Zelfbouw project: Firewall / Router / AP

[stormfly]

Erik1 schreef op vrijdag 24 februari 2023 @ 16:40:
Ik heb een Topton N6005 systeempje met pfSense 2.6 en toevallig ook recent overgestapt naar KPN Gigabit glas op een XGS-PON aansluitpunt. Internet is inderdaad VLAN 6 met daarin PPPoE. De MTU instelling heb ik op 1500 gezet en kan ook tot 1500 benutten, als je niks invult krijg je 1492 binnen de PPPoE sessie. MSS heb ik leeg gelaten.

Het aansluitpunt heeft een 10Gb poort en op het Topton systeempje krijg je een 2.5Gb link. Als ik via een 1Gb switch een HTTP download start haal ik maximaal 112MB/s. Met een 2.5Gb link rechtstreeks achter de firewall haal ik maximaal 119MB/s. Je haalt dus daadwerkelijk een iets hogere snelheid omdat de overhead niet meer binnen de 1Gb link valt

Om de volledige snelheid te halen moest ik wel de system tunable net.isr.dispatch=deferred toevoegen, anders liep 1 CPU core op 100% en schommelde de snelheid tussen ongeveer 85 en 95MB/s.

Voor aanpassing:
[Afbeelding]

Na aanpassing: (Er lijkt nog een proces op 100% te zitten maar alle cores hebben nog wel idle over, load wordt denk ik verdeeld?)
[Afbeelding]

Native bare metal installatie of als VM? Welke file heb je die instelling gemaakt? Ik zal vanavond nog even controleren wat ik daar heb staan.

Bij mijn weten haalt de N5105 het op zijn gemak zonder aanpassingen. Als jij hem als VM draait heb je ook andere VMs die CPU verbruiken waardoor je winst hebt bij beter verdelen.

Ik heb met de deffered instelling nooit goed kunnen aantonen dat het werk. Jij wel? Zie je ook echt verschil in de belasting, volgens mij blijf jij ook 1 core zien pieken? Wat doet het “netisr” proces?

Groeten vanaf de laatste laadpaal voor de vakantie bestemming 🤣

[Erik1]

Ik draai pfSense bare metal. De instelling heb ik toegevoegd in de GUI onder System > Advanced > System Tunables. Zonder aanpassing haal ik niet de max snelheid. Dat netisr proces lijkt inderdaad op 100% te staan maar alle cores draaien lang geen 100% als je de idle bekijkt. Hoe je dit precies moet lezen en wat het netisr proces doet is mij ook nog niet duidelijk...

[EverLast2002]

Boomster schreef op donderdag 23 februari 2023 @ 15:54:
[...]


Het lukt nog niet.
Dit is waar ik heb staan:
[Afbeelding]
[Afbeelding]

[Afbeelding]

vraagje: waarom staat die LAN snelheid op 100baseT en niet op 1000baseT ?

[stormfly]

Erik1 schreef op vrijdag 24 februari 2023 @ 17:48:
Ik draai pfSense bare metal. De instelling heb ik toegevoegd in de GUI onder System > Advanced > System Tunables. Zonder aanpassing haal ik niet de max snelheid. Dat netisr proces lijkt inderdaad op 100% te staan maar alle cores draaien lang geen 100% als je de idle bekijkt. Hoe je dit precies moet lezen en wat het netisr proces doet is mij ook nog niet duidelijk...

Jij draait 2.6 en ik 23.01

Bij 23.01 zie ik dit als default, mijn conciusie was dat het is aangepast in de latere releases omdat ik toen ook meerdere cores zag tijdens een beta. Dit is wel een oudere installatie die meerdere malen is geüpgraded. Kan mij niet heugen dat ik ergens nog files met syntax heb staan.

code:

net.isr.numthreads: 4
net.isr.maxprot: 16
net.isr.defaultqlimit: 256
net.isr.maxqlimit: 10240
net.isr.bindthreads: 0
net.isr.maxthreads: 4
net.isr.dispatch: deferred

stormfly in "Zelfbouw project: Firewall / Router / AP"

[ Voor 6% gewijzigd door stormfly op 24-02-2023 20:27 ]

[Boomster]

EverLast2002 schreef op vrijdag 24 februari 2023 @ 18:58:
[...]

vraagje: waarom staat die LAN snelheid op 100baseT en niet op 1000baseT ?

GOEDE vraag! Ik heb geen idee, wellicht omdat mijn kabel brak is die eraan hangt?

[_AcS_]

TumTum schreef op vrijdag 17 februari 2023 @ 20:30:
Hierbij de foto's van twee Topton mini PC's:
Mocht je vragen hebben over onderstaande mini PC's, let me know..

Specs Topton 2023 mini PC met fan:

• i3-1115G4
• 4x i226-V + console poort
• 16GB 3200 DDR4L Kingston geheugen
• 250GB NVMe (P300 Patriot voor 19 euro)
• PCIe 4.0 moederbord
• Temperatuur tussen de 45 en 70 graden
• Compatible met Windows 11
• UEFI firmware gecontroleerd en UEFI scan gedraaid met ESET.

Totaalprijs zonder geheugen/NVMe: 158,-

Disk Test:
* MB/s = 1,000,000 bytes/s [SATA/600 = 600,000,000 bytes/s]
* KB = 1000 bytes, KiB = 1024 bytes

code:

[Read]
  SEQ    1MiB (Q=  8, T= 1):  1974.090 MB/s [   1882.6 IOPS] <  4243.42 us>
  SEQ    1MiB (Q=  1, T= 1):  1769.836 MB/s [   1687.8 IOPS] <   591.92 us>
  RND    4KiB (Q= 32, T= 1):   442.695 MB/s [ 108079.8 IOPS] <   295.46 us>
  RND    4KiB (Q=  1, T= 1):    55.331 MB/s [  13508.5 IOPS] <    73.82 us>

[Write]
  SEQ    1MiB (Q=  8, T= 1):  1485.577 MB/s [   1416.8 IOPS] <  5627.06 us>
  SEQ    1MiB (Q=  1, T= 1):  1459.182 MB/s [   1391.6 IOPS] <   717.80 us>
  RND    4KiB (Q= 32, T= 1):   356.121 MB/s [  86943.6 IOPS] <   366.14 us>
  RND    4KiB (Q=  1, T= 1):   213.000 MB/s [  52002.0 IOPS] <    19.07 us>

[Afbeelding]

[Afbeelding]

Specs Topton 2023 mini PC zonder fan (inzetten als router):

• N5105
• 4x i226-V
• 16GB 2600 DDR4L Crucial geheugen
• 250GB NVMe Patriot P300
• Temperatuur tussen de 50 en 60 graden tijdens een korte test
• Compatible met OPNsense en memtest succesvol
• Overige zaken moet ik later uitgebreid testen. Geen problemen met de koeling in ieder geval.

Totaalprijs zonder geheugen/NVMe: 156,-

[Afbeelding]

[Afbeelding]

Wat zijn de afmetingen van de Topton?

[Luc45]

Vandaag heb ik de M.2 nvme schijf binnen gekregen, deze wordt gelukkig wel herkend door de Topton unit
Zojuist de Unifi USG vervangen door de Topton, ik heb er Proxmox op gezet met PfSense in een VM. De WAN interface heb ik d.m.v. PCI passtrough aan de VM toegewezen, de LAN trunk is door middel van de proxmox bridge verbonden. Dit werkt allemaal prima nu. Aan de WAN kant heb ik de KPN PPPOE verbinding aangezet op VLAN 6. Als ik een speedtest doe (930mbit gemiddeld, heb nog wat verbetering in de kabels denk ik) dan boeit dit de Topton niks (zie laatste piek):


Het was even klooien om alles aan de praat te krijgen, maar dit is wel een flinke verbetering t.o.v. de USG

[stormfly]

Luc45 schreef op zaterdag 25 februari 2023 @ 22:25:
Vandaag heb ik de M.2 nvme schijf binnen gekregen, deze wordt gelukkig wel herkend door de Topton unit
Zojuist de Unifi USG vervangen door de Topton, ik heb er Proxmox op gezet met PfSense in een VM. De WAN interface heb ik d.m.v. PCI passtrough aan de VM toegewezen, de LAN trunk is door middel van de proxmox bridge verbonden. Dit werkt allemaal prima nu. Aan de WAN kant heb ik de KPN PPPOE verbinding aangezet op VLAN 6. Als ik een speedtest doe (930mbit gemiddeld, heb nog wat verbetering in de kabels denk ik) dan boeit dit de Topton niks (zie laatste piek):
[Afbeelding]

Het was even klooien om alles aan de praat te krijgen, maar dit is wel een flinke verbetering t.o.v. de USG

Top zo ben ik ook gestart, toen liep ik tegen de crashes van de n5105 en n6005 aan met Proxmox.

Heb toen topics gedeeld, zou je even moeten zoeken. Lijkt te maken te hebben met de sleep C-states van de CPU.

Hoe stabiel is het bij jou? Ik draai nu bare metal pfsense gaat ook heel erg goed.


PS 930 is de max komt door protocol overhead.

[ Voor 4% gewijzigd door stormfly op 26-02-2023 09:28 ]

[Luc45]

Nee nog geen crashes gehad voorzover ik weet. Proxmox draait al minstens 12 uur stabiel.
Wat gebeurde er bij jouw crash? Reboot?

[stormfly]

Luc45 schreef op zondag 26 februari 2023 @ 09:37:
Nee nog geen crashes gehad voorzover ik weet. Proxmox draait al minstens 12 uur stabiel.
Wat gebeurde er bij jouw crash? Reboot?

Zie het gelinkte topic. VMs gaan herstarten, de uptime van de VMs zakt dan naar een lager getal dan dat je verwacht. Als je pfSense VM reboot zal je het merken, bij andere VMs mogelijk alleen aan de uptime counter.

[Boomster]

stormfly schreef op donderdag 23 februari 2023 @ 17:03:
[...]


Klopt je mist de vlantagging igc0.6 (punt zes)

Ik weet het even niet meer.
Het lukt nog steeds niet.

Dit hem ik nu staan:







e
Wie kan mij helpen?
Ik weet het even niet meer. H

Edit:
Het is eindelijk gelukt! Ik moest alleen nog bij interface toewijzingen het tabblad 'ppp' configureren.
Vlan6 moest nog gekoppeld worden aan interface wan. Zoals @stormfly aangaf.

Pfeeeewwwww

Edit:
Na het invullen van de key to upgrade naar pfsense plus: downloaden en installeren.
Reboot: blijft hangen in mountroot.
Lukt hem niet om op te starten.
Wat nu weer? Frustrerend!

[ Voor 15% gewijzigd door Boomster op 26-02-2023 12:32 ]

[stormfly]

Boomster schreef op zondag 26 februari 2023 @ 12:03:

Edit:
Het is eindelijk gelukt! Ik moest alleen nog bij interface toewijzingen het tabblad 'ppp' configureren.
Vlan6 moest nog gekoppeld worden aan interface wan. Zoals @stormfly aangaf.

Pfeeeewwwww

Edit:
Na het invullen van de key to upgrade naar pfsense plus: downloaden en installeren.
Reboot: blijft hangen in mountroot.
Lukt hem niet om op te starten.
Wat nu weer? Frustrerend!

Welke NICs heb je? De 226v heeft geen drivers aan boord in 22.01. Wel in 22.05 en 23.01.

Als je nu in 22.01 vast zit, kan het beste de backup terug zetten in een installatie waarop je het werkend had. Mogelijk 2.7.0? Er komt in de komende weken/maanden een upgrade pad naar 23.01 als 2.7.0 final is.

[Boomster]

stormfly schreef op zondag 26 februari 2023 @ 12:53:
[...]


Welke NICs heb je? De 226v heeft geen drivers aan boord in 22.01. Wel in 22.05 en 23.01.

