Zelfbouw project: Firewall / Router / AP

[Ankh]

wian schreef op dinsdag 26 oktober 2021 @ 22:16:
Even een schaamteloze plug; bied in de V&A mijn Sophos SG 105 met pfSense aan. Interessant voor mensen met glasvezel, want dit is een rev 3 met SFP poort. 1Gbit deed ie hier met gemak, maar niet getest met PPPOE.

Om even een beeld te geven, de volgende CPU zit er in: Intel Atom E3930. 2 Cores met 1,8GHz.

stormfly schreef op dinsdag 26 oktober 2021 @ 23:00:
[...]


De EdgeOS capture laat net niet de relevante velden zien, maar op basis van wat er zichtbaar is deel ik je mening. Dan moet je daar op gaan focussen, kan je nog 1x je volledige config delen?

Hier staat de config:
https://pastebin.com/S2n2C96m

https://bgp.he.net/ip/240...:000c:0000:0000:0000:0003
ChinaTelecom klopte aan je IPv6 voordeur, wat zag je toen met show IPv6 routes en het show interfaces commando? Als je spreekt over " mijn IPv6 adres " dan moet dat een 2xxx adres zijn, geen FE80 van vorige week?

Klopt, ik heb zie mijn adres 2a00:9340:x:x:x staan. Overigens probeert deze beste scanner continu binnen te komen

code:

paul@ubnt:~$ show ipv6 route
IPv6 Routing Table
Codes: K - kernel route, C - connected, S - static, R - RIP, O - OSPF,
       IA - OSPF inter area, E1 - OSPF external type 1,
       E2 - OSPF external type 2, N1 - OSPF NSSA external type 1,
       N2 - OSPF NSSA external type 2, B - BGP
Timers: Uptime

IP Route Table for VRF "default"
S      ::/0 [1/0] via ::, pppoe0, 1d13h01m
C      ::1/128 via ::, lo, 01w0d10h
C      fe80::/10 via ::, pppoe0, 1d13h01m
C      fe80::/64 via ::, eth4.32, 3d20h08m
paul@ubnt:~$ show interfaces
Codes: S - State, L - Link, u - Up, D - Down, A - Admin Down
Interface    IP Address                        S/L  Description
---------    ----------                        ---  -----------
eth0         -                                 u/u  Local
eth1         -                                 u/D  Local
eth2         -                                 u/D  Local
eth3         -                                 u/D  Local
eth4         -                                 u/u
eth4.32      -                                 u/u  Internet (PPPoE)
lo           127.0.0.1/8                       u/u
             ::1/128
pppoe0       <ipv4>                     u/u
switch0      192.168.30.1/24                   u/u  Thuis netwerk

[stormfly]

Ankh schreef op woensdag 27 oktober 2021 @ 09:12:
[...]

Om even een beeld te geven, de volgende CPU zit er in: Intel Atom E3930. 2 Cores met 1,8GHz.
[...]

Hier staat de config:
https://pastebin.com/S2n2C96m

[...]

Klopt, ik heb zie mijn adres 2a00:9340:x:x:x staan. Overigens probeert deze beste scanner continu binnen te komen

code:

paul@ubnt:~$ show ipv6 route
IPv6 Routing Table
Codes: K - kernel route, C - connected, S - static, R - RIP, O - OSPF,
       IA - OSPF inter area, E1 - OSPF external type 1,
       E2 - OSPF external type 2, N1 - OSPF NSSA external type 1,
       N2 - OSPF NSSA external type 2, B - BGP
Timers: Uptime

IP Route Table for VRF "default"
S      ::/0 [1/0] via ::, pppoe0, 1d13h01m
C      ::1/128 via ::, lo, 01w0d10h
C      fe80::/10 via ::, pppoe0, 1d13h01m
C      fe80::/64 via ::, eth4.32, 3d20h08m
paul@ubnt:~$ show interfaces
Codes: S - State, L - Link, u - Up, D - Down, A - Admin Down
Interface    IP Address                        S/L  Description
---------    ----------                        ---  -----------
eth0         -                                 u/u  Local
eth1         -                                 u/D  Local
eth2         -                                 u/D  Local
eth3         -                                 u/D  Local
eth4         -                                 u/u
eth4.32      -                                 u/u  Internet (PPPoE)
lo           127.0.0.1/8                       u/u
             ::1/128
pppoe0       <ipv4>                     u/u
switch0      192.168.30.1/24                   u/u  Thuis netwerk

Als je prefix-only weghaalt krijg je dan wel een IPv6 adres op je router? Uitgangspunt van deel 1 was pingen naar ipv6.google.com vanaf je SSH sessie op de ER.

code:

vif 32 {
            description "Internet (PPPoE)"
            mtu 1508
            pppoe 0 {
                default-route auto
                dhcpv6-pd {
                    no-dns
                    pd 0 {
                        interface switch0 {
                            host-address ::1
                            prefix-id :0
                            service slaac
                        }
                        prefix-length /56
                    }
                    prefix-only
                    rapid-commit enable
                }

[Ankh]

stormfly schreef op woensdag 27 oktober 2021 @ 10:02:
[...]


Als je prefix-only weghaalt krijg je dan wel een IPv6 adres op je router? Uitgangspunt van deel 1 was pingen naar ipv6.google.com vanaf je SSH sessie op de ER.

code:

vif 32 {
            description "Internet (PPPoE)"
            mtu 1508
            pppoe 0 {
                default-route auto
                dhcpv6-pd {
                    no-dns
                    pd 0 {
                        interface switch0 {
                            host-address ::1
                            prefix-id :0
                            service slaac
                        }
                        prefix-length /56
                    }
                    prefix-only
                    rapid-commit enable
                }

Heb hem weggehaald (had hem gisteravond als test toegevoegd) en even gereboot:

code:

 vif 32 {
     description "Internet (PPPoE)"
     mtu 1508
     pppoe 0 {
         default-route auto
         dhcpv6-pd {
             no-dns
             pd 0 {
                 interface switch0 {
                     host-address ::1
                     prefix-id :0
                     service slaac
                 }
                 prefix-length /56
             }
             rapid-commit enable
         }

Helaas..

code:

paul@ubnt:~$ ping6 ipv6.google.com
PING ipv6.google.com(ams15s44-in-x0e.1e100.net (2a00:1450:400e:80f::200e)) 56 data bytes
^C
--- ipv6.google.com ping statistics ---
2 packets transmitted, 0 received, 100% packet loss, time 1016ms

[edit]
Was nog even aan het snuffelen m.b.t. MTU sizes en MSS clamping. Standaard wordt dit laatste toegepast maar in de configs van het KPN fora is deze niet meer actief.

Het hoogst mogelijk buffer size die wordt geaccepteerd is: ping 1.1.1.1 -f -l 1472. Vanaf 1473 werkt het niet meer. Met PPP overhead kom ik dus uit op 1480 MTU size op ipv4 en ipv6 is het 1520.
Momenteel heb ik dus een MTU op mijn eth4 van 1512, vif 32 is 1508 en de pppoe0 is 1500. En wordt geen mss clamping toegepast.

Het rare is dat de pppoe0 log laat zien dat er een MRU van 1524 wordt ontvangen.

code:

rcvd [LCP ConfReq id=0x1 <auth pap> <magic 0x28015da2> <mrru 1524> <endpoint [local:4d.75.66.61.73.61.5f.4e.48.2d.31]> < 17 04 66 ad>]
sent [LCP ConfRej id=0x1 <mrru 1524> < 17 04 66 ad>]

[ Voor 18% gewijzigd door Ankh op 27-10-2021 10:56 ]

[Tom Paris]

Ankh schreef op woensdag 27 oktober 2021 @ 10:25:
Het hoogst mogelijk buffer size die wordt geaccepteerd is: ping 1.1.1.1 -f -l 1472. Vanaf 1473 werkt het niet meer. Met PPP overhead kom ik dus uit op 1480 MTU size op ipv4 en ipv6 is het 1520.
Momenteel heb ik dus een MTU op mijn eth4 van 1512, vif 32 is 1508 en de pppoe0 is 1500. En wordt geen mss clamping toegepast.

Misschien begrijp ik je verkeerd, maar met ping een MTU van 1472 klopt toch gewoon? Dat is 1500 byte - 20 byte (IP header) - 8 byte (ICMP header). Dat betekent dat de MTU van je internetverbinding 1500 is. PPPoE voegt nog 8 byte toe, KPN ondersteunt hiervoor 'baby jumbo frames' (aka RFC 4638) wat de MTU van de PPPoE tunnel op 1508 brengt. Door dat trucje hoeft je internetverkeer niet extra gefragmenteerd te worden (werkt in *sense ook, op OpenWRT heb ik het nooit goed werkend gekregen).

[Ankh]

Tom Paris schreef op woensdag 27 oktober 2021 @ 11:44:
[...]


Misschien begrijp ik je verkeerd, maar met ping een MTU van 1472 klopt toch gewoon? Dat is 1500 byte - 20 byte (IP header) - 8 byte (ICMP header). Dat betekent dat de MTU van je internetverbinding 1500 is. PPPoE voegt nog 8 byte toe, KPN ondersteunt hiervoor 'baby jumbo frames' (aka RFC 4638) wat de MTU van de PPPoE tunnel op 1508 brengt. Door dat trucje hoeft je internetverkeer niet extra gefragmenteerd te worden (werkt in *sense ook, op OpenWRT heb ik het nooit goed werkend gekregen).

Ah, die +20 heb ik niet meegerekend bij de ipv4. Bij ipv6 is dit dus +40 en kom je dus uit op 1520 byte. Vroeg me dus af of dat uit maakt aangezien ik de MTU size lager heb staan. Ik probeer dus te achterhalen of het hier ergens fout gaat, las namelijk dat ipv6 nog gevoeliger is met MTU instellingen dan ipv4.

[Tom Paris]

Ankh schreef op woensdag 27 oktober 2021 @ 11:50:
[...]

Ah, die +20 heb ik niet meegerekend bij de ipv4. Bij ipv6 is dit dus +40 en kom je dus uit op 1520 byte. Vroeg me dus af of dat uit maakt aangezien ik de MTU size lager heb staan. Ik probeer dus te achterhalen of het hier ergens fout gaat, las namelijk dat ipv6 nog gevoeliger is met MTU instellingen dan ipv4.

