Zelfbouw project: Firewall / Router / AP

[D43m0n]

stormfly schreef op woensdag 14 september 2022 @ 15:51:
[...]


https://www.belastingdien...akket-bestel-buiten-de-eu

Ja of niet, typisch een overheid website.

BTW: zit al in het Ali tarief
Invoerrechten: staat op 0% in de tabel
Inklaringskosten: die blijven dan als enige over?


EDIT:

[Afbeelding]

Dank voor de link. Zoals ik het lees moet je altijd BTW betalen voor bestellingen buiten de EU. Het is volgens die link niet duidelijk aan te geven wanneer je invoerrechten betaald. Maar als je die wel moet betalen, dan moet je die berekenen over de kale prijs + verzendkosten + verzekeringskosten. De BTW betaal je daar nog eens overheen, dus ook over die invoerrechten. Maar de BTW heb ik bij "nu betalen" al afgerekend. Mag ik dan concluderen dat invoerrechten dan of al inclusief het afgerekende bedrag zijn, of niet van toepassing?

Het voorbeeld daaronder bevestigd dat min of meer; daar besteld men een kabel van €4,95. Dit ligt onder de grens van €150, waardoor geen invoerrechten verschuldigd zijn (de kale prijs is €146,99). De verzendkosten in het voorbeeld zijn €3,80. De BTW wordt dan berekend over de kale prijs + verzendkosten. Bij mijn bestelling zijn de verzendkosten €0,-.

Als ik dit goed interpreteer (en ik denk dat ik dat doe), dan ontloop je invoerrechten als je de kale uitvoering bestelt zonder geheugen en opslag, omdat je daarmee onder die €150,- blijft.

[Sp33dFr34k]

D43m0n schreef op woensdag 14 september 2022 @ 16:17:
Toch maar geklikt op "Betalen". Ook maar vast M2 SSD, SODIMM en koelpasta ergens bestellen. Ik ga 't wel meemaken hoe lang 't duurt voordat ie binnen is en of er nog inklaringskosten bij komen. Op Amazon vind ik vergelijkbare kastjes maar die zijn zonder geheugen en opslag duurder en daar komt ook nog iets van €20 tot €35 verzendkosten nog bij.

Soms moet je gewoon een gokje wagen.

Je hebt die besteld van mijn link? Goede keuze denk ik. Ik heb hem inmiddels ook besteld, maar bij de Topton Computer Store, kwam een paar euro goedkoper uit Ik ben benieuwd. Weet alleen nog niet zeker of ik hier ook weer Proxmox op ga draaien, mij lijkt OPNSense als baremetal OS wat stabieler?

[D43m0n]

Ik ben op dit moment nog van plan om er OpenWRT bare metal op te gaan draaien. Daarvoor is deze CPU mogelijk wel een beetje overkill maar gezien de prijs op dat moment is dat model dan ook qua specs voldoende toekomstbestendig. Mechanische onderdelen zoals een fan of HDD zitten er ook niet in waardoor er geen mechanische slijtage is.

Misschien dat ik later alsnog besluit om te virtualiseren, omdat dit kastje dat met gemak zou moeten kunnen trekken. De keuze voor OpenWRT is overigens niet alleen PPPoE en meerdere cores, maar ook omdat ik routers met OpenWRT als dumb AP gebruik. Om de routing- en "distributie"-laag op hetzelfde platform (OpenWRT) te houden vind ik vooral makkelijk. Het is meer van hetzelfde en ik kan er dan prima scripts voor maken. Ik weet dat er iets als OpenWISP bestaat, maar dat gaat me te ver voor een huishouden.

[eymey]

Sp33dFr34k schreef op donderdag 15 september 2022 @ 08:54:
[...]


Je hebt die besteld van mijn link? Goede keuze denk ik. Ik heb hem inmiddels ook besteld, maar bij de Topton Computer Store, kwam een paar euro goedkoper uit Ik ben benieuwd. Weet alleen nog niet zeker of ik hier ook weer Proxmox op ga draaien, mij lijkt OPNSense als baremetal OS wat stabieler?

Ik heb zelf nog nooit enig nadeel ondervonden van OPNSense als KVM VM onder Proxmox. Draait echt rock solid. Een poosje terug ook wat geklust in huis, nieuwe groepenkast, etc. dus een aantal keer de Thuisserver op andere plekken in huis draaiend gehad, dus shutdowns, reboots, etc, meestal 'headless'.

En elke keer kwam betrouwbaar en zonder consolewerk alles gewoon weer netjes in de lucht, zo lang ik er maar voor zorgde dat het VLAN van de FttH provider en m'n thuis-VLAN's op de goede plek aan kwamen (ja, ik heb op een gegeven moment op m'n Ubiquiti switches de SFP van de FttH verbinding als VLAN 'extended' om voor tijdelijk zowel internet als LAN over 1 UTP kabel te kunnen gooien, kwam zo ff beter uit )

Anderzijds: Als je verwacht dat je de hardware voor het grootste deel nodig gaat hebben voor de OPNSense taak, dan is het vanwege "keep it simple" mss wel handiger om het gewoon bare metal te houden .

[yvanmidden]

Sp33dFr34k schreef op woensdag 14 september 2022 @ 15:53:
[...]


Paging @yvanmidden, help ons eens uit dit dilemma, heb je inklaring moeten betalen?

Neen, ik heb wel bij het betalen nog BTW erbij op gekregen, maar met de Seller's sending method verder geen rekening om nog inklaring of wat dan ook te betalen.

[yvanmidden]

Sp33dFr34k schreef op woensdag 14 september 2022 @ 15:42:
[...]

Ik heb een "server" bakje staan met Proxmox en een 7-tal LXC's/VM's, voor mij zou dit ding puur als router moeten gaan functioneren. Of is het daarvoor dan een beetje over the top, dat je toch met Proxmox erbij aan de slag gaat...?

[...]

Er staat bij standaardverzending, NO TAX, 3-10 dagen van China naar de EU, gratis verzonden. Klinkt goed?

Ik wil er ook nog Homeassistant en TVHeadend naast draaien, en die wil ik niet in mijn router OS hebben. Vandaar dat ik nog een losse Ubuntu VM met Docker of iets dergelijks ga optuigen.

Die standaardverzending was voor mij uitstekend: binnen 3 weken was het binnen zonder dus extra inklaringskosten.

[yvanmidden]

stormfly schreef op woensdag 14 september 2022 @ 15:33:
[...]


Cool kan je eens meten wat het stroomverbruik is van het apparaat als je er alleen *Sense op draait? Heb nu een intel NUC i3-7100U

Geekbench
Single 675 en Multi 1512: i3-7100U
Single 675 en Multi 2000: N5105

Zoek vooral, oriënterend, naar iets met meer LAN porten dan de NUC. Nu gebruikt KPN PPPoE en dan blijft de singlecore performance het belangrijkste

Ga ik doen zodra ik de router-setup draaiend heb in 'productie'!

[D43m0n]

yvanmidden schreef op donderdag 15 september 2022 @ 14:12:
[...]


Neen, ik heb wel bij het betalen nog BTW erbij op gekregen, maar met de Seller's sending method verder geen rekening om nog inklaring of wat dan ook te betalen.

Heb je bij het plaatsen van de bestelling (bij de knop "Nu betalen") BTW afgerekend? Als je dat wel gedaan hebt bij plaatsen van de bestelling, heb je dan 2x BTW betaald?

[kmichael]

Ik gebruik ClearOS nu zo'n 8 jaar, helaas zijn ze zeer slecht met updates uitrollen, het raakt behoorlijk outdated en dat is prettig en ook gezien de veiligheid. Aan de berichten te zien die op de forum van ClearOS zijn geplaatst is het een zinkend schip.
Het wordt denk ik tijd om ClearOS te gaan verlaten.


ClearOS is een all in one solution. Ik gebruik een PC als router/firewall/gateway/hosting.

Weet iemand een betere alternatief?
Als ik zoek op de functies die ik gebruik kom ik nagenoeg alleen bij ClearOS terecht.

- Dual Wan (2x 1 gig verbinding)
- Webhosting / PHP & MYSQL (Meerdere websites)
- OpenVPN


Eerder gebruikte ik altijd PFSense maar deze kon de snelheid van mijn internet verbinding toen niet bij benen.
Ik zie berichten dat dit nog steeds voor komt als je een 1000 Mbit verbinding hebt.
Maar in PFSense zit ook geen webserver in.


Weet iemand een alternatieve voor ClearOS of kan ik beter weer bijvoorbeeld PFSense nemen en de webserver op mijn 2e PC installeren?

Het hoeft niet gratis te zijn, maar bijvoorbeeld jaarlijks 200 euro te betalen voor routering software vind ik te duur.

[JaDatIsPeter]

kmichael schreef op zondag 18 september 2022 @ 13:18:
- Webhosting / PHP & MYSQL (Meerdere websites)
[..]
Weet iemand een alternatieve voor ClearOS of kan ik beter weer bijvoorbeeld PFSense nemen en de webserver op mijn 2e PC installeren?

Misschien een virtualisatie laag plaatsen tussen de hardware en pfSense? In een tweede (virtuele) guest kan je dan je webserver, php en mysql optuigen. Zeker als de webhosting voor eigen gebruik is kan je dan prima via VPN je gehoste applicaties benaderen. VirtualBox, ProxMox, ESXi..

[Jan-man]

kmichael schreef op zondag 18 september 2022 @ 13:18:
Ik gebruik ClearOS nu zo'n 8 jaar, helaas zijn ze zeer slecht met updates uitrollen, het raakt behoorlijk outdated en dat is prettig en ook gezien de veiligheid. Aan de berichten te zien die op de forum van ClearOS zijn geplaatst is het een zinkend schip.
Het wordt denk ik tijd om ClearOS te gaan verlaten.


ClearOS is een all in one solution. Ik gebruik een PC als router/firewall/gateway/hosting.

Weet iemand een betere alternatief?
Als ik zoek op de functies die ik gebruik kom ik nagenoeg alleen bij ClearOS terecht.

- Dual Wan (2x 1 gig verbinding)
- Webhosting / PHP & MYSQL (Meerdere websites)
- OpenVPN


Eerder gebruikte ik altijd PFSense maar deze kon de snelheid van mijn internet verbinding toen niet bij benen.
Ik zie berichten dat dit nog steeds voor komt als je een 1000 Mbit verbinding hebt.
Maar in PFSense zit ook geen webserver in.


Weet iemand een alternatieve voor ClearOS of kan ik beter weer bijvoorbeeld PFSense nemen en de webserver op mijn 2e PC installeren?

Het hoeft niet gratis te zijn, maar bijvoorbeeld jaarlijks 200 euro te betalen voor routering software vind ik te duur.

Die 1000 mbit niet halen is vaak de hardware laag die het niet bij beent maar is ook totaal afhankelijk hoeveel plugins je hebt draaien om het verkeer te inspecteren. Ga je vol yolo dpi draaien over je netwerk dan moet je ook vol yolo aan de hardware kant gaan.

Pfsense kan wat dat betreft prima 1000 mbit routeren zolang de hardware maar voldoende is. En dat is met elke router software zo.

[Kapitein187]

Ik ben in het diepe gesprongen en heb deze besteld bij Amazon: https://www.amazon.nl/gp/product/B0BCKVJT1L

N5105, 2.5GbE met de I226.
Las wel dat het alleen werkt momenteel op Pfsense Plus door de drivers.

Voordeel is iets meer gemak met evt garantie via Amazon, voor hetzelfde geld wat ik kwijt zou zijn via Ali.

Overigens twijfel ik nog of ik virtualized moet gaan en mn Hassio verplaatsen van Raspberry Pi4 naar de VM, of het gescheiden houden.

