Zelfbouw project: Firewall / Router / AP

[Rayures]

Tijntje schreef op maandag 18 januari 2021 @ 14:47:
[...]
Zou je een linkje naar het product willen zetten en welke shipping method je gekozen hebt?

product:
https://www.aliexpress.com/item/1005001280532331.html

shipping:

Rayures schreef op woensdag 23 december 2020 @ 11:21:
[...]

ik had €0 extra kosten.

in de advertentie staat onderin:

7. To European union(28 counties) we have XINNUO or YUNTU shipping which will pre-paid taxes in our side which means no need pay taxes when goods received, the delivery time need 8-15 days to GB, France, Italy, Spain, Germany etc.Contact us if you need this service.

[Tijntje]

Rayures schreef op dinsdag 19 januari 2021 @ 09:07:
[...]


product:
https://www.aliexpress.com/item/1005001280532331.html

shipping:

[...]

Dank je wel, weet je misschien nog welke shipping method je hebt gekozen?

[Luxicon]

Tom Paris schreef op dinsdag 8 december 2020 @ 10:37:
Ik zou nog steeds tegen Realtek adviseren, maar de aanstaande 2.5 release van pfSense zal de laatste Realtek-driver gaan bevatten. Daarmee o.a. native ondersteuning voor de 2.5Gbit NICs.

Zojuist heb ik een andere driver voor mijn Realtek NIC moeten gebruiken, omdat deze interface eruit klapt bij maximale load qua NAT troughput. Het zou gaan om "Official Realtek Driver Binary 1.95". PfSense is nu in ieder geval superstabiel op volle snelheid en heeft geen drops tot op heden.

[Tom Paris]

Interessante veranderingen bij pfSense aanstaande...

Ten eerst zal 2.5 support krijgen voor Wireguard, volgens de officiële in-kernel ondersteuning in FreeBSD.

Ten tweede zal pfSense opsplitsen in 'pfSense Plus' en de bestaande 'pfSense Community Edition'. Belangrijkste wijzigingen en redenen in het blog:

Why did Netgate make this change?

There are two primary reasons.

First, demand for new secure networking features, performance improvements, management and automation capabilities outstrip the capabilities of existing software design, which dates to 2004.

Second, the code changes necessary to deliver the above capabilities will be disruptive to users of the open-source code base - especially those dependent upon private forks for their own needs. pfSense has a smorgasbord of features and functions that Netgate will need to update, replace, or delete. These code modifications will not always immediately serve the open-source community. Rather than force the community to quickly follow, Netgate can better serve its customers and the broader community by moving the pfSense Plus stack forward to support product advancement, without disrupting the code base that community members rely upon today.

What kinds of new capabilities are envisioned?

pfSense Plus will grow to incorporate features - like the following - requested by our end-user and managed service provider customers:

• Business level dashboard / reporting
• 802.11ac and 802.11ax wireless access point support
• Improved packet filter performance
• New GUI architecture
• GUI / device control separation, which facilitates multi-instance management
• Modernized look and feel
• Zero Touch Provisioning for easier drop ship of unprovisioned appliances

We expect to publish a high-level roadmap soon. If you would like to be informed when it becomes available, simply sign up here. Further, we are always open to product / feature input. We actively monitor for, and solicit, this input through our social media channels and user surveys.

Maar, het belangrijkste voor de Tweaker: There will be a no charge path for home and lab use and a chargeable version for commercial use.

[PerlinNoise]

@Tom Paris Ik lees de ontwikkelingen ook geintresseerd mee, maar helaas lees ik in de FAQ dat Pfsense plus closed course is. Dat is wel een flinke tegenvaller. Hopelijk komt CE goed mee.

[Rayures]

Niet helemaal opsplitsen, pfsense fe wordt
pfsense plus en zal meer focus krijgen.

Ben benieuwd hoe CE er van af zal komen.

[MuVo]

Tom Paris schreef op donderdag 21 januari 2021 @ 20:54:
Interessante veranderingen bij pfSense aanstaande...

Ten eerst zal 2.5 support krijgen voor Wireguard, volgens de officiële in-kernel ondersteuning in FreeBSD.

Ten tweede zal pfSense opsplitsen in 'pfSense Plus' en de bestaande 'pfSense Community Edition'. Belangrijkste wijzigingen en redenen in het blog:


[...]


Maar, het belangrijkste voor de Tweaker: There will be a no charge path for home and lab use and a chargeable version for commercial use.

Nice! Ik probeer al een tijd een modernere, stabiele, goedkope/gratis pFsense alternatief te vinden, maar dat is er gewoon niet welke aan mijn wensen voldoet. Fijn dat Netgate er zelf mee komt. Hopelijk blijft Plus gratis voor thuis gebruik, anders eenmalig een betaalbaar bedrag is ook nog te doen voor een firewall waar je huishouden opdraait.

Tot juni wachten tot de image voor third-party hardware of virtuele appliance uitkomt. Hopelijk zijn dan de kinderziektes er uit.

[nero355]

Ik vind het maar een beetje raar :

- Business level dashboard / reporting
- Improved packet filter performance

Wat houdt dat precies in en wat is er mis met de huidige versies

- 802.11ac and 802.11ax wireless access point support

Dat gaat IMHO aan het doel van een pfSense Router/Firewall/VPN Server voorbij!

En je eigen accesspoints bouwen is ook weer zoiets...

- New GUI architecture
- Modernized look and feel

Wat is er mis met de huidige

Ik weet dat die van OPNsense misschien wat handiger is omdat alles links i.p.v. bovenaan staat, maar verder zie ik weinig dingen die echt heel anders of veel beter kunnen...

- GUI / device control separation, which facilitates multi-instance management
- Zero Touch Provisioning for easier drop ship of unprovisioned appliances

Dat is dan weer wel handig voor sommige omgevingen

Maar goed...

We zien wel wat de toekomst brengt!

[segil]

Is de apu1 van pc engines krachtig genoeg voor pfsense op een 100 mbit lijn? Ik heb een vdsl lijn met max 100 mbit en sneller gaat bij mij niet geleverd worden. Huidige config is Freedom 100 mbit met een fritzbox 7590.

is die apu1 krachtig genoeg voor standaard firewall/ad-block/etc? (AMD G series T40E APU, 1 GHz dual core, Realtek RTL8111E).

[PerlinNoise]

segil schreef op zaterdag 23 januari 2021 @ 15:59:

is die apu1 krachtig genoeg voor standaard firewall/ad-block/etc? (AMD G series T40E APU, 1 GHz dual core, Realtek RTL8111E).

2gb ram is wel erg krap voor dnsbl. Voor geoip wil je minimaal wel 8gb ram hebben, als je dat wil gebruiken.

Als je de apu1 al hebt, kun je het natuurlijk proberen. Maar anders zou ik voor minimaal een apu2 gaan of iets anders.

[ Voor 13% gewijzigd door PerlinNoise op 25-01-2021 08:36 ]

[segil]

PerlinNoise schreef op maandag 25 januari 2021 @ 08:35:
[...]


2gb ram is wel erg krap voor dnsbl. Voor geoip wil je minimaal wel 8gb ram hebben, als je dat wil gebruiken.

Als je de apu1 al hebt, kun je het natuurlijk proberen. Maar anders zou ik voor minimaal een apu2 gaan of iets anders.

Knoop doorgehakt en de apu2e4 besteld met 30 gb msata. Ben benieuwd! Wel wat boven mijn budget, maar aan de andere kant is het ook wel leuk speelgoed om mee bezig te zijn.

[raymondw]

Na enige tijd een 1037u 6-poort model gehad te hebben was het tijd voor een vervanging.
Na veel overwegingen heb ik gekozen voor een Intel 5405u
Prijs, <20w TDP, DDR4, AES en alles in 1 vanaf de leverancier. (Prijs bij bestellen 233,- inc ship)

Unit besteld op Ali bij XCY shop en ik moet zeggen dat het wel enorm verbeterd is tegenover de oude unit.
Geen fans meer door de passieve koeling
Temp van de oude unit was +-50gr onder lage load en 60gr onder hoge load.
Nieuwe unit is 38><44gr

De net-niet bekende hardware onderdelen zijn wel even een verrassing, maar functioneren goed.
Ondanks dat word er dagelijks een backup gemaakt van de belangrijkste delen
Qua design is de unit vergelijkbaar met vele andere merken/modellen.

Hardware gebruik ik icm de laatste stabiele release van OPNsense, alles word herkent en ondersteunt, zelfs de Chinese 2.4Ghz wifi adapter.
Deze unit koppelt mijn prive cloud en verschillende wireless AP's aan elkaar, performance is uitstekend.
Load op de oude unit was regelmatig richting de 100%, op de 5405u is het hoogstens 30%.





en het blijft Chinees af en toe

[halloallemaal]

Rayures schreef op donderdag 5 november 2020 @ 09:41:
[...]


zelf gedaan

flashen met flashrom

flashrom tools:

code:

https://1drv.ms/u/s!As78E6fkkOiJgRDDGM1O_dBrpdsj?e=rqtj1B

code:

flashrom -p internal -r FILENAME.ROM

[...]


jazeker. Met PFSense in een VM (op proxmox) en 2 nic passthrough. Doet zij met gemak 950Mbit LAN-WAN (en andersom WAN-LAN) routing. In 'top' zie ik 12% kernel & 0,4% interrupt bij 950Mbit. Dit out-of-the-box, nog geen optimalisaties gedaan. (iperf3 server op wan, client op lan).
Laat de glas aansluiting maar komen

/edit1:
testje gedaan om (ongeveer) te kijken waar de max van PFsense zit in dit systeem.

code:

[5]   0.00-10.00  sec  6.38 GBytes  5.48 Gbits/sec

Ik heb hetzelfde apparaat en ik wilde de optie voor IOMMU aanzetten, maar die kan ik niet vinden in bios. Nu vermoed ik dat dit een hidden optie is.

Nu hoopte ik dat ik met jouw flashtool oplossing mijn bios open te breken, echter dat lukt niet. Kan het zijn dat de rom file ontbreekt in je OneDrive zip file?

[Rayures]

volgens mij stond IOMMU standaard op enabled en was het niet een hidden feature. Zal in BIOS als VT-D genoemd zijn.

--
in deze post staat een link naar de ROM (onder de bios afbeelding)
https://gathering.tweakers.net/forum/view_message/64097716

rom:
https://1drv.ms/u/s!As78E6fkkOiJgQ9onEFnXxQ5iVKq?e=GPCw8e

deze post de tools
Rayures in "Zelfbouw project: Firewall / Router / AP"

tools:
https://1drv.ms/u/s!As78E6fkkOiJgRDDGM1O_dBrpdsj?e=rqtj1B

code om te flashen:
flashrom -p internal -r FILENAME.ROM

[halloallemaal]

Rayures schreef op donderdag 28 januari 2021 @ 10:20:
volgens mij stond IOMMU standaard op enabled en was het niet een hidden feature. Zal in BIOS als VT-D genoemd zijn.