Als je nu in 22.01 vast zit, kan het beste de backup terug zetten in een installatie waarop je het werkend had. Mogelijk 2.7.0? Er komt in de komende weken/maanden een upgrade pad naar 23.01 als 2.7.0 final is.

Na heel veel proberen, nieuwe install is het gelukt.
PFSENSE vond uiteindelijk geen updates meer en er kwamen ook geen nieuwe beschikbaar.

mbv deze pagina is het mij gelukt om te upgraden naar PFSENSE-PLus RC 23.01

voor nu stop ik ermee #vierkante oogjes

[nero355]

Luc45 schreef op zaterdag 25 februari 2023 @ 22:25:
Vandaag heb ik de M.2 nvme schijf binnen gekregen, deze wordt gelukkig wel herkend door de Topton unit
Zojuist de Unifi USG vervangen door de Topton, ik heb er Proxmox op gezet met PfSense in een VM. De WAN interface heb ik d.m.v. PCI passtrough aan de VM toegewezen, de LAN trunk is door middel van de proxmox bridge verbonden. Dit werkt allemaal prima nu. Aan de WAN kant heb ik de KPN PPPOE verbinding aangezet op VLAN 6. Als ik een speedtest doe (930mbit gemiddeld, heb nog wat verbetering in de kabels denk ik) dan boeit dit de Topton niks (zie laatste piek):
[Afbeelding]

NICE!!!

Het was even klooien om alles aan de praat te krijgen, maar dit is wel een flinke verbetering t.o.v. de USG

De USG kan gewoon 1 Gbps via PPPoE overpompen dankzij NAT en PPPoE Offloading Features dus dat is geen probleem opzich, maar het is die verdomde gare webGUI van de UniFi Controller die het ding zo vreselijk veel van de CLI en het config.JSON verhaal afhankelijk maakt dat je net zo goed direkt een EdgeRouter Lite had kunnen kopen!

En als je daarbij nog het zo goed als EOL qua Support verhaal aan vastplakt dan wil je gewoon geen Ubiquiti Router meer en moet je wel naar iets totaal anders grijpen!

[GioStyle]

nero355 schreef op zondag 26 februari 2023 @ 22:03:
[...]

NICE!!!


[...]

De USG kan gewoon 1 Gbps via PPPoE overpompen dankzij NAT en PPPoE Offloading Features dus dat is geen probleem opzich, maar het is die verdomde gare webGUI van de UniFi Controller die het ding zo vreselijk veel van de CLI en het config.JSON verhaal afhankelijk maakt dat je net zo goed direkt een EdgeRouter Lite had kunnen kopen!

En als je daarbij nog het zo goed als EOL qua Support verhaal aan vastplakt dan wil je gewoon geen UniFi Router meer en moet je wel naar iets totaal anders grijpen!

Och, herkenbaar. Mijn complete netwerk bestaat uit spul van de UniFi lijn. De USG verbruikt 8,5W, terwijl ik ook al een Edgerouter X heb die hetzelfde werk kan doen voor 2,5W aan verbruik. Maar dan mis ik de grafiekjes in de UniFi controller.. Klote vendor lock-in.

[nero355]

GioStyle schreef op zondag 26 februari 2023 @ 22:21:
Och, herkenbaar. Mijn complete netwerk bestaat uit spul van de UniFi lijn. De USG verbruikt 8,5W, terwijl ik ook al een Edgerouter X heb die hetzelfde werk kan doen voor 2,5W aan verbruik. Maar dan mis ik de grafiekjes in de UniFi controller.. Klote vendor lock-in.

Ik zie net dat ik een foutje heb gemaakt in de laatste zin :

En als je daarbij nog het zo goed als EOL qua Support verhaal aan vastplakt dan wil je gewoon geen UniFi Ubiquiti Router meer en moet je wel naar iets totaal anders grijpen!

Bij deze ook gelijk aangepast!

Opzich kan je hem trouwens wel aangesloten laten en dan in je DHCP Server Settings als Gateway IP address het IP adres van je DIY Router laten uitdelen!

[GioStyle]

@nero355

Ik heb op de Edgerouter X OpenWrt gezet. Als ik dat goed onder de knie heb gaat de USG het veld ruimen...

[.bart]

Hi! Zijn er hier mensen die OPNsense of pfSense draaien op een Intel NUC met een i225-lm NIC? Ik vraag me af of deze NUC (met twee NICs) geschikt is:
uitvoering: Intel NUC 11 Pro Kit NUC11TNHi30L

Deze NUC bevat twee Intel i225-lm NICs. Ik kom er echter niet achter of deze NICs werken met FreeBSD. Op AliExpress kan ik wel veel hardware voor OPNsense/pfSense vinden met i225-v NICs, waarvan ik dan maar aanneem dat het werkt aangezien er volop met OPNsense en pfSense geadverteerd wordt

[Videopac]

.bart schreef op donderdag 2 maart 2023 @ 14:41:
Hi! Zijn er hier mensen die OPNsense of pfSense draaien op een Intel NUC met een i225-lm NIC? Ik vraag me af of deze NUC (met twee NICs) geschikt is:
uitvoering: Intel NUC 11 Pro Kit NUC11TNHi30L

Deze NUC bevat twee Intel i225-lm NICs. Ik kom er echter niet achter of deze NICs werken met FreeBSD. Op AliExpress kan ik wel veel hardware voor OPNsense/pfSense vinden met i225-v NICs, waarvan ik dan maar aanneem dat het werkt aangezien er volop met OPNsense en pfSense geadverteerd wordt

Wat is het voordeel van een Intel NUC t.o.v. een Topton? Voor de helft van het geld heb je een Topton N5105 (meer dan snel genoeg) en die Bluetooth en wifi van de NUC heb je niet nodig op een router.

[xoniq]

Videopac schreef op donderdag 2 maart 2023 @ 15:51:
[...]

wifi van de NUC heb je niet nodig op een router.

Dit zou ik inderdaad sowieso via losse AP's doen die daarvoor bedoelt zijn. Build-in WiFi is altijd maar zo-zo.

[.bart]

Videopac schreef op donderdag 2 maart 2023 @ 15:51:
[...]

Wat is het voordeel van een Intel NUC t.o.v. een Topton? Voor de helft van het geld heb je een Topton N5105 (meer dan snel genoeg) en die Bluetooth en wifi van de NUC heb je niet nodig op een router.

Geen idee wat het voordeel is. Ik ben niet heel erg bekend met deze merken (allemaal via aliexpress neem ik aan?) Ik heb thuis Unifi APs en een Unifi switch. Ik wil zelf een router beheren, en niet meer het router van Ziggo gebruiken. Als dat mij niet bevalt, kan ik die NUC nog op andere manieren gebruiken (bijv. als media speler of als server), vandaar. Maar dat zal wellicht ook met de Topton hardware kunnen

Ik vind bijvoorbeeld dit:
https://nl.aliexpress.com...urPageLogUid=fjPQgYpen7nt

Die heeft intel i226-v NICs, dat gaat wel werken met OPNsense of pfSense?

[.bart]

xoniq schreef op donderdag 2 maart 2023 @ 15:55:
[...]

Dit zou ik inderdaad sowieso via losse AP's doen die daarvoor bedoelt zijn. Build-in WiFi is altijd maar zo-zo.

Eens, ik heb inmiddels al een tijdje Unifi APs en die bevallen mij erg goed!

[TumTum]

.bart schreef op donderdag 2 maart 2023 @ 14:41:
Hi! Zijn er hier mensen die OPNsense of pfSense draaien op een Intel NUC met een i225-lm NIC? Ik vraag me af of deze NUC (met twee NICs) geschikt is:
uitvoering: Intel NUC 11 Pro Kit NUC11TNHi30L

Deze NUC bevat twee Intel i225-lm NICs. Ik kom er echter niet achter of deze NICs werken met FreeBSD. Op AliExpress kan ik wel veel hardware voor OPNsense/pfSense vinden met i225-v NICs, waarvan ik dan maar aanneem dat het werkt aangezien er volop met OPNsense en pfSense geadverteerd wordt

Grappig, ik heb een Topton gekocht met dezelfde processor en i226v nics voor 158 euro. Ik zou zelf niet voor de NUC gaan door dit gigantische prijsverschil.

[.bart]

TumTum schreef op donderdag 2 maart 2023 @ 18:51:
[...]


Grappig, ik heb een Topton gekocht met dezelfde processor en i226v nics voor 158 euro. Ik zou zelf niet voor de NUC gaan door dit gigantische prijsverschil.

Nice! En jij draait OPNsense of pfSense? Prijsverschil is inderdaad wel groot.

[Luc45]

.bart schreef op donderdag 2 maart 2023 @ 16:32:
[...]


Geen idee wat het voordeel is. Ik ben niet heel erg bekend met deze merken (allemaal via aliexpress neem ik aan?) Ik heb thuis Unifi APs en een Unifi switch. Ik wil zelf een router beheren, en niet meer het router van Ziggo gebruiken. Als dat mij niet bevalt, kan ik die NUC nog op andere manieren gebruiken (bijv. als media speler of als server), vandaar. Maar dat zal wellicht ook met de Topton hardware kunnen

Ik vind bijvoorbeeld dit:
https://nl.aliexpress.com...urPageLogUid=fjPQgYpen7nt

Die heeft intel i226-v NICs, dat gaat wel werken met OPNsense of pfSense?

Let wel op, op dit moment wordt de i1226-v nog niet door de laatste PfSense stable ondersteund, de volgende release zal dat wel doen. Daarom heb ik voor de i225-v gegaan. Voor zover ik weet zit er qua snelheid e.d. geen verschil in.

[TumTum]

.bart schreef op donderdag 2 maart 2023 @ 18:54:
[...]

Nice! En jij draait OPNsense of pfSense? Prijsverschil is inderdaad wel groot.

OPNsense, maar nog weinig mee gedaan. pfSense kan ook met een dev build en een upgrade naar pfSense+. Of wachten op de 2.7CE release.

De verkoper gaf aan dat ze alleen i225 nics konden leveren. I226 was voor mij dus een verrassing. Uiteindelijk erg blij mee.

[Videopac]

i226 schijnt iets zuiniger te zijn. En de eerste revisies van de i225 waren niet vrij van problemen.

[Tom Paris]

Videopac schreef op donderdag 2 maart 2023 @ 19:49:
i226 schijnt iets zuiniger te zijn. En de eerste revisies van de i225 waren niet vrij van problemen.

Ook de i226 is niet 100%, Intel is zelfs andere firmware aan het distribueren voor de chips. Dat is wel het voordeel van een 'echt' merk tov een Topton-achtig kastje, meer zekerheid tav BIOS/firmware updates. Zeker bij een Intel NUC zit je gegarandeerd op de eerste rij...

[RobertMe]

Tom Paris schreef op donderdag 2 maart 2023 @ 20:36:
[...]


Ook de i226 is niet 100%, Intel is zelfs andere firmware aan het distribueren voor de chips. Dat is wel het voordeel van een 'echt' merk tov een Topton-achtig kastje, meer zekerheid tav BIOS/firmware updates. Zeker bij een Intel NUC zit je gegarandeerd op de eerste rij...

Worden die firmware niet ook weer via bv Linux ingeladen? Dat is dan uiteraard wel "vertraagd" @runtime i.p.vm direct door het bios, maar lijkt mij dat dat wel kan? In ieder geval gebeurt dit met Intel GPUs, Intel wifi & Bluetooth adapters/chips en met Realtek ethernet adapters/chips. Op bv Debian kun je die installeren via de firmware-* packages en die worden dan tijdens boot ingeladen (staat ook in dmesg vermeld).

[Tom Paris]

RobertMe schreef op donderdag 2 maart 2023 @ 20:49:
[...]