[ Voor 17% gewijzigd door Kapitein187 op 01-10-2022 18:11 ]

[stormfly]

Kapitein187 schreef op zaterdag 1 oktober 2022 @ 18:09:
Ik ben in het diepe gesprongen en heb deze besteld bij Amazon: https://www.amazon.nl/gp/product/B0BCKVJT1L

N5105, 2.5GbE met de I226.
Las wel dat het alleen werkt momenteel op Pfsense Plus door de drivers.

Voordeel is iets meer gemak met evt garantie via Amazon, voor hetzelfde geld wat ik kwijt zou zijn via Ali.

Overigens twijfel ik nog of ik virtualized moet gaan en mn Hassio verplaatsen van Raspberry Pi4 naar de VM, of het gescheiden houden.

Ik zou eerst op bare metal testen, voelen hoe snel alles browsed. En als je dat onder controle hebt en tevreden bent over de performance dan kan je virtualized als hobby opzetten.

Doe je het andersom dan zit je met de 14/30 dagen retourtermijn als de performance toch tegenvalt.

Zomaar een gedachtenkronkel. Ik vond virtualized op een NUC i5 te traag browsen. Zeker bij GoT moet de site al geladen zijn net voordat mijn vinger de muisklik maakt, Dat viel mij tegen bij een virtualized variant, zal zeker voor iedereen persoonlijk zijn.

[Slonzo]

stormfly schreef op zaterdag 1 oktober 2022 @ 20:25:
Zomaar een gedachtenkronkel. Ik vond virtualized op een NUC i5 te traag browsen. Zeker bij GoT moet de site al geladen zijn net voordat mijn vinger de muisklik maakt, Dat viel mij tegen bij een virtualized variant, zal zeker voor iedereen persoonlijk zijn.

Ik merk eerlijk gezegd 0,0 verschil tussen pfSense bare metal of pfSense op ESXi/Proxmox, waar zou het verschil moeten zitten?

[stormfly]

Slonzo schreef op zaterdag 1 oktober 2022 @ 23:38:
[...]

Ik merk eerlijk gezegd 0,0 verschil tussen pfSense bare metal of pfSense op ESXi/Proxmox, waar zou het verschil moeten zitten?

Snelheid van pages die inladen.

[RobertMe]

stormfly schreef op zondag 2 oktober 2022 @ 08:23:
[...]


Snelheid van pages die inladen.

Maar doel je dan op algehele latency van de verbinding? Of op de web UI van PfSense?

[stormfly]

RobertMe schreef op zondag 2 oktober 2022 @ 08:39:
[...]

Maar doel je dan op algehele latency van de verbinding? Of op de web UI van PfSense?

Nee gewoon in het browsen, het is niet veel trager maar wel iets. Ik ben ook iemand die met DNSbench de snelste DNS servers opzoekt. Het is natuurlijk maar net welke hardware, hypervisor en welke load de hypervisor al staat te verstouwen als je pfSense erbij plaatst. Zal voor iedereen een andere uitkomst hebben, vooral omdat het slecht meetbaar is

Volgende week glasvezel, dan wordt mijn snappinesh honger gestild en heb je de max van responsiveness

[Kapitein187]

stormfly schreef op zondag 2 oktober 2022 @ 09:26:
[...]

Nee gewoon in het browsen, het is niet veel trager maar wel iets.

Bedoel je gewoon algemeen internet verkeer via je netwerk. Of brows je daadwerkelijk “op” het systeem?

[stormfly]

Kapitein187 schreef op zondag 2 oktober 2022 @ 12:40:
[...]


Bedoel je gewoon algemeen internet verkeer via je netwerk. Of brows je daadwerkelijk “op” het systeem?

Browsen van clients, gewoon alle clients. Mijn vrouw klaagt niet hoor

Draait op NUCs daar zit niet al te veel performance in.

[Kabouterplop01]

stormfly schreef op zondag 2 oktober 2022 @ 09:26:
[...]


Nee gewoon in het browsen, het is niet veel trager maar wel iets. Ik ben ook iemand die met DNSbench de snelste DNS servers opzoekt. Het is natuurlijk maar net welke hardware, hypervisor en welke load de hypervisor al staat te verstouwen als je pfSense erbij plaatst. Zal voor iedereen een andere uitkomst hebben, vooral omdat het slecht meetbaar is

Volgende week glasvezel, dan wordt mijn snappinesh honger gestild en heb je de max van responsiveness

dus volgende week pihole op een NUC met je cache in RAM? Dan heb je nog fijnere responsiveness. Moet je daar eens DNSbench op loslaten

[stormfly]

Kabouterplop01 schreef op zondag 2 oktober 2022 @ 14:39:
[...]


dus volgende week pihole op een NUC met je cache in RAM? Dan heb je nog fijnere responsiveness. Moet je daar eens DNSbench op loslaten

adguard draait op een SSD volume op de nas daar was al over nagedacht

[bibi2205]

stormfly schreef op zaterdag 1 oktober 2022 @ 20:25:
[...]
Zomaar een gedachtenkronkel. Ik vond virtualized op een NUC i5 te traag browsen. Zeker bij GoT moet de site al geladen zijn net voordat mijn vinger de muisklik maakt, Dat viel mij tegen bij een virtualized variant, zal zeker voor iedereen persoonlijk zijn.

Wat voor NUC en welke specs had je aan de pfSense VM gegeven? Ik ga binnen enkele weken (als alle hardware binnen is) een i5-8400T (6C/6T) inzetten voor o.a. OPNsense en ik hoop genoeg te hebben aan 4 cores voor de firewall (met IDS/IPS).. Er zou verder een Debian VM komen voor enkele kleine Docker containers die niet veel resources nodig hebben. Hypervisor zal waarschijnlijk ESXi worden met een aparte netwerkkaart in passthrough naar de firewall VM.

[LanTao]

Ik heb 'n tijdlang zo m'n router gevirtualiseerd, vooral omdat het kon. Op 'n Celeron 3865U gaf dat bij vlagen nogal wat extra latency als er meer dan een triviale hoeveelheid traffic doorheen ging, waarschijnlijk door het gebrek aan cores. De WAN interface was passthru, LAN was bridged met de host. Misschien werkt het beter met een betere virtualisatie dan FreeBSD's bhyve maar ik vond het geen aanrader.

[Sp33dFr34k]

stormfly schreef op zondag 2 oktober 2022 @ 15:04:
[...]


adguard draait op een SSD volume op de nas daar was al over nagedacht

RAM <> SSD

Maar ik vraag me ook af of het verschil zo merkbaar is tbh. Ik ben ook van plan te gaan virtualiseren (met Proxmox), we zullen het zien I guess.

[m.eddy]

Hier een opzet draaien met een Qotom NUC (6 nics) met Proxmox.

De VM met OpenWRT (ivm PPOE kpn glas 50 mbit u/d) heeft 2 nics via PCI passthrough gekoppeld voor minimale overhead.
Heb de oude router nog wel in de meterkast hangen just in case.

Diverse speedtests gedaan maar lijkt geen verschil met hardware router te geven.
Nog niet gespeeld met meerdere CPU's de hardware router heeft ook 1 cpu. (oude WDR3600)
Momenteel gaat de cpu naar 20 procent bij een speedtest en de vm verbruikt 43 MB van de 256 MB.

Ik ga binnenkort naar 400 mbit u/d en zal dan weer initieel moeten starten met een hardware router ivm switch provider. Dan ga ik weer een vergelijking doen met de VM.

[nero355]

m.eddy schreef op maandag 3 oktober 2022 @ 09:28:
Nog niet gespeeld met meerdere CPU's de hardware router heeft ook 1 cpu. (oude WDR3600)

Alleen kan je dat niet 1:1 vergelijken, want die Router heeft allerlei Offloading Features en daarvoor dus Chips in de SoC zitten

[Guneyd]

*knip*. Goed bedoeld, maar linken naar V&A advertenties is niet de bedoeling.

[ Voor 84% gewijzigd door rens-br op 04-10-2022 12:02 ]

[Kapitein187]

Kapitein187 schreef op zaterdag 1 oktober 2022 @ 18:09:
Ik ben in het diepe gesprongen en heb deze besteld bij Amazon: https://www.amazon.nl/gp/product/B0BCKVJT1L

N5105, 2.5GbE met de I226.
Las wel dat het alleen werkt momenteel op Pfsense Plus door de drivers.

Voordeel is iets meer gemak met evt garantie via Amazon, voor hetzelfde geld wat ik kwijt zou zijn via Ali.

Overigens twijfel ik nog of ik virtualized moet gaan en mn Hassio verplaatsen van Raspberry Pi4 naar de VM, of het gescheiden houden.

Ik heb hem inmiddels een aantal dagen binnen. Hangt in de meterkast en de temperatuur is vrij constant 48 graden.
Voor nu bare metal Pfsense er op, met 1 package (PfBlockerNG). Edit: CPU hier naar 9 procent tijdens speedtest (930Mbit)

Nog steeds twijfels om wellicht Home Assistant en Pfsense te combineren..

[D43m0n]

D43m0n schreef op woensdag 14 september 2022 @ 16:17:
Toch maar geklikt op "Betalen". Ook maar vast M2 SSD, SODIMM en koelpasta ergens bestellen. Ik ga 't wel meemaken hoe lang 't duurt voordat ie binnen is en of er nog inklaringskosten bij komen. Op Amazon vind ik vergelijkbare kastjes maar die zijn zonder geheugen en opslag duurder en daar komt ook nog iets van €20 tot €35 verzendkosten nog bij.

Soms moet je gewoon een gokje wagen.

Ik heb deze nu een weekje draaiend. Eerst met een Gigabyte 256GB NVMe stick, maar daarmee gaat 't powerknopje niet branden. Zonder dat NVMe stickje start ie wel van USB. Een Intenso 250GB NVMe en een Samsung 980 256GB NVMe maken dat ie wel aan wil gaan. Op die Samsung 980 draait nu OpenWRT 22.03. Ik heb er 1 SODIMM van 4GB in zitten en ben 'm aan het indraaien of de hardware stabiel blijft. Met 1 netwerkpoort actief is het idle stroomverbruik net geen 5W en is de temperatuur zo'n 35 graden. Als ik met stress een half uur lang de CPU's op 100% zet, dan is het stroomverbruik net geen 20W. De temperatuur loopt dan gestaag op tot zo'n 70 graden. Dan kan ik de hand niet meer op de behuizing laten liggen. Wanneer stress klaar is, zakt de temperatuur binnen enkele minuten weer terug naar zo'n 35 graden. De CPU wordt in dat halve uur niet naar beneden geklokt qua kloksnelheid. Ik heb wel vooraf zelf nieuwe/extra koelpasta tussen CPU en behuizing gedaan.

[ Voor 2% gewijzigd door D43m0n op 11-10-2022 16:29 . Reden: Link naar product toegevoegd ]

[RobertMe]

D43m0n schreef op dinsdag 11 oktober 2022 @ 15:21:
[...]


Ik heb deze nu een weekje draaiend. Eerst met een Gigabyte 256GB NVMe stick, maar daarmee gaat 't powerknopje niet branden. Zonder dat NVMe stickje start ie wel van USB. Een Intenso 250GB NVMe en een Samsung 980 256GB NVMe maken dat ie wel aan wil gaan. Op die Samsung 980 draait nu OpenWRT 22.03. Ik heb er 1 SODIMM van 4GB in zitten en ben 'm aan het indraaien of de hardware stabiel blijft. Met 1 netwerkpoort actief is het idle stroomverbruik net geen 5W en is de temperatuur zo'n 35 graden. Als ik met stress een half uur lang de CPU's op 100% zet, dan is het stroomverbruik net geen 20W. De temperatuur loopt dan gestaag op tot zo'n 70 graden. Dan kan ik de hand niet meer op de behuizing laten liggen. Wanneer stress klaar is, zakt de temperatuur binnen enkele minuten weer terug naar zo'n 35 graden. De CPU wordt in dat halve uur niet naar beneden geklokt qua kloksnelheid. Ik heb wel vooraf zelf nieuwe/extra koelpasta tussen CPU en behuizing gedaan.

