Zelfbouw project: Firewall / Router / AP

[Zjemm]

Webcontent
DNS firewall
En av

Eventueel nog deepinspection
Voor nu gebruik ik nog mijn Juniper srx, maar licenties daarop voor bovenstaande functionaliteit is te duur

[Dennis]

Leuk project dit, goed om te volgen. Ik heb sinds twee weken ook PfSense draaien op een VPS. Beetje overkill configuratie wel voor een simpel 'routertje' die alleen wat VPN's gaat verbinden.

Vind het systeem op zich wel mooi werken met al die opties die zelf de juiste config files genereert, hoewel ik zelf voornamelijk OpenWRT gewend ben. De webinterface van PfSense vind ik verder echt uit 1980; terecht dat zo'n project als OpnSense dat aanpakt.

[ericafterdark]

Nou, dan meld ik me ook maar even

Huidige situatie: Netgear R7000 met DD-WRT en een Ziggo 200/20 connectie.

Behalve dat ik sowieso een pfSense router wil bouwen heb ik een gigabit link (in een data center) ter beschikking met genoeg bandbreedte waarmee ik een site to site IPsec tunnel wil opzetten zodat al mijn verkeer thuis encrypted is. De grootste uitdaging is dan ook de hardware. Met een instap bordje en cpu kom ik niet weg wil ik die mooie 200/20 verbinding blijven benutten.

Om te beginnen zal ik in ieder geval een CPU met AES-NI moeten nemen (http://ark.intel.com/search/advanced?AESTech=true). Verder las ik op de pfSense website (http://pfsense.org/hardware/#requirements) dat ik voor 500+ mbit/s rekening moet houden met: "Multiple cores at > 2.0GHz are required. Server class hardware with PCI-e network adapters."

Heeft iemand toevallig al ervaring met dit soort snelheden over IPsec en een idee over welk bordje en CPU ik moet nemen? Voor netwerk ga ik sowieso voor een aparte Intel kaart.

[ Voor 0% gewijzigd door ericafterdark op 20-04-2015 22:22 . Reden: Typo ]

[Dennis]

Eiríkr schreef op maandag 20 april 2015 @ 22:21:
Behalve dat ik sowieso een pfSense router wil bouwen heb ik een gigabit link (in een data center) ter beschikking met genoeg bandbreedte waarmee ik een site to site IPsec tunnel wil opzetten zodat al mijn verkeer thuis encrypted is. De grootste uitdaging is dan ook de hardware. Met een instap bordje en cpu kom ik niet weg wil ik die mooie 200/20 verbinding blijven benutten.

Wil je al je internetverkeer routeren via het datacentrum? En dan van jouw huis naar het datacentrum encrypted? Wat is je precieze doel dan, want dat ontgaat me een beetje .

[ericafterdark]

Dat is inderdaad het idee! Mijn connectie via het dc routeren. Encrypted

[Ramon]

Je vertrouwt dus je ISP niet?

Maar ontopic, mijn APU (dualcore 1Ghz AMD met onboard realtek NICS) doet al 600Mbps (unencrypted) dus die cijfers op de site van pfsense zijn iets aan de lage kant. Wat voor hardware je wel nodig hebt durf ik niet te zeggen maar een pentium ofzo met intel NICS ofzo lijkt me een goede optie.

[Raven]

Eiríkr schreef op maandag 20 april 2015 @ 22:21:
Verder las ik op de pfSense website (http://pfsense.org/hardware/#requirements) dat ik voor 500+ mbit/s rekening moet houden met: "Multiple cores at > 2.0GHz are required. Server class hardware with PCI-e network adapters."

Ik kan met een singlecore Atom N270 en 82574L NIC's in de router-pc toch een aardig eind komen. De router-pc zelf haalt out of the box met downloaden naar /dev/null zo rond de 80MBps (1Gb abo bij Tweak) waarbij de CPU load erg laag blijft, de doorvoersnelheid is een beetje lastig te meten.

Ik heb wel geprobeerd te wget-ten naar de Windows tegenhanger van /dev/null, maar wget voor Windows download nou niet bepaald snel. jDownloader download juist veel sneller (ondersteund ook meerdere connecties per download) maar de hdd kan het niet bijbenen

Maar zover ik kan zien hier heb je echt geen meerdere CPU-kernen nodig voor dergelijke snelheden.

[ericafterdark]

Raven schreef op maandag 20 april 2015 @ 23:37:
[...]
Ik kan met een singlecore Atom N270 en 82574L NIC's in de router-pc toch een aardig eind komen. De router-pc zelf haalt out of the box met downloaden naar /dev/null zo rond de 80MBps (1Gb abo bij Tweak) waarbij de CPU load erg laag blijft, de doorvoersnelheid is een beetje lastig te meten.

Ik heb wel geprobeerd te wget-ten naar de Windows tegenhanger van /dev/null, maar wget voor Windows download nou niet bepaald snel. jDownloader download juist veel sneller (ondersteund ook meerdere connecties per download) maar de hdd kan het niet bijbenen

Maar zover ik kan zien hier heb je echt geen meerdere CPU-kernen nodig voor dergelijke snelheden.

Dat klopt maar zodra je al dat verkeer wilt encrypten en decrypten (in mijn geval IPsec) wordt het een ander verhaal en heb je meer power nodig.

[Raven]

Dan is het een ander verhaal inderdaad, maar ik dacht dat het over basic router functionaliteit ging.

[Dennis]

Ramon schreef op maandag 20 april 2015 @ 23:18:
Je vertrouwt dus je ISP niet?

Ja, dat is dus ook mijn conclusie.

Eiríkr schreef op maandag 20 april 2015 @ 23:04:
Dat is inderdaad het idee! Mijn connectie via het dc routeren. Encrypted

Klopt bovenstaande inderdaad, tAnk?

[Ramon]

Dennis schreef op dinsdag 21 april 2015 @ 22:49:
[...]

Ja, dat is dus ook mijn conclusie.

Persoonlijk vind ik het andersom veel interessanter: stel je zit op een openbaar wifi netwerk van de koffiebar om de hoek en je wilt even wat bankzaken doen ofzo, dan connect je met een VPN server die op de router draait thuis, en kan je zo de onveilige wifi omzeilen.

[B2]

Ramon schreef op woensdag 22 april 2015 @ 00:01:
[...]
Persoonlijk vind ik het andersom veel interessanter: stel je zit op een openbaar wifi netwerk van de koffiebar om de hoek en je wilt even wat bankzaken doen ofzo, dan connect je met een VPN server die op de router draait thuis, en kan je zo de onveilige wifi omzeilen.

Daar heb je geen zware hardware voor nodig die een IPSec tunnel opzet naar een CoLo machine. Dan voldoet de meest simpele hardware icm OpenVPN.
Zelfs geen Intel Nics voor nodig.

[ Voor 3% gewijzigd door B2 op 22-04-2015 06:11 ]

[Dennis]

Ramon schreef op woensdag 22 april 2015 @ 00:01:
Persoonlijk vind ik het andersom veel interessanter: stel je zit op een openbaar wifi netwerk van de koffiebar om de hoek en je wilt even wat bankzaken doen ofzo, dan connect je met een VPN server die op de router draait thuis, en kan je zo de onveilige wifi omzeilen.

Klopt; ik heb dat zelf ook draaien. Alleen maak ik verbinding met mijn VPS (met PfSense). Vanuit de VPS zijn ook VPN tunnels met mijn thuisnetwerk en dat van mijn familie, zodat ik overal bij kan.

[ericafterdark]

B2 schreef op woensdag 22 april 2015 @ 06:08:
[...]


Daar heb je geen zware hardware voor nodig die een IPSec tunnel opzet naar een CoLo machine. Dan voldoet de meest simpele hardware icm OpenVPN.
Zelfs geen Intel Nics voor nodig.

Was het maar zo. Probeer maar eens 200 mbit/s zonder problemen over OpenVPN (met goede encryptie) te duwen zonder fatsoenlijke CPU. Dat gaat je niet lukken. Zie ook https://community.openvpn...ki/Gigabit_Networks_Linux

De conclusie overigens van hierboven klopt, ik wil gewoon mijn thuis verbinding encrypten

[Dennis]

Ik heb gisteren trouwens mijn PfSense getweakt om op de webinterface (die ook gewoon aan het internet hangt) client certificates te activeren. Helaas kan dit niet via de GUI, dus ik moest het bestand /etc/inc/system.inc tweaken.

Klein stukje code...

PHP:

// begin snippet uit functie system_generate_lighty_config
        // where ssl.cipher-list is set, this is automatically enabled, but set it explicitly anyway.
        $lighty_config .= "ssl.honor-cipher-order = \"enable\"\n";

// Hier drie lines commenten, want ik wil strengere cipher en mijn CA van mijn server certificaat is een andere CA dan die van de client certificaten
//      $lighty_config .= "ssl.cipher-list = \"AES128+EECDH:AES256+EECDH:AES128+EDH:AES256+EDH:AES128-SHA:AES256-SHA:!aNULL:!eNULL:!DSS\"\n";

//      if(!(empty($ca) || (strlen(trim($ca)) == 0)))
//          $lighty_config .= "ssl.ca-file = \"{$g['varetc_path']}/{$ca_location}\"\n\n";

// Hier nieuwe regels toegevoegd, dh2048.pem en eigen CA heb ik zelf in /var/etc geplaatst. 
        $lighty_config .= "ssl.ca-file = \"{$g['varetc_path']}/clientcert-ca.crt.pem\"\n";
        $lighty_config .= "ssl.dh-file = \"{$g['varetc_path']}/dh2048.pem\"\n";
        $lighty_config .= "ssl.cipher-list = \"AES256+EECDH:AES256+EDH\"\n";
        $lighty_config .= "ssl.disable-client-renegotiation = \"enable\"\n\n";
        $lighty_config .= "ssl.verifyclient.activate = \"enable\"\n";
        $lighty_config .= "ssl.verifyclient.enforce = \"enable\"\n";
        $lighty_config .= "ssl.verifyclient.username = \"SSL_CLIENT_S_DN_CN\"\n";
        $lighty_config .= "ssl.verifyclient.depth = \"3\"\n";
    }

    // Add HTTP to HTTPS redirect   
    if ($captive_portal === false && $config['system']['webgui']['protocol'] == "https" && !isset($config['system']['webgui']['disablehttpredirect'])) {
// einde snippet

Heb het gevoel dat het nu weer een stukje veiliger is. Mijn thuisrouters zijn ook allemaal op deze manier beveiligd (OpenWRT, daar heb ik steeds uhttpd vervangen door lighttpd).

