Zelfbouw project: Firewall / Router / AP

[TumTum]

synoniem schreef op zaterdag 11 november 2023 @ 11:27:
[...]

Ik geloof direct dat de Topton beter is maar als ik je link volg en geheugen en SSD toevoeg ben ik gelijk 100 euro duurder uit dan de Firebat. Dan denk ik voor die prijs kan ik er twee hebben. Ook omdat ik voor tijdelijk genoeg reserve hardware achter de hand heb om de levertijd door te komen als deze het zou begeven.

Ik adviseer ook om betrouwbaar geheugen en DDR5 hier aan te schaffen. Alleen de prijs is niet voldoende voor een goede router. Ik heb veel gezeur met de mini PC in combinatie met linux en power savings. Daarnaast vind ik het een drama met de NICs.

Laat zeggen 45 euro voor 8GB Corsair DDR5 + Kioxia Exceria M.2 500GB.

Ik heb dus 2 T9 Plus mini PC'tjes. Die zijn vrijwel identiek aan de Firebat. Ze zijn bij mij inmiddels nutteloos geworden door problemen met Linux en FreeBSD. Ik heb een bios update gevraagd en de reactie was dat ik het hiermee moet doen. Ik kan geen update verwachten. Ze ondersteunen alleen Windows.

[gaafst]

stormfly schreef op donderdag 9 november 2023 @ 08:26:
het nieuwe board van HUNSN is publiek beschikbaar. Lijkt vooral te gaan over meer USB porten, maar ook USB 3.0 gecombineerd met NVMe PCIe 4x lanes en behoud van SATA3.0.

Ziet er interessant uit, maar wel wat duur. Heeft iemand deze al ergens tegen een wat lagere prijs gespot? Helaas op Ali nog niet gevonden.

[TumTum]

gaafst schreef op zaterdag 11 november 2023 @ 11:48:
[...]


Ziet er interessant uit, maar wel wat duur. Heeft iemand deze al ergens tegen een wat lagere prijs gespot? Helaas op Ali nog niet gevonden.

TumTum in "Zelfbouw project: Firewall / Router / AP"

Check even de I3tjes.

[wian]

TumTum schreef op zaterdag 11 november 2023 @ 09:45:

De Topton / CWWK / Mini PC Deals:

UPDATE i3 N305 09:54
https://www.aliexpress.com/item/1005005381152417.html
Kortingscode: 15OT51
Spend & Save - €16,00
€213,50 excl. BTW!

Bedankt voor het posten van de links! Ik kon het niet laten en heb deze besteld als ESXi/Proxmox servertje. Ben benieuwd naar de kwaliteit, hopelijk zit de koelpasta etc goed en blijft deze koel genoeg om zonder fan te gebruiken.

Bij de bestelling staat dat de prijs (213,50) inclusief BTW is, maar jij zegt expliciet ex btw. Waarom?

Heb jij enig idee welke bios ik hier zou moeten kiezen?

[gaafst]

TumTum schreef op zaterdag 11 november 2023 @ 11:51:
[...]
TumTum in "Zelfbouw project: Firewall / Router / AP"

Check even de I3tjes.

Dat zijn de "oude" modellen Die hebben geen USB3 en geen SATA.

[TumTum]

gaafst schreef op zaterdag 11 november 2023 @ 11:54:
[...]


Dat zijn de "oude" modellen Die hebben geen USB3 en geen SATA.

Ah, dat had ik niet opgemerkt. Ik gebruik het ook allebei niet.

[TumTum]

wian schreef op zaterdag 11 november 2023 @ 11:53:
[...]

Bedankt voor het posten van de links! Ik kon het niet laten en heb deze besteld als ESXi/Proxmox servertje. Ben benieuwd naar de kwaliteit, hopelijk zit de koelpasta etc goed en blijft deze koel genoeg om zonder fan te gebruiken.

Bij de bestelling staat dat de prijs (213,50) inclusief BTW is, maar jij zegt expliciet ex btw. Waarom?

Heb jij enig idee welke bios ik hier zou moeten kiezen?

Bij de checkout halen ze de BTW van de producten af. Dit moet je zelf regelen, meestal krijg je een SMS van de verzendmaatschappij om het over te maken. Daarna ontvang je het pakket.

Ik denk de laatste, maar dat moet je zeker even navragen bij Topton. Ik werk zelf de bios niet zomaar bij.

En nog even over de koelpasta: Als de behuizing goed heet wordt, weet je voldoende. Bij mij is de koelpasta prima. Ventilator is niet nodig, maar adviseer ik wel.

[ Voor 8% gewijzigd door TumTum op 11-11-2023 11:58 ]

[Gunth]

Ik heb ook zo'n topton n100 sinds een maand of 2 en heel tevreden van.
Draai er proxmox op icm opnsense.
Gemiddeld rond de 42gr zonder extra koeling.
190 euro voor betaald zonder btw en niks moet opleggen ivm douane.

[wian]

TumTum schreef op zaterdag 11 november 2023 @ 11:57:
[...]


Bij de checkout halen ze de BTW van de producten af. Dit moet je zelf regelen, meestal krijg je een SMS van de verzendmaatschappij om het over te maken. Daarna ontvang je het pakket.

Ik denk de laatste, maar dat moet je zeker even navragen bij Topton. Ik werk zelf de bios niet zomaar bij.

En nog even over de koelpasta: Als de behuizing goed heet wordt, weet je voldoende. Bij mij is de koelpasta prima. Ventilator is niet nodig, maar adviseer ik wel.

Klopt helemaal wat je zegt. Best wel misleidend dat er zowel op de bestelpagina als op de bestelbevestiging staat: including VAT. Maar bij navraag in de chat kreeg ik dit terug:

1. Normally we declare the item as MINI PC Case or Router with value(like $15-$100), buyers are fully responsible for paying fees involved, such as dispatching fees, storage costs, brokerage, taxes or VAT etc.
2. If you have special requirement of the value, Please leave a message to us when you make an order.
3. Due to the tax problem, buyer refuse to receive the goods, buyer needs to be fully responsible for the freight back and forth. Thank you for your cooperation.

Heb hem maar geannuleerd. Met black friday komen er weer nieuwe aanbiedingen. De komende twee weken verdiep ik me er beter in. Wellicht kies ik voor een CWWK ivm betere ondersteuning.

[TumTum]

wian schreef op zaterdag 11 november 2023 @ 12:12:
[...]

Klopt helemaal wat je zegt. Best wel misleidend dat er zowel op de bestelpagina als op de bestelbevestiging staat: including VAT. Maar bij navraag in de chat kreeg ik dit terug:

[...]

Heb hem maar geannuleerd. Met black friday komen er weer nieuwe aanbiedingen. De komende twee weken verdiep ik me er beter in. Wellicht kies ik voor een CWWK ivm betere ondersteuning.

Dan adviseer ik om dit te proberen incl. BTW, evt. met Klarna of PayPal:

https://www.aliexpress.com/item/1005006017107289.html
Kortingscode: 11SALE50
Promo Code - €44,27
€227,70 Incl. BTW

CWWK is niet goedkoper en zal niet goedkoper worden. CWWK is vaak zelfs duurder.

[wian]

TumTum schreef op zaterdag 11 november 2023 @ 12:16:
[...]


Dan adviseer ik om dit te proberen incl. BTW, evt. met Klarna of PayPal:

[...]


CWWK is niet goedkoper en zal niet goedkoper worden. CWWK is vaak zelfs duurder.

Lijkt te kloppen. Via chat:

Q: Are all prices including VAT? Or do I have to pay extra VAT to delivery company?
A: No, you just need to place the order and wait for the package to arrive. You don’t need to pay other fees.

Q: Are you shipping from Spain or from China?
A: It depends on the time of ordering, because there are not many warehouses in Spain now. It may be shipped from China, but our colleagues will handle customs fees and VAT at your local country's customs.

Ga even goed nadenken. Dit is weer een ander merk KingNovy. Vind support wel belangrijk. Mijn huidige servertje staat hier al 5 jaar en dat hoop ik ook te halen met de volgende.

Edit: weet jij of dit doosje een gerelabelde CWWK is? Zo ja, welke van CWWK?

[ Voor 3% gewijzigd door wian op 11-11-2023 12:37 ]

[synoniem]

TumTum schreef op zaterdag 11 november 2023 @ 11:44:
[...]


Ik adviseer ook om betrouwbaar geheugen en DDR5 hier aan te schaffen. Alleen de prijs is niet voldoende voor een goede router. Ik heb veel gezeur met de mini PC in combinatie met linux en power savings. Daarnaast vind ik het een drama met de NICs.

Laat zeggen 45 euro voor 8GB Corsair DDR5 + Kioxia Exceria M.2 500GB.

Ik heb dus 2 T9 Plus mini PC'tjes. Die zijn vrijwel identiek aan de Firebat. Ze zijn bij mij inmiddels nutteloos geworden door problemen met Linux en FreeBSD. Ik heb een bios update gevraagd en de reactie was dat ik het hiermee moet doen. Ik kan geen update verwachten. Ze ondersteunen alleen Windows.

YMMV natuurlijk. Bij mij installeerde pfSense zonder problemen, ook de Realtek nics worden gewoon herkend. In het verleden had ik een Topton waarop ik vmWare wilde draaien en ondanks de Intel nics veel problemen had en het netwerk niet heel erg stabiel was. Toch ben ik er ook van overtuigd dat in zijn algemeenheid Topton best goede spullen levert en je hooguit even naar de koelpasta hoeft te kijken.

[TumTum]

wian schreef op zaterdag 11 november 2023 @ 12:35:
[...]


Lijkt te kloppen. Via chat:

[...]


Ga even goed nadenken. Dit is weer een ander merk KingNovy. Vind support wel belangrijk. Mijn huidige servertje staat hier al 5 jaar en dat hoop ik ook te halen met de volgende.

Edit: weet jij of dit doosje een gerelabelde CWWK is? Zo ja, welke van CWWK?

Is gewoon dropshipping. Dezelfde moederborden en behuizingen. Dit is denk ik wel van Topton.

[stormfly]

gaafst schreef op zaterdag 11 november 2023 @ 11:48:
[...]


Ziet er interessant uit, maar wel wat duur. Heeft iemand deze al ergens tegen een wat lagere prijs gespot? Helaas op Ali nog niet gevonden.

Voor mij is stabiliteit wel een ding. Heb nu een topton die ook goed stabiel is. Ik draai er een 8 tal VMs op en met die nieuwe HUNSN kan ik die backuppen naar een lokale sata 1tb SSD in het chassis.

De enige optie die ik overweeg is die x4 305 topton. Die @TumTum heeft genoemd. Ik twijfel alleen over warmte 😳

[stormfly]

wian schreef op zaterdag 11 november 2023 @ 12:12:
[...]

Klopt helemaal wat je zegt. Best wel misleidend dat er zowel op de bestelpagina als op de bestelbevestiging staat: including VAT. Maar bij navraag in de chat kreeg ik dit terug:

[...]

Heb hem maar geannuleerd. Met black friday komen er weer nieuwe aanbiedingen. De komende twee weken verdiep ik me er beter in. Wellicht kies ik voor een CWWK ivm betere ondersteuning.

Dan zou ik voor die HUNSN gaan met blackfriday. Je moet ze eens chatten op Amazon. Fantastische support.

CWWK heb ik geen helder antwoord op mijn technische vragen gekregen of pas 7 dagen later halve antwoorden.

Die “prijswijziging” onderaan is de VAT die je dan weer moet afdragen via de NL douane.

Als je die totaal prijzen allemaal optelt zit je op een N100 x4 NVME op 198. Bij CWWK op 208 dollar (geen belastingen) en een HUNSN v1 is 214 euro via Amazon. Retour tot 1 januari via Amazon.

Ik wacht even op de prijs van de HUNSN v2 die ik deze week deelde. Voor 2-3 tientjes meer, een moderner board en fijne support ben ik wel voor te porren.

[ Voor 23% gewijzigd door stormfly op 11-11-2023 13:02 ]

[Villager]

wian schreef op zaterdag 11 november 2023 @ 11:53:
[...]

Bedankt voor het posten van de links! Ik kon het niet laten en heb deze besteld als ESXi/Proxmox servertje. Ben benieuwd naar de kwaliteit, hopelijk zit de koelpasta etc goed en blijft deze koel genoeg om zonder fan te gebruiken.