Zou je even een modelnaam / nummer en/of linkje erbij willen zetten? De quote van je "besteld" bericht staat het ook niet in en dan wordt het helemaal een puzzel werkje.

Verder wel interessante getallen qua stroomverbruik en temperatuur. Vandaar mijn interesse.

[dajappie]

Kapitein187 schreef op dinsdag 11 oktober 2022 @ 14:38:
[...]
Edit: CPU hier naar 9 procent tijdens speedtest (930Mbit)

Op KPN PPPoE? Dit ivm de FreeBSD performance met PPPoE was ik beetje huiverig om de knoop door te hakken met een vergelijkbare N5105/N6005. Nu toch de EB12 maar even vervangen door mijn oude USG3 en die trekt prima 940 Mbit/s met PPPoE incl. IPTV dus deze uitgave voor nu maar even uitgesteld....

[D43m0n]

RobertMe schreef op dinsdag 11 oktober 2022 @ 15:40:
[...]

Zou je even een modelnaam / nummer en/of linkje erbij willen zetten? De quote van je "besteld" bericht staat het ook niet in en dan wordt het helemaal een puzzel werkje.

Verder wel interessante getallen qua stroomverbruik en temperatuur. Vandaar mijn interesse.

Ik heb de post bijgewerkt met een linkje naar het gekochte product. Ik ben ook aangenaam verrast door de getallen qua temperatuur en stroomverbruik. Zoals gezegd heb ik zelf koelpasta tussen cpu en koper blok en tussen koper blok en behuizing gedaan. Naar mijn idee kon er meer tussen. Daarnaast heb ik in BIOS wat power saving settings aangezet, de ingevulde waarden heb ik op default laten staan. OpenWRT is natuurlijk een minimalistisch OS, maar dit verbruik met die temperaturen zijn met dit kastje dus wel mogelijk

[Kapitein187]

dajappie schreef op dinsdag 11 oktober 2022 @ 15:46:
[...]


Op KPN PPPoE? Dit ivm de FreeBSD performance met PPPoE was ik beetje huiverig om de knoop door te hakken met een vergelijkbare N5105/N6005. Nu toch de EB12 maar even vervangen door mijn oude USG3 en die trekt prima 940 Mbit/s met PPPoE incl. IPTV dus deze uitgave voor nu maar even uitgesteld....

Nee ik zit bij Ziggo.

[stormfly]

D43m0n schreef op dinsdag 11 oktober 2022 @ 15:21:
[...]


Ik heb deze nu een weekje draaiend. Eerst met een Gigabyte 256GB NVMe stick, maar daarmee gaat 't powerknopje niet branden. Zonder dat NVMe stickje start ie wel van USB. Een Intenso 250GB NVMe en een Samsung 980 256GB NVMe maken dat ie wel aan wil gaan. Op die Samsung 980 draait nu OpenWRT 22.03. Ik heb er 1 SODIMM van 4GB in zitten en ben 'm aan het indraaien of de hardware stabiel blijft. Met 1 netwerkpoort actief is het idle stroomverbruik net geen 5W en is de temperatuur zo'n 35 graden. Als ik met stress een half uur lang de CPU's op 100% zet, dan is het stroomverbruik net geen 20W. De temperatuur loopt dan gestaag op tot zo'n 70 graden. Dan kan ik de hand niet meer op de behuizing laten liggen. Wanneer stress klaar is, zakt de temperatuur binnen enkele minuten weer terug naar zo'n 35 graden. De CPU wordt in dat halve uur niet naar beneden geklokt qua kloksnelheid. Ik heb wel vooraf zelf nieuwe/extra koelpasta tussen CPU en behuizing gedaan.

Leuk dat je het terugkoppelt!

Hij is nu "slechts" 151euro, heb jij nog importheffingen moeten betalen? Kan je ons een schetsen wat hij netto heeft gekost toen je hem in handen kreeg?

No-TAX in de banner

[D43m0n]

Ik heb €170,75 betaald inclusief BTW, daar zijn geen importheffing bij gekomen. Volgens mij was het €146 ongeveer exclusief BTW, bij het afrekenen van de bestelling zag ik dat bedrag van €170,75. Ik heb gekozen voor de “slow & cheap” verzendmethode. Op 14 september besteld en op 27 september is het pakketje afgeleverd. Sinds 4 oktober heb ik ‘m met die Samsung 980 draaien, tot nog toe stabiel.

[ Voor 17% gewijzigd door D43m0n op 11-10-2022 21:33 . Reden: Ex BTW bedrag toegevoegd ]

[Lisadr]

stormfly schreef op dinsdag 11 oktober 2022 @ 21:15:
[...]


Leuk dat je het terugkoppelt!

Hij is nu "slechts" 151euro, heb jij nog importheffingen moeten betalen? Kan je ons een schetsen wat hij netto heeft gekost toen je hem in handen kreeg?

No-TAX in de banner

[Afbeelding]

Geschatte levering op 18 dec met gratis verzending.

[D43m0n]

Bij mij was de geschatte levering halverwege november. Dat bleek enorm mee te vallen.

[Frogmen]

kmichael schreef op zondag 18 september 2022 @ 13:18:
Ik gebruik ClearOS nu zo'n 8 jaar, helaas zijn ze zeer slecht met updates uitrollen, het raakt behoorlijk outdated en dat is prettig en ook gezien de veiligheid. Aan de berichten te zien die op de forum van ClearOS zijn geplaatst is het een zinkend schip.
Het wordt denk ik tijd om ClearOS te gaan verlaten.


ClearOS is een all in one solution. Ik gebruik een PC als router/firewall/gateway/hosting.

Weet iemand een betere alternatief?
Als ik zoek op de functies die ik gebruik kom ik nagenoeg alleen bij ClearOS terecht.

- Dual Wan (2x 1 gig verbinding)
- Webhosting / PHP & MYSQL (Meerdere websites)
- OpenVPN


Eerder gebruikte ik altijd PFSense maar deze kon de snelheid van mijn internet verbinding toen niet bij benen.
Ik zie berichten dat dit nog steeds voor komt als je een 1000 Mbit verbinding hebt.
Maar in PFSense zit ook geen webserver in.


Weet iemand een alternatieve voor ClearOS of kan ik beter weer bijvoorbeeld PFSense nemen en de webserver op mijn 2e PC installeren?

Het hoeft niet gratis te zijn, maar bijvoorbeeld jaarlijks 200 euro te betalen voor routering software vind ik te duur.

De basis CentOS 7 wordt nog steeds geupdated je kan hooguit met de PHP versie moeilijk komen te zitten. Draai het zelf ook al jaren maar zie nog geen reden voor overstappen zie ook niets beters. Het heeft ook alles te maken met CentOS en wat zich daar afspeelt.

[GioStyle]

stormfly schreef op dinsdag 11 oktober 2022 @ 21:15:
[...]


Leuk dat je het terugkoppelt!

Hij is nu "slechts" 151euro, heb jij nog importheffingen moeten betalen? Kan je ons een schetsen wat hij netto heeft gekost toen je hem in handen kreeg?

No-TAX in de banner

[Afbeelding]

€ 145,39 als ik nu afreken. Plus nog een klein tientje aan cashback bij CashbackXL. Twijfel, twijfel.

[stormfly]

GioStyle schreef op woensdag 12 oktober 2022 @ 13:44:
[...]


€ 145,39 als ik nu afreken. Plus nog een klein tientje aan cashback bij CashbackXL. Twijfel, twijfel.

Ik zag nog een pop-up dat je boven de 100 nog 10 korting kreeg met code “LEGE” maar die werkt niet. Denk dat ik hem verkeerd onthouden heb.

Ik wil eerst volgende week kijken hoe mijn CPU load is op de NUC i3-7100 met KPN PPPoE. Als dat laag blijft met een TB download op de nas, dan kan die N5105 het ook wel aan.

De benchmarks lijken hoger van de N5105. In de NUC zit de laptop variant van de CPU.

Nog even wachten op KPN

[GioStyle]

@stormfly

US $10 korting
Op bestellingen van US $100
Code:
LGE10

Maar dat is alleen op geselecteerde producten. Daar valt de Topton helaas niet onder.

Ik merk wel op dat als je nu wil afrekenen dat er nog 21% btw bijkomt.. Vreemd.. Voorheen was het altijd al inclusief btw.

[ Voor 26% gewijzigd door GioStyle op 12-10-2022 14:19 ]

[nero355]

stormfly schreef op woensdag 12 oktober 2022 @ 14:05:
Ik wil eerst volgende week kijken hoe mijn CPU load is op de NUC i3-7100 met KPN PPPoE.
Als dat laag blijft met een TB download op de nas, dan kan die N5105 het ook wel aan.

De benchmarks lijken hoger van de N5105. In de NUC zit de laptop variant van de CPU.

Gevaarlijke aannames!

Ik zou echt effe goed uitzoeken of dat wel daadwerkelijk zo is en misschien zelfs die twee eerst zelf benchmarken indien mogelijk!

Wat ik ook altijd lastig vind in dat hele verhaal is dat men vaak Download/Upload apart test en nooit TEGELIJK om te kijken hoe hoog de CPU belasting is op dat moment!

[stormfly]

GioStyle schreef op woensdag 12 oktober 2022 @ 14:17:
@stormfly


[...]
Ik merk wel op dat als je nu wil afrekenen dat er nog 21% btw bijkomt.. Vreemd.. Voorheen was het altijd al inclusief btw.

Voorheen = vanmorgen. Had hem toen nog voor 146 in het mandje....bijzonder.

[Tortelli]

nero355 schreef op woensdag 12 oktober 2022 @ 16:15:
[...]

Gevaarlijke aannames!

Ik zou echt effe goed uitzoeken of dat wel daadwerkelijk zo is en misschien zelfs die twee eerst zelf benchmarken indien mogelijk!

Wat ik ook altijd lastig vind in dat hele verhaal is dat men vaak Download/Upload apart test en nooit TEGELIJK om te kijken hoe hoog de CPU belasting is op dat moment!

Ik zit zelf ook wat rond te kijken, maar welke hardware je nu echt nodig hebt om Gbit PPPoE vol te trekken is mij een raadsel met pfsense / opnsense.
N6005 of N5105 zijn de snelste van een merk als Topton zover ik kan zien.

[stormfly]

Tortelli schreef op woensdag 12 oktober 2022 @ 21:34:
[...]


Ik zit zelf ook wat rond te kijken, maar welke hardware je nu echt nodig hebt om Gbit PPPoE vol te trekken is mij een raadsel met pfsense / opnsense.
N6005 of N5105 zijn de snelste van een merk als Topton zover ik kan zien.

Als ik het goed heb begrepen kan je in de benchmark naar de single core CPU resultaten kijken, omdat PPPoE op één core draait.

[nero355]

Tortelli schreef op woensdag 12 oktober 2022 @ 21:34:
Ik zit zelf ook wat rond te kijken, maar welke hardware je nu echt nodig hebt om Gbit PPPoE vol te trekken is mij een raadsel met pfsense / opnsense.
N6005 of N5105 zijn de snelste van een merk als Topton zover ik kan zien.

Met een i3 9100 zit je in ieder geval veilig voor zover ik het me goed herinner en de Search bovenaan lijkt het met me eens te zijn : Search naar i3 9100 in 'Zelfbouw project: Firewall / Router / AP'

Dus gewoon een CPU zoeken die net zo goed is en dan kan het eigenlijk niet misgaan!


_{Tenzij er brakke Intel NIC's in zitten of RealTek NIC's die niet worden ondersteund dus zoek dat ook effe goed uit!}

[Tortelli]

Begrijp van een kennis dat een Core i3 (i3 7100u) en 4GB ram voldoet om Gbit vol te trekken (KPN).
Zo'n Pentium Silver N6005 lijkt in alle benchmarks sneller te zijn. Kortom dat zou moeten voldoen.