[B2]

Eiríkr schreef op woensdag 22 april 2015 @ 08:25:
[...]


Was het maar zo. Probeer maar eens 200 mbit/s zonder problemen over OpenVPN (met goede encryptie) te duwen zonder fatsoenlijke CPU. Dat gaat je niet lukken. Zie ook https://community.openvpn...ki/Gigabit_Networks_Linux

De conclusie overigens van hierboven klopt, ik wil gewoon mijn thuis verbinding encrypten

Het ging mij hier om :

Ramon schreef op woensdag 22 april 2015 @ 00:01:
[...]
Persoonlijk vind ik het andersom veel interessanter: stel je zit op een openbaar wifi netwerk van de koffiebar om de hoek en je wilt even wat bankzaken doen ofzo, dan connect je met een VPN server die op de router draait thuis, en kan je zo de onveilige wifi omzeilen.

Ten eerste heb je voor dit soort dingetjes je je 200Mbit verbinding niet nodig en ten tweede ben je heel erg afhankelijk van de snelheid die het (openbare) wifi netwerk heeft.

[Ramon]

Ik zeg toch ook niet dat je daar je volledige snelheid voor nodig hebt? 10~20mbit/s lijkt me genoeg. Ik zei het alleen om aan te geven dat het mij nuttiger lijkt dan je ISP verbinding encrypten, omdat dat nauwelijks iets toevoegt lijkt mij, terwijl encryptie op openbare WIFI je beschermt tegen concrete(re) dreigingen.

[ericafterdark]

Ah, check! Dan begrijp ik het! Het wordt in ieder geval een leuk hobby project.

[Soonie]

Ramon schreef op woensdag 22 april 2015 @ 10:11:
Ik zeg toch ook niet dat je daar je volledige snelheid voor nodig hebt? 10~20mbit/s lijkt me genoeg. Ik zei het alleen om aan te geven dat het mij nuttiger lijkt dan je ISP verbinding encrypten, omdat dat nauwelijks iets toevoegt lijkt mij, terwijl encryptie op openbare WIFI je beschermt tegen concrete(re) dreigingen.

Wellicht erg oftopic , maar ik volg deze discussie met blijdschap en het heeft me geholpen om een keuze te maken met welk kastje ik PFsense ga draaien dank.

Nu lees ik ook iets over ISP data encrypten , ik ben daar ook over aan het denken en pas het af en toe ook toe , maar ik vraag me af of het het bijdraagd aan de veiligheid van je gegevens. Waarbij je ook weer moet opletten welke site en waar je op klikt, hoewel dit ook niet te voorkomen is omdat ze best goed de malware kunnen verstoppen als ze echt willen.

Wat ik me ook afvraag is: mijn ISP kan inloggen op de Experiabox , kunnen ze dan ook mijn netwerk zien ? Dus ook mijn gedeelde mappen ?

mijn insteek is:

Kastje met pfSense als barriere tussen het ISP modem en mijn netwerk
Snort (betaalde versie)
VPN server draaien voor inkomende verbindingen (hotspot)
VPN client (voor encryptie surfen)
http verkeer door de VPN poort sturen

Hoop einde van de week mijn pakketje binnen te hebben het gaat om een APU 4D zonder wifi , die hang ik er zelf aan zodat ik vrij ben in plaats bepaling van de AP.

[ Voor 0% gewijzigd door Soonie op 04-05-2015 09:24 . Reden: spelling ]

[aadje93]

Solonie, KPN kan inderdaad op je experiabox inloggen,

Ze kunnen dan in theorie ook je computers zien (DHCP server) en eventueel het OS scannen door inderdaad de thuisgroep van windows. Om deze reden kan een simpel routertje achter je experiabox al een hoop tegenhouden. PFsense is een nog veel mooiere oplossing (draai ik thuis ook, mogelijkheden zijn eindeloos).

Je experiabox moet je in "bridge" mode zetten, dit kan alleen bij de zwart/witte, volgensmij generatie 8 (thomson, even googlen en dan krijg je de "geheime" link naar het html doc waar je dit kunt aanvinken,vergeet ook niet je huidige gegevens in de experiabox op te slaan.)

VPN is zo opgezet op een pfsense machine, je kunt eventueel nog gebruik maken van een VPN elders (vps?) maar het eindpunt is altijd de zwakste plek. Denk niet dat je met een vpn op bijvoorbeeld een VPS je ineens veilig bent, het verkeer komt dan mischien onder een ander IP het internet op, maar alsnog zijn je gegevens aan dat IP te koppelen, ik gebruik daarom alleen een VPN server waar ik alle mobiele aparaten mee laat verbinden ivm publieke wifi's. Daarnaast om zo makkelijk in het huisnetwerk te komen (een virtual machine op mijn virtualisatie labje is mijn backup mocht vpn niet mogelijk zijn)

Met pfsense blokkeer je eigenlijk alles vanaf de experiabox. je PFsense machine krijgt dan het "externe" ip van je internet aansluiting omdat je via PPOE verbind. Mocht bridge mode niet mogelijk zijn dan kun je volgens mij ook nog gewoon een intern ip toewijzen en een DMZ opstellen, maar ik heb vernomen dat je dan met dubbel NAT problemen gaat krijgen, hoe dit werk heb ik geen ervaring mee gezien mijn experiabox in bridge mode staat. (router functie is dan uit, het werkt volledig als een lomp internetmodem dan)

[Soonie]

aadje93 schreef op maandag 04 mei 2015 @ 10:48:


Met pfsense blokkeer je eigenlijk alles vanaf de experiabox. je PFsense machine krijgt dan het "externe" ip van je internet aansluiting omdat je via PPOE verbind. Mocht bridge mode niet mogelijk zijn dan kun je volgens mij ook nog gewoon een intern ip toewijzen en een DMZ opstellen, maar ik heb vernomen dat je dan met dubbel NAT problemen gaat krijgen, hoe dit werk heb ik geen ervaring mee gezien mijn experiabox in bridge mode staat. (router functie is dan uit, het werkt volledig als een lomp internetmodem dan)

Eh tja daar zeg je zowat , ik weet dat Ziggo je router in de Bridge mode kan zetten maar KPN doet dat of kan dat denk ik niet. Ik heb de Experia v9 en DHCP enzo staan aan en grey out dus niet te veranderen. (helemaal idiot proof gemaakt)

Nu heb ik een routertje al achter de Exp box staan en ik rommel daar een beetje mee , dat wil zeggen de ene keer zet ik hem in dezelfde IP range met DHCP uit om hem daarna weer met een ander IP adres weer seperaat te zetten van het netwerk zodat je een scheiding krijgt tussen je ISP en je LAN.

De PSsense moet voor dat routertje in de de plaats komen, en ik hoop wel dat dit gaat werken met de Experia als router.

Ik dacht PSsense geef je een static IP , en die zet je vast in de expreria box (IP binding)

Volgens mij kan er dan weinig fout gaan , of gaat een dubbele NAT roet in het eten gooien ? Ik dacht dat een dubbele NAT enkel je verbinding wat vertraagde , onderweg zullen er wel meer NATjes zitten richting het net ?

[aadje93]

de V9 kun je niet in bridge mode zetten (althans mij niet bekend) mischien kun je via V&A nog een V8 scoren , je logt via PPOE in met je pfsense, dus je komt verder niet meer in de experiabox.

IPTV etc schijnt ook gewoon nog te werken met de V8 in bridge modus, ik zit zelf nog op internet-only ADSL dus daar heb ik geen ervaring mee.

Dubbele nat vertraagd je verbinding iets (haast niet merkbaar gezien je pfsense machine vele malen sterker is dan de experiabox). Maar met port-forwarding kan het lastig worden. Je kunt een DMZ (De militarized zone) maken naar je pfsense machine, daarmee geef je eigelijk al het verkeer vrij, dan port forwarden op de pfsense machine. (Let erop dat pfsense standaard al het verkeer blokkeerd, zelfs http!, dit moet je ook even in de firewall vrijgeven!)

Je bind de pfsense machine inderdaad in je DHCP lijst aan een vast ip, en dan DMZ opgeven. Maar bridge mode werkt stukken beter gezien de pfsense machine dan je externe IP op de wan-poort krijgt ipv een lan ip.

*met ipv6 zal het allemaal wel makkelijker worden gezien je dan geen NAT meer hebt, maar de details heb ik nog niet gezien alles nog ipv4 is bij mij, wel bezig om een ipv6 tunnel op te zetten met de pfsense machine*

[Anoniem: 671370]

hallo

ik zou ook wat hulp willen ik ben van plan om binnenkort een pfsense box te bouwen met de volgende hardware

Gigabyte GA-J1900N-D3V
Corsair XMS CMX8GX3M2A1333C9
250/500 GB harde schijf
case MS-Tech CI-70

Ik ben nieuw op dit gebied en zou graag willen weten of deze setup goed is voor me verbinding ik heb een 200/20 verbinding van ziggo. En zou graag pfsense gebruiken voor vpn en het scannen van bestanden met behulp van clamav antivirus. Begrijp ik het dan goed dat deze case een in geboude voeding heeft dat ik dus geen voeding hoef erbij te kopen en een schijf van 2.5 inch?

ik hoor graag van jullie

[ Voor 15% gewijzigd door Anoniem: 671370 op 04-05-2015 14:54 ]

[Soonie]

aadje93 schreef op maandag 04 mei 2015 @ 12:24:
de V9 kun je niet in bridge mode zetten (althans mij niet bekend) mischien kun je via V&A nog een V8 scoren , je logt via PPOE in met je pfsense, dus je komt verder niet meer in de experiabox.

IPTV etc schijnt ook gewoon nog te werken met de V8 in bridge modus, ik zit zelf nog op internet-only ADSL dus daar heb ik geen ervaring mee.

