Sparsame HW für Sophos XG Home -> 1Gbit

[XTaZY]

Hallo Zusammen,

ich suche aktuell eine sparsame Intel CPU (max. 4 Cores / Threads) + Mainboard um meinen HP T620 abzulösen.
Schön wäre es, wenn zusätlich min. 8x PCIe 3.0 Lanes zur Verfügung stehen würden, da ich noch eine Mellanox ConnectX-3 habe (Overkill hin oder her )
1x RJ45 Onboard-NIC reicht völlig aus.

OS wäre Sophos XG Home
IPS: aktiv
Internet: 1000Mbit down - 50Mbit up

Ein Eigenbau wäre mir aktuell am Liebsten.
Bereits vorhanden:
- Supermicro 1HE Gehäuse inkl. Netzteil
- Mellanox ConnectX-3 (Dual)
- PCIe 3.0 Riser Kabel

Habt Ihr zufällig ein Geheim-Tipp ?

 

[Trambahner]

Mir würden da als erstes diese Tiny-SFF Thinkcenter von Lenovo (oder vergleichbares von HP) einfallen.
Die Lenovo Tiny gibts teilw. auch mit Riser für kurze,, halbhohe PCIe-Karten. Die, wo bereits mit einer Quadro P600 oder P620 kommen, haben den Riser bereits drin.

Nachteil: Unter Last werden sie ggf. lauter.

 

[XTaZY]

Hatte ich schon auf dem Schirm.
Was ich vllt. vergessen hab zu sagen.

1HE Gehäuse inkl. Netzteil hätte ich schon da, deshalb bin ich eher Richtung "Eigenbau" aktuell eingestellt.

 

[konfetti]

Ich denk so ein Thinkcenter oder größentechnisch was von Dell würde Dir da ja sicher reichen - hat die ConnectX-3 ne LP oder ne normale Blende?
das solltest ggf. bei der Gehäusewahl bedenken.

1000Mbit up und nur 50Mbit down? - eher andersrum oder? - Kabelinternet?

ah, ok - was für ein Case ist es denn? - je nachdem beschränkt das ja die Auswahl an möglichen Boards.

Hast Du aktuell schon eine Sophos XG am laufen?

 

[XTaZY]

Sorry, hatte ich vergessen zu erwähnen.

Ein Eigenbau wäre mir aktuell am Liebsten.
Bereits vorhanden:
- Supermicro 1HE Gehäuse inkl. Netzteil
- Mellanox ConnectX-3 (Dual)
- PCIe 3.0 Riser Kabel

Benötige deshalb wirklich nur 4 Core CPU, Mainboard und ca. 6-8GB RAM.
1x Onboard NIC reicht völlig aus, so dass 1x RJ45 und 2x SFP+ verfügbar ist.

Hab beide Blenden da liegen.

Hab die Angabe von Down und Up korrigiert.
Genau ist Vodafone Kabel-Internet - Modem ist ein Technicolor TC4400

 

[konfetti]

Dein 1HE-Case hat auch schon den passenden CPU-Kühler?

Ich kenn die Sophos aktuell nicht, aber wenn ich an Gehäuse in 1HE denke und was mir für meine pfsense so reicht:

Produktvergleich GIGABYTE GA-J3455N-D3H, ASRock Q1900M, Biostar A10N-9830E Geizhals Deutschland

Produktvergleich für GIGABYTE GA-J3455N-D3H, ASRock Q1900M (90-MXGTH0-A0UAYZ), Biostar A10N-9830E

geizhals.de

würde eher zum Biostar tendieren, weil die RAM-Slots quasi in Luftrichtung sitzen und nicht blocken. - oder das Asrock und da nur den oberen Slot nutzen...

 

[Trambahner]

Deskmini X300, 4350G und mit Riserkabel einen M.2 x4 als PCIe herausführen. Aber k.a. ob da ohne zusätzliche Stromversorgung eine Melli läuft. Eine i350 tut es, eine X540-T1 nicht. Kommt auch immer drauf an, welche Spannungen eine NIC benötigt.
Aber ist halt nicht Intel und eine Bastellösung, die nicht schön aussieht.

Mit Bios 1.46G oder 1.72 läuft auch ESXI drauf, so das man ggf. eine Virtualisierung der Sophos machen kann und den rest als Medienserver nutzen kann. Halt ohne ECC.

