Zelfbouw project: Firewall / Router / AP

[wian]

TumTum schreef op maandag 28 oktober 2024 @ 18:24:
We gaan weer richting ubiquiti zo te zien. Het gaat hier om zelfbouw / custom firewalls.

Mea culpa

Ik krijg vandaag een Cloud Gateway Ultra binnen en zal deze parallel draaien met mijn OPNsense firewall zodat ik een mooie vergelijking kan maken.

Een zelfbouw OPNsense heeft uiteraard meer standaard functionaliteit dan een Unifi gateway, veel meer uitbreidingsmogelijkheden en met die N100/N305 CPUs van tegenwoordig belachelijk veel performance. Ik draai al vele jaren pfSense en sinds enkele jaren OPNsense. Aanvankelijk virtueel samen met andere VMs, maar uiteindelijk op dedicated hardware voor minimale downtime. Gedurende deze tijd had ik eerst veel addons, uitgebreide IDS/IPS, (te)veel VLANs, maar met de laatste herinstallatie van OPNsense ben ik van scratch begonnen (keep it simple stupid!) en gebruik ik nog maar enkele addons.

Ik ben benieuwd of Unifi tegenwoordig kan voorzien in mijn basisbehoeften en of de werking kan tippen aan OPNsense. En natuurlijk of de geintegreerde interface van Unifi de beperkingen compenseert. Weet nog niet of ik die vergelijking in dit topic zal plaatsen in een nieuw topic.

[stormfly]

wian schreef op dinsdag 29 oktober 2024 @ 10:00:
[...]

Mea culpa

Ik krijg vandaag een Cloud Gateway Ultra binnen en zal deze parallel draaien met mijn OPNsense firewall zodat ik een mooie vergelijking kan maken.

Een zelfbouw OPNsense heeft uiteraard meer standaard functionaliteit dan een Unifi gateway, veel meer uitbreidingsmogelijkheden en met die N100/N305 CPUs van tegenwoordig belachelijk veel performance. Ik draai al vele jaren pfSense en sinds enkele jaren OPNsense. Aanvankelijk virtueel samen met andere VMs, maar uiteindelijk op dedicated hardware voor minimale downtime. Gedurende deze tijd had ik eerst veel addons, uitgebreide IDS/IPS, (te)veel VLANs, maar met de laatste herinstallatie van OPNsense ben ik van scratch begonnen (keep it simple stupid!) en gebruik ik nog maar enkele addons.

Ik ben benieuwd of Unifi tegenwoordig kan voorzien in mijn basisbehoeften en of de werking kan tippen aan OPNsense. En natuurlijk of de geintegreerde interface van Unifi de beperkingen compenseert. Weet nog niet of ik die vergelijking in dit topic zal plaatsen in een nieuw topic.

Ja het is lastig want we hebben het allemaal over routers, misschien past de titel van dit topic niet meer bij de huidige behoefte. En blijven we krampachtig proberen het passend te maken, het nadeel van GoT is dat je voor alles een ander topic "moet" maken. Maar waarbij je dan de lezers mist uit de grote topics en je niet tot de kern komt in je nieuwe topic. Juist die harde kern met de langlopende topics maakt GoT zo sterk kennisplatform.

Is er een alert in te stellen voor een notificatie als er een nieuw topic wordt geopend in "
Forum -> Internet en netwerken -> Netwerken" volgens mij niet @rens-br ? Dat zou het laten lezen van nieuwe topics wel positief kunnen beïnvloeden voor de harde kern?

@wian
Misschien is het verstandig om een topic te openen "UniFi versus Zelfbouw project: Firewall / Router / AP" en daar je feedback delen. Dan kunnen we dat weer uitbouwen tot een veel gelezen topic.

Ik had ontzettend veel draaien in OPNsense, vele NAT rules, reverse proxy, full DNS interceptie DNScrypt/DoH VPN's etc. Dat heb ik allemaal op een andere manier ingericht:

-reverse proxy -> Cloudflared tunnels, ben je ook direct af van certificaten
-VPN -> Wireguard vervangen door Tailscale met tailock
-DNS interceptie met port 53 redirect zit al in routers van andere merken "DNS Shield"
-Portforwards vervangen door Tailscale tunnels.

[ Voor 7% gewijzigd door stormfly op 29-10-2024 10:22 ]

[wian]

stormfly schreef op dinsdag 29 oktober 2024 @ 10:10:
[...]
Ik had ontzettend veel draaien in OPNsense, vele NAT rules, reverse proxy, full DNS interceptie DNScrypt/DoH VPN's etc. Dat heb ik allemaal op een andere manier ingericht:

-reverse proxy -> Cloudflared tunnels, ben je ook direct af van certificaten
-VPN -> Wireguard vervangen door Tailscale met tailock
-DNS interceptie met port 53 redirect zit al in routers van andere merken "DNS Shield"
-Portforwards vervangen door Tailscale tunnels.

Interessant! Waarom ben je van wireguard naar tailscale gegaan? Cloudflared tunnels heb ik ook nog nooit mee gespeeld, waar gebruik je die voor?

Ik moet nog steeds een lichte aversie overwinnen tegen dit soort cloud oplossingen. Hoewel cloudflare en tailscale bekende namen zijn, leg je toch de beveiliging van je thuisnetwerk in externe handen.

[stormfly]

wian schreef op dinsdag 29 oktober 2024 @ 10:24:
[...]


Interessant! Waarom ben je van wireguard naar tailscale gegaan? Cloudflared tunnels heb ik ook nog nooit mee gespeeld, waar gebruik je die voor?

Heel eerlijk, ik was eerst op Tailscale afgehaakt en prefereerde WireGuard vanwege dezelfde zorgen. Echter de nieuwe security software van kantoor zorgt ervoor dat WG geen bit meer door de tunnel krijgt. Wordt niet geblokkeerd, geen alerts in de sysadmin portal. Gewoon een bug/incompatability, vanuit die gedachtte ben ik weer bij Tailscale uitgekomen als alternatief. Het blijkt dat de tunnels direct staan tussen de endpoints en bijna niet via de cloud (DERP). De cloud is wel nodig om de endpoints te verbinden, soort SD-WAN.

Tailscale lock, waarbij een aantal devices in jouw eigen tailnet een signing node zijn, gaf mij de doorslag. Om op mijn tailnet te joinen moet je een device bezitten van mij. Het is geen cloud schakelaartje met "approve" wat een hacker zou kunnen bedienen.

Ik moet nog steeds een lichte aversie overwinnen tegen dit soort cloud oplossingen. Hoewel cloudflare en tailscale bekende namen zijn, leg je toch de beveiliging van je thuisnetwerk in externe handen.

Cloudflare web servers draai ik thuis in een los IP segment wat niet naar het LAN kan. Daar draai ik een cloudflared proxy waardoor deze websites publiek ontsloten zijn via Cloudflare. Mocht de content van de website gehackt worden dan kunnen ze nog niet bij mijn persoonlijke data. Het is een afweging, porten openzetten en zelf een https frontend draaien heeft ook risico's. Ik dacht: bij Cloudflare zijn ze met zoveel grote klanten vast vaker bezig met patching van webservers frontends dan ik met een jong gezin.

[RobertMe]

stormfly schreef op dinsdag 29 oktober 2024 @ 10:10:
Ik had ontzettend veel draaien in OPNsense, vele NAT rules, reverse proxy, full DNS interceptie DNScrypt/DoH VPN's etc. Dat heb ik allemaal op een andere manier ingericht:

-reverse proxy -> Cloudflared tunnels, ben je ook direct af van certificaten
-VPN -> Wireguard vervangen door Tailscale met tailock
-DNS interceptie met port 53 redirect zit al in routers van andere merken "DNS Shield"
-Portforwards vervangen door Tailscale tunnels.

Daar zit niet meer zelfbouw aan Je bent daarmee toch weer voor een zeeer groot deel afhankelijk van big tech (Cloudflare & Tailscale) die ook niet echt een open / vrij karakter hebben en waarbij je garanties hebt dat wat nu gratis is ook gratis blijft.

[stormfly]

RobertMe schreef op dinsdag 29 oktober 2024 @ 10:33:
[...]

Daar zit niet meer zelfbouw aan Je bent daarmee toch weer voor een zeeer groot deel afhankelijk van big tech (Cloudflare & Tailscale) die ook niet echt een open / vrij karakter hebben en waarbij je garanties hebt dat wat nu gratis is ook gratis blijft.

Ik heb het zelf gebouwd tot het goed werkte. Zoals ik schreef WireGuard werkt ook ineens niet meer op mijn werklaptop dat is inherent aan IT, je blijft altijd veranderen.

Mijn post was bedoeld als: probeer eens om te denken en alles wat je nu op je router hebt draaien kan je misschien ergens anders onder brengen. Waardoor je makkelijker van zelfbouw router kunt wisselen en variëren in je hobby. Al de diensten die ik noemde zijn in een split second terug zodra er weer internet is op mijn locatie.

[ Voor 6% gewijzigd door stormfly op 29-10-2024 10:37 ]

[RobertMe]

stormfly schreef op dinsdag 29 oktober 2024 @ 10:32:

Tailscale lock, waarbij een aantal devices in jouw eigen tailnet een signing node zijn, gaf mij de doorslag. Om op mijn tailnet te joinen moet je een device bezitten van mij. Het is geen cloud schakelaartje met "approve" wat een hacker zou kunnen bedienen.

Om in mijn Wireguard mesh te komen, of te "joinen" moet iemand root toegang hebben tot (alle) nodes. Lijkt mij toch een stuk veiliger dan "toegang tot een/mijn device". (Waarbij dat device mogelijk een roaming device is zoals je telefoon? Die dus vrij makkelijk gestolen kan worden).,

[rens-br]

stormfly schreef op dinsdag 29 oktober 2024 @ 10:10:
Is er een alert in te stellen voor een notificatie als er een nieuw topic wordt geopend in "
Forum -> Internet en netwerken -> Netwerken" volgens mij niet @rens-br ?

Nee, dat bestaat helaas niet. Je kan wel forumfilters instellen en dan zelf naar 'actieve topics' gaan. Daar staan dan ook de nieuwe topics tussen.

[wian]

stormfly schreef op dinsdag 29 oktober 2024 @ 10:32:
[...]
Cloudflare web servers draai ik thuis in een los IP segment wat niet naar het LAN kan. Daar draai ik een cloudflared proxy waardoor deze websites publiek ontsloten zijn via Cloudflare. Mocht de content van de website gehackt worden dan kunnen ze nog niet bij mijn persoonlijke data. Het is een afweging, porten openzetten en zelf een https frontend draaien heeft ook risico's. Ik dacht: bij Cloudflare zijn ze met zoveel grote klanten vast vaker bezig met patching van webservers frontends dan ik met een jong gezin.

Even kijken of ik het begrijp. De webserver host je thuis in een soort DMZ. Je opent geen poorten meer maar gebruikt cloudflared die een uitgaande verbinding maakt naar cloudflare. Dan in de cloudflare cloud draai je ook nog een reverse proxy - is dat een simpele proxy of een WAP die extra bescherming biedt tegen webserver kwetsbaarheden? Ik neem aan dat hier abonnementskosten aanzitten? Zo ja, wat kost dit?

Achtergrond: op dit moment draait mijn webserver in de cloud en de kosten hiervan stijgen ieder jaar. Is wellicht interessant om die op deze manier weer zelf te hosten.

Edit: ontdek net Cloudflare Pages waarmee je blijkbaar gratis statische content kunt hosten - weer wat te doen dit weekend

[ Voor 9% gewijzigd door wian op 29-10-2024 10:56 . Reden: Cloudflare pages ]

[stormfly]

wian schreef op dinsdag 29 oktober 2024 @ 10:48:
[...]


Even kijken of ik het begrijp. De webserver host je thuis in een soort DMZ. Je opent geen poorten meer maar gebruikt cloudflared die een uitgaande verbinding maakt naar cloudflare. Dan in de cloudflare cloud draai je ook nog een reverse proxy - is dat een simpele proxy of een WAP die extra bescherming biedt tegen webserver kwetsbaarheden? Ik neem aan dat hier abonnementskosten aanzitten? Zo ja, wat kost dit?

Achtergrond: op dit moment draait mijn webserver in de cloud en de kosten hiervan stijgen ieder jaar. Is wellicht interessant om die op deze manier weer zelf te hosten.

Edit: ontdek net Cloudflare Pages waarmee je blijkbaar gratis statische content kunt hosten - weer wat te doen dit weekend

Zoek even op “cloudflared tunnels” of anders even verder in je eigen topic. Is gratis

[danieldk]

wian schreef op dinsdag 29 oktober 2024 @ 10:00:
[...]
Ik krijg vandaag een Cloud Gateway Ultra binnen en zal deze parallel draaien met mijn OPNsense firewall zodat ik een mooie vergelijking kan maken.

Om toch een lans te breken voor zelfbouw: ik heb nooit een Ubiquity router gehad. Ik heb er wel naar gekeken, maar er lijken consistent dezelfde problemen met performance. Ubiquity gebruikt nog steeds relatief zwakke CPU cores, waardoor je als je iets doet dat buiten de (vermoedelijke) hardware acceleratie valt, de performance behoorlijk matig is. Zo doet de nieuwe Cloud Gateway Max blijkbaar 1500-1600 down en 1200-1300 up met PPPoE met IDS uitgeschakeld, dus het haalt geen line speed (heeft immers 2.5Gbe poorten) op PPPoE. Er zijn veel vergelijkbare klachten met IDS, waarbij in realistische scenarios de bandbreedte niet gehaald wordt. In dat geval wordt, hardware-accelaratie voor PPPoE en dergelijk uitgeschakeld omdat er packet inspection gedaan moet worden. En moet alles inclusief PPPoE over de underpowered CPU cores lopen. Ik verwacht ook niet dat je Cake of CoDel op line speed doet. Hetzelfde zie je met de UDM Pro, waar mensen door hoepels moeten springen om half-acceptabele PPPoE snelheden te halen.

Ter vergelijking doet een (goedkoper dan CGM) N5105 box zonder problemen 2.5Gbe line speed PPPoE of SQM. Ook als je er dingen als ZenArmor tegenaan gooit heb je nog steeds goede performance. Ter vergelijking: de N5105 is single-threaded ongeveer 4.5x zo snel als de Cortex A53 1.5GHz in de Cloud Gateway Max. We hebben het bij de Cortex A-53 in de Ultra dan ook over een architectuur uit 2012 die niet eens out-of-order execution doet. Chipsets als de IPQ5322 in the Ultra zijn gemaakt voor 100-150 Euro WiFi thuisrouters [1], waarbij de gebruiker alleen standaardrouting doet met NAT, wat voorgebakken firewall regels, en misschien PPPoE. Scenarios waar alles over de NPU draait en je dus goede performance haalt met een laag energie-budget. Die A53 cores zijn er dan alleen om Linux en een web interface te draaien. Totaal underpowered voor packet inspection e.d., laat staan voor 2.5Gbe.

Ik begrijp dat Ubiquity fijn is als kant-en-klaar optie met fijne management. Maar OpnSense is verder ook niet heel erg complex en je krijgt voor hetzelfde geld gewoon veel betere performance en meer mogelijkheden met een zelfbouw (of voorgebouwde x86 box als bijv. Protectli).

[1] De Xiaomi BE6500 Pro heeft dezelfde SoC en kost 108 Euro op Ali (en kun je volgens mij inmiddels ook openwrt-nss op draaien).

[ Voor 26% gewijzigd door danieldk op 30-10-2024 09:14 ]

[stormfly]

danieldk schreef op woensdag 30 oktober 2024 @ 07:54:
[...]


Om toch een lans te breken voor zelfbouw: ik heb nooit een Ubiquity router gehad. Ik heb er wel naar gekeken, maar er lijken consistent dezelfde problemen met performance. Ubiquity gebruikt nog steeds relatief zwakke CPU cores, waardoor je als je iets doet dat buiten de (vermoedelijke) hardware acceleratie valt, de performance behoorlijk matig is. Zo doet de nieuwe Cloud Gateway Max blijkbaar 1500-1600 down en 1200-1300 up met PPPoE met IDS uitgeschakeld, dus het haalt geen line speed (heeft immers 2.5Gbe poorten) op PPPoE. Er zijn veel vergelijkbare klachten met IDS, waarbij in realistische scenarios de bandbreedte niet gehaald wordt. In dat geval wordt, hardware-accelaratie voor PPPoE en dergelijk uitgeschakeld omdat er packet inspection gedaan moet worden. En moet alles inclusief PPPoE over de underpowered CPU cores lopen. Ik verwacht ook niet dat je Cake of CoDel op line speed doet. Hetzelfde zie je met de UDM Pro, waar mensen door hoepels moeten springen om half-acceptabele PPPoE snelheden te halen.

Ter vergelijking doet een (goedkoper dan CGM) N5105 box zonder problemen 2.5Gbe line speed PPPoE of SQM. Ook als je er dingen als ZenArmor tegenaan gooit heb je nog steeds goede performance. Ter vergelijking: de N5105 is single-threaded ongeveer 4.5x zo snel als de Cortex A53 1.5GHz in de Cloud Gateway Max. We hebben het bij de Cortex A-53 in de Ultra dan ook over een architectuur uit 2012 die niet eens out-of-order execution doet. Chipsets als de IPQ5322 in the Ultra zijn gemaakt voor 100-150 Euro WiFi thuisrouters, waarbij de gebruiker alleen standaardrouting doet met NAT, wat voorgebakken firewall regels, en misschien PPPoE. Scenarios waar alles over de NPU draait en je dus goede performance haalt met een laag energie-budget. Die A53 cores zijn er dan alleen om Linux en een web interface te draaien. Totaal underpowered voor packet inspection e.d., laat staan voor 2.5Gbe.

Ik begrijp dat Ubiquity fijn is als kant-en-klaar optie met fijne management. Maar OpnSense is verder ook niet heel erg complex en je krijgt voor hetzelfde geld gewoon veel betere performance en meer mogelijkheden met een zelfbouw (of voorgebouwde x86 box als bijv. Protectli).

Eens dat is echt een nadeel, want de performance is dan weer niet helemaal in lijn met de prijs omdat je de softwareontwikkeling ook betaald.

Het is jammer dat PPPoE niet in hardware wordt afgehandeld, bij de provider box 14 van KPN vindt dat wel plaats. Het kan wel op hoge snelheden.

Heb nog een N5105 (met OPNsense disk) op zolder liggen zonder taak, als ik met blackfriday een 4Gbps abonnement scoor van KPN dan is er volgens mij maar 1 logische keuze voor de eerste 6 maanden als de korting actief is

Is er recent nog veel gewijzigd aan PPPoE en OPNsense, ik las vlug wat releasenotes dat ze ook naar een hogere freeBSD versie gaan waar mogelijk wat optimalisaties in zitten?

[ Voor 3% gewijzigd door stormfly op 30-10-2024 09:18 ]

[RobertMe]

danieldk schreef op woensdag 30 oktober 2024 @ 07:54:
[...]


Om toch een lans te breken voor zelfbouw: ik heb nooit een Ubiquity router gehad. Ik heb er wel naar gekeken, maar er lijken consistent dezelfde problemen met performance. Ubiquity gebruikt nog steeds relatief zwakke CPU cores, waardoor je als je iets doet dat buiten de (vermoedelijke) hardware acceleratie valt, de performance behoorlijk matig is. Zo doet de nieuwe Cloud Gateway Max blijkbaar 1500-1600 down en 1200-1300 up met PPPoE met IDS uitgeschakeld, dus het haalt geen line speed (heeft immers 2.5Gbe poorten) op PPPoE. Er zijn veel vergelijkbare klachten met IDS, waarbij in realistische scenarios de bandbreedte niet gehaald wordt. In dat geval wordt, hardware-accelaratie voor PPPoE en dergelijk uitgeschakeld omdat er packet inspection gedaan moet worden. En moet alles inclusief PPPoE over de underpowered CPU cores lopen. Ik verwacht ook niet dat je Cake of CoDel op line speed doet. Hetzelfde zie je met de UDM Pro, waar mensen door hoepels moeten springen om half-acceptabele PPPoE snelheden te halen.

Ter vergelijking doet een (goedkoper dan CGM) N5105 box zonder problemen 2.5Gbe line speed PPPoE of SQM. Ook als je er dingen als ZenArmor tegenaan gooit heb je nog steeds goede performance. Ter vergelijking: de N5105 is single-threaded ongeveer 4.5x zo snel als de Cortex A53 1.5GHz in de Cloud Gateway Max. We hebben het bij de Cortex A-53 in de Ultra dan ook over een architectuur uit 2012 die niet eens out-of-order execution doet. Chipsets als de IPQ5322 in the Ultra zijn gemaakt voor 100-150 Euro WiFi thuisrouters [1], waarbij de gebruiker alleen standaardrouting doet met NAT, wat voorgebakken firewall regels, en misschien PPPoE. Scenarios waar alles over de NPU draait en je dus goede performance haalt met een laag energie-budget. Die A53 cores zijn er dan alleen om Linux en een web interface te draaien. Totaal underpowered voor packet inspection e.d., laat staan voor 2.5Gbe.

Ik begrijp dat Ubiquity fijn is als kant-en-klaar optie met fijne management. Maar OpnSense is verder ook niet heel erg complex en je krijgt voor hetzelfde geld gewoon veel betere performance en meer mogelijkheden met een zelfbouw (of voorgebouwde x86 box als bijv. Protectli).

[1] De Xiaomi BE6500 Pro heeft dezelfde SoC en kost 108 Euro op Ali (en kun je volgens mij inmiddels ook openwrt-nss op draaien).

Weet je zeke dat je het over de juiste apparaten hebt, en niet over een Chinese clone? Het merk heet namelijk Ubiquiti met een i op het eind en niet een y

Verder heb je uiteraard gelijk hoor

[danieldk]

RobertMe schreef op woensdag 30 oktober 2024 @ 09:20:
[...]

Weet je zeke dat je het over de juiste apparaten hebt, en niet over een Chinese clone? Het merk heet namelijk Ubiquiti met een i op het eind en niet een y

Verder heb je uiteraard gelijk hoor

Haha, ja, op een één of andere manier vinden mijn hersenen Ubiquity correcter.

[danieldk]

stormfly schreef op woensdag 30 oktober 2024 @ 09:16:
[...]Eens dat is echt een nadeel, want de performance is dan weer niet helemaal in lijn met de prijs omdat je de softwareontwikkeling ook betaald.

Klopt, aan de andere kant is het ook conservatisme en marge-schrapen. Er zijn ook SoCs die niet heel erg veel in prijs verschillen en veel krachtiger zijn, de Filogic 880 heeft bijvoorbeeld Cortex-A73 cores die een stuk vlotter zijn. Blijft nog steeds dat je een flinke regressie hebt zodra je features gebruikt die hardware-acceleratie onmogelijk maken, maar die CPU gaat toch gauw twee keer zo snel zijn. Je zou ook denken dat een bedrijf als Ubiquiti best wat volume heeft en aangepaste SoCs kan krijgen.

Verder denk ik dat er best wat Ubiquiti gebruikers zijn het 50 Euro prijsverschil tussen een IPQ5322 en N100 CPU zouden betalen als de routers daarmee wel snelle PPPoE + IDS hadden.

Tot die tijd is er een x86_64 machine met OPNsense/pfSense/OpenWrt.

[ Voor 5% gewijzigd door danieldk op 30-10-2024 10:48 ]

[nero355]

stormfly schreef op dinsdag 29 oktober 2024 @ 10:10:
Ja het is lastig want we hebben het allemaal over routers, misschien past de titel van dit topic niet meer bij de huidige behoefte.

@wian
Misschien is het verstandig om een topic te openen "UniFi versus Zelfbouw project: Firewall / Router / AP" en daar je feedback delen. Dan kunnen we dat weer uitbouwen tot een veel gelezen topic.

Om op bovenstaand thema door te gaan :

Waarom staat er AP als in Accesspoint in de titel eigenlijk

Daar is namelijk heeeel weinig DIY voor te vinden op het omflashen naar OpenWRT van sommige Accesspoints na en dan heb je het eigenlijk wel meteen gehad, waarbij je ook nog eens misschien sommige functionaliteit niet meer kan benutten of eventuele extra poorten verliest

danieldk schreef op woensdag 30 oktober 2024 @ 07:54:
Ik heb nooit een Ubiquiti router gehad. Ik heb er wel naar gekeken, maar er lijken consistent dezelfde problemen met performance.

Het ligt er een beetje aan hoe je het bekijkt :
- De USG serie was best tof, maar kreupel vanuit de webGUI van de UniFi Controller
- De hele UDR/UDM/UXG/enz. serie heeft gewoon hele stomme design keuzes, waardoor je dit soort shit krijgt : 2.5GB Performance issue i.c.m. Ubiquiti en KPN Glasvezel

Ubiquiti gebruikt nog steeds relatief zwakke CPU cores, waardoor je als je iets doet dat buiten de (vermoedelijke) hardware acceleratie valt, de performance behoorlijk matig is.

Het stomme is dus dat de USG reeks alles prima via Offloading kon doen in tegenstelling tot de latere UDR/UDM/UXG/enz. modellen die volledig van A5x cores afhankelijk zijn die zoals je zelf al zegt simpelweg niet snel genoeg zijn en eerder A7x cores of beter hadden moeten zijn

Ik kan me zelfs herinneren dat er in het begin iemand een USG Pro als WAN Router had neergezet om vervolgens via een CG-NAT IP reeks daarachter een UDM Pro neer te zetten en die IDS/IPS te laten doen, terwijl de USG Pro dus puur vanwege de PPPoE aanwezig was

En daar betaal je dan € 400+ voor en dan bedoel ik dus alleen die UDM Pro

Ter vergelijking doet een (goedkoper dan CGM) N5105 box zonder problemen 2.5Gbe line speed PPPoE of SQM.
Ook als je er dingen als ZenArmor tegenaan gooit heb je nog steeds goede performance.

Die SoC zit in mijn OPNsense bakkie nu

Ter vergelijking: de N5105 is single-threaded ongeveer 4.5x zo snel als de Cortex A53 1.5GHz in de Cloud Gateway Max. We hebben het bij de Cortex A-53 in de Ultra dan ook over een architectuur uit 2012 die niet eens out-of-order execution doet. Chipsets als de IPQ5322 in the Ultra zijn gemaakt voor 100-150 Euro WiFi thuisrouters [1], waarbij de gebruiker alleen standaardrouting doet met NAT, wat voorgebakken firewall regels, en misschien PPPoE. Scenarios waar alles over de NPU draait en je dus goede performance haalt met een laag energie-budget. Die A53 cores zijn er dan alleen om Linux en een web interface te draaien. Totaal underpowered voor packet inspection e.d., laat staan voor 2.5Gbe.

Mooie vergelijking!

Ik begrijp dat Ubiquiti fijn is als kant-en-klaar optie met fijne management.

Eerlijk gezegd niet eens echt fijn te noemen als je "Controllerloze" apparatuur gewend bent tijdens je werk in de IT

Gewoon naar de CLI van mijn Switch gaan en daar effe snel alles regelen is veel fijner dan via een webGUI klooien met Port Switch Profiles om maar wat te noemen...

Maar OpnSense is verder ook niet heel erg complex en je krijgt voor hetzelfde geld gewoon veel betere performance en meer mogelijkheden met een zelfbouw (of voorgebouwde x86 box als bijv. Protectli).

Ik vind wel dat ze het aanmaken van een nieuw "Netwerk" zoals het zou heten in de UniFi Controller wat handiger/logischer hadden kunnen maken i.p.v. iets van 3 tot 5 verschillende plekken af te moeten gaan om alles bij elkaar te clicken, maar verder is het allemaal redelijk makkelijk inderdaad op voorwaarde dat je weet waar je mee bezig bent en wat je wilt bereiken

Kan me trouwens ook niet herinneren dat het zo was in pfSense in het verleden wat betreft het aanmaken van een netwerk, maar ik kan me vergissen...

[1] De Xiaomi BE6500 Pro heeft dezelfde SoC en kost 108 Euro op Ali (en kun je volgens mij inmiddels ook openwrt-nss op draaien).

Xiaomi produkten koop je om totaal andere software erop te flashen dus dat is altijd mooi meegenomen !!

stormfly schreef op woensdag 30 oktober 2024 @ 09:16:
Het is jammer dat PPPoE niet in hardware wordt afgehandeld, bij de provider box 14 van KPN vindt dat wel plaats. Het kan wel op hoge snelheden.

De Ubiquiti UniFi Routers uit de USG reeks deden het gewoon

Heb nog een N5105 (met OPNsense disk) op zolder liggen zonder taak, als ik met blackfriday een 4Gbps abonnement scoor van KPN dan is er volgens mij maar 1 logische keuze voor de eerste 6 maanden als de korting actief is

Is er recent nog veel gewijzigd aan PPPoE en OPNsense, ik las vlug wat releasenotes dat ze ook naar een hogere freeBSD versie gaan waar mogelijk wat optimalisaties in zitten?

Kan je eventueel hier vinden : https://opnsense.org/about/road-map/

RobertMe schreef op woensdag 30 oktober 2024 @ 09:20:
Weet je zeker dat je het over de juiste apparaten hebt, en niet over een Chinese clone?
Het merk heet namelijk Ubiquiti met een i op het eind en niet een y

Unify i.p.v Unifi is ook een "leuke"

danieldk schreef op woensdag 30 oktober 2024 @ 10:47:
Klopt, aan de andere kant is het ook conservatisme en marge-schrapen. Er zijn ook SoCs die niet heel erg veel in prijs verschillen en veel krachtiger zijn, de Filogic 880 heeft bijvoorbeeld Cortex-A73 cores die een stuk vlotter zijn. Blijft nog steeds dat je een flinke regressie hebt zodra je features gebruikt die hardware-acceleratie onmogelijk maken, maar die CPU gaat toch gauw twee keer zo snel zijn. Je zou ook denken dat een bedrijf als Ubiquiti best wat volume heeft en aangepaste SoCs kan krijgen.

Verder denk ik dat er best wat Ubiquiti gebruikers zijn het 50 Euro prijsverschil tussen een IPQ5322 en N100 CPU zouden betalen als de routers daarmee wel snelle PPPoE + IDS hadden.

Door de jaren heen hebben heel wat Tweakers een heleboel logische en handige dingen gedacht over Ubiquiti maar daar is helaas nooit of veel te laat wat van gekomen


Ik ben trouwens nog altijd op zoek naar een leuke website waar je af en toe tot regelmatig wat leuks kan lezen over allerlei ARM SoC modellen/varianten/generaties dus als je nog een leuke TIP hebt : Graag!

[RobertMe]

nero355 schreef op woensdag 30 oktober 2024 @ 15:21:
[...]

Om op bovenstaand thema door te gaan :

Waarom staat er AP als in Accesspoint in de titel eigenlijk

Daar is namelijk heeeel weinig DIY voor te vinden op het omflashen naar OpenWRT van sommige Accesspoints na en dan heb je het eigenlijk wel meteen gehad, waarbij je ook nog eens misschien sommige functionaliteit niet meer kan benutten of eventuele extra poorten verliest

DIY AP kan prima. Ja, het is wellicht wat lastiger om het als AP echt te krijgen. Maar vele wifi adapters voor laptop / desktop kun je prima in AP mode krijgen. En als je bv een TopTon doos hebt met wifi / M.2 slot (met E key?) kun je daar vast een AP van maken. * RobertMe heeft daar 15 jaar geleden wel eens mee lopen kloten. IIRC gaat het niet heel veel verder dan wpa_supplicant en hostapd draaien om de SSIDs uit te zenden (incl WPA verhaal). En verder is het een kwestie van de interfaces per radio/SSID in een bridge plaatsen met de ethernetpoort / VLAN. Prima te doen dus (als je Linux gebruikt? Als je wilt gebruiken op router. Kan me indenken dat OPNSense het niet ingebakken heeft).

[...]

Het stomme is dus dat de USG reeks alles prima via Offloading kon doen in tegenstelling tot de latere UDR/UDM/UXG/enz. modellen die volledig van A5x cores afhankelijk zijn die zoals je zelf al zegt simpelweg niet snel genoeg zijn en eerder A7x cores of beter hadden moeten zijn

Echt niet. De USG kon smart queues(?) ook niet offloaden. En IDS/IPS al helemaal niet (maar dat is natuurlijk ook een latere feature). Dus ook bij de USG zijn er wat (combinaties van) instellingen waarbij hardware offloading volledig uit gaat en je een brakke performance over houdt.

[Raven]

nero355 schreef op woensdag 30 oktober 2024 @ 15:21:
[...]

Om op bovenstaand thema door te gaan :

Waarom staat er AP als in Accesspoint in de titel eigenlijk

Daar is namelijk heeeel weinig DIY voor te vinden op het omflashen naar OpenWRT van sommige Accesspoints na en dan heb je het eigenlijk wel meteen gehad, waarbij je ook nog eens misschien sommige functionaliteit niet meer kan benutten of eventuele extra poorten verliest

* Raven denkt aan het AR9380 kaartje en de CRDA- / Regulatory Domain-toestanden tijdens het opzetten van AP in IPFire.
DIY-genoeg?

[wian]

danieldk schreef op woensdag 30 oktober 2024 @ 07:54:
[...]


Om toch een lans te breken voor zelfbouw: ik heb nooit een Ubiquity router gehad. Ik heb er wel naar gekeken, maar er lijken consistent dezelfde problemen met performance. Ubiquity gebruikt nog steeds relatief zwakke CPU cores, waardoor je als je iets doet dat buiten de (vermoedelijke) hardware acceleratie valt, de performance behoorlijk matig is. Zo doet de nieuwe Cloud Gateway Max blijkbaar 1500-1600 down en 1200-1300 up met PPPoE met IDS uitgeschakeld, dus het haalt geen line speed (heeft immers 2.5Gbe poorten) op PPPoE. Er zijn veel vergelijkbare klachten met IDS, waarbij in realistische scenarios de bandbreedte niet gehaald wordt. In dat geval wordt, hardware-accelaratie voor PPPoE en dergelijk uitgeschakeld omdat er packet inspection gedaan moet worden. En moet alles inclusief PPPoE over de underpowered CPU cores lopen. Ik verwacht ook niet dat je Cake of CoDel op line speed doet. Hetzelfde zie je met de UDM Pro, waar mensen door hoepels moeten springen om half-acceptabele PPPoE snelheden te halen.

Ter vergelijking doet een (goedkoper dan CGM) N5105 box zonder problemen 2.5Gbe line speed PPPoE of SQM. Ook als je er dingen als ZenArmor tegenaan gooit heb je nog steeds goede performance. Ter vergelijking: de N5105 is single-threaded ongeveer 4.5x zo snel als de Cortex A53 1.5GHz in de Cloud Gateway Max. We hebben het bij de Cortex A-53 in de Ultra dan ook over een architectuur uit 2012 die niet eens out-of-order execution doet. Chipsets als de IPQ5322 in the Ultra zijn gemaakt voor 100-150 Euro WiFi thuisrouters [1], waarbij de gebruiker alleen standaardrouting doet met NAT, wat voorgebakken firewall regels, en misschien PPPoE. Scenarios waar alles over de NPU draait en je dus goede performance haalt met een laag energie-budget. Die A53 cores zijn er dan alleen om Linux en een web interface te draaien. Totaal underpowered voor packet inspection e.d., laat staan voor 2.5Gbe.

Ik begrijp dat Ubiquity fijn is als kant-en-klaar optie met fijne management. Maar OpnSense is verder ook niet heel erg complex en je krijgt voor hetzelfde geld gewoon veel betere performance en meer mogelijkheden met een zelfbouw (of voorgebouwde x86 box als bijv. Protectli).

[1] De Xiaomi BE6500 Pro heeft dezelfde SoC en kost 108 Euro op Ali (en kun je volgens mij inmiddels ook openwrt-nss op draaien).

Valide punten. Een OPNsense firewall, zelfbouw, kant-en-klaar of virtueel heeft een hogere performance. Je hebt meer mogelijkheden en je leert er natuurlijk veel meer van. Aan de andere kant kost het veel tijd, vooral als je nog veel moet leren, en de kans op het maken van fouten is groter dan bij een unifi gateway.

Je hoeft mij niet te overtuigen hoor, ik draai al zelfbouw firewalls sinds Freesco , maar er zijn valide redenen om voor een unifi oplossing te kiezen. De cloud gateway ultra heb je voor 119 euro in huis en als je ook al unifi access points en/of switches hebt, heb je een fantastische GUI die ongekend inzicht in je netwerk geeft en die in weinig tijd makkelijk in te stellen is met meer dan genoeg performance voor een 1gbit glasvezel abonnement.

Voor de meeste Tweakers (die met affiniteit voor netwerken - zoals alle Tweakers in dit topic ) is een zelfbouw oplossing op basis van OPNsense veel interessanter en valt de leercurve mee. En de tijd die je erin steekt geeft waarschijnlijk ook nog voordeel in je werk.

Maar openwrt zou ik niemand aanraden. Ja, het is lightweight en snel, dus ook op crappy hardware trek je je 1gbit lijntje dicht, maar het is onoverzichtelijk en de GUI's van de verschillende pakketten hangen als los zand aan elkaar. Als je dezelfde functionaliteit wilt als een standaard installatie van OPNsense, ben je een week aan het installeren en configureren. En alles draait als root.

[nero355]

RobertMe schreef op woensdag 30 oktober 2024 @ 15:32:
DIY AP kan prima.

Natuurlijk kan dat, maar hoe handig is het qua hardware keuze ?!

Ja, het is wellicht wat lastiger om het als AP echt te krijgen. Maar vele wifi adapters voor laptop / desktop kun je prima in AP mode krijgen. En als je bv een TopTon doos hebt met wifi / M.2 slot (met E key?) kun je daar vast een AP van maken. * RobertMe heeft daar 15 jaar geleden wel eens mee lopen kloten. IIRC gaat het niet heel veel verder dan wpa_supplicant en hostapd draaien om de SSIDs uit te zenden (incl WPA verhaal). En verder is het een kwestie van de interfaces per radio/SSID in een bridge plaatsen met de ethernetpoort / VLAN. Prima te doen dus (als je Linux gebruikt? Als je wilt gebruiken op router. Kan me indenken dat OPNSense het niet ingebakken heeft).

Zoiets weleens gedaan met een Raspberry Pi voor de grap, maar dat ga ik echt niet als vervanger voor mijn prachtige fantastische In Wall Accesspoints gebruiken

Echt niet. De USG kon smart queues(?) ook niet offloaden. En IDS/IPS al helemaal niet (maar dat is natuurlijk ook een latere feature). Dus ook bij de USG zijn er wat (combinaties van) instellingen waarbij hardware offloading volledig uit gaat en je een brakke performance over houdt.

Dat dan weer niet inderdaad en er was ook iets i.c.m. IPv6 geloof ik dat niet lekker ging, maar dan nog : Liever een USG model qua opzet dan die zooi die erna kwam

Raven schreef op woensdag 30 oktober 2024 @ 17:16:
* Raven denkt aan het AR9380 kaartje en de CRDA- / Regulatory Domain-toestanden tijdens het opzetten van AP in IPFire.
DIY-genoeg?

Klinkt als Atheros brakheid voordat ze door Qualcomm waren overgenomen ??

wian schreef op woensdag 30 oktober 2024 @ 20:16:
Je hoeft mij niet te overtuigen hoor, ik draai al zelfbouw firewalls sinds Freesco

NICE!!!

Maar openwrt zou ik niemand aanraden.

Ja, het is lightweight en snel, dus ook op crappy hardware trek je je 1gbit lijntje dicht, maar het is onoverzichtelijk en de GUI's van de verschillende pakketten hangen als los zand aan elkaar.

Als je dezelfde functionaliteit wilt als een standaard installatie van OPNsense, ben je een week aan het installeren en configureren.

En alles draait als root.

Dat was niet mijn indruk de paar keer dat ik naar een OpenWRT webGUI zat te staren

Wel vind ik het meer een webGUI die je als het ware een kijk in de Console/CLI/Terminal of misschien beter gezegd de .conf bestanden geeft, maar dat is opzich niet erg

[Raven]

nero355 schreef op woensdag 30 oktober 2024 @ 22:33:
[...]

Klinkt als Atheros brakheid voordat ze door Qualcomm waren overgenomen ??

Nee, kaartje zelf was goed, alleen die regulatory domain database bevatte (voor NL) incorrecte informatie. Om dat op te lossen moest die database opnieuw gemaakt worden, uiteraard met de juiste aanpassingen. Dat vereiste enig gepruts om dat goed werkend te krijgen.

[TheCeet]

Ik zit te denken om een nieuwe hardware setup aan te schaffen om deze in te stellen als router (Opnsense).
Momenteel draait het hier op een Lenovo M720q met 2e NIC ingebouwd. Maar ik blijf toch problemen hebben met de 24.7 versie, 24.1 draait wel perfect.
De Lenovo zou ik dan willen inrichten als proxmox en daar allerlei containers op inrichten + zelfstudie materiaal.

Ik lees hier al tijdje mee en zie vanalles verschijnen.
Maar wat is nu jullie favoriet hardware router?
Ikzelf kom toe met LAN + WAN poort, want ik heb na de router een Unifi switch hangen.

De Topton's en andere Chinese mini PC's heb ik wat "schrik" voor ivm de hitte die deze genereren en ook het slechte koelpasta verhalen.

Protectli zag ik ook passeren hier recent, en in het bijzonder dan V1210 – 2 Port Intel N5105.
Maar die heeft gesoldeerd RAM aan boord, en misschien toekomst gericht niet echt interessant?

[danieldk]

TheCeet in "Zelfbouw project: Firewall / Router / AP"
Maar die heeft gesoldeerd RAM aan boord, en misschien toekomst gericht niet echt interessant?

Misschien is het goed eerst te kijken wat je verwacht van een router/firewall? Voor een traditionele firewall/router met DHCP, DNS, DNS-blocklists, etc. is 4GiB RAM ruim voldoende en gaat nog heel wat jaren mee. Als je ZenArmor met honderden connecties of Elasticsearch wilt doen, dan is het weer een ander verhaal.

[Dennis]

Ik dacht vanavond: laat ik nog eens een gok doen om te zien of ik de combi pfSense+FreeRADIUS-EAP-TLS met Ubiquiti Unifi werkend kan krijgen zonder mijn losse routertje met FreeRADIUS 2 die ik daarvoor nog altijd speciaal heb draaien.

En warempel... eerste test meteen succesvol. Heb wel de LDAP-koppeling los moeten laten maar die wil ik uiteindelijk toch gaan uitfaseren dus helemaal prima.

Het enige wat ik nog niet voor elkaar krijg is "EAP-TLS with OCSP support". Iemand die dat toevallig wél werkend heeft? Ik wil dus dat FreeRADIUS een OCSP request uitvoert op mijn eigen certificaten en op basis daarvan bepaalt of een gebruiker al dan niet wordt toegelaten.

Mijn OCSP-server van mijn eigen Certificate Authority (ik draai EJBCA met een Nginx proxy ervoor) werkt feilloos, dus dat is het probleem niet. Ik vermoed ook niet dat het door firewall rules wordt tegengehouden want het is immers poort 80. De logfiles geven daar ook geen indicatie van.

Vrij specifieke vraag maar misschien dat hier iemand dit ook heeft .

[Kabouterplop01]

Dennis schreef op zondag 3 november 2024 @ 22:39:
Ik dacht vanavond: laat ik nog eens een gok doen om te zien of ik de combi pfSense+FreeRADIUS-EAP-TLS met Ubiquiti Unifi werkend kan krijgen zonder mijn losse routertje met FreeRADIUS 2 die ik daarvoor nog altijd speciaal heb draaien.

En warempel... eerste test meteen succesvol. Heb wel de LDAP-koppeling los moeten laten maar die wil ik uiteindelijk toch gaan uitfaseren dus helemaal prima.

Het enige wat ik nog niet voor elkaar krijg is "EAP-TLS with OCSP support". Iemand die dat toevallig wél werkend heeft? Ik wil dus dat FreeRADIUS een OCSP request uitvoert op mijn eigen certificaten en op basis daarvan bepaalt of een gebruiker al dan niet wordt toegelaten.

Mijn OCSP-server van mijn eigen Certificate Authority (ik draai EJBCA met een Nginx proxy ervoor) werkt feilloos, dus dat is het probleem niet. Ik vermoed ook niet dat het door firewall rules wordt tegengehouden want het is immers poort 80. De logfiles geven daar ook geen indicatie van.

Vrij specifieke vraag maar misschien dat hier iemand dit ook heeft .

Dat is wel vet!
Zie je de GET aankomen op je server? (Ik bedoel dat wordt even tcpdump-en/draadhaaien)

[Villager]

TheCeet schreef op zondag 3 november 2024 @ 14:07:
Ik zit te denken om een nieuwe hardware setup aan te schaffen om deze in te stellen als router (Opnsense).
Momenteel draait het hier op een Lenovo M720q met 2e NIC ingebouwd. Maar ik blijf toch problemen hebben met de 24.7 versie, 24.1 draait wel perfect.
De Lenovo zou ik dan willen inrichten als proxmox en daar allerlei containers op inrichten + zelfstudie materiaal.

Ik lees hier al tijdje mee en zie vanalles verschijnen.
Maar wat is nu jullie favoriet hardware router?
Ikzelf kom toe met LAN + WAN poort, want ik heb na de router een Unifi switch hangen.

De Topton's en andere Chinese mini PC's heb ik wat "schrik" voor ivm de hitte die deze genereren en ook het slechte koelpasta verhalen.

Protectli zag ik ook passeren hier recent, en in het bijzonder dan V1210 – 2 Port Intel N5105.
Maar die heeft gesoldeerd RAM aan boord, en misschien toekomst gericht niet echt interessant?

Ik heb vorig jaar ook de overstap gemaakt van een Fritzbox naar OPNsense en heb daarvoor een Topton N305 met 32GB en 2TB SSD aangeschaft. Ik had al een Intel NUC draaien met Proxmox, dus wist al dat ik 'm voor meer dan alleen OPNsense ging gebruiken. Inmiddels draaien er 2VM's en 7 containers op. Als je dedicated OPNsense gaat draaien dan hoeft t allemaal niet zo zwaar. Als je Proxmox gaat installeren en je wilt 'm voor meerdere doeleinden gebruiken, koop dan ruime hardware.
Ik heb overigens nog niet eerder warmte problemen ervaren. Heb er wel meteen een fan in laten zetten en om de levensduur te verhogen heb ik er ook nog een rustig draaiende USB fan op staan. Temperatuur CPU zit rond de 39 graden.

[Dennis]

Kabouterplop01 schreef op maandag 4 november 2024 @ 08:51:
Dat is wel vet!
Zie je de GET aankomen op je server? (Ik bedoel dat wordt even tcpdump-en/draadhaaien)

Nou zover was ik nog niet. Ik heb gisteravond/begin van de nacht nog even op de FreeRadius mailing list lopen lezen. Goed om te weten dat dit pakket onderliggend gewoon OpenSSL gebruikt.

Er werden een paar punten aangedragen, zoals het niet kunnen 'extracten' van de OCSP URL uit het clientcertificaat (die er wel gewoon in staat), dus had ik een OCSP URL override in FreeRadius ingesteld maar dat leverde niets op.

Een andere suggestie was dat de ketting van certificaten niet goed gecheckt kan worden (ik heb zelf Root CA -> Intermediate CA -> Clientcertificaat) en dat er daarom een invalid respons komt. FreeRadius accepteert als CA alleen een niet-chained certificate. Ik heb geprobeerd een chained certificate op te geven (pem file waar zowel Root CA als Intermediate CA instaan) maar dan start FreeRadius niet eens.

De volgende stap wordt denk ik via commandline op de pfSense bak OpenSSL commando uitvoeren waarbij die OCSP wordt gecheckt om te kijken wat er dan gebeurt (wat FreeRadius dus onderliggend ook gewoon doet, maar dan zie ik de respons natuurlijk niet).

Als je dit trouwens leuk vindt @Kabouterplop01 dan is het relatief eenvoudig om op te zetten, maar je moet het even weten. Ejbca is open source en kun je zo draaien (ik draai het op een VPS bij TransIP). Enige basiskennis van certificaten is wel handig maar ik heb ook 'learning on the job' gedaan . En veel veiliger dan dit wordt het niet, zeker niet als je dus OCSP succesvol implementeert. Het werkt ook feilloos op Android, Windows, Mac en iOS.

[nero355]

TheCeet schreef op zondag 3 november 2024 @ 14:07:
Ik zit te denken om een nieuwe hardware setup aan te schaffen om deze in te stellen als router (Opnsense).

Ik lees hier al tijdje mee en zie vanalles verschijnen.
Maar wat is nu jullie favoriet hardware router?
Ikzelf kom toe met LAN + WAN poort, want ik heb na de router een Unifi switch hangen.

Onlangs had er iemand wat leuks tekoop staan met 2 x LAN en N100 SoC maar die advertentie is er niet meer helaas, echter vond ik wel dit : v&a aangeboden: Sophos sg135 rev.2
Hoop hardware voor weinig

De Topton's en andere Chinese mini PC's heb ik wat "schrik" voor ivm de hitte die deze genereren en ook het slechte koelpasta verhalen.

Mijn TopTon is deze grofweg : https://www.servethehome....-5gbe-options-reviewed/3/
En die komt ondertussen niet verder dan rond de 50 °C net als mijn Raspberry Pi 3B die ook in de meterkast staat dus ik geloof het verder wel

Protectli zag ik ook passeren hier recent, en in het bijzonder dan V1210 – 2 Port Intel N5105.
Maar die heeft gesoldeerd RAM aan boord, en misschien toekomst gericht niet echt interessant?

Ik ben daar geen fan van, want niet vervangbaar als er wat raars aan de hand is

Het merk opzich is wel prima en zijn als het goed is zat voorbeelden van te vinden in dit topic


Voordat ik mijn TopTon via V&A had gekocht heb ik gewoon N100 in de Search bovenaan dit topic geknald en allerlei AliExpress en andere websites linkjes afgegaan, waarbij bleek dat je zo'n Barebone voor grofweg € 115 zou moeten kopen in het beste geval via een aanbieding (Black Friday ?!) en over het algemeen € 145 kwijt bent dus dan weet je dat alvast!

[Kabouterplop01]

Dennis schreef op maandag 4 november 2024 @ 10:21:
[...]


Als je dit trouwens leuk vindt @Kabouterplop01 dan is het relatief eenvoudig om op te zetten, maar je moet het even weten. Ejbca is open source en kun je zo draaien (ik draai het op een VPS bij TransIP). Enige basiskennis van certificaten is wel handig maar ik heb ook 'learning on the job' gedaan . En veel veiliger dan dit wordt het niet, zeker niet als je dus OCSP succesvol implementeert. Het werkt ook feilloos op Android, Windows, Mac en iOS.

Ik heb zelf een CA-tje gehad tijdje geleden. Toen ik nog in de netwerken rommelde had ik een eigen Cisco router, want ja zo moet je dat doen... De CA was dus de router en ik had van een van de Cisco gasten een tutorial gekregen hoe dat moest.
Heb het allemaal niet meer want geen ports meer open naar binnen.

edit: ik zou beginnen met een tcpdumpje op je OCSP request , dan weet je gelijk waar je moet kijken.
Kijk of het je client uitgaat en of het aankomt op je server. is echt een minuutje werk.
met een filtertje erop op port 80 of van een specifiek src_ip.

good luck and keep us on the altitude

[ Voor 19% gewijzigd door Kabouterplop01 op 04-11-2024 18:12 ]

[wian]

Versie 24.7.8 van OPNsense is nu beschikbaar. Verschillende fixes met betrekking tot Certificate Revocation Lists en intel drivers: "assorted FreeBSD stable patches for Intel ixgbe, igb, igc and e1000 drivers", dus de moeite waard.

[danieldk]

wian schreef op donderdag 7 november 2024 @ 10:45:
Versie 24.7.8 van OPNsense is nu beschikbaar. Verschillende fixes met betrekking tot Certificate Revocation Lists en intel drivers: "assorted FreeBSD stable patches for Intel ixgbe, igb, igc and e1000 drivers", dus de moeite waard.

Nieuwe Intel driver updates sinds 24.7.8 (voor wie wil testen): https://forum.opnsense.or...43372.msg218745#msg218745

Zelf moet ik nog even wachten op de nieuwe goodies. Heb de Business licentie genomen om OPNsense ontwikkeling to ondersteunen en updates wat langzamer te krijgen (nadat ze een tijdje in de normale versie getest zijn).

[nero355]

@wian @danieldk

Ik zag het gisteren inderdaad in het Dashboard van mijn OPNsense staan, maar eerlijk gezegd zag ik niks staan wat echt extreem belangrijk was qua security (Als in "Exposed to WAN") dus ik ga gewoon de komende tijd effe een rustig momentje ervoor uitzoeken en dan updaten

[Lethalis]

nero355 schreef op donderdag 7 november 2024 @ 17:03:
@wian @danieldk

Ik zag het gisteren inderdaad in het Dashboard van mijn OPNsense staan, maar eerlijk gezegd zag ik niks staan wat echt extreem belangrijk was qua security (Als in "Exposed to WAN") dus ik ga gewoon de komende tijd effe een rustig momentje ervoor uitzoeken en dan updaten

Steeds maar willen updaten is ook een ziekte

[nero355]

Lethalis schreef op vrijdag 8 november 2024 @ 16:26:
Steeds maar willen updaten is ook een ziekte

Om de week vanwege Security Patches vind ik opzich geen ramp

[Afbeelding]

En als er wat gruwelijk mis is gegaan herinstalleer je effe snel, zet je de XML met de Config erin weer terug en ben je weer Up & Running

[danieldk]

nero355 schreef op vrijdag 8 november 2024 @ 16:46:
En als er wat gruwelijk mis is gegaan herinstalleer je effe snel, zet je de XML met de Config erin weer terug en ben je weer Up & Running

Waarom herinstalleren? OPNsense ondersteunt ZFS snapshots. Maak een snapshot voor de update en je kunt in de web interface of boot loader gewoon weer terugrollen. Dat doe ik nu ook als ik wat met de instellingen experimenteer: snapshot, experimenteren en roll back.

[ Voor 10% gewijzigd door danieldk op 08-11-2024 20:29 ]

[nero355]

danieldk schreef op vrijdag 8 november 2024 @ 20:05:
Waarom herinstalleren? OPNsense ondersteunt ZFS snapshots.

Geen OpenZFS gebruikt om de boel lekker simpel te houden

Mocht ik ooit 2 x 120+ GB SSD's in mijn Routertje kunnen proppen dan maak ik wel een mooie Mirrored VDEV aan

[Villager]

wian schreef op donderdag 7 november 2024 @ 10:45:
Versie 24.7.8 van OPNsense is nu beschikbaar. Verschillende fixes met betrekking tot Certificate Revocation Lists en intel drivers: "assorted FreeBSD stable patches for Intel ixgbe, igb, igc and e1000 drivers", dus de moeite waard.

Bij mij gaat de update niet helemaal goed. ' Reverse proxy en web server' start niet meer automatisch en Acme client start helemaal niet meer op. Nog maar even een roll-back gedaan. Over een poosje nog maar eens kijken.

[stormfly]

In het kader van leuke china doosjes, ik heb hem zelf niet gekocht maar twijfel ;-) Deze heeft een collega van mij gekocht, stil, koel, 18 watt verbruik met 3 VM's. Voordeel is het SFP+ slot voor de verglazing van woningen.

https://www.amazon.de/dp/B0DFYF2FHL?th=1 er leuke prijs voor een N100

N100= 188 euro
N305= 280 euro

[RobertMe]

stormfly schreef op donderdag 14 november 2024 @ 08:34:
In het kader van leuke china doosjes, ik heb hem zelf niet gekocht maar twijfel ;-) Deze heeft een collega van mij gekocht, stil, koel, 18 watt verbruik met 3 VM's. Voordeel is het SFP slot voor de verglazing van woningen.

https://www.amazon.de/dp/B0DFYF2FHL?th=1 er leuke prijs voor een N100

N100= 188 euro
N305= 280 euro

[Afbeelding]

Ik mag hopen SFP+, en niet SFP? Anders zit je al snel aan de limiet

[stormfly]

RobertMe schreef op donderdag 14 november 2024 @ 12:18:
[...]

Ik mag hopen SFP+, en niet SFP? Anders zit je al snel aan de limiet

Zo jammer als mensen dan je tikfout quoten, dan heeft aanpassen ook geen zin meer

[Tom Paris]

stormfly schreef op donderdag 14 november 2024 @ 08:34:
In het kader van leuke china doosjes, ik heb hem zelf niet gekocht maar twijfel ;-) Deze heeft een collega van mij gekocht, stil, koel, 18 watt verbruik met 3 VM's. Voordeel is het SFP+ slot voor de verglazing van woningen.

Bij STH hebben ze deze getest. Het Alder Lake-N platform heeft maar beperkt PCIe-lanes, de SFP+ sloten (of eigenlijk, de X520 NIC) zijn aangesloten op PCIe 2.0 x4 ipv x8. Dat is een bottleneck voor de throughput. Routeren op 10Gbit ga je dus niet halen, hooguit ~7Gbit (en dan negeren we de PPPoE issues even voor het gemak).

[Belgar]

Is de PPPoE specifiek een OPNsense probleem? Of volg ik het verhaal niet helemaal.

Mijn router draait op linux en ik heb geen problemen met PPPoE doorvoer. Wel dat service linking niet helemaal lekker gaat als de PPPoE route niet opkomt en moet ik met scripts aan de gang om dat weer vlot te trekken.

[Raven]

@Belgar Specifiek op *BSD gebaseerde OS'sen voor zover ik weet.

[wian]

Tom Paris schreef op donderdag 14 november 2024 @ 13:03:
[...]


Bij STH hebben ze deze getest. Het Alder Lake-N platform heeft maar beperkt PCIe-lanes, de SFP+ sloten (of eigenlijk, de X520 NIC) zijn aangesloten op PCIe 2.0 x4 ipv x8. Dat is een bottleneck voor de throughput. Routeren op 10Gbit ga je dus niet halen, hooguit ~7Gbit (en dan negeren we de PPPoE issues even voor het gemak).

Bedoel je deze review?

@stormfly waarom stuur je dit soort speelgoed!? Mijn muis hovert over de bestelknop.

[ Voor 7% gewijzigd door wian op 14-11-2024 14:21 ]

[stormfly]

wian schreef op donderdag 14 november 2024 @ 14:19:
[...]

Bedoel je deze review?

@stormfly waarom stuur je dit soort speelgoed!? Mijn muis hovert over de bestelknop.

Haha ik heb de batterijen uit mijn muis gehaald om het bestellen tegen te gaan Ik begrijp welke worsteling je doormaakt nu.

[RobertMe]

Belgar schreef op donderdag 14 november 2024 @ 14:06:
Is de PPPoE specifiek een OPNsense probleem? Of volg ik het verhaal niet helemaal.

Mijn router draait op linux en ik heb geen problemen met PPPoE doorvoer. Wel dat service linking niet helemaal lekker gaat als de PPPoE route niet opkomt en moet ik met scripts aan de gang om dat weer vlot te trekken.

PPPoE is sowieso een "performance" probleem. Op "echte" routers is dit een taak die vaak hardwarematig gedaan kan worden en dan is het peanuts. Op de software oplossingen is het "niet peanuts" en heb je er een zwaardere CPU voor nodig. Bijkomend nadeel van *BSD ten opzichte van Linux is vervolgens ook nog eens dat BSD PPPoE single threaded afhandelt, daar waar het op Linux wel multithreaded kan / gedaan wordt. Dus een wat "zwakkere" CPU met Linux kan het vaak alsnog prima, zolang die maar meerdere cores heeft (zoals een quadcore N5105 of N100). Terwijl het voor BSD niet werkt omdat het allemaal op 1, trage, core gedaan wordt.

[Tom Paris]

Koop dan een Wyse 5070, Futro S940 of Lenovo M720/M920 met een X520. Beetje zoeken in V&A en eBay, ben je rond de €100 kwijt voor praktisch dezelfde performance in *sense.

[danieldk]

RobertMe schreef op donderdag 14 november 2024 @ 14:54:
[...]

PPPoE is sowieso een "performance" probleem. Op "echte" routers is dit een taak die vaak hardwarematig gedaan kan worden en dan is het peanuts. Op de software oplossingen is het "niet peanuts" en heb je er een zwaardere CPU voor nodig. Bijkomend nadeel van *BSD ten opzichte van Linux is vervolgens ook nog eens dat BSD PPPoE single threaded afhandelt, daar waar het op Linux wel multithreaded kan / gedaan wordt.

Dat is niet helemaal accuraat. Het probleem is dat received side scaling (RSS) hashing niet werkt op PPPoE packets (alle packets komen in dezelfde queue). FreeBSD heeft echter een manier om packets (inclusief PPPoE) buiten de driver interrupt-context te verwerken door net.isr.dispatch op deferred te zetten en dan kan het alsnog door meerdere cores afgehandeld worden. Technische details hier:

https://bugs.freebsd.org/bugzilla/show_bug.cgi?id=203856#c11

Er zitten wat haken en ogen aan, maar zie hier bijvoorbeeld een screenshot van mijn OPNsense router tijdens download en je ziet dat PPPoE verwerking wel degelijk multithreaded is.



Op deze manier kun je zonder al te veel problemen bijv. PPPoE op line speed doen op en N5105.

Hardwarematig doen heeft natuurlijk veel voordelen (je kunt het op veel goedkopere hardware doen), maar over het algemeen moet je dan alles met ASICs of NPUs doen, wat weer andere beperkingen op kan leveren (bijv. geen Cake).

(IMO is het grootste probleem dat FreeBSD relatief weinig gebruikt wordt en mensen vaak tegen allerlei subtiele bugs aanlopen in de netwerk stack en drivers. Als de OPNsense interface er voor Linux was, was de keuze makkelijk gemaakt.)

[ Voor 6% gewijzigd door danieldk op 14-11-2024 15:41 ]

[Belgar]

Bedankt voor de toelichtingen. Ik draai de router in een container en gebruik de commandline voor configuratie (VYOS). De router container is ook bij volle belasting redelijk zuinig gelukkig

[nero355]

stormfly schreef op donderdag 14 november 2024 @ 08:34:
In het kader van leuke china doosjes, ik heb hem zelf niet gekocht maar twijfel ;-) Deze heeft een collega van mij gekocht, stil, koel, 18 watt verbruik met 3 VM's. Voordeel is het SFP+ slot voor de verglazing van woningen.

https://www.amazon.de/dp/B0DFYF2FHL?th=1 er leuke prijs voor een N100

N100= 188 euro
N305= 280 euro

[Afbeelding]

Leuk, maar...

Tijdens het doorbladeren van dit topic via de Search bovenaan met puur en alleen de zoekterm "N100" kwam ik N100 doosjes tegen die rond deze "Black Friday" tijd voor € 115 besteld konden worden !!

OK... die hadden geen SFP/SFP+ maar dan nog...

En dan heb je niet eens een volledige Intel X520 NIC blijkbaar :

Tom Paris schreef op donderdag 14 november 2024 @ 13:03:
Bij STH hebben ze deze getest. Het Alder Lake-N platform heeft maar beperkt PCIe-lanes, de SFP+ sloten (of eigenlijk, de X520 NIC) zijn aangesloten op PCIe 2.0 x4 ipv x8. Dat is een bottleneck voor de throughput. Routeren op 10Gbit ga je dus niet halen, hooguit ~7Gbit (en dan negeren we de PPPoE issues even voor het gemak).

Hoewel dat weer geen ramp is omdat je sowieso van geluk mag spreken als je meer dan 6,5 Gbps haalt op een 10 Gbps link zonder extra tuning

Dