Hardware Empfehlung für Selbstbau Firewall mit pfSense bzw. OPNsense

Mitglied: Pete55
Hallo Zusammen,

an meinem Anschluss von Vodafone (Red Business Internet & Phone 500 Cable) habe ich als Firewall immer noch ein APU1D4 auf dem IPfire läuft hängen.
Diese würde ich gerne ein wenig modernisieren bzw. auf performanteren Stand bringen.
Ich habe noch einen Intel Pentium Gold G5500 rumfliegen und denke darüber nach ob ich den nicht dafür noch verwenden könnte.

Anforderungen:
  • pfSense/OPNsense
  • Einfamilienhaus, außer bei einer Party werden's nicht mehr als 5 Nutzer
  • Bandbreite des Anschlusses soll voll ausgereizt werden (Down:500 Mbit/s Up:50 Mbit/s) mit Luft für eine 1Gbit-Leitung
  • 4 LAN ports
  • VLAN für Gastnetzwerk uä.
  • IPSec & OpenVPN hätte ich auch gerne schnell ( >= 100Mbit, AES-NI)
  • Einbau im 19'' Rack
  • Stromsparend (<=20Watt idle)


Mein erster Gedanke war ein besser ausgestattetes APU4D4 anzuschaffen. Bin mir nach einigem hin- und herlesen aber immer noch nicht sicher ob ich damit obige Anforderungen wie z.B. die Geschwindigkeit beim VPN hinkriege.

Als Alternative sind mir die Boards X11SBA-LN4F und X11SCL-LN4F von Supermicro über den Weg gelaufen, auf letzterem könnte ich sogar meine noch vorhandene CPU verbauen.
Hat jemand Erfahrungen damit, Pico PSU, Stromverbrauch etc. ?

Oder kann jemand ein anderes Mainboard od. System empfehlen?


Vielen Dank für konstruktive Beiträge im voraus
Pete

Content-Key: 1295026863

Url: https://administrator.de/contentid/1295026863

Ausgedruckt am: 19.10.2021 um 15:10 Uhr

Mitglied: aqui
aqui 23.09.2021 aktualisiert um 09:47:07 Uhr
Goto Top
ob ich damit obige Anforderungen wie z.B. VPN hinkriege.
Wie ist das gemeint ?? Ob das Board das physisch schafft oder du selber ggf. damit eine Herausforderung hast ? Das APU4_Board jedenfalls hat AES-NI Support in der CPU und macht das mit Links und den Rest erklären dir, wie immer, abtippfertig die hiesigen Tutorials...
https://administrator.de/wissen/openvpn-server-installieren-pfsense-fire ...
https://administrator.de/tutorial/pfsense-vpn-mit-l2tp-ipsec-protokoll-f ...
https://administrator.de/tutorial/ipsec-vpn-fuer-mobile-benutzer-auf-der ...
https://administrator.de/tutorial/merkzettel-vpn-installation-mit-wiregu ...
Dein Pentium würde auch gehen ist aber ein böser Stromfresser.
Mit dem APU 4 in einem 19' oder ggf. diesen_Boards machst du nichts falsch.
Mitglied: radiogugu
radiogugu 23.09.2021 um 10:01:49 Uhr
Goto Top
Hi.

Für die APU und IPU Boards kann ich ebenfalls eine Lanze brechen.

Habe seit knapp einem Monat ein IPU662 im Einsatz. In einem kleinen Schrank mit Switch und NAS wird das Teil auch unter Last nie "heißer" als 35 °C.

Vorher hatte ich ein APU 2 Board im Einsatz und auch bei Kunden wurde dieses installiert und tut was es soll.

Gruß
Marc
Mitglied: NordicMike
NordicMike 23.09.2021 um 10:04:02 Uhr
Goto Top
Richte das VPN schon mal auf dem vorhandenen Board ein und schau es dir an, ob es gut läuft. Ich denke, dass du damit schon zufrieden sein wirst.
Mitglied: Spirit-of-Eli
Spirit-of-Eli 23.09.2021 um 10:13:04 Uhr
Goto Top
Moin,

mit einem IPU Board machst du nichts falsch. Bei mir rennt der Block wie eine 1.
Mit 8gb RAM kommt sogar Snort gut klar.