 

[XTaZY]

Dein 1HE-Case hat auch schon den passenden CPU-Kühler?

Ich kenn die Sophos aktuell nicht, aber wenn ich an Gehäuse in 1HE denke und was mir für meine pfsense so reicht:

Produktvergleich GIGABYTE GA-J3455N-D3H, ASRock Q1900M, Biostar A10N-9830E Geizhals Deutschland

Produktvergleich für GIGABYTE GA-J3455N-D3H, ASRock Q1900M (90-MXGTH0-A0UAYZ), Biostar A10N-9830E

geizhals.de

würde eher zum Biostar tendieren, weil die RAM-Slots quasi in Luftrichtung sitzen und nicht blocken. - oder das Asrock und da nur den oberen Slot nutzen...

Noch nicht, aber ich denke dass ich wieder den 1HE Kühler von Gelid nehmen würde.
Die Boards hab ich mir schon angeschaut und das Problem ist leider die "schlechte" PCIe-Anbindung

Dachte schon an i3-8100T mit "altem" Sockel 1151v2 Mainboard, aber ich denke das ist ein bisschen Overkill.
Eine Alternative wäre ggf.:
- Intel Celeron G5905T

- Biostar H510MH 2.0

Deskmini X300, 4350G und mit Riserkabel einen M.2 x4 als PCIe herausführen. Aber k.a. ob da ohne zusätzliche Stromversorgung eine Melli läuft. Eine i350 tut es, eine X540-T1 nicht. Kommt auch immer drauf an, welche Spannungen eine NIC benötigt.
Aber ist halt nicht Intel und eine Bastellösung, die nicht schön aussieht.

Mit Bios 1.46G oder 1.72 läuft auch ESXI drauf, so das man ggf. eine Virtualisierung der Sophos machen kann und den rest als Medienserver nutzen kann. Halt ohne ECC.

An sich eine schöne Idee, aber ist leider raus, da ich das Ganze ja in 1HE unterbringen möchte und dazu eine Intel CPU verbauen möchte

 

[konfetti]

Da ist dann aber auch der RAM wieder suboptimal für ne 1HE-Kiste verbaut.
entweder dann ein Serverboard oder halt auch was "richtiges" bei den SoCs

Mainboards Mainboards mit CPU mit CPU-Hersteller: Intel, CPU-Kerne ab 4, Besonderheiten: ECC-RAM Unterstützung Preisvergleich Geizhals Deutschland

Preisvergleich und Bewertungen für Mainboards Mainboards mit CPU mit CPU-Hersteller: Intel, CPU-Kerne ab 4, Besonderheiten: ECC-RAM Unterstützung

geizhals.de

Welche Leistung brauchst Du denn bei der CPU? - 10G is ja nett, aber die kommen doch nicht wirklich aus dem Internet und @home das zu Routen macht ja ggf. auch keinen wirklich Sinn, da würde ich das NEtz vermutlich einfach anders aufbauen. - Ich fahre mit dem neuen Server auch 10G zum Backup-Server bzw. 1 Client - nicht weil ich es unbedingt bräuchte...
Die FW läuft in ner VM - ja das ist ne Glaubensfrage, aber ganz ehrlich? - sparsamer bekommt man das ganze am Ende auch nicht hin, wenn man viele kleine Systeme hat.

Und wie Trambahner schon sagt, in VM hätte man halt die Vorteile, gleich alles andere da noch mit drauf zu packen...

 

[XTaZY]

Die Airflow-Situation des RAMs seh ich bei der entstehenden Abwärme eher unproblematisch.
In der Front des 1HE-Gehäuses sitzt noch ein runtergeregelter Blower.

Wenn ich mir die Sizing-Guides der einzelnen Sophos Appliances anschaue, würde ein Celeron oder ein Pentium Gold ausreichen.
Klar, ist die Mellanox-Karte oversized, aber ich habe den Uplink-Port am Switch frei und die Mellanox-Karte übrig.

Eine Firewall würd ich nur ungern in einer VM betreiben.
Für die weiteren Applikationen habe ich mein Unraid-Server.

 

[XTaZY]

Hab grad mal geschaut.
Die Intel H510 Plattform stellt nur 6 PCIe Lanes zur Verfügung, das wird ein bisschen knapp.