Bij de bestelling staat dat de prijs (213,50) inclusief BTW is, maar jij zegt expliciet ex btw. Waarom?

Heb jij enig idee welke bios ik hier zou moeten kiezen?

Ik heb deze ook besteld. Ben benieuwd. Heb ook deze geheugenmodule besteld. Hoop dat het allemaal goed gaat en dat het gaat werken :-) Nu nog een leuke aanbieding voor een 2TB NVMe en dan kunnen we weer leuke dingen gaan doen!

[ Voor 4% gewijzigd door Villager op 11-11-2023 13:40 ]

[TumTum]

Villager schreef op zaterdag 11 november 2023 @ 13:36:
[...]


Ik heb deze ook besteld. Ben benieuwd. Heb ook deze geheugenmodule besteld. Hoop dat het allemaal goed gaat en dat het gaat werken :-) Nu nog een leuke aanbieding voor een 2TB NVMe en dan kunnen we weer leuke dingen gaan doen!

Die combinatie heb ik ook met de 16GB variant en dat gaat prima.

[TumTum]

wian schreef op zaterdag 11 november 2023 @ 12:35:
[...]


Lijkt te kloppen. Via chat:

[...]


Ga even goed nadenken. Dit is weer een ander merk KingNovy. Vind support wel belangrijk. Mijn huidige servertje staat hier al 5 jaar en dat hoop ik ook te halen met de volgende.

Edit: weet jij of dit doosje een gerelabelde CWWK is? Zo ja, welke van CWWK?

Je kunt ook voor een N100 gaan voor de helft van het geld. Heb je die extra cores echt nodig? Reken op 200 euro voor een N100 en 280 voor een N305. Ik leun zelf niet op support uit China. Bij gezeur is het altijd lastig om tot een oplossing te komen en dat is ook gelijk het nadeel. Dan kun je beter iets in NL samenstellen.

[TumTum]

stormfly schreef op zaterdag 11 november 2023 @ 12:54:
[...]


Voor mij is stabiliteit wel een ding. Heb nu een topton die ook goed stabiel is. Ik draai er een 8 tal VMs op en met die nieuwe HUNSN kan ik die backuppen naar een lokale sata 1tb SSD in het chassis.

De enige optie die ik overweeg is die x4 305 topton. Die @TumTum heeft genoemd. Ik twijfel alleen over warmte 😳

Rond de 80 graden bij een benchmark op ram en CPU. 40 a 50 graden bij normaal gebruik. Een ventilator is heel effectief en zorgt voor een merkbaar koeler systeem. Die kun je los bijbestellen voor 8 euro. Die heb ik ook, alleen nog niet geprobeerd. Heb liever een USB Fan.

[Villager]

TumTum schreef op zaterdag 11 november 2023 @ 13:40:
[...]


Die combinatie heb ik ook met de 16GB variant en dat gaat prima.

Zie ik het nu goed dat er alleen een M2 2230 NVMe in past? En ik lees ook iets over een PCB kaartje om een M.2 NVMe/PCIe3.0 2280 SSD te kunnen gebruiken. Wat is dan verstandig om te doen?

[TumTum]

Villager schreef op zaterdag 11 november 2023 @ 13:54:
[...]


Zie ik het nu goed dat er alleen een M2 2232 NVMe in past? En ik lees ook iets over een PCB kaartje om een M.2 NVMe/PCIe3.0 2280 SSD te kunnen gebruiken. Wat is dan verstandig om te doen?

2280 past prima, volgens mij zelfs 2 sloten. Zo niet, dan leveren ze een adapter mee. Dus je kunt op zoek naar een NVMe x4 SSD.

[stormfly]

TumTum schreef op zaterdag 11 november 2023 @ 13:45:
[...]


Rond de 80 graden bij een benchmark op ram en CPU. 40 a 50 graden bij normaal gebruik. Een ventilator is heel effectief en zorgt voor een merkbaar koeler systeem. Die kun je los bijbestellen voor 8 euro. Die heb ik ook, alleen nog niet geprobeerd. Heb liever een USB Fan.

Ik heb jouw USB fan tip ook besteld die ligt klaar.

Dat is eigenlijk niet heel veel te warm toch? Mijn OPN/pfSense N5105 die draait op 45-50 graden met Zenarmor DPI ingeschakeld. Je zou dan kunnen stellen met 8, normale, VM's kom je goed uit?

Ik heb er 32GB ram voor besteld, zit nu ook in mijn NUC. Ik laat hem dicht en als ik met BF een betere aanbieding zie dan kan ik hem retourneren. Zie ik geen betere aanbieding, kan ik dezelfde avond gaan bouwen

TumTum schreef op zaterdag 11 november 2023 @ 13:42:
[...]


Je kunt ook voor een N100 gaan voor de helft van het geld. Heb je die extra cores echt nodig? Reken op 200 euro voor een N100 en 280 voor een N305. Ik leun zelf niet op support uit China. Bij gezeur is het altijd lastig om tot een oplossing te komen en dat is ook gelijk het nadeel. Dan kun je beter iets in NL samenstellen.

Nee support uit China is niet relaxed, dat heb ik met topton wel gemerkt. Betalen is einde klant contact bij CWWK is het rommelig en bij HUNSN duurder en zeer goed. Als ik hem via Amazon bestel dan heb je ook nog een keer Amazon als garantie partij ertussen. Maar goed, tis net als verzekeren: totdat je het nodig hebt is het zonde van je geld.

Het draait nu op een i3-7100U en ik draai er alleen VM's + docker op.

[stormfly]

@TumTum heb jij trouwens ooit een powermeting gedaan tussen de N100 en N305? De TDP is 6W v.s. 15W.

[Villager]

TumTum schreef op zaterdag 11 november 2023 @ 13:56:
[...]


2280 past prima, volgens mij zelfs 2 sloten. Zo niet, dan leveren ze een adapter mee. Dus je kunt op zoek naar een NVMe x4 SSD.

Oh ja, zie t nu staan. Niet goed gelezen. "Ondersteuning voor dubbele opslag: 2xM.2 NVMe/PCIe3.0 2280 SSD"

Thanks!

[TumTum]

stormfly schreef op zaterdag 11 november 2023 @ 14:21:
[...]


Ik heb jouw USB fan tip ook besteld die ligt klaar.

Dat is eigenlijk niet heel veel te warm toch? Mijn OPN/pfSense N5105 die draait op 45-50 graden met Zenarmor DPI ingeschakeld. Je zou dan kunnen stellen met 8, normale, VM's kom je goed uit?

Nee, is niet 'te' warm. Maar wel warm en niet goed voor alle componenten. Bij normaal gebruik zal het echt geen 80 graden worden.

Meting van de N305 heb ik nog niet gedaan. Kan ik wel even doen op korte termijn. TDP is aanpasbaar trouwens. Je kunt het bijstellen naar beneden, dan krijg je een soort van N300.

[ Voor 7% gewijzigd door TumTum op 11-11-2023 14:47 ]

[stormfly]

TumTum schreef op zaterdag 11 november 2023 @ 14:46:[...]
Meting van de N305 heb ik nog niet gedaan. Kan ik wel even doen op korte termijn. TDP is aanpasbaar trouwens. Je kunt het bijstellen naar beneden, dan krijg je een soort van N300.

Waar stel je de TDP in, hoe heet dat in de bios?

Ja ik zou heel graag de N100. v.s. N305 weten, als dat voor jou niet teveel moeite is.

305 idle 11/12 watt,https://youtu.be/69ZsA_QToBE dat is bij jou mogelijk ook zo?

[ Voor 9% gewijzigd door stormfly op 11-11-2023 14:49 ]

[Villager]

Over temperatuur gesproken. Ben me aan het verdiepen in de NVMe wereld en kijk ook naar de temperaturen ervan. Kom dit lijstje tegen:
Crucial P5 Plus - 55 at idle, 78-81 at heavy load
Patriot P400 - idle at mid-to-high 50, 75 at heavy load
Adata Legend - idle at 34, 78-80 in heavy load
Kingston KC3000 - idle at 48, 78 in heavy load (without airflow)
Adata Gammix S70 - idle temp is not specified, 69-71 in heavy load
WD SN570 - idle temp not mentioned, 61 degrees in heavy load
WD SN770 - idle temp 52, 80 degrees in heavy load
Corsair MP600GS - idle 40, heavy load 80
Seagate Firecuda 520 - idle not mentioned, heavy load 79-85
Kingston Fury Renegade - 27 at idle, 75 in heavy load
Samsung 980 - idle not mentioned, mid-70 in heavy load
Samsung 980 Pro - idle not mentioned, 69-88 in heavy load
Gigabyte Aorus - 40 degrees at idle, 78 in heavy load
WD SN850X - idle 48, 78-85 in heavy load
WD SN700 - idle not mentioned, 81-85 in heavy load
Patriot VP4300 - 62 at idle, 90 degrees in heavy load
Silicon Power XD80 - 32 at idle, 69 in heavy load
Intel 670P - 30 at idle, 70 in heavy load
Patriot P300 - idle not mentioned, 68 in heavy load
Kingston NV2 - The drive idled at 56C by IR and 37C in SMART, a wide deviation between measurements, then hit 86C and 70C, respectively, after roughly 500GB of sustained writes).
Silicon Power A60 - idle not mentioned, 67 in heavy load
Adata Swordfish - idle not mentioned, 77 in heavy load

Nu zal er in het geval van de Topton i3-N305 niet snel 'heavy load' ontstaan, maar de idle temperatuur is misschien wel interessant?

[stormfly]

Villager schreef op zaterdag 11 november 2023 @ 16:28:
Over temperatuur gesproken. Ben me aan het verdiepen in de NVMe wereld en kijk ook naar de temperaturen ervan. Kom dit lijstje tegen:
Crucial P5 Plus - 55 at idle, 78-81 at heavy load
Patriot P400 - idle at mid-to-high 50, 75 at heavy load
Adata Legend - idle at 34, 78-80 in heavy load
Kingston KC3000 - idle at 48, 78 in heavy load (without airflow)
Adata Gammix S70 - idle temp is not specified, 69-71 in heavy load
WD SN570 - idle temp not mentioned, 61 degrees in heavy load
WD SN770 - idle temp 52, 80 degrees in heavy load
Corsair MP600GS - idle 40, heavy load 80
Seagate Firecuda 520 - idle not mentioned, heavy load 79-85
Kingston Fury Renegade - 27 at idle, 75 in heavy load
Samsung 980 - idle not mentioned, mid-70 in heavy load
Samsung 980 Pro - idle not mentioned, 69-88 in heavy load
Gigabyte Aorus - 40 degrees at idle, 78 in heavy load
WD SN850X - idle 48, 78-85 in heavy load
WD SN700 - idle not mentioned, 81-85 in heavy load
Patriot VP4300 - 62 at idle, 90 degrees in heavy load
Silicon Power XD80 - 32 at idle, 69 in heavy load
Intel 670P - 30 at idle, 70 in heavy load
Patriot P300 - idle not mentioned, 68 in heavy load
Kingston NV2 - The drive idled at 56C by IR and 37C in SMART, a wide deviation between measurements, then hit 86C and 70C, respectively, after roughly 500GB of sustained writes).
Silicon Power A60 - idle not mentioned, 67 in heavy load
Adata Swordfish - idle not mentioned, 77 in heavy load

Nu zal er in het geval van de Topton i3-N305 niet snel 'heavy load' ontstaan, maar de idle temperatuur is misschien wel interessant?

Klopt daarom heb ik ook de 1TB 980 gekozen, en niet de PRO of een andere variant. Om onnodige warmte ontwikkeling tegen te gaan, want die performance is nooit langdurig nodig.

[Villager]

Ik neig toch een beetje naar de Samsung 970 Evo Plus 2TB. Die heeft wel DRAM cache en de 980 plus niet. Snelheid is hetzelfde, stroomverbruik ietsjes hoger (4.6 vs 6.0). Raar dat de 980 geen 2TB versie heeft. Effe een nachtje over slapen :-)

[ Voor 8% gewijzigd door Villager op 11-11-2023 18:04 ]

[TumTum]

Is het niet zo dat bijv. een PCIe NVMe 4.0 x4 minder warmte produceert in een slot met 2 lanes? De maximale performance daalt met 50%. Ik heb zelf NV2 modules en een NM620. Idle zit de NM620 tussen de 30 en 40 graden.