Thx Aadje !

Ik ga het volgende week allemaal aansluiten en inregelen , wellicht tijd voor een andere provider , ben niet zo stuk van de beperkingen van de Experiabox maar ik ga het dit jaar nog uitzingen met static IP en een DMZ.

Als iemand ervaringen heeft met andere provider waar de modems wel makkelijk in bridge kunnen dan lees ik dat graag, ik weet dat ziggo het zonder slag of stoot voor je doet maar ik heb graag een DSL verbinding en TV apart , gewoon omdat het kan

Ik heb een kant en klaar setje gekocht met de reden dat ik eerst PFsense goed onder controle wil krijgen.
Als dat lukt dan ga ik zelf bouwen , mijn uitgangspunt is steeds een laag verbruik 12 watt en snort moet zonder haperingen draaien.

Ik kom uit op een APU1D4 zonder wifi en PFsense pre installed , ik zag dat er meer mensen op dit forum voor deze configuratie hadden gekozen en ben erg benieuwd naar hun evaringen.

Functies die ik ga gebruiken is firewall / snort / VPN client

[ Voor 0% gewijzigd door Soonie op 05-05-2015 09:39 . Reden: spelling ]

[aadje93]

Je kunt uiteraard gewoon digitenne nemen ,maar zonder gekheid bijna alles is ip-tv tegenwoordig, zelfs alles in een van kpn zou bij ons ook via adsl lopen. Glas aansluiting (caiway) ook alleen maar alles in 1....

Het is handig om een 2e internet bron te hebben als je ermee aan de gang gaat, het voordeel van de DMZ setup is dat je gewoon je laptop bijvoorbeeld nog via de wifi van de router kan gebruiken ipv het AP op pfsense, maar in bridge mode heb je dit dus niet meer. Ik heb toen op mijn telefoon moeten zoeken hoe ik de firewall open moest zetten voor verkeer van lan -> wan en weer terug.

[Soonie]

Het is handig om een 2e internet bron te hebben als je ermee aan de gang gaat, het voordeel van de DMZ setup is dat je gewoon je laptop bijvoorbeeld nog via de wifi van de router kan gebruiken ipv het AP op pfsense, maar in bridge mode heb je dit dus niet meer. Ik heb toen op mijn telefoon moeten zoeken hoe ik de firewall open moest zetten voor verkeer van lan -> wan en weer terug.

Zeker handig ja om nog even via de wifi te kunnen spieken , loop nu al vast met het toewijzen van de interface;s Moet hem programmeren via de WAN poort en dan de LAN toevoegen.

Heeft iemand een opzetje ? een duwtje de goede richting op

[B2]

Soonie schreef op woensdag 06 mei 2015 @ 17:06:
[...]


Zeker handig ja om nog even via de wifi te kunnen spieken , loop nu al vast met het toewijzen van de interface;s Moet hem programmeren via de WAN poort en dan de LAN toevoegen.

Heeft iemand een opzetje ? een duwtje de goede richting op

Wat snap je dan niet? Vrij eenvoudig toch?

[Soonie]

B2 schreef op woensdag 06 mei 2015 @ 17:19:
[...]


Wat snap je dan niet? Vrij eenvoudig toch?

Ik wordt even overspoeld door opties , heb net de config doorlopen , maar nu moet er internet op de LAN poor komen. Dus alles zit ingeklikt WAN op het modem , en mn laptopje hangt aan LAN nu moet ik ergens de interfaces koppelen (dacht ik ) of de firewall openzetten . ik weet ff niet waar te beginnen

PF sense is gloedjenieuw voor mij (routers instellen overigs niet) dus heb wel iets kennis

[justahuman]

Wat ik zelf merkte dat pfsense nogal snel stuk gaat wanneer je de complexere features aan zet zoals openvpn, of ipsec tunnels. Toen ik zelf upgrade naar 2.2 was ipsec totaal stuk. en openvpn interfaces die ook continue van naam veranderen. Ben zelf op dit moment erg te spreken over Vyos.

[Soonie]

B2 schreef op woensdag 06 mei 2015 @ 17:19:
[...]


Wat snap je dan niet? Vrij eenvoudig toch?

Ik was dapper op weg interfaces ingesteld , firewall regels aanmaken

nu heb ik aan de interfaces mac adressen toegewezen (via het menu) en plots kom ik niet meer in de GUI via 192.168.1.1 met geen mogelijkheid.

ook niet na een reset

[ Voor 0% gewijzigd door Soonie op 06-05-2015 19:47 . Reden: spelling ]

[B2]

Soonie schreef op woensdag 06 mei 2015 @ 17:35:
[...]


Ik wordt even overspoeld door opties , heb net de config doorlopen , maar nu moet er internet op de LAN poor komen. Dus alles zit ingeklikt WAN op het modem , en mn laptopje hangt aan LAN nu moet ik ergens de interfaces koppelen (dacht ik ) of de firewall openzetten . ik weet ff niet waar te beginnen

PF sense is gloedjenieuw voor mij (routers instellen overigs niet) dus heb wel iets kennis

Rechtstreeks je laptop aan de LAN? Dat lijkt me niet de bedoeling.. Interfaces? Vaak werkt de auto detectie van pfSense prima. WAN zet je 99/100 gevallen op DHCP, en stel je een ip range in voor de LAN interface..
Of ik heb het al zo vaak gedaan dat ik de moeilijkheid niet meer in zie

Soonie schreef op woensdag 06 mei 2015 @ 19:03:
[...]


Ik was dapper op weg interfaces ingesteld , firewall regels aanmaken

nu heb ik aan de interfaces mac adressen toegewezen (via het menu) en plots kom ik niet meer in de GUI via 192.168.1.1 met geen mogelijkheid.

ook niet na een reset

Huh, waarom zou je mac adressen aan interface willen toewijzen?

Net als firewall regels aanmaken, standaard blokkeert pfsense alle inkomende verbindingen. Enige waar je uitzonderingen voor aan zou willen maken zijn services die van buitenaf benaderbaar moeten zijn.

[ Voor 38% gewijzigd door B2 op 06-05-2015 20:16 ]

[Soonie]

B2 schreef op woensdag 06 mei 2015 @ 20:14:
[...]


Rechtstreeks je laptop aan de LAN? Dat lijkt me niet de bedoeling.. Interfaces? Vaak werkt de auto detectie van pfSense prima. WAN zet je 99/100 gevallen op DHCP, en stel je een ip range in voor de LAN interface..
Of ik heb het al zo vaak gedaan dat ik de moeilijkheid niet meer in zie

[...]

De APU kwam met PFsense pre installed en om in te loggen in het menu moest volgens de handleiding de UTP in de 1e LAN poort en dan inloggen met 192.168.1.1 daarna kan ik verder met inloggen op PFsense. Ik weet dus geen andere weg , ben erg groen nog

Ik heb de laptop aan de APU hangen om hem te in te regelen via de GUI , alles werkte prima de WAN op DHCP , deze werd ook door het modem gezien.

tot ik ging rommelen in de interface menus , daar heb ik MAC's toegewezen , ik heb me 2 weken ingelezen en nu het zover was heb ik van alles door elkaar gehaald .

[Zjemm]

Tja maar vyos en ook opnsense hebben nog niet features als web filtering av/malware scanning en dat zouden deze firewalls een stuk interessanter maken dan allen firewalling en vpn zaken

justahuman schreef op woensdag 06 mei 2015 @ 18:10:
Wat ik zelf merkte dat pfsense nogal snel stuk gaat wanneer je de complexere features aan zet zoals openvpn, of ipsec tunnels. Toen ik zelf upgrade naar 2.2 was ipsec totaal stuk. en openvpn interfaces die ook continue van naam veranderen. Ben zelf op dit moment erg te spreken over Vyos.

[Ramon]

Soonie schreef op woensdag 06 mei 2015 @ 20:27:
[...]


[...]

De APU kwam met PFsense pre installed en om in te loggen in het menu moest volgens de handleiding de UTP in de 1e LAN poort en dan inloggen met 192.168.1.1 daarna kan ik verder met inloggen op PFsense. Ik weet dus geen andere weg , ben erg groen nog

Ik heb de laptop aan de APU hangen om hem te in te regelen via de GUI , alles werkte prima de WAN op DHCP , deze werd ook door het modem gezien.

tot ik ging rommelen in de interface menus , daar heb ik MAC's toegewezen , ik heb me 2 weken ingelezen en nu het zover was heb ik van alles door elkaar gehaald .

Heb je wel Pfsense 2.2? Mijn APU kwam namelijk met 2.1, die een stuk minder goede support heeft voor de APU. Zelf had ik een seriële kabel gebruikt voor de initiele configuratie van de APU, dat maakt het toch een stuk makkelijker. Als je nu de configuratie verprutst hebt dan even PFsense 2.2 op USB stick zetten en installeren (gaat makkelijk met seriële kabel).

[Soonie]

Ramon schreef op woensdag 06 mei 2015 @ 21:26:
[...]
Heb je wel Pfsense 2.2? Mijn APU kwam namelijk met 2.1, die een stuk minder goede support heeft voor de APU. Zelf had ik een seriële kabel gebruikt voor de initiele configuratie van de APU, dat maakt het toch een stuk makkelijker. Als je nu de configuratie verprutst hebt dan even PFsense 2.2 op USB stick zetten en installeren (gaat makkelijk met seriële kabel).

Aha ik heb net weer contact met de webGUI via een router gelukt. En idd er zit versie 2.1 op .

seriële kabel heb ik direct besteld want dit is geen doen zo.

Kan je via de webgui updaten naar 2,2 ? moet ik wel de firewall open gaan zetten. Volgens mij hebben we bij dezelfde firma besteld

[B2]

Soonie schreef op woensdag 06 mei 2015 @ 21:34:
[...]


Aha ik heb net weer contact met de webGUI via een router gelukt. En idd er zit versie 2.1 op .

seriële kabel heb ik direct besteld want dit is geen doen zo.

Kan je via de webgui updaten naar 2,2 ? moet ik wel de firewall open gaan zetten. Volgens mij hebben we bij dezelfde firma besteld

Een update zou mogelijk moeten zijn, maar je leest genoeg meldingen over configuraties die fout zijn gegaan. Vaak zijn dat wel configuraties die uitgevoerd zijn met diverse packages e.d.