IPv6 doet het wat anders, 'Path MTU discovery' bepaalt zelf de beste MTU. Je moet het dus niet direct vergelijken. MTU van 1520 is daarbij niet per se de logische waarde, als de maximale MTU van je IPv6 verbinding 1500 is, kun je maximaal met 1452 byte pingen (1500 - 40 byte (IPv6 header) - 8 byte (ICMP header)).

[Joydashy]

Iemand enige idee waar ik tegenwoordig zo'n fitlet2 kan bestellen? De eerder genoemde Minidis toko lever niet aan consumenten voetvolk...

[Harmen]

Ben er achter dat Google Stadia icm Sensei en Opnsense niet zo'n leuke combinatie is. Tijdens het gamen komen er zo'n 3k packets per/sec door de firewall. Cpu krijgt het erg druk en load averages lopen op. (had ff laptop erbij gepakt icm top). Helaas heeft de gratis versie geen optie om een apparaat (chromecast ultra) uit te sluiten van het filter. Dit is een premium functie ben ik achter gekomen, vind een licentie van 10 euro per maand enkel hiervoor voorlopig iets te gortig.
Zet voor de time being het filter maar uit als ik ga gamen.

[nero355]

@Harmen
Je kan ook gewoon een Gaming Laptop of PC aanschaffen

Helaas kost de laatste vooral op dit moment veel teveel geld maar tweedehands kan je misschien ook nog wat leuks vinden!

[Harmen]

Da's ook een optie, vind casual gamen op de tv met een controller wel fijn.
Ga mij toch maar eens verdiepen in alternatieven voor Sensei, jammer dat de free variant zo weinig opties heeft. Begrijp wel dat een ontwikkelaar tijd en moeite in een product stopt, maat vind 10 euro iets te gortig.

[geenwindows]

Harmen schreef op woensdag 27 oktober 2021 @ 20:10:
Da's ook een optie, vind casual gamen op de tv met een controller wel fijn.
Ga mij toch maar eens verdiepen in alternatieven voor Sensei, jammer dat de free variant zo weinig opties heeft. Begrijp wel dat een ontwikkelaar tijd en moeite in een product stopt, maat vind 10 euro iets te gortig.

heb je nog een poort vrij op je OPNsense bakkie? zoja, creëer daar dan een nieuwe interface op en koppel deze niet aan Zenarmor (Sensei)

[Harmen]

@geenwindows Heb nu enkel wan en lan in gebruik, heb nog poorten open idd. Een apart vlan creëren is een optie, zal er dan ook firewall regels aangemaakt moeten worden om vanuit het lan netwerk verbinding te kunnen maken? Ben nog niet helemaal thuis in het firewall gedeelde van opnsense.

Lees dat er een aparte plugin voor is mDNS repeater/proxy. Werkt dat een beetje goed? Vriendin moet ten alle tijden instaat zijn tv te kijken.

[ Voor 21% gewijzigd door Harmen op 28-10-2021 14:18 ]

[geenwindows]

Harmen schreef op donderdag 28 oktober 2021 @ 14:01:
@geenwindows Heb nu enkel wan en lan in gebruik, heb nog poorten open idd. Een apart vlan creëren is een optie, zal er dan ook firewall regels aangemaakt moeten worden om vanuit het lan netwerk verbinding te kunnen maken? Ben nog niet helemaal thuis in het firewall gedeelde van opnsense.

ja, je dient daarvoor wel firewall regels aan te maken, je kun de regels van je LAN interface clonen naar de nieuwe netwerk interface.
de default LAN heeft namelijk standaard volledige toegang tot alles.

let er wel op dat je met deze workaround wel managed switches nodig hebt, of je zorgt ervoor dat Stadio en OPNsense direct met elkaar verbonden zijn.

[PerlinNoise]

Harmen schreef op donderdag 28 oktober 2021 @ 14:01:
@geenwindows Heb nu enkel wan en lan in gebruik, heb nog poorten open idd. Een apart vlan creëren is een optie, zal er dan ook firewall regels aangemaakt moeten worden om vanuit het lan netwerk verbinding te kunnen maken? Ben nog niet helemaal thuis in het firewall gedeelde van opnsense.

Lees dat er een aparte plugin voor is mDNS repeater/proxy. Werkt dat een beetje goed? Vriendin moet ten alle tijden instaat zijn tv te kijken.

Die mDNS repeater plugin is alleen nodig als je mDNS over verschillende vLANs wil tillen. Binnen LAN (vlan) werkt dit standaard.

[Dacuuu]

Toch even een bericht, voordat ik verkeerd begin.

Doel: 1e keer vlan aanmaken, waarbij bekabeld en wifi elkaar mogen zien, maar dit vlan netwerk mag mijn normale LAN netwerk niet zien.

Huidige situatie:
Tmobile glasmediaconverter -> Opnsense bakkie met Intel i350-T4 kaart er in. waarvan 1 slot bezet is van mediaconverter naar opnsense bak (Wan/Vlan 300, anders heb je geen internet)
En 1 slot naar Switch TPlink TL-SG1016DE waar de laptop, en alle andere apparatuur op aangesloten zit.
Op 1 poort van de TPlink TL-SG1016DE zit een Tplink TL-SG105PE aangesloten, die laatsste heeft POE, waar ik 3x een ubiquiti ac 6 lite aangesloten heb.

Wat is nu de gang van zaken?
Opnsense:
Vlan aanmaken
Interface aanmaken
Dan krijg je dit als het goed is.
Dhcp voor het nieuwe vlan netwerk instellen
Firewall rules zodat het Vlan vrij internet heeft, maar mijn eigen normale lan netwerk (192.168.1.x) niet kan zien.

Switches:
Welke vorm van Vlan setup moet ik pakken bij de TL-SG1016DE?


Zelf denk ik 802.1Q VLAN Configuration, waarvan de huidige situatie er zo uit ziet:



Unifi omgeving
Maak ik een nieuw (vlan)netwerk aan?


Zit ik zo een beetje in de goede richting?

[Tom Paris]

@Dacuuu In switch 1 VLAN ID 20 aanmaken.
Poort naar je OPNsense VLAN20 TAGGED

Unifi ligt eraan... Wil je meerdere SSIDs koppelen aan eigen VLANs dan moet je die VLANs dus ook verleggen naar de APs. Dus ook de poort tussen switch 1 en switch 2 VLAN20 TAGGED (beide kanten), en vanaf switch 2 VLAN20 TAGGED naar de APs.

Wil je maar 1 SSID en die koppelen aan VLAN20, dan in de switch 1 VLAN20 UNTAGGED naar switch 2 en in switch 2 verder niks instellen qua VLANs.

[Kabouterplop01]

Een dot1Q vlan gebruik je alleen als je een Laag 3 vlan hebt. Een vlan interface, dus met een ip adres erop; over het algemeen doet dat ook werk als gateway voor dat specifieke subnet. (er zijn uiteraard andere manieren en architectuur plaatjes, maar dan ben je behoorlijk geavanceerd aan het routeren.)

[nero355]

Dacuuu schreef op zondag 31 oktober 2021 @ 15:53:
Doel: 1e keer vlan aanmaken, waarbij bekabeld en wifi elkaar mogen zien, maar dit vlan netwerk mag mijn normale LAN netwerk niet zien.

Dus een Guest VLAN + WiFi of beter gezegd Guest WiFi

Switches:
Welke vorm van Vlan setup moet ik pakken bij de TL-SG1016DE?
[Afbeelding]

Zelf denk ik 802.1Q VLAN Configuration, waarvan de huidige situatie er zo uit ziet:
[Afbeelding]

Dat is best wel een lastig verhaal bij dit soort TP-Link en Netgear Switches omdat je vaak op meerdere plekken dingen moet doen :
- VLAN aanmaken.
- VLAN toewijzen.
- Tagged/Untagged toewijzen.

Dus pak gewoon de handleiding erbij zou ik zeggen

Unifi omgeving
Maak ik een nieuw (vlan)netwerk aan?
[Afbeelding]

In principe heb je aan "VLAN Only" genoeg als je geen Router van Ubiquiti hebt dus dat is prima!

Maar wat je wel als extra optie kan inschakelen voor je Guest WiFi SSID is onderlinge communicatie binnen dat VLAN/SSID blokkeren!
Dat doe je binnen de SSID Settings als het goed is

Zit ik zo een beetje in de goede richting?

Kabouterplop01 schreef op zondag 31 oktober 2021 @ 20:21:
Een dot1Q vlan gebruik je alleen als je een Laag 3 vlan hebt. Een vlan interface, dus met een ip adres erop; over het algemeen doet dat ook werk als gateway voor dat specifieke subnet. (er zijn uiteraard andere manieren en architectuur plaatjes, maar dan ben je behoorlijk geavanceerd aan het routeren.)

In theorie heb je gelijk, maar in de praktijk is dat bij dit soort apparatuur niet altijd het geval!

[Dacuuu]

nero355 schreef op maandag 1 november 2021 @ 15:57:
[...]

Dus een Guest VLAN + WiFi of beter gezegd Guest WiFi


[...]

Dat is best wel een lastig verhaal bij dit soort TP-Link en Netgear Switches omdat je vaak op meerdere plekken dingen moet doen :
- VLAN aanmaken.
- VLAN toewijzen.
- Tagged/Untagged toewijzen.

Dus pak gewoon de handleiding erbij zou ik zeggen


[...]

In principe heb je aan "VLAN Only" genoeg als je geen Router van Ubiquiti hebt dus dat is prima!

Maar wat je wel als extra optie kan inschakelen voor je Guest WiFi SSID is onderlinge communicatie binnen dat VLAN/SSID blokkeren!
Dat doe je binnen de SSID Settings als het goed is


[...]




[...]

In theorie heb je gelijk, maar in de praktijk is dat bij dit soort apparatuur niet altijd het geval!

Guest vlan + guest vlan idd, ik kwam even niet meer op de naam.

Vooral switch achter switch is even een hersenbreker, Achteraf had ik een 16 poorts managed switch met POE moeten kopen, maar goed, ik ga de uitdaging aan.

Ik heb zojuist een 2e LAN netwerk aangemaakt zonder vlan tag. En met fw rules internet gegeven, en alle andere lan ip ranges geblokt. Leuk dat het testen succesvol is.