[RobertMe]

Ik heb een gek dingetje waar ik niet uit kom.

Ik kwam er vandaag achter dat mDNS repeaten prima kan zonder software, maar puur door de firewall te ge-/misbruiken. Zijnde middels een stukje nftables configuratie zoals hier omschreven: https://gist.github.com/s...5871213db6baa12eb3c01f036

Alleen, dit werkt, soms... Heel specifiek: het werkt alleen als ik tcpdump draai. Wat ik doe, maakt niet eens (heel veel?) uit. Een tcpdump op elk willekeurig vlan dat ik heb is voldoende.

Situatie:
Debian Bookworm als router
nftables als firewall
Dit is mijn specifieke nftables configuratie:

code:

table ip mangle {
        chain prerouting {
                type filter hook prerouting priority mangle; policy accept;
                ip daddr 224.0.0.251 iif prive ip saddr set 192.168.11.1 dup to 224.0.0.251 device media notrack
                ip daddr 224.0.0.251 iif media ip saddr set 192.168.10.1 dup to 224.0.0.251 device prive notrack
        }
}

table ip6 mangle {
        chain prerouting {
                type filter hook prerouting priority mangle; policy accept;
                ip6 daddr fd02::fb iif prive ip6 saddr set fd00:11::1 dup to ff02::fb device media notrack
                ip6 daddr fd02::fb iif media ip6 saddr set fd00:10::1 dup to ff02::fb device prive notrack
        }
}

En dit werkt dus niet, totdat... ik tcpdump uitvoer. Bv sudo tcpdump -i iot is al voldoende. En inderdaad, ik doe -i iot, oftewel, iot VLAN, terwijl ik de duplication tussen prive en media doe

In zoverre is het probleem ogenschijnlijk ook niet dat bv Chromecast (discovery) niet werkt. Maar ik zie daadwerkelijk dat de discovery pakketten die verstuurd worden niet worden doorgestuurd (en vervolgens er dus ook nooit een antwoord komt op een niet gestelde vraag). Als in: als ik van op een ander systeem een tcpdump -i media doe dan zie ik ook het discovery message niet.
Daarnaast heb ik op een gegeven moment ook in de nftables op de router een log rule toegevoegd aan de output hook op verkeer van/naar poort 5353, en ook deze firewall regel wordt alleen gehit op het moment dat tcpdump draait (aka: als het werkt).

Heeft iemand dus toevallig ervaring met nftables inzetten voor mDNS relaying / repeating? En/of enig idee wat hier aan de hand kan zijn en wat tcpdump voor magie doet waardoor het dan wel werkt?

[commentator]

TumTum schreef op zaterdag 11 november 2023 @ 09:45:
Goedemorgen,

Zoals eerder beloofd! De 11-11 deals op AliExpress. Ik zal dit evt. later aanvullen.
Advies is om even te refreshen tot half 11. Dan ga ik iets anders doen.

De Topton / CWWK / Mini PC Deals:

N100

N100 - X2 of X1 NVMe (1000MB/s+) - Router (Budget)
https://www.aliexpress.com/item/1005006189240963.html
Kortingscode: 11SALE15
Spend & Save - €16,00
Promo Code - €13,28
124,99 euro inclusief BTW

! UPDATE N100 - mSATA of NVMe (Let op) - MET COM POORTEN (en misschien i225B3 NICS)
https://www.aliexpress.com/item/1005005631752365.html
Kortingscode: 11SALE15
Spend & Save - €16,00
Promo Code - €13,28
€119,35 euro inclusief BTW

Mini N100 router met 2x i226-V & optionele ventilator
https://www.aliexpress.com/item/1005005466389211.html
Kortingscode: 11SALE15
Spend & Save - €16,00
Store Coupons/Codes - €4,80
€143,34 inclusief BTW

TopTon N100 met goede behuizing
https://www.aliexpress.com/item/1005005381152417.html
Kortingscode: 11SALE15
Spend & Save - €16,00
Promo Code - €13,28
€158,85 inclusief BTW

i3

i3 N305! - X4 NVMe - Goede behuizing
https://www.aliexpress.com/item/1005005610687184.html
Kortingscode: 15OT51
Spend & Save - €16,00
€228,89 excl. BTW - Reken op 240 inclusief BTW

UPDATE i3 N305 09:54
https://www.aliexpress.com/item/1005005381152417.html
Kortingscode: 15OT51
Spend & Save - €16,00
€213,50 excl. BTW!

UPDATE i3 (11:08)
Voor wie het aandurft in de EU store! Note: Dit is incl. BTW, maar ze kunnen moeilijk doen.
https://www.aliexpress.com/item/1005006017107289.html
Kortingscode: 11SALE50
Promo Code - €44,27
€227,70 Incl. BTW

Update: Gebruik eventueel een cashbacksite (zoals CashbackXL) om een paar euro extra terug te krijgen.

Laatste check: 11:08

Dank voor het overzicht, de kortingscodes werken niet (meer)

[Gunth]

Villager schreef op zaterdag 11 november 2023 @ 18:01:
Ik neig toch een beetje naar de Samsung 970 Evo Plus 2TB.

Is een toppertje,heb deze ook in mijn asrock 660 server zitten icm OVM

[stormfly]

Villager schreef op zaterdag 11 november 2023 @ 18:01:
Ik neig toch een beetje naar de Samsung 970 Evo Plus 2TB. Die heeft wel DRAM cache en de 980 plus niet. Snelheid is hetzelfde, stroomverbruik ietsjes hoger (4.6 vs 6.0). Raar dat de 980 geen 2TB versie heeft. Effe een nachtje over slapen :-)

Heb mij er niet in verdiept, maar is de 980 in de basis niet net zo snel als de Evo Plus met DRAM cache?

Als je op deze details aan het ontwerpen bent met je storage, let dan goed op hoeveel PCI lanes je in je moederboard kiest, veel zijn er x1, x2 of x4.

Medium offtopic: voor degene die in hypervisor draaien via Proxmox let goed op de juiste instellingen en lees de guides goed. Zie hier het verschil in mijn NUC i3 met PCI x4 met een IDE driver (vanuit migratie VMware naar Proxmox) en een juist geconfigureerde ISCI0 disk driver.



IDE


ISCI0 volgens guide

[TumTum]

commentator schreef op zaterdag 11 november 2023 @ 19:12:
[...]


Dank voor het overzicht, de kortingscodes werken niet (meer)

11SALE15 kun je vervangen met actiesnl08. Er komen vast weer nieuwe codes aan. Code van de i3 werkt nog en zie ik op de homepage staan. Code werkt hier nog wel. Let op dat je het maar 1x mag gebruiken.

[ Voor 18% gewijzigd door TumTum op 11-11-2023 19:43 ]

[Raven]

@RobertMe Hier gebruik ik naar alle tevredenheid avahi-daemon daar nog steeds voor, is er een reden dat je daar van af wil? 't is maar een klein programmaatje.

[RobertMe]

RobertMe schreef op zaterdag 11 november 2023 @ 19:09:
Ik heb een gek dingetje waar ik niet uit kom.

Ik kwam er vandaag achter dat mDNS repeaten prima kan zonder software, maar puur door de firewall te ge-/misbruiken. Zijnde middels een stukje nftables configuratie zoals hier omschreven: https://gist.github.com/s...5871213db6baa12eb3c01f036

Alleen, dit werkt, soms... Heel specifiek: het werkt alleen als ik tcpdump draai. Wat ik doe, maakt niet eens (heel veel?) uit. Een tcpdump op elk willekeurig vlan dat ik heb is voldoende.

Situatie:
Debian Bookworm als router
nftables als firewall
Dit is mijn specifieke nftables configuratie:

code:

table ip mangle {
        chain prerouting {
                type filter hook prerouting priority mangle; policy accept;
                ip daddr 224.0.0.251 iif prive ip saddr set 192.168.11.1 dup to 224.0.0.251 device media notrack
                ip daddr 224.0.0.251 iif media ip saddr set 192.168.10.1 dup to 224.0.0.251 device prive notrack
        }
}

table ip6 mangle {
        chain prerouting {
                type filter hook prerouting priority mangle; policy accept;
                ip6 daddr fd02::fb iif prive ip6 saddr set fd00:11::1 dup to ff02::fb device media notrack
                ip6 daddr fd02::fb iif media ip6 saddr set fd00:10::1 dup to ff02::fb device prive notrack
        }
}

En dit werkt dus niet, totdat... ik tcpdump uitvoer. Bv sudo tcpdump -i iot is al voldoende. En inderdaad, ik doe -i iot, oftewel, iot VLAN, terwijl ik de duplication tussen prive en media doe

In zoverre is het probleem ogenschijnlijk ook niet dat bv Chromecast (discovery) niet werkt. Maar ik zie daadwerkelijk dat de discovery pakketten die verstuurd worden niet worden doorgestuurd (en vervolgens er dus ook nooit een antwoord komt op een niet gestelde vraag). Als in: als ik van op een ander systeem een tcpdump -i media doe dan zie ik ook het discovery message niet.
Daarnaast heb ik op een gegeven moment ook in de nftables op de router een log rule toegevoegd aan de output hook op verkeer van/naar poort 5353, en ook deze firewall regel wordt alleen gehit op het moment dat tcpdump draait (aka: als het werkt).

Heeft iemand dus toevallig ervaring met nftables inzetten voor mDNS relaying / repeating? En/of enig idee wat hier aan de hand kan zijn en wat tcpdump voor magie doet waardoor het dan wel werkt?

Found it.
Lang verhaal kort: een netwerkkaart "ontvangt" standaard alleen verkeer voor voor hem bekende mac (en mogelijk IP? not sure) adressen. Doordat mDNS multicast verkeer is (en geen broadcast zoals ik eerder schreef) gebruikt dit een "onbekend" MAC adres waardoor de netwerkkaart het verkeer dus niet verwerkt / door zet naar de CPU.
Met ip maddr add <mac> dev <dev> kunnen extra MAC adressen worden toegevoegd aan een adapter en komt het verkeer wel aan. In het geval gaat het daarbij om 01:00:5E:00:00:FB voor IPv4 en 33:33:00:00:00:FB voor IPv6.

Langer "ontrafel" verhaal is de log vermelding elke keer als ik tcpdump startte. Dan werd promiscueus mode geactiveerd op de link. Dit kan ook handmatig worden gedaan ip link set <dev> promisc on en dan werkte het ook.
Vervolgvraag was "wat doet dit uberhaupt?". Antwoord: een netwerkadapter doet dus standaard alleen op zijn bekende adres(sen) luisteren, en daarnaast naar broadcast verkeer en eventueel multicast verkeer. Het overige verkeer wordt dus genegeerd en niet door gezet naar de CPU. In promiscueus mode doet de adapter wel alle verkeer doorzetten naar de CPU. Best logisch dus dat tcpdump dit activeert, en het op dat moment wel werkt.
Vervolgstap was dan ook "hoe voeg ik een 'bekend' IP adres toe?". Alle antwoorden verwijzen daarbij naar ip maddr add <ip> dev <dev>. Alleen gaf dit telkens een error als ik 224.0.0.251 deed gebruiken. Het adres was maar 4 bytes en moet er 6 zijn. Source code erbij gezocht en daarin een commit van 3 jaar terug gevonden waarbij de validatie is aangepast/toegevoegd. Vroeger werden blijkbaar IP adressen geaccepteerd, maar dat was niet de bedoeling (en werkte mogelijk niet (goed)?), dit moet een MAC adres zijn.
Maarja, welk MAC adres wordt dan gebruikt hiervoor? En dat staat dan blijkbaar zelfs op de Wikipedia pagina over mDNS. Vervolgens op de PC nog een testje gedaan met ip maddr show <dev> voor en nadat ik de Avahi daemon start en dat bevestigd het. Link adressen 33:33:00:00:00:fb en 01:00:5e:00:00:fb en IP adressen 224.0.0.251 en ff02::fb verschijnen "spontaan" in de output. Dus op de router sudo ip maddr add 01:00:5e:00:00:fb dev lan uitgevoerd, op de PC als test avahi-browse _googlecast._tcp --resolve en de Nvidia Shield verschijnt onmiddellijk als resultaat.