Gruß
Spirit
Mitglied: Pete55
Pete55 23.09.2021 aktualisiert um 12:19:30 Uhr
Goto Top
Zitat von @aqui:

ob ich damit obige Anforderungen wie z.B. VPN hinkriege.
Wie ist das gemeint ?? Ob das Board das physisch schafft oder du selber ggf. damit eine Herausforderung hast ? Das APU4_Board jedenfalls hat AES-NI Support in der CPU und macht das mit Links und den Rest erklären dir, wie immer, abtippfertig die hiesigen Tutorials...
https://administrator.de/wissen/openvpn-server-installieren-pfsense-fire ...
https://administrator.de/tutorial/pfsense-vpn-mit-l2tp-ipsec-protokoll-f ...
https://administrator.de/tutorial/ipsec-vpn-fuer-mobile-benutzer-auf-der ...
https://administrator.de/tutorial/merkzettel-vpn-installation-mit-wiregu ...
Dein Pentium würde auch gehen ist aber ein böser Stromfresser.
Mit dem APU 4 in einem 19' oder ggf. diesen_Boards machst du nichts falsch.

Gemeint war hinsichtlich der Geschwindigkeit bei VPN Verbindungen.
Was meinst du mit "macht das mit Links"?
An mancher Stelle konnte ich lesen dass dieses Board "nur" 50Mbit/s schafft, an anderer Stelle war wieder was von 100 - 150Mbit/s zu lesen. Was ist denn mit einem APU2/4 Board hinsichtlich der Geschwindigkeit bei VPN zu erwarten?

VG Pete
Mitglied: radiogugu
radiogugu 23.09.2021 um 12:17:47 Uhr
Goto Top
Zitat von @Pete55:
An mancher Stelle konnte ich lesen dass dieses Board "nur" 50Mbit/s schafft, an anderer Stelle war wieder was von 100 - 150Mbit/s zu lesen. Was ist denn mit einem APU2/4 Board hinsichtlich der Geschwindigkeit bei VPN zu erwarten?

Das hängt mit dem Protokoll und der entsprechenden Verschlüsselung zusammen.

Ein L2TP und ein OpenVPN wird wohl einem Wireguard oder IPSec in Geschwindigkeit immer etwas hinterherhinken.

Es gibt einfach verschiedene Ansätze und wenn du Wirespeed erwartest, muss das richtige "Rezept" gefunden werden und an beiden Standorten müssen ensprechende Internet-Geschwindigkeiten anliegen.

Ich habe zuhause eine 200/100 MBit/s Glasfaser Leitung und bekomme mit OpenVPN (mit Zertifikaten und AES 256 Bit Verschlüsselung auf knappe 50 MBit/s. Hoch, wie runter.

Bin damit zufrieden und versuche aktuell keine Optimierung des Konstrukts, da ich alle Anwendungsfälle abdecke.

Gruß
Marc
Mitglied: Pete55
Pete55 23.09.2021 um 12:27:50 Uhr
Goto Top
Zitat von @radiogugu:

Zitat von @Pete55:
An mancher Stelle konnte ich lesen dass dieses Board "nur" 50Mbit/s schafft, an anderer Stelle war wieder was von 100 - 150Mbit/s zu lesen. Was ist denn mit einem APU2/4 Board hinsichtlich der Geschwindigkeit bei VPN zu erwarten?

Das hängt mit dem Protokoll und der entsprechenden Verschlüsselung zusammen.

Ein L2TP und ein OpenVPN wird wohl einem Wireguard oder IPSec in Geschwindigkeit immer etwas hinterherhinken.

Es gibt einfach verschiedene Ansätze und wenn du Wirespeed erwartest, muss das richtige "Rezept" gefunden werden und an beiden Standorten müssen ensprechende Internet-Geschwindigkeiten anliegen.

Ich habe zuhause eine 200/100 MBit/s Glasfaser Leitung und bekomme mit OpenVPN (mit Zertifikaten und AES 256 Bit Verschlüsselung auf knappe 50 MBit/s. Hoch, wie runter.

Bin damit zufrieden und versuche aktuell keine Optimierung des Konstrukts, da ich alle Anwendungsfälle abdecke.

Gruß
Marc

Hi Marc,
diese Werte sind von deinem og. IPU-622 Board?
Weißt du aus Erfahrung ob die Angaben hinsichtlich Stromverbauch bei IPU Boards einigermaßen hinkommen?
Du hast natürlich Recht, die Anbindung an das Internet an beiden Standorten ist ein Thema. Ich bin häufig in Hotels unterwegs und da schwankt die Qualität der Anbindung schon erheblich.