Een deze dagen stapje voor stapje beginnen met Vlans, maar met een thuiswerker in huis zijn verbindingsissues door eigen toedoen not-done.

[ Voor 3% gewijzigd door Dacuuu op 01-11-2021 20:07 ]

[nero355]

Dacuuu schreef op maandag 1 november 2021 @ 20:06:
Vooral switch achter switch is even een hersenbreker

DIY Router => Alle VLAN's Tagged => Switch 1 Port 1
Switch 1 Port 8 => Alle VLAN's Tagged => Switch 2 Port 1

enz.

Een deze dagen stapje voor stapje beginnen met Vlans, maar met een thuiswerker in huis zijn verbindingsissues door eigen toedoen not-done.

Bouw je toch een testnetwerkje ergens in een hoekje achter je huidige netwerk met wat oude meuk ??

[Dacuuu]

nero355 schreef op dinsdag 2 november 2021 @ 14:31:
[...]

DIY Router => Alle VLAN's Tagged => Switch 1 Port 1
Switch 1 Port 8 => Alle VLAN's Tagged => Switch 2 Port 1

enz.


[...]

Bouw je toch een testnetwerkje ergens in een hoekje achter je huidige netwerk met wat oude meuk ??

Ik heb nog een losse 8 poort tp-link managed switch liggen. Daar lukte het net in 1x om een Vlan aan te maken. En had zowaar internet

Morgen maar eens beginnen aan het WAF netwerk hier.

Moet ik die ubiquiti wifi access points taggen of untaggen?

[ Voor 5% gewijzigd door Dacuuu op 02-11-2021 20:20 ]

[nero355]

Dacuuu schreef op dinsdag 2 november 2021 @ 20:15:
Ik heb nog een losse 8 poort tp-link managed switch liggen. Daar lukte het net in 1x om een Vlan aan te maken. En had zowaar internet

Morgen maar eens beginnen aan het WAF netwerk hier.

Moet ik die ubiquiti wifi access points taggen of untaggen?

- VLAN 1 = Untagged
Omdat die voor Management en adoptie en zo wordt gebruikt bij een standaard UniFi setup.
- VLAN's die je voor andere doeleinden gebruikt = Tagged

En vergeet ze niet in je SSID instellingen te taggen!

[Kabouterplop01]

nero355 schreef op maandag 1 november 2021 @ 15:57:


In theorie heb je gelijk, maar in de praktijk is dat bij dit soort apparatuur niet altijd het geval!

please enlighten me

[nero355]

Kabouterplop01 schreef op woensdag 3 november 2021 @ 19:12:
please enlighten me

Omdat men zoals gewoonlijk met termen zit te strooien die voor iets anders staan dan dat de desbetreffende functie daadwerkelijk doet

Kijk naar al die Mesh setjes :

Door de idiote marketing erachter denkt men dat Mesh voor Seamless of zelfs Fast Roaming staat!

[MindCtrller]

Hoi allen,

We wonen na een lange verbouwing eindelijk in ons huis en ik ben nu opzoek naar netwerk apparatuur. Ik hoop aankomende week met korting (black friday) het eea te kunnen kopen. We hebben voor nu KPN glas 200/200, indien nodig kunnen we dit verhogen naar 1000/1000, 500/500 bieden ze niet meer aan.

Momenteel gebruiken we de experia box maar deze wil ik vervangen voor een eigen router, verder heb ik nog een switch nodig en 2 AP's. Na een week lang zoeken ben ik afgestapt van het idee een UDM pro aan te schaffen en heeft opnsense flink mijn interesse gewekt. Wellicht is het nog overkill maar het lijkt mij leuk om eea te leren. Hier even een kort lijstje met onze devices:

Pc, synology DS920+, hue bridge, nvidia shield, soundbar, nest hello, honeywell evohome, 2 gsm's, 2 laptops, binnen camera voor de hond.

Tijdens de verbouwing heb ik naar iedere kamer de belkin cat6 kabels getrokken en 2 punten in het plafond geplaatst voor de AP's.

Ik wil graag een vpn server draaien om de NAS extern te kunnen benaderen. Verder wil ik aan de gang met pihole , unbound en eventueel suricata (maar begreep dat dit voor normaal thuisgebruik niet persee iets toevoegd). Ik heb verder geen server oid.

Nu had ik de protectli/yanling J3160 op het oog, denken jullie dat deze voldoende krachtig zal zijn? Indien niet dan betaal ik liever iets meer dan dat ik tegen de limitaties aanloop en uiteindelijk toch iets krachtigers wil.

[Harmen]

@MindCtrller Wat je ook kan doen is op zoek gaan naar een oude Sophos firewall, deze worden regelmatig aangeboden.
Heb zelf voor 80 euro een Sophos SG115 op de kop getikt, bevalt prima tot nu toe.
Meer info: https://www.fastvue.co/so...-imagine-sophos-hardware/
Groot voordeel is dat een Sophos is voorzien van Intel nics en passief is gekoeld.

Heb de mijne voorzien van Opnsense. Draait als een zonnetje met oa openvpn en sensei ngfw.

[Ankh]

Harmen schreef op vrijdag 19 november 2021 @ 08:22:
@MindCtrller Wat je ook kan doen is op zoek gaan naar een oude Sophos firewall, deze worden regelmatig aangeboden.
Heb zelf voor 80 euro een Sophos SG115 op de kop getikt, bevalt prima tot nu toe.
Meer info: https://www.fastvue.co/so...-imagine-sophos-hardware/
Groot voordeel is dat een Sophos is voorzien van Intel nics en passief is gekoeld.

Heb de mijne voorzien van Opnsense. Draait als een zonnetje met oa openvpn en sensei ngfw.

Degene die nu te koop staan willen er minimaal 200+ euro voor hebben.

[Harmen]

Oef, dan heb ik destijds een mooie deal gemaakt. Er staan wel een aantal op ebay. Je kan ook kijken naar appliances van PC Engines, er staat nog 1 te koop op tweakers: V&A aangeboden: PC Engines APU2C0
Echter is 2GB wel minimaal, voorkeur zou toch minimaal 4GB zijn.

[Tom Paris]

Harmen schreef op vrijdag 19 november 2021 @ 08:22:
@MindCtrller Wat je ook kan doen is op zoek gaan naar een oude Sophos firewall, deze worden regelmatig aangeboden.
Heb zelf voor 80 euro een Sophos SG115 op de kop getikt, bevalt prima tot nu toe.
Meer info: https://www.fastvue.co/so...-imagine-sophos-hardware/
Groot voordeel is dat een Sophos is voorzien van Intel nics en passief is gekoeld.

Heb de mijne voorzien van Opnsense. Draait als een zonnetje met oa openvpn en sensei ngfw.

De Atom in de SG115 is toch wel erg underpowered anno 2021... 200Mbit PPPoE zal wel lukken, maar 1Gbit betwijfel ik. Van de APU is ook bekend dat die maar rond de 450Mbit trekt op PPPoE, en dat is een quad-core tov de dual core Atom.

[Harmen]

@Tom Paris Klopt wel, maargoed de meeste gebruikers hebben genoeg aan laten we zeggen 100-200Mbit.

Edit, voor 1GBit zal een sophos niet voldoende zijn, maargoed hoeveel tweakers hebben dit.

[ Voor 32% gewijzigd door Harmen op 19-11-2021 13:38 ]

[Tom Paris]

Harmen schreef op vrijdag 19 november 2021 @ 13:21:
@Tom Paris Klopt wel, maargoed de meeste gebruikers hebben genoeg aan laten we zeggen 100-200Mbit.

Maar @MindCtrller heeft het expliciet over minimaal 200Mbit met optie op 1Gbit...

[Vorkie]

Mijn i3 6100 is powered genoeg voor 1Gbit/s PPPoE.

Vorkie in "Zelfbouw project: Firewall / Router / AP"

[MindCtrller]

Bedankt allen voor het meedenken . Ik verwacht wel aan 200/200 genoeg te hebben. Het liefst koop ik een kant en klaar boxje, zou mijn voorgestelde protectli/yanling/xsk met een J3160 processor moeten volstaan? (VPN server, pihole, unbound, eventueel suricata)

[nero355]

MindCtrller schreef op vrijdag 19 november 2021 @ 00:25:
Na een week lang zoeken ben ik afgestapt van het idee een UDM pro aan te schaffen en heeft opnsense flink mijn interesse gewekt.

Verstandige keuze!

Tijdens de verbouwing heb ik naar iedere kamer de belkin cat6 kabels getrokken en 2 punten in het plafond geplaatst voor de AP's.

Dat vind ik dan weer zonde sinds de In Wall modellen op de markt zijn verschenen!

Ik wil graag een vpn server draaien om de NAS extern te kunnen benaderen.

Die kan je vaak ook op de NAS zelf opzetten

Verder wil ik aan de gang met pihole , unbound en eventueel suricata (maar begreep dat dit voor normaal thuisgebruik niet persee iets toevoegd).

Pi-Hole zal je dan iets van virtueel moeten draaien of een container of zo, maar pfSense/OPNsense hebben zelf ook soortgelijke ingebouwde functionaliteit dus kijk daar ook eens naar!

Unbound hebben beiden sowieso aan boord.

Suricata is IDS/IPS en vereist best wel wat CPU kracht! Net als een PPPoE verbinding dus ik gok dat je inderdaad richting een i3 moet gaan kijken :

Vorkie schreef op vrijdag 19 november 2021 @ 13:51:
Mijn i3 6100 is powered genoeg voor 1Gbit/s PPPoE.

Vorkie in "Zelfbouw project: Firewall / Router / AP"

Nu had ik de protectli/yanling J3160 op het oog, denken jullie dat deze voldoende krachtig zal zijn? Indien niet dan betaal ik liever iets meer dan dat ik tegen de limitaties aanloop en uiteindelijk toch iets krachtigers wil.

MindCtrller schreef op vrijdag 19 november 2021 @ 14:21:
Bedankt allen voor het meedenken . Ik verwacht wel aan 200/200 genoeg te hebben. Het liefst koop ik een kant en klaar boxje, zou mijn voorgestelde protectli/yanling/xsk met een J3160 processor moeten volstaan? (VPN server, pihole, unbound, eventueel suricata)

IMHO zijn dat soort modellen meer geschikt voor een Caiway/T-Mobile/Ziggo verbinding die niks met PPPoE doet

Harmen schreef op vrijdag 19 november 2021 @ 13:21:
@Tom Paris Klopt wel, maargoed de meeste gebruikers hebben genoeg aan laten we zeggen 100-200Mbit.