[RobertMe]

Raven schreef op zondag 12 november 2023 @ 09:34:
@RobertMe Hier gebruik ik naar alle tevredenheid avahi-daemon daar nog steeds voor, is er een reden dat je daar van af wil? 't is maar een klein programmaatje.

Omdat het weer extra software is. En daarnaast is Avahi een one trick pony.
Sinds ik deze router heb geen gebruik gemaakt van mDNS relaying (eigenlijk cast ik nooit). Nu was ik gisteren toch weer eens for fun hiernaar aan het kijken en viel mijn oog ten eerste op dat generieke UDP broadcast relay oplossingen ook werken voor, bv, SyncThing. En deze draai ik in Docker waardoor LAN discovery niet werkt. Met dit tooltje zou dat dus wel kunnen wat wellicht wel fijn is (paar weken terug nog overal de IP adressen van de server aangepast). En Avahi doet natuurlijk geen generieke relaying en zou daarvoor dus niet werken. Nu is dat nog steeds geen harde vereiste. En het feit dat deze tooltjes niet makkelijk te installeren / onderhouden zijn (zitten dus niet in de Debian repo en hebben ook geen custom repo) hield mij tegen. En vervolgens kwam ik dus bij een van de vele varianten tegen "maar dit kan ook met iptables" (IIRC, kan ook nftables zijn geweest) tegen. En toen ben ik dus down the rabbit hole gegaan v.w.b. die route. In iptables is het overigens de TEE chain die je moet gebruiken om een pakket te dupliceren naar een andere interface. En ook daarvan zijn meerdere voorbeelden te vinden, bv op StackOverflow / StackExchange.

[Raven]

RobertMe schreef op zondag 12 november 2023 @ 11:09:
[...]

Omdat het weer extra software is.

Die paar kB , om het hele OS met de paar router-gerelateerde pakketten bij te werken waren er per upgrade (van Debian 10 naar 11 en 11 naar 12) zo'n 350MB aan bestanden nodig die gedownload moeste worden, om nou daar moeilijk over te gaan doen

RobertMe schreef op zondag 12 november 2023 @ 11:09:
En daarnaast is Avahi een one trick pony.
Sinds ik deze router heb geen gebruik gemaakt van mDNS relaying (eigenlijk cast ik nooit). Nu was ik gisteren toch weer eens for fun hiernaar aan het kijken en viel mijn oog ten eerste op dat generieke UDP broadcast relay oplossingen ook werken voor, bv, SyncThing. En deze draai ik in Docker waardoor LAN discovery niet werkt. Met dit tooltje zou dat dus wel kunnen wat wellicht wel fijn is (paar weken terug nog overal de IP adressen van de server aangepast). En Avahi doet natuurlijk geen generieke relaying en zou daarvoor dus niet werken.

Is avahi-daemon niet voldoende voor SyncThing dan? Van wat ik zo gauw terugvind zou dat wel moeten zijn. Of komt het omdat de Docker containers niet direct aan het LAN zijn verbonden d.m.v. macvlan? Dan wordt het wel wat ingewikkelder.

RobertMe schreef op zondag 12 november 2023 @ 11:09:
Nu is dat nog steeds geen harde vereiste. En het feit dat deze tooltjes niet makkelijk te installeren / onderhouden zijn (zitten dus niet in de Debian repo en hebben ook geen custom repo) hield mij tegen.

Welke tooltjes doel je dan op?

RobertMe schreef op zondag 12 november 2023 @ 11:09:
En vervolgens kwam ik dus bij een van de vele varianten tegen "maar dit kan ook met iptables" (IIRC, kan ook nftables zijn geweest) tegen. En toen ben ik dus down the rabbit hole gegaan v.w.b. die route. In iptables is het overigens de TEE chain die je moet gebruiken om een pakket te dupliceren naar een andere interface. En ook daarvan zijn meerdere voorbeelden te vinden, bv op StackOverflow / StackExchange.

Dat lijkt wel een stuk lastiger te configgen dan avahi-daemon, waar je alleen wat interfaces hoeft op te geven en that's it.

[Vorkie]

Raven schreef op zondag 12 november 2023 @ 11:30:
[...]

Die paar kB , om het hele OS met de paar router-gerelateerde pakketten bij te werken waren er per upgrade (van Debian 10 naar 11 en 11 naar 12) zo'n 350MB aan bestanden nodig die gedownload moeste worden, om nou daar moeilijk over te gaan doen


[...]

Is avahi-daemon niet voldoende voor SyncThing dan? Van wat ik zo gauw terugvind zou dat wel moeten zijn. Of komt het omdat de Docker containers niet direct aan het LAN zijn verbonden d.m.v. macvlan? Dan wordt het wel wat ingewikkelder.


[...]

Welke tooltjes doel je dan op?


[...]
Dat lijkt wel een stuk lastiger te configgen dan avahi-daemon, waar je alleen wat interfaces hoeft op te geven en that's it.

Misschien kan hij er zelf een tooltje voor schrijven, zodat het visueel zichtbaar is dat je een configuratie hebt gedaan waarbij netwerkkaarten reageren op niet-originele mac-addressen? /flauw

Maar het zelf uitvinden is wel het ook leren, dus in dat opzicht is het helemaal niet perse die paar bits die het bespaart, het is het begrijpen wat je ervaring doet geven.

Hier gewoon Avahi hoor

[RobertMe]

Raven schreef op zondag 12 november 2023 @ 11:30:
[...]

Is avahi-daemon niet voldoende voor SyncThing dan? Van wat ik zo gauw terugvind zou dat wel moeten zijn. Of komt het omdat de Docker containers niet direct aan het LAN zijn verbonden d.m.v. macvlan? Dan wordt het wel wat ingewikkelder.

SyncThing gebruikt geen mDNS dus nee, mDNS is niet voldoende, maar doet gewoon helemaal niks.

[...]

Welke tooltjes doel je dan op?

Zoek op "upd broadcast relay" en gij zult vinden. Er zijn vele van dit soort tooltjes te vinden op GitHub. Soms officiële forks van elkaar. Soms niet geforked maar wel opvallend op elkaar gelijkende READMEs (code niet bekeken, maar die zal ook wel op elkaar lijken).

[...]
Dat lijkt wel een stuk lastiger te configgen dan avahi-daemon, waar je alleen wat interfaces hoeft op te geven en that's it.

Tsja, het blijft natuurlijk ook Tweakers, dus "omdat het kan" hoort er dan bij.
Overigens zijn er ook voldoende alternatieve mDNS repeaters te vinden. Dus Avahi is sowieso niet per definitie hét antwoord (bv mijn oude USG gebuikte ook "een ander"). En Avahi werkt(e) ook niet lekker met cast groups? Afgaande op die GitHub gist die ik gisteren linkte.

[RobertMe]

Vorkie schreef op zondag 12 november 2023 @ 11:34:
[...]


Misschien kan hij er zelf een tooltje voor schrijven, zodat het visueel zichtbaar is dat je een configuratie hebt gedaan waarbij netwerkkaarten reageren op niet-originele mac-addressen? /flauw

Als je Avahi gebruikt gebeurt net zo goed hetzelfde. Ook die vraagt "aan Linux" om te luisteren op dat multicast adres (/adressen, 1x IPv4 en 1x IPv6). Dat is dus ook onderdeel van de reis geweest. ip maddr show lan voor en nadat ik Avahi startte

[stormfly]

Bij mijn zelfbouw router heb ik lang getwijfeld N6005 of N5105, gelukkig toen voor een N5105 gekozen want die heeft meer dan voldoende performance voor een KPN 1G/1G PPPoE lijn inclusief Zenarmor.

Nu voor de proxmox host aan het shoppen, N100 of N305. Met een 1TB NVMe heb ik ruimte zat voor VM's en ik draai Docker native in PVE (dus in het root OS). Ik ga toch starten met de N305, ik wil iets meer power hebben door het dubbele aantal cores. Idle verbruiken ze nagenoeg het zelfde rond de 10-11 watt.

Net de HUNSN RJ35 N305 gekocht, op de Duitse site van Amazon ging er 50euro af van 335 naar 285 een 15minuten Lightning deal. Met optie tot retourneren tot 31 januari '24. Dit reepje 48G geheugen kan er dan in waardoor ik ook wat meer VM's kan starten dan in de huidige 32G NUC.

Het is dan het nieuwe model met 2x USB 3.0 (of 3.2 zeggen de forums) en de 6x USB 2.0, en je kunt SATA en NVMe beide gebruiken. NVMe met x4 PCIe lane en Sata met 1x PCIe Lane, dat laatste is mooi want dan kan ik de VM's intern backuppen.

CWWK levert ook het nieuwe model, de site is nog niet geüpdatet maar de leveringen wel.

[ Voor 4% gewijzigd door stormfly op 12-11-2023 16:29 ]

[Rolfie]

stormfly schreef op zondag 12 november 2023 @ 16:27:
Nu voor de proxmox host aan het shoppen, N100 of N305. Met een 1TB NVMe heb ik ruimte zat voor VM's en ik draai Docker native in PVE (dus in het root OS). Ik ga toch starten met de N305, ik wil iets meer power hebben door het dubbele aantal cores. Idle verbruiken ze nagenoeg het zelfde rond de 10-11 watt.

Net de HUNSN RJ35 N305 gekocht, op de Duitse site van Amazon ging er 50euro af van 335 naar 285 een 15minuten Lightning deal. Met optie tot retourneren tot 31 januari '24. Dit reepje 48G geheugen kan er dan in waardoor ik ook wat meer VM's kan starten dan in de huidige 32G NUC.

De N305 heeft toch maar ondersteuning tot 16GB Memory?

[stormfly]

@TumTum jij bent mogelijk wat meer thuis in PL1 en PL2

Van een website:
De i3-N305 is gespecificeerd met 15 watt (PL1) TDP (cTDP 9 watt lager, dan slechts 1 GHz basisklok).

Ik zag hier staan dat Intel rekent met cTDP (15W/35W (cTDP 9W)) dat is blijkbaar een variabele waarde van PL1 waarbij je bij een hitte probleem de basis CPU kan verlagen van 1,8Ghz naar 0,8Ghz zoals bij de N100?

Heb jij daar ervaring mee?

[stormfly]

Rolfie schreef op zondag 12 november 2023 @ 16:57:
[...]


De N305 heeft toch maar ondersteuning tot 16GB Memory?

Ja daar heb ik mij ook over verbaasd met mijn eerste N5105, het korte antwoord is: ja ze kunnen meer adresseren dan 16G. Zoek maar eens op de sodimm naam in STH forums, veel positieve berichten over die specifieke sodimm.

[ Voor 10% gewijzigd door stormfly op 12-11-2023 17:10 ]

[Rolfie]

stormfly schreef op zondag 12 november 2023 @ 17:08:
[...]


Ja daar heb ik mij ook over verbaasd met mijn eerste N5105, het korte antwoord is: ja ze kunnen meer adresseren dan 16G. Zoek maar eens op de sodimm naam in STH forums, veel positieve berichten over die specifieke sodimm.

Bijzonder, maar dan is dit wel een beter keus om aan te schaffen voor in de toekomst. 32GB zou al voldoende zijn 48 of 64GB is helemaal perfect. Zeker icm de de Ali aanbiedingen. Straks maar een N305 gaan bestellen.

[CAPSLOCK2000]

Meer dan 32GB is wel een opsteker, te weinig RAM is meestal de reden waarom ik systemen vervang. Ik heb lang over N100/N305 getwijfeld omdat het maar 32GB kan aanspreken. Nu 48GB en misschien zelfs 64GB mogelijk lijkt zou dat de levensduur aanzienlijk kunnen verbeteren, al zal het tegen die tijd wel niet heel interessant zijn om een duur 64G balkje te kopen voor een (dan) oud systeem.

[ Voor 17% gewijzigd door CAPSLOCK2000 op 12-11-2023 19:38 ]

[sloth]

Ik mis vast iets maar 32 GB RAM voor een firewall en dan nog zorgen hebben dat dit te krap is

[RobertMe]

sloth schreef op zondag 12 november 2023 @ 19:51:
Ik mis vast iets maar 32 GB RAM voor een firewall en dan nog zorgen hebben dat dit te krap is

Maar het is dan ook gedeeltelijk offtopic. Want het begon met de 100% offtopic vraag "ik ben op zoek naar een Proxmox host [en heb al een router dus dit wordt niet ook mijn router]".