--
in deze post staat een link naar de ROM (onder de bios afbeelding)
https://gathering.tweakers.net/forum/view_message/64097716

rom:
https://1drv.ms/u/s!As78E6fkkOiJgQ9onEFnXxQ5iVKq?e=GPCw8e

deze post de tools
Rayures in "Zelfbouw project: Firewall / Router / AP"

tools:
https://1drv.ms/u/s!As78E6fkkOiJgRDDGM1O_dBrpdsj?e=rqtj1B

code om te flashen:
flashrom -p internal -r FILENAME.ROM

Dankje, ik ga er naar kijken 👍🏻

[MuVo]

XS4all:

Orginele Fritzbox @ http://www.dslreports.com/:



Pfsense Qotom: @ http://www.dslreports.com/, met
Codel gelimieteerd op 100/100mbit:


Na het optimaliseren van de verbinding via Psense blijf ik in games hit detection problemen ondervinden. Ik ga Xs4all vragen of ze mijn lijn met de Fritzbox kunnen doormeten. De metingen die ik heb gedaan op de Fritzbox komen bij mij over alsof er out of the box Xs4all een matig glasvezel signaal aan levert.

[ Voor 18% gewijzigd door MuVo op 29-01-2021 09:26 ]

[Ankh]

MuVo schreef op vrijdag 29 januari 2021 @ 09:11:
XS4all:

Orginele Fritzbox @ http://www.dslreports.com/:
[Afbeelding]


Pfsense Qotom: @ http://www.dslreports.com/, met
Codel gelimieteerd op 100/100mbit:

[Afbeelding]

[Afbeelding]

Na het optimaliseren van de verbinding via Psense blijf ik in games hit detection problemen ondervinden. Ik ga Xs4all vragen of ze mijn lijn met de Fritzbox kunnen doormeten. De metingen die ik heb gedaan op de Fritzbox komen bij mij over alsof er out of the box Xs4all een matig glasvezel signaal aan levert.

Klopt je bericht? Met Pfsense heb je geen last van Bufferbloat en heb je de beste verbinding. Dat een fritzbox een meer last van bufferbloat heeft, komt blijkbaar door een softwarematige firewall en geen offloading op de CPU.

Nu zegt dit natuurlijk niet alles, want je bent afhankelijk van de game die je speelt bijvoorbeeld.

[MuVo]

Ankh schreef op vrijdag 29 januari 2021 @ 10:35:
[...]


Klopt je bericht? Met Pfsense heb je geen last van Bufferbloat en heb je de beste verbinding. Dat een fritzbox een meer last van bufferbloat heeft, komt blijkbaar door een softwarematige firewall en geen offloading op de CPU.

Nu zegt dit natuurlijk niet alles, want je bent afhankelijk van de game die je speelt bijvoorbeeld.

Mijn bericht klopt. Maar ik heb ook bufferbloat op pfsense zonder de Codel aanpassingen. Pas met de optimalisatie met codel heb ik geen bufferbloat. Maar ik blijf hit detection problemen in games ondervinden. Zoals je zegt blijf je natuurlijk houden door dat je afhankelijk bent van een game.

Ik vroeg me af of het originele signaal op de lijn toch invloed blijft uitoefenen ook al is de lijn daarna met Pfsense verbeterd. In de zin van: Is het bron signaal in het eerste stadium al matig, de verbetering die ik toepast verbeterd het matige signaal niet, ik beïnvloed alleen het matige signaal.

[Ankh]

MuVo schreef op vrijdag 29 januari 2021 @ 10:58:
[...]


Mijn bericht klopt. Maar ik heb ook bufferbloat op pfsense zonder de Codel aanpassingen. Pas met de optimalisatie met codel heb ik geen bufferbloat. Maar ik blijf hit detection problemen in games ondervinden. Zoals je zegt blijf je natuurlijk houden door dat je afhankelijk bent van een game.

Ik vroeg me af of het originele signaal op de lijn toch invloed blijft uitoefenen ook al is de lijn daarna met Pfsense verbeterd. In de zin van: Is het bron signaal in het eerste stadium al matig, de verbetering die ik toepast verbeterd het matige signaal niet, ik beïnvloed alleen het matige signaal.

Signaal kwaliteit moet niet uitmaken, hoogstens je routing. Maar dat is iets wat XS4all (KPN) niet gaat aanpassen gok ik.

Dit is mijn verbinding met een EdgeRouter X met OpenWRT Software. Ik gebruik geen software offloading:


Nu heb ik een zakelijk dienstverlener op een KPN FTTO verbinding.. dus niet echt te vergelijken

[Tom Paris]

Interessante cijfers over Wireguard in pfSense 2.5 in een nieuw blog.

De in-kernel implementatie haalt 909Mbps met iperf3, terwijl de 'go'-implementatie (gebruik door o.a. OPNsense) slechts 329Mbps haalt met dezelfde hardware.

[Rayures]

Tom Paris schreef op vrijdag 29 januari 2021 @ 14:28:
Interessante cijfers over Wireguard in pfSense 2.5 in een nieuw blog.

De in-kernel implementatie haalt 909Mbps met iperf3, terwijl de 'go'-implementatie (gebruik door o.a. OPNsense) slechts 329Mbps haalt met dezelfde hardware.

Erg netjes.

Let wel, de testrun was single thread op een atom cpu. Dezelfde run op een xeon doet 1542 vs 1370mbit.

[CAPSLOCK2000]

Tom Paris schreef op vrijdag 29 januari 2021 @ 14:28:
Interessante cijfers over Wireguard in pfSense 2.5 in een nieuw blog.

De in-kernel implementatie haalt 909Mbps met iperf3, terwijl de 'go'-implementatie (gebruik door o.a. OPNsense) slechts 329Mbps haalt met dezelfde hardware.

Ik gebruik sinds kort Wireguard op Linux (ook met kernel ondersteuning) en ben heel enthousiast over hoe snel het is in vergelijking met OpenVPN dat ik eerder gebruikte. OpenVPN verzadigde de CPU van mijn (gevirtualiseerde) router lang voor de hele verbinding gevuld werd. Bij Wireguard heb ik dat nog niet gezien.

[Pietsnot56]

Yanling 4 poorts /Pfsense 2.4.5-p1 (+- = Protectli FW4B):

Kleine feedback: toestelletje draait nu al enkele maanden probleemloos.
Het tune-werk is inmiddels al ver gevorderd en de implementatie al vrij uitgebreid voor home gebruik.

Volgende apps zijn geïnstalleerd:

Service Omschrijving Actie
c-icap ICAP Interface for Squid and ClamAV integration
clamd ClamAV Antivirus
dhcpd DHCP Service
dpinger Gateway Monitoring Daemon
lightsquid_web Lightsquid Web Server
ntopng ntopng Network Traffic Monitor
ntpd NTP tijd synchronisatie
openvpn OpenVPN server: OpenVPN over pfSense
pfb_dnsbl pfBlockerNG DNSBL service
pfb_filter pfBlockerNG firewall filter service
squid Squid Proxy Server Service
squidGuard Proxy server filter Service
sshd Secure Shell Daemon
suricata Suricata IDS/IPS Daemon
syslogd Systeem Logger Daemon
unbound DNS Resolver

PPfBlocker en Suricata zijn vrij breed uitgebreid geconfigureerd., 4 Vlan's, 3 AP 's, 2 Nassen, 4 managed switches , Esxi lab-server en openvpn.

Met de oorspronkelijke 4G liep ik aan bij bijna volle bezetting van het geheugen en moest swapgeheugen aangesproken worden.
Intussen heb ik het geheugen uitgebreid naar 8G.

Alles lijkt nu veel comfortabeler te draaien.

MBUF Gebruik
1% (14430/1000000)
Temperatuur
44.0°C
Gemiddelde belasting
0.50, 0.51, 0.49
Processor gebruik
7%
Geheugen gebruik
28% of 8045 MiB
SWAP gebruik
0% of 2689 MiB
Disk usage:
/
6%of55GiB - ufs
/var/run
5%of3.4MiB - ufs in RAM

Goed van weten!

[PerlinNoise]

Pietsnot56 schreef op zondag 31 januari 2021 @ 11:50:
Yanling 4 poorts /Pfsense 2.4.5-p1 (+- = Protectli FW4B):

Hier ook gekocht. Bij Banggood voor € 167,-. Is precies hetzelfde als de Yanling/Protectli. Protectli bios op geflashed. (BSW4L009)
Prijs fluctueert heel erg op Banggood, soms voor €240,-, andere dag weer €170,-. Dus als je op zoek bent, goed in de gaten houden.

[ Voor 4% gewijzigd door PerlinNoise op 01-02-2021 12:05 ]

[Pietsnot56]

Je lijkt glasvezel te hebben.
Haal je +_ 1G?
Pfsense of Opnsense?
4 of 8 G intern geheugen?

[PerlinNoise]

Pietsnot56 schreef op maandag 1 februari 2021 @ 13:14:
Je lijkt glasvezel te hebben.
Haal je +_ 1G?
Pfsense of Opnsense?
4 of 8 G intern geheugen?

100/100 t-mobile glasvezel WBA gebied.
Met een j3160 kun je geen 1000/1000 halen. Dan zou ik voor minimaal een i5 gaan.
Pfsense 4GB geheugen

[wian]

Waarom zou je geen 1gbit halen met die FW4B? Zolang je geen uitgebreide snort/suricata config hebt zou het geen probleem moeten zijn.

[Ankh]

Ik gok combinatie van lagere GHz en pppoe

[Pietsnot56]

Ik heb een telenet 300/30 verbinding met een resem app's actief, waaronder suricata en pfblocker.
Sinds de memory upgrade naar 8 G haal ik vlot 285/ 290-25/30.
Dat is dus bijna het theoretisch maximum.
cpu belasting < 10% en +- 25% memory belasting.
Er dus wel nog wat reserve.
Heeft soms iemand een 1G abbo met een fw4b?

[Verwijderd]

Pietsnot56 schreef op vrijdag 5 februari 2021 @ 10:33:
Ik heb een telenet 300/30 verbinding met een resem app's actief, waaronder suricata en pfblocker.
Sinds de memory upgrade naar 8 G haal ik vlot 285/ 290-25/30.
Dat is dus bijna het theoretisch maximum.
cpu belasting < 10% en +- 25% memory belasting.
Er dus wel nog wat reserve.
Heeft soms iemand een 1G abbo met een fw4b?