[Dacuuu]

nero355 schreef op woensdag 12 oktober 2022 @ 22:38:
[...]

Met een i3 9100 zit je in ieder geval veilig voor zover ik het me goed herinner en de Search bovenaan lijkt het met me eens te zijn : Search naar i3 9100 in 'Zelfbouw project: Firewall / Router / AP'

Dus gewoon een CPU zoeken die net zo goed is en dan kan het eigenlijk niet misgaan!


_{Tenzij er brakke Intel NIC's in zitten of RealTek NIC's die niet worden ondersteund dus zoek dat ook effe goed uit!}

Hier trek ik netjes 1gbit tmobile glas op mijn opnsense i3-9100 cpu. Cpu geeft geen krimp.

[Tom Paris]

Dacuuu schreef op donderdag 13 oktober 2022 @ 18:21:
[...]


Hier trek ik netjes 1gbit tmobile glas op mijn opnsense i3-9100 cpu. Cpu geeft geen krimp.

T-Mobile is geen PPPoE (toch?), en daar gaat het juist om bij CPU belasting.

[Dacuuu]

Tom Paris schreef op donderdag 13 oktober 2022 @ 18:39:
[...]


T-Mobile is geen PPPoE (toch?), en daar gaat het juist om bij CPU belasting.

Klopt.

[nero355]

Dacuuu schreef op donderdag 13 oktober 2022 @ 18:21:
Hier trek ik netjes 1gbit tmobile glas op mijn opnsense i3-9100 cpu. Cpu geeft geen krimp.

T-Mobile is alleen DHCP aan de WAN kant in VLAN 300 en zelfs IPTV werkt tegenwoordig op die manier als Unicast verkeer

Wat echter interessant kant zijn : Draai je iets van IDS/IPS toevallig ?!

Ik ben dan wel benieuwd naar de CPU belasting en geheugengebruik en zo...

[Videopac]

Als ik me goed herinner haalde ik zelfs met een J4105 930-940Mb/s op KPN PPPoE.

[ Voor 17% gewijzigd door Videopac op 14-10-2022 10:43 ]

[MuVo]

Dit jaar ben ik verhuist, heb ik een nieuw netwerk met meerdere subnets (4) en meerdere vlans (6) voor wifi, daarbij heb ik 1 IOT subnet en 1 IOT vlan. Verder maak ik gebruik van Pfsense Plus (meest recente versie).
Het blijft voor mij iedere keer een gevecht om Hue en Homekit goed werkend te krijgen over meerdere subnets en vlans.

Momenteel heb ik de communicatie tussen Hue Bridge en de Apple TV Homekit Hub goed werkend door het IOT subnet en IOT vlan t bridge. Dit is een oplossing welke ik eigenlijk niet wil gebruiken omdat de bridge als een verkapte switch gebruikt wordt en overhead in PFsense creëert.

Ik heb naar mijns inziens de juiste mdns, Bonjour poorten ingesteld en de mdns Avahi package geïnstalleerd en ingesteld.
Met deze configuratie werken mijn lichten prima maar andere accessoires zoals de Hue dimmer switch en motion sensor werken niet met homekit:
- Switch is zichtbaar en actief binnen homekit
- Switch registreert geen ingedrukte knoppen, lampen gaan bijvoorbeeld niet aan.
- Motion sensor is actief binnen homekit
- Motion sensor registreert temperatuur en lux
- Motion sensor schakelt geen licht in bij beweging met een Automation regel. 3 motion sensor werken op deze manier.
- Ik zie wel de bewegingen binnen de Hue app.
- 1 motion sensor uit mijn oude huis heeft gewerkt, maar na aanpassingen in pfsense werkt deze niet meer.
- 2 andere motion sensors zijn nieuw.
Configuratie Avahi:


Floating rules:


Heef iemand ideeën wat een juist hue/homekit setup is in Pfsense?

Edit:
- Ik heb de Hue bridge ook verplaats en van Zigbee kanaal gewisseld om range probelemen uit te sluiten.
- Mijn Pfsense firewall log loopt vol met ipv6:5353 ipv6 geblokeerde adressen, terwijl ik geen ipv6 uitdeel via pfsense.

[ Voor 7% gewijzigd door MuVo op 18-10-2022 09:27 ]

[stormfly]

MuVo schreef op dinsdag 18 oktober 2022 @ 09:14:
Dit jaar ben ik verhuist, heb ik een nieuw netwerk met meerdere subnets (4) en meerdere vlans (6) voor wifi, daarbij heb ik 1 IOT subnet en 1 IOT vlan. Verder maak ik gebruik van Pfsense Plus (meest recente versie).
Het blijft voor mij iedere keer een gevecht om Hue en Homekit goed werkend te krijgen over meerdere subnets en vlans.

Momenteel heb ik de communicatie tussen Hue Bridge en de Apple TV Homekit Hub goed werkend door het IOT subnet en IOT vlan t bridge. Dit is een oplossing welke ik eigenlijk niet wil gebruiken omdat de bridge als een verkapte switch gebruikt wordt en overhead in PFsense creëert.

Ik heb naar mijns inziens de juiste mdns, Bonjour poorten ingesteld en de mdns Avahi package geïnstalleerd en ingesteld.
Met deze configuratie werken mijn lichten prima maar andere accessoires zoals de Hue dimmer switch en motion sensor werken niet met homekit:
- Switch is zichtbaar en actief binnen homekit
- Switch registreert geen ingedrukte knoppen, lampen gaan bijvoorbeeld niet aan.
- Motion sensor is actief binnen homekit
- Motion sensor registreert temperatuur en lux
- Motion sensor schakelt geen licht in bij beweging met een Automation regel. 3 motion sensor werken op deze manier.
- Ik zie wel de bewegingen binnen de Hue app.
- 1 motion sensor uit mijn oude huis heeft gewerkt, maar na aanpassingen in pfsense werkt deze niet meer.
- 2 andere motion sensors zijn nieuw.
Configuratie Avahi:
[Afbeelding]

Floating rules:
[Afbeelding]

Heef iemand ideeën wat een juist hue/homekit setup is in Pfsense?

Edit:
- Ik heb de Hue bridge ook verplaats en van Zigbee kanaal gewisseld om range probelemen uit te sluiten.
- Mijn Pfsense firewall log loopt vol met ipv6:5353 ipv6 geblokeerde adressen, terwijl ik geen ipv6 uitdeel via pfsense.

Een veelgemaakte fout is het bouwen van een secure omgeving en bij start alles dicht zetten, je troubleshoot uren nemen dan kwadratisch toe.

Mijn advies:

De reflection rules verwijderen

List of allowed service names to be reflected. Each service that is seen must match an entry in this list to be reflected to other networks.
This list can match the type of service or the name of the machine providing the service. Defaults to allowing all services.

Daarna alle FW rules uitschakelen, en 1 rule met pass + logging en dan eens kijken of het werkt en wat je feitelijk voorbij ziet komen.

[nike]

@MuVo kan je niet beter je homekit en hue in hetzelfde io netwerk.
Je eigen pc in een (admin) netwerk
Zou hou je wel je scheiding

Je telefoon is ook een IOT device dus die hoort daar ook in

[purge]

Zoals @stormfly aangeeft is het (tijdelijk) weghalen van de reflection rules een goed idee. Ik heb geen idee of het matter protocol al experimenteel gebruikt wordt.

Ik zal vanavond kijken naar de firewall rules bij mij. Ik ga er vanuit dat je ook een allow rule hebt voor tcp/443 naar de Hue bridge voor de API?

[stormfly]

nike schreef op dinsdag 18 oktober 2022 @ 09:46:
@MuVo kan je niet beter je homekit en hue in hetzelfde io netwerk.
Je eigen pc in een (admin) netwerk
Zou hou je wel je scheiding

Je telefoon is ook een IOT device dus die hoort daar ook in

Klopt heb ik ook gedaan, HUE en SONOS zitten in het client vlan voor de gebruikers. Maar er staat wel een FW rule op dat deze devices niet naar het server/NAS vlan mogen.

[3dmaster]

Ik heb een APU2c2 met pfsense draaien en dat gaat al jaren prima. Nu heb ik onlangs mijn lijn geupgrade naar 1 Gigabit glas (delta, dus geen pppoe maar gewoon dhcp) en dan blijf ik steken op zo'n 600Mbit.

Ik zie hier toch meerdere mensen zeggen dat een apu2 een gigabit zou moeten kunnen doen bij meerdere connecties maar toch lukt mij dat niet. als ik een iperf doe vanaf mijn firewall naar een server die ik in een DC heb hangen haal ik de gigabit wel, maar zodra de pfsense moet routeren/firewallen is 600 de max.

Volgens dit blog https://teklager.se/en/kn...gabit-throughput-pfsense/ zou het wel moeten kunnen en ook zonder tweaks vanaf pfsense 2.5 (draai nu 2.6). Ik heb coreboot ook op de laatste versie gezet zodat deze kan boosten naar 1.4Ghz.

Kan het zijn dat mijn outbound nat rules hem beperken (sommige adressen worden op basis van deze regels een vpn tunnel ingestuurd).

of is de apu2c2 gewoon niet sneller.

[stormfly]

3dmaster schreef op dinsdag 18 oktober 2022 @ 17:47:
Ik heb een APU2c2 met pfsense draaien en dat gaat al jaren prima. Nu heb ik onlangs mijn lijn geupgrade naar 1 Gigabit glas (delta, dus geen pppoe maar gewoon dhcp) en dan blijf ik steken op zo'n 600Mbit.

Ik zie hier toch meerdere mensen zeggen dat een apu2 een gigabit zou moeten kunnen doen bij meerdere connecties maar toch lukt mij dat niet. als ik een iperf doe vanaf mijn firewall naar een server die ik in een DC heb hangen haal ik de gigabit wel, maar zodra de pfsense moet routeren/firewallen is 600 de max.

Volgens dit blog https://teklager.se/en/kn...gabit-throughput-pfsense/ zou het wel moeten kunnen en ook zonder tweaks vanaf pfsense 2.5 (draai nu 2.6). Ik heb coreboot ook op de laatste versie gezet zodat deze kan boosten naar 1.4Ghz.

Kan het zijn dat mijn outbound nat rules hem beperken (sommige adressen worden op basis van deze regels een vpn tunnel ingestuurd).

of is de apu2c2 gewoon niet sneller.

Als je alle packages uitschakelt, stijgt de snelheid dan? Dat artikel voor ouder pfSense versies geeft bij enkele nic processing een max van 590. Dat is erg dicht bij jouw snelheid, ik zou eens zoeken naar commando’s om die multi processing te valideren op jouw systeem.

Interestingly, pfSense 2.5.0 can route only about 590Mbit/s on a single cpu core. There was some degradation of performance in 2.5.0. If I find a way to tweak it in the future, I'll update this article.

[ Voor 15% gewijzigd door stormfly op 18-10-2022 21:33 ]

[stormfly]

Glas is live met KPN + PPPoE op pfSense plus 22.05

Hij heeft het niet echt druk met de PPPoE sessies, hieronder nog een libreNMS screenshot. Krijg libreNMS helaas niet stabiel met 1 minuut Polling (iemand anders wel?). Dit is een grafiek van 5 minuten.

code:

[  5] 294.00-295.00 sec  15.0 MBytes   126 Mbits/sec    0    551 KBytes
[  7] 294.00-295.00 sec  32.5 MBytes   273 Mbits/sec    0   1.12 MBytes
[  9] 294.00-295.00 sec  41.2 MBytes   346 Mbits/sec    0   1.49 MBytes
[ 11] 294.00-295.00 sec  21.2 MBytes   178 Mbits/sec   13    581 KBytes
[SUM] 294.00-295.00 sec   110 MBytes   923 Mbits/sec   13

[  5] 295.00-296.00 sec  16.2 MBytes   136 Mbits/sec    0    568 KBytes
[  7] 295.00-296.00 sec  32.5 MBytes   273 Mbits/sec    0   1.15 MBytes
[  9] 295.00-296.00 sec  42.5 MBytes   357 Mbits/sec    0   1.49 MBytes
[ 11] 295.00-296.00 sec  17.5 MBytes   147 Mbits/sec    0    631 KBytes
[SUM] 295.00-296.00 sec   109 MBytes   912 Mbits/sec    0

[  5] 296.00-296.35 sec  6.25 MBytes   149 Mbits/sec    0    571 KBytes
[  7] 296.00-296.35 sec  11.2 MBytes   268 Mbits/sec    0   1.16 MBytes
[  9] 296.00-296.35 sec  15.0 MBytes   357 Mbits/sec    0   1.49 MBytes
[ 11] 296.00-296.35 sec  7.50 MBytes   179 Mbits/sec    0    643 KBytes
[SUM] 296.00-296.35 sec  40.0 MBytes   952 Mbits/sec    0

CPU load van Intel(R) Core(TM) i3-7100U CPU @ 2.40GHz na een dag speedtesten

[ Voor 33% gewijzigd door stormfly op 19-10-2022 19:33 ]

[MuVo]

stormfly schreef op dinsdag 18 oktober 2022 @ 09:42:
[...]