Edit, voor 1GBit zal een sophos niet voldoende zijn, maargoed hoeveel tweakers hebben dit.

Gevaarlijke aannames die je daar doet!

Iets met assumptions en zo...

/EDIT :

Harmen schreef op vrijdag 19 november 2021 @ 08:22:
@MindCtrller Wat je ook kan doen is op zoek gaan naar een oude Sophos firewall, deze worden regelmatig aangeboden.
Heb zelf voor 80 euro een Sophos SG115 op de kop getikt, bevalt prima tot nu toe.
Meer info: https://www.fastvue.co/so...-imagine-sophos-hardware/
Groot voordeel is dat een Sophos is voorzien van Intel nics en passief is gekoeld.

Heb de mijne voorzien van Opnsense. Draait als een zonnetje met oa openvpn en sensei ngfw.

Wat een bagger weblog :
- Hyper-V is een Type 1 hypervisor voor zover ik weet.
- Hoe krijg je het voor elkaar om Intel NUC met een K te schrijven!
- Als je toch al met zoiets aan de gang gaat : Proxmox FTW!!!

Windows levert je alleen maar ellende op!

Maar hij noemt daar wel het merk dat de Sophos bakkies maakt :

In the case of the Sophos 115, it is a Nexcom DNA120.

Misschien een idee om ook af en toe daarop te zoeken

[ Voor 17% gewijzigd door nero355 op 19-11-2021 15:34 ]

[Harmen]

@nero355 Don't shoot the messenger. Kwam die tegen toen ik op zoek was naar hardware informatie. Nexcom maakt mooie hardware zie ik, vooral voor de industrie. Helaas lijkt die DNA120 serie niet meer te bestaan. DNA130 Ben een fan van een robuuste metalen behuizingen, voedingconnector heeft een draairing zodat je hem niet perongeluk los trekt.

[ Voor 21% gewijzigd door Harmen op 19-11-2021 15:45 ]

[groxgrox]

Harmen schreef op vrijdag 19 november 2021 @ 08:22:
@MindCtrller Wat je ook kan doen is op zoek gaan naar een oude Sophos firewall, deze worden regelmatig aangeboden.
Heb zelf voor 80 euro een Sophos SG115 op de kop getikt, bevalt prima tot nu toe.
Meer info: https://www.fastvue.co/so...-imagine-sophos-hardware/
Groot voordeel is dat een Sophos is voorzien van Intel nics en passief is gekoeld.

Heb de mijne voorzien van Opnsense. Draait als een zonnetje met oa openvpn en sensei ngfw.

Die zien er goed uit! Ik zoek iets als opvolger voor mijn nanopi r2s. Die haalt met OpenVPN aan zo'n 200mbit (op een 1000/1000 lijn).
Ik zoek iets wat meer snelheid aan kan.
Welke snelheid haalt dit apparaat met OpenVPN?

[Tom Paris]

groxgrox schreef op vrijdag 19 november 2021 @ 17:13:
[...]


Die zien er goed uit! Ik zoek iets als opvolger voor mijn nanopi r2s. Die haalt met OpenVPN aan zo'n 200mbit (op een 1000/1000 lijn).
Ik zoek iets wat meer snelheid aan kan.
Welke snelheid haalt dit apparaat met OpenVPN?

De oplossing voor meer snelheid met OpenVPN is niet een krachtigere processor, maar overstappen op Wireguard Sowieso gok ik dat zo'n oude Atom niet meer dan 200Mbit OpenVPN doet...

[ Voor 7% gewijzigd door Tom Paris op 19-11-2021 19:14 ]

[nero355]

Tom Paris schreef op vrijdag 19 november 2021 @ 19:13:
De oplossing voor meer snelheid met OpenVPN is niet een krachtigere processor, maar overstappen op Wireguard

Dat is wel ERG FLAUW

Wat natuurlijk ook helpt :
- Een OpenVPN build die Offloading Support heeft.
- Een CPU die dergelijke Offloading aan boord heeft.



En anders is het gewoon stampen op basis van de pure snelheid van de CPU

[Tom Paris]

nero355 schreef op vrijdag 19 november 2021 @ 19:33:
[...]

Dat is wel ERG FLAUW

Wat natuurlijk ook helpt :
- Een OpenVPN build die Offloading Support heeft.
- Een CPU die dergelijke Offloading aan boord heeft.



En anders is het gewoon stampen op basis van de pure snelheid van de CPU

Tsja flauw... Snelle blik op het OpenWRT forum toont dat de genoemde NanoPi R2S zo'n 400Mbit haalt op Wireguard... dat is toch 2x zo snel als OpenVPN op dezelfde SOC

[groxgrox]

Tom Paris schreef op vrijdag 19 november 2021 @ 19:42:
[...]


Tsja flauw... Snelle blik op het OpenWRT forum toont dat de genoemde NanoPi R2S zo'n 400Mbit haalt op Wireguard... dat is toch 2x zo snel als OpenVPN op dezelfde SOC

Helaas ondersteund Surfshark alleen OpenVPN bij openwrt en geen wireguard....

[Uberprutser]

OPNSense heeft nieuwe appliances

This model includes 4GB DDR4 RAM, 128GBSolid State Flash and can handle up to 8.5Gbps Firewall & 1.2Gbps IPsec throughput (AES256GCM16).

[wian]

groxgrox schreef op vrijdag 19 november 2021 @ 21:01:
[...]
Helaas ondersteund Surfshark alleen OpenVPN bij openwrt en geen wireguard....

Er zijn zat VPN providers die wel wireguard ondersteunen, en niet meer alleen de premium providers.

Kijk met black friday/cyber monday naar een nieuwe VPN provider, grote kans op veel goede aanbiedingen. Hoewel het natuurlijk veel leuker is om nieuwe hardware te kopen

Edit: ik zie nu dat Surfshark wel wireguard biedt. Geven ze alleen geen instructies? Op zich is het voor ieder Linux / BSD OS hetzelfde, gewoon een kwestie van de wireguard config downloaden en uitvogelen hoe je e.e.a. op openwrt configureert.

[ Voor 19% gewijzigd door wian op 21-11-2021 21:06 . Reden: surfshark website gelezen ]

[wian]

Uberprutser schreef op zondag 21 november 2021 @ 13:50:
OPNSense heeft nieuwe appliances


[...]

Oeh, mooie doosjes: fanless, AMD Ryzen en SFP+

[groxgrox]

wian schreef op zondag 21 november 2021 @ 20:50:
[...]

Edit: ik zie nu dat Surfshark wel wireguard biedt. Geven ze alleen geen instructies? Op zich is het voor ieder Linux / BSD OS hetzelfde, gewoon een kwestie van de wireguard config downloaden en uitvogelen hoe je e.e.a. op openwrt configureert.

Klopt, via de Windows app bieden ze wel wireguard aan. Ik heb even met ze gechat. Wireguard voor Linux/routers is in ontwikkeling, ze konden nog geen ETA geven.

Nieuwe hardware is zeker leuker! Dankzij jouw forumpost kocht ik destijds de r2s en dit is echt een topding! De r4s vind ik vooralsnog erg prijzig...

[wian]

Op zich is wireguard op windows ook een prima oplossing. Dan belast je je router niet met het versleutelen en gaat alleen het verkeer van de VM/computer waarmee je download via Surfshark. Wat je ook nog kunt proberen is om de windows VPN client te installeren en de config bestanden op te zoeken. Misschien kun je de keys en IP addressen vinden en dit dan op openwrt configureren.

De R2S biedt veel voor het geld, maar als je verder wilt met firewalls en VPNs is pfSense of OPNsense echt een stuk flexibeler (en eenvoudiger). Zou kun je firewall regels maken die alleen het verkeer van/naar bepaalde IP addressen door de VPN stuurt en de rest gewoon direct. Kun je spelen met pfblocker voor het blokkeren van verkeer van/naar bepaalde landen en allerlei block lists gebruiken voor reclame en malware.

Maar pfSense/OPNsense hardware is meestal een stuk duurder dan openwrt hardware.

[ Voor 12% gewijzigd door wian op 22-11-2021 09:42 ]

[wian]

groxgrox schreef op vrijdag 19 november 2021 @ 17:13:
[...]


Die zien er goed uit! Ik zoek iets als opvolger voor mijn nanopi r2s. Die haalt met OpenVPN aan zo'n 200mbit (op een 1000/1000 lijn).
Ik zoek iets wat meer snelheid aan kan.
Welke snelheid haalt dit apparaat met OpenVPN?

Btw; zelf getest dat een Sophos SG115 rev 3 met pfSense boven de 700mbit haalt met wireguard. Kwam met downloads af en toe boven de 70MB/s. Ik denk zelfs dat de cap toen kwam door de VPN provider en niet door de Atom CPU.

[wian]

*knip* Nogal Offtopic hier.

[ Voor 107% gewijzigd door rens-br op 27-11-2021 17:08 ]

[stormfly]

https://docs.netgate.com/...releases/22-01_2-6-0.html

22.01 pfSense zit in release candidate fase.

[Guneyd]

Zojuist het volgende gekocht via Amazon:
https://www.amazon.nl/dp/...%2Caps%2C126&sr=8-40&th=1


8GB RAM
128GB SSD
Intel Celeron Quad Core (+2 Ghz)
4 x 2.5 GB Intel ethernet ports

en dat allemaal voor ~300 euro incl. verzending . Ik moet wel wachten tot 4~10 februari, voordat ik het binnenheb, can't wait .

[RobertMe]

Guneyd schreef op vrijdag 21 januari 2022 @ 19:36:
Zojuist het volgende gekocht via Amazon:
https://www.amazon.nl/dp/...%2Caps%2C126&sr=8-40&th=1


8GB RAM
128GB SSD
Intel Celeron Quad Core (+2 Ghz)
4 x 2.5 GB Intel ethernet ports

en dat allemaal voor ~300 euro incl. verzending . Ik moet wel wachten tot 4~10 februari, voordat ik het binnenheb, can't wait .

Toch klinkt 2,5Gbit/s gewoon jammer. Het was origineel gewoon 100Mbit/s => 1Gbit/s => 10Gbit/s. En vervolgens worden er ineens twee trage varianten van 10Gbit/s gemaakt in de vorm van 2,5Gbit/s en 5Gbit/s. Het is dus niet eens een doorontwikkelde 1Gbit/s.
Daarnaast gaat Delta fiber volgens mij ook al 8Gbit/s aanbieden, dus de vraag is dan of deze tussenliggende snelheden überhaupt aanslaan. Want als glasvezel boeren inderdaad nu al naar veel hogere Gbit/s snelheden kijken dan is een 2,5Gbit/s router nu al niet meer echt toekomstbestendig.

[TheVMaster]

Guneyd schreef op Friday 21 January 2022 @ 19:36:
Zojuist het volgende gekocht via Amazon:
https://www.amazon.nl/dp/...%2Caps%2C126&sr=8-40&th=1


8GB RAM
128GB SSD
Intel Celeron Quad Core (+2 Ghz)
4 x 2.5 GB Intel ethernet ports

en dat allemaal voor ~300 euro incl. verzending . Ik moet wel wachten tot 4~10 februari, voordat ik het binnenheb, can't wait .

Zijn dat soort specs afdoende voor Gbit/Gbit glas en bv apps als suricata en OpenVPN? Ben nog op zoek naar iets vergelijkbaars, ter vervanging van mijn Unifi Dreammachine Pro

[ Voor 6% gewijzigd door TheVMaster op 21-01-2022 20:05 ]

[SkorpionNL]

TheVMaster schreef op vrijdag 21 januari 2022 @ 20:04:
[...]


Zijn dat soort specs afdoende voor Gbit/Gbit glas en bv apps als suricata en OpenVPN? Ben nog op zoek naar iets vergelijkbaars, ter vervanging van mijn Unifi Dreammachine Pro

Tot voor kort was ik ook in de race voor een nieuwe router/firewall en heb hier daarom veel over gelezen. Ik moest tot de conclusie komen dat er veel wisselende ervaringen zijn en de uitkomst ook afhankelijk is van meerdere variabelen.

Zo kan het bij verschillende oplossingen (single threaded of niet) bijvoorbeeld van belang zijn of je internet via PPPoE of DHCP krijgt en of je kunt offloaden via hardware of dat de CPU het geheel voor zijn rekening moet nemen. Voor OpenVPN is bijvoorbeeld single core performance van groot belang voor de doorvoersnelheid.

Persoonlijk verwacht ik dat bovengenoemde setup niet voldoende zal zijn voor symmetrisch Gbit en zaken als IDS/IPS. Zelf ben ik gegaan voor een i5-8250U Quad Core met 16GB RAM. Dit gezien ik Sensei/Zenarmor en Suricata wil gaan draaien en Elasticsearch nogal veeleisend kan zijn zoals ik begrepen heb.

Mogelijk is deze setup zwaar overkill, maar ik nam liever het zekere voor het onzekere.

[Miki]

Het is jammer dat PFsense/OPNsense icm X86 zo bizar inefficiënt is.

Ik denk dat op dit moment Mikrotik met de RB5009 voor Tweakers de meest interessante router heeft. Voor rond de €200 heb je een beest van een router. Het enige wat even kan afschrikken is de steile leercurve van RouterOS maar als je toch al van plan was om PFsense/OPNsense te draaien dan moet dit ook wel lukken.

[TheVMaster]

Miki schreef op Friday 21 January 2022 @ 21:22:
Het is jammer dat PFsense/OPNsense icm X86 zo bizar inefficiënt is.

Ik denk dat op dit moment Mikrotik met de RB5009 voor Tweakers de meest interessante router heeft. Voor rond de €200 heb je een beest van een router. Het enige wat even kan afschrikken is de steile leercurve van RouterOS maar als je toch al van plan was om PFsense/OPNsense te draaien dan moet dit ook wel lukken.

hmm….ga eens even de RB5009 bekijken.

[Samplex]

Word de i225-V netwerk kaart wel ondersteund door pfsense/opnsense?

[TheVMaster]

Samplex schreef op Friday 21 January 2022 @ 22:18:
Word de i225-V netwerk kaart wel ondersteund door pfsense/opnsense?

PFSense wordt genoemd, dus ik zou dan aannemen dat het wordt ondersteund.

[wian]

Guneyd schreef op vrijdag 21 januari 2022 @ 19:36:
Zojuist het volgende gekocht via Amazon:
https://www.amazon.nl/dp/B09PHGWPMB/

8GB RAM
128GB SSD
Intel Celeron Quad Core (+2 Ghz)
4 x 2.5 GB Intel ethernet ports

en dat allemaal voor ~300 euro incl. verzending . Ik moet wel wachten tot 4~10 februari, voordat ik het binnenheb, can't wait .

Goede vondst! Uitstekende specs voor het geld. Hoor graag je ervaringen. Ben benieuwd of dit doosje ook redelijk koel blijft.

Meer dan 2,5Gbit heb je voorlopig niet nodig. De 8Gbit glasvezel modems van Delta bijvoorbeeld schijnen 2,5Gbit LAN interfaces te hebben, alleen de fiber uplink is 8Gbit.

[nero355]

SkorpionNL schreef op vrijdag 21 januari 2022 @ 20:54:
en of je kunt offloaden via hardware of dat de CPU het geheel voor zijn rekening moet nemen.
Voor OpenVPN is bijvoorbeeld single core performance van groot belang voor de doorvoersnelheid.

OpenVPN kan je als het goed is Offloaden via AES-NI op voorwaarde dat die zo is gecompileerd en ik het hele verhaal goed heb begrepen...

Persoonlijk verwacht ik dat bovengenoemde setup niet voldoende zal zijn voor symmetrisch Gbit en zaken als IDS/IPS. Zelf ben ik gegaan voor een i5-8250U Quad Core met 16GB RAM. Dit gezien ik Sensei/Zenarmor en Suricata wil gaan draaien en Elasticsearch nogal veeleisend kan zijn zoals ik begrepen heb.

Mogelijk is deze setup zwaar overkill, maar ik nam liever het zekere voor het onzekere.

Quad Core vs. Ultra Low Voltage Quad Core dus misschien niet eens zo heel erg anders qua prestaties dus ik zou effe wat benchmarks erbij pakken!

wian schreef op vrijdag 21 januari 2022 @ 23:26:
Meer dan 2,5Gbit heb je voorlopig niet nodig.

Ligt eraan wat je ermee doet : Ik ben al jarenlang aan 10 Gbps toe!

Verder helemaal eens met RobertMe in "Zelfbouw project: Firewall / Router / AP"

De 8Gbit glasvezel modems van Delta bijvoorbeeld schijnen 2,5Gbit LAN interfaces te hebben, alleen de fiber uplink is 8Gbit.

Niet helemaal waar :

De eerste glasvezelmodems die Delta levert kunnen nog geen 8Gbit/s doorgeven, maar hebben 1Gbit/s- en 2,5Gbit/s-lanpoorten en ondersteuning voor Wi-Fi 5 en 6, oftewel 802.11ac en 802.11ax.
Pas eind 2022 maakt het bedrijf een modem beschikbaar dat een lanpoort van 8Gbit/s heeft.

Zie : nieuws: Delta maakt 1Gbit/s standaard voor glasvezel en komt met 8Gbit/s-abo

[ Voor 33% gewijzigd door nero355 op 21-01-2022 23:30 ]

[TheVMaster]

wian schreef op Friday 21 January 2022 @ 23:26:
[...]


Goede vondst! Uitstekende specs voor het geld. Hoor graag je ervaringen. Ben benieuwd of dit doosje ook redelijk koel blijft.

Meer dan 2,5Gbit heb je voorlopig niet nodig. De 8Gbit glasvezel modems van Delta bijvoorbeeld schijnen 2,5Gbit LAN interfaces te hebben, alleen de fiber uplink is 8Gbit.

Dat zijn dus wel nette specs voor een beetje goed performende pfsense box?

[wian]

Miki schreef op vrijdag 21 januari 2022 @ 21:22:
Het is jammer dat PFsense/OPNsense icm X86 zo bizar inefficiënt is.

Ik denk dat op dit moment Mikrotik met de RB5009 voor Tweakers de meest interessante router heeft. Voor rond de €200 heb je een beest van een router. Het enige wat even kan afschrikken is de steile leercurve van RouterOS maar als je toch al van plan was om PFsense/OPNsense te draaien dan moet dit ook wel lukken.

Ziet er nog mooi uit ook. Maar ga je er qua functionaliteit niet gigantisch op achteruit? Hoe zit het met WireGuard, ad blocking en geo blocking? Kan dit met router os?

[TheVMaster]

wian schreef op Friday 21 January 2022 @ 23:33:
[...]


Ziet er nog mooi uit ook. Maar ga je er qua functionaliteit niet gigantisch op achteruit? Hoe zit het met WireGuard, ad blocking en geo blocking? Kan dit met router os?

Het ziet er allemaal qua config/leercurve wel een stuk steiler uit dan pfsense (die ik nu al heb draaien).

[SkorpionNL]

wian schreef op vrijdag 21 januari 2022 @ 23:33:
[...]


Ziet er nog mooi uit ook. Maar ga je er qua functionaliteit niet gigantisch op achteruit? Hoe zit het met WireGuard, ad blocking en geo blocking? Kan dit met router os?

Dit is voor mij een van de redenen geweest om over te gaan van een Edgerouter naar OPNsense.

[nero355]

wian schreef op vrijdag 21 januari 2022 @ 23:33:
Maar ga je er qua functionaliteit niet gigantisch op achteruit?

Hoe zit het met WireGuard, ad blocking en geo blocking? Kan dit met router os?

Daar hebben ze het net over in kaaas in "[MikroTik-apparatuur] Ervaringen & Discussie"

[Guneyd]

RobertMe schreef op vrijdag 21 januari 2022 @ 20:01:
[...]