VG Pete
Mitglied: Pete55
Pete55 23.09.2021 um 12:34:39 Uhr
Goto Top
Zitat von @NordicMike:

Richte das VPN schon mal auf dem vorhandenen Board ein und schau es dir an, ob es gut läuft. Ich denke, dass du damit schon zufrieden sein wirst.

Habe auf meinem APU1D4 OpenVPN unter IPFire laufen, die Übertragung ist damit leider sehr "zäh". Wobei dieser Eindruck aus Fremdnetzen wie Hotel, Flughafen etc. her stammt und dabei die generelle Anbindung des Internets von schwankender Qualität ist, allein schon der Unterschied ob ich ein Kabel oder "nur" WLAN zur Verfügung habe. Aber bisher bin ich nicht recht zufrieden - es ist mir immer etwas zu gemütlich ;-) face-wink

VG Pete
Mitglied: Pete55
Pete55 23.09.2021 um 12:38:16 Uhr
Goto Top
Zitat von @Spirit-of-Eli:

Moin,

mit einem IPU Board machst du nichts falsch. Bei mir rennt der Block wie eine 1.
Mit 8gb RAM kommt sogar Snort gut klar.

Gruß
Spirit

Hi,
mit welcher Bandbreite ist denn deine IPU Box ans Internet angeschlossen, weißt du welche Raten du bei VPN ungefähr rausbekommst?

VG Pete
Mitglied: Spirit-of-Eli
Spirit-of-Eli 23.09.2021 um 12:40:59 Uhr
Goto Top
Zitat von @Pete55:

Hallo Zusammen,

an meinem Anschluss von Vodafone (Red Business Internet & Phone 500 Cable) habe ich als Firewall immer noch ein APU1D4 auf dem IPfire läuft hängen.
Diese würde ich gerne ein wenig modernisieren bzw. auf performanteren Stand bringen.
Ich habe noch einen Intel Pentium Gold G5500 rumfliegen und denke darüber nach ob ich den nicht dafür noch verwenden könnte.

Anforderungen:
  • pfSense/OPNsense
  • Einfamilienhaus, außer bei einer Party werden's nicht mehr als 5 Nutzer
  • Bandbreite des Anschlusses soll voll ausgereizt werden (Down:500 Mbit/s Up:50 Mbit/s) mit Luft für eine 1Gbit-Leitung
  • 4 LAN ports
  • IPSec & OpenVPN hätte ich auch gerne schnell ( >= 100Mbit, AES-NI)
  • Einbau im 19'' Rack
  • Stromsparend (<=20Watt idle)


Mein erster Gedanke war ein besser ausgestattetes APU4D4 anzuschaffen. Bin mir nach einigem hin- und herlesen aber immer noch nicht sicher ob ich damit obige Anforderungen wie z.B. die Geschwindigkeit beim VPN hinkriege.

Als Alternative sind mir die Boards X11SBA-LN4F und X11SCL-LN4F über den Weg gelaufen, auf letzterem könnte ich sogar meine noch vorhandene CPU verbauen.
Hat jemand Erfahrungen damit, Pico PSU, Stromverbrauch etc. ?

Oder kann jemand ein anderes Mainboard od. System empfehlen?


Vielen Dank für konstruktive Beiträge im voraus
Pete

Derzeit 175/40 VDSL.
Mit Wireguard erreiche ich diese Werte +- 5Mbit ohne Probleme. OVPN liegt perse deutlich darunter.
Mitglied: aqui
aqui 23.09.2021 aktualisiert um 14:36:18 Uhr
Goto Top
Was meinst du mit "macht das mit Links"?
Das er es eben alles in Wirespeed macht wenn die CPU AES-NI kann.
OpenVPN unter IPFire laufen, die Übertragung ist damit leider sehr "zäh".
OpenVPN kann bekanntlich kein Multithreading. Sollte man wissen...
Besser von der Performance ist dann immer Wireguard oder IPsec:
https://www.wireguard.com/performance/
https://administrator.de/tutorial/merkzettel-vpn-installation-mit-wiregu ...
allein schon der Unterschied ob ich ein Kabel oder "nur" WLAN zur Verfügung habe
Ist auch logisch, denn bei WLAN hast du ja im Vergleich zum Kabel immer deutlich schlechtere Link Werte und zudem sind die nach HF Feldstärke Situation noch stark schwankend. Im Kabel hat man das nicht, da ist der limitierende Faktor einzig immer nur Router/Firewall und/oder Provideranschluss.
Mitglied: Pete55
Pete55 23.09.2021 aktualisiert um 15:07:57 Uhr
Goto Top
Zitat von @aqui:

Was meinst du mit "macht das mit Links"?
Das er es eben alles in Wirespeed macht wenn die CPU AES-NI kann.
Jetzt verstehe ich was gemeint ist. Diesbezüglich sehe ich auch das fehlende AES-NI als größtes Manko bei meiner jetztigen APU1.
OpenVPN unter IPFire laufen, die Übertragung ist damit leider sehr "zäh".
OpenVPN kann bekanntlich kein Multithreading. Sollte man wissen...
Besser von der Performance ist dann immer Wireguard oder IPsec:
https://www.wireguard.com/performance/
https://administrator.de/tutorial/merkzettel-vpn-installation-mit-wiregu ...
Das OpenVPN kein Multithreading kann ist mir bekannt, soll wohl mit der Version 3 kommen, aber wann das sein wird... , war unter anderem ein Grund warum ich auf die Idee mit meinem Pentium kam, der hat im Vergleich zu einem Jaguar auf dem APU Board eine relativ hohe single core Leistung was dann OpenVPN zugute käme.
allein schon der Unterschied ob ich ein Kabel oder "nur" WLAN zur Verfügung habe
Ist auch logisch, denn bei WLAN hast du ja im Vergleich zum Kabel immer deutlich schlechtere Link Werte und zudem sind die nach HF Feldstärke Situation noch stark schwankend. Im Kabel hat man das nicht, da ist der limitierende Faktor einzig immer nur Router/Firewall und/oder Provideranschluss.
Ja ist mir klar, meine Aussage zielte auf den Umstand dass ich bei beiden Verbindungsarten nicht zufrieden bin.

VG Pete
Mitglied: Pete55
Pete55 25.09.2021 um 09:03:35 Uhr
Goto Top
Ich werde mal das IPU-450 ausprobieren, denke dass reicht für meine Ansprüche.
Mal schauen wie's hinsichtlich der Beschaffung aussieht, zur Zeit ist dies ja etwas schwierig.

VG Pete
Mitglied: aqui
aqui 25.09.2021, aktualisiert am 26.09.2021 um 09:54:35 Uhr
Goto Top
Dann bleibt dir ja nur noch den Thread als gelöst zu schliessen... ! 😉
https://administrator.de/faq/32
Mitglied: Pete55
Pete55 26.09.2021 um 08:33:36 Uhr
Goto Top
Ich würde den gerne noch ein bisschen offen lassen, bei den aktuellen Lieferzeiten wird es noch eine Weile dauern bis das Ganze umgesetzt sein wird - wer weiß vielleicht hat noch jemand eine interessante Möglichkeit in petto...
Mitglied: Pete55
Pete55 26.09.2021 aktualisiert um 08:38:02 Uhr
Goto Top
Wie sind denn eure Einschätzungen hinsichtlich RAM und Festplattenspeicher?

Ich denke 4GB RAM und eine 64GB SSD reichen für OPNsense völlig. OPNsense soll einzig auf der IPU laufen, es ist keine Virtualisierung mit mehreren VMs geplant.
Gäbe es doch gute Gründe eine andere Wahl zu treffen?

VG Pete
Mitglied: Spirit-of-Eli
Spirit-of-Eli 26.09.2021 um 08:48:02 Uhr
Goto Top
Das ist schon ein guter Anfang.
Sinnvollere HW als das genannte gibt es für die Leistungsklasse eigentlich nicht.

Du könntest zwar z.b. alte Sophos HW nutzen, aber die ist meist Leitungsschwächer.
Mitglied: Pete55
Pete55 29.09.2021 um 08:08:57 Uhr
Goto Top
Zitat von @Spirit-of-Eli:

Das ist schon ein guter Anfang.
Sinnvollere HW als das genannte gibt es für die Leistungsklasse eigentlich nicht.

Du könntest zwar z.b. alte Sophos HW nutzen, aber die ist meist Leitungsschwächer.