Worden die firmware niet ook weer via bv Linux ingeladen? Dat is dan uiteraard wel "vertraagd" @runtime i.p.vm direct door het bios, maar lijkt mij dat dat wel kan? In ieder geval gebeurt dit met Intel GPUs, Intel wifi & Bluetooth adapters/chips en met Realtek ethernet adapters/chips. Op bv Debian kun je die installeren via de firmware-* packages en die worden dan tijdens boot ingeladen (staat ook in dmesg vermeld).

Ik weet niet of dit kan / al gebeurt voor Intel NICs, maar wat ik wel weet is dat FreeBSD altijd gruwelijk achterloopt met dit soort dingen en veel afhangt van de specifieke distro. Helaas dat Intel momenteel zijn reputatie van stabiliteit en performance niet waar kan maken met de 2.5Gbit lijn.

[.bart]

Is er dan een verschil tussen i225-v en i225-lm? Dat wordt mij niet duidelijk als ik op het net zoek.

[Tom Paris]

.bart schreef op donderdag 2 maart 2023 @ 22:19:
Is er dan een verschil tussen i225-v en i225-lm? Dat wordt mij niet duidelijk als ik op het net zoek.

De -LM ondersteunt AMT op vPro systemen. Niet relevant voor *sense dus

[Boomster]

Goedemorgen allemaal,

ik heb vandaag weer even tijd om aan mijn config te werken.
Ik heb inmiddels, met jullie hulp, internet werkend.
Echter de TV (KPN) is nog een dingetje.
Wanneer ik de VLAN4 interface ga configureren, lukt het om deze als DHCP in te zetten.

Echter wanneer ik de advanced setting van de DHCP server op deze inerface wil aanpassen met de 'send options' en de 'request options' wil PFSENSE+ deze niet opslaan.
Wanneer ik deze vernadering erinzet, geeft het log de volgende melding.

Netgate pfSense Plus is restoring the configuration /cf/conf/backup/config-1677825697.xml @ 2023-03-03 07:56:54

De aangepaste setting onder deze waarden van de DHCP server blijven er niet instaan.

Geeft iemand een idee waarom PFSENSE+ deze settings niet slikt en vanzelf weer een andere config erin zet?

[TumTum]

Tom Paris schreef op donderdag 2 maart 2023 @ 20:36:
[...]


Ook de i226 is niet 100%, Intel is zelfs andere firmware aan het distribueren voor de chips. Dat is wel het voordeel van een 'echt' merk tov een Topton-achtig kastje, meer zekerheid tav BIOS/firmware updates. Zeker bij een Intel NUC zit je gegarandeerd op de eerste rij...

Drivers inderdaad. Is geen probleem in FreeBSD als ik kijk naar pfSense en OPNsense met de i225-v issues uit het verleden. Mocht er echt een probleem zijn die alleen op te lossen is met een bios update, dan kun je prima aankloppen bij Topton. De support is erg snel (verbazingwekkend) en vriendelijk.

[Videopac]

Ik wacht wel met het vervangen van mijn 1Gb router totdat er stabiele 2,5Gb NIC’s zijn. Echter prestatiewinst is er nu toch nog niet (of trekken jullie je Gb internet regelmatig volledig dicht?).

[bntjah]

Videopac schreef op vrijdag 3 maart 2023 @ 11:12:
Ik wacht wel met het vervangen van mijn 1Gb router totdat er stabiele 2,5Gb NIC’s zijn. Echter prestatiwinst is er nu toch nog niet (of trekken jullie je Gb internet regelmatig volledig dicht?).

Het probleem met 2,5Gb NIC's is voor mij meer een "betaalbaar" manageable switch die 2,5Gb kan runnen. Dus zolang dit er niet doorkomt denk ik dat ik voorlopig ook bij mijn HP T620 Plus blijf en pfS run tot hij er mee stopt ;-)

[.bart]

De i225 NICs ondersteunen ook VLANs? Als im het goed heb, heb je de igc driver nodig, maar die staat hier niet vermeld: https://man.freebsd.org/c...SD+13.1-RELEASE+and+Ports

Echter bij de man page van de driver wordt wel verwezen naar vlan(4): https://man.freebsd.org/c...&arch=default&format=html

[Luc45]

Jahoor, ik laat een trunk met meerdere vlan's over 1 vd i225v's lopen

[.bart]

Luc45 schreef op zaterdag 4 maart 2023 @ 21:03:
Jahoor, ik laat een trunk met meerdere vlan's over 1 vd i225v's lopen

Bedankt!

[nero355]

Videopac schreef op donderdag 2 maart 2023 @ 15:51:
Wat is het voordeel van een Intel NUC t.o.v. een Topton?

Dat ik daar meer vertrouwen in heb dan in Topton of een ander Ali/Banggood/enz. merk

Voor de helft van het geld heb je een Topton N5105 (meer dan snel genoeg) en die Bluetooth en wifi van de NUC heb je niet nodig op een router.

BT en WiFi waren niet eens een punt van discussie, maar het correct monteren van koeling zeer zeker wel bij de Topton en daar heb ik ooit zo'n serieus slechte trauma van opgelopen dat ik merken die dat niet goed kunnen als de pest mijd!

_{Iets met een € 1100 kostende PowerColor videokaart van een vriend en incorrecte spacers en hoeveelheid koelpasta en zo... triest... ZEER TRIEST!!!}

TumTum schreef op donderdag 2 maart 2023 @ 18:51:
Grappig, ik heb een Topton gekocht met dezelfde processor en i226v nics voor 158 euro. Ik zou zelf niet voor de NUC gaan door dit gigantische prijsverschil.

.bart schreef op donderdag 2 maart 2023 @ 18:54:
Prijsverschil is inderdaad wel groot.

Intel NUC's zijn dan eigenlijk ook het leukst om later tweedehands van iemand over te nemen op het moment dat je voorbij de € 200 gaat als aanschafprijs

Videopac schreef op donderdag 2 maart 2023 @ 19:49:
i226 schijnt iets zuiniger te zijn. En de eerste revisies van de i225 waren niet vrij van problemen.

Tom Paris schreef op donderdag 2 maart 2023 @ 20:36:
Ook de i226 is niet 100%, Intel is zelfs andere firmware aan het distribueren voor de chips. Dat is wel het voordeel van een 'echt' merk tov een Topton-achtig kastje, meer zekerheid tav BIOS/firmware updates. Zeker bij een Intel NUC zit je gegarandeerd op de eerste rij...

Mja, eerlijk is eerlijk : Intel is al lang geen heilige meer qua NIC's helaas, maar je hebt wel meer kans op goed werkende drivers en firmware, echter is FreeBSD daar weer een uitzondering op gebleken... ironie all over the place!

RobertMe schreef op donderdag 2 maart 2023 @ 20:49:
Worden die firmware niet ook weer via bv Linux ingeladen?

Dat is dan uiteraard wel "vertraagd" @runtime i.p.vm direct door het bios, maar lijkt mij dat dat wel kan?
In ieder geval gebeurt dit met Intel GPUs, Intel wifi & Bluetooth adapters/chips en met Realtek ethernet adapters/chips. Op bv Debian kun je die installeren via de firmware-* packages en die worden dan tijdens boot ingeladen (staat ook in dmesg vermeld).

Ik zie dat vaak genoeg langskomen onder Kubuntu op mijn laptop, maar ik heb het idee dat er verder niks effectief mee gebeurt

Heb jij weleens echt de firmware van een apparaat geüpgrade zien worden ??

En zit die feature ook in OpenWRT bijvoorbeeld ?
Onder FreeBSD zal je er niet zoveel aan hebben gok ik, zelfs met de Linux Compatibility meuk erbij geïnstalleerd

Boomster schreef op vrijdag 3 maart 2023 @ 08:05:
Echter wanneer ik de advanced setting van de DHCP server op deze inerface wil aanpassen met de 'send options' en de 'request options' wil PFSENSE+ deze niet opslaan.
Wanneer ik deze vernadering erinzet, geeft het log de volgende melding.

code:

Netgate pfSense Plus is restoring the configuration /cf/conf/backup/config-1677825697.xml @ 2023-03-03 07:56:54

De aangepaste setting onder deze waarden van de DHCP server blijven er niet instaan.

Geeft iemand een idee waarom PFSENSE+ deze settings niet slikt en vanzelf weer een andere config erin zet?

Ik zou eens goed op je syntax letten en als het echt niet lukt dan effe proberen om die configuratie direct in een config file of je config XML file te zetten

TumTum schreef op vrijdag 3 maart 2023 @ 09:28:
Drivers inderdaad. Is geen probleem in FreeBSD als ik kijk naar pfSense en OPNsense met de i225-v issues uit het verleden. Mocht er echt een probleem zijn die alleen op te lossen is met een bios update, dan kun je prima aankloppen bij Topton.
De support is erg snel (verbazingwekkend) en vriendelijk.

Klinkt alsof je daadwerkelijk praktijkervaring hebt dus we horen graag van je wat er toen speelde!

Videopac schreef op vrijdag 3 maart 2023 @ 11:12:
Ik wacht wel met het vervangen van mijn 1Gb router totdat er stabiele 2,5Gb NIC’s zijn.
Echter prestatiwinst is er nu toch nog niet (of trekken jullie je Gb internet regelmatig volledig dicht?).

Ergens in het Caiway Topic was er iemand die grofweg 100 Mbps meer uit zijn 1 Gbps aansluiting kreeg op het moment dat hij zijn ASUS Router van 1 Gbps WAN naar 2,5 Gbps WAN had overgezet

Dat is echter geen PPPoE aansluiting dus ik weet niet wat je ermee opschiet i.c.m. een KPN abonnement...

bntjah schreef op vrijdag 3 maart 2023 @ 11:14:
Het probleem met 2,5Gb NIC's is voor mij meer een "betaalbaar" manageable switch die 2,5Gb kan runnen.

Wat houdt voor jou betaalbaar in

Dat lijkt voor iedereen weer anders te zijn als het om hun LAN wensen gaat

Dus zolang dit er niet doorkomt denk ik dat ik voorlopig ook bij mijn HP T620 Plus blijf en pfS run tot hij er mee stopt ;-)

Sowieso een goed plan!

[RobertMe]

nero355 schreef op zaterdag 4 maart 2023 @ 22:28:
[...]

Ik zie dat vaak genoeg langskomen onder Kubuntu op mijn laptop, maar ik heb het idee dat er verder niks effectief mee gebeurt

Heb jij weleens echt de firmware van een apparaat geüpgrade zien worden ??

Heb jij een videokaart / wifi chip / ethernet chip / ... met een vorm van persistent opslag? Volgens mij is dat nooit het geval. Firmware zit, bv, in het bios ingebakken die dat ASAP doet inladen zodat het ding functioneert. Vervolgens kan Linux, waarschijnlijk, dus zo'n firmware weer gewoon "overschrijven". Dat is ook waarmee het mee begon nu: voor nieuwe firmware heb je nieuw BIOS nodig.
Zelfde geldt ook weer voor CPUs. Alleen heet het dan "microcode". Die zit in het BIOS ingebakken en bv voor heartbleed en zo had je bv een BIOS update nodig. Of je deed gewoon fixen dat de juiste microcode @runtime werd ingeladen. Microcode moet dan alleen heel vroeg worden ingeladen. Daarom dat je onder Linux dit meteen in de bootloader fixt door een initrd die wordt uitgevoerd voor de echte initrd.

En zit die feature ook in OpenWRT bijvoorbeeld ?

Geen idee. Gezien het een Linux kernel feature is is het natuurlijk de vraag of het uit is te zetten en of OpenWRT het uit zet. Daarnaast moet je dan ook nog de firmware files installeren / geinstalleerd hebben. En die passen vast ook niet op de opslag van een routertje.