Toch klinkt 2,5Gbit/s gewoon jammer. Het was origineel gewoon 100Mbit/s => 1Gbit/s => 10Gbit/s. En vervolgens worden er ineens twee trage varianten van 10Gbit/s gemaakt in de vorm van 2,5Gbit/s en 5Gbit/s. Het is dus niet eens een doorontwikkelde 1Gbit/s.
Daarnaast gaat Delta fiber volgens mij ook al 8Gbit/s aanbieden, dus de vraag is dan of deze tussenliggende snelheden überhaupt aanslaan. Want als glasvezel boeren inderdaad nu al naar veel hogere Gbit/s snelheden kijken dan is een 2,5Gbit/s router nu al niet meer echt toekomstbestendig.

Voor mijn doeleinden is het ideaal. Ik wil er zoveel mogelijk uithalen (VPN, IDS e.d.) en dan is online toch het advies Quad Core met minimaal 2 Ghz.

Ik heb thuis:
- Gigabit internet van Ziggo (wellicht dat ik dit later nog ga downgraden)
- 10 Gigabit ethernet port op mijn server
- 2,5 Gigabit ethernet port op mijn PC

Hiermee kan ik op zijn minst van/naar mijn PC de volle 2,5 Gigabit aanspreken.

In de price range van 300~500 euro, zijn er niet zoveel alternatieven beschikbaar en van wat ik heb gezien moet je het alsnog doen met een gigabit port en/of tragere processor. Enige mogelijkheid zou een echte server zijn (2e hands Poweredge of iets dergelijks) en eventueel een NIC daarin voor 10 Gigabit, maar dan zit je weer vast aan het stroomverbruik en voor een router/switch vind ik dat toch wel overkill.

TheVMaster schreef op vrijdag 21 januari 2022 @ 20:04:
[...]


Zijn dat soort specs afdoende voor Gbit/Gbit glas en bv apps als suricata en OpenVPN? Ben nog op zoek naar iets vergelijkbaars, ter vervanging van mijn Unifi Dreammachine Pro

Voor suricata zou het voldoende moeten zijn van wat ik online heb gelezen. OpenVPN kan je er ook op draaien, maar wel met een performance hit.

[ Voor 16% gewijzigd door Guneyd op 22-01-2022 10:21 ]

[Miki]

wian schreef op vrijdag 21 januari 2022 @ 23:33:
[...]


Ziet er nog mooi uit ook. Maar ga je er qua functionaliteit niet gigantisch op achteruit? Hoe zit het met WireGuard, ad blocking en geo blocking? Kan dit met router os?

Wireguard moet volgens mij wel lukken wat ik zo tussen de oogharen door heb gelezen. Ad blocking en geo blocking zit niet standaard in RouterOS voorzover ik weet, heb geen MikroTik apparaten in huis. Ik vermoed dat je doelt op extra toevoegingen zoals PFblockerng en Suricata.

De genoemde router heeft wel genoeg power om extra zaken aan toe te voegen dus wellicht dat vanuit de community nog eea gaat komen.

Terugkomend op PFsense/OPNsense hardware, volgens mij wordt nog steeds PPPoE verkeer afgewikkeld over één core en is er geen fatsoenlijke hardware offloading via de NIC’s mogelijk. Voor de mensen met een internetverbinding die middels DHCP wordt opgebouwd is dat geen probleem maar als wat over Glas gaat via KPN heeft een probleem. Dat betekent dat je relatief dure hardware nodig hebt om een fatsoenlijke snelheid te halen met dito stroomverbruik terwijl een simpel dedicated boardje er totaal geen moeite mee heeft. Ik heb nu een tweedehands Edgerouter X van nog geen €30 dat zonder enige moeite alle routing verzorgt en een raspberry pi die ad blocking verzorgt.

[ Voor 42% gewijzigd door Miki op 22-01-2022 13:44 ]

[TheVMaster]

Miki schreef op Saturday 22 January 2022 @ 10:00:
[...]

Wireguard moet volgens mij wel lukken wat ik zo tussen de oogharen door heb gelezen. Ad blocking en geo blocking zit niet standaard in RouterOS voorzover ik weet, heb geen MikroTik apparaten in huis. Ik vermoed dat je doelt op extra toevoegingen zoals PFblockerng en Suricata.

De genoemde router heeft wel genoeg power om extra zaken aan toe te voegen dus wellicht dat vanuit de community nog eea gaat komen.

Terugkomend op PFsense/OPNsense hardware, volgens mij wordt nog steeds PPPoE verkeer afgewikkeld over één en is er geen fatsoenlijke hardware offloading via de NIC’s mogelijk. Voor de mensen met een internetverbinding die middels DHCP wordt opgebouwd is dat geen probleem maar als wat over Glas gaat via KPN heeft een probleem. Dat betekent dat je relatief dure hardware nodig hebt om een fatsoenlijke snelheid te halen met dito stroomverbruik terwijl een simpel dedicated boardje er totaal geen moeite mee heeft. Ik heb nu een tweedehands Edgerouter X van nog geen €30 dat zonder enige moeite alle routing verzorgt en een raspberry pi die ad blocking verzorgt.

Op dit moment heb ik T-Mobile, maar de kans bestaat dat ik over een jaar naar KPN overstap en dan zou die hardware dus niet volstaan (op Gbit).

Ik zie ook een NUC11 Pro i3 als optie (met 2 NIC’s), die heeft dan wat meer power dan de Celeron modelletjes. Keuzes, Keuzes…

[eymey]

Miki schreef op zaterdag 22 januari 2022 @ 10:00:
[...]

Wireguard moet volgens mij wel lukken wat ik zo tussen de oogharen door heb gelezen. Ad blocking en geo blocking zit niet standaard in RouterOS voorzover ik weet, heb geen MikroTik apparaten in huis. Ik vermoed dat je doelt op extra toevoegingen zoals PFblockerng en Suricata.

De genoemde router heeft wel genoeg power om extra zaken aan toe te voegen dus wellicht dat vanuit de community nog eea gaat komen.

Terugkomend op PFsense/OPNsense hardware, volgens mij wordt nog steeds PPPoE verkeer afgewikkeld over één core en is er geen fatsoenlijke hardware offloading via de NIC’s mogelijk. Voor de mensen met een internetverbinding die middels DHCP wordt opgebouwd is dat geen probleem maar als wat over Glas gaat via KPN heeft een probleem. Dat betekent dat je relatief dure hardware nodig hebt om een fatsoenlijke snelheid te halen met dito stroomverbruik terwijl een simpel dedicated boardje er totaal geen moeite mee heeft. Ik heb nu een tweedehands Edgerouter X van nog geen €30 dat zonder enige moeite alle routing verzorgt en een raspberry pi die ad blocking verzorgt.

Toch nog wel even wat praktijkervaring aangaande PPPoE met OPNSense:

Ik zit nu op een 1 Gbit/s verbinding van Freedom, via Tweak/Cambrium. Via PPPoE over een VLAN.

OPNSense draait gevirtualiseerd (KVM VM, managed met Proxmox VE) en heeft 2 virtuele CPU's van een Shuttle DH310 met een I3-8100. Er draait niet echt IDS/IPS van belang.

Maar verder haalt deze opstelling de 1 Gbit/s prima

[Tom Paris]

Guneyd schreef op zaterdag 22 januari 2022 @ 09:49:
- 10 Gigabit ethernet port op mijn server
- 2,5 Gigabit ethernet port op mijn PC

Hiermee kan ik op zijn minst van/naar mijn PC de volle 2,5 Gigabit aanspreken.

10Gbit NIC in je PC en DAC tussen je PC en server? Heb je een echte 10Gbit link voor een paar tientjes...

(Als je toch al een server hebt, waarom dan niet *sense draaien als VM?)

[Tom Paris]

eymey schreef op zaterdag 22 januari 2022 @ 15:21:
[...]


Toch nog wel even wat praktijkervaring aangaande PPPoE met OPNSense:

Ik zit nu op een 1 Gbit/s verbinding van Freedom, via Tweak/Cambrium. Via PPPoE over een VLAN.

OPNSense draait gevirtualiseerd (KVM VM, managed met Proxmox VE) en heeft 2 virtuele CPU's van een Shuttle DH310 met een I3-8100. Er draait niet echt IDS/IPS van belang.

Maar verder haalt deze opstelling de 1 Gbit/s prima

Op een 'echte' Core CPU is Gbit PPPoE inderdaad geen probleem, maar deze CPUs zijn wel een hele andere klasse dan de op Atom gebaseerde Celeron/Pentium CPUs die vaak in de kleine router-achtige machines te vinden zijn

[TheVMaster]

eymey schreef op Saturday 22 January 2022 @ 15:21:
[...]


Toch nog wel even wat praktijkervaring aangaande PPPoE met OPNSense:

Ik zit nu op een 1 Gbit/s verbinding van Freedom, via Tweak/Cambrium. Via PPPoE over een VLAN.

OPNSense draait gevirtualiseerd (KVM VM, managed met Proxmox VE) en heeft 2 virtuele CPU's van een Shuttle DH310 met een I3-8100. Er draait niet echt IDS/IPS van belang.

Maar verder haalt deze opstelling de 1 Gbit/s prima

Ik draai PFSense nu ook op een Hyper-V box en daar heeft hij het ook niet echt zwaar. Als ik dus voor een dedicated back kan gaan, dan kan ik beter voor een Core i3/5/7 gaan dan voor een Celeron nu Pentium.

[nero355]

Guneyd schreef op zaterdag 22 januari 2022 @ 09:49:
- Gigabit internet van Ziggo (wellicht dat ik dit later nog ga downgraden)

Dat is geen echte Gigabit dus dat verandert wel je eisen gedeeltelijk : 1000/50 Mbps i.p.v. 1000/1000 Mbps

Als ik dan naar dit soort reacties kijk : DRAFTER86 in "[MikroTik-apparatuur] Ervaringen & Discussie"
Dan heb je in theorie minder CPU kracht nodig dan bij een echte 1000/1000 Mbps verbinding!

Miki schreef op zaterdag 22 januari 2022 @ 10:00:
Ik heb nu een tweedehands Edgerouter X van nog geen €30 dat zonder enige moeite alle routing verzorgt en een raspberry pi die ad blocking verzorgt.

Mooi spul hé!

Tom Paris schreef op zaterdag 22 januari 2022 @ 15:39:
10Gbit NIC in je PC en DAC tussen je PC en server? Heb je een echte 10Gbit link voor een paar tientjes...

En als je op eBay gaat shoppen kost het geen drol gewoon!