In jouw geval zou ik gewoon opnieuw beginnen
De APU ken ik niet zo, ik gebruik zelf altijd x86 hardware, maar zo moeilijk zou het (basis) instellen van pfSense niet moeten zijn. Eigenlijk is er maar 1 handeling en dat is het toekennen van de interfaces. Daarna is je router/firewall klaar. Dan kun je additionele packages gaan installeren. Vaak hoef je niet direct wat in firewall rules doen, de installatie van OpenVPN server doet dit bijvoorbeeld zelf al.

[B2]

Anoniem: 671370 schreef op maandag 04 mei 2015 @ 12:50:
hallo

ik zou ook wat hulp willen ik ben van plan om binnenkort een pfsense box te bouwen met de volgende hardware

Gigabyte GA-J1900N-D3V
Corsair XMS CMX8GX3M2A1333C9
250/500 GB harde schijf
case MS-Tech CI-70

Ik ben nieuw op dit gebied en zou graag willen weten of deze setup goed is voor me verbinding ik heb een 200/20 verbinding van ziggo. En zou graag pfsense gebruiken voor vpn en het scannen van bestanden met behulp van clamav antivirus. Begrijp ik het dan goed dat deze case een in geboude voeding heeft dat ik dus geen voeding hoef erbij te kopen en een schijf van 2.5 inch?

ik hoor graag van jullie

Op het pfSense forum staat genoeg info over deze/dit CPU/moederbord. Google er maar op.
ClamAV kan ik niks over zeggen, behalve dat je het niet 100% moet vertrouwen. Naar wat ik er wel eens over gelezen heb is dat het niet een van de allerbeste scanners is. Maar dat kan inmiddels anders zijn.
Waarom een harde schijf? De vragen over de case/voeding kun je beter in een ander topic stellen.

[Soonie]

B2 schreef op woensdag 06 mei 2015 @ 21:53:
[...]


Een update zou mogelijk moeten zijn, maar je leest genoeg meldingen over configuraties die fout zijn gegaan. Vaak zijn dat wel configuraties die uitgevoerd zijn met diverse packages e.d.

In jouw geval zou ik gewoon opnieuw beginnen

[quote]B2 schreef op woensdag 06 mei 2015 @ 21:53:
[...]


Nou het was even zoeken maar het werkt nu eerst maar eens slapen
alles opnieuw gedaan en idd interface stond direct al goed moest enkel de kabels in de goede gaatjes steken. Dus nu voor het eerst op het forum via PSsense

De update naar 2,2 is ook gelukt maar pfieuw wat een buggies , php meldingen.

Snort geprobeerd te installeren maar die stopt op de helft van de install , nog heel wat uitzoek en probeer werk.

Wellicht iemand een idee waarom snort stopt tijdens de installatie ? kunnen dat poorten zijn die de boel tegenhouden ?

[M2M]

Anoniem: 671370 schreef op maandag 04 mei 2015 @ 12:50:
hallo

ik zou ook wat hulp willen ik ben van plan om binnenkort een pfsense box te bouwen met de volgende hardware

Gigabyte GA-J1900N-D3V
Corsair XMS CMX8GX3M2A1333C9
250/500 GB harde schijf
case MS-Tech CI-70

Ik ben nieuw op dit gebied en zou graag willen weten of deze setup goed is voor me verbinding ik heb een 200/20 verbinding van ziggo. En zou graag pfsense gebruiken voor vpn en het scannen van bestanden met behulp van clamav antivirus. Begrijp ik het dan goed dat deze case een in geboude voeding heeft dat ik dus geen voeding hoef erbij te kopen en een schijf van 2.5 inch?

ik hoor graag van jullie

ik heb pfsense draaiend op een j1900: j1800:


Draait inmiddels al meer dan een jaar zonder problemen Als ik de volle verbinding dicht trek zit het cpu gebruik op 15%.

Mijn advies zou zijn om de harddisk te skippen en de boel vanaf een usb stick te draaien in combinatie met een enkel latje geheugen. Als je nog mogelijkheden hebt om de CPU te underclocken / undervolten kan dat ook nog.

Alleen het scannen op virussen zal een flinke cpu aanslag geven. Geen flauw idee wat voor performance je dan nog overhoudt.

[B2]

M2M schreef op donderdag 07 mei 2015 @ 01:07:
[...]


ik heb pfsense draaiend op een j1900: j1800:
[afbeelding]

Draait inmiddels al meer dan een jaar zonder problemen Als ik de volle verbinding dicht trek zit het cpu gebruik op 15%.

Mijn advies zou zijn om de harddisk te skippen en de boel vanaf een usb stick te draaien in combinatie met een enkel latje geheugen. Als je nog mogelijkheden hebt om de CPU te underclocken / undervolten kan dat ook nog.

Alleen het scannen op virussen zal een flinke cpu aanslag geven. Geen flauw idee wat voor performance je dan nog overhoudt.

Toevallig al eens gekeken wat dit bordje verbruikt?

[Soonie]

Ik heb de APU1D aan de praat gekregen ver 2.2 SPsense erop dat gaf storing weer terug naar de backup dat lukte ook. Maar dat gaf daarna nog meer foutmeldingen. Dus weer terug naar 2.2 en wow alles werkt zonder fouten.
Verder met het project Snort. package installeren en jawel nu lukt de install foutloos.

Aangezien het een leerproject is wilde ik weer terug naar de begin instellingen. En kwam de optie fabrieks instellingen tegen in het PFsensen menu ( dit zou de PFsense weer terug zetten in de modes zoals ik hem voor het eerst aantrof)

Je raad het al, het kastje stond even te rommelen en alles werd stil.

Niks meer geen piepje meer en geen web GUI

Nu vraag ik me af is dit enkel op te lossen met een seriele kabel ? iemand hier ervaring mee ?

[ Voor 0% gewijzigd door Soonie op 07-05-2015 13:54 . Reden: spelling ]

[M2M]

B2 schreef op donderdag 07 mei 2015 @ 10:16:
[...]


Toevallig al eens gekeken wat dit bordje verbruikt?

alleen met mijn crappy meter. En dat kwam uit op minder dan 10W. Maar dat zegt eigenlijk weinig...

[B2]

M2M schreef op donderdag 07 mei 2015 @ 16:19:
[...]


alleen met mijn crappy meter. En dat kwam uit op minder dan 10W. Maar dat zegt eigenlijk weinig...

Op zich nog wel een bordje om in te gaten te houden (de J1900 variant dan). Jammer genoeg alleen nieuw voor 100 euro of meer te krijgen.

[Murrays]

Toch vraag ik het me wel af en heb één en ander al afgezocht maar helaas nog niet het antwoord gevonden. Heb een tijd als testopstelling pfsense gedraaid op een e350 bordje via zowel usb als hdd. Dit werkte prima en naar behoren. Totdat er op een gegeven moment stroomuitval was. Gebeurt niet zovaak, maar daarna moest ik de build weer opnieuw maken in pfsense(config) ik kreeg het maar niet meer aan de praat.

Daarna nog een aantal keer getest met een cold shutdown maar zelfde effect. Zijn er meer mensen die dit wel eens ervaren hebben?/tips

[Soonie]

Ondertussen alles weer gereset met de seriele kabel hoera !!

Alles staat weer ingesteld , en ik ben weer aan het rommelen om het internet aan de gang te krijgen.
De hele handleiding van de PFsense site doorgelopen. En ik zie dat er verkeer geblokkerd wordt in de firewall log.

Nu weet ik ff niet waar te beginnen met een verse instelling , de NAT of de firewall rules.

Inmiddels heb ik rules aangemaakt waarin ik alles openzet TCP/UDP http https

er komt geen bit door , wel een hele dichte firewall , maar een beetje surfen zou niet gek zijn .

Mijn vraag luid: wat moet er open gezet worden bij een kersverse installatie ?

[B2]

Soonie schreef op vrijdag 08 mei 2015 @ 18:08:
Mijn vraag luid: wat moet er open gezet worden bij een kersverse installatie ?

Niks. pfSense is een statefull firewall.

[Soonie]

B2 schreef op vrijdag 08 mei 2015 @ 18:49:
[...]


Niks. pfSense is een statefull firewall.

Alle regels eruit ! ok ehh in de logs zie ik dat WAN en LAN blocks maken

Hoe krijg ik internet erdoor ??

[B2]

Soonie schreef op vrijdag 08 mei 2015 @ 19:37:
[...]


Alle regels eruit ! ok ehh in de logs zie ik dat WAN en LAN blocks maken

Hoe krijg ik internet erdoor ??

Je hebt toch wel de 'Default allow LAN to any rule' onder het LAN tabblad laten staan?
Ik begrijp niet wat je nou allemaal gedaan hebt. Een default pfSense installatie hoef je in feite niks aan te doen, behalve je WAN en LAN interface in te stellen.

Pas als je services intern hebt of bepaalde packages gaat draaien dan moet je iets met firewall rules gaan doen in de meeste thuisgebruik gevallen.

Post eens screenshots van alle tabbladen van de firewall sectie.

[ Voor 5% gewijzigd door B2 op 08-05-2015 20:58 ]

[jacovn]

Hakker schreef op vrijdag 20 februari 2015 @ 14:03:
je moet er wel een beetje moeite voor doen. en chrome met translation helpt een hoop. Vandaar ook een bemiddelingssite gebruikt. incl douane en verzending via Taobao is het zo'n 200-250 euro.
Aliexpress is wel wat minder werk maar kost gewoon meer.

Veel meer zo te zien, 311 euro zonder geheugen en ssd (wel met verzending)
Douane geen idee, maar zal er ook nog bijkomen.

Eerst maar kijken wat mijn celeron 847 er nog doorheen krijgt als firewall.

[Soonie]

B2 schreef op vrijdag 08 mei 2015 @ 20:57:
[...]


Je hebt toch wel de 'Default allow LAN to any rule' onder het LAN tabblad laten staan?
Ik begrijp niet wat je nou allemaal gedaan hebt. Een default pfSense installatie hoef je in feite niks aan te doen, behalve je WAN en LAN interface in te stellen.