Onder FreeBSD zal je er niet zoveel aan hebben gok ik, zelfs met de Linux Compatibility meuk erbij geïnstalleerd

Grote vraag is dan of de firmware files OS specifiek zijn. Ik ga er vanuit van niet, v.w.b. echt de firmware blob. FreeBSD is vervolgens vrij om ervoor te kiezen om wel of niet in een driver code in te bakken die die blob doorduwt naar het stuk hardware als zijnde "hier is een (nieuw) firmware". Daar zal in zoverre weinig Linux Compatibility aan te pas hoeven te komen gok ik zo. Want het inladen van de firmwares is iets dat de driver doet. En FreeBSD zal vast niet de drivers / kernel modules van Linux gebruiken.

[...]

Ergens in het Caiway Topic was er iemand die grofweg 100 Mbps meer uit zijn 1 Gbps aansluiting kreeg op het moment dat hij zijn ASUS Router van 1 Gbps WAN naar 2,5 Gbps WAN had overgezet

Dat is echter geen PPPoE aansluiting dus ik weet niet wat je ermee opschiet i.c.m. een KPN abonnement...

Da's toch logisch. Een provider levert in principe 1Gbit/s op IP niveau (OSI 3?). Terwijl een 1 Gbit/s poort de limiet op ethernet niveau heeft (OSI 2?). Oftewel: door de beperking op de verschillende lagen heb je een stuk overhead "door" de extra laag die dus niet door de beperking van de onderste (ethernet) laag past. Door een 2,5Gbit/s poort te gebruiken is die beperking er niet meer en kun je wel 1Gbit/s aan IP pakketjes er doorheen duwen. Omdat die 1Gbit/s aan IP dan bv 1,5 Gbit/s aan ethernet oplevert dat wel door die 2,5Gbit/s poort "past" maar niet door de 1Gbit/s poort. Dezelfde situatie is er ook bij Ziggo met het nieuwe modem met 2,5Gbit/s poort. Heeft toentertijd zelfs de frontpage gehaald als zijnde "er zijn Ziggo klanten die een snelheid van 1100 Mbit/s melden waar ze daarvoor maar 980Mbit/s haalden". Maar dat waren dus allemaal klanten die in beta zaten met een modem met 2,5Gbit/s poort.

[Tom Paris]

RobertMe schreef op zaterdag 4 maart 2023 @ 22:56:
[...]

Heb jij een videokaart / wifi chip / ethernet chip / ... met een vorm van persistent opslag? Volgens mij is dat nooit het geval.

Absoluut wel Niet voor alle toepassingen is dit flash (zeker niet voor 'consumer-grade' chips), maar bijv. een Intel X520 NIC heeft firmware upgrades die je zelf kunt flashen.

[nero355]

RobertMe schreef op zaterdag 4 maart 2023 @ 22:56:
Heb jij een videokaart / wifi chip / ethernet chip / ... met een vorm van persistent opslag?
Volgens mij is dat nooit het geval.

In principe kan je een hoop dingen flashen terwijl het OS gewoon doordraait, zoals een SSD of een RAID dan wel HBA Controller

Firmware zit, bv, in het bios ingebakken die dat ASAP doet inladen zodat het ding functioneert. Vervolgens kan Linux, waarschijnlijk, dus zo'n firmware weer gewoon "overschrijven".

Dat is ook waarmee het mee begon nu: voor nieuwe firmware heb je nieuw BIOS nodig.

Videokaarten hebben ook een eigen BIOS die je kan flashen en zelfs in sommige gevallen mixen qua merk BIOS dat je flasht dus iets van een universele BIOS voor die dingen zou een optie kunnen zijn...

In het geval van Intel dan wel AMD iGPU/APU modellen is dat waarschijnlijk ook wel zo ?!

Zelfde geldt ook weer voor CPUs. Alleen heet het dan "microcode".
Die zit in het BIOS ingebakken en bv voor heartbleed en zo had je bv een BIOS update nodig.
Of je deed gewoon fixen dat de juiste microcode @runtime werd ingeladen. Microcode moet dan alleen heel vroeg worden ingeladen. Daarom dat je onder Linux dit meteen in de bootloader fixt door een initrd die wordt uitgevoerd voor de echte initrd.

Dat is waarschijnlijk het meest bekende verhaal van de afgelopen 10 jaar of zo en juist omtrent dat probleem heb ik er niet zoveel van gemerkt behalve hier een daar een melding tijdens het opstarten of ik a.u.b. eens gauw wilde kijken of er een nieuwe BIOS/UEFI is uitgebracht waarin het probleem is aangepakt...

Geen idee. Gezien het een Linux kernel feature is is het natuurlijk de vraag of het uit is te zetten en of OpenWRT het uit zet. Daarnaast moet je dan ook nog de firmware files installeren / geinstalleerd hebben. En die passen vast ook niet op de opslag van een routertje.

Tegenwoordig zie je vaak al gauw wat meer opslag aanwezig zijn dus het zou wel kunnen in principe, maar wordt het ook gedaan

Grote vraag is dan of de firmware files OS specifiek zijn. Ik ga er vanuit van niet, v.w.b. echt de firmware blob.
FreeBSD is vervolgens vrij om ervoor te kiezen om wel of niet in een driver code in te bakken die die blob doorduwt naar het stuk hardware als zijnde "hier is een (nieuw) firmware". Daar zal in zoverre weinig Linux Compatibility aan te pas hoeven te komen gok ik zo. Want het inladen van de firmwares is iets dat de driver doet. En FreeBSD zal vast niet de drivers / kernel modules van Linux gebruiken.

Men gebruikte vroeger in ieder geval vaak een compacte Red Hat omgeving dus alles daarvan was ook aanwezig IIRC

Da's toch logisch. Een provider levert in principe 1Gbit/s op IP niveau (OSI 3?). Terwijl een 1 Gbit/s poort de limiet op ethernet niveau heeft (OSI 2?). Oftewel: door de beperking op de verschillende lagen heb je een stuk overhead "door" de extra laag die dus niet door de beperking van de onderste (ethernet) laag past. Door een 2,5Gbit/s poort te gebruiken is die beperking er niet meer en kun je wel 1Gbit/s aan IP pakketjes er doorheen duwen. Omdat die 1Gbit/s aan IP dan bv 1,5 Gbit/s aan ethernet oplevert dat wel door die 2,5Gbit/s poort "past" maar niet door de 1Gbit/s poort. Dezelfde situatie is er ook bij Ziggo met het nieuwe modem met 2,5Gbit/s poort. Heeft toentertijd zelfs de frontpage gehaald als zijnde "er zijn Ziggo klanten die een snelheid van 1100 Mbit/s melden waar ze daarvoor maar 980Mbit/s haalden". Maar dat waren dus allemaal klanten die in beta zaten met een modem met 2,5Gbit/s poort.

Allemaal prima, maar ik vraag me dus alleen af welk effect het gebruik van PPPoE heeft in zo'n geval, want het genoemde voorbeeld is net als die Ziggo aansluiting puur DHCP aanzetten en inprikken op een kleine VLAN Tagging optie na

Gezien we het hier hebben over CPU's dan wel SoC's die wel of niet de 1 Gbps via PPPoE kunnen volpompen en zo...

[Boomster]

nero355 schreef op zaterdag 4 maart 2023 @ 22:28:


[...]

Ik zou eens goed op je syntax letten en als het echt niet lukt dan effe proberen om die configuratie direct in een config file of je config

Dat is uiteindelijk na heel veel gepiel ook hetgeen wat ik gedaan heb.
Nu draait de PFSENSE+ met PFblockerng als een zonnetje.
Nu de openvpn nog configureren om vai vpn in mijn netwerk te komen.
Zal daar nog eens een goede Tut voor op zoeken.

[Kabouterplop01]

RobertMe schreef op zaterdag 4 maart 2023 @ 22:56:


Da's toch logisch. Een provider levert in principe 1Gbit/s op IP niveau (OSI 3?). Terwijl een 1 Gbit/s poort de limiet op ethernet niveau heeft (OSI 2?). Oftewel: door de beperking op de verschillende lagen heb je een stuk overhead "door" de extra laag die dus niet door de beperking van de onderste (ethernet) laag past. Door een 2,5Gbit/s poort te gebruiken is die beperking er niet meer en kun je wel 1Gbit/s aan IP pakketjes er doorheen duwen. Omdat die 1Gbit/s aan IP dan bv 1,5 Gbit/s aan ethernet oplevert dat wel door die 2,5Gbit/s poort "past" maar niet door de 1Gbit/s poort. Dezelfde situatie is er ook bij Ziggo met het nieuwe modem met 2,5Gbit/s poort. Heeft toentertijd zelfs de frontpage gehaald als zijnde "er zijn Ziggo klanten die een snelheid van 1100 Mbit/s melden waar ze daarvoor maar 980Mbit/s haalden". Maar dat waren dus allemaal klanten die in beta zaten met een modem met 2,5Gbit/s poort.

Helaas, je haalt dingen door elkaar; Gbit is op laag 1 de fysieke laag.
Alle andere lagen hebben te maken met de protocolsoort die de overhead veroorzaakt. Effectief is een Gbit een Gbit, ook al heb je aan de andere kant van de lijn dan net iets minder throughput.
Wat zou kunnen met die betatest is dat de policers (laag 2) en de shapers (laag 3) niet op het profiel van de testers zaten. Als je dan een 2,5 GBit NIC hebt ben je gelimiteerd aan wat op de providers edge staat, zowel hardwarematig als softwarematig.

[_AcS_]

Gisterenavond van wat oude hardware maar weer een pfsense router gemaakt.

Een Lian Li HTPC kast, AMD Athlon 3000G, AM320 mobo en een Intel PRO/1000 PT Quad port NIC.

Vandaag alle basis instellingen + suricata in pfsense geïnstalleerd en de Dream Machine SE tijdelijk uitgeschakeld. Unifi instellingen in de Cloudkey Gen2+ geladen en de AP's , switches en camera's geconfigureerd.

Het eerste wat mij op valt dat mijn wifi een stuk sneller is dan met de UDM SE, van gem. 300Mbps naar 500Mbps.

Deze week maar verder spelen

[MisteRMeesteR]

VA mag in VA blijven

[Boomster]

Uiteindelijk is het gelukt om mijn PFSENSE+ stabiel te maken en te krijgen.
Ik heb nu PFBLOCKERNG draaien, wat prima werkt.
Daarnaast heb ik een VPN opgezet middels openvpn. Ik heb deze zo geconfigureerd dat al het verkeer via de tunnel gaat, waardoor het lijkt dat ik vanuit huis het internet op ga. Ik ben voorbereid voor de regels die de grootste streamprovider mogelijk gaat instellen om het delen van accounts aan banden te leggen.
Een groot voordeel van deze setup icm met always-on VPN op de telefoon, is dat deze ook ALTIJD aan is. Zonder onderbrekingen, alleen wanneer ik van wifi naar 5g wissel is hij even onderbroken, natuurlijk.

Nu zien hoe de setup zich gaat houden iver langere tijd gemeten.
Het is wel fijn dat al mijn devices die via de vpn gekoppeld zijn ook adblock hebben.

Nu nog uitzoeken of ik youtube reclames kan blokkeren.

anyone ideas?

#boomsterisblij 😃

[jadjong]

Boomster schreef op woensdag 8 maart 2023 @ 06:42:

anyone ideas?

#boomsterisblij 😃

Plaats overal waar je langer dan een uur bent laadkabels voor de telefoon, VPN trekt de batterij leeg doordat de verbinding niet in standby/low power gaat.

[stormfly]

_AcS_ schreef op zondag 5 maart 2023 @ 11:32:
Gisterenavond van wat oude hardware maar weer een pfsense router gemaakt.