Ik ben hier ook benieuwd naar. Ik kijk al een tijdje om mijn OPNSense VM te vervangen voor iets hardwarematigs. Ik ben alleen bang dat die simpele apparaten het simpelweg niet trekken.

[PerlinNoise]

@Pietsnot56 & @Verwijderd Hier staat wel wat over snelheden met de FW4b en gigabit.

[MuVo]

Pfsense 2.5 Release Candidate (RC)
De nieuwe Pfsense 2.5 RC is beschikbaar voor de laatste publieke test voor de finale release.

In preparation for final release testing, we have now locked pfSense software version 2.5.0 so that no more issues may be assigned using it as a target.

Release Candidate (RC) snapshots of 2.5.0 CE will be available shortly.

There are still some issues in progress which will be finalized before the final release, check Redmine for details.

If you encounter an issue you believe to be a release blocker, and it does not already have an existing Redmine issue, then leave the target version blank and include reasoning for the issue being a blocker in the issue description.

Mocht iemand al hebben geüpgrade, graag jouw ervaring hier delen. Zelf wacht ik nog even tot ik meer tijd heb.

[Theone098]

wian schreef op vrijdag 19 juni 2020 @ 10:58:
Qua geheugen zit er bij mij een Kingston KVR16LS11/8 in.

Ik heb de protectli AMI bios gebruikt omdat de coreboot rom op de protectli website nogal oud is. De laatste versie van coreboot heb ik wel zelf succesvol gecompileerd, maar aan het einde verschijnt een waarschuwing dat de rom nog niet compleet is omdat er proprietary intel modules missen. Ik moet nog uitzoeken waar ik die vandaan haal.

Ondertussen is er een versie van 11-11-2020. Reden om over te stappen?

[Rayures]

MuVo schreef op donderdag 11 februari 2021 @ 19:17:
Pfsense 2.5 Release Candidate (RC)
De nieuwe Pfsense 2.5 RC is beschikbaar voor de laatste publieke test voor de finale release.


[...]


Mocht iemand al hebben geüpgrade, graag jouw ervaring hier delen. Zelf wacht ik nog even tot ik meer tijd heb.

Sinds mijn nieuwe Partaker/Inctel machine draait deze de 2.5.0 dev versies. Elke week geüpdatet en sinds deze week de rc.
Geen issues met acme,bind,pfblockerng,haproxy-dev,vlan,openvpn client,openvpn-server,etc.

Ik draai pfsense op pve. Altijd eerst een backup alvorens een update (ook addons). Heb met een update wel eens e.e.a. gesloopt (eigen schuld) welke in niet in een uur weer werkend had (en de druk steeg omdat er een video call in de agenda stond ;-) )

[ Voor 15% gewijzigd door Rayures op 12-02-2021 14:26 ]

[Tom Paris]

Release Candidate hier ook zonder problemen op KPN glas met IPTV in ESXi

[Uberprutser]

Sinds gisteren OPNsense niet meer op hetzelfde cluster als m'n VMs draaien maar op een losse Dell VEP1425. Is er nog een onderweg samen met twee (oem) pfsense XG-7100 appliances.

[MuVo]

Rayures schreef op vrijdag 12 februari 2021 @ 14:22:
[...]


Sinds mijn nieuwe Partaker/Inctel machine draait deze de 2.5.0 dev versies. Elke week geüpdatet en sinds deze week de rc.
Geen issues met acme,bind,pfblockerng,haproxy-dev,vlan,openvpn client,openvpn-server,etc.

Ik draai pfsense op pve. Altijd eerst een backup alvorens een update (ook addons). Heb met een update wel eens e.e.a. gesloopt (eigen schuld) welke in niet in een uur weer werkend had (en de druk steeg omdat er een video call in de agenda stond ;-) )

Tom Paris schreef op vrijdag 12 februari 2021 @ 15:47:
Release Candidate hier ook zonder problemen op KPN glas met IPTV in ESXi

Bedankt voor de ervaringen! Vannacht succesvol geupgrade naar 2.5. xs4all werkt zonder problemen op mijn Qotom, inclusief routed iptv. Vlans werken ook.

[nero355]

Interessant DIY Router plankje gespot vandaag : https://nl.hardware.info/...t-intel-i7-tiger-lake-cpu

Als de prijs straks een beetje interessant blijkt te zijn...

[Theone098]

nero355 schreef op zaterdag 13 februari 2021 @ 18:49:
Interessant DIY Router plankje gespot vandaag : https://nl.hardware.info/...t-intel-i7-tiger-lake-cpu

Als de prijs straks een beetje interessant blijkt te zijn...

Tenzij zakelijk lijkt het mij een beetje over kill. Althans, de i7 dan.

[nero355]

Theone098 schreef op zaterdag 13 februari 2021 @ 18:59:
Tenzij zakelijk lijkt het mij een beetje over kill. Althans, de i7 dan.

- Erg compact.
- Veel rekenkracht aanwezig voor PPPoE verbindingen en IDS/IPS/enz.

Niet verkeerd voor in de meterkast toch

[jimmy87]

Tom Paris schreef op vrijdag 12 februari 2021 @ 15:47:
Release Candidate hier ook zonder problemen op KPN glas met IPTV in ESXi

Werkt dat inmiddels met routed IPtv? de laatste keer dat ik pfsense gebruikt heb was die igmp proxy stuk.

[Tom Paris]

jimmy87 schreef op maandag 15 februari 2021 @ 15:24:
[...]


Werkt dat inmiddels met routed IPtv? de laatste keer dat ik pfsense gebruikt heb was die igmp proxy stuk.

Dan heb je heel lang geen pfSense gebruikt, en heb je 'pech' gehad toen je het gebruikte... Er zijn een aantal bugs geweest in het verleden ja, maar die stonden vrijwel altijd als known issues in de release notes. Ik gebruik pfSense nu al ruim 4 jaar met routed IPTV, nooit problemen gehad

[jimmy87]

Tom Paris schreef op maandag 15 februari 2021 @ 16:12:
[...]


Dan heb je heel lang geen pfSense gebruikt, en heb je 'pech' gehad toen je het gebruikte... Er zijn een aantal bugs geweest in het verleden ja, maar die stonden vrijwel altijd als known issues in de release notes. Ik gebruik pfSense nu al ruim 4 jaar met routed IPTV, nooit problemen gehad

Mag ik dan zo vervelend zijn en je vragen of je je routed IPTV stuk wil delen?

[Videopac]

nero355 schreef op zaterdag 13 februari 2021 @ 21:19:
[...]

- Erg compact.
- Veel rekenkracht aanwezig voor PPPoE verbindingen en IDS/IPS/enz.

Niet verkeerd voor in de meterkast toch

Ventilator nodig. Onnodig hoog verbruik, 7x24.

[Tom Paris]

jimmy87 schreef op maandag 15 februari 2021 @ 16:17:
[...]


Mag ik dan zo vervelend zijn en je vragen of je je routed IPTV stuk wil delen?

sWORDs: pfSense 2.4.4-P1 met KPN wholesale

[nero355]

Videopac schreef op maandag 15 februari 2021 @ 16:19:
Ventilator nodig.

Zou kunnen

Onnodig hoog verbruik, 7x24.

Verwacht ik niet eerlijk gezegd, maar wie weet hebben ze de boel niet zo goed opgebouwd dan krijg je wel dat effect inderdaad

[Microkid]

downloads: pfSense 2.5.0

Ik wilde eigenlijk pas upgraden na de eerste fix, maar toen ik gisteren in mijn 2.4.5 een package wilde updaten, ging er iets mis dat mijn pfSense onherstelbaar beschadigde. Dan maar meteen de stoute schoenen aangetrokken: pfSense 2.5.0 op een USB geknald, opnieuw installeren, backup terugzetten en gaan met die banaan. Draait tot nu toe feilloos en eerste indruk is dat er minder cpu benodigd is

[Theone098]

TIP: mocht je na de upgrade last hebben dat OpenVPN niet werkt / packet loss -> uncheck "Enable Data Encryption Negotiation" onder openvpn.

Dat gaf bij mij ook flinke problemen met IPTV. Dat is dan meteen opgelost

[ Voor 21% gewijzigd door Theone098 op 19-02-2021 08:47 ]

[Mozart]

Theone098 schreef op vrijdag 19 februari 2021 @ 08:46:
TIP: mocht je na de upgrade last hebben dat OpenVPN niet werkt / packet loss -> uncheck "Enable Data Encryption Negotiation" onder openvpn.

Dat gaf bij mij ook flinke problemen met IPTV. Dat is dan meteen opgelost

Is dat een optie die je per OpenVPN connectie instelt? Is dat een nieuwe setting in 2.5.0? Ik zie hem namelijk niet terug op mijn 2.4.4

[Theone098]

Mozart schreef op vrijdag 19 februari 2021 @ 10:42:
[...]

Is dat een optie die je per OpenVPN connectie instelt? Is dat een nieuwe setting in 2.5.0? Ik zie hem namelijk niet terug op mijn 2.4.4

Ja, inderdaad. Per connectie en nieuw in 2.5.0.

[ik222]

Microkid schreef op donderdag 18 februari 2021 @ 06:55:
downloads: pfSense 2.5.0

Ik wilde eigenlijk pas upgraden na de eerste fix, maar toen ik gisteren in mijn 2.4.5 een package wilde updaten, ging er iets mis dat mijn pfSense onherstelbaar beschadigde. Dan maar meteen de stoute schoenen aangetrokken: pfSense 2.5.0 op een USB geknald, opnieuw installeren, backup terugzetten en gaan met die banaan. Draait tot nu toe feilloos en eerste indruk is dat er minder cpu benodigd is

Hier net geupgrade naar 2.5.0, alles werkt prima. Het enige issue wat ik even had is dat IPv4 internet niet werkte, ik moest even de goede standaard gateway opnieuw selecteren om dat op te lossen.

Ook fijn dat de nieuwe versie van igmpproxy (0.3) nu standaard in deze release zit. Daarmee kan je quickleave zoals default aan laten staan als je meerdere STB's hebt zonder dat er korte onderbrekingen zijn als meerdere STB's op hetzelfde kanaal staan en er dan 1 wegzapt.

[Workaholic]

Upgrade ging bij mij ook goed en ook hier deed internet het helaas niet. Na een reboot echter opgelost. Verder niet de moeite genomen om uit te zoeken waardoor het kwam, maar wellicht voor de mensen hier goed om te weten voordat je settings gaat wijzigen.