Pas als je services intern hebt of bepaalde packages gaat draaien dan moet je iets met firewall rules gaan doen in de meeste thuisgebruik gevallen.

Post eens screenshots van alle tabbladen van de firewall sectie.

Ik heb de WAN regels eruit , en in de LAN wel any rules gemaakt (heb 2 screen shots)

Ik ga direct even kijken of op de LAN meer dicht kan.

Internet werkt nu wel (DNS probleempje)

Ik krijg alleen geen contact met de PFsense update server (status scherm)

huh ik kan geen screenshots meesturen

WAN staat alles dicht en op de LAN krijg ik enkel internet verkeer al ik alles open zet

Ik heb een regel aangemaakt TCP/UDP allow all en any poort

IGMP en ICMP heb ik ook open staan op LAN

Ik probeer dat in te regelen op enkel poort 80 en 443 maar dat lukt niet helemaal .

[ Voor 13% gewijzigd door Soonie op 10-05-2015 09:14 . Reden: spelling ]

[Hakker]

jacovn schreef op zaterdag 09 mei 2015 @ 13:35:
[...]

Veel meer zo te zien, 311 euro zonder geheugen en ssd (wel met verzending)
Douane geen idee, maar zal er ook nog bijkomen.

Eerst maar kijken wat mijn celeron 847 er nog doorheen krijgt als firewall.

Ik heb hem in September 2014 al besteld gehad De euro is voor consumenten achteruit gegaan dus alles is duurder.

[jacovn]

Hakker schreef op zondag 10 mei 2015 @ 14:52:
[...]

Ik heb hem in September 2014 al besteld gehad De euro is voor consumenten achteruit gegaan dus alles is duurder.

Op taboa was hij kaal omgerekend onder de $100 zelfs, maar geen geheugen en ssd.
8% voor de agent over kostprijs en intern transport. Dan extern transport en douane kosten en dan btw neem ik aan.

[Zjemm]

Weten jullie of en hoe je met alen bsd pf al je http verkeer op virussen kan scannen?

Gaat dat dmv een soort redirect of een ander mechanisme?

Wil kijken of ik niet alleen bsd pf kan draaien met bijvoorbeeld av scanning

[B2]

Zjemm schreef op zondag 10 mei 2015 @ 22:25:
Weten jullie of en hoe je met alen bsd pf al je http verkeer op virussen kan scannen?

Gaat dat dmv een soort redirect of een ander mechanisme?

Wil kijken of ik niet alleen bsd pf kan draaien met bijvoorbeeld av scanning

pf kan het zelf sowieso niet, maar je zou iets kunnen doen met pf in combinatie met snort of clamav, havp en squid?
Dus een transparant http proxy die je dan laat scannen door ClamAV.

Overigens zou ik dan nog steeds pfSense gebruiken, als je het zelf wil gaan doen onder FreeBSD kan het wel, maar wel een hoop handmatig configuratiewerk wat pfSense je makkelijk uit handen kan nemen.

Trouwens, 1 google opdracht

[Zjemm]

Ha B2,

Dat het niet kon in PF zelf wist ik wel. Ik was gewoon benieuwd hoe je vanuit PF een koppeling legt met je AV scanner bijvoorbeeld. Maar ik zie inderdaad dat je een RDR regel aan moet maken hiervoor.

natuurlijk gaat dit met pfsense makkelijker, maar soms is het leuker om eens wat te freubelen

[B2]

Ik heb gisteren trouwens Captive Portal opgezet voor mijn Wifi Gast netwerk. De Apple Airport's hebben wel een gast-wifi netwerk mogelijkheid, welke alleen 'werkt' wanneer de Airport in Router mode staat.
In bridge mode kun je de gast-wifi wel aanvinken, maar werkt het niet omdat al dat verkeer via een aparte vlan (1003) gaat. Door deze vlan aan te maken in pfSense en een extra interface met vlan 1003 werkt dit nu prima

[Soonie]

Ik heb PFsense nu een weekje draaien met snort erop , ik zie veel onbestemd verkeer voorbij komen. Ik vraag me af of PFsense ook DOS aanvallen afslaat of kunnen ze evengoed nog je poort bezet houden?

Ik heb ook de email notificate ingesteld en een testmail gestuurd deze komt ook aan maar er komt nooit iets binnen van het systeem. Moet ik ergens nog iets aanzetten ? Ik zoek me suf .

Verder werkt het wel super, het systeem draaid stabiel en gebruikt een minimum aan wat er aan boord zit.

[Dennis]

Misschien dat iemand mij hier kan helpen. Ik ben bezig om mijn pfSense router bij TransIP goed in te stellen met OpenVPN. Ik ben nu een heel eind gekomen.

Op mijn pfSense bak draaien 2 OpenVPN instances. Eén is voor site-to-site en heeft een verbinding met mijn thuislocatie en die van mijn ouders. De tweede is voor als ik onderweg ben, bijvoorbeeld op een open accesspoint. Beide instances werken prima zoals gewenst. Bij de site-to-site bijvoorbeeld wordt het internetverkeer niet gerouteerd, bij de remote-access wel.

Wat nu nog de bedoeling is dat ik van mijn remote-access VPN ook bij de routers en servers kan komen die in de site-to-site locaties staan (bij mij thuis bijvoorbeeld). Dit krijg ik niet werkend.

Heb voor de zekerheid even een tweetal firewall rules gemaakt waarbij ik alle verkeer van en naar mijn remote-access VPN toesta. Hier heb ik een immediate pass gekozen en ik log het ook. Als ik in de logfiles kijk zie ik ook dat ik vanaf mijn mobiel naar mijn router bij mij thuis probeer te verbinden en dat dat verkeer wordt toegelaten. Ik zie ook dat het 'vertrekt' op de site-to-site VPN. Verder zie ik niets en ik krijg na 60 seconden een time-out.

Iemand enig idee waar ik het nog in kan gaan zoeken?

[B2]

Dennis schreef op dinsdag 19 mei 2015 @ 21:47:
Misschien dat iemand mij hier kan helpen. Ik ben bezig om mijn pfSense router bij TransIP goed in te stellen met OpenVPN. Ik ben nu een heel eind gekomen.

Op mijn pfSense bak draaien 2 OpenVPN instances. Eén is voor site-to-site en heeft een verbinding met mijn thuislocatie en die van mijn ouders. De tweede is voor als ik onderweg ben, bijvoorbeeld op een open accesspoint. Beide instances werken prima zoals gewenst. Bij de site-to-site bijvoorbeeld wordt het internetverkeer niet gerouteerd, bij de remote-access wel.

Wat nu nog de bedoeling is dat ik van mijn remote-access VPN ook bij de routers en servers kan komen die in de site-to-site locaties staan (bij mij thuis bijvoorbeeld). Dit krijg ik niet werkend.

Heb voor de zekerheid even een tweetal firewall rules gemaakt waarbij ik alle verkeer van en naar mijn remote-access VPN toesta. Hier heb ik een immediate pass gekozen en ik log het ook. Als ik in de logfiles kijk zie ik ook dat ik vanaf mijn mobiel naar mijn router bij mij thuis probeer te verbinden en dat dat verkeer wordt toegelaten. Ik zie ook dat het 'vertrekt' op de site-to-site VPN. Verder zie ik niets en ik krijg na 60 seconden een time-out.

Iemand enig idee waar ik het nog in kan gaan zoeken?

Heb je de Inter-client communication ook aan staan? Ik weet niet of het daar aan ligt, maar volgens mij zou het een soortgelijke setting moeten zijn.

[Dennis]

B2 schreef op dinsdag 19 mei 2015 @ 21:57:
Heb je de Inter-client communication ook aan staan? Ik weet niet of het daar aan ligt, maar volgens mij zou het een soortgelijke setting moeten zijn.

Ik begrijp wat je bedoelt, maar die instelling is voor het verkeer tussen clients van één server (dus in mijn geval van óf de site-to-site instance óf de remote-access instance). Ik draai twee servers/instances.

Heb het niettemin even aangezet, maar bood zoals verwacht niet de oplossing .

[ Voor 3% gewijzigd door Dennis op 19-05-2015 22:13 ]

[B2]

Dennis schreef op dinsdag 19 mei 2015 @ 22:13:
[...]

Ik begrijp wat je bedoelt, maar die instelling is voor het verkeer tussen clients van één server (dus in mijn geval van óf de site-to-site instance óf de remote-access instance). Ik draai twee servers/instances.

Heb het niettemin even aangezet, maar bood zoals verwacht niet de oplossing .

Had ik ook niet verwacht, het is inderdaad voor verkeer binnen 1 OpenVPN netwerk, dus niet tussen de client en server instance die je hebt draaien. Wellicht is het niet zozeer een firewall regel die je dwars zit maar een routerings regel tussen de netwerken die ontbreekt waardoor de netwerken elkaar niet kennen?

[Dennis]

Dat zou zeker een mogelijkheid zijn, maar ik denk eigenlijk dat dat het niet is, omdat ik dit zie in de Firewall log:

code:

pass/1432064064 May 20 07:20:48     OVPNS1  10.8.0.6:41659      172.16.11.200:443       TCP:S
pass/1432064064 May 20 07:20:48     Direction=OUT OVPNS0    10.8.0.6:41659      172.16.11.200:443       TCP:S

Ik veronderstel dat als het eenmaal op de OVPNS0 interface zit het goed gaat. Dat is de site-to-site VPN. En immers, vanuit de web interface van pfSense kan ik succesvol pingen naar 172.16.11.200. Zaken zoals ccd zijn allemaal juist geconfigureerd.

[B2]

Dennis schreef op woensdag 20 mei 2015 @ 07:27:
Dat zou zeker een mogelijkheid zijn, maar ik denk eigenlijk dat dat het niet is, omdat ik dit zie in de Firewall log:

code:

pass/1432064064 May 20 07:20:48     OVPNS1  10.8.0.6:41659      172.16.11.200:443       TCP:S
pass/1432064064 May 20 07:20:48     Direction=OUT OVPNS0    10.8.0.6:41659      172.16.11.200:443       TCP:S

Ik veronderstel dat als het eenmaal op de OVPNS0 interface zit het goed gaat. Dat is de site-to-site VPN. En immers, vanuit de web interface van pfSense kan ik succesvol pingen naar 172.16.11.200. Zaken zoals ccd zijn allemaal juist geconfigureerd.