Denke mit der B560-Plattform fahr ich mit 12 PCIe Lanes besser.
Bin mir nur nicht sicher ob CPU und Mainboard wirklich so sparsam sind:
- Intel Pentium Gold G6405
- ASRock B560M-HDV

 

[XTaZY]

Intel Pentium Gold G6405T und Gigabyte B560M H sind auf dem Weg.
Das Asrock-Board hat eine Intel i219V-NIC, welches leider bis heut nicht von Sophos unterstützt wird.
Beim RAM hab ich auf Kingston VLF gesetzt, so dass der RAM nicht den ganzen Airflow blockiert.

Vielleicht schaff ich es am Wochenende das Ganze zusammenzubauen und zu testen.

 

[XTaZY]

Das uralte Supermicro 1HE-Gehäuse hat mich am Wochenende richtig gemobbt und es hat einfach nix gepasst ... erst das Netzteil nicht, dann der Riser nicht ...
Hab jetzt ein altes Chenbro PC722 erhalten.
Netzteil, Gehäuse-Lüfter und CPU-Kühler kommen gegen Ende der Woche.

 

[XTaZY]

Umstieg auf ITX:

Vorher:
• Intel Gold G6405T
• Gigabyte B560M H
• 8GB DDR4 RAM
• Samsung 950 Pro 256GB
• Mellanox Connect-X 3 (CX312A)
• Huawei E8372 LTE-Stick
• Xilence I404T
• Arctic 80mm Lüfter
• Chenbro PC722
• BeQuiet BQT TFX-300W TFX

-> Verbrauch: ~38-40w

Nach Umbau:
• Intel Gold G6405T
• ASRock H510M-ITX/ac
• 8GB DDR4 RAM
• Samsung 950 Pro 256GB
• Intel X710-DA2
• Huawei E8372 LTE-Stick
• Xilence I404T
• Xilence 92mm Lüfter
• Streacom F7C Alpha
• Pico PSU 160w mit Leicke 120w ULL

-> Verbrauch: ~28-30w




Die WLAN-Karte wurde direkt auf dem Board entfernt.
Die Sophos XG kann mit ASPM nicht so gut umgehen und verliert nach einer gewissen Zeit die Verbindung, daher konnte ich ASPM über das BIOS nicht aktiviert lassen.

1-2 Watt krieg ich vllt. noch über ein paar BIOS-Einstellungen raus

 

[XTaZY]

Nachtrag:

Scheinbar "verträgt" sich das ASRock-Mainboard in Kombination mit ASPM besser mit SFOS.

SFVH_SO01_SFOS 19.5.0 GA-Build197# lspci -vv | awk '/ASPM/{print $0}'
                LnkCap: Port #2, Speed unknown, Width x16, ASPM L0s L1, Latency L0 <256ns, L1 <8us
                LnkCtl: ASPM L0s L1 Enabled; RCB 64 bytes Disabled- Retrain- CommClk+
                LnkCap: Port #0, Speed unknown, Width x0, ASPM unknown, Latency L0 <64ns, L1 <1us
                LnkCtl: ASPM Disabled; Disabled- Retrain- CommClk-
                LnkCap: Port #5, Speed unknown, Width x4, ASPM unknown, Latency L0 <1us, L1 <16us
                LnkCtl: ASPM L1 Enabled; RCB 64 bytes Disabled- Retrain- CommClk+
                LnkCap: Port #0, Speed unknown, Width x8, ASPM unknown, Latency L0 <2us, L1 <16us
                LnkCtl: ASPM L1 Enabled; RCB 64 bytes Disabled- Retrain- CommClk+
                LnkCap: Port #0, Speed unknown, Width x8, ASPM unknown, Latency L0 <2us, L1 <16us
                LnkCtl: ASPM L1 Enabled; RCB 64 bytes Disabled- Retrain- CommClk+
                LnkCap: Port #0, Speed unknown, Width x4, ASPM unknown, Latency L0 <4us, L1 <64us
                LnkCtl: ASPM L1 Enabled; RCB 64 bytes Disabled- Retrain- CommClk+

Jetzt idled die Firewall bei 22-25w

 

[XTaZY]

Noch etwas sparsamer.