In any case. Mijn router met plain Debian en een zeer beperkt aantal Docker containers gebruikt 4,4GB. Maar draai wel ZFS waarvan het ARC blijkbaar 2,9GB beslaat. Dus effectief max 1,5GB in gebruik. Dus ja, 32GB of nog meer voor een pure router is nogal veel.

[Rolfie]

Volgens mij ben ik heel dom geweest en had verwacht dat de korting vandaag ook nog geldig zou zijn....

Al kon ik nog een leuke korting vinden. Was uiteindelijk maar 15 euro duurder dan gisteren.

[ Voor 31% gewijzigd door Rolfie op 12-11-2023 20:30 ]

[stormfly]

sloth schreef op zondag 12 november 2023 @ 19:51:
Ik mis vast iets maar 32 GB RAM voor een firewall en dan nog zorgen hebben dat dit te krap is

RobertMe schreef op zondag 12 november 2023 @ 19:59:
[...]

Maar het is dan ook gedeeltelijk offtopic. Want het begon met de 100% offtopic vraag "ik ben op zoek naar een Proxmox host [en heb al een router dus dit wordt niet ook mijn router]".

In any case. Mijn router met plain Debian en een zeer beperkt aantal Docker containers gebruikt 4,4GB. Maar draai wel ZFS waarvan het ARC blijkbaar 2,9GB beslaat. Dus effectief max 1,5GB in gebruik. Dus ja, 32GB of nog meer voor een pure router is nogal veel.

Ja en nee 50-50 offtopic, mijn gevoel is dat er twee groepen zijn in dit topic. De baremetal groep firewall bouwers en de gevitualiseerde firewall bouwers.

Ik draai mijn router virtueel op de N5105. Anderen willen een virtuele machine met proxmox/ESXi en 32G ram, waar ze dan de firewall virtueel op gaan draaien met IOMMU. Dan geef je 8G aan OPNsense en kan je op de resterende hardware nog andere hobby projecten starten.

offtopic:
Er is niet echt een ander topic waar het over deze 4-ports kastjes gaat, er is een proxmox topic en daar gaat het juist weer over instellingen en niet over hardeware.

[RobertMe]

In other news. Gisteren in huis teruggegaan van 8 DNS servers naar 4

Situatie: DNS zowel op de router als op de server, dus dat zijn twee stuks. Vervolgens heb ik nog een VLAN dat aan een VPN hangt (voor semi anoniem verkeer naar buiten toe). Dus dat zijn al 4 servers. Vervolgens gebruikte ik eerst PiHole in combinatie met Unbound, en niet veel later PiHole vervangen door Blocky. Dus dat maakte van elke server effectief 2 stuks. Dus 4 "servers" waren er 2 per stuk dus effectief 8.
Gisteren ben ik helemaal opnieuw begonnen. Andere Docker container voor Unbound (maar niet perse een vereiste), en vervolgens daarin de blocklist toepassen. Blocklist komt daarbij van https://scripttiger.github.io/alts/ in RPZ formaat. Deze download ik op basis van een systemd timer dagelijks (en daarna herstart ik de container). Custom DNS entries zijn daarbij dan ook rechtstreeks in Unbound opgevoed. Evenals een minimale TTL (sommige domeinen gebruiken een TTL van luttele seconden, deze forceer ik op minimaal 60 seconden).

[CAPSLOCK2000]

RobertMe schreef op zondag 12 november 2023 @ 19:59:
In any case. Mijn router met plain Debian en een zeer beperkt aantal Docker containers gebruikt 4,4GB. Maar draai wel ZFS waarvan het ARC blijkbaar 2,9GB beslaat. Dus effectief max 1,5GB in gebruik. Dus ja, 32GB of nog meer voor een pure router is nogal veel.

Ja, dat klopt, mijn reactie was meer algemeen dan specifiek voor pure firewalls/routers/aps.

Overigens, wat is puur? Routers & firewalls zijn ook aan verandering onderhevig. Het is tegenwoordig meer dan pakketjes van A naar B schuiven. Op mijn "firewalls" draait bijvoorbeeld ook een load-balancer met ssl-termination en die draait binnen een Docker container terwijl de firewall zelf in een VM draait. Dan doe ik nog niet/nauwelijks aan content inspection maar als je een "next gen" firewall hebt komt dat er ook nog bij.
Daarnaast is het deel van een cluster dus ieder systeem heeft wat extra nodig om de uitvang van een andere node op te kunnen vangen.

De VM die routering & ip-filtering doet heeft slechts 512MB RAM en dat is wat krap, al komt dat helemaal doordat er een puppet agent & corosync cluster manager op moet kunnen draaien. Echt puur routeren is eigenlijk gratis, de "kosten" zitten in het beheer.

Ten slotte begroot ik hardware op 10 jaar gebruik en typisch is RAM het punt waar het schip strand, maar dat heeft meer te maken met secundaire taken dan met puur routeren/filteren.

[CAPSLOCK2000]

stormfly schreef op zondag 12 november 2023 @ 20:11:
Ja en nee 50-50 offtopic, mijn gevoel is dat er twee groepen zijn in dit topic. De baremetal groep firewall bouwers en de gevitualiseerde firewall bouwers.

Goed gezien, die groepen lijken inderdaad af en toe langs elkaar heen te praten.

Voor mij is het een kwestie van organisatie en beschikbaarheid. Ik wil niet afhankelijk zijn van één stuk hardware dus alle software moet ofwel redundant zijn uitgevoerd ofwel eenvoudig (live) kunnen migreren naar een ander stuk hardware zonder (merkbare) downtime. Ik wil twee fouten/storingen kunnen opvangen dus heb ik sommige zaken in vijfvoud uitgevoerd. Als er 2 uitvallen heb ik er nog 3 over en kan alles doordraaien.
Overkill? Absoluut. Maar met vijf computers voor één dienst is het een beetje te duur om alles op losse hardware te draaien, ook al zou dat ergens beter zijn*. Virtualiseren/clusteren is dan ook de logische stap.

Er is niet echt een ander topic waar het over deze 4-ports kastjes gaat, er is een proxmox topic en daar gaat het juist weer over instellingen en niet over hardeware.[/offtopic]

In Het grote zuinige server topic - deel 3 gaat het ook regelmatig over deze kastjes. Misschien is het tijd voor een eigen topic.


* alles is een compromis, in een zakelijke omgeving zou ik andere keuzes maken dan bij mij thuis.

[Villager]

Ik herken die geheugengrootte afweging wel. Heb een Pc met een i5-8600 8-core processor. Pc voldoet nog prima, maar merkte af en toe dat ik aan de grens van de 16Gb geheugen zat als ik veel tegelijk open had staan. Vooral browsers pakken een flinke hap uit het geheugen. Dus dacht even te upgraden, maar blijken er bijna geen compatible setjes (2x16Gb) beschikbaar. Lang zoeken en toch wat gevonden. Ook bij t doosje wat ik nu gekocht heb meteen maar 32Gb er in prikken. Hoef ik me daar geen zorgen over te maken :-)

[Comp User]

Ik heb sinds vandaag OPNSense draaien, maar ik kom niet verder met Adguard.

Ik krijg "validating ports: listen tcp 0.0.0.0:80: bind: address already in use" en "validating ports: listen tcp 0.0.0.0:53: bind: address already in use", de zgn fix issue knop zie ik niet.

Dat blijft ook als ik Pi-hole - die volgens mij "de schuldige" is - uitschakel in beeld staan ( waardoor ik dus ook niet verder kom).

Het is waarschijnlijk iets simpels wat ik over het hoofd zie, mede omdat ik wel gewoon online blijf, maar ik kom er niet achter wat er is daadwerkelijk verkeerd gaat.

[ninjazx9r98]

Comp User schreef op dinsdag 14 november 2023 @ 18:28:
Ik heb sinds vandaag OPNSense draaien, maar ik kom niet verder met Adguard.

Ik krijg "validating ports: listen tcp 0.0.0.0:80: bind: address already in use" en "validating ports: listen tcp 0.0.0.0:53: bind: address already in use", de zgn fix issue knop zie ik niet.

Dat blijft ook als ik Pi-hole - die volgens mij "de schuldige" is - uitschakel in beeld staan ( waardoor ik dus ook niet verder kom).

Het is waarschijnlijk iets simpels wat ik over het hoofd zie, mede omdat ik wel gewoon online blijf, maar ik kom er niet achter wat er is daadwerkelijk verkeerd gaat.

Draait Adguard op het OPNSense systeem? Dan draait unbound mogelijk al op port 53 en is het aan te raden om die aan te passen naar 5335. Port 80 zal ook in gebruik zijn en daarom wordt de boel ook gestart op port 3000, bij configureren moet je die dus ook daarop laten staan of erop zetten als dat niet het geval is.
Wat de Pihole ermee te maken heeft snap ik niet helemaal maar er mist ook informatie wat precies waarop draait en hoe.

[ThinkPad]

Poorten even wijzigen inderdaad. Ik liep hier ook tegenaan.
De configfile zou in /usr/local/AdGuardHome/AdGuardHome.yaml moeten staan. Daarna de Adguard service even herstarten (via OPNsense plugin GUI of CLI (service adguardhome restart)).

En vervolgens even een firewall rule aanmaken om de devices die je langs Adguard wilt hebben erheen te forceren, want op de meeste devices kun je geen afwijkende poort opgeven voor de DNS-server.

[ Voor 14% gewijzigd door ThinkPad op 14-11-2023 20:15 ]

[Comp User]

ninjazx9r98 schreef op dinsdag 14 november 2023 @ 19:45:
[...]

Draait Adguard op het OPNSense systeem? Dan draait unbound mogelijk al op port 53 en is het aan te raden om die aan te passen naar 5335. Port 80 zal ook in gebruik zijn en daarom wordt de boel ook gestart op port 3000, bij configureren moet je die dus ook daarop laten staan of erop zetten als dat niet het geval is.
Wat de Pihole ermee te maken heeft snap ik niet helemaal maar er mist ook informatie wat precies waarop draait en hoe.

Pi-hole draaide op een Raspberry Pi 2b, ik heb Unbound aangepast 5335 - had ik kunnen weten aangezien ik dat eerst ook zo had staan - en poort 80 aangepast naar 3000 - waarop ik ook de Login had maar okay - toen ging het als vanzelf.

Bedankt voor het meedenken en zo worden we met z'n allen wijzer.

@ThinkPad hoe kan ik die fw regels aanpassen / maken?

Komende vanaf een Edgerouter zit het toch iets anders in elkaar en ik kan zo snel geen voorbeelden vinden, bvd.

[ Voor 9% gewijzigd door Comp User op 14-11-2023 20:24 ]

[ninjazx9r98]

@Comp User Als je de unbound port aanpast en Adguard op 53 laat luisteren hoef je geen firewall rule aan te maken. Je verwijst alle clients naar Adguard die gewoon op 53 draait en hoeft daar dus niks speciaals voor te doen. In Adguard zet je dan unbound als upstream server en daar kun je de afwijkende poort meegeven.

[Comp User]

ninjazx9r98 schreef op dinsdag 14 november 2023 @ 20:31:
@Comp User Als je de unbound port aanpast en Adguard op 53 laat luisteren hoef je geen firewall rule aan te maken. Je verwijst alle clients naar Adguard die gewoon op 53 draait en hoeft daar dus niks speciaals voor te doen. In Adguard zet je dan unbound als upstream server en daar kun je de afwijkende poort meegeven.

Unbound gaat over 5335 en Adguard over 53, dat staat dus goed.

Dan laat ik het voorlopig zo draaien en kan ik later - als ik mij wat meer heb ingelezen - nog wat meer aanpassen indien noodzakelijk, voorlopig draait het prima.

[Rolfie]

Ik heb bij Ali een N305 besteld en zit nog te twijfelen om te virtualseren, voor mijn Firewall.

Ik zie hier vaak als hypervisor proxmox voorbij komen. Gebruiken jullie dan de gratis variant of een betaalde?
Alternatief is namelijk ESXi, waar ik al ervaring mee heb, of xcp-ng.