Maar een ping vanuit een road-warrior naar een van de servers in de site-to-site VPN werkt niet?

[Dennis]

B2 schreef op woensdag 20 mei 2015 @ 07:47:
Maar een ping vanuit een road-warrior naar een van de servers in de site-to-site VPN werkt niet?

Correct!

[FreshMaker]

Ben al een tijdje aan het onderzoeken nu, maar kan er niet helemaal uitkomen.

Ik heb diverse hardware nog 'op de plank' liggen, waaronder een paar Dell fx160 sff barebones, imo geschikt voor pfsense ( thuisgebruik ).
Wat ik niet helemaal kan uitvinden is, moet er 2x lan zijn, of kan de box ook met één lanpoort de routering doen.

[Dennis]

De definitie van een router is dat je tussen meerdere netwerken verkeer routeert. Als je op één lanpoort meerdere netwerken hebt (bijv. VLAN's) dan hoef je er niet meerdere te hebben, maar bij de meeste mensen thuis heb je een netwerk tussen kabelmodem/DSL-model en router en tussen router en interne devices (computer etc.). Dan heb je dus meerdere lanpoorten nodig.

Wat wil je anders?

[FreshMaker]

Vandaar mijn 'uitzoekwerk'
Zal de boel eens testen mbh een usb2lan adapter, om te zien of de boel echt toepasbaar is in mijn situatie.
Nadeel van de FX160 is dat er geen PCI inzit voor uitbreiding.

Ik had al bij interproject naar deze gekeken, maar is pas eind juni leverbaar.

compleet met behuizing en voeding komt het op 210€

[Dennis]

B2 schreef op woensdag 20 mei 2015 @ 07:47:
Maar een ping vanuit een road-warrior naar een van de servers in de site-to-site VPN werkt niet?

Nog suggesties?

[Uberprutser]

FreshMaker schreef op woensdag 20 mei 2015 @ 08:45:
Vandaar mijn 'uitzoekwerk'
Zal de boel eens testen mbh een usb2lan adapter

USB2LAN is niet aan te raden om te gebruiken met pfSense. Ja, voor sommige adapters zit er ondersteuning in maar anders dan voor testdoeleinden moet je ze niet gebruiken (lees ook eens op het pfsense forum hierover).

Dennis schreef op zondag 24 mei 2015 @ 02:04:
[...]
Nog suggesties?

Persoonlijk heb ik OpenVPN nooit goed werkend gekregen met L2L onder pfSense (of dat het na een update niet meer werkte)...

Ik had tot 2 weken geleden pfSense op een Atom bordje draaien maar de performance met een package zoals Snort was niet altijd even lekker. Ook haalde ik niet de volle 200Mbit van mijn Ziggo verbinding dus tijd voor iets nieuws.

Ik heb via Marktplaats een Optiplex 790 gekocht met een i3-2120, hier 16GB geheugen, een SSD van 500GB en een Quad Intel netwerkkaart bij geprikt. Deze bak is redelijk overkill voor alleen pfSense dus draait pfSense nu als VM op deze machine, (2vCPU, 2 GB RAM) waarbij ik mijn verbinding vol kan benutten samen met OpenVPN, Snort, Bind, loadbalancing tussen Ziggo en mijn oude KPN dsl, en nog wat andere modules en dit allemaal voor een schamele 28 watt (de Atom deed ongeveer 20).

[Dennis]

Ballebek schreef op zondag 24 mei 2015 @ 09:54:
Persoonlijk heb ik OpenVPN nooit goed werkend gekregen met L2L onder pfSense (of dat het na een update niet meer werkte)...

Maar ik gebruik gewoon tun, dus dat is geen bridging. Hier nog even een diagram van mijn netwerk:



Ik heb dus een probleem om van mijn ovpns1 naar ovpns0 te gaan. Er draaien dus 2 OpenVPN servers. Alle andere verbindingen werken goed.

[ShadowBumble]

Hakker schreef op vrijdag 20 februari 2015 @ 00:23:
Ik heb zelf sinds een maandje dit
[afbeelding]

Het is een Intel C1037u
2 GB geheugen
1 GB CF voor de OS
PFsense 2.2

Stiekem inmiddels zelf ook in bestelling staan al is het alleen maar om eens leuk ermee te spelen ;P Heb iets krachtiger nodig dan mijn Mikrotik voor proxy functionaliteiten ( opgeroeiende kids enzo moet je in de gaten houden )

[thedon46]

Momenteel draai ik op de volgende server Ubuntu server:

#	Product	Prijs	Subtotaal
1	Intel Core i5 4670K Boxed	€ 244,15	€ 244,15
1	Asus H87I-PLUS	€ 0,-	€ 0,-
1	Crucial Ballistix Tactical BLT2C4G3D1608ET3LX0CEU	€ 54,95	€ 54,95
1	Seasonic G-Serie 360Watt	€ 56,95	€ 56,95
Bekijk collectie Importeer producten		Totaal	€ 356,05

Maar graag zou ik het een stapje upgraden om via ESXI PfSense te kunnen draaien.
Hier voor had ik de volgende hardware gekozen:

#	Product	Prijs	Subtotaal
1	Intel Xeon E3-1231 V3 Boxed	€ 259,-	€ 259,-
1	Asus P9D-I	€ 155,-	€ 155,-
Bekijk collectie Importeer producten		Totaal	€ 414,-

Xeon icm met dat moederbord zodat IOMMU (VT-d) gebruikt kan worden
Moederbord met C222 chipset en 2x intel NIC

Maar mis ik nog iets waar ik rekening mee moet houden?

Zou graag de server gebruiken voor meerdere VM's waaronder een PfSense VM

[Dennis]

Nog even terugkomend op mijn probleem hierboven: dat is opgelost met behulp van het pfSense forum. Was iets doms (route van het VPN netwerk toevoegen ).

Heb wel nog even een volgende vraag: in pfSense heb ik FreeRadius als package toegevoegd. Dit werkt goed. Ik maak een gebruiker aan (de database is ontsloten via 'System/Authentication Servers') en via de pfSense certificate manager maak ik een certificaat aan met dezelfde commonname als de gebruiker bij FreeRadius. So far, so good. Ik heb openVPN goed geconfigureerd want het werkt zoals ik dat wil .

Waar ik nu wel mijn twijfels over heb, is of die certificaten ook echt in FreeRadius zitten of als een laag daarbovenop draaien (vanuit OpenVPN). Dat is hartstikke relevant, omdat ik de FreeRadius wil proxyen naar andere FreeRadius servers en daar ook op basis van username+pw+cert wil authenticeren, maar dan de Wi-Fi.

Ik weet dat FreeRadius het wel kan, want ik heb het nu ook lokaal draaien met certificaten erin, maar de vraag is dus hoe het in pfSense geïmplementeerd is .

[spone]

Ik zit er ook aan te denken om een zelfbouw firewall neer te zetten, bij voorkeur iets met pfSense of OPNsense, heel misschien met RouterOS. Ik draai nu virtueel een firewall op ESXi, maar heb het liever fysiek omdat ik de wifi er dan ook bij kan doen.

Ben voor nu een beetje uitgekomen op de al eerder in dit topic besproken PC Engines apu1d of apu1d4. Maar waar is dat ding te koop in Nederland voor een fatsoenlijke prijs?

Ik zie het bordje eigenlijk alleen voor woekerprijzen bij schimmige buitenlandse toko's, als ie überhaupt al op voorraad is. Voor een pakketje van bordje+case+psu+wifi ga je al redelijk rap richting de 250-300 euro en dat is wel prijzig voor betrekkelijk lage performance en wat een TP-Link van 50 euro in basis ook doet (heel overdreven gezegd).

[Ramon]

Als ik jou was zou ik niet de wifi van de apu1d gebruiken. Of ik heb zelf een veel te traag wifi kaartje erbij gekregen (weet 't type niet meer sorry), maar ik haal maar 15mbit via de wifi. Dus ik zit er over te denken om gewoon een losse AP aan m'n switch te hangen en de onboard wifi uit te schakelen. Dat scheelt bovendien het irritantste werkje aan pfsense configureren (bridges opzetten tussen lan en wan).

[Shoarma4Life]

Leuk topic,

Al een poosje geleden op het werk van me vader (eigen zaak) een pfsense geplaatst (op esxi).
Deze wou ik echter direct over kunnen nemen, dus thuis een hp ssf met esx en pfsense.
Werkt perfect, echter stroomverbruik was drama.
Nu een shuttle geplaatst met 128gb ssd (oude van de plank) en 4gb mem.

Werkt rete snel, backups via vpn (2 synology's 412+ en een virtuele xpenology in het DC op een 360g7)



Middels ook S2S vpn (openvpn) naar mijn server in het DC. Daar 100/100 (thuis upc 120/20).
CPU belasting komt nooit boven de 8%.



Inmiddels een oude barracuda uit elkaar getrokken voor op kantoor. Hier direct pfsense opgezet.
Server kan nu ook remote via ILO worden benaderd over VPN. Kan nu dus esx host rebooten zonder uit me luie stoel te komen en me zorgen te maken dat me vm's niet meer opkomen!

[Dennis]

Vandaag eens even kort gespeeld met haproxy. Dat werkt prima. Ik kan in ieder geval een back-end toevoegen en vervolgens een front-end configureren. Leuk speelgoed! Op mijn BladeVPS heb ik een tweede IP geconfigureerd als virtuele NIC.

De volgende stap wordt met acl's configureren aan de hand van hostnames. Dan ook maar eens kijken of ik SNI werkend krijg. Dat moet op zich natuurlijk wel lukken, maar ik weet niet in hoeverre de webinterface van pfSense het goed ondersteunt.

Het tweede IP-adres heb ik ook nodig om (zogenaamd) twee DNS-servers te hebben voor mijn subdomeinen. Is natuurlijk een beetje tegen het principe in dat ik de boel misleid en naar één server doorstuur, maar voor mijn doel is het perfect en scheelt weer geld voor een tweede server . Dat is ook weer een project op zich, om DNS helemaal goed werkend te krijgen. En dan ook meteen een solide IPv6-implementatie!