Zoiets : https://www.ebay.com/sch/...gbps+kit&_sacat=0&_sop=15

Zo te zien zijn zelfs de QSFP+ NIC's flink in prijs gedaald!

[Guneyd]

Tom Paris schreef op zaterdag 22 januari 2022 @ 15:39:
[...]


10Gbit NIC in je PC en DAC tussen je PC en server? Heb je een echte 10Gbit link voor een paar tientjes...

(Als je toch al een server hebt, waarom dan niet *sense draaien als VM?)

2,5 Gbit in mijn PC zit aan het moederbord vast en gezien ik een mini-itx build heb, is mijn enige pci slot in gebruik voor mijn GPU .

Ik heb wel een tijdje geprobeerd om PfSense in een VM op mijn server te draaien, maar ik wil liever een dedicated machine hiervoor gebruiken. Dan hoef ik ook niet te dealen met vage constructies + dat mijn internet/netwerk eruit ligt als ik mijn server reboot of iets in die trend .

[nero355]

Guneyd schreef op zaterdag 22 januari 2022 @ 17:37:
2,5 Gbit in mijn PC zit aan het moederbord vast en gezien ik een mini-itx build heb, is mijn enige pci slot in gebruik voor mijn GPU

Die vreselijke Mini-ITX hype maakt meer kapot dan je lief is!

* nero355 is blij met zijn veel te grote kast en moederbord met 7 PCIe sloten

[Videopac]

nero355 schreef op zaterdag 22 januari 2022 @ 17:49:
[...]

Die vreselijke Mini-ITX hype maakt meer kapot dan je lief is!

* nero355 is blij met zijn veel te grote kast en moederbord met 7 PCIe sloten

En het verbruik van die joekel is…?

[TheVMaster]

Guneyd schreef op Saturday 22 January 2022 @ 17:37:
[...]


2,5 Gbit in mijn PC zit aan het moederbord vast en gezien ik een mini-itx build heb, is mijn enige pci slot in gebruik voor mijn GPU .

Ik heb wel een tijdje geprobeerd om PfSense in een VM op mijn server te draaien, maar ik wil liever een dedicated machine hiervoor gebruiken. Dan hoef ik ook niet te dealen met vage constructies + dat mijn internet/netwerk eruit ligt als ik mijn server reboot of iets in die trend .

Ik heb exact hetzelfde, zelfde met huisautomatisering. Dat zijn zaken die moeten gewoon 24x7 beschikbaar zijn en als ik iets aan de hypervisor ga updaten en hij moet rebooten, dan kan een router niet down gaan :-)

[nero355]

Videopac schreef op zaterdag 22 januari 2022 @ 18:15:
En het verbruik van die joekel is…?

Valt best wel mee sinds de Quad Crossfire en 1250 Watt voeding gedowngrade zijn!

Kijk zelf maar : gallery: nero355

[Theone098]

Miki schreef op zaterdag 22 januari 2022 @ 10:00:
[...]
Ad blocking en geo blocking zit niet standaard in RouterOS voorzover ik weet, heb geen MikroTik apparaten in huis. Ik vermoed dat je doelt op extra toevoegingen zoals PFblockerng en Suricata.

Ik heb de nodige Mikrotik apparatuur thuis. Als je pfblockerng of geo blocking wilt gebruiken, dan moet je gaan scripten. Ik had diverse IP lijsten die door mijn NAS werden gedownload en werden omgevormd via een bash script tot een Mikrotik script.
De Mikrotik download deze scripts en voert ze uit. Door in de firewall regels op te nemen die verwezen naar een address list, had je dezelfde functionaliteit. Maar de Mikrotik werd wel traag als de lijst erg groot was en er waren nog wat andere beperkingen.

IDS/IPS werkt alleen door dit achter de router te verplaatsen en o.b.v. alerts acties naar de mikrotik te sturen of te blokken NA de mikrotik.

Wat betreft user experience: pfsense all the way .

[ Voor 7% gewijzigd door Theone098 op 23-01-2022 19:16 ]

[TheVMaster]

Na lang puzzelen ben ik voor deze hardware gegaan. Twijfel nog wel of ik OPNsense ga draaien, of PFsense. De hardware moet volgens mij voldoende zijn voor Gbit/Gbit en PPPoE en wat plugins als suricata etc.

#	Category	Product	Prijs	Subtotaal
1	Processors	Intel Core i5-9400 Boxed	€ 166,35	€ 166,35
1	Barebones	Shuttle XPC XH310RV	€ 263,35	€ 263,35
1	Geheugen intern	Crucial CT8G4SFS8266	€ 38,-	€ 38,-
1	Solid state drives	Transcend 110S 256GB	€ 35,95	€ 35,95
			Totaal	€ 503,65

[ Voor 3% gewijzigd door TheVMaster op 24-01-2022 22:23 ]

[SkorpionNL]

TheVMaster schreef op maandag 24 januari 2022 @ 22:21:
Na lang puzzelen ben ik voor deze hardware gegaan. Twijfel nog wel of ik OPNsense ga draaien, of PFsense. De hardware moet volgens mij voldoende zijn voor Gbit/Gbit en PPPoE en wat plugins als suricata etc.

#	Category	Product	Prijs	Subtotaal
1	Processors	Intel Core i5-9400 Boxed	€ 166,35	€ 166,35
1	Barebones	Shuttle XPC XH310RV	€ 263,35	€ 263,35
1	Geheugen intern	Crucial CT8G4SFS8266	€ 38,-	€ 38,-
1	Solid state drives	Transcend 110S 256GB	€ 35,95	€ 35,95
			Totaal	€ 503,65

De hardware lijkt mij ook zeker capabel voor je doel!

Wat betreft Pfsense of OPNSense komt het denk ik vooral aan op je eigen voorkeur (GUI, community etc.) Qua mogelijkheden ontloopt het elkaar nauwelijks volgens mij, dat zal dan vooral op verschil in de plug-ins aankomen.

Ik heb zelf OPNSense eerst in een VM gestart om een beetje door te kunnen klikken om te kijken of het mij beviel. Vervolgens heb ik later de hardware besteld.

[PerlinNoise]

TheVMaster schreef op maandag 24 januari 2022 @ 22:21:
Na lang puzzelen ben ik voor deze hardware gegaan. Twijfel nog wel of ik OPNsense ga draaien, of PFsense. De hardware moet volgens mij voldoende zijn voor Gbit/Gbit en PPPoE en wat plugins als suricata etc.

#	Category	Product	Prijs	Subtotaal
1	Processors	Intel Core i5-9400 Boxed	€ 166,35	€ 166,35
1	Barebones	Shuttle XPC XH310RV	€ 263,35	€ 263,35
1	Geheugen intern	Crucial CT8G4SFS8266	€ 38,-	€ 38,-
1	Solid state drives	Transcend 110S 256GB	€ 35,95	€ 35,95
			Totaal	€ 503,65

Een i5-9400 is echt overkill voor KPN PPPoE. Ik draai een Celeron G4900 (op Gbit/Gbit PPPoE) en komt niet boven de 26% CPU uit op full load.
Load average is natuurlijk helemaal belachelijk laag, dus met een aantal extra plugins ook geen probleem.

[TheVMaster]

SkorpionNL schreef op Tuesday 25 January 2022 @ 08:24:
[...]
De hardware lijkt mij ook zeker capabel voor je doel!

Wat betreft Pfsense of OPNSense komt het denk ik vooral aan op je eigen voorkeur (GUI, community etc.) Qua mogelijkheden ontloopt het elkaar nauwelijks volgens mij, dat zal dan vooral op verschil in de plug-ins aankomen.

Ik heb zelf OPNSense eerst in een VM gestart om een beetje door te kunnen klikken om te kijken of het mij beviel. Vervolgens heb ik later de hardware besteld.

Ik wilde eerst voor Pfsense gaan, om Pfblockerng te kunnen draaien. Maar ik heb nu al 2 Pi’s draaien binnen een docker container (op 2 Hyper-V hosts) en die zijn eigenlijk best goed in hun werk. Dus geen noodzaak om pfblocker te draaien. Ga dus voor OPNsense, vindt de interface (en het regelmatig updaten) wel fijner.

[Miki]

TheVMaster schreef op maandag 24 januari 2022 @ 22:21:
Na lang puzzelen ben ik voor deze hardware gegaan. Twijfel nog wel of ik OPNsense ga draaien, of PFsense. De hardware moet volgens mij voldoende zijn voor Gbit/Gbit en PPPoE en wat plugins als suricata etc.

#	Category	Product	Prijs	Subtotaal
1	Processors	Intel Core i5-9400 Boxed	€ 166,35	€ 166,35
1	Barebones	Shuttle XPC XH310RV	€ 263,35	€ 263,35
1	Geheugen intern	Crucial CT8G4SFS8266	€ 38,-	€ 38,-
1	Solid state drives	Transcend 110S 256GB	€ 35,95	€ 35,95
			Totaal	€ 503,65

Hmm de componenten heb ik in de kast liggen, alleen de Shuttle barebone niet. Je brengt me op gedachten

[TheVMaster]

Miki schreef op Tuesday 25 January 2022 @ 09:53:
[...]

Hmm de componenten heb ik in de kast liggen, alleen de Shuttle barebone niet. Je brengt me op gedachten

Ben btw uiteindelijk voor 16 GB ram gegaan, ipv 8 GB. Gewoon omdat het kan

[Teutlepel]

Ik lees dat jullie het ook over VPN performance hebben. Voor een nieuwe thuis router/VPN server wil ik graag 1 Gbit/s kunnen halen met Wireguard VPN (ChaCha20).

Is een Celeron G4900 genoeg voor 1Gbit/s Wireguard VPN?

Op internet lees ik veel verschillende verhalen die varieren van 300-400 mbit/s tot 1 Gbit/s met deze CPU. Op de Wireguard site (https://www.wireguard.com/performance/) staat dat een i7 processor zeker genoeg is

Maar dit lijkt mij zwaar overkill toch? Iemand ervaring?

[nero355]

PerlinNoise schreef op dinsdag 25 januari 2022 @ 08:51:
Een i5-9400 is echt overkill voor KPN PPPoE. Ik draai een Celeron G4900 (op Gbit/Gbit PPPoE) en komt niet boven de 26% CPU uit op full load.
Load average is natuurlijk helemaal belachelijk laag, dus met een aantal extra plugins ook geen probleem.