Een veelgemaakte fout is het bouwen van een secure omgeving en bij start alles dicht zetten, je troubleshoot uren nemen dan kwadratisch toe.

Mijn advies:

De reflection rules verwijderen

List of allowed service names to be reflected. Each service that is seen must match an entry in this list to be reflected to other networks.
This list can match the type of service or the name of the machine providing the service. Defaults to allowing all services.

Daarna alle FW rules uitschakelen, en 1 rule met pass + logging en dan eens kijken of het werkt en wat je feitelijk voorbij ziet komen.

Nu je de beschrijving hier zo neer zet, zie ik dat ik het verkeerde had geinterperteerd en zo de reflection rules geconfigureerd. Maar ook omdat omdat met de printer bonjour regel ik printen over meerdere subnets/velans werkend kreeg zonder hard te moeten verwijzen naar de printer, e.g. de printer werden automatisch zichbaar op je telefoon.

Ik heb nu de reflection rules verwijderd, en de andere regeles per subnet uitgezet. Alles stond verder per subnet open met een Source net -> Any regel.

Merk nu alleen dat homekit nog wel werkt, maar trager reageert. Maar goed weer een stap gezet in het achter halen wat wel goed werkt. bedankt.

nike schreef op dinsdag 18 oktober 2022 @ 09:46:
@MuVo kan je niet beter je homekit en hue in hetzelfde io netwerk.
Je eigen pc in een (admin) netwerk
Zou hou je wel je scheiding

Je telefoon is ook een IOT device dus die hoort daar ook in

Dat heb ik al in geregeld middels een bridge: Hiermee koppel ik een vlan met een fysiek netwerkpoort (Apple TV is momenteel wireless en de hue bekabeld), zo krijgen beide apparaten een IP adres uit zelfde range.

Hoewel wifi een eigen vlan heeft, is het inderdaad een goede opmerking dat telefoons ook in het IOT netwerk thuishoren. Zelf nooit bij stil gestaan of iets mee gedaan. Iets zien als ik mijn huidig vraag stuk heb opgelost of ik hier iets mee ga doen. Bedankt.

purge schreef op dinsdag 18 oktober 2022 @ 09:58:
Zoals @stormfly aangeeft is het (tijdelijk) weghalen van de reflection rules een goed idee. Ik heb geen idee of het matter protocol al experimenteel gebruikt wordt.

Ik zal vanavond kijken naar de firewall rules bij mij. Ik ga er vanuit dat je ook een allow rule hebt voor tcp/443 naar de Hue bridge voor de API?

Geen idee of matter al is uitgerold.

Ik heb verder alles toegestaan, zoals ook inderdaad een tcp 443 rule. Heb je toevalig nog naar jou fw rules gekeken en zou je daarvan iets wil delen?

Bedankt.

[purge]

MuVo schreef op woensdag 19 oktober 2022 @ 19:15:
[...]
Heb je toevalig nog naar jou fw rules gekeken en zou je daarvan iets wil delen?

Verder staat mij bij dat het ook bij mij wel eens voorkomt dat Homekit niet alle lampen en sensoren ziet. Meestal herstart ik de Hue bridge; mogelijk dat hierdoor de state table in pfSense wordt bijgewerkt en het weer werkt. Dit komt vrij weinig voor in ieder geval, 1 of 2 keer per jaar.

Hieronder heb ik de relevante stukken gepakt. Ik hoop dat ik niets mis.

Interfaces/subnets (fictieve namen)
- HUE: Daarin de Hue bridge
- TRUSTED: Apparaten met prive data, waaronder: mobiel, tablet en AppleTV(Homekit)

Avahi
- Allow Interfaces
- Interfaces: HUE, TRUSTED
- disable support IPv4: unchecked
- disable support IPv6: unchecked
- Repeat mdns packets across subnets: checked

Interface Group: HUE,...,...,...

Protocol	Source	Port	Destination	Port	Description
BLOCK IPv4+6 *	*	*	TRUSTED net	*	Deny to internal nets

Rules: HUE

Protocol	Source	Port	Destination	Port	Description
IPv4 UDP	*	*	224.0.0.251	5353	mDNS
IPv6 UDP	*	*	ff02::fb	5353	mDNS
IPv4 UDP	*	*	239.255.255.250	1900 - 1902	SSDP
IPv4+6 TCP	*	*	*	443	HTTPS
IPv4+6 TCP	*	*	*	80	HTTP
IPv4 IGMP	*	*	224.0.0.22		IGMP?

Rules: TRUSTED

Protocol	Source	Port	Destination	Port	Description
IPv4+6 ICMP	*	*	*	*	ICMP
IPv4+6 TCP	*	*	HUE net	80,443,8080	Pass to Hue bridge
IPv4 UDP	*	*	224.0.0.251	5353	mDNS
IPv6 UDP	*	*	ff02::fb	5353	mDNS
IPv4 UDP	*	*	239.255.255.250	1900 - 1902	SSDP

[Kabouterplop01]

purge schreef op woensdag 19 oktober 2022 @ 21:28:
[...]


Verder staat mij bij dat het ook bij mij wel eens voorkomt dat Homekit niet alle lampen en sensoren ziet. Meestal herstart ik de Hue bridge; mogelijk dat hierdoor de state table in pfSense wordt bijgewerkt en het weer werkt. Dit komt vrij weinig voor in ieder geval, 1 of 2 keer per jaar.

Dat is toch wel heel raar, want de bridge kletst zigbee tegen Hue en geen ip.
Overigens moet je in de firewall log toch behoorlijk wat entries zien als het mis gaat.
Wel leuk om het zo in aparte subnets op te bouwen.

Waar je rekening mee dient te houden is dat i.t.t. TCP, UDP connectionless is.
dat houdt in dat je geen established sessions hebt en je het terugkerende verkeer expliciet moet toestaan.

simpel voorbeeld:
DNS is UDP poortje 53. (niet helemaal, maar die details zijn voor deze uitleg niet relevant)
dus als je een fw rule hebt die uitgaand poort 53 UDP mag bereiken, moet je het terugkerende verkeer (oftewel het antwoord op de query) expliciet toestaan en in je firewall rules opnemen, anders gaat het nie werken nie.

[purge]

Kabouterplop01 schreef op donderdag 20 oktober 2022 @ 22:18:
[...]
Dat is toch wel heel raar, want de bridge kletst zigbee tegen Hue en geen ip.
Overigens moet je in de firewall log toch behoorlijk wat entries zien als het mis gaat.
Wel leuk om het zo in aparte subnets op te bouwen.

De bridge communiceerd - zoals jij beschrijft - via het Zigbee protocol met lampen, sensoren etc.
Homekit praat via IP met de Hue bridge, waar ook nog een switch en WAP tussen zit. Dat het even niet werkt gebeurt zo weinig dat ik er niet eens moeite in wil steken. Het zou zomaar kunnen dat op mn mobiel Wi-Fi op dat moment uit staat. Dan gaat het ook nog eens via Cloud servers.

Waar je rekening mee dient te houden is dat i.t.t. TCP, UDP connectionless is.
dat houdt in dat je geen established sessions hebt en je het terugkerende verkeer expliciet moet toestaan.
[...]

Zeker goed om het verschil tussen TCP en UDP in het achterhoofd te houden
In het geval van pfSense hoef je niet na te denken over dit pad terug. Die maakt hier statefull verkeer van met verborgen rules. Zoals bijv.
pass in quick on INTERFACE inet proto udp from any to (self:26) port = ntp keep state label "USER_RULE: Allow NTP"
(al is deze state van korte duur en verdwijnt als de response packet geweest is)

[MuVo]

purge schreef op woensdag 19 oktober 2022 @ 21:28:
[...]


Verder staat mij bij dat het ook bij mij wel eens voorkomt dat Homekit niet alle lampen en sensoren ziet. Meestal herstart ik de Hue bridge; mogelijk dat hierdoor de state table in pfSense wordt bijgewerkt en het weer werkt. Dit komt vrij weinig voor in ieder geval, 1 of 2 keer per jaar.

Hieronder heb ik de relevante stukken gepakt. Ik hoop dat ik niets mis.

Interfaces/subnets (fictieve namen)
- HUE: Daarin de Hue bridge
- TRUSTED: Apparaten met prive data, waaronder: mobiel, tablet en AppleTV(Homekit)

Avahi
- Allow Interfaces
- Interfaces: HUE, TRUSTED
- disable support IPv4: unchecked
- disable support IPv6: unchecked
- Repeat mdns packets across subnets: checked

Interface Group: HUE,...,...,...

Protocol	Source	Port	Destination	Port	Description
BLOCK IPv4+6 *	*	*	TRUSTED net	*	Deny to internal nets

Rules: HUE

Protocol	Source	Port	Destination	Port	Description
IPv4 UDP	*	*	224.0.0.251	5353	mDNS
IPv6 UDP	*	*	ff02::fb	5353	mDNS
IPv4 UDP	*	*	239.255.255.250	1900 - 1902	SSDP
IPv4+6 TCP	*	*	*	443	HTTPS
IPv4+6 TCP	*	*	*	80	HTTP
IPv4 IGMP	*	*	224.0.0.22		IGMP?

Rules: TRUSTED

Protocol	Source	Port	Destination	Port	Description
IPv4+6 ICMP	*	*	*	*	ICMP
IPv4+6 TCP	*	*	HUE net	80,443,8080	Pass to Hue bridge
IPv4 UDP	*	*	224.0.0.251	5353	mDNS
IPv6 UDP	*	*	ff02::fb	5353	mDNS
IPv4 UDP	*	*	239.255.255.250	1900 - 1902	SSDP

Bedankt voor deze gedetalieerde omschrijving!

Hue en Homekit werken met deze configuratie. Alleen een automation regel in homekit voor de beweging sensor werkt nog niet. Maar wat wel werkt is als ik de beweging sensor configureerd in Hue bridge. Dan gaan lampen wel aan op beweging.

Weer een stap verder

Blijft vreemd dat Homekit wel beweging, tempratuur en lux ziet in Homekit maar geen enkele autmatisering werkt op basis van een beweging sensor.

[Priyantha Bleeker]

Ik heb zo'n PC'tje van AliExpress vandaag met een Intel N5105 en 4 poortjes op 2.5GbE met een Intel i226-V.

Ik vroeg me af of iemand me een beetje kon helpen met een configuratie waar ik niet achter kan komen hoe ik die moet oplossen.
Ik heb OpenWRT geïnstalleerd op een x86-64 machine met Ubuntu 22.04 en gevirtualiseerd binnen Qemu/KVM via de webinterface Cockpit.

Ik heb internetverbinding op de OpenWRT instantie, en mijn lan-netwerk ook, dus dat werkt prima

Maar nu krijgt de Ubuntu host zelf geen IP adres van OpenWRT, ik denk dat ik gewoon iets gemist heb om te configureren, maar ik kan het niet Googlen omdat ik de juiste sleutelwoorden niet ken.

