicht in den einfachen VPN Gateways/VPN Routern.

 

[AliManali]

Zyxel UTM im zweistelligen Euro Bereich? Da kosten die Lizenzen pro Jahr schon mehr.

 

[Boy2006]

Lizenz brauchst keine klar kannst nicht die UTM Feature nutzen so als Router ist es ein geiles Teil.
Was es nicht gibt das gibt es nicht.

 

[gemm]

Für VPN Durchsatz im Bereich deiner Vorstellungen solltest du an allen verfügbaren Schrauben drehen. Da wäre zunächst der VPN Anbieter und das Protokoll. Nimmst du z.B. OpenVPN, dann brauchst du richtig Rechenleistung auf dem Router. Einer der flottesten Router mit Marvell CPU - z.B. WRT3200ACM mit 2x 1800MHz dürfte dafür nicht mal ausreichen. Bei IKEv2 (z.B. StrongSwan) kommst du mit deutlich weniger Rechnleistung aus. Übersicht Protokolle:

Welches VPN-Protokoll soll ich benutzen? | vpnMentor

Dann natürlich der Router selbst. Wie oben schon angedeutet braucht du Rechenleistung. Das ist mit deiner Vorstellung "im zweistelligen Bereich" schwer machbar. Meine Empfehlung wäre ein Turris Omnia mit 2x 1600MHz Marvell CPU und einem Firewall, der auch seinen Namen verdient (und außerdem allem, was so ein Router können sollte und noch ein wenig extra). Aber da liegst du bei 300 Euro. Mit StrongSwan kannst du dann aber bis 300Mbps Durchsatz rechnen.

Kleine Übersicht für den ersten Eindruck:
Lauri's blog | VPN benchmarking

Lies dich mal in die Protokolle und Routerhardware ein und entscheide danach, welchen Router, Protokoll und VPN Anbieter du nimmst. Beim Anbieter anzufangen ist Unsinn, denn das limitiert dich am meisten.

-----------------------------------------------------------------------------
Edit:
An der Fritzbox von unitymedia würde ich mal gar nichts anschließen. Ab besten schaltest du einen LAN Port in der Bridge Modus und hängst dahinter einen Router, mit dem du dein komplettes Netz aufbaust. Wenn du realistisch (=paranoid) bist, kommt zwischen Fritzbox und Router noch ein brauchbarer Firewall (z.B. pfsense). Aber das bleibt dir überlassen.

 

[IronAge]

Er will im zweistelligen Euro-Bereich bleiben.

 

[AliManali]

Lizenz brauchst keine klar kannst nicht die UTM Feature nutzen so als Router ist es ein geiles Teil.
Was es nicht gibt das gibt es nicht.

Ich weiss. Habe selber eine Zywall 110, die macht 500Mbit/s VPN Durchsatz. Aber wird wohl ausserhalb des Budgets des TE sein. Habe den Euro Kurs grad nicht im Kopf.

Ausserdem sind die Zywalls und USGs recht tricky zu konfigurieren, da kann man viel falsch machen.

 

[Boy2006]

Er will im zweistelligen Euro-Bereich bleiben.

Gebrauchten Server kaufen und nen ESXi drauf bügeln.

 

[gemm]

Er will im zweistelligen Euro-Bereich bleiben.

Einen Tod muss er sterben. VPN Durchsatz gibt es eben nicht für ganz kleines Geld...


OpenWRT fähigen, (gebrauchten) Router suchen; vielleicht mit Marvell Dualcore um 1,2GHz und dann einen IKEv2 (StrongSwan) Provider nehmen. Höherer Takt ist zu bevorzugen, da die VPN Berechnungen meist nur auf einem CPU Kern laufen.
Das wäre vermutlich noch die preiswerteste Lösung.

 

[AliManali]

Ein Kumpel von mir hätte noch so ein Kistchen rumliegen, darauf könnte man eine Firewall Distri installieren. Bräuchtest halt noch einen Switch und einen AP dazu. Oder gleich das Enigmabox System weiter nutzen, welches schon drauf ist. Hat einen Dualcore und 1 GB RAM, wenn ich mich recht entsinne. Mit cjdns macht die so um bis zu 40 Mbit/s (Quelle). Ist allerdings immer ein wenig kompliziert und teuer, solche Sachen in die EU zu senden (wir sind aus der Schweiz). Bei Interesse gerne pm.




Ich habe den Kram virtualisiert, und kriege quasi das Maximum aus meiner Anbindung (200/20). Muah geil...

 

[gemm]

Hm...und was zieht dein virtueller Server so an Strom ? Es wäre ja auch kein Problem nen Router direkt auf einer PC Harware aufzusetzen...da bekommst du auch Rechenleistung einer PC CPU.

Ich habe z.B. meinen Pfsense Firewall auf einerm µATX Board mit Celeron DualCore J1900 laufen. Rechenleistung für Firewall, Virenscanner, Intruder Detection und Proxy ist ausreichend vorhanden, aber das System liegt unter 10W. Beim Turris Omnia, der neben VPN auch mein WLAN aufspannt liege ich bei ca 6W.

Bei 24/7 Systemen ist das immer eine Frage der laufenden Kosten. Jedes Watt kostet etwa 2,50 Euro im Jahr (bei Strompreis um 29 ct/kWh).

 

[IronAge]

Einen Tod muss er sterben. VPN Durchsatz gibt es eben nicht für ganz kleines Geld...

Dahingehend war das auch mit dem zu verstehen, dass Anspruch und Preisvorstellung nicht zusammenpassen.

 

[AliManali]

Hm...und was zieht dein virtueller Server so an Strom ?

Keine Ahnung, ehrlich gesagt. Schätze so um die 50-100W im Idle. Habe dieses Jahr von X79 auf C612 mit IPMI gewechselt, jetzt konnte ich wenigstens die GPU für die Konsole raus werfen.

 

[zerosys]

Sorry für meine späte Rückmeldung. Aufgrund eines Umzugs war ich zeitlich etwas eingespannt.

Hmm, ich hatte anfangs eher gedacht es reicht einen 30€ Router zu kaufen, in diesem werden Verbindungsdaten des VPN-Providers eingetragen und alle dort verbundenen Geräte sind dann über die VPN-Verbindung drin...

Diverse VPN-Provider bieten solche vorgefertigten Router ja immerhin an.

Ich habe mir für den ersten Schritt jetzt erstmal einen Raspberry Pi 3b+ gekauft und werde darüber PiVPN realisieren.

 

[sch4kal]

Mikrotik hEX S dürfte reichen.

 

[Hexcode]

Und dafür buddelt ihr einen 2 Jahre alten Thread aus?
Ah... Den Spamlinks hätte ich fast übersehen. Hier ist erstmal zu.