Wat ik me wel afvraag is of er nou eenvoudig een SSL certificaat op kan van letsencrypt oid wanneer je geen vast extern ip hebt en extern verkeer naar binnen zo goed als dicht hebt staan? Vond het vroeger te omslachtig, is dat toevallig nu eenvoudiger geworden met 2.5? Hoe doen jullie dit? Voor mij geen noodzaak, maar die melding in chrome blijft irritant .

[ Voor 31% gewijzigd door Workaholic op 19-02-2021 13:59 ]

[nero355]

Workaholic schreef op vrijdag 19 februari 2021 @ 13:58:
Wat ik me wel afvraag is of er nou eenvoudig een SSL certificaat op kan van letsencrypt oid wanneer je geen vast extern ip hebt en extern verkeer naar binnen zo goed als dicht hebt staan? Vond het vroeger te omslachtig, is dat toevallig nu eenvoudiger geworden met 2.5? Hoe doen jullie dit? Voor mij geen noodzaak, maar die melding in chrome blijft irritant

Een apart Firefox of Pale Moon Profiel voor het beheer van alle Netwerkmeuk waarin alles opgeslagen zit

[Tom Paris]

Workaholic schreef op vrijdag 19 februari 2021 @ 13:58:
Wat ik me wel afvraag is of er nou eenvoudig een SSL certificaat op kan van letsencrypt oid wanneer je geen vast extern ip hebt en extern verkeer naar binnen zo goed als dicht hebt staan? Vond het vroeger te omslachtig, is dat toevallig nu eenvoudiger geworden met 2.5? Hoe doen jullie dit? Voor mij geen noodzaak, maar die melding in chrome blijft irritant .

Certificaat kopen en handmatig uploaden. Kost je 1x per jaar 15 euro en een half uurtje werk.

[Luxicon]

Workaholic schreef op vrijdag 19 februari 2021 @ 13:58:
Wat ik me wel afvraag is of er nou eenvoudig een SSL certificaat op kan van letsencrypt oid wanneer je geen vast extern ip hebt en extern verkeer naar binnen zo goed als dicht hebt staan? Vond het vroeger te omslachtig, is dat toevallig nu eenvoudiger geworden met 2.5? Hoe doen jullie dit? Voor mij geen noodzaak, maar die melding in chrome blijft irritant .

Misschien kun je hier wat mee..

[Raven]

Workaholic schreef op vrijdag 19 februari 2021 @ 13:58:
Wat ik me wel afvraag is of er nou eenvoudig een SSL certificaat op kan van letsencrypt oid wanneer je geen vast extern ip hebt en extern verkeer naar binnen zo goed als dicht hebt staan? Vond het vroeger te omslachtig, is dat toevallig nu eenvoudiger geworden met 2.5? Hoe doen jullie dit? Voor mij geen noodzaak, maar die melding in chrome blijft irritant .

Heb je toevallig al ergens in je netwerk een Let's Encrypt wildcard certificaat in gebruik? Ik heb een RPi die er een heeft en kan die met een scriptje kopiëren naar pfSense. Dat gebeurt overigens niet direct, SSH van pfSense is alleen toegankelijk via LAN interface en die is host only daar ik pfSense in een VM op mijn desktop gebruik voor VPN doeleinden.

Mocht je wat weten van bash scripts, dan helpt dit je wel op weg

Bash:

#!/bin/bash
pfSenseIP="x.x.x.x"
pfSenseUsername="******"
pfSensePassword="*******"
RPiIP="x.x.x.x"
RPiUsername="******"
RPiPassword="*******"
certificate="certificate.pem"
privatekey="privkey.pem"

sshpass -p $RPiPassword ssh -t $RPiUsername@$RPiIP "echo $RPiPassword | sudo -S cat /etc/letsencrypt/live/domain.nl/fullchain.pem" > fullchain.pem
sshpass -p $RPiPassword ssh -t $RPiUsername@$RPiIP "echo $RPiPassword | sudo -S cat /etc/letsencrypt/live/domain.nl/privkey.pem" > privkey.pem

mv fullchain.pem $certificate.combo
csplit -f $certificate.part $certificate.combo '/-----BEGIN CERTIFICATE-----/' '{*}'

for file in $certificate.part*;
do echo "Processing $file file.";
output=$(openssl x509 -noout -subject -in $file);

if [[ $output = *CN*=*.* ]]
then
        #echo "domainname detected"
        mv $file certificate.pem
fi
if [[ $output = *R3* ]]
then
        #echo "CA detected"
        mv $file CA_LetsEncrypt.pem
fi
done

cert=$(base64 $certificate)
cert=$(echo $cert | sed "s/ //g")
key=$(base64 $privatekey)
key=$(echo $key | sed "s/ //g")
sshpass -p $pfSensePassword scp $pfSenseUsername@$pfSenseIP:/conf/config.xml config.xml
oldcert=$(grep -A4 -P 'WebConfCA' config.xml | awk '/<crt>/ { print $1}' | sed "s|<crt>||g" | sed "s|</crt>||g")
oldkey=$(grep -A4 -P 'WebConfCA' config.xml | awk '/<prv>/ { print $1}' | sed "s|<prv>||g" | sed "s|</prv>||g")


if grep "$cert" config.xml > /dev/null
then
    echo "Identical certificate found, renewal not required"
    sshpass -p $pfSensePassword ssh $pfSenseUsername@$pfSenseIP rm /tmp/config.cache
    sshpass -p $pfSensePassword ssh $pfSenseUsername@$pfSenseIP /etc/rc.restart_webgui
else
    echo "Certificate not found, renewal required"
    sed -i -e "s|$oldcert|$cert|g" config.xml
    sed -i -e "s|$oldkey|$key|g" config.xml
    sshpass -p $pfSensePassword scp config.xml $pfSenseUsername@$pfSenseIP:/conf/config.xml
    sshpass -p $pfSensePassword ssh $pfSenseUsername@$pfSenseIP rm /tmp/config.cache
    sshpass -p $pfSensePassword ssh $pfSenseUsername@$pfSenseIP /etc/rc.restart_webgui
fi

find . -size  0 -name "$certificate.part*" -print0 |xargs -0 rm --
rm $certificate.combo
rm certificate.pem
rm privkey.pem
rm CA_LetsEncrypt.pem
cp config.xml config.xml.bak
rm config.xml

Vervang WebConfCA overigens met welke certificaatnaam van toepassing is, die wat te zien is op https://IPvanpfSense/system_certmanager.php, en pad naar certificaat en key aanpassen.

[Fresh T.]

rcowdam schreef op vrijdag 14 augustus 2020 @ 20:14:
[...]


Ik heb zojuist een setup gemaakt met deze Seeed Odyssey, in combinatie met Ubiquiti unifi Switch & AP’s.

Op de odyssey draai ik nu VMware ESXi met voorlopig twee virtuele machines daarop: PFSense als router en een aparte Linux server met de Unifi controller erop. VMware werkt niet met de eMMC (en blijkbaar ook niet aangeraden), dus ik heb er een NVMe SSD bijgestoken.

Ik heb geen compatibiliteitsproblemen gehad zover en qua performance is het ruim voldoende voor mijn 300Mbps verbinding. CPU gebruik blijft laag, ook met IDS (suricata) actief.

Enigste dat ik nog mis is een case - deze heb ik nu direct bij Seeed besteld aangezien deze zeer moeilijk verkrijgbaar was/is.

Hoe bevalt dit bord nog na een half jaar? Ik begreep dat de fan was luidruchtig kan zijn. Hoe ervaar jij dit?

Ik zit hierover te denken voor een pfsense omgeving, maar de fanless variant is slecht leverbaar. Andere optie is de Odroid H2+, maar ook die lijkt niet goed leverbaar te zijn momenteel.

[rcowdam]

Fresh T. schreef op maandag 22 februari 2021 @ 08:03:
[...]

Hoe bevalt dit bord nog na een half jaar? Ik begreep dat de fan was luidruchtig kan zijn. Hoe ervaar jij dit?

Ik zit hierover te denken voor een pfsense omgeving, maar de fanless variant is slecht leverbaar. Andere optie is de Odroid H2+, maar ook die lijkt niet goed leverbaar te zijn momenteel.

Ervaring is zeker positief - Het draait zeer stabiel en geen issues gehad so far, ook niet qua drivers oid. Fan is niet luidruchtig, maar de load is dan ook typisch laag aangezien ik het ook enkel gebruik als pfsense/homelab server.

[Raven]

Zag net dit in de mail: Dual Gigabit Ethernet Carrier Board for Raspberry Pi Compute Module 4

[ Voor 3% gewijzigd door Raven op 14-03-2021 18:15 ]

[nero355]

Raven schreef op zondag 14 maart 2021 @ 18:13:
Zag net dit in de mail: Dual Gigabit Ethernet Carrier Board for Raspberry Pi Compute Module 4

Leuk dat het kan, maar niet voor die prijs wat mij betreft...

Dan kan je ook zoiets kopen : pricewatch: Ubiquiti EdgeRouter X
En dan de originele of 3rd party firmware erop draaien die gebaseerd is op OpenWRT

[theduke1989]

betekend dit dat PFSense meer lekken heeft dan een Opensense dan? Want als Opensense zoveel update moet toch wel iets betekenen dat ze hun code op orde willen hebben tegen vunerbilaties?

Ik heb zo'n QutomPC
i5 700U
8GB werkgeheugen
128GB SSD
6X Intel NIC's overkill, maar toch extra gekocht, Wil met vlans werken dan is beter een extra switch.
ASI support.
€320,-
Switch netgear €33,-

Qua performance moet het goedkomen met thuisgebruik, is leuk speelgoed om te gebruiken.
Nu is het dus de software wat het product afmaakt. En dat wil ik goed op orde hebben.

Als dat echt zijn antwoord is, dan kan ik dat navolgen denk ik ook. Wil een stabiel systeem wat altijd draait met hier en daar wat updates per maand, half jaar of zelfs jaar. Qua packages moet het goedkomen volgen smij.

[Raven]

nero355 schreef op zondag 14 maart 2021 @ 20:14:
[...]

Leuk dat het kan, maar niet voor die prijs wat mij betreft...

Dan kan je ook zoiets kopen : pricewatch: Ubiquiti EdgeRouter X
En dan de originele of 3rd party firmware erop draaien die gebaseerd is op OpenWRT

Dat ding is vergeleken met mijn router-pc goedkoop

[Tom Paris]

theduke1989 schreef op zondag 14 maart 2021 @ 22:16:
betekend dit dat PFSense meer lekken heeft dan een Opensense dan? Want als Opensense zoveel update moet toch wel iets betekenen dat ze hun code op orde willen hebben tegen vunerbilaties?