Voor nu heb ik het vrij smerig 'opgelost', door gewoon fysiek een derde Ethernet-verbinding terug naar de 'host' zelf aan te sluiten vanaf de switch.

De situatie is als volgt:

- Ziggo modem, in bridge, in de meterkast
- TP-Link 24 poorts Managed switch
- 2x 24 poorts patchpanel
- Qemu/KVM host op zolder in de technische ruimte
- Ziggo modem is direct op het patchpanel aangesloten welke is doorgepatched naar de technische ruimte op zolder
- Poort 1 van de 'host' is aangesloten op de switch
- Poort 4 van de 'host' is aanegsloten op het Ziggo modem (via dat patchpanel blabla)
- Poort 3 van de 'host' is aangesloten op de switch (de 'smerige' oplossing)

Het liefst zou ik die 'Poort 3' op de 'host' niet meer hebben, maar ik heb geen idee hoe

-- Edit
https://pastebin.com/0YABeVkn < nmcli output van de host

[nero355]

Priyantha Bleeker schreef op vrijdag 21 oktober 2022 @ 13:39:
Maar nu krijgt de Ubuntu host zelf geen IP adres van OpenWRT, ik denk dat ik gewoon iets gemist heb om te configureren, maar ik kan het niet Googlen omdat ik de juiste sleutelwoorden niet ken.

Die hoort ook geen IP adres via DHCP te krijgen en kan beter een eigen Statisch IP adres hebben, waarbij je eventueel alleen een Statische DHCP Mapping op basis van MAC adres gebruikt als Backup daarvan!

Voor nu heb ik het vrij smerig 'opgelost', door gewoon fysiek een derde Ethernet-verbinding terug naar de 'host' zelf aan te sluiten vanaf de switch.

IMHO ook de juiste manier dus lekker zo laten!

Extra TIP : Overweeg een Management VLAN waarin dergelijke hosts te bereiken zijn via SSH en een eventuele webGUI

[Priyantha Bleeker]

nero355 schreef op vrijdag 21 oktober 2022 @ 15:32:
[...]

Die hoort ook geen IP adres via DHCP te krijgen en kan beter een eigen Statisch IP adres hebben, waarbij je eventueel alleen een Statische DHCP Mapping op basis van MAC adres gebruikt als Backup daarvan!


[...]

IMHO ook de juiste manier dus lekker zo laten!

Extra TIP : Overweeg een Management VLAN waarin dergelijke hosts te bereiken zijn via SSH en een eventuele webGUI

Ahja, ben nu aan het klooien geslagen met bridge's e.d.
Maar krijg het dan ook niet werkend, krijg het nu zo dat de 'host' juist wél een IP adres krijgt én Internet heeft, maar vervolgens krijgt niets meer iets

Dus dan ga ik het maar even terug bouwen naar zoals het was, dat werkte tenminste.


Ondertussen weer terug verbouwd naar zoals het was.

Maar als ik zelf een IP adres toewijs aan diezelfde interface, welke dus 'direct attached' is aan de VM, dan doet die niets Misschien daar toch nog iets anders mee doen oid?

[ Voor 12% gewijzigd door Priyantha Bleeker op 21-10-2022 16:18 ]

[Kabouterplop01]

purge schreef op donderdag 20 oktober 2022 @ 23:55:
[...]

De bridge communiceerd - zoals jij beschrijft - via het Zigbee protocol met lampen, sensoren etc.
Homekit praat via IP met de Hue bridge, waar ook nog een switch en WAP tussen zit. Dat het even niet werkt gebeurt zo weinig dat ik er niet eens moeite in wil steken. Het zou zomaar kunnen dat op mn mobiel Wi-Fi op dat moment uit staat. Dan gaat het ook nog eens via Cloud servers.

Dat zou niet uit mogen maken gezien hetzelfde subnet; als je nou vanuit een ander vlan of subnet komt zeg ik ok.
dus als alles in hetzelfde subnet zit en er is iets verstoord dan zou ik het in die switch zoeken.
Ik gok dat je pfsense ook DHCP regelt en de clients achter je AP een IP krijgen uit dezelfde reeks.


Als je wifi uit staat en het gaat via de gebakken lucht dan kom je uit een ander netwerk en staat de firewall ertussen.
(ik heb ook hue en heb eens mn netwerk omgebouwd van een /24 naar een /23 en als je dan het subnetmasker niet aanpast op je switch (de management interface) dan routeer je binnen je zelfde subnet en loopt het via de firewall, die kent nl de weg. Dat is standaard IP gedrag, al het verkeer wat niet herkend wordt als hetzelfde subnet wordt naar de router (default gateway) gestuurd en heet de default route. Vandaar de tips, want ik herken het enigzins.

as said, mocht het mis zijn dan kun je het in je log terug zien. (En die SSDP/UPNP regel vind ik oerlelijk, maar dat komt omdat ik vind dat UPNP niet uitgevonden had moeten worden, want zeer onveilig)

[Kabouterplop01]

Priyantha Bleeker schreef op vrijdag 21 oktober 2022 @ 16:05:
[...]


Ahja, ben nu aan het klooien geslagen met bridge's e.d.
Maar krijg het dan ook niet werkend, krijg het nu zo dat de 'host' juist wél een IP adres krijgt én Internet heeft, maar vervolgens krijgt niets meer iets

Dus dan ga ik het maar even terug bouwen naar zoals het was, dat werkte tenminste.


Ondertussen weer terug verbouwd naar zoals het was.

Maar als ik zelf een IP adres toewijs aan diezelfde interface, welke dus 'direct attached' is aan de VM, dan doet die niets Misschien daar toch nog iets anders mee doen oid?

Is het zo dat in jouw switch dat verkeer niet gescheiden is en het lijkt dat omdat je modem gebridged is de eerste de beste host op je netwerk je publieke IP adres krijgt?

[nero355]

Kabouterplop01 schreef op vrijdag 21 oktober 2022 @ 19:59:
de gebakken lucht

(En die SSDP/UPNP regel vind ik oerlelijk, maar dat komt omdat ik vind dat UPNP niet uitgevonden had moeten worden, want zeer onveilig)

MY PEOPLE!!!

[westlym]

ik heb sinds zaterdag een nieuwe firewall in dienst, namelijk met amd 3000g, moederbord van asus en 8 gig geheugen. Ik gebruik een oude seasonic gold 660 watt als voeding, en het werkt..denk ik. ik zit bij freedom en daar maken ze gebruik van PPPoE. Ik heb een gigabyte lijn en mijn vraag is: trekt de amd 3000G dit wel?

[stormfly]

westlym schreef op dinsdag 1 november 2022 @ 19:26:
ik heb sinds zaterdag een nieuwe firewall in dienst, namelijk met amd 3000g, moederbord van asus en 8 gig geheugen. Ik gebruik een oude seasonic gold 660 watt als voeding, en het werkt..denk ik. ik zit bij freedom en daar maken ze gebruik van PPPoE. Ik heb een gigabyte lijn en mijn vraag is: trekt de amd 3000G dit wel?

Jij hebt de firewall in dienst, en je hebt de lijn? Zou jij ons dan het antwoord kunnen geven?

PPPoE sessie op het WAN, FW verkeer toe laten, test laptop in de lan poort en naar speedtest.net

[ Voor 8% gewijzigd door stormfly op 01-11-2022 19:57 ]

[nero355]

stormfly schreef op dinsdag 1 november 2022 @ 19:49:
Jij hebt de firewall in dienst, en je hebt de lijn? Zou jij ons dan het antwoord kunnen geven?

PPPoE sessie op het WAN, FW verkeer toe laten, test laptop in de lan poort en naar speedtest.net

@westlym

Nog beter :

Test eens met zowel Upload als Download verkeer TEGELIJK

[stormfly]

nero355 schreef op dinsdag 1 november 2022 @ 20:17:
[...]

@westlym

Nog beter :

Test eens met zowel Upload als Download verkeer TEGELIJK

Je prikkelde mij gedachte, ik heb dat eens getest maar bij mij werkt het niet. De vraag is of dit zou moeten werken in een reguliere situatie als je het ISP modem gebruikt? Ik draai zelf wat diensten waardoor men het merkt als ik ga stoeien met de router, ik ben benieuwd of anderen dit wel eens getest hebben zonder dat ik een periode van downtime in hoef ;-)


EDIT toch maar downtime gecreëerd en de ERX aangesloten.

Nee het kan technisch niet, zelfs met een ERX router met PPPoE offload middelt het uit naar 500/500 en dan gaan de flows beide kanten op. Zou zo maar kunnen dat KPN een 1G cap totaal summary heeft op de verbinding, ongeacht welke kant op.

[ Voor 36% gewijzigd door stormfly op 02-11-2022 12:07 ]

[nero355]

stormfly schreef op woensdag 2 november 2022 @ 11:48:
Je prikkelde mij gedachte, ik heb dat eens getest maar bij mij werkt het niet. De vraag is of dit zou moeten werken in een reguliere situatie als je het ISP modem gebruikt? Ik draai zelf wat diensten waardoor men het merkt als ik ga stoeien met de router, ik ben benieuwd of anderen dit wel eens getest hebben zonder dat ik een periode van downtime in hoef ;-)


EDIT toch maar downtime gecreëerd en de ERX aangesloten.

Nee het kan technisch niet, zelfs met een ERX router met PPPoE offload middelt het uit naar 500/500 en dan gaan de flows beide kanten op. Zou zo maar kunnen dat KPN een 1G cap totaal summary heeft op de verbinding, ongeacht welke kant op.

Dat is helemaal prima, ondanks de tegenvallende resultaten!

Mijn punt is dat je zo'n PPPoE test wat meer zou moeten stresstesten dan puur en alleen effe een https://speedtest.net testje ertegenaan gooien :
- Zo'n "500/500 Test" is dus ook interessant!
- Wat gebeurt er als je een shitload aan connecties gaat opbouwen via BitTorrent of zo ?!
Hoe ver kom je dan voordat de boel in elkaar kakt ??
- En dan heb je natuurlijk nog eventuele IDS/IPS toestanden

[Kabouterplop01]

[quote]stormfly schreef op woensdag 2 november 2022 @ 11:48:
[...]

EDIT toch maar downtime gecreëerd en de ERX aangesloten.

Nee het kan technisch niet, zelfs met een ERX router met PPPoE offload middelt het uit naar 500/500 en dan gaan de flows beide kanten op. Zou zo maar kunnen dat KPN een 1G cap totaal summary heeft op de verbinding, ongeacht welke kant op.

Eigenlijk zou dat niet moeten uitmaken; 1 GBit full duplex betekent dat de backplane van de apparatuur minimaal een capcaiteit van 2GBit moet hebben.

Al die acks, syn-acks, psh en fin berichten hebben echten geen GBit nodig, dus zowel up als download testen is heel goed.
Dit is eigenlijk zoals ADSL vroeger werkte; een atm lijn (special hiervoor ontworpen; asynchronous transfer mode) deed het zelfde, gekoppeld aan een STM-1 (155MBit synchroon).

speciaal gemaakt voor "dikke downloadsnelheid, lage upload snelheid".

Wat voor soort KPN lijn is dat die u heeft?

[stormfly]

Kabouterplop01 schreef op woensdag 2 november 2022 @ 14:44:
[quote]stormfly schreef op woensdag 2 november 2022 @ 11:48:
[...]


[...]


Eigenlijk zou dat niet moeten uitmaken; 1 GBit full duplex betekent dat de backplane van de apparatuur minimaal een capcaiteit van 2GBit moet hebben.

Al die acks, syn-acks, psh en fin berichten hebben echten geen GBit nodig, dus zowel up als download testen is heel goed.
Dit is eigenlijk zoals ADSL vroeger werkte; een atm lijn (special hiervoor ontworpen; asynchronous transfer mode) deed het zelfde, gekoppeld aan een STM-1 (155MBit synchroon).

speciaal gemaakt voor "dikke downloadsnelheid, lage upload snelheid".