[Afbeelding]

Die 26% zegt al genoeg : 1 Core die op zijn max staat te stampen om die (gelijktijdige ?!) 100 MB/s download en 100 MB/s Upload te verwerken!

Een i5 is zeker overkill voor zoiets, tenzij je flink met IDS/IPS aan de gang gaat en heel veel Firewall regels en dergelijke, maar een i3 is echt niet verkeerd!

Ik vraag me trouwens of die AES-NI van je CPU nog enig effect heeft op het geheel

Teutlepel schreef op dinsdag 25 januari 2022 @ 12:40:
Ik lees dat jullie het ook over VPN performance hebben. Voor een nieuwe thuis router/VPN server wil ik graag 1 Gbit/s kunnen halen met Wireguard VPN (ChaCha20).

Is een Celeron G4900 genoeg voor 1Gbit/s Wireguard VPN?

Op internet lees ik veel verschillende verhalen die varieren van 300-400 mbit/s tot 1 Gbit/s met deze CPU. Op de Wireguard site (https://www.wireguard.com/performance/) staat dat een i7 processor zeker genoeg is

Maar dit lijkt mij zwaar overkill toch? Iemand ervaring?

1 Gbps via VPN is wel heel erg veel vragen van je setup!

Wat ben je allemaal wel niet van plan ?!

[Tom Paris]

nero355 schreef op dinsdag 25 januari 2022 @ 14:10:
[...]

Die 26% zegt al genoeg : 1 Core die op zijn max staat te stampen om die (gelijktijdige ?!) 100 MB/s download en 100 MB/s Upload te verwerken!

Dat kun je uit alleen het percentage niet afleiden... Wel kun je in je system activity nagaan of/hoe de load verdeeld wordt over de cores. Zeker met PPPoE kan het nuttig zijn om hier een system tunable voor in te stellen als die verdeling er niet (of niet goed) is: net.isr.dispatch=deferred

[nero355]

Tom Paris schreef op dinsdag 25 januari 2022 @ 14:34:
Dat kun je uit alleen het percentage niet afleiden... Wel kun je in je system activity nagaan of/hoe de load verdeeld wordt over de cores.

Dat percentage is de Load over ALLE Cores dus dat zegt wel degelijk iets over hoeveel je het systeem met PPPoE belast!

Zeker met PPPoE kan het nuttig zijn om hier een system tunable voor in te stellen als die verdeling er niet (of niet goed) is: net.isr.dispatch=deferred

Volgens mij had iemand al een keer zoiets gepost, maar IMHO is het niet verkeerd om het af en toe te herhalen!

[Tom Paris]

nero355 schreef op dinsdag 25 januari 2022 @ 14:37:
[...]

Dat percentage is de Load over ALLE Cores dus dat zegt wel degelijk iets over hoeveel je het systeem met PPPoE belast!

Dit klopt ja, maar in je vorige post claim je dat 1 core volledig belast wordt en de rest niets doet:

1 Core die op zijn max staat te stampen

[nero355]

Tom Paris schreef op dinsdag 25 januari 2022 @ 14:39:
Dit klopt ja, maar in je vorige post claim je dat 1 core volledig belast wordt en de rest niets doet:

Omdat het effectief daar wel op neerkomt :

- 4 Core CPU
- 26% belast
=
Grofweg 1% voor het OS en 25% van 4 dus 1 Core die je volledig benut voor PPPoE

Had er 51%/76% gestaan of iets in die richting dan kan je veilig stellen dat het geen Single Core process is en je dus in het ergste geval alle 4 Cores zou kunnen gebruiken...

En dat er zoiets als Multi-Threaded Single Core software bestaat weten we al jarenlang natuurlijk!

[Tom Paris]

nero355 schreef op dinsdag 25 januari 2022 @ 14:46:
[...]

Omdat het effectief daar wel op neerkomt :

- 4 Core CPU
- 26% belast
=
Grofweg 1% voor het OS en 25% van 4 dus 1 Core die je volledig benut voor PPPoE

Had er 51%/76% gestaan of iets in die richting dan kan je veilig stellen dat het geen Single Core process is en je dus in het ergste geval alle 4 Cores zou kunnen gebruiken...

En dat er zoiets als Multi-Threaded Single Core software bestaat weten we al jarenlang natuurlijk!

Dit is echt fundamenteel onjuist. Waarom kan 26% niet 2x 13 zijn, of 18 + 8, of welke andere combinatie... @PerlinNoise geeft aan "een aantal extra plugins" te draaien (kun je ook wel afleiden aan het geheugengebruik), dus je kunt echt niet stellen dat PPPoE hier 25% trekt en daarmee een enkele core vol gebruikt.

[nero355]

Tom Paris schreef op dinsdag 25 januari 2022 @ 14:55:
Dit is echt fundamenteel onjuist. Waarom kan 26% niet 2x 13 zijn, of 18 + 8, of welke andere combinatie... @PerlinNoise geeft aan "een aantal extra plugins" te draaien (kun je ook wel afleiden aan het geheugengebruik), dus je kunt echt niet stellen dat PPPoE hier 25% trekt en daarmee een enkele core vol gebruikt.

Hij doet een benchmark voor PPPoE dus ik neem aan dat hij dat wel op een moment heeft gedaan waarop al die andere zaken niet de boel verpesten of ze desnoods effe kort heeft uitgezet...

En JA : I assumed! So what ?! Sue me!

[Tom Paris]

nero355 schreef op dinsdag 25 januari 2022 @ 14:59:
[...]
En JA : I assumed! So what ?! Sue me!

Nou nee niet 'sue me', maar er komen hier vaak vragen voorbij over minimum specs, veelal icm gigabit PPPoE. Als hier dan op basis van alleen een percentage en veel aannames gesteld word dat een bepaalde processor helemaal dichtgetrokken wordt op 1 core terwijl dat veel genuanceerder ligt, helpt dat die discussie niet.

[Vorkie]

Ik heb met mijn machine, die je ergens hier kan terugvinden, niet die optie aangezet en haal gewoon 1Gbit/s over die PPPoE van KPN glasvezel.

Intel(R) Core(TM) i3-6100 CPU
Intel I350-T2

Ik heb zelfs alle 3 de opties hier beneden niets aangevinkt living on the edge!
Disable hardware checksum offload
Disable hardware TCP segmentation offload
Disable hardware large receive offload

[Ankh]

nero355 schreef op dinsdag 25 januari 2022 @ 14:46:
[...]

Omdat het effectief daar wel op neerkomt :

- 4 Core CPU
- 26% belast
=
Grofweg 1% voor het OS en 25% van 4 dus 1 Core die je volledig benut voor PPPoE

Had er 51%/76% gestaan of iets in die richting dan kan je veilig stellen dat het geen Single Core process is en je dus in het ergste geval alle 4 Cores zou kunnen gebruiken...

En dat er zoiets als Multi-Threaded Single Core software bestaat weten we al jarenlang natuurlijk!

Maar de CPU is geen 4 cores, maar 2.. (Celeron G4900)

[nero355]

Ankh schreef op dinsdag 25 januari 2022 @ 15:17:
Maar de CPU is geen 4 cores, maar 2.. (Celeron G4900)

AWKWARD!!!

Dat hele ding wijkt af van zijn meeste soortgenoten : https://ark.intel.com/con...or-2m-cache-3-10-ghz.html
- Geen Quad Core
- Geen HyperThreading
- Wel VT-D

Dan weet ik het ook niet meer...

[Ankh]

nero355 schreef op dinsdag 25 januari 2022 @ 18:27:
[...]

AWKWARD!!!

Dat hele ding wijkt af van zijn meeste soortgenoten : https://ark.intel.com/con...or-2m-cache-3-10-ghz.html
- Geen Quad Core
- Geen HyperThreading
- Wel VT-D

Dan weet ik het ook niet meer...

Haha
Maar eigenlijk wel een nette CPU voor z'n doel, geen poespas gewoon veel GHz (3.1). En dat is vooral lekker bij PPPOE verbindingen

[PerlinNoise]

Ankh schreef op dinsdag 25 januari 2022 @ 18:37:
[...]

Haha
Maar eigenlijk wel een nette CPU voor z'n doel, geen poespas gewoon veel GHz (3.1). En dat is vooral lekker bij PPPOE verbindingen

Ik heb deze niet voor niets uitgezocht.
Oa ook laag verbuik en niet duur in aanschaf.

[ Voor 7% gewijzigd door PerlinNoise op 25-01-2022 19:10 ]

[TheVMaster]

Ik snap er niets van. Heb mijn Shuttle geconfigureerd en haal (op mijn Gbit lijn) maximaal 90 Mbps/90Mbps

Solved, stomme switches die vonden dat ze onderling maar 100Mbps moesten praten

[ Voor 30% gewijzigd door TheVMaster op 26-01-2022 23:30 ]

[Miki]

TheVMaster schreef op woensdag 26 januari 2022 @ 21:58:
Ik snap er niets van. Heb mijn Shuttle geconfigureerd en haal (op mijn Gbit lijn) maximaal 90 Mbps/90Mbps

Ik vermoed iets van Auto > 100 > 1Gbit (full duplex) instelling aan je WAN kant. Ik weet dat routers in algemene zin hier wel eens last van hebben, met name in de auto stand.

Edit: net gejat uit een topic op internet

Check Interface status page and verify WAN is up, dhcp is up, has IPv4 address, and that the speed link is 1000BaseT Full Duplex

[ Voor 23% gewijzigd door Miki op 26-01-2022 22:33 ]

[TheVMaster]

Miki schreef op Wednesday 26 January 2022 @ 22:30:
[...]

Ik vermoed iets van Auto > 100 > 1Gbit (full duplex) instelling aan je WAN kant. Ik weet dat routers in algemene zin hier wel eens last van hebben, met name in de auto stand.

Edit: net gejat uit een topic op internet

[...]

Heeft het nog zin om aan deze instellingen te zitten, dat wil zeggen (ze staan standaard disabled) de vonkjes weghalen? De snelheid lijkt (via een speediest op mijn Apple TV) nu wel goed. Raar, want speedtest vanaf een bekabelde pc gaf dus die 90Mbps….

[ Voor 7% gewijzigd door TheVMaster op 26-01-2022 22:58 ]