Vorher:
• Intel Pentium Gold G6405T
• ASRock H510M-ITX/ac
• 8GB DDR4 RAM
• Samsung 950 Pro 256GB
• Intel X710-DA2
• Huawei E8372 LTE-Stick
• Xilence I404T
• Xilence 92mm Lüfter
• Streacom F7C Alpha
• Pico PSU 160w mit Leicke 120w ULL

-> Verbrauch: ~28-30w

Nach Umbau:
• Intel Pentium Gold G5420
• Lenovo M720Q
• 8GB DDR4 RAM
• Samsung 950 Pro 256GB
• Intel X710-DA2
• Huawei E8372 LTE-Stick
• Lenovo 65 Watt Netzteil

-> Verbrauch @ 9% Auslastung: ~19-21w
-> Verbrauch @ 50 % Auslastung (Download mit 110 MB/s // IPS: aktiv // SSL/TLS Inspection; deaktiviert): ~30w

 

[DFFVB]

Das zieht aber ordentlich Strom.... Hast Du Di rmal überlegt zu virtualisieren?

 

[XTaZY]

Ja, leider lässt SFOS nicht zu ein paar Helfer nachzuinstallieren, den CPU Governor oder die ASPM-Richtlinie zu ändern mit OPNsense wäre der Verbrauch wahrscheinlich nochmal ca. 5-10 Watt weniger.

Performance-technisch soll ein virt. SFOS auch nicht so der Hit sein, darum bin ich bei sowas eher Fan von Bare-Metal

 

[Olaf16]

Zumindest bei der alten Sophos UTM konnte ich, bei ähnlicher HW/Cores/Ram keine Performanceunterschiede merken. Quad Port GBit NIC war an die VM durchgereicht.
Von der XG bin ich persönlich nicht so ganz der Fan, komme bis heute nicht so gut und einfach mit der Oberfläche zurecht, wie UTM.

Ansonsten denke ich bist du gut mit dabei. Für einen Freund habe ich vor nem Jahr hier im HWLUXX nen gebrauchten ThinClient geholt, der zumindest normales VDSL gut mitmacht. Da limitiert dann die CPU aber die Leistung irgendwann, weshalb er wenig verbraucht

Was man ggf. noch empfehlen könnte, wäre ein Intel Core i3/i5/i7 oder Xeon zu testen. Der dürfte den Load besser handeln und dadurch dann weniger verbrauchen. Zumindest war das damals für eine Synology NAS ein Upgradepath, der für deutlich mehr Leistung und zeitgleich weniger IDLE und leichte Lastverbrauch sorgte.

 

[XTaZY]

Zumindest bei der alten Sophos UTM konnte ich, bei ähnlicher HW/Cores/Ram keine Performanceunterschiede merken. Quad Port GBit NIC war an die VM durchgereicht.
Von der XG bin ich persönlich nicht so ganz der Fan, komme bis heute nicht so gut und einfach mit der Oberfläche zurecht, wie UTM.

Ansonsten denke ich bist du gut mit dabei. Für einen Freund habe ich vor nem Jahr hier im HWLUXX nen gebrauchten ThinClient geholt, der zumindest normales VDSL gut mitmacht. Da limitiert dann die CPU aber die Leistung irgendwann, weshalb er wenig verbraucht

Was man ggf. noch empfehlen könnte, wäre ein Intel Core i3/i5/i7 oder Xeon zu testen. Der dürfte den Load besser handeln und dadurch dann weniger verbrauchen. Zumindest war das damals für eine Synology NAS ein Upgradepath, der für deutlich mehr Leistung und zeitgleich weniger IDLE und leichte Lastverbrauch sorgte.

Ja den HP T620 haste bei mir "eingekauft"
Der war wirklich richtig gut und sparsam.

Hab den M720q auch schon mit einem i3-8100T getestet - hat ca. 5 Watt mehr verbraucht und hatte einen niedrigere Single-Core Performance als der jetzige G5420T.
Das Problem ist an sich die Software, da die einfach nicht auf sparsam ausgelegt ist.

 

[Olaf16]

Ja den HP T620 haste bei mir "eingekauft"

Ja, stimmt. Hab wohl das Forum mit Alzheimerluxx verwechselt

 

[DFFVB]

ein virt. SFOS auch nicht so der Hit sein

Ich hab ne 250 / 50 Leitung - und auf einem i3 1115G4 oder i3 10100 virtualisiert bekomme ich sie mit IPS / TLS nicht in die Knie, kann natürlich bei ner 1000er Leitung anders sein.

 

[XTaZY]

Würde bei 1000 wahrscheinlich anders aussehen.
Bis 500 kam ich auch mit einem kleinen ThinClient gut aus.