Wat voor soort KPN lijn is dat die u heeft?

Levert KPN in de voorwaarden een full duplex lijn?

KPN XGSPON 1gigabit

[Kabouterplop01]

stormfly schreef op woensdag 2 november 2022 @ 15:10:
[...]


Levert KPN in de voorwaarden een full duplex lijn?

KPN XGSPON 1gigabit

full duplex is een ethernet standaard, maar XGSPON ik denk dat het em daar in zit.

[stormfly]

Kabouterplop01 schreef op woensdag 2 november 2022 @ 15:57:
[...]


full duplex is een ethernet standaard, maar XGSPON ik denk dat het em daar in zit.

Ik ben wel benieuwd hoe een AON aansluiting het zou doen met fullduplex 1Gigabit (up 1 en down 1 tegelijk). De ethernet verbindingen kunnen het prima aan inderdaad, XGSPON waarschijnlijk ook met een down pad van 10G en up 2.5G (uit mijn hoofd). Zelf denk ik meer aan een instelling op het shaping profiel wat je abonnement hoort. Als ze dat al afdwingen in de UTP poort van de Genexis thuis (wat de meest logische plaats is) dan kan het een suffe software implementatie zijn.

Is dit ook niet de reden dat je bij KPN "slechts" 930Mbit haalt? Dat de overige 70Mbit in het upstream pad gebruikt worden voor de TCP acks?

PS: Dan zou een XGSPON klant van 200Mbit ook max 200Mbit moeten kunnen halen en niet 200up en 200down tegelijk. @ANdrode heb jij een mogelijkheid tot duplex testen thuis?

Iemand anders die dit kan testen?

[nero355]

stormfly schreef op woensdag 2 november 2022 @ 19:33:
Is dit ook niet de reden dat je bij KPN "slechts" 930Mbit haalt? Dat de overige 70Mbit in het upstream pad gebruikt worden voor de TCP acks?

Over een 1 Gbps Ethernet lijntje kom je niet verder dan 930 a 960 Mbps

[Kabouterplop01]

stormfly schreef op woensdag 2 november 2022 @ 19:33:
[...]


Ik ben wel benieuwd hoe een AON aansluiting het zou doen met fullduplex 1Gigabit (up 1 en down 1 tegelijk). De ethernet verbindingen kunnen het prima aan inderdaad, XGSPON waarschijnlijk ook met een down pad van 10G en up 2.5G (uit mijn hoofd). Zelf denk ik meer aan een instelling op het shaping profiel wat je abonnement hoort. Als ze dat al afdwingen in de UTP poort van de Genexis thuis (wat de meest logische plaats is) dan kan het een suffe software implementatie zijn.

Is dit ook niet de reden dat je bij KPN "slechts" 930Mbit haalt? Dat de overige 70Mbit in het upstream pad gebruikt worden voor de TCP acks?

PS: Dan zou een XGSPON klant van 200Mbit ook max 200Mbit moeten kunnen halen en niet 200up en 200down tegelijk. @ANdrode heb jij een mogelijkheid tot duplex testen thuis?

Klinkt heel aannemelijk, ik meen me te herinneren dat er zowel gepoliced als geshaped wordt; op zowel laag 2 als laag 3. Dat gaat via policy templates. Ik denk zowel in de core als op de Genexis
en als je het snel zegt is 70Mbit niets, maar het is wel ff 70!!Mbit. (moet je voor de gein eens doen 70MBit sustained alleen maar acks sturen naar bijv een DNS server van je provider, kijken wat ze zeggen...(niet doen!!!)
Ik kan het jammergenoeg niet zelf testen. ik vind 980 á 995MBit realistischer en écht in de buurt komen. Zou dat dan echt de overhead van pppoe zijn?

[ Voor 0% gewijzigd door Kabouterplop01 op 03-11-2022 10:19 . Reden: typo's ]

[hjtuinenburg]

@hemmen Als je de setup draaiende hebt zou ik ook heel benieuwd zijn naar het stroomverbruik van het geheel.

Als router heb ik zelf veel Unifi spul, zowel op kantoor als thuis. De throughput is meer dan voldoende, en is een mooi systeem. Totdat ik Threat Control (packet inspection) aanzet, dan zakt de snelheid in van 1Gbit naar grofweg 400Mbit.

[dajappie]

Kabouterplop01 schreef op donderdag 3 november 2022 @ 10:18:
[...]


Klinkt heel aannemelijk, ik meen me te herinneren dat er zowel gepoliced als geshaped wordt; op zowel laag 2 als laag 3. Dat gaat via policy templates. Ik denk zowel in de core als op de Genexis
en als je het snel zegt is 70Mbit niets, maar het is wel ff 70!!Mbit. (moet je voor de gein eens doen 70MBit sustained alleen maar acks sturen naar bijv een DNS server van je provider, kijken wat ze zeggen...(niet doen!!!)
Ik kan het jammergenoeg niet zelf testen. ik vind 980 á 995MBit realistischer en écht in de buurt komen. Zou dat dan echt de overhead van pppoe zijn?

Heeft niks met PPPoE te maken maar met de overhead op Ethernet, kijk maar eens op https://www.cablefree.net...oughput-gigabit-ethernet/. Voor snelheden praktisch op of hoger dan 1 Gbps moet je dus een hogere Ethernet-standaard gebruiken zoals 2.5 Gbps - natuurlijk naast wat praktische implicaties voor de hele infrastructuur zoals het KPN netwerk, je ONT, je router, ...

[stormfly]

Ben nog even verder gaan testen, eens dat het maximale op de verbinding 930-940Mbit/s is. Als we dat als uitgangspunt nemen haal ik dat slechts met 1 router hier in huis.

• Intel NUC 7i3 haalt 1Gigabit maar symetrisch zakt dit terug naar 500/500 gemiddeld
• EdgeRouter X haalt dit niet, is ook wel bekend dat hij niet krachtig genoeg is. Heeft later wel HWoffload gekregen, toch lukt het niet
• EdgeRouter 3-Lite haalt het met gemak, keurig 1G up en 1G down

Hoe kan je zien in pfSense dat 1 CPU (PPPoE) tegen zijn max aanloopt en dat dit de bottleneck kan zijn? De CPU gaat tot 25% in de grafiek en hij heeft 4 cores meen ik....zou het daaraan liggen?


2x screenshot van de sessie met de linuxhosts welke de data verplaatsen, SNMP grafieken zijn even defect door het gebruik van een andere router.

[ Voor 27% gewijzigd door stormfly op 03-11-2022 11:54 ]

[Kek]

stormfly schreef op donderdag 3 november 2022 @ 11:48:

Hoe kan je zien in pfsense of 1 CPU (PPPoE) tegen zijn max aanloopt en dat dit de bottleneck kan zijn? De CPU gaat tot 25% in de grafiek en hij heeft 4 cores meen ik....zou het daaraan liggen?

Op welk OS is dat? want Linux kan wel pppoe multithread maar BSD en afgeleiden niet voor zover mij bekend is.

[stormfly]

Kek schreef op donderdag 3 november 2022 @ 11:53:
[...]


Op welk OS is dat? want Linux kan wel pppoe multithread maar BSD en afgeleiden niet voor zover mij bekend is.

pfSense, zal de post ff aanpassen.

[stormfly]

D43m0n schreef op dinsdag 11 oktober 2022 @ 15:21:
[...]


Ik heb deze nu een weekje draaiend. Eerst met een Gigabyte 256GB NVMe stick, maar daarmee gaat 't powerknopje niet branden. Zonder dat NVMe stickje start ie wel van USB. Een Intenso 250GB NVMe en een Samsung 980 256GB NVMe maken dat ie wel aan wil gaan. Op die Samsung 980 draait nu OpenWRT 22.03. Ik heb er 1 SODIMM van 4GB in zitten en ben 'm aan het indraaien of de hardware stabiel blijft. Met 1 netwerkpoort actief is het idle stroomverbruik net geen 5W en is de temperatuur zo'n 35 graden. Als ik met stress een half uur lang de CPU's op 100% zet, dan is het stroomverbruik net geen 20W. De temperatuur loopt dan gestaag op tot zo'n 70 graden. Dan kan ik de hand niet meer op de behuizing laten liggen. Wanneer stress klaar is, zakt de temperatuur binnen enkele minuten weer terug naar zo'n 35 graden. De CPU wordt in dat halve uur niet naar beneden geklokt qua kloksnelheid. Ik heb wel vooraf zelf nieuwe/extra koelpasta tussen CPU en behuizing gedaan.

Hoe bevalt je router een kleine maand later, mijn grote angst is spontane reboots doordat er een Chinese medewerker even moest niezen boven mijn printje.

Tortelli schreef op woensdag 12 oktober 2022 @ 21:34:
[...]


Ik zit zelf ook wat rond te kijken, maar welke hardware je nu echt nodig hebt om Gbit PPPoE vol te trekken is mij een raadsel met pfsense / opnsense.
N6005 of N5105 zijn de snelste van een merk als Topton zover ik kan zien.

Jij al wat gekocht?

GioStyle schreef op woensdag 12 oktober 2022 @ 13:44:
[...]


€ 145,39 als ik nu afreken. Plus nog een klein tientje aan cashback bij CashbackXL. Twijfel, twijfel.

Jij al wat gekocht?

[Tom Paris]

stormfly schreef op donderdag 3 november 2022 @ 11:48:
Hoe kan je zien in pfSense dat 1 CPU (PPPoE) tegen zijn max aanloopt en dat dit de bottleneck kan zijn? De CPU gaat tot 25% in de grafiek en hij heeft 4 cores meen ik....zou het daaraan liggen?

Tom Paris schreef op dinsdag 25 januari 2022 @ 14:34:
Dat kun je uit alleen het percentage niet afleiden... Wel kun je in je system activity nagaan of/hoe de load verdeeld wordt over de cores. Zeker met PPPoE kan het nuttig zijn om hier een system tunable voor in te stellen als die verdeling er niet (of niet goed) is: net.isr.dispatch=deferred

[Kek]

stormfly schreef op donderdag 3 november 2022 @ 11:54:
[...]


pfSense, zal de post ff aanpassen.

PFsense (en ook OPNsense) is BSD, dus dan doet pppoe idd maar 1 thread. iets van openwrt of vyos zou denk ik wel gebruik kunnen maken van alle cores waardoor je de snelheid wel zal halen verwacht ik.

[nero355]

Kabouterplop01 schreef op donderdag 3 november 2022 @ 10:18:
Klinkt heel aannemelijk, ik meen me te herinneren dat er zowel gepoliced als geshaped wordt; op zowel laag 2 als laag 3. Dat gaat via policy templates. Ik denk zowel in de core als op de Genexis

Dat lijkt me niet logisch : Clients kan je makkelijk met een Load Balancer/Traffic Shaper gewoon op je netwerk limiteren waarbij je niks doet op hun eigen apparatuur!

en als je het snel zegt is 70Mbit niets, maar het is wel ff 70!!Mbit. (moet je voor de gein eens doen 70MBit sustained alleen maar acks sturen naar bijv een DNS server van je provider, kijken wat ze zeggen...(niet doen!!!)

LOL!

Ik kan het jammergenoeg niet zelf testen. ik vind 980 á 995MBit realistischer en écht in de buurt komen. Zou dat dan echt de overhead van pppoe zijn?

Ik heb 2,5 Gbps NIC's gebruikt zien worden op 1 Gbps verbindingen zonder PPPoE en die haalden dan net ietsje over de 1 Gbps dus het is echt de limiet van een 1 Gbps NIC en verbinding!

hjtuinenburg schreef op donderdag 3 november 2022 @ 10:26:
Als router heb ik zelf veel Unifi spul, zowel op kantoor als thuis. De throughput is meer dan voldoende, en is een mooi systeem. Totdat ik Threat Control (packet inspection) aanzet, dan zakt de snelheid in van 1Gbit naar grofweg 400Mbit.