[edit]
Haproxy is leuk speelgoed! Schreef ik eerder nog hoe je client certificates kunt tweaken in pfSense, als je haproxy gebruikt is dat niet nodig want die heeft er ondersteuning voor ingebouwd.

Wat ik nu dus heb is de webinterface op een hoog poortnummer draaien die niet naar buiten toe open staat en ik heb in haproxy een front-end gedefinieerd op poort 443 met client certificates die doorlust naar de hoge interne poort. Werkt uitstekend! Nu hoef ik me meteen ook geen zorgen meer te maken bij een upgrade, omdat alle instellingen behouden blijven.

[ Voor 26% gewijzigd door Dennis op 07-08-2015 08:27 ]

[MdO82]

Ik heb dit topic eens door zitten lezen na aanraden van een reactie in het ziggo ervaringen topic

Zelf ben ik opzoek naar een mooie FW/router oplossing.
Echter zit ik met een vraag waarop ik in het topic geen antwoord kan vinden.

Ik heb een intel c1037u voorbij zien komen.

Waar ik eigenlijk het antwoord op zoek is ik ben namelijk bezig om een setup te zoeken waar ik 4 of 5 apparaten op aan kan sluiten.

Het modem wat ik gekregen heb van ziggo heeft 4 LAN-poorten en deze zijn ook allemaal in gebruik.

Is het nu afhankelijk van de case of moederbord waardoor je 4 of 5 LAN-poorten aan kan sturen?

[Tom Paris]

Waarom geen switch gebruiken?

[B2]

MdO82 schreef op vrijdag 04 september 2015 @ 16:37:
Ik heb dit topic eens door zitten lezen na aanraden van een reactie in het ziggo ervaringen topic

Zelf ben ik opzoek naar een mooie FW/router oplossing.
Echter zit ik met een vraag waarop ik in het topic geen antwoord kan vinden.

Ik heb een intel c1037u voorbij zien komen.

Waar ik eigenlijk het antwoord op zoek is ik ben namelijk bezig om een setup te zoeken waar ik 4 of 5 apparaten op aan kan sluiten.

Het modem wat ik gekregen heb van ziggo heeft 4 LAN-poorten en deze zijn ook allemaal in gebruik.

Is het nu afhankelijk van de case of moederbord waardoor je 4 of 5 LAN-poorten aan kan sturen?

Er zijn ook oplossingen met een C2758 moederbord. Alleen de vraag is dan wat een goedkopere oplossing is. Een J1900 moederbordje met een losse 5 poorts switch zeer waarschijnlijk

[MdO82]

Tom Paris schreef op vrijdag 04 september 2015 @ 18:59:
Waarom geen switch gebruiken?

Goed punt, maar dan loop ik tegen het probleem aan dat de switch die er nu zit (5 poorten) gelijk vol zit en dat ik poorten tekort kom, dan kan ik natuurlijk een zuinige switch extra plaatsen bijvoorbeeld een 8 poorts, maar dat is helaas niet mogelijk.

Even snel een schets gemaakt van de situatie


Dus dacht bij mezelf als ik het modem in bridge laat zetten dan heb ik daarvandaan 1 kabel lopen naar mijn nieuwe FW/Router en vandaar uit verdeel ik de boel verder.

Maar wellicht denk ik te moeilijk
Onderin heb ik helaas geen stroomaansluitingen meer over

[ Voor 4% gewijzigd door MdO82 op 04-09-2015 19:23 ]

[Thralas]

MdO82 schreef op vrijdag 04 september 2015 @ 19:22:
dan kan ik natuurlijk een zuinige switch extra plaatsen bijvoorbeeld een 8 poorts, maar dat is helaas niet mogelijk.

Hoezo? Je koopt een switch met 5/8/16/24/48 poorten en klaar is MdO82?

Maar wellicht denk ik te moeilijk

Ja. Een recent J1900/N3xxx-bordje icm. een switch lijkt me goedkoper dan een ouder celeron-ding met N poorten.

Onderin heb ik helaas geen stroomaansluitingen meer over

Misschien is zelfs daar nog wel een oplossing voor. Een soort hub voor je stopcontacten

[MdO82]

Ik ga er verder over nadenken anders wordt het teveel of-topic

Ga eens kijken wat voor setup ik ga gebruiken

[Dennis]

Nog even een vraag hier... sinds gisteren heb ik op mijn OpenVPN server op pfSense een machine aan het lokale LAN toegevoegd. Zie plaatje.



De nieuwe machine heeft IP-adres 172.16.1.60. Ik kan keurig beide kanten op pingen, van pfSense naar de nieuwe machine (Ubuntu) en terug. Qua firewall goed dus.

Wat ik nu wil is de machine pingen vanaf mijn thuissubnet (172.16.11.0/24). Ik kan wél 172.16.1.200 (pfSense) pingen, maar niet de Ubuntu machine. Als ik een traceroute doe, zie ik dat hij stopt bij 10.4.0.1, wat het OpenVPN-adres van de pfSense machine is.

Kijk ik in de route tabel van pfSense, zie ik:

code:

172.16.1.0/24   link#2  U   141     1500    vtnet1
172.16.1.200    link#2  UHS     748606  16384   lo0

En dat is dus prima. Ook de OpenVPN config is goed, met het lokale netwerk gedefinieerd en hij wordt ook gepusht naar de clients. Daar zit het probleem ook niet, want met de tracert kom ik tot bij de pfSense machine, maar daarna stopt hij.

Iemand enig idee?

[edit]
Opgelost, het toevoegen van de route op de Ubuntu machine was de oplossing! Er zitten namelijk meerdere interfaces op de machine en die van het LAN is niet de default gateway. Nooit aan gedacht dat het probleem aan die kant zou zitten!

[ Voor 9% gewijzigd door Dennis op 07-09-2015 10:30 ]

[Hakker]

MdO82 schreef op vrijdag 04 september 2015 @ 16:37:
Ik heb dit topic eens door zitten lezen na aanraden van een reactie in het ziggo ervaringen topic

Zelf ben ik opzoek naar een mooie FW/router oplossing.
Echter zit ik met een vraag waarop ik in het topic geen antwoord kan vinden.

Ik heb een intel c1037u voorbij zien komen.

Waar ik eigenlijk het antwoord op zoek is ik ben namelijk bezig om een setup te zoeken waar ik 4 of 5 apparaten op aan kan sluiten.

Het modem wat ik gekregen heb van ziggo heeft 4 LAN-poorten en deze zijn ook allemaal in gebruik.

Is het nu afhankelijk van de case of moederbord waardoor je 4 of 5 LAN-poorten aan kan sturen?

Het is afhankelijk van geen van beide. Zo ongeveer elk moederbord kan een extra netwerkkaart aan waardoor je meer poorten krijgt en op NUC achtige kastjes na kan elke case wel een expansion bracket hebben.

Ik zocht voor mijzelf een vervanger voor mijn Experiabox en dat kwam voor mij het dichtst in de buurt.

Wil je echt met PFsense/OPNsense/monowall/SophosUTM wilt gaan beginnen is een moederbord met minimaal 2 netwerk poorten wel aan te raden. Vandaar uit kan je natuurlijk gewoon met switches werken. Buiten mijn PFsense bak heb ik ook nog gewoon 4 switches en een AP in huis staan, maar dat heeft misschien meer te maken met het feit dat ik een ouder huis heb en dus niks in de muren heb zitten

Dus mocht je dat allemaal niet willen of nodig vinden koop gewoon een switch. Die zijn er al vanaf 2 tientjes en je kan meer apparaten aansluiten.

[ Voor 4% gewijzigd door Hakker op 07-09-2015 12:17 ]

[MdO82]

Ik denk dat ik ga puzzelen wat ik precies wil, ben namelijk ook aan het kijken voor een raspberry ivm het uitlezen van mijn slimme meter.
Daarnaast zal hij fungeren als vpn servertje zodat vanaf buiten bij mijn NAS kan.

ik wilde dit eerst met een rpi gaan doen, maar zal dan waarschijnlijk te weinig geheugen hebben.

Zodoende kwam deze optie om de hoek kijken

Thralas schreef op vrijdag 04 september 2015 @ 19:43:
[...]


Hoezo? Je koopt een switch met 5/8/16/24/48 poorten en klaar is MdO82?

Om nog even antwoord op je vraag te stellen.
Ik ben een tijd terug bezig geweest om mijn LAN netjes in mijn meterkast op te ruimen.
Daarom had ik 1 kabel via een pvc-buis van het modem naar mijn switch bovenin de meterkast gestopt.
Vanaf deze switch lopen er kabels naar mijn NAS, (toekomstige) raspberry.
Ik heb daar nu nog 2 poorten vrij, maar ik kan dan niet meer netjes mijn kabels wegwerken een extra buis lukt niet

[ Voor 45% gewijzigd door MdO82 op 09-09-2015 22:00 ]

[Thralas]

Ik snap het nog steeds niet.

Als het aantal poorten op een switch niet voldoet, dan kun je hem toch gewoon vervangen voor een switch met meer poorten? Of je zet er nog een switch naast. Je hoeft toch geen extra buis neer te leggen?

[renedis]

Wellicht dat ik hier mijn antwoord kan vinden/krijgen.

Ik ben op zoek naar een firewall/router oplossing maar zie door de bomen het bos niet meer.

Ik heb al eens zitten spelen met PfSense maar dat is niet voor uit te branden. de GUI reageert soms helemaal niet terwijl ik naar mijn mening toch echt genoeg power heb toegewezen (2 CPU, 4GB mem, 32GB disk op SSD datastore). Mijn eerste ervaring is dus niet positief, of heb ik iets verkeerd gedaan?

Ook UnTangle geprobeerd. Ik was geen fan van deze oplossing eerlijk gezegd. Ze lokken je met "basis" addons om je vervolgens de betaalde versie te laten nemen.

Toen probeerde ik ClearOS. Echter na configuratie kan ik helemaal de web interface niet benaderen

Nu heb ik het topic doorgelezen en kom ik de volgende opties tegen:
- PfSense
- IPFire
- ClearOS
- Sophos
- UnTangle
- OPNsense

Zoals je kunt lezen, een legio aan oplossingen.