Groot voordeel van proxmox zie is de support voor containers, wat ik ook gebruik op mijn synology nas, maar waar ik niet helemaal tevreden over ben.
Dus ik zit nog wat te twijfelen....

[GoBieN-Be]

Ik heb voor mijn N5100 TopTon systeem gekozen voor Proxmox (de gratis versie).
Zie ook het Proxmox post install script: https://tteck.github.io/Proxmox/ om te helpen repo's goed te zetten.
Ik heb er 1 VM op (OPNsense) en 1 LXC (UptimeKuma).

Mijn HomeLab server draait ESXi

[ Voor 6% gewijzigd door GoBieN-Be op 15-11-2023 10:46 ]

[TumTum]

Rolfie schreef op woensdag 15 november 2023 @ 10:42:
Ik heb bij Ali een N305 besteld en zit nog te twijfelen om te virtualseren, voor mijn Firewall.

Ik zie hier vaak als hypervisor proxmox voorbij komen. Gebruiken jullie dan de gratis variant of een betaalde?
Alternatief is namelijk ESXi, waar ik al ervaring mee heb, of xcp-ng.

Groot voordeel van proxmox zie is de support voor containers, wat ik ook gebruik op mijn synology nas, maar waar ik niet helemaal tevreden over ben.
Dus ik zit nog wat te twijfelen....

Proxmox gebruikt OS containers. Dit werkt anders dan een Application Container, zoals Docker. Je kunt Docker bijv. in een OS (LXC) container draaien. Je kunt een linux distro kiezen en het gebruiken als een soort 'VM', maar dan veel efficienter.

[Harmen]

@Comp User Unbound heeft ook een standaard adblocker. Deze heb ik nu een week in gebruik na jaren AGH. Bevalt prima tot nu toe, gui is wel wat karig. Mijn SG115 is nu wat rustiger kwa belasting.

[stormfly]

Harmen schreef op woensdag 15 november 2023 @ 11:55:
@Comp User Unbound heeft ook een standaard adblocker. Deze heb ik nu een week in gebruik na jaren AGH. Bevalt prima tot nu toe, gui is wel wat karig. Mijn SG115 is nu wat rustiger kwa belasting.

Heb jij al gevonden hoe je 1 LAN IP kunt uitsluiten van de blocking? Zodat bv de iPad van de kids wel advertenties zien? Ik krijg dat niet voor elkaar.

[Harmen]

stormfly schreef op woensdag 15 november 2023 @ 12:23:
[...]
Heb jij al gevonden hoe je 1 LAN IP kunt uitsluiten van de blocking? Zodat bv de iPad van de kids wel advertenties zien? Ik krijg dat niet voor elkaar.

Oeh.... nee helaas. Mijn dochter vroeg mij voorheen wel eens de adblocker uit te zetten zodat ze rewards kon ontvangen op haar telefon.
Misschien is het een optie het domein in kwestie te whitelisten? Of andere dns instellen op haar iPad?

[ Voor 11% gewijzigd door Harmen op 15-11-2023 13:04 ]

[ninjazx9r98]

stormfly schreef op woensdag 15 november 2023 @ 12:23:
[...]


Heb jij al gevonden hoe je 1 LAN IP kunt uitsluiten van de blocking? Zodat bv de iPad van de kids wel advertenties zien? Ik krijg dat niet voor elkaar.

In Adguard kun je een client vrij eenvoudig whitelisten maar bij unbound lijkt het erop dat je moet whitelisten voor iedereen die gebruik maakt van unbound.
Als je bepaalde devices volledig wenst uit te sluiten van blocking zou ik ze via DHCP een static IP toewijzen en dan specifiek voor die devices een of twee externe DNS server configureren van Google, Quad9 of wie dan ook.

Alle reguliere devices hier in huis hebben een fixed IP of semi fixed via DHCP. Als ik dan iets wil whitelisten die ik een unblock of unblock for this client in Adguard. Wil ik iets whitelisten voor een paar clients dan pas ik de regex onder custom filtering rules weer even aan en copy paste dat even naar de twee Adguard die ik als addon op Home Assistant heb draaien.

[ Voor 22% gewijzigd door ninjazx9r98 op 15-11-2023 13:38 ]

[RobertMe]

ninjazx9r98 schreef op woensdag 15 november 2023 @ 13:32:
[...]

In Adguard kun je een client vrij eenvoudig whitelisten maar bij unbound lijkt het erop dat je moet whitelisten voor iedereen die gebruik maakt van unbound.

Unbound kan dit prima. Clients kun je taggen en RPZ kun je toepassen op (clients met een) tag. Maar gezien vele *Sense gebruikers reageerden ga ik er gemakshalve vanuit dat het niet in de UI van *Sense zit.

[ninjazx9r98]

RobertMe schreef op woensdag 15 november 2023 @ 13:42:
[...]

Unbound kan dit prima. Clients kun je taggen en RPZ kun je toepassen op (clients met een) tag. Maar gezien vele *Sense gebruikers reageerden ga ik er gemakshalve vanuit dat het niet in de UI van *Sense zit.

Dat had ik er inderdaad even bij moeten zetten dat ik het had over de GUI van Unbound in OPNSense want uiteraard is er veel meer mogelijk als je de config file in duikt.

[wian]

stormfly schreef op zaterdag 11 november 2023 @ 09:29:
[...]

[...]

Inderdaad het is op merkelijk dat systempatcher niet default geladen is, met systempatcher erbij heb je tussentijds nog wel 3x updates wat je zo op 8 updates per jaar brengt met pfSense.

Hieronder nog een lijstje met mijn observaties, natuurlijk geheel persoonlijk. Als ik wat mis wil je het laten weten, zou fijn zijn om een complete lijst te maken.

pfSense

• pfBlockerNG is complex maar als je het door hebt is het een fijn product.
• pfBlockerNG heeft een optie tot GeoIP en het whitelisten van IPs voor advertenties, zie onder OPNsense meer uitleg over deze behoefte.
• Gebaseerd op de pfSense plus tijdslijn tot november 2023: Updates, 2-3x per jaar in de basis en met system patcher geactiveerd nog +/- 6 extra per jaar.
• ARPwatch is een leuke tool + telegram integratie, als netwerk monitoring je hobby is.
• Helaas geen Zenarmor plugin, relatief weinig plugins.
• Relatief trage implementatie van nieuwe drivers zoals de Intel I-226-v NIC, mogelijk is dat wel versneld sinds FreeBSD 14 is geadopteerd als OS.

Algemeen

• Mijn beleving is dat ze meer programmeurs hebben waardoor de code kwaliteit beter is, ondanks dat ze minder releasen is het kwalitatief erg goed. Alles hangt voor beide partijen af van hoeveel mensen de RC draaien en feedback delen, bugs hou je altijd.
• Hun forum software is fijn, hun redmine bugtracker is fijn je ziet en krijgt terugkoppeling. Het is gemakkelijk en leuk om bugs te delen, eigenlijk net als UniFi in 2017 leuk contact met de developers
• Ze geven pfSense plus geen gratis updates meer, je moet dan TAC late support aanschaffen voor 129dollar per jaar.
• De community CE editie heeft de naam dat deze relatief weinig aandacht updates krijgt, in een recente blog beloven ze daar verbetering in te brengen.

OPNsense

• Zenarmor dit is echt hoe IPS en IDS in mijn ogen bedoeld is.
• NetFlow dashboard je kunt op IP herleiden hoeveel volume er verbruikt is
• Firewall GUI is duidelijk en overzichtelijker dan van pfSense, gemakkelijker te bedienen voor het inschakelen van logs etc.
• Naviatie in de GUI vind ik complexer, ik analyseer veel logs en dat is op één centrale plek bij pfSense, en per onderwerp bij OPNsense, wat meer clicks nodig heeft.
• GUI is more responsive.
• GeoIP ACL's zijn vele malen sneller te activeren dan via de complexere pfBlockerNG variant.
• Sneller nieuwe drivers (zoals Intel I226-v) en package updates, dat voelt veiliger, maar is dit het ook? Kwaliteit v.s. kwantiteit.
• Deze repo van mimugmail geeft een leuke set aan plugins zoals Aduard. Want je kunt in OPNsense wel een blocklist laden om ads te blokkeren via UNbound. Echter kan je hier helemaal geen IPs op whitelisten. De vrouwen in huis willen shoppen met advertenties en de Tweaker wil advertentie vrij. Daarom draai ik nu AdGuard op OPNsense zodat ik per IP (DHCP reserveringen) kan bepalen of er ads afgebeeld worden.

Algemeen

• Zeer oude forum software, waarom is er geen tijd en geld om dit te updaten? Al is het maar vanuit security oogpunt? Hoe veilig is dan de rest van hun security focus? Positief benadert: ze zijn zo druk bezig met testen van de veiligheid van hun OPNsense product dat ze geen tijd hebben om de forum software te upgraden.
• Ze lijken minder engineering resources te hebben, mijn genoemde PPPoE bug icm IPv6 lijkt nu dood te bloeden op "krijg het slecht gereproduceerd" iets wat ik met mijn bug reports bij pfSense nooit heb ervaren.

Wat te kiezen?

Als ik terugkijk naar mijn wankele Ziggo verbinding en beheerlast met een UniFi router qua firewalling, moet ik zeggen dat een van de grootste voordelen van pfSense + KPN glasvezel voor mij zijn: je hoeft er niet naar om te kijken. Zoals ik hier ook schrijf stormfly in "Zelfbouw project: Firewall / Router / AP" heb ik een aantal design keuzes gemaakt waardoor er minder op OPN/pfSense komt te draaien thuis. Dat geeft mij meer flexibiliteit tot het terugdraaien van mijn OPNsense keuze.

Mijn plan nu is: kijken of ik ze kan motiveren om toch weer naar mijn PPPoE bug te kijken, kijken hoe "diep" ze gaan qua inzet. Ik ben nu aan het spelen met Zenarmor dat is 99dollar voor 12 maanden, waarin je echt alles kunt filteren. Ik vindt alle gedrochten zoals UniFi IPS echt een wassen neus, ook Suricata etc is echt een draak qua GUI. Zenarmor maakt daarin echt een verschil (zie post link voor screenshots) dat is echt een gave tool die doet wat je verwacht, echte blokkades, goede inzichten, en een fijne GUI.

Als je Zenarmor voor 99dollar dan wegzet tegen 129dollar voor pfSense plus denk ik dat je met Zenarmor (en kids in huis) een beter en veiliger netwerk hebt aangekocht.

Ik ga nu kijken of pfSense de belofte waarmaakt ten aanzien van de frequentere CE updates, als ze die echt weer actief gaan patchen 2-3x per jaar dan ga ik misschien terug naar pfSense CE. Want stabiliteit is voor mij echt heel belangrijk. Ik wil niet meer updates, ik wil kwalitatieve updates.

Even je uitstekende post opnieuw onder de aandacht brengen

Ben het helemaal met je eens en vooral met die laatste zin. De migratie van pfSense Plus naar OPNsense heeft me veel tijd gekost en ik ben heel tevreden met OPNsense. Maar als de komende maanden blijkt dat die snelle updates zorgen voor meer downtime ga ik weer terug naar pfSense.

[stormfly]

wian schreef op woensdag 15 november 2023 @ 15:01:
[...]

Even je uitstekende post opnieuw onder de aandacht brengen

Ben het helemaal met je eens en vooral met die laatste zin. De migratie van pfSense Plus naar OPNsense heeft me veel tijd gekost en ik ben heel tevreden met OPNsense. Maar als de komende maanden blijkt dat die snelle updates zorgen voor meer downtime ga ik weer terug naar pfSense.

Even een hele snelle reactie:
Ik ben toevallig vandaag even terug gegaan naar pfSense CE om even te kijken hoe goed CE is. Dat viel nog niet helemaal mee vanaf een pfSense + 23.05 backup file. CE is dusdanig oud dat sommige packages niet willen installeren waardoor je naar 2.7.1-RC moet upgraden, maar dat was corrupt en moest ik op de cli fixen.

Ik had in OPN de geneste aliassen ontdekt, een verademing! Hetzelfde krijg ik niet bugvrij in PF CE op dit moment hij blijft miepen over een niet resolveble alias, toevoegen gaat goed maar na een F5 is die alias verdwenen.