Wenn es eine Leistungsklasse höher wäre, wäre es ja auch nicht schlimm. Dabei wäre es für mich wichtiger dass der Stromverbrauch (Idle) bei rund 10W und das Gerät in einem passenden Rahmen von 400-600€ bleibt. Deswegen hatte ich zu anfangs die Boards von Supermicro zur Debatte gestellt.
Mitglied: Spirit-of-Eli
Spirit-of-Eli 29.09.2021 um 08:21:18 Uhr
Goto Top
Ohne Last dümpelt dieses Board auch bei gut 10W herum:
https://www.ipu-system.de/produkte/ipu882.html

Mit Last wird es natürlich auch mal mehr. Dies kommt bei mir allerdings selten vor.
Mitglied: Pete55
Pete55 29.09.2021 um 08:29:56 Uhr
Goto Top
Was denkt ihr über die Geräte von Qotom?
Sehen übrigens genauso aus wie die IPUs, sind das eventuell sogar baugleiche Geräte?
Mitglied: aqui
aqui 29.09.2021 um 11:21:22 Uhr
Goto Top
Kommen vermutlich auch alle vom gleichen Chinesen....
Mitglied: Spirit-of-Eli
Spirit-of-Eli 29.09.2021 um 12:42:11 Uhr
Goto Top
Jip, die werden anscheinend häufig umgelabelt.
Mitglied: radiogugu
radiogugu 04.10.2021 um 08:58:57 Uhr
Goto Top
Die hier ähneln ebenfalls den IPUs 😁:

https://protectli.com/product-comparison/

Die Varianten sind derer Viele. Wird ja auch keine geschützte Marke sein, weder Gehäuse noch das gesamte Gerät.

Gruß
Marc
Mitglied: aqui
aqui 11.10.2021 um 10:13:55 Uhr
Goto Top
TO: Wenn's das denn nun war bitte dann nicht vergessen diesen Thread zu schliessen:
https://administrator.de/faq/32
Mitglied: Pete55
Lösung Pete55 14.10.2021 um 10:34:07 Uhr
Goto Top
Hab mir nun das IPU450 mit 4GB und 64GB SSD bestellt.
Bin gespannt...

Vielen Dank für Eure Tipps.

VG Pete
Heiß diskutierte Beiträge
question
Windows 11 Upgrade nicht möglichben1300Vor 1 TagFrageWindows 1114 Kommentare

Guten Morgen ! ich habe einen Gaming PC, mit folgende Spezifikationen: Leider kann ich diesen nicht auf Windows 11 upgraden: Welche Optionen bleiben mir, um ...

question
Was ich benötige ist ein guter Wechselrahmen 5,25"Lefty0815Vor 1 TagFrageFestplatten, SSD, Raid8 Kommentare

Hallo an alle, ich such mir noch einen Wolf :-) Was ich benötige ist ein Wechselrahmen 5,25" für eine zwei oder drei 3,5Zoll Festplatten (SATA ...

question
Exchange Server - Wege, anonymes Senden zu verbietenDerWoWussteVor 1 TagFrageExchange Server11 Kommentare

Ich grüße Euch! Ziel 1: Alle PCs sollen Warnmeldungen per E-Mail geskriptet und anonym versenden können. In diesen Skripten handelt das Computerkonto und im Skript ...

question
WLAN Lösung für Gästehaus Vereinjohannes-meyerVor 22 StundenFrageLAN, WAN, Wireless8 Kommentare

Hallo, ich betreue die IT eines Vereins, der zwei Gebäude mit Gästebetrieb betreibt. Es sind regelmäßig an die 30 bis 50 Geräte verbunden. Ich hab ...

question
Neuinstallation NetzwerkBurQueVor 12 StundenFrageNetzwerkgrundlagen13 Kommentare

Hallo ich hab die Aufgabe bekommen ein Netzwerk in einem neuen Gebäude einzurichten bzw. mir dazu Gedanken zu machen. Raumsituation. Im Keller steht ein Serverschrank ...

question
Microsoft Security Baseline sinnvoll?dertowaVor 1 TagFrageWindows 113 Kommentare

Hallo allerseits, ich habe nun im HomeLab ein wenig mit den Security Baselines von Microsoft experimentiert und komme zu keinem wirklichen Ergebnis. Es gibt einige ...

question
SMTP Relay Server gelöst MacLeodVor 1 TagFrageExchange Server10 Kommentare

Hallo zusammen. Vorwort: Habe das hier bei Exchange eingeteilt, betrifft aber Mailserver Versand allgemein. Bei einem Kunden mit einem Kerio Mailserver werden neben dem üblichen ...

question
Multi-WAN-Netzwerk fürs StudentenwohnheimHutzeljaegerVor 6 StundenFrageLAN, WAN, Wireless17 Kommentare

Hallo allerseits. Für die Internetversorgung unseres Studentenwohnheims muss ich nun sehen, dass ich eine kostengünstige Lösung eines Multi-WAN Netzwerks hinbekomme, wohl am besten per Multi-WAN-Bonding. ...