Je kunt het ook omdraaien, ze moeten zo vaak updaten omdat ze slechte code releasen...

In werkelijkheid volgen beide een andere filosofie. OPNsense pusht nieuwe functies snel en released vaak, en ziet een bug of regressie als acceptabel risico. pfSense wacht totdat nieuwe functies beter uitgekristalliseerd zijn en en kiest via uitgebreid testen (o.a. met beta's en RC's) voor stabiliteit.

Wireguard is daar een goed voorbeeld van. Zit al een tijdje in OPNsense via kernel-modules, pfSense heeft gewacht totdat dit in-kernel beschikbaar kwam in FreeBSD. Overigens released pfSense ook gewoon hotfixes als een component een known vulnerability heeft...

Raven schreef op zondag 14 maart 2021 @ 18:13:
Zag net dit in de mail: Dual Gigabit Ethernet Carrier Board for Raspberry Pi Compute Module 4

[Afbeelding]

[Afbeelding]

Jammer dat het USB naar LAN is

[ Voor 22% gewijzigd door Tom Paris op 15-03-2021 12:14 ]

[Robbiedobbie]

Ik zit de afgelopen week ook voor het eerst te kloten met pfsense op 1 van die partaker china pctjes bedoeld voor dit soort zaken.

Nu draai ik pfsense binnen een vm op esxi (Ik wil later ook zaken als homeassistant op zelfde pc draaien), en ben ik bezig om de management interface van esxi ook op het netwerk beschikbaar te krijgen, maar dit wil maar niet lukken (Heb sowieso een van de poorten als dedicated backup voor die interface aangehouden, dat leek me wel zo verstandig ).

De situatie is als volgt:

Omdat mijn netwerk momenteel nog opgesplitst wordt op de plek waar de router komt te staan, en daar geen plek is voor een switch, heb ik een aantal van de physical lanpoorten elk een losse virtual switch binnen esxi gegeven. Deze poorten hebben elk een portgroup met vlan trunk gekregen, en zijn allemaal als interfaces in de pfsense vm toegedeeld aan een bridge, zodat ik deze als switch kan gebruiken.

Om de bridge helemaal gaande te krijgen heb ik ook nog de volgende system tunables gezet:

code:

net.link.bridge.pfil_member 0    
net.link.bridge.pfil_bridge 1

De bridge hangt dus direct als LAN interface, welke een static ipv4 (10.200.10.1/24) heeft toegewezen gekregen.

Voor de esxi management heb ik een virtual switch zonder physical poorten die ik later voor alle vm koppelingen wil gebruiken. Hier heb ik 2 portgroups op, eentje hangt als interface aan de pfsense vm met trunking enabled, en 1tje is gekoppeld aan een VMKernel NIC met dhcp actief, en draait op vlan 3000.

In pfsense heb ik die vlan gekoppeld aan een "esxiManagement" interface welke een static ipv4 (10.200.200.1/24) met nu tijdelijk ook een dhcp server om te testen. Ik heb na lang kloten maar even op de LAN interface (dus de bridge) EN op de esxiManagement interface een pass rule ingesteld op ipv4+ipv6 op alle protocollen, met source any en destination any. Ik zie binnen de esxi management dat de VMKernel een ipv4 toegewezen krijgt (10.200.200.2).

Binnen de interfaces werkt alles zoals het moet, maar het wil niet lukken om tussen deze 2 netwerken te routen. Wel zie ik in de routes dat deze binnen pfsense automatisch al ingesteld staan. Ook kan ik de apparaten terugvinden in de ARP table, en kan ik vanaf pfsense pingen naar 10.200.200.2 vanaf de esxi interface. Ga ik vanaf de LAN interface proberen werkt ook het pingen niet.
Ik zie geen blocks in de syslog van de firewall.

Iemand een idee wat hier nog fout kan gaan?

[MuVo]

Robbiedobbie schreef op woensdag 17 maart 2021 @ 14:34:
Ik zit de afgelopen week ook voor het eerst te kloten met pfsense op 1 van die partaker china pctjes bedoeld voor dit soort zaken.

Nu draai ik pfsense binnen een vm op esxi (Ik wil later ook zaken als homeassistant op zelfde pc draaien), en ben ik bezig om de management interface van esxi ook op het netwerk beschikbaar te krijgen, maar dit wil maar niet lukken (Heb sowieso een van de poorten als dedicated backup voor die interface aangehouden, dat leek me wel zo verstandig ).

De situatie is als volgt:

Omdat mijn netwerk momenteel nog opgesplitst wordt op de plek waar de router komt te staan, en daar geen plek is voor een switch, heb ik een aantal van de physical lanpoorten elk een losse virtual switch binnen esxi gegeven. Deze poorten hebben elk een portgroup met vlan trunk gekregen, en zijn allemaal als interfaces in de pfsense vm toegedeeld aan een bridge, zodat ik deze als switch kan gebruiken.

Om de bridge helemaal gaande te krijgen heb ik ook nog de volgende system tunables gezet:

code:

net.link.bridge.pfil_member 0    
net.link.bridge.pfil_bridge 1

De bridge hangt dus direct als LAN interface, welke een static ipv4 (10.200.10.1/24) heeft toegewezen gekregen.

Voor de esxi management heb ik een virtual switch zonder physical poorten die ik later voor alle vm koppelingen wil gebruiken. Hier heb ik 2 portgroups op, eentje hangt als interface aan de pfsense vm met trunking enabled, en 1tje is gekoppeld aan een VMKernel NIC met dhcp actief, en draait op vlan 3000.

In pfsense heb ik die vlan gekoppeld aan een "esxiManagement" interface welke een static ipv4 (10.200.200.1/24) met nu tijdelijk ook een dhcp server om te testen. Ik heb na lang kloten maar even op de LAN interface (dus de bridge) EN op de esxiManagement interface een pass rule ingesteld op ipv4+ipv6 op alle protocollen, met source any en destination any. Ik zie binnen de esxi management dat de VMKernel een ipv4 toegewezen krijgt (10.200.200.2).

Binnen de interfaces werkt alles zoals het moet, maar het wil niet lukken om tussen deze 2 netwerken te routen. Wel zie ik in de routes dat deze binnen pfsense automatisch al ingesteld staan. Ook kan ik de apparaten terugvinden in de ARP table, en kan ik vanaf pfsense pingen naar 10.200.200.2 vanaf de esxi interface. Ga ik vanaf de LAN interface proberen werkt ook het pingen niet.
Ik zie geen blocks in de syslog van de firewall.

Iemand een idee wat hier nog fout kan gaan?

Ik heb zelf in Pfsense, een gesplitst IOT netwerk. Waarbij ik gebruik maak van een bridge IOT Vlan met een fysiek IOT netwerk. De beide interfaces heb ik gegroept, nu manage ik de regels onder de interface groep, dit werkt prima!

Volgende twee parameters heb ik als volgt ingesteld, uitgaande dat je al je regels vanaf de bridge interface managed:

code:

net.link.bridge.pfil_member = 0
net.link.bridge.pfil_bridge = 0

Onder bridge, IOT en IOT Vlan heb ik alleen block IPv4 en IPv6 regels aanstaan, onder IOTGroup manage ik mijn regels.



Dit is mogelijk niet de beste oplossing en is mogelijk de group overbodig, maar het werkt bij prima. Homekit, Airplay en Chromecast werken via deze group over meerdere interfaces/subnets via Avahi.

[Tom Paris]

@Robbiedobbie Zou je misschien wat screenshots kunnen plaatsen, oa van je netwerksetup in ESXi? Ik kan het moeilijk visualiseren adhv je post

[Robbiedobbie]

MuVo schreef op woensdag 17 maart 2021 @ 15:06:
[...]

Volgende twee parameters heb ik als volgt ingesteld, uitgaande dat je al je regels vanaf de bridge interface managed:

code:

net.link.bridge.pfil_member = 0
net.link.bridge.pfil_bridge = 0

Ik heb geprobeerd met beide op 0, maar dit maakt geen verschil. Ook niet als ik de group (of gewoon los op alle lan interfaces) ook nog een allow all geef

Tom Paris schreef op woensdag 17 maart 2021 @ 15:54:
@Robbiedobbie Zou je misschien wat screenshots kunnen plaatsen, oa van je netwerksetup in ESXi? Ik kan het moeilijk visualiseren adhv je post

De physical NICs heb ik even eruit gelaten, die zijn volgens mij niet interessant. Komt erop neer dat de virtual switches met een Port benoeming erin allemaal 1 uplink hebben die zit aan de bijbehorende NIC (Niet perse gelijk genummerd, omdat de NICs out of order zijn).

Poort 6 zit direct aan een VMNic van esxi met een static ip zodat ik daar altijd de management console inkan, ook als er iets fout zou zijn met pfsense.

[Robbiedobbie]

Ah, ik ben al stap verder met debuggen. Het zit volgens mij niet in mijn pfsense configuratie, maar toch ergens in esxi. Wanneer ik vanaf pfsense ESXI management interface een ping uitvoer naar ip van de esxi vmknic dan werkt deze gewoon. De ping zie ik ook terugkomen in packet captures binnen pfsense, binnen esxi op de portgroup die gekoppeld zit aan de pfsense vm, en ook op de portgroup die gekoppeld zit aan de vmknic.
Doe ik een ping vanaf een andere interface, dan zie ik die wel in pfsense in de package capture, en ook op de portgroup die aan pfsense gekoppeld zit binnen esxi, maar de ping zit dan niet tussen de package capture die ik maak op de portgroup van de vmnic.

Het lijkt erop dat de virtual switch packets dropt die vanaf een ander subnet komen. Iemand een idee waar dit aan kan liggen?

[Kek]

Tom Paris schreef op maandag 15 maart 2021 @ 11:33:
[...]

Jammer dat het USB naar LAN is

Waar zie je dat? de RPI CM heeft een PCIe bus waar je gebruik van kan maken.. dus de nic kan zonder problemen direct aan PCIe hangen...

(kan zijn at ik ergens overheen heb gelezen voor dit specifieke bordje)

Edit, ik had dus ergens overheen gelezen "USB 3.0 to GbE(Gigabit Ethernet Bridge): Microchip's LAN7800"

[ Voor 13% gewijzigd door Kek op 18-03-2021 10:19 ]

[Robbiedobbie]

Kek schreef op donderdag 18 maart 2021 @ 10:18:
[...]


Waar zie je dat? de RPI CM heeft een PCIe bus waar je gebruik van kan maken.. dus de nic kan zonder problemen direct aan PCIe hangen...

(kan zijn at ik ergens overheen heb gelezen voor dit specifieke bordje)

De LAN7800 datasheet van de netwerk controller geeft dit aan:

Single Chip SuperSpeed (SS) USB 3.1 Gen 1 to
10/100/1000 Ethernet Controller

EDIT: Ik zie dat je het zelf ook al gelezen hebt

[ Voor 14% gewijzigd door Robbiedobbie op 18-03-2021 10:21 ]

[Robbiedobbie]

Robbiedobbie schreef op donderdag 18 maart 2021 @ 10:05:
Het lijkt erop dat de virtual switch packets dropt die vanaf een ander subnet komen. Iemand een idee waar dit aan kan liggen?

Opgelost Uiteindelijk bleek het ESXi setting te zijn waardoor hij geen gateway had en in de war raakte van subnets waar hij niet zelf een ip in had gekregen.

Kan ik binnenkort eindelijk die experiabox gaan vervangen

[nero355]

@Robbiedobbie Welke setting dan

[Robbiedobbie]

nero355 schreef op donderdag 18 maart 2021 @ 15:36:
@Robbiedobbie Welke setting dan

De routing sectie had daar nog een 0.0.0.0 in staan. Nadat ik deze ingevuld had kwam er ook heel mooi een extra route in het overzicht van die ip stack te staan, welke voor alle onbekende adressen gateway 10.200.200.1 gebruikt.

[Vorkie]

Robbiedobbie schreef op donderdag 18 maart 2021 @ 15:46:
[...]

[Afbeelding]

De routing sectie had daar nog een 0.0.0.0 in staan. Nadat ik deze ingevuld had kwam er ook heel mooi een extra route in het overzicht van die ip stack te staan, welke voor alle onbekende adressen gateway 10.200.200.1 gebruikt.

Maar vSphere doet hier niets mee met de vSwitches? Dit is management only

Het is geen L3 switch....

[ Voor 3% gewijzigd door Vorkie op 18-03-2021 15:49 ]

[Robbiedobbie]

@Vorkie Geen idee, misschien dat hij in dit geval omdat het vmk0 betreft wel een gateway gebruikt omdat het de management interface zelf is die de response doet. Ik denk ook niet dat dit nodig zou zijn als het van 1 vm naar de andere zou gaan.

[Vorkie]

Robbiedobbie schreef op donderdag 18 maart 2021 @ 15:50:
@Vorkie Geen idee, misschien dat hij in dit geval omdat het vmk0 betreft wel een gateway gebruikt omdat het de management interface zelf is die de response doet. Ik denk ook niet dat dit nodig zou zijn als het van 1 vm naar de andere zou gaan.

vmk0 doet niets met VM traffic....het zit in poortje 1 van de vSwitch, poortje 2 zit PFsense enzovoorts.

Dus voordat je dit aan het grote boze internet hangt is het misschien handig dat je het even goed controleert of alles goed staat...

[Robbiedobbie]

Vorkie schreef op donderdag 18 maart 2021 @ 16:42:
[...]

vmk0 doet niets met VM traffic....het zit in poortje 1 van de vSwitch, poortje 2 zit PFsense enzovoorts.

Dus voordat je dit aan het grote boze internet hangt is het misschien handig dat je het even goed controleert of alles goed staat...

De meeste VM traffic ging ook goed. Hetgeen wat ik niet werkend kreeg was om de ESXi management interface (In mijn geval vmk0) in een los subnet achter pfsense te hangen, en deze alsnog via mijn normale LAN subnet te benaderen. Wanneer ik een ping vanuit 10.200.200.1 naar 10.200.200.2 deed kreeg ik ook netjes antwoord, deed ik echter een ping van 10.200.10.1 naar 10.200.200.2 dan zag ik daar wel de request maar nooit de response van terug komen op de virtual switch die aan vmk0 gebonden zat

[Miki]

Ik zit met veel enthousiasme dit topic door te bladeren en wil graag ook starten met eigen router op basis van Pfsense of OPNsense. Ik heb mijn zinnen gezet op een klein kastje van Yanling (Protectli) maar ik twijfel of met de cpu wel een goede keuze ga maken. Aangezien ik via Xs4all/KPN verplicht ben om gebruik te maken van PPoE en helaas BSD achtigen dit nog over één core afwikkelen of een J3160 voldoende power heeft voor eventuele toekomstige snelheden. Ik ben niet van plan om hele spannende zaken te draaien dus geen IPsec of VPN maar wellicht over een jaar overstap naar T-Mobile die nu 1Gbit aanbied in onze wijk. Hoe zit dit nu precies. Volgens de specs van Protectli moet de J3160 in staat zijn om 940Mbps te halen maar ik heb geen idee of je die snelheid haalt bij een PpOE verbinding. Hoe zit dat?

Ps. Ik heb ook al gekeken naar een HP T730 tweedehands maar deze dingen zijn in Nederland slecht verkrijgbaar en nog te duur. Aan de andere kant van de oceaan worden ze voor minder dan de helft verkocht maar zit je met hoge verzendkosten en bijkomende importkosten.

[zzen-it]

Na veel gelezen te hebben in dit topic. En na heel veel hardware overwogen te hebben ben ik uitgekomen bij een fanless pc-tje van "Piesia". Type : N-BOX-S2 , E3865 (met AES-NI), 32Gb SSD en 4 Gb geheugen. Wel even voedings adapter erbij regelen, Had ik nog liggen gelukkig. Totale kosten incl btw ongeveer €230,-. Al met al niets op aan te merken qua prestaties en stabiliteit tot nu toe. Pfsense is een ander verhaal, leercurve stijl genoeg voor me .

[borft]

Miki schreef op donderdag 25 maart 2021 @ 20:57:
Ik zit met veel enthousiasme dit topic door te bladeren en wil graag ook starten met eigen router op basis van Pfsense of OPNsense. Ik heb mijn zinnen gezet op een klein kastje van Yanling (Protectli) maar ik twijfel of met de cpu wel een goede keuze ga maken. Aangezien ik via Xs4all/KPN verplicht ben om gebruik te maken van PPoE en helaas BSD achtigen dit nog over één core afwikkelen of een J3160 voldoende power heeft voor eventuele toekomstige snelheden. Ik ben niet van plan om hele spannende zaken te draaien dus geen IPsec of VPN maar wellicht over een jaar overstap naar T-Mobile die nu 1Gbit aanbied in onze wijk. Hoe zit dit nu precies. Volgens de specs van Protectli moet de J3160 in staat zijn om 940Mbps te halen maar ik heb geen idee of je die snelheid haalt bij een PpOE verbinding. Hoe zit dat?

Ps. Ik heb ook al gekeken naar een HP T730 tweedehands maar deze dingen zijn in Nederland slecht verkrijgbaar en nog te duur. Aan de andere kant van de oceaan worden ze voor minder dan de helft verkocht maar zit je met hoge verzendkosten en bijkomende importkosten.

Ik heb KPN glas, met een odroid h2+, weliswaar Linux, maar met 500Mbps in en uit, zie ik 15% cpuload, dus ik verwacht eigenlijk dat Gb ook geen probleem is eigenlijk. Wat betreft IPSec, dat zou niet zoveel moeten uitmaken, alleen even zorgen dat je een CPU met aes-ni kiest.

[Theone098]

Miki schreef op donderdag 25 maart 2021 @ 20:57:
Ik zit met veel enthousiasme dit topic door te bladeren en wil graag ook starten met eigen router op basis van Pfsense of OPNsense. Ik heb mijn zinnen gezet op een klein kastje van Yanling (Protectli) maar ik twijfel of met de cpu wel een goede keuze ga maken. Aangezien ik via Xs4all/KPN verplicht ben om gebruik te maken van PPoE en helaas BSD achtigen dit nog over één core afwikkelen of een J3160 voldoende power heeft voor eventuele toekomstige snelheden. Ik ben niet van plan om hele spannende zaken te draaien dus geen IPsec of VPN maar wellicht over een jaar overstap naar T-Mobile die nu 1Gbit aanbied in onze wijk. Hoe zit dit nu precies. Volgens de specs van Protectli moet de J3160 in staat zijn om 940Mbps te halen maar ik heb geen idee of je die snelheid haalt bij een PpOE verbinding. Hoe zit dat?

Ps. Ik heb ook al gekeken naar een HP T730 tweedehands maar deze dingen zijn in Nederland slecht verkrijgbaar en nog te duur. Aan de andere kant van de oceaan worden ze voor minder dan de helft verkocht maar zit je met hoge verzendkosten en bijkomende importkosten.

Ik heb bovenstaand model en heb ips/ids inline aan op een 100/100 glas pppoe. Een 8-tal vlans en vele andere features aan (pfblockerng, ntopng, dhcp, dns,ntp etc). Geen probleem.
Wel 8GB ram. Ik geloof wel dat deze 940mbps kan halen. Als je zeker van plan bent om 1Gb te nemen (vraag mij serieus af wat je daarmee moet, behalve omdat het kan), dan zou ik een zwaarder model nemen (i3?). Mocht je later wel meer features aanzetten, dan is de router geen bottleneck. Voor mij is deze prima. Met 2 vingers in de neus doet deze alles voor mij.

[Miki]

Theone098 schreef op vrijdag 26 maart 2021 @ 22:36:
[...]

Ik heb bovenstaand model en heb ips/ids inline aan op een 100/100 glas pppoe. Een 8-tal vlans en vele andere features aan (pfblockerng, ntopng, dhcp, dns,ntp etc). Geen probleem.
Wel 8GB ram. Ik geloof wel dat deze 940mbps kan halen. Als je zeker van plan bent om 1Gb te nemen (vraag mij serieus af wat je daarmee moet, behalve omdat het kan), dan zou ik een zwaarder model nemen (i3?). Mocht je later wel meer features aanzetten, dan is de router geen bottleneck. Voor mij is deze prima. Met 2 vingers in de neus doet deze alles voor mij.

Dank je wel voor het bevestigen, zo maar een eens Yanling doosje bestellen

[ANdrode]

Miki schreef op donderdag 25 maart 2021 @ 20:57:
Ik zit met veel enthousiasme dit topic door te bladeren en wil graag ook starten met eigen router op basis van Pfsense of OPNsense. Ik heb mijn zinnen gezet op een klein kastje van Yanling (Protectli) maar ik twijfel of met de cpu wel een goede keuze ga maken.

Heb je genoeg aan twee netwerkpoorten?

De thin/mini/micro PC's van HP/Dell/Lenovo zijn eventueel ook een alternatief. Je kan in het mini-PCIe slot een NIC inbouwen of een USB nic gebruiken.