Kortom ik ben vanavond niet thuis en de OPN NVMe disk zit er zojuist weer in en ik denk dat ik die erin laat. De GUI van pfSense voelt heel traag en ouderwets als je OPN een tijdje hebt bediend.

Zenarmor heb ik op een default aantal controles ingesteld, en AdGuarde home voor content filtering.

Zenarmor:

[hussie01]

stormfly schreef op woensdag 15 november 2023 @ 15:38:
[...]


Even een hele snelle reactie:
Ik ben toevallig vandaag even terug gegaan naar pfSense CE om even te kijken hoe goed CE is. Dat viel nog niet helemaal mee vanaf een pfSense + 23.05 backup file. CE is dusdanig oud dat sommige packages niet willen installeren waardoor je naar 2.7.1-RC moet upgraden, maar dat was corrupt en moest ik op de cli fixen.

Ik had in OPN de geneste aliassen ontdekt, een verademing! Hetzelfde krijg ik niet bugvrij in PF CE op dit moment hij blijft miepen over een niet resolveble alias, toevoegen gaat goed maar na een F5 is die alias verdwenen.

Kortom ik ben vanavond niet thuis en de OPN NVMe disk zit er zojuist weer in en ik denk dat ik die erin laat. De GUI van pfSense voelt heel traag en ouderwets als je OPN een tijdje hebt bediend.

Zenarmor heb ik op een default aantal controles ingesteld, en AdGuarde home voor content filtering.

Zenarmor:
[Afbeelding]

Dus toch treveden met opnsense?

[Rolfie]

TumTum schreef op woensdag 15 november 2023 @ 10:50:
[...]


Proxmox gebruikt OS containers. Dit werkt anders dan een Application Container, zoals Docker. Je kunt Docker bijv. in een OS (LXC) container draaien. Je kunt een linux distro kiezen en het gebruiken als een soort 'VM', maar dan veel efficienter.

Zojuist even wat geleerd, dat het toch net iets anders zit, dan ik had bedacht. Even een goede om te kijken wat ik dan wil gaan gebruiken.

[stormfly]

hussie01 schreef op woensdag 15 november 2023 @ 15:55:
[...]


Dus toch treveden met opnsense?

Nou ja over de bugfixing voor complexere zaken heb ik nog mijn twijfels ;-) hoop dat ze ooit die bug fixen. De overige zaken beginnen wel steeds meer toegevoegde waarde te geven. Zoals de datavolumes per IP etc.

Als je rationeel nadenkt over welk router OS je de meeste veiligheid kan bieden met de minste beheer inspanningen. Dan is Zenarmor in OPNsense een mooi product, met de gratis licentie kan je een bepaalde veiligheid drempel in je netwerk afdwingen. Daar bovenop AdGuard Home wat volgens mij een van de snelste DNS applicaties is.

Mijn schok momentje kwam toen ik net weer in PFSense gui aan het configureren was, het is zo traag. En ik heb de kracht van de geneste aliassen en het selecteren van meerdere interfaces in OPNsense ontdekt. Als je in OPN een port forward voor de KPN en Ziggo lijn wil maken dan verplaatst hij ze zelf naar Floating. Bij pfSensen moet je dit per regel kopiëren.

[ Voor 5% gewijzigd door stormfly op 15-11-2023 16:28 ]

[TumTum]

Rolfie schreef op woensdag 15 november 2023 @ 16:16:
[...]

Zojuist even wat geleerd, dat het toch net iets anders zit, dan ik had bedacht. Even een goede om te kijken wat ik dan wil gaan gebruiken.

Ik zou persoonlijk pfSense in een VM draaien en daarnaast proberen om alles in een LXC container te installeren indien mogelijk. Het is ook geen probleem om meerdere VMs op een i3-N305 te draaien. Je hebt met een LXC container wel minder overhead. Is alleen even uitzoeken of het kan met de applicaties die je wilt gebruiken.

[Kabouterplop01]

@stormfly een niet resolvable alias? Kan alleen als je geen A-record hebt,... klopt dat?

[Rolfie]

TumTum schreef op woensdag 15 november 2023 @ 18:22:
Ik zou persoonlijk pfSense in een VM draaien en daarnaast proberen om alles in een LXC container te installeren indien mogelijk. Het is ook geen probleem om meerdere VMs op een i3-N305 te draaien. Je hebt met een LXC container wel minder overhead. Is alleen even uitzoeken of het kan met de applicaties die je wilt gebruiken.

Is zeker mijn eerste gedachte. Draai niet heel veel, voornamelijk MySQL, Spotweb, SmokePing en nog wat kleine dingen. Standaard docker apps. Al wil ik met Zabbix gaan stoeien. Maar dit draait nu stabiel op TrueNAS en mijn NAS.


Even wachten tot de TopTom binnen is, even geheugen bestellen, nvme SSD en eens gaan stoeien.

[stormfly]

Kabouterplop01 schreef op woensdag 15 november 2023 @ 21:58:
@stormfly een niet resolvable alias? Kan alleen als je geen A-record hebt,... klopt dat?

Nee het gaat niet over DNS maar over de FW aliassen, ik block mijn externe porten op Nederland. Maar wat je dan als neven effect hebt is dat je intern vanaf een RFC1918 adres er ook niet meer bij komt, want die staat immers niet in de NL geo lijst.

Ik heb dat vorige week opgelost door de NLGeo alias. + de RFC19180 alias te combineren een alias, nesting. En dat gaat erg goed, datzelfde wilde ik nu op mijn pfSense CE speeldagje opbouwen op CE. Maar dat gaat niet die blijft zich erin verslikken, 99% zeker dat het een bug is want het type "network" accepteert ze maar daarna verdwijnt het geheel, je kunt hem 1x bekijken en daarna foetsie. Mijn speeltijd was op en heb daarom geen bug gelogd.

[stormfly]

ninjazx9r98 schreef op woensdag 15 november 2023 @ 13:32:
[...]

In Adguard kun je een client vrij eenvoudig whitelisten maar bij unbound lijkt het erop dat je moet whitelisten voor iedereen die gebruik maakt van unbound.
Als je bepaalde devices volledig wenst uit te sluiten van blocking zou ik ze via DHCP een static IP toewijzen en dan specifiek voor die devices een of twee externe DNS server configureren van Google, Quad9 of wie dan ook.

Alle reguliere devices hier in huis hebben een fixed IP of semi fixed via DHCP. Als ik dan iets wil whitelisten die ik een unblock of unblock for this client in Adguard. Wil ik iets whitelisten voor een paar clients dan pas ik de regex onder custom filtering rules weer even aan en copy paste dat even naar de twee Adguard die ik als addon op Home Assistant heb draaien.

Klopt we observeren hetzelfde Unbound is voor alle clients aan het filteren, en de enige optie is met statische DNS voor deze specifieke DHCP uitgifte. Het zijn hier uiteindelijk maar een device of 7 die ik zou willen uitsluiten.

Ik moet toegeven dat AGH zo ontzettend snel resolved, en vreemd gedrag met quickconnect.to van Synology is ook verdwenen.

Waarom draai jij AGH niet op OPNsense? Ik heb hetzelfde ontwerp gehad als jij, naar elke host 2x DNS lekker nerdy Ik ben afgehaakt op het dubbele beheer, daar is AGH niet sterk in qua gui. Mijn ontwerp is nu: AGH draait op de router, en als de router uit is = er toch geen internet.

[ninjazx9r98]

stormfly schreef op donderdag 16 november 2023 @ 06:48:
[...]

Waarom draai jij AGH niet op OPNsense? Ik heb hetzelfde ontwerp gehad als jij, naar elke host 2x DNS lekker nerdy Ik ben afgehaakt op het dubbele beheer, daar is AGH niet sterk in qua gui. Mijn ontwerp is nu: AGH draait op de router, en als de router uit is = er toch geen internet.

AGH draait op OPNSense en dat is de eerste van de twee die ik uitgeef aan clients. De tweede draait op HA en dat heeft maar één reden: omdat het kan
Kan nog een reden verzinnen zoals testen met bepaalde clients met bepaalde Blocklists maar dan zou ik iets verzinnen om eea te rechtvaardigen. Omdat het kan is het eerlijke antwoord en beheer staat me op dit moment nog niet tegen, ben net een paar dagen van Pihole af en het is nog nieuw en interessant.
Is meteen ook de reden om van Pihole af te gaan, het werd saai en ik wilde weer eens wat anders.

Edit: op HA draaien heeft nog wel een voordeel op dit moment, AGH is remote simpel te bereiken en ik hoef niet in te loggen op AGH. Remote dmv Nabu Casa en uiteraard kan dat voor OPNSense ook met VPN maar dat draait nog niet en dan moet ik nog steeds inloggen op AGH. Zoveel te doen en uit te zoeken, zo weinig tijd omdat geen internet/tv (terecht) oorlog wordt in huis.

[ Voor 16% gewijzigd door ninjazx9r98 op 16-11-2023 07:41 ]

[LCD_viewer]

Helaas na 6 jaar is mijn QOTOM - Q355G4 met I5 5250U en 4 nics gaan hemelen.a

Alle componenten uitgewisseld, SSD getest, bios reset, batterij gecontroleerd, voeding getest en een andere werkende geheugen stick er in maar helaas.
Ik krijg alleen een groene led en direct daarna de rode led aan, daarna gaat alles uit, uiteraard geen post.

Iemand nog wat meer troubleshoot tips ? Kan vrij weinig met het kleine bord.

Gelukkig heb ik een vervangende router met een back-config maar dat werkt natuurlijk minder mooi dan Pfsense.

Zijn er nog goeie tips voor pfsense / opsense hardware met vergelijkbare specs?

[Rolfie]

LCD_viewer schreef op donderdag 16 november 2023 @ 12:02:
Zijn er nog goeie tips voor pfsense / opsense hardware met vergelijkbare specs?

Paar pagina's terug diverse N100 en N305 devices bij Ali voor leuke prijzen.

[commentator]

LCD_viewer schreef op donderdag 16 november 2023 @ 12:02:

Zijn er nog goeie tips voor pfsense / opsense hardware met vergelijkbare specs?

ja zie TumTum in "Zelfbouw project: Firewall / Router / AP"

[nero355]

RobertMe schreef op zaterdag 11 november 2023 @ 19:09:
Ik kwam er vandaag achter dat mDNS repeaten prima kan zonder software, maar puur door de firewall te ge-/misbruiken. Zijnde middels een stukje nftables configuratie zoals hier omschreven: https://gist.github.com/s...5871213db6baa12eb3c01f036

Alleen, dit werkt, soms... Heel specifiek: het werkt alleen als ik tcpdump draai. Wat ik doe, maakt niet eens (heel veel?) uit. Een tcpdump op elk willekeurig vlan dat ik heb is voldoende.

Toen je dat schreef moest ik meteen aan

RobertMe schreef op zondag 12 november 2023 @ 11:02:
Langer "ontrafel" verhaal is de log vermelding elke keer als ik tcpdump startte. Dan werd promiscueus mode geactiveerd op de link. Dit kan ook handmatig worden gedaan ip link set <dev> promisc on en dan werkte het ook.
Vervolgvraag was "wat doet dit uberhaupt?". Antwoord: een netwerkadapter doet dus standaard alleen op zijn bekende adres(sen) luisteren, en daarnaast naar broadcast verkeer en eventueel multicast verkeer. Het overige verkeer wordt dus genegeerd en niet door gezet naar de CPU. In promiscueus mode doet de adapter wel alle verkeer doorzetten naar de CPU. Best logisch dus dat tcpdump dit activeert, en het op dat moment wel werkt.

denken en ben eigenlijk stiekem een beetje blij dat het ook de daadwerkelijke oorzaak was omdat ik de laatste tijd het idee heb dat ik heel veel van dit soort kleine fijne details een beetje vergeten ben of niet meer zeker weet...

Villager schreef op maandag 13 november 2023 @ 12:56:
Ik herken die geheugengrootte afweging wel. Heb een Pc met een i5-8600 8-core processor. Pc voldoet nog prima, maar merkte af en toe dat ik aan de grens van de 16Gb geheugen zat als ik veel tegelijk open had staan. Vooral browsers pakken een flinke hap uit het geheugen. Dus dacht even te upgraden, maar blijken er bijna geen compatible setjes (2x16Gb) beschikbaar. Lang zoeken en toch wat gevonden. Ook bij t doosje wat ik nu gekocht heb meteen maar 32Gb er in prikken. Hoef ik me daar geen zorgen over te maken :-)

Ik heb dat probleem de andere kant op :

Moederbord van een DDR3 HEDT systeem overleden met daarin 8 x 8 GB RAM wat eigenlijk nergens meer in past...