Mijn wens is om een firewall/router te laten draaien in een VM met 2 NICS via passthrough en 1 virtuele NIC. 1 NIC voor Ziggo modem in bridge modus, 1 NIC voor fysieke apparaten en 1 virtuele NIC voor mijn VM's. Wellicht nog een NIC voor mijn AP's?

Ik ben op zoek naar een VM oplossing die dit kan. Volgens mij kunnen ze dit allemaal.
Echter wil ik ook graag een virusscan + antimalware e.d.. Wellicht ook een access portal voor de wifi en in de toekomst misschien een remote access pagina voor VDI/terminal server.

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

Iemand een suggestie voor een goede firewall/router die aansluit bij mijn wensen?

[ Voor 9% gewijzigd door renedis op 17-09-2015 11:58 ]

[thedon46]

renedis schreef op donderdag 17 september 2015 @ 11:48:
Wellicht dat ik hier mijn antwoord kan vinden/krijgen.

Heel verhaal

Iemand een suggestie voor een goede firewall/router die aansluit bij mijn wensen?

Zelf heb ik sinds kort ook PfSense draaien in ESXi en ervaar niet dat dit traag werkt. het reageert eigenlijk altijd best wel vlot.

Hoewel het niet helemaal het juiste topic is, kan je het beter even in het ESXi topic proberen. Mijn ervaring is dat daar wat meer mensen actief zijn die ervaring hebben met router software in ESXi

[Noahlvb]

Hakker schreef op vrijdag 20 februari 2015 @ 00:23:
Ik heb zelf sinds een maandje dit
[afbeelding]

Het is een Intel C1037u
2 GB geheugen
1 GB CF voor de OS
PFsense 2.2

eth1 voor de WAN en 2 tm 6 in een bridge gegooid en in NAT Proxy reflection gezet.
wifi is niet belangrijk voor die bak dat doet een Ubituiti AP boven voor me aangezien wifi puur voor mobiel en zo nu en dan de laptop is en dus niet voor hoge snelheid dienst hoeft te spelen.
load max TDP is 17 watt volgens opgave maar hoeveel het werkelijk gebruik weet ik niet maar kan nooit veel zijn aangezien het cpu gebruik amper wat voor stelt en zelfs met 500/500 die vol draait heb ik nog heel wat ruimte over.

buiten dat is de inrichting nog niet zo heel bijzonder te noemen.

Wat voor hardware heb je hier gebruikt?

[Hakker]

Noahlvb schreef op donderdag 17 september 2015 @ 15:24:
[...]


Wat voor hardware heb je hier gebruikt?

Ik heb de hele bak besteld in china. Hier in Nederland zijn ze niet te krijgen en anders veel te duur.

180x200mm
Intel 1037u
Intel HM70 Chipset
6 x Intel 82583V
1 x DDR3 SO-DIMM 1333/1600 (Max 8GB single stick supported)
2 x SATA2
2 x SATA3
1 x PCIe 8x
2 x Mini-PCIe (For mSATA and WIFI)
1 x SIM card slot
1 x CF slot
4 X USB2
2 X USB3
2 X COM (1 in RJ45, 1 in pins)
1 x 12V 3A DC-in
1 x 4pins ATX (for internal ATX PSU when not using DC power)
1 x VGA (in pins)
1 x PS/2
1 x LPT

Dat is wat de spec sheet aangeeft, maar zoeken op Taobao doet wonderen. Je moet alleen niet vergeten dat je te maken heb met invoerkosten en ik raad het aan om het via een tussenbedrijf te doen ala Yoybuy.

[ Voor 8% gewijzigd door Hakker op 17-09-2015 15:40 ]

[ThinkPad]

Noahlvb schreef op donderdag 17 september 2015 @ 15:24:
[...]


Wat voor hardware heb je hier gebruikt?

Hakker schreef op donderdag 17 september 2015 @ 15:37:
[...]
Ik heb de hele bak besteld in china. Hier in Nederland zijn ze niet te krijgen en anders veel te duur.
[...]

Dat zal dit PCtje zijn waarschijnlijk: https://forum.pfsense.org/index.php?topic=75415.0

Edit: Hmmm nee toch niet, had nog niet naar de foto gekeken. Specs zijn volgens mij wel gelijk.

[ Voor 9% gewijzigd door ThinkPad op 01-10-2015 15:06 ]

[Hakker]

Via die weg ben ik wel verder gaan zoeken en ja die heb ik ook. Was om eerst mee te testen vervolgens ben ik verder gaan zoeken.
taobao en zoeken op bv 6 nic c1037u en ik pak zo een stel verkopers.

[EverLast2002]

renedis schreef op donderdag 17 september 2015 @ 11:48:

Ik heb al eens zitten spelen met PfSense maar dat is niet voor uit te branden. de GUI reageert soms helemaal niet terwijl ik naar mijn mening toch echt genoeg power heb toegewezen (2 CPU, 4GB mem, 32GB disk op SSD datastore). Mijn eerste ervaring is dus niet positief, of heb ik iets verkeerd gedaan?

Ook UnTangle geprobeerd. Ik was geen fan van deze oplossing eerlijk gezegd. Ze lokken je met "basis" addons om je vervolgens de betaalde versie te laten nemen.


Iemand een suggestie voor een goede firewall/router die aansluit bij mijn wensen?

Enigszins verbaasd lees ik je post hier. Ik heb zowel pfSense als Untangle virtueel draaien en dit werkt als een speer.
Ik heb pfSense als firewall/DNS ingesteld en UT erachter voor virussen en malware tegen te houden. En die basis (free) packages in UT voldoen prima.

[renedis]

EverLast2002 schreef op donderdag 01 oktober 2015 @ 16:24:
[...]


Enigszins verbaasd lees ik je post hier. Ik heb zowel pfSense als Untangle virtueel draaien en dit werkt als een speer.
Ik heb pfSense als firewall/DNS ingesteld en UT erachter voor virussen en malware tegen te houden. En die basis (free) packages in UT voldoen prima.

Inmiddels werkt PfSense goed. Waar het eerder aan lag, geen idee.

Untangle ben ik nog steeds geen fan van. Is misschien een persoonlijke mening, maar ik vond het allemaal te veel "mwa mwa" en "net niet" gehalte.

[EverLast2002]

renedis schreef op donderdag 01 oktober 2015 @ 16:34:
[...]


Inmiddels werkt PfSense goed. Waar het eerder aan lag, geen idee.

Untangle ben ik nog steeds geen fan van. Is misschien een persoonlijke mening, maar ik vond het allemaal te veel "mwa mwa" en "net niet" gehalte.

Jammer dat je UT niks vindt. Ik ben er zeer tevreden over, ook met die free version.

[MdO82]

In hoeverre is het slim om pfsense te virtualiseren ?
Ik zit erover te denken om 1 pc in de meterkast te plaatsen welke als hoofd OS Windows 2012 heeft en als virtueel onder andere Pfsense

Echter ik lees verschillende verhalen dat een virtuele machine een vertraging heeft in het verwerken van het netwerkverkeer omdat het verkeer eerst bij de host binnenkomt en daarna pas door pfsense gaat.

In hoeverre is het slim om zo'n constructie op te zetten ?

EverLast2002 schreef op donderdag 01 oktober 2015 @ 16:24:
[...]


Enigszins verbaasd lees ik je post hier. Ik heb zowel pfSense als Untangle virtueel draaien en dit werkt als een speer.
Ik heb pfSense als firewall/DNS ingesteld en UT erachter voor virussen en malware tegen te houden. En die basis (free) packages in UT voldoen prima.

Na het plaatsen van mijn bericht zag ik jouw bericht staan.
Wat heb je in gebruik als host waar dit alles op draait ?

[ Voor 36% gewijzigd door MdO82 op 14-10-2015 15:30 ]

[EverLast2002]

MdO82 schreef op woensdag 14 oktober 2015 @ 14:44:
In hoeverre is het slim om pfsense te virtualiseren ?
Ik zit erover te denken om 1 pc in de meterkast te plaatsen welke als hoofd OS Windows 2012 heeft en als virtueel onder andere Pfsense

Echter ik lees verschillende verhalen dat een virtuele machine een vertraging heeft in het verwerken van het netwerkverkeer omdat het verkeer eerst bij de host binnenkomt en daarna pas door pfsense gaat.

In hoeverre is het slim om zo'n constructie op te zetten ?


[...]


Na het plaatsen van mijn bericht zag ik jouw bericht staan.
Wat heb je in gebruik als host waar dit alles op draait ?

Ik heb een VMware host (pc) in de meterkast geplaatst met ESXi 6.0 erop. De pc heeft 2 nics en op nic1 komt rechtstreeks internet binnen en op nic2 vervolgens richting LAN (dit is de verkorte uitleg, in werkelijkheid heb ik het iets gecompliceerder geconfigureerd).
pfSense en Untangle draaien virtueel als guest en dit werkt uitstekend. Geen vertraging oid.
Voorheen had ik losse devices (router, firewall) die in feite hetzelfde deden, nu heb ik 1 pc-tje waarin alles verzameld in draait.
Mijn setup heeft ook nadelen, maar ik ervaar tot nu toe alleen de voordelen ervan.
In mijn thuissituatie voldoet het prima.

[ThinkPad]

Een VM op bijv. een ESXi host is vele malen krachtiger dan de gemiddelde consumentenrouter, dus dat kan prima. En pfSense heeft volgens mij ook nog eens amper resources nodig.

Nadeel is wel dat als er iets met je server aan de hand is (gecrashed ofzo, je weet het niet) dat je gelijk in je hele huis geen internet meer hebt. Ik zou dus wel een router nog ergens in de kast hebben liggen

[ Voor 39% gewijzigd door ThinkPad op 15-10-2015 12:21 ]

[MdO82]

Dan haal ik het ziggo modem uit bridge
Maar inderdaad als de host crashed dan staat het allemaal stil.
Kwam door een andere reactie op het idee om anders 2 rpi's te gebruiken.

Het blijven die keuzes

[ Voor 67% gewijzigd door MdO82 op 15-10-2015 12:35 ]