Als ik een gokje mag doen :

Jij hebt een USG 4 Pro in je setup staan ?

Die schijnt na een bepaalde firmware wat efficiënter te zijn geworden en kan i.p.v. 250 Mbps inderdaad iets van 400 a 500 Mbps met IDS/IPS aan verwerken

stormfly schreef op donderdag 3 november 2022 @ 11:48:
Intel NUC 7i3 haalt 1Gigabit maar symetrisch zakt dit terug naar 500/500 gemiddeld

Welk model precies ??

Hoe kan je zien in pfSense dat 1 CPU (PPPoE) tegen zijn max aanloopt en dat dit de bottleneck kan zijn?
De CPU gaat tot 25% in de grafiek en hij heeft 4 cores meen ik....zou het daaraan liggen?

25% van 4 is 1 dus in principe klopt dat gewoon!

Ik ben het daarom ook niet helemaal eens met dit verhaal :

Tom Paris schreef op donderdag 3 november 2022 @ 12:55:
[...]

[...]

Nee, het is geen garantie, maar wel een goede indicatie

[stormfly]

[b]nero355 schreef op donderdag 3 november 2022 @ 13:24:
Welk model precies ??

25% van 4 is 1 dus in principe klopt dat gewoon!

Intel(R) Core(TM) i3-7100U CPU @ 2.40GHz
Total Cores 2
Total Threads 4

Het is bij een NUC gebruikelijk dat deze slechts 1 nic heeft...

Tom Paris schreef op donderdag 3 november 2022 @ 12:55:
[...]
Dat kun je uit alleen het percentage niet afleiden... Wel kun je in je system activity nagaan of/hoe de load verdeeld wordt over de cores. Zeker met PPPoE kan het nuttig zijn om hier een system tunable voor in te stellen als die verdeling er niet (of niet goed) is: net.isr.dispatch=deferred
[...]

Ja ik zat er al mee te stoeien, mijn linux kennis is aardig maar BSD helaas niet op en top.



Dit heb ik er nu in zitten maar helaas geeft het nog geen verbetering...

code:

I have the following tunables configured in /boot/loader.conf:

net.isr.maxthreads="-1"
net.isr.bindthreads="1"

I've also added the following to /etc/sysctl.conf:

net.isr.dispatch=deferred

[nero355]

stormfly schreef op donderdag 3 november 2022 @ 13:51:
Intel(R) Core(TM) i3-7100U CPU @ 2.40GHz
Total Cores 2
Total Threads 4

Het is bij een NUC gebruikelijk dat deze slechts 1 nic heeft...

I know... : Ik ben dol op die dingen!

Maar je post dus precies wat ik effe wilde weten :
- Hoeveel echte Cores en hoeveel HT
- Hoeveel NIC's want sommige modellen kunnen worden uitgebreid met een extra NIC of zelfs meerdere NIC's module!

[Tom Paris]

stormfly schreef op donderdag 3 november 2022 @ 13:51:
Ja ik zat er al mee te stoeien, mijn linux kennis is aardig maar BSD helaas niet op en top.

[Afbeelding]

Nee je moet naar 'Diagnostics -> System Activity'. Daar zie je de load per core.

stormfly schreef op donderdag 3 november 2022 @ 13:51:
Dit heb ik er nu in zitten maar helaas geeft het nog geen verbetering...
I have the following tunables configured in /boot/loader.conf:

net.isr.maxthreads="-1"
net.isr.bindthreads="1"

Die snap ik even niet. pfSense documentatie geeft aan dat als je deze opties gebruik, je ze moet matchen met het aantal cores in je processor. Als je deze op '1' zet castreer je je CPU effectief. Haal die eens weg en laat alleen 'net.isr.dispatch=deferred' eens staan? (Die hoort overigens in loader.conf.local, niet /etc/sysctl.conf)

[stormfly]

Tom Paris schreef op donderdag 3 november 2022 @ 14:06:
[...]


Nee je moet naar 'Diagnostics -> System Activity'. Daar zie je de load per core.


[...]

Dit is met 750mbit uitgaand en 150mbit inkomend, vanaf de twee machines welke op de ER3-lite wel 1g/1g behalen

code:

last pid: 48280;  load averages:  1.65,  0.74,  0.55  up 0+00:43:57    14:28:07
568 threads:   7 running, 541 sleeping, 20 waiting
CPU: 10.2% user,  0.3% nice,  3.9% system,  5.4% interrupt, 80.2% idle
Mem: 311M Active, 169M Inact, 997M Wired, 30G Free
ARC: 562M Total, 59M MFU, 496M MRU, 169K Anon, 1635K Header, 4897K Other
     122M Compressed, 438M Uncompressed, 3.58:1 Ratio
Swap: 1024M Total, 1024M Free

  PID USERNAME    PRI NICE   SIZE    RES STATE    C   TIME    WCPU COMMAND
78443 root        100    0   196M   158M CPU2     2  13:49  89.79% /usr/local/bin/snort -R _44408 -D -q --suppress-config-log --daq pcap --daq-mode passive --treat-drop-as-alert -l /var/log/snort/snort_pppoe044408 --pid-path /var/run --nolock-pidfile --no-interface-pidfile -G 44408 -c /usr/local/etc/snort/snort_44408_pppoe0/snort.conf -i pppoe0{snort}
   11 root        155 ki31     0B    64K CPU3     3  36:53  70.65% [idle{idle: cpu3}]
   11 root        155 ki31     0B    64K RUN      1  34:28  57.37% [idle{idle: cpu1}]
   11 root        155 ki31     0B    64K CPU0     0  36:33  57.18% [idle{idle: cpu0}]
   11 root        155 ki31     0B    64K RUN      2  33:14  56.59% [idle{idle: cpu2}]
   12 root        -72    -     0B   320K WAIT     0   3:52  22.46% [intr{swi1: netisr 0}]
    0 root        -76    -     0B   896K CPU3     3   2:59  14.79% [kernel{if_io_tqg_3}]
   12 root        -72    -     0B   320K WAIT     1   1:53  11.08% [intr{swi1: netisr 1}]
   12 root        -72    -     0B   320K WAIT     2   1:59  10.60% [intr{swi1: netisr 2}]
   12 root        -72    -     0B   320K WAIT     3   1:38   8.79% [intr{swi1: netisr 3}]
    0 root        -76    -     0B   896K -        2   0:40   2.59% [kernel{if_io_tqg_2}]
  383 root         22    0   134M    48M piperd   2   0:17   0.20% php-fpm: pool nginx (php-fpm)

Die snap ik even niet. pfSense documentatie geeft aan dat als je deze opties gebruik, je ze moet matchen met het aantal cores in je processor. Als je deze op '1' zet castreer je je CPU effectief. Haal die eens weg en laat alleen 'net.isr.dispatch=deferred' eens staan? (Die hoort overigens in loader.conf.local, niet /etc/sysctl.conf)

Doe ik zo ff na de koffie, kids zijn thuis.


Ja typisch het gevolg van "iedereen doet het" Ik zal mijn leven beteren gehehe. Net nog even met een USB nic gespeeld om te kijken of ik een 2e NIC kon maken, maar dat is droevig 350/100Mbit.

[GioStyle]

stormfly schreef op donderdag 3 november 2022 @ 12:05:


Jij al wat gekocht?

Jazeker, een Odroid H3 non plus. Ik verwacht hem volgende week in huis te hebben. Ik ga er uiteindelijk een nas van maken, maar ik ga ook even spelen met onder andere pfSense en OPNsense.

[stormfly]

GioStyle schreef op donderdag 3 november 2022 @ 14:37:
[...]


Jazeker, een Odroid H3 non plus. Ik verwacht hem volgende week in huis te hebben. Ik ga er uiteindelijk een nas van maken, maar ik ga ook even spelen met onder andere pfSense en OPNsense.

Owh dat is hetzelfde board qua CPU en 2 NIC's

Heb je toevallig al een goede guide gezocht voor xSense installaties?

[Tom Paris]

stormfly schreef op donderdag 3 november 2022 @ 14:28:
[...]


Dit is met 750mbit uitgaand en 150mbit inkomend, vanaf de twee machines welke op de ER3-lite wel 1g/1g behalen

code:

last pid: 48280;  load averages:  1.65,  0.74,  0.55  up 0+00:43:57    14:28:07
568 threads:   7 running, 541 sleeping, 20 waiting
CPU: 10.2% user,  0.3% nice,  3.9% system,  5.4% interrupt, 80.2% idle
Mem: 311M Active, 169M Inact, 997M Wired, 30G Free
ARC: 562M Total, 59M MFU, 496M MRU, 169K Anon, 1635K Header, 4897K Other
     122M Compressed, 438M Uncompressed, 3.58:1 Ratio
Swap: 1024M Total, 1024M Free

  PID USERNAME    PRI NICE   SIZE    RES STATE    C   TIME    WCPU COMMAND
78443 root        100    0   196M   158M CPU2     2  13:49  89.79% /usr/local/bin/snort -R _44408 -D -q --suppress-config-log --daq pcap --daq-mode passive --treat-drop-as-alert -l /var/log/snort/snort_pppoe044408 --pid-path /var/run --nolock-pidfile --no-interface-pidfile -G 44408 -c /usr/local/etc/snort/snort_44408_pppoe0/snort.conf -i pppoe0{snort}
   11 root        155 ki31     0B    64K CPU3     3  36:53  70.65% [idle{idle: cpu3}]
   11 root        155 ki31     0B    64K RUN      1  34:28  57.37% [idle{idle: cpu1}]
   11 root        155 ki31     0B    64K CPU0     0  36:33  57.18% [idle{idle: cpu0}]
   11 root        155 ki31     0B    64K RUN      2  33:14  56.59% [idle{idle: cpu2}]
   12 root        -72    -     0B   320K WAIT     0   3:52  22.46% [intr{swi1: netisr 0}]
    0 root        -76    -     0B   896K CPU3     3   2:59  14.79% [kernel{if_io_tqg_3}]
   12 root        -72    -     0B   320K WAIT     1   1:53  11.08% [intr{swi1: netisr 1}]
   12 root        -72    -     0B   320K WAIT     2   1:59  10.60% [intr{swi1: netisr 2}]
   12 root        -72    -     0B   320K WAIT     3   1:38   8.79% [intr{swi1: netisr 3}]
    0 root        -76    -     0B   896K -        2   0:40   2.59% [kernel{if_io_tqg_2}]
  383 root         22    0   134M    48M piperd   2   0:17   0.20% php-fpm: pool nginx (php-fpm)

Ah ja maar je draait Snort... Dat is niet echt een eerlijk vergelijk tegenover je ER-X/ER-3 natuurlijk Snort is sowieso single-threaded, je ziet ook dat die CPU2 helemaal voltrekt. Daar zit je limiet

[stormfly]

Tom Paris schreef op donderdag 3 november 2022 @ 15:22:
[...]


Ah ja maar je draait Snort... Dat is niet echt een eerlijk vergelijk tegenover je ER-X/ER-3 natuurlijk Snort is sowieso single-threaded, je ziet ook dat die CPU2 helemaal voltrekt. Daar zit je limiet

Ik ben toch zo blij dat jij je bijdrages levert in dit topic, ik was volledig in de veronderstelling dat ik SNORT alleen gebruik voor GEO_IP_lists...maar hij is blijkbaar onderdeel van het routingproces...

[Tom Paris]

stormfly schreef op donderdag 3 november 2022 @ 15:49:
[...]


Ik ben toch zo blij dat jij je bijdrages levert in dit topic, ik was volledig in de veronderstelling dat ik SNORT alleen gebruik voor GEO_IP_lists...maar hij is blijkbaar onderdeel van het routingproces...

Kun je daar niet beter pfBlockerNG voor gebruiken?