[Miki]

ANdrode schreef op zaterdag 27 maart 2021 @ 19:15:
[...]


Heb je genoeg aan twee netwerkpoorten?

De thin/mini/micro PC's van HP/Dell/Lenovo zijn eventueel ook een alternatief. Je kan in het mini-PCIe slot een NIC inbouwen of een USB nic gebruiken.

Ik heb genoeg aan twee netwerkpoorten

Ik ben afgelopen weken aan het wikken en wegen geweest tussen een tweedehands desktop pc (Elitedesk, Optiplex) icm een Intel nic i350-T2. Alleen vind ik de optimale combo vinden lastig. Beetje knappe tweedehands desktop in SFF zit je gauw aan de €175. De nic’s zijn lastig te vinden, de meeste server pull’s zijn te vinden op EBay maar dan betaal je bijna het dubbele aan verzend en invoerkosten (35 dollar + 50 dollar verzendkosten en import kosten). De kaarten die je hier in Nederland (Amazon bijvoorbeeld) vind zijn meestal oem en/of Chineze namaak kaarten. Geen idee hoe goed deze kaarten zijn waardoor ik wat huiverig ben.

Op eBay kwam ik ook een Belgische verkoper tegen die oude desktop pc’s ombouwt tot Pfsense routers. Bijvoorbeeld deze: https://www.ebay.nl/itm/F...b9e972:g:R2sAAOSw5XhbV40a
Ik vind alleen de specs niet geheel in verhouding met de prijs als ik dit vergelijk met de Yanling/ Protecli FW4B.

De Netgate SG-1100 staat ook nog ergens onderaan mijn lijstje maar prijs/ performance vind ik de wat meh in vergelijking met de totale prijs. Deze zijn namelijk met btw en verzendkosten een kleine €230.

Zoals je kun zien heb ik mij er wel in verdiept maar mocht je nog tips hebben of mij tot andere inzichten kunnen brengen, graag

[ Voor 10% gewijzigd door Miki op 27-03-2021 20:05 ]

[ANdrode]

Miki schreef op zaterdag 27 maart 2021 @ 19:58:
[...]
Ik ben afgelopen weken aan het wikken en wegen geweest tussen een tweedehands desktop pc (Elitedesk, Optiplex) icm een Intel nic i350-T2. Alleen vind ik de optimale combo vinden lastig. Beetje knappe tweedehands desktop in SFF zit je gauw aan de €175. De nic’s zijn lastig te vinden, de meeste server pull’s zijn te vinden op EBay maar dan betaal je bijna het dubbele aan verzend en invoerkosten (35 dollar + 50 dollar verzendkosten en import kosten). De kaarten die je hier in Nederland (Amazon bijvoorbeeld) vind zijn meestal oem en/of Chineze namaak kaarten. Geen idee hoe goed deze kaarten zijn waardoor ik wat huiverig ben.

Ik heb hier zelf ook naar zitten zoeken en kom dan op eigenlijk te krachtige SFF pc's die ik als basis wil gebruiken. Direct gevolg daarvan is dat de prijs niet leuk is.

Als je kijkt naar het minimale dat nodig is dan kom je uit op iets zoals
V&A aangeboden: Dell Optiplex 3040 Micro Intel G4400T 8Gb 120Gb SSD . Hier kan je als het goed is via een adapter een PCIe kaart op aansluiten. Wordt wel een beetje ghetto een projectje.

Ik zocht ze trouwens net en zie goedkopere i350-T2 dan jij aangaf, bijvoorbeeld voor ~EUR 40 shipped.

@Miki kan alleen even geen positieve berichten vinden over het gebruik van de mini-PCIe poort via een mini-PCIe naar PCI adapter. Als je daarover een bron vind: graag!

Op eBay kwam ik ook een Belgische verkoper tegen die oude desktop pc’s ombouwt tot Pfsense routers. Bijvoorbeeld deze: https://www.ebay.nl/itm/F...b9e972:g:R2sAAOSw5XhbV40a
Ik vind alleen de specs niet geheel in verhouding met de prijs als ik dit vergelijk met de Yanling/ Protecli FW4B.

Leuke advertenties!

[ Voor 4% gewijzigd door ANdrode op 27-03-2021 20:36 ]

[Uberprutser]

Of een Lenovo Tiny met een quad NIC.

Helaas zie je ze kant en klaar niet echt langskomen op marktplaats, maar op eBay komen ze wel is langs.

[Miki]

Uberprutser schreef op zaterdag 27 maart 2021 @ 21:57:
Of een Lenovo Tiny met een quad NIC.

Helaas zie je ze kant en klaar niet echt langskomen op marktplaats, maar op eBay komen ze wel is langs.

Zie mijn eBay link hierboven

[nero355]

Miki schreef op donderdag 25 maart 2021 @ 20:57:
Ik zit met veel enthousiasme dit topic door te bladeren en wil graag ook starten met eigen router op basis van Pfsense of OPNsense. Ik heb mijn zinnen gezet op een klein kastje van Yanling (Protectli) maar ik twijfel of met de cpu wel een goede keuze ga maken. Aangezien ik via Xs4all/KPN verplicht ben om gebruik te maken van PPoE en helaas BSD achtigen dit nog over één core afwikkelen of een J3160 voldoende power heeft voor eventuele toekomstige snelheden. Ik ben niet van plan om hele spannende zaken te draaien dus geen IPsec of VPN maar wellicht over een jaar overstap naar T-Mobile die nu 1Gbit aanbied in onze wijk. Hoe zit dit nu precies. Volgens de specs van Protectli moet de J3160 in staat zijn om 940Mbps te halen maar ik heb geen idee of je die snelheid haalt bij een PpOE verbinding. Hoe zit dat?

Heb je deze ook gezien : wian in "Zelfbouw project: Firewall / Router / AP"
Als ik dan zie hoe lekker strak en overzichtelijk OpenWRT tegenwoordig eruit ziet : Priyantha Bleeker in "[TP-Link Managed Access Points] Ervaringen & Discussie"
Dan zou ik zeggen : Gewoon doen!!!

[Miki]

nero355 schreef op zondag 28 maart 2021 @ 20:24:
[...]

Heb je deze ook gezien : wian in "Zelfbouw project: Firewall / Router / AP"
Als ik dan zie hoe lekker strak en overzichtelijk OpenWRT tegenwoordig eruit ziet : Priyantha Bleeker in "[TP-Link Managed Access Points] Ervaringen & Discussie"
Dan zou ik zeggen : Gewoon doen!!!

Die heb ik over het hoofd gezien. Interessant, ik wist niet dat OpenWRT ook Kpn/ Xs4all internet en tv goed ondersteund. Zo’n klein bordje kan wel eens een leuk alternatief zijn, oh wel weer een paar avondjes inlezen

[eymey]

Miki schreef op donderdag 25 maart 2021 @ 20:57:
Ik zit met veel enthousiasme dit topic door te bladeren en wil graag ook starten met eigen router op basis van Pfsense of OPNsense. Ik heb mijn zinnen gezet op een klein kastje van Yanling (Protectli) maar ik twijfel of met de cpu wel een goede keuze ga maken. Aangezien ik via Xs4all/KPN verplicht ben om gebruik te maken van PPoE en helaas BSD achtigen dit nog over één core afwikkelen of een J3160 voldoende power heeft voor eventuele toekomstige snelheden. Ik ben niet van plan om hele spannende zaken te draaien dus geen IPsec of VPN maar wellicht over een jaar overstap naar T-Mobile die nu 1Gbit aanbied in onze wijk. Hoe zit dit nu precies. Volgens de specs van Protectli moet de J3160 in staat zijn om 940Mbps te halen maar ik heb geen idee of je die snelheid haalt bij een PpOE verbinding. Hoe zit dat?

Ps. Ik heb ook al gekeken naar een HP T730 tweedehands maar deze dingen zijn in Nederland slecht verkrijgbaar en nog te duur. Aan de andere kant van de oceaan worden ze voor minder dan de helft verkocht maar zit je met hoge verzendkosten en bijkomende importkosten.

Ik ken de betreffende CPU's/systemen die je noemt niet, maar:

Hier draai ik een Shuttle DH310 met Core i3-8100 en 16 GB RAM. Daarop KVM-virtualisatie dmv Proxmox en OPNSense in een VM, met 8 GB RAM en 2 vcpu's toegewezen.

OPNSense is een 'BSD-achtige'. Ik zit sinds oktober bij Freedom Internet op 1 Gbps via het netwerk van Tweak/Cambrium. Hiervoor is ook een PPPoE verbinding nodig, en dat handelt deze configuratie echt met 2 met gemak af, ook als er een speedtest loopt die de 1 Gbps aantikt. Ik heb nog niet bekeken over hoe veel threads de PPPoE afhandeling plaats vindt, maar hier is deze config rock solid.

[Miki]

eymey schreef op maandag 29 maart 2021 @ 09:55:
[...]


Ik ken de betreffende CPU's/systemen die je noemt niet, maar:

Hier draai ik een Shuttle DH310 met Core i3-8100 en 16 GB RAM. Daarop KVM-virtualisatie dmv Proxmox en OPNSense in een VM, met 8 GB RAM en 2 vcpu's toegewezen.

OPNSense is een 'BSD-achtige'. Ik zit sinds oktober bij Freedom Internet op 1 Gbps via het netwerk van Tweak/Cambrium. Hiervoor is ook een PPPoE verbinding nodig, en dat handelt deze configuratie echt met 2 met gemak af, ook als er een speedtest loopt die de 1 Gbps aantikt. Ik heb nog niet bekeken over hoe veel threads de PPPoE afhandeling plaats vindt, maar hier is deze config rock solid.

PPPoE is op de BSD-achtigen single threaded, daarom dat ik er specifiek naar vroeg of zo'n relatief lichte Intel Celeron cpu (j3160) voldoende power over heeft. Ik twijfel er zelf namelijk niet aan dat een Intel celeron voldoende is om PFsense/OPNsense af te handelen maar het wordt een ander verhaal als deze cpu zich zou stuk bijten op een single threaded proces.

nero355 schreef op zondag 28 maart 2021 @ 20:24:
[...]

Heb je deze ook gezien : wian in "Zelfbouw project: Firewall / Router / AP"
Als ik dan zie hoe lekker strak en overzichtelijk OpenWRT tegenwoordig eruit ziet : Priyantha Bleeker in "[TP-Link Managed Access Points] Ervaringen & Discussie"
Dan zou ik zeggen : Gewoon doen!!!

Heel interessant bordje maar van wat ik zo lees is het nog allemaal semi officieel wat betreft OpenWRT ondersteuning en wordt er nog flink aan gesleuteld maar niet als je gebruik maakt van FriendlyWRT. Dat laatste zie ik niet zo zitten eerlijk gezegd i.v.m. mogelijke Chinese privacy inmenging. Eveneens zijn ze bij OPNsense bezig om vanuit de community ondersteuning voor dit bordje mogelijk te maken en zijn er al wat testbuilds in omloop. Maar ook die zijn nog niet production ready zeg maar.

Omdat het mijn router betreft en dus het belangrijkste punt in mijn netwerk is, zeker nu met thuiswerken, wil ik daar geen spielerei aan hardware en software. Stabiliteit is voor mij zeer belangrijk en dan kies ik liever voor een PFsense oplossing. Van wat ik nu gezien is het gewoon verstandig om mijn budget iets op te schroeven en gewoon een X86 pc'tje te halen dat voldoet al mijn wensen en eisen.

[eymey]

@Miki Wat ik zei, ik ken de performance van de j3160 dus niet in praktijk. Dus ik weet niet of die met z'n kloksnelheid op 1 core/proces-thread zich zou gaan verslikken in PPPoE op een hoge doorvoersnelheid.

Mijn core i3-8100 kan op 1 core natuurlijk turbo'en op 3,6 Ghz en werkt met DDR4 RAM, dus dat is flink wat. Ik zou wat dat betreft eens een keer een testje moeten doen en kijken op wat voor kloksnelheden en cpu-percentages je dan uit komt voor PPPoE. Maar in praktijk ervaar ik hier dus geen enkel probleem.

De j3160 is volgens z'n specs slechts 1,6 Ghz en met DDR3, dus het zou me inderdaad niet verbazen als single threaded workloads bij hoge doorvoersnelheid dan meer een probleem vormen. .

Mijn config met Shuttle DH310, i3-8100, 16 GB DDR4 RAM en 500 GB nvme SSD kostte eind maart 2019 528 euro en draait, wat 'spielerei' betreft, 100% stabiel, zelfs als ik ondertussen ook wat met andere KVM VM's of LXC containers speel.

Buiten reguliere updates van het Host OS en OPNSense heb ik nog nooit onverwachte downtime, veroorzaakt door deze setup, gehad.

[groxgrox]

Miki schreef op maandag 29 maart 2021 @ 10:49:
[...]

PPPoE is op de BSD-achtigen single threaded, daarom dat ik er specifiek naar vroeg of zo'n relatief lichte Intel Celeron cpu (j3160) voldoende power over heeft. Ik twijfel er zelf namelijk niet aan dat een Intel celeron voldoende is om PFsense/OPNsense af te handelen maar het wordt een ander verhaal als deze cpu zich zou stuk bijten op een single threaded proces.


[...]

Heel interessant bordje maar van wat ik zo lees is het nog allemaal semi officieel wat betreft OpenWRT ondersteuning en wordt er nog flink aan gesleuteld maar niet als je gebruik maakt van FriendlyWRT. Dat laatste zie ik niet zo zitten eerlijk gezegd i.v.m. mogelijke Chinese privacy inmenging. Eveneens zijn ze bij OPNsense bezig om vanuit de community ondersteuning voor dit bordje mogelijk te maken en zijn er al wat testbuilds in omloop. Maar ook die zijn nog niet production ready zeg maar.

Omdat het mijn router betreft en dus het belangrijkste punt in mijn netwerk is, zeker nu met thuiswerken, wil ik daar geen spielerei aan hardware en software. Stabiliteit is voor mij zeer belangrijk en dan kies ik liever voor een PFsense oplossing. Van wat ik nu gezien is het gewoon verstandig om mijn budget iets op te schroeven en gewoon een X86 pc'tje te halen dat voldoet al mijn wensen en eisen.

Ik heb al een tijdje een nanopi draaien met een vpn en een adblocker erop. Ik zit bij T-Mobile en moet eerlijk zeggen dat het enorm stabiel loopt.
Ik heb geen friendly erop maar de snapshot die dagelijks vernieuwd wordt.
Ik heb een 100/100 verbinding en deze trekt ie prima met vpn erbij.

Vanaf de pi gaat het naar een switch waar een accespoint verbonden is voor de wifi.
Het is/was even puzzelen met de settings omdat ik met openwrt geen ervaring had maar het is, zeker voor het geld, een prima bordje! Ik heb er wel 2 koelblokjes opgezet omdat ie anders vrij warm wordt. En het koelblokje zit op een 12cm fan die ik nog had liggen. Temperatuur wordt zo'n 23 graden.

[kipjr]

Ik heb nu sinds een half jaar een Protectli 6B met ESXi 6.7U3 en dit is echt ontzettend mooi spul. Momenteel draaien er twee servers op (OpnSense , Webserver) en ik heb tot op heden geen problemen ervaren.

Tip! Wees niet "cheap" en besteed ietsjes meer zodat het nèt wat langer mee gaat. 16GB RAM en 250GB mSATA zou mijn inziens meer dan voldoende moeten zijn.

Wel zou ik aanraden om OpnSense te kiezen boven PfSense. Het lijkt erop dat de support wat beter is en de interface wat gelikter oogt.

[Miki]

kipjr schreef op woensdag 31 maart 2021 @ 17:34:
Ik heb nu sinds een half jaar een Protectli 6B met ESXi 6.7U3 en dit is echt ontzettend mooi spul. Momenteel draaien er twee servers op (OpnSense , Webserver) en ik heb tot op heden geen problemen ervaren.

Tip! Wees niet "cheap" en besteed ietsjes meer zodat het nèt wat langer mee gaat. 16GB RAM en 250GB mSATA zou mijn inziens meer dan voldoende moeten zijn.

Wel zou ik aanraden om OpnSense te kiezen boven PfSense. Het lijkt erop dat de support wat beter is en de interface wat gelikter oogt.

Spreek je over de Amerikaanse Protectli of zijn Chinese voorouders de Yanling/ XSK?

Er zit trouwens niet zo heel veel verschil in behalve ondersteuning die gelukkig uitwisselbaar is.

[ Voor 7% gewijzigd door Miki op 31-03-2021 20:16 ]

[kipjr]

Miki schreef op woensdag 31 maart 2021 @ 18:29:
[...]

Spreek je over de Amerikaanse Protectli of zijn Chinese voorouders de Yanling/ XSK?

Er zit trouwens niet zo heel veel verschil in behalve ondersteuning die gelukkig uitwisselbaar is.

De Amerikaanse.

[wian]

De Yanling is geen voorouder, maar de fabrikant die de hardware maakt voor Protectli. Het enige verschil dat ik heb kunnen ontdekken tussen een Yanling J3160 en een originele Protectli FW4B is de opdruk op de case bij de netwerk poorten. Bij Yanling staat hier LAN4 LAN3 LAN2 LAN1, bij Protectli OPT2 OPT1 LAN WAN.

Iets anders, er loopt weer een discussie op het OPNsense forum over Intel vs Realtek. Conclusie: Realtek is met de huidige drivers stabiel, maar Intel heeft nog altijd de voorkeur.

[wian]

kipjr schreef op woensdag 31 maart 2021 @ 17:34:
Ik heb nu sinds een half jaar een Protectli 6B met ESXi 6.7U3 en dit is echt ontzettend mooi spul. Momenteel draaien er twee servers op (OpnSense , Webserver) en ik heb tot op heden geen problemen ervaren.

Tip! Wees niet "cheap" en besteed ietsjes meer zodat het nèt wat langer mee gaat. 16GB RAM en 250GB mSATA zou mijn inziens meer dan voldoende moeten zijn.

Wel zou ik aanraden om OpnSense te kiezen boven PfSense. Het lijkt erop dat de support wat beter is en de interface wat gelikter oogt.

Ik lees dit net terug en weet niet of ik het 100% eens ben met je advies. Een firewall hoeft geen snelle CPU of veel geheugen te hebben. Ik had een APU met 1Ghz CPU en 2GB geheugen en 700mbit glasvezel verbinding en haalde de volledige snelheid. De APU haalt zelfs 1gbit. Dat was zonder PPPOE en zonder zware apps als sensei, snort en suricata, maar verder wel alle standaard services als pfblocker, DNS, DHCP, NTP etc.

Als Tweaker wil je natuurlijk sneller en beter, maar met 16GB RAM en 250GB SSD is het zonde om dat doosje uitsluitend als firewall te gebruiken. Dan zet je er ESXi of Proxmox op en maak je er een servertje van. Daar wordt je firewall niet veiliger, niet stabieler en niet zuiniger/koeler/stiller van. Je hebt dan meer mogelijkheden maar ook meer software = meer onderhoud, meer patchen en dus meer downtime en boze huisgenoten.

Een dual-quadcore CPU, intel NICs, 2-4GB ram en 32-64GB SSD is echt meer dan genoeg voor een dedicated pfSense/OPNsense firewall.

[theduke1989]

@wian waar haal je de ESXi vandaan? heb meerdere keren alleen de 60 day versie kunnen bemachtigen, maar niet echt langer. Proxmox ken ik niet.

[kipjr]

wian schreef op vrijdag 2 april 2021 @ 16:55:
[...]


Ik lees dit net terug en weet niet of ik het 100% eens ben met je advies. Een firewall hoeft geen snelle CPU of veel geheugen te hebben. Ik had een APU met 1Ghz CPU en 2GB geheugen en 700mbit glasvezel verbinding en haalde de volledige snelheid. De APU haalt zelfs 1gbit. Dat was zonder PPPOE en zonder zware apps als sensei, snort en suricata, maar verder wel alle standaard services als pfblocker, DNS, DHCP, NTP etc.

Als Tweaker wil je natuurlijk sneller en beter, maar met 16GB RAM en 250GB SSD is het zonde om dat doosje uitsluitend als firewall te gebruiken. Dan zet je er ESXi of Proxmox op en maak je er een servertje van. Daar wordt je firewall niet veiliger, niet stabieler en niet zuiniger/koeler/stiller van. Je hebt dan meer mogelijkheden maar ook meer software = meer onderhoud, meer patchen en dus meer downtime en boze huisgenoten.

Een dual-quadcore CPU, intel NICs, 2-4GB ram en 32-64GB SSD is echt meer dan genoeg voor een dedicated pfSense/OPNsense firewall.

Het draait ESXi en ik heb er permanent twee servers op draaien. Verder zit er nog een Linux development desktop en een domaincontroller op. Met enkel 8GB was dat bijzonder krap. De OPNSense draait met OpenVPN, HAProxy, 6 VLANS, GeoIP en enkele andere features.