Een Lian Li HTPC kast, AMD Athlon 3000G, AM320 mobo en een Intel PRO/1000 PT Quad port NIC.

Vandaag alle basis instellingen + suricata in pfsense geïnstalleerd en de Dream Machine SE tijdelijk uitgeschakeld. Unifi instellingen in de Cloudkey Gen2+ geladen en de AP's , switches en camera's geconfigureerd.

Het eerste wat mij op valt dat mijn wifi een stuk sneller is dan met de UDM SE, van gem. 300Mbps naar 500Mbps.

Deze week maar verder spelen

Kan zijn dat je nu andere kanalen of 80 ipv 40Mhz gebruikt. Of je UDM SE had het zwaar? Volgens mij zou deze wel meer dan 1G met inspectie moeten halen?

Wat wil je met suricata bereiken? Die tools, net als van de UDx lijn van UniFi werken in mijn optiek niet. Je krijgt een melding, en in 90% is het uiteindelijk een false positive.

Als je een veilig netwerk wilt zou ik eerder denken aan een publieke DNS aanbieder met malware filter. Dan komt de verbinding nooit tot stand. Bij suricata heb je volgens mij altijd 1x een sessie gehad voordat hij kan gaan blokkeren.

Ben benieuwd naar jullie suricata visie? Misschien mis ik iets wat ik wel graag zou gebruiken. Vorig jaar heb in het uitgeschakeld en dat scheelde best wat warmte.

[stormfly]

Qua VPN heb je gelijk dat werkt echt mooi. Op kantoor zonder IPv6, als ik het VPN aanzet (wireguard) heb ik netjes IPv6 op kantoor 👍

Nog een tip is om met geo blocking te werken. (Maxmind) en dan voor je VPN alleen Nederlandse adressen toe te laten.

[Boomster]

jadjong schreef op woensdag 8 maart 2023 @ 06:59:
[...]

Plaats overal waar je langer dan een uur bent laadkabels voor de telefoon, VPN trekt de batterij leeg doordat de verbinding niet in standby/low power gaat.

Dat valt tot nu toe erg mee. overnacht is mijn telefoon 9% leeggelopen. Hopelijk blijft dat zo.

[_AcS_]

stormfly schreef op woensdag 8 maart 2023 @ 07:34:
[...]


Kan zijn dat je nu andere kanalen of 80 ipv 40Mhz gebruikt. Of je UDM SE had het zwaar? Volgens mij zou deze wel meer dan 1G met inspectie moeten halen?

Wat wil je met suricata bereiken? Die tools, net als van de UDx lijn van UniFi werken in mijn optiek niet. Je krijgt een melding, en in 90% is het uiteindelijk een false positive.

Als je een veilig netwerk wilt zou ik eerder denken aan een publieke DNS aanbieder met malware filter. Dan komt de verbinding nooit tot stand. Bij suricata heb je volgens mij altijd 1x een sessie gehad voordat hij kan gaan blokkeren.

Ben benieuwd naar jullie suricata visie? Misschien mis ik iets wat ik wel graag zou gebruiken. Vorig jaar heb in het uitgeschakeld en dat scheelde best wat warmte.

Ik had met de UDM SE ook 80Mhz aanstaan, daar kan het dan niet aan liggen vermoed ik.
Ik haalde met IPS/IDS aan 943Mbps down en 925Mbps up. Met Pfsense 935Mbps en 899Mbps.
CPU verbruik rond de 31% bij speedtest, anders rond 5 tot 11%.

Ik heb bij de UDM SE geen enkele false positive gehad.

Als DNS gebruik ik op het moment 1.1.1.1 en 1.0.0.1 en niet die van de provider.

Wat me ook opvalt is dat Protect sneller reageert bij de Cloudkey Gen2+, ik kan alle detections normaal afspelen en bij de UDM SE duurde het een eeuwigheid, vooral sinds de laatste update van Protect.

[Pierre]

Boomster schreef op woensdag 8 maart 2023 @ 06:42:
Nu nog uitzoeken of ik youtube reclames kan blokkeren.
#boomsterisblij 😃

Dat gaat je niet lukken.

[ Voor 11% gewijzigd door Pierre op 08-03-2023 08:52 ]

[Boomster]

Pierre schreef op woensdag 8 maart 2023 @ 08:52:
[...]

Dat gaat je niet lukken.

ben ik ook bang voor...

[Sp33dFr34k]

@Boomster 2 dingen, kijk eens naar Wireguard ipv OpenVPN, die is veel lichter/sneller. En youtube ads blokkeren gaat je inderdaad niet lukken. Je kunt wel gebruik maken van "alternatieve services", maar letterlijk de ads van youtube.com blokkeren, nope...

[RobertMe]

Sp33dFr34k schreef op woensdag 8 maart 2023 @ 09:06:
@Boomster 2 dingen, kijk eens naar Wireguard ipv OpenVPN, die is veel lichter/sneller.

Niet alleen dat, maar Wireguard heeft ook geen / minder issues met roamen. @Boomster gaf aan dat de verbinding een paar seconden weg is bij switchen tussen wifi & telefoonnetwerk, bij Wireguard zou dat helemaal niet moeten spelen. Dit doordat het UDP is en endpoints transparant van IP adres kunnen veranderen en op basis van het eerste pakketje van de telefoon op het nieuwe IP adres meteen alle nieuwe pakketten naar de telefoon ook naar dat nieuwe IP gestuurd worden. Daar waar OpenVPN dus een volledig nieuwe verbinding moet opzetten en de handshake doorlopen etc.

[Boomster]

Sp33dFr34k schreef op woensdag 8 maart 2023 @ 09:06:
@Boomster 2 dingen, kijk eens naar Wireguard ipv OpenVPN, die is veel lichter/sneller. En youtube ads blokkeren gaat je inderdaad niet lukken. Je kunt wel gebruik maken van "alternatieve services", maar letterlijk de ads van youtube.com blokkeren, nope...

Deze staat idd nog op mijn todo lijstje. experimenteren.
Alleen nog ff een betrouwbare tut zien te vinden. idee?

[DoinkDeClown]

Ik wil een PfSense FW opzetten en heb een vraag over de hardware.

Ik heb minstens 3 ethernetpoorten nodig: 1 voor WAN, 1 voor LAN (mijn pc), en 1 voor een router waarop telefoon/apparaten van vrouwlief/IoT/etc gaan. Dit om mijn pc gescheiden te houden van soms twijfelachtige apparaten. Dit beperkt de keuze in barebones.

De meest geschikte kandidaten die ik zie zijn:
• Model B hieruit met I226 NIC
• Deze met Celeron N5105.

De tweede lijkt mij prima, met 8 GB RAM en 128GB NVMe. De I225 is voor nu beter qua PfSense ondersteuning las ik. Bij de tweede link staat I225/I226, dus dat is mij niet helemaal duidelijk.

Ik zag tevens wat verhalen over slechte koeling bij sommige modellen (model C in een van de bovenstaande links). Open deur, maar er zijn geen betere, niet-Chineze opties zonder 3x in prijs omhoog te gaan begrijp ik?

[arjanw848]

Je kunt natuurlijk ook met meerdere VLANs werken op je LAN interface ?

[ Voor 4% gewijzigd door arjanw848 op 09-03-2023 00:01 ]

[andru123]

Lol op die fake unleesbaar CE, UL certificaten op ali pagina. Tenminste power adapter lijkt echt

[Kabouterplop01]

offtopic:
[quote]Boomster schreef op woensdag 8 maart 2023 @ 16:53:
[...]
Alleen nog ff een betrouwbare tut zien te vinden. idee?
[/quote]

Ik ga stuk!

[borft]

DoinkDeClown schreef op woensdag 8 maart 2023 @ 20:44:
Ik wil een PfSense FW opzetten en heb een vraag over de hardware.

Ik heb minstens 3 ethernetpoorten nodig: 1 voor WAN, 1 voor LAN (mijn pc), en 1 voor een router waarop telefoon/apparaten van vrouwlief/IoT/etc gaan. Dit om mijn pc gescheiden te houden van soms twijfelachtige apparaten. Dit beperkt de keuze in barebones.

waarom een router achter een router? kan je niet gewoon beter een switch gebruiken en het met vlan's oplossen? scheelt je ook weer een netwerkkaart en een router

[shades684]

DoinkDeClown schreef op woensdag 8 maart 2023 @ 20:44:

De meest geschikte kandidaten die ik zie zijn:
• Model B hieruit met I226 NIC
• Deze met Celeron N5105.

Ik draai hier nu een poosje proxmox en pfSense op de Model B met 32GB RAM en 500GB NVMe. Helaas doet pfSense CE het alleen als je de NIC virtualiseerd, maar onder pfSense plus werkt de driver wel. Helaas moet je met CE beginnen voor je naar de plus editie kan upgraden voor zover ik weet.

[nero355]

Boomster schreef op woensdag 8 maart 2023 @ 06:42:
Nu nog uitzoeken of ik youtube reclames kan blokkeren.

anyone ideas?

Pierre schreef op woensdag 8 maart 2023 @ 08:52:
Dat gaat je niet lukken.

Sp33dFr34k schreef op woensdag 8 maart 2023 @ 09:06:
En youtube ads blokkeren gaat je inderdaad niet lukken.

Echt wel!

Je kunt wel gebruik maken van "alternatieve services", maar letterlijk de ads van youtube.com blokkeren, nope...

Als jij onderstaande bedoelt dan zijn we het met elkaar eens :

- Firefox + uBlock Origin = Geen advertenties op YouTube
Dus onder Android/*BSD/Linux/Windows de simpelste oplossing!
- Alternatieve optie met elke willekeurige browser als je geen uBlock Origin kan installeren : DuckDuckGo.com Video Search
- Android TV kastjes + Alternatieve App (Zie bijvoorbeeld de TS van het Nvidia Shield TV Console Topic) waar AdBlocking in zit = Geen advertenties op YouTube
- Android tablet/telefoon = Effe zoeken naar de laatste trend daarop nu ze YouTube Vanced offline hebben gehaald...
- LG TV met WebOS + Developer Mode + YouTube AdFree = Geen advertenties op YouTube
Moet je wel de Developer Mode Session elke 49 uur of korter verversen, maar daar krijg je een kant en klare cronjob voor in de tool die je ervoor download of je bakt zelf wat in elkaar met behulp van de juiste link met daarin je sessie

Kortom : Opties genoeg!

stormfly schreef op woensdag 8 maart 2023 @ 07:34:
Kan zijn dat je nu andere kanalen of 80 ipv 40Mhz gebruikt. Of je UDM SE had het zwaar? Volgens mij zou deze wel meer dan 1G met inspectie moeten halen?

Ligt eraan of je nog PPPoE erbij gooit!

Wat wil je met suricata bereiken? Die tools, net als van de UDx lijn van UniFi werken in mijn optiek niet. Je krijgt een melding, en in 90% is het uiteindelijk een false positive.

Heel veel mensen weten niet eens wat ze ermee aan moeten inderdaad!

Of het betrouwbaar is of niet durf ik niet te zeggen...

Als je een veilig netwerk wilt zou ik eerder denken aan een publieke DNS aanbieder met malware filter.

Pi-Hole + Unbound en dan gewoon met dergelijke lijsten aanvullen lijkt me dan de betere optie, want niet afhankelijk van een extern bedrijf!

Dan komt de verbinding nooit tot stand. Bij suricata heb je volgens mij altijd 1x een sessie gehad voordat hij kan gaan blokkeren.

Je kan ze natuurlijk combineren, want pfBlockerNG kan grofweg hetzelfde!

Ben benieuwd naar jullie suricata visie?
Misschien mis ik iets wat ik wel graag zou gebruiken. Vorig jaar heb in het uitgeschakeld en dat scheelde best wat warmte.

IMHO iets waar je eerst flink over moet lezen en daarna ermee aan de slag kan gaan i.c.m. een heleboel finetuning

stormfly schreef op woensdag 8 maart 2023 @ 07:37:
Nog een tip is om met geo blocking te werken.
(Maxmind) en dan voor je VPN alleen Nederlandse adressen toe te laten.

Maar dan heb je toch ook weer Suricata nodig of toch niet

_AcS_ schreef op woensdag 8 maart 2023 @ 08:49:
Als DNS gebruik ik op het moment 1.1.1.1 en 1.0.0.1 en niet die van de provider.

@xbeam heeft een keer mooi uitgelegd waarom dat geen goed idee is tegenwoordig

Wat me ook opvalt is dat Protect sneller reageert bij de Cloudkey Gen2+, ik kan alle detections normaal afspelen en bij de UDM SE duurde het een eeuwigheid, vooral sinds de laatste update van Protect.

Dat is best wel gek, want beiden zouden ondertussen dezelfde firmware als de basis moeten hebben : 3.x.x en hoger!

RobertMe schreef op woensdag 8 maart 2023 @ 09:18:
Niet alleen dat, maar Wireguard heeft ook geen / minder issues met roamen. @Boomster gaf aan dat de verbinding een paar seconden weg is bij switchen tussen wifi & telefoonnetwerk, bij Wireguard zou dat helemaal niet moeten spelen. Dit doordat het UDP is en endpoints transparant van IP adres kunnen veranderen en op basis van het eerste pakketje van de telefoon op het nieuwe IP adres meteen alle nieuwe pakketten naar de telefoon ook naar dat nieuwe IP gestuurd worden.
Daar waar OpenVPN dus een volledig nieuwe verbinding moet opzetten en de handshake doorlopen etc.

OpenVPN gebruikt standaard ook UDP dus dan is het eerder de rest van de opbouw eromheen dan UDP opzich denk ik

Boomster schreef op woensdag 8 maart 2023 @ 16:53:
Alleen nog ff een betrouwbare tut zien te vinden. idee?

pfSense in een VM installeren en zelf ontdekken en doen en niet constant afhankelijk zijn van anderen ?!

[andru123]

@shades684 wat is het verbruik? Temperatuur?

[shades684]

Verbruik heb ik momenteel niet, zal er eens een shelly plug tussen duwen om te kijken

[ Voor 10% gewijzigd door shades684 op 09-03-2023 16:53 ]

[JaDatIsPeter]

nero355 schreef op donderdag 9 maart 2023 @ 16:39:
[..geoblock..]
Maar dan heb je toch ook weer Suricata nodig of toch niet

Nope. Gewoon pfBlockerNG. Wijst zich vanzelf.

[GoldenBatt]

Na een lange tijd pfSense als vm onder unraid te hebben gedraaid wil ik deze op eigen hardware gaan draaien om verschillende redenen. Heb me eens verdiept in OPNsense vs pfSense en besloten dat ik OPNsense eens wil gaan proberen. Ik kom momenteel alleen niet uit het volgende probleem:

Ik gebruik een Intel Pentium G4560 CPU, dual core met 4 threads, 16GB ram, en een Intel 1000PT dual gbit kaartje. Op een KPN Glasvezel gbit aansluiting.



Zie het resultaat... Download laat het dik afweten, upload zit strak waar het moet zitten. Kabels tussen de glas converter van KPN naar de patchkast vervangen, 2 verschillende kabels vanaf de meterkast naar de hobbykamer geprobeerd, en vanaf de muur hier ook 2 verschillende kabels geprobeerd naar de bak zelf.

en eerste instantie had ik "Disable hardware checksum offload, disable hardware tcp segmentation offload, disable hardware large receive offload" uitgevinkt. En "VLAN hardware filtering" aangezet omdat die intel dat geloof ik wel moet kunnen, maar die terug naar standaard is ook niet de oplossing. MTU van de wan op 1508 gezet zoals ik hier ergens gelezen had en dan wil speedtest al helemaal niet starten... (staat zonder wat in te vullen op 1492)

Heeft iemand eenig idee in welke richting ik dit moet zoeken?

[Kabouterplop01]

@GoldenBatt Dat zou kunnen wijzen op een oude pppoe manier dan is de mss 1452 (8 bytes pppoe overhead + 20 bytes ip header overhead +20 Bytes tcp header overhead)
standaard is 1500 -48 is 1452... Kijk eens of je dat ergens kunt instellen en dan opnieuw proberen.

[nero355]

GoldenBatt schreef op donderdag 9 maart 2023 @ 18:11:
Ik gebruik een Intel Pentium G4560 CPU, dual core met 4 threads, 16GB ram, en een Intel 1000PT dual gbit kaartje. Op een KPN Glasvezel gbit aansluiting.

[Afbeelding]

Die afbeelding mag ook kleiner hoor!

Zie het resultaat... Download laat het dik afweten, upload zit strak waar het moet zitten. Kabels tussen de glas converter van KPN naar de patchkast vervangen, 2 verschillende kabels vanaf de meterkast naar de hobbykamer geprobeerd, en vanaf de muur hier ook 2 verschillende kabels geprobeerd naar de bak zelf.

en eerste instantie had ik "Disable hardware checksum offload, disable hardware tcp segmentation offload, disable hardware large receive offload" uitgevinkt. En "VLAN hardware filtering" aangezet omdat die intel dat geloof ik wel moet kunnen, maar die terug naar standaard is ook niet de oplossing. MTU van de wan op 1508 gezet zoals ik hier ergens gelezen had en dan wil speedtest al helemaal niet starten... (staat zonder wat in te vullen op 1492)

Heeft iemand eenig idee in welke richting ik dit moet zoeken?

Ik zou eerst eens iPerf3 door je bakkie heen knallen om zeker te weten dat je hardware in orde is en daarna pas weer met de MTU en PPPoE gaan rommelen!

[RobertMe]

RobertMe schreef op zaterdag 18 februari 2023 @ 18:24:
Zit even op AliExpress te neuzen naar TopTon N5105 I226 systemen. Zie dan o.a. deze: https://nl.aliexpress.com/item/1005004822965821.html en daarbij staat een console port vermeld. Dus dan verwacht ik dat dit een nieuwer? model is waarbij je dus via een serial console toegang kunt krijgen? Dat zou wel nice zijn.

@TumTum, op het plaatje dat jij hierboven bij het i3 systeem heb gezet staat ook een vijfde RJ45 aansluiting. Kun jij toevallig bevestigen dat dat inderdaad om een console poort gaat en je hiermee dus via een serial console toegang kunt krijgen tot het OS?

Kogel is door de kerk, deze zojuist besteld (N5105 met i226). Zonder RAM & SSD want zou ik nog moeten hebben liggen en voor dat geld koop je hier merk spul en een grotere SSD.
Vervolgens ga ik er gewoon Debian opzetten. Laatst met wat zoeken deze blogpost tegen gekomen van iemand die alles met systemd-networkd regelt v.w.b. het IPv6 verhaal incl. prefix delegation (tijdje terug werd ik, ik meen door @Raven, gewezen op radvd in dit topic, maar dat lijkt best quirky te zijn als de prefix zou veranderen etc). Post gaat dan ook nog eens over Ziggo, dus kan het zo copy/pasten

Verder komt dan uiteraard nog Wireguard er op te draaien, zowel als "server" (voor telefoon buiten de deur etc) als als "client" (om met een VPN boer te verbinden). PiHole erbij. Wellicht de UniFi Controller hier op zetten. En dan een stuk of 6 VLANs meen ik dat ik heb intern. Leuke uitdaging dus voor een "programmer by day".

"Druppel" is dat ik wederom wat dingen wil regelen in mijn huidige UniFi Security Gateway die "niet" kunnen. IPv6 gaat half via UI. Wireguard uiteraard al niet. Policy based routing (VLAN X moet over VPN naar buiten) ook niet. En nu wil ik ook nog IPv6 toepassen op dat VLAN aan de VPN tunnel, en dan het subnet vanaf de VPN opsplitsen in kleinere subnets en dan weer een deel routeren naar een Docker host en dan alles ook nog alles goed dichttimmeren in de firewall. En daar heb ik geen zin in om dat allemaal uit te zoeken om te doen in de JSON config file.
Dus dan maar een nieuwe router (jeukte al langer). Dan valt het firewall verhaal al lekker makkelijk op te lossen met nftables en wat interface based rules (iifname private oifname != vpn drop bv i.p.v. met IPs/subnets werken, geen not equals hebben, ...). Policy based routing valt te doen via systemd-networkd met custom routing tabellen op basis van de interface (i.p.v. met firewall marks). Moet dan helemaal goed komen dus.

[shades684]

RobertMe schreef op donderdag 9 maart 2023 @ 19:09:
[...]

"Druppel" is dat ik wederom wat dingen wil regelen in mijn huidige UniFi Security Gateway die "niet" kunnen. IPv6 gaat half via UI. Wireguard uiteraard al niet.

Heel herkenbaar, draai de unifi controller nu in een lxc container en mijn wireguard draait onder pfSense.

Mag ik vragen waarom je voor plain debian gaat i.p.v. proxmox? Ik heb zelf lang zitten twijfellen maar het idee dat ik op een dag als ik pfSense beu ben, zomaar naar opnsense kan overstappen heeft voor mij uiteindelijk de doorslag gegeven. (Dat en de optie tot migreren en backup te maken voor als ik het stuk maak)

[GoldenBatt]

Kabouterplop01 schreef op donderdag 9 maart 2023 @ 18:43:
@GoldenBatt Dat zou kunnen wijzen op een oude pppoe manier dan is de mss 1452 (8 bytes pppoe overhead + 20 bytes ip header overhead +20 Bytes tcp header overhead)
standaard is 1500 -48 is 1452... Kijk eens of je dat ergens kunt instellen en dan opnieuw proberen.

Dit al snel geprobeerd, maar dat lijkt niet te werken. Glasvezel is hier ook pas in 2019 opgeleverd en vermoede al ergens dat deze vlieger niet opging. Oude pfSense stond ook altijd op 1500 uit mijn hoofd.

nero355 schreef op donderdag 9 maart 2023 @ 18:45:
[...]

Die afbeelding mag ook kleiner hoor!


[...]

Ik zou eerst eens iPerf3 door je bakkie heen knallen om zeker te weten dat je hardware in orde is en daarna pas weer met de MTU en PPPoE gaan rommelen!

Sorry, die afmeting stond standaard in de img text en had het niet zo snel door, heb hem al gehalveerd

iPerf3 is een goeie, nooit veel mee gedaan maar gaan eens even zoeken en testen. Al vermoed ik ergens dat dit niet het geval moet zijn, de bak waar unraid op draait zit ook een G4560 in, daar haalde ik ondanks de virtualisatie laag en andere belasting er bij ook wel 500mbit. Eens zien of we kunnen achterhalen waar het aan ligt


Update @nero355

Iperf was ook minder een succes. Daarna eens een reset gedaan en de interfaces omgedraaid. Dus de wan poort was nu plots lan en andersom. Maar precies het zelfde (down langzaam, up volle snelheid)


Upload naar opnsense, cpu usage host total: 62.73


Download vanaf opnsense, cpu useage host total 8.83

Beide poorten draaien gbit, ik ga nog eens even wat verder zoeken want ergens gaat er iets niet helemaal lekker...

[ Voor 24% gewijzigd door GoldenBatt op 09-03-2023 21:12 ]

[RobertMe]

shades684 schreef op donderdag 9 maart 2023 @ 19:39:
Mag ik vragen waarom je voor plain debian gaat i.p.v. proxmox? Ik heb zelf lang zitten twijfellen maar het idee dat ik op een dag als ik pfSense beu ben, zomaar naar opnsense kan overstappen heeft voor mij uiteindelijk de doorslag gegeven. (Dat en de optie tot migreren en backup te maken voor als ik het stuk maak)

Tsja, Proxmox. Ik gebruik het nu op mijn (3 jaar oude) server / NAS. Maar vind het niet perse toegevoegde waarde hebben. Draai in principe alles in Docker. Gevolg is dat ik nu op Proxmox allemaal LXCs heb die in de verschillende VLANs hangen en daarin Docker draaien. LXC is daarbij eigenlijk puur om Docker in een VLAN te duwen. Dus voelde nogal als overkill. Proxmox zelf doe ik ook niks mee. Toevallig een of twee maanden terug eens wat door de GUI geklikt en wat statistieken bekeken. Dat heb ik in die drie jaar dus nog nooit eerder gedaan.
Met BF een Chinese mini PC met N5105 gekocht en al een aantal zaken daar naartoe over gezet. Draait nu ook plain Debian. Met wat onderzoeken uitgevogeld hoe Docker te latwn doen wat ik wil (bridge die over specifieke interface routeert naar buiten toe) en klaar. Draait ZFS on root dus ik kan gewoon het volledige OS snapshotten en send & receiven naar een ander systeem (Proxmox bak dus ).

Dus tsja, waarim geen Proxmox: de reden waarom ik het nu heb draaien gaat al niet/minder op voor een router. En de echte reden heb ik intussen ook al anders opgelost. Maar uiteraard moet je wel van een uitdaging houden om het allemaal uit te puzzelen. Anders is een *sense als router en bv een Proxmox voor scheiding over VLANs inderdaad de betere optie.

[GoBieN-Be]

Ik had zeer zwakke upload bij mijn OPNsense test.
Ik heb om te testen eerst IDS/IPS en ZenArmor weer uit gezet.
Snelheden zijn nu goed, dus moet dat later weer testen.

[nero355]

RobertMe schreef op donderdag 9 maart 2023 @ 19:09:
Kogel is door de kerk, deze zojuist besteld (N5105 met i226). Zonder RAM & SSD want zou ik nog moeten hebben liggen en voor dat geld koop je hier merk spul en een grotere SSD.
Vervolgens ga ik er gewoon Debian opzetten. Laatst met wat zoeken deze blogpost tegen gekomen van iemand die alles met systemd-networkd regelt v.w.b. het IPv6 verhaal incl. prefix delegation (tijdje terug werd ik, ik meen door @Raven, gewezen op radvd in dit topic, maar dat lijkt best quirky te zijn als de prefix zou veranderen etc).

Dit is ook wel interessant : https://blog.g3rt.nl/systemd-networkd-vlans-howto.html

Misschien lost dat mijn probleem op met services/deamons die worden gestart VOORDAT de VLAN Interface UP is en je een hoop tweaks moet toepassen om daar een beetje omheen te werken en dan nog steeds niet altijd een betrouwbare config hebt!

_{Daarbij gaat het om een Raspberry Pi 3B met RaspBian trouwens...}

Wellicht de UniFi Controller hier op zetten.

Ik neem aan dat je dit bericht al hebt gezien of in ieder geval zal opvallen : shades684 in "[Ubiquiti-Netwerkapparatuur] Ervaringen & Discussie - Deel 4"

shades684 schreef op vrijdag 10 maart 2023 @ 09:13:
Misschien niet belangrijk voor degene die de n5105 of n6005 als bare bone router gebruiken maar ik liep er tegenaan dat die processoren geen avx ondersteunen waardoor je mongo 5 niet kan gebruiken.

Dat houd in dat je bijvoorbeeld de laatste versie van graylog niet aan de praat krijgt en in de toekomst de Unifi controller ook niet, mochten die overgaan naar een nieuwe versie van mongo.

Dat is best wel minder als het straks echt die kant op gaat...

GoldenBatt schreef op donderdag 9 maart 2023 @ 19:56:
iPerf3 is een goeie, nooit veel mee gedaan maar gaan eens even zoeken en testen. Al vermoed ik ergens dat dit niet het geval moet zijn, de bak waar unraid op draait zit ook een G4560 in, daar haalde ik ondanks de virtualisatie laag en andere belasting er bij ook wel 500mbit. Eens zien of we kunnen achterhalen waar het aan ligt


Update @nero355

Iperf was ook minder een succes. Daarna eens een reset gedaan en de interfaces omgedraaid. Dus de wan poort was nu plots lan en andersom. Maar precies het zelfde (down langzaam, up volle snelheid)

[Afbeelding]
Upload naar opnsense, cpu usage host total: 62.73

[Afbeelding]
Download vanaf opnsense, cpu useage host total 8.83

Beide poorten draaien gbit, ik ga nog eens even wat verder zoeken want ergens gaat er iets niet helemaal lekker...

Ik vrees dat je een brakke NIC te pakken hebt

GoBieN-Be schreef op vrijdag 10 maart 2023 @ 01:16:
Ik had zeer zwakke upload bij mijn OPNsense test.
Ik heb om te testen eerst IDS/IPS en ZenArmor weer uit gezet.
Snelheden zijn nu goed, dus moet dat later weer testen.

Noem eens wat software versies en gebruikte hardware en zo

[Boomster]

Ik ben nu al een dag aan het klooien om pfsense geconfigureerd te krijgen met wireguard, dit is een uitdaging.
Ik om er niet uit.
Ik wil dus via wireguard op mijn pfsense komen en dan met het ipadres van mijn pfsense bak het internet op.
Dit is dus GEEN split tunnel.

Ik krijg het niet voor elkaar. Vooralsnog is Openvpn iets makkelijker te configureren.
Toch wil ik het niet opgeven. Iemand een goede video op YouTube of site waar het wordt uitgelegd?

[GoldenBatt]

nero355 schreef op vrijdag 10 maart 2023 @ 14:57:
[...]

Ik vrees dat je een brakke NIC te pakken hebt


[...]

Noem eens wat software versies en gebruikte hardware en zo

Nee, die Nic heb ik eerder gebruikt, dat leek hem niet te zijn. Ik gooi het op een bugje ofzo. Had eerder lopen kloten om energie verbruik omlaag te krijgen (cpu continu op max aantal mhz te draaien) en heb dingen lopen uitsluiten door keer te booten zonder de nic. Had al vele dingen geprobeerd en wou een schoon beginnen voor het troubleshooten, en heb later een nieuwe installatie gedaan, en weg was mijn probleem. Vraag me niet hoe, maar ondertussen heb ik netjes 930Mbps down en 940Mbps up.

Kwam ook genoeg info tegen op internet van mensen die beetje zelfde probleem hadden, maar dat als ze de "parent interface" (dus de nic waar de vlans op draaide" een assignment gaf en die op enabled zou zetten het probleem ook opgelost moest wezen. Maar dat werkte ook niet. (en is wellicht ook al gefixt met bugfix oid)

Op naar de volgende stap, iptv werkend krijgen met eigen stb vlan zodat de vrouw weer gelukkig is

GoBieN-Be hinte wellicht op idee dat ik eens kon kijken naar IDS/IPS wellicht? Die had ik nog uitstaan.

[RobertMe]

nero355 schreef op vrijdag 10 maart 2023 @ 14:57:
[...]

Dit is ook wel interessant : https://blog.g3rt.nl/systemd-networkd-vlans-howto.html

offtopic:
Ages ago op mijn PC al een VLAN toegevoegd via systemd-networkd. En daarnaast met BF een Chinese mini PC gekocht, ook op basis van N5105. Daar draait nu dan Debian op en heb ik ook volledig met systemd-networkd ingericht. Ding hangt in alle VLANs (stuk of 6), devices hebben logische namen (dus i.p.v. eth0, eth0.x / enp0s0, enp0s0.x netjes lan, prive, iot, ...), IPv6 via prefix delegation maar wel met een statische suffix, waarbij de router ook fd00:<vlan id>::1/64 heeft en dit servertje overal ::40 krijgt, .... Allemaal met systemd-netwerkd dus, werkt allemaal prima en naar mijn idee makkelijk op te zetten en te onderhouden.

Misschien lost dat mijn probleem op met services/deamons die worden gestart VOORDAT de VLAN Interface UP is en je een hoop tweaks moet toepassen om daar een beetje omheen te werken en dan nog steeds niet altijd een betrouwbare config hebt!

Zou zomaar kunnen. Alhoewel de meeste services sowieso zouden moeten wachten op network-online. En ik mag toch aannemen dat "alternatieve" methodes daar ook rekening mee houden (dus bv Debians antieke /etc/network/interfaces). Kan mij dan weer wel indenken dat het niet altijd goed gaat als je een dynamischer systeem gebruikt, zoals NetworkManager. Die dus veel meer gericht is op roamen etc.

[...]

Ik neem aan dat je dit bericht al hebt gezien of in ieder geval zal opvallen : shades684 in "[Ubiquiti-Netwerkapparatuur] Ervaringen & Discussie - Deel 4"

Heb ik vanmorgen gelezen ja. Maar... toevallig eerder deze week de UniFi Controller over gezet van de grote bak naar bovengenoemde mini PC. En draait dus gewoon (maar zou dan blijkbaar ook pas gaan spelen als Ubiquiti upgrade naar een nieuwere Mongo versie, en gezien het update beleid van Ubiquiti... Kans is groter dat ik dan al 3 servers verder ben).

[nero355]

Boomster schreef op vrijdag 10 maart 2023 @ 15:41:
Ik ben nu al een dag aan het klooien om pfsense geconfigureerd te krijgen met wireguard, dit is een uitdaging.
Ik om er niet uit.
Ik wil dus via wireguard op mijn pfsense komen en dan met het ipadres van mijn pfsense bak het internet op.
Dit is dus GEEN split tunnel.

Ik krijg het niet voor elkaar. Vooralsnog is Openvpn iets makkelijker te configureren.
Toch wil ik het niet opgeven. Iemand een goede video op YouTube of site waar het wordt uitgelegd?

Er is gewoon documentatie over te vinden bij pfSense zelf :
- https://docs.netgate.com/...n/wireguard/settings.html
- https://docs.netgate.com/.../wireguard/configure.html

Al eens naar gekeken

[Boomster]

nero355 schreef op vrijdag 10 maart 2023 @ 16:21:
[...]

Er is gewoon documentatie over te vinden bij pfSense zelf :
- https://docs.netgate.com/...n/wireguard/settings.html
- https://docs.netgate.com/.../wireguard/configure.html

Al eens naar gekeken

zeker.
echter: ik heb nu mijn telefoon verbonden met PFsense via wireguard.
alleen komt er geen verkeer doorheen.
Ik zoek me nu rot naar de goede regels.
lastig.

[shades684]

Boomster schreef op vrijdag 10 maart 2023 @ 16:41:
[...]


zeker.
echter: ik heb nu mijn telefoon verbonden met PFsense via wireguard.
alleen komt er geen verkeer doorheen.
Ik zoek me nu rot naar de goede regels.
lastig.

Het ligt er een beetje aan hoe je wireguard hebt ingesteld.
Ik heb bijvoorbeeld geen interface gedefinieerd.
Deze tut gebruikt https://lawrencesystems.c...eguard-for-remote-access/
en had uiteindelijk als probleem dat ik de /32 bij allowedIps van mijn peers vergeten was

[shades684]

nero355 schreef op vrijdag 10 maart 2023 @ 14:57:

Ik neem aan dat je dit bericht al hebt gezien of in ieder geval zal opvallen : shades684 in "[Ubiquiti-Netwerkapparatuur] Ervaringen & Discussie - Deel 4"

Ik ben bang dat die informatie per ongeluk op het foute topic terecht is gekomen, het was voor dit topic bedoeld.

[GoBieN-Be]

Ik heb OPNsense baremetal op een N5100.
Snelheden waren in het begin goed.