Komend weekend hopelijk weer in het bezit van een moederbord waar al dat RAM in past!

Comp User schreef op dinsdag 14 november 2023 @ 18:28:
Ik heb sinds vandaag OPNSense draaien, maar ik kom niet verder met Adguard.

Ik krijg "validating ports: listen tcp 0.0.0.0:80: bind: address already in use" en "validating ports: listen tcp 0.0.0.0:53: bind: address already in use", de zgn fix issue knop zie ik niet.

Dat blijft ook als ik Pi-hole - die volgens mij "de schuldige" is - uitschakel in beeld staan ( waardoor ik dus ook niet verder kom).

Het is waarschijnlijk iets simpels wat ik over het hoofd zie, mede omdat ik wel gewoon online blijf, maar ik kom er niet achter wat er is daadwerkelijk verkeerd gaat.

Ik heb geen idee wat je aan het doen bent, maar Pi-Hole draait niet onder OPNsense direkt voor zover ik weet dus LigHTTPd of DNSmasq/FTLDNS zouden dan niet in de weg mogen zitten!

ThinkPad schreef op dinsdag 14 november 2023 @ 20:14:
En vervolgens even een firewall rule aanmaken om de devices die je langs Adguard wilt hebben erheen te forceren, want op de meeste devices kun je geen afwijkende poort opgeven voor de DNS-server.

Sowieso handig om zoiets te doen voor al die apparaten die stiekem je DNS Server willen omzeilen!

ninjazx9r98 schreef op dinsdag 14 november 2023 @ 20:31:
Als je de unbound port aanpast en Adguard op 53 laat luisteren hoef je geen firewall rule aan te maken. Je verwijst alle clients naar Adguard die gewoon op 53 draait en hoeft daar dus niks speciaals voor te doen. In Adguard zet je dan unbound als upstream server en daar kun je de afwijkende poort meegeven.

Vanwege bovenstaand zal je dus helaas sowieso met je Firewall aan de bak moeten!

stormfly schreef op woensdag 15 november 2023 @ 12:23:
Heb jij al gevonden hoe je 1 LAN IP kunt uitsluiten van de blocking? Zodat bv de iPad van de kids wel advertenties zien? Ik krijg dat niet voor elkaar.

Pi-Hole kan dat echt super makkelijk dankzij DNSmasq/FTLDNS die zulke opties heeft sinds een bepaalde versie!

[ninjazx9r98]

nero355 schreef op donderdag 16 november 2023 @ 18:46:
[...]


Vanwege bovenstaand zal je dus helaas sowieso met je Firewall aan de bak moeten!

Met de firewall ja, met de rules nee. Met Adguard en Unbound op OPNSense hoef ik niks met rules te doen.
Maar misschien bedoel je iets anders?

[nero355]

ninjazx9r98 schreef op donderdag 16 november 2023 @ 20:04:
Met de firewall ja, met de rules nee. Met Adguard en Unbound op OPNSense hoef ik niks met rules te doen.

Maar misschien bedoel je iets anders?

Lees eens wat van deze linkjes door : https://duckduckgo.com/?q...rce+devices+use+local+dns

Word je gelukkiger van!

[ninjazx9r98]

nero355 schreef op vrijdag 17 november 2023 @ 15:46:
[...]

Lees eens wat van deze linkjes door : https://duckduckgo.com/?q...rce+devices+use+local+dns

Word je gelukkiger van!

Geen idee of ik er gelukkiger van wordt want je praat in raadsels en grote kans dat we langs elkaar heen praten
Ik ben helemaal niet op zoek naar een oplossing om clients te forceren naar een bepaalde DNS server dmv firewall rules. Ik geef standaard DNS servers mee vanuit m'n DHCP scope en mocht er behoefte zijn aan een uitzondering dan geef ik dat specifieke device andere DNS servers mee in de static mapping.
Zijn er clients die daar lekker eigenwijs omheen werken, lekker boeiend en ze gaan hun gang maar

Wel een grappige URL rechtsboven naast de resultaten:
https://serverfault.com/q...pecific-dns-server#298153

Yes - not doing it at all.

Messing with normal DNS resolution is almost never the right answer, whatever the problem is that you're trying to solve.

EDIT re: your update. You are inappropriately trying to use technology to solve a policy problem. Don't.

[nero355]

ninjazx9r98 schreef op vrijdag 17 november 2023 @ 16:27:
Geen idee of ik er gelukkiger van wordt want je praat in raadsels en grote kans dat we langs elkaar heen praten

IMHO meer iets dat algemeen bekend is op het moment dat je zelf de DNS gaat verzorgen!

Ik ben helemaal niet op zoek naar een oplossing om clients te forceren naar een bepaalde DNS server dmv firewall rules.

Zou je wel moeten doen, want anders gaat die DNS Server van je steeds nuttelozer worden!

Zijn er clients die daar lekker eigenwijs omheen werken, lekker boeiend en ze gaan hun gang maar

Dat is echt geen handige houding tegenwoordig...

[ninjazx9r98]

nero355 schreef op vrijdag 17 november 2023 @ 16:32:
[...]

IMHO meer iets dat algemeen bekend is op het moment dat je zelf de DNS gaat verzorgen!

Yep, jouw mening en de mijne is een andere

[...]

Zou je wel moeten doen, want anders gaat die DNS Server van je steeds nuttelozer worden!

Wie dan leeft wie dan zorgt. Op dit moment heb ik die behoefte simpelweg niet en werkt het allemaal prima. Tegen de tijd dat allerlei clients buiten de door mij ingestelde DNS servers om gaan en ik het zat wordt is het vroeg genoeg om alsnog een en ander aan te passen.
Dit spul draait thuis, niet in een of andere high security omgeving en het voldoet.

[...]

Dat is echt geen handige houding tegenwoordig...

Als je mensen iets bij wilt brengen is jouw houding en manier van communiceren ook niet heel erg handig...

[Tom Paris]

ninjazx9r98 schreef op vrijdag 17 november 2023 @ 16:27:
[...]
Ik ben helemaal niet op zoek naar een oplossing om clients te forceren naar een bepaalde DNS server dmv firewall rules. Ik geef standaard DNS servers mee vanuit m'n DHCP scope en mocht er behoefte zijn aan een uitzondering dan geef ik dat specifieke device andere DNS servers mee in de static mapping.
Zijn er clients die daar lekker eigenwijs omheen werken, lekker boeiend en ze gaan hun gang maar

@nero355 heeft wel gelijk. De meeste clients doen tegenwoordig aan DoH/DoT, of hardcoded DNS servers. Als je dat niet afvangt, zullen de meeste clients AdGuard omzeilen. Als dat geen probleem is, ook goed natuurlijk, maar daar zet je geen AdGuard voor op lijkt me.

[ninjazx9r98]

Tom Paris schreef op zaterdag 18 november 2023 @ 12:55:
[...]


@nero355 heeft wel gelijk. De meeste clients doen tegenwoordig aan DoH/DoT, of hardcoded DNS servers. Als je dat niet afvangt, zullen de meeste clients AdGuard omzeilen. Als dat geen probleem is, ook goed natuurlijk, maar daar zet je geen AdGuard voor op lijkt me.

Het gaat/ging helemaal niet om gelijk hebben en ik weet dondersgoed wat DoH/DoT enz is. Waar het om gaat staat een soort van in je laatste regel en daarop is mijn reactie: Nivea = Niet invullen voor een ander.
Ik draai een eigen firewall en AdGuard omdat het kan, als hobby. Als ik daar morgen geen zin meer in heb zet ik de boel uit en zet de Experia Box weer op z'n plek. Zoveel mogelijk blokkeren is hier in huis geen doel op zich en terwijl ik zelf een enorme afkeer heb van de meeste social media heb ik ook nog een vrouw die volop gebruik maakt van vooral Facebook en TikTok. Zoveel mogelijk blokkeren al was het maar om te weten te komen hoe ver je nu eigenlijk kunt gaan is dan ook (terecht) geen optie vanwege de WAF.
Vanaf de eerste reactie was het mij al duidelijk waarop gehint werd alleen de manier waarop schoot bij mij in het verkeerde keelgat dus heb ik gereageerd op de manier waarop ik dat gedaan heb.

[Flappie]

Hoi allemaal,

Ik heb een Lenovo ThinkCentre M720Q gekocht om OPNSense op te gaan draaien!
Inmiddels de interne SATA HDD verwijderd en een M2 NVME drive besteld.
Tevens de WiFi module verwijderd en een PCI Riser card besteld.

Nu lees ik overal het advies om een Intel I350 netwerkkaart te plaatsen, maar daar is lastig aan te komen en ze zijn best ook nog wel prijzig als je er aan kunt komen.

Het lijkt erop dat de i340 beter verkrijgbaar is tegen betere prijzen (Bijv. HP NC365T)
Tevens zijn er ook Broadcom BCM5719 kaartjes (bij HP 331T) nog goedkoper te krijgen.

Wat is jullie advies hier. Iemand ervaringen met bovenstaande netwerkkaarten en waarom zou ik ergens wel of juist niet voor moeten kiezen?

[Comp User]

Ik heb geen idee wat je aan het doen bent, maar Pi-Hole draait niet onder OPNsense direkt voor zover ik weet dus LigHTTPd of DNSmasq/FTLDNS zouden dan niet in de weg mogen zitten!
:

Zoals ik al aangaf

Comp User schreef op dinsdag 14 november 2023 @ 20:21:
[...]


Pi-hole draaide op een Raspberry Pi 2b, ik heb Unbound aangepast 5335 - had ik kunnen weten aangezien ik dat eerst ook zo had staan - en poort 80 aangepast naar 3000 - waarop ik ook de Login had maar okay - toen ging het als vanzelf.

[Tom Paris]

Flappie schreef op maandag 20 november 2023 @ 21:09:
Nu lees ik overal het advies om een Intel I350 netwerkkaart te plaatsen, maar daar is lastig aan te komen en ze zijn best ook nog wel prijzig als je er aan kunt komen.

Kijk even rond op eBay, en dan vooral onder de part numbers van Lenovo/Dell/Fujitsu/etc. Op het ServeTheHome forum kun je een lijst vinden. Dan kun je rond de €40 uitkomen. Opletten niet uit China te kopen, dan krijg je een neppe.

[ninjazx9r98]

Flappie schreef op maandag 20 november 2023 @ 21:09:


Nu lees ik overal het advies om een Intel I350 netwerkkaart te plaatsen, maar daar is lastig aan te komen en ze zijn best ook nog wel prijzig als je er aan kunt komen.

Ik zat met hetzelfde "probleem" en heb na veel zoekwerk waarbij vooral prijzen op allerlei tweedehands sites tegen vielen en vaak flink hoger waren dan je overal leest de gok genomen met een I350-T2 op Amazon.
https://www.amazon.nl/dp/...dt_b_product_details&th=1

[Tom Paris]

ninjazx9r98 schreef op maandag 20 november 2023 @ 23:50:
[...]

Ik zat met hetzelfde "probleem" en heb na veel zoekwerk waarbij vooral prijzen op allerlei tweedehands sites tegen vielen en vaak flink hoger waren dan je overal leest de gok genomen met een I350-T2 op Amazon.
https://www.amazon.nl/dp/...dt_b_product_details&th=1

Had die gok niet aangedurfd persoonlijk... Duidelijk geen echte Intel kaart, in het beste geval is het een refurbished (maar originele) i350 chip, in het slechtste geval een kloon. Op eBay een 'echte' low-profile en full-profile voor <€40 incl verzendkosten.

[zweefjr]

Ik gebruik zelf de I340-T2, werkt perfect.

[Tom Paris]

zweefjr schreef op dinsdag 21 november 2023 @ 08:28:
Ik gebruik zelf de I340-T2, werkt perfect.

I.t.t. de i340 heeft de i350 ondersteuning voor SR-IOV, wat voor virtualisatietoepassingen heel handig kan zijn.