Maar na van alles tweaken en inschakelen Suricata (IDS) en inschakelen Sensei ZenArmor was mijn upload plots maar 0,7Mbps meer, terwijl mijn download nog steeds de verwachte 290Mbps was.

Ik heb dan Suricata IDS, CrowdSec en Sensei ZenArmor uitgeschakeld en snelheden waren terug goed.

Ik denk dat ik eens ga testen met Proxmox op mijn N5100 en dan OPNsense in een VM, dit om wellicht nog meer energiebesparing te kunnen doen en wat beter zicht op eventuele problemen (console toegang VM).

[ Voor 23% gewijzigd door GoBieN-Be op 10-03-2023 17:24 ]

[xbeam]

nero355 schreef op donderdag 9 maart 2023 @ 16:39:

@xbeam heeft een keer mooi uitgelegd waarom dat geen goed idee is tegenwoordig

Korte uitleg.
Omdat wij geen Amerika zijn en de DNS van je provider door wetgeving/verplichte wassing met andere klanten meer privacy bied dan bijv cloudflare en consorten. daarnaast is overduidelijk waarom Google een gratis DNS aanbiedt en dat is niet voor jouw privacy maar juist omdat alles over willen weten en verkopen. Mede hierdoor is 8.8.8.8 in strijd is met GDPR net zoals Google fonts trouwens

[ Voor 17% gewijzigd door xbeam op 12-03-2023 01:17 ]

[nero355]

xbeam schreef op zaterdag 11 maart 2023 @ 17:13:
Korte uitleg.
Omdat wij geen Amerika zijn en de DNS van je provider door wetgeving/verplichte wassing met andere klanten meer privacy bied dan bijv cloudflare en consorten en daarnaast is de enige reden dat Google een gratis DNS aanbied is juist omdat alles over willen weten en verkopen waardoor 8.8.8.8 in strijd is met GDPR net zoals Google fonts

[YouTube: Tweakers Digital Meet-up Privacy & Security - Bert Hubert]

@_AcS_ dus

[Videopac]

Goed punt, maar waarom zijn 8.8.8.8 etc dan nog niet geblokkeerd in Europa?

[_AcS_]

nero355 schreef op zaterdag 11 maart 2023 @ 18:34:
[...]

@_AcS_ dus

Ik had het aangepast

[xbeam]

Videopac schreef op zaterdag 11 maart 2023 @ 19:24:
Goed punt, maar waarom zijn 8.8.8.8 etc dan nog niet geblokkeerd in Europa?

Waarom wel? Google doet niets strafbaars het is privacy technische gewoon niet verstandig en daardoor zakelijk niet zomaar niet toegestaan om 8.8.8.8 te gebruiken.

[ Voor 48% gewijzigd door xbeam op 12-03-2023 01:36 ]

[bord4kop]

Goedemiddag specialisten


Ik wil mijn thuisnetwerk beter instellen. Om dit a). veiliger en b). beter schaalbaar te maken,

Mijn idee is om een NUC te plaatsen met VMWare (of andere hypervisor) en daarop pfsense of OPNsense te draaien. En evt. nog wat fileserver / mail / VPN servers. En evt. de Domoticz server als VM erop te plaatsen.

Voornaamste doel is dus Firewalling en netwerk reguleren (met VLAN 's?) .
Ik wil dan:

* netwerk voor mij / mijn vrouw: kantoor > deze moet ik ook voorrang/bandbreedte kunnen geven,
* netwerk: thuis (de standaard rommel, TV, internet, Playstation van de kinderen, telefoons, etc.
* apart netwerk voor domotica (?) > ivm remote acces
* apart netwerk voor "rommel" (IP camera 's etc) > ook open poorten tbv remote acces
* netwerk voor gasten
* netwerk voor VPN / DMZ / remote access (?)


Huidige setup:
- Ziggo box met wifi
- deels bekabeld naar gigabit switches en één Ubiquiti UniFi AP

Like so:




En dan moet het ongeveer zo worden:



Twee vragen:
1. is bovenstaande opzet een goed plan, of compleet poep?
2. Zou het kunnen werken (onderstaande kopen) met deze hardware:
- één goeie bare metal box met 2x LAN en 1x Wifi AP onboard als vervanging van de Ziggo AP
- twee managed switches


EDIT: ik zie denk ik meteen al een probleem met de wifi clients in het 'normale' VLAN en kantoor VLAN netwerk
VLAN 192.168.3.x en VLAN 192.168.10.x worden over hetzelfde AP aangeboden. Dus dat zouden dan twee netwerken over hetzelfde AP zijn. Dat gaat denk ik niet werken want dat kunnen AP 's niet.. (of wel?)

[ Voor 75% gewijzigd door bord4kop op 13-03-2023 19:57 ]

[jadjong]

bord4kop schreef op maandag 13 maart 2023 @ 15:55:


EDIT: ik zie denk ik meteen al een probleem met de wifi clients in het 'normale' VLAN en kantoor VLAN netwerk

En dat is?

[stippel]

Ook ik ben aan het rondkijken.
ik heb een kan 1000/1000 Gbit/s verbinding en wil naast dat ik de volle snelheid zowel down als up kan trekken ook ips/ids draaien zonder snelheidsverlies.

Wat voor processor heb je dan minimaal nodig?

[Videopac]

bord4kop schreef op maandag 13 maart 2023 @ 15:55:
Goedemiddag specialisten


Ik wil mijn thuisnetwerk beter instellen. Om dit a). veiliger en b). beter schaalbaar te maken,

Mijn idee is om een NUC te plaatsen met VMWare (of andere hypervisor) en daarop pfsense of OPNsense te draaien. En evt. nog wat fileserver / mail / VPN servers. En evt. de Domoticz server als VM erop te plaatsen.

Voornaamste doel is dus Firewalling en netwerk reguleren (met VLAN 's?) .
Ik wil dan:

* netwerk voor mij / mijn vrouw: kantoor > deze moet ik ook voorrang/bandbreedte kunnen geven,
* netwerk: thuis (de standaard rommel, TV, internet, Playstation van de kinderen, telefoons, etc.
* apart netwerk voor domotica (?) > ivm remote acces
* apart netwerk voor "rommel" (IP camera 's etc) > ook open poorten tbv remote acces
* netwerk voor gasten
* netwerk voor VPN / DMZ / remote access (?)


Huidige setup:
- Ziggo box met wifi
- deels bekabeld naar gigabit switches en één Ubiquiti UniFi AP

Like so:

[Afbeelding]


En dan moet het ongeveer zo worden:

[Afbeelding]

Twee vragen:
1. is bovenstaande opzet een goed plan, of compleet poep?
2. Zou het kunnen werken (onderstaande kopen) met deze hardware:
- één goeie bare metal box met 2x LAN en 1x Wifi AP onboard als vervanging van de Ziggo AP
- twee managed switches


EDIT: ik zie denk ik meteen al een probleem met de wifi clients in het 'normale' VLAN en kantoor VLAN netwerk
VLAN 192.168.3.x en VLAN 192.168.10.x worden over hetzelfde AP aangeboden. Dus dat zouden dan twee netwerken over hetzelfde AP zijn. Dat gaat denk ik niet werken want dat kunnen AP 's niet.. (of wel?)

Meerdere VLANs op een wifi-toegangspunt kan prima met OpenWrt.

[bord4kop]

Videopac schreef op dinsdag 14 maart 2023 @ 10:04:
[...]

Meerdere VLANs op een wifi-toegangspunt kan prima met OpenWrt.

Ok, dank!
Ik ben van plan om de Unifi te gebruiken en de onboard wifi in de NUC.
en misschien de Ziggo box ook als ik die op een appart VLAN krijgen (<= uitzoeken)

Ben inmiddels verder gegaan;
De hardware is besteld, ESXi op USB staat klaar.


En dit is het lijstje met netwerken:




Zover ik heb begrepen moet ik 5 Vlans maken. Volgens mij is met de huidige IP reeks alles gescheiden.
Voor de zekerheid -en duidelijkheid- heb ik de DMZ reeks een compleet andere reeks gegeven.

En dan moet ik straks die VLANS zo configureren dat ze routeren naar -uiteindelijk- de interne poort van de Firewall.
Dat doe ik met 5 scopes (met 5 gateways).

Nu nog ff uitzoeken hoe het ook weer zat met VLANS, Tagged, etc. (dus wat leesvoer, te beginnen o.a. hier, Hier, hier )

[Cybergamer]

Vraagje, is het mogelijk om met OPNsense je bak meteen aan te sluiten via de FTU of de NT zodat er geen traditionele modem aan te pas hoeft te komen? Of vraag ik nu iets heel geks?

[nero355]

Cybergamer schreef op dinsdag 14 maart 2023 @ 19:42:
Vraagje, is het mogelijk om met OPNsense je bak meteen aan te sluiten via de FTU of de NT zodat er geen traditionele modem aan te pas hoeft te komen?

AON/GPON/XGS-PON

Of vraag ik nu iets heel geks?

Eerder iets dat al heel vaak is uitgelegd en je in principe ook wel zelf kan vinden!

[Cybergamer]

nero355 schreef op dinsdag 14 maart 2023 @ 19:55:
Eerder iets dat al heel vaak is uitgelegd en je in principe ook wel zelf kan vinden!

Ik geloof dat ik toch lang genoeg meedraai op GoT om dat zelf ook wel te bedenken... Ow wacht! Dat heb ik gedaan!

Vandaar dat ik mijn vraag hier stel voor wat duidelijkheid, ik ben er helemaal niet in thuis namelijk (draai net een maand of 2 OPNSense icm AdGuard op een leuk boxje en ben nog druk lerende). En de verschillen in die glasvezelkaarten zeggen mij niets.... Maar dank je wel voor de keywords!

[ Voor 8% gewijzigd door Cybergamer op 14-03-2023 20:32 ]

[RobertMe]

Cybergamer schreef op dinsdag 14 maart 2023 @ 20:29:
[...]


Ik geloof dat ik toch lang genoeg meedraai op GoT om dat zelf ook wel te bedenken... Ow wacht! Dat heb ik gedaan!

Vandaar dat ik mijn vraag hier stel voor wat duidelijkheid, ik ben er helemaal niet in thuis namelijk (draai net een maand of 2 OPNSense icm AdGuard op een leuk boxje en ben nog druk lerende). En de verschillen in die glasvezelkaarten zeggen mij niets.... Maar dank je wel voor de keywords!

Maar als je zelf niet weet wat voor aansluiting je nu hebt, hoe moeten wij de vraag dan kunnen beantwoorden? Vermeld dan op zijn minst welke apparatuur je nu van de glasvezelboer hebt. Zodat de kenners op basis daarvan weten (of kunnen opzoeken) welke techniek van toepassing is.

[Cybergamer]

RobertMe schreef op dinsdag 14 maart 2023 @ 20:34:
[...]

Maar als je zelf niet weet wat voor aansluiting je nu hebt, hoe moeten wij de vraag dan kunnen beantwoorden? Vermeld dan op zijn minst welke apparatuur je nu van de glasvezelboer hebt. Zodat de kenners op basis daarvan weten (of kunnen opzoeken) welke techniek van toepassing is.

Wat is daar nou de lol aan? Ik ben aan het kijken wat voor opties ik allemaal heb. XD

Nee, serieus. Ik denk er over na om van Ziggo naar KPN over te gaan, maar ik wil geen zotte dingen gaan doen op dat netwerk. Met Ziggo heb ik gewoon het modem in bridge mode staan, maar als ik over ga wil ik gewoon eens kijken of het mogelijk is om het modem over te slaan.

En met de keywords van @nero355 denk ik wel dat ik er een beter zicht op krijg. Eigenlijk is dit nog allemaal vrij nieuw voor mij. Maar erg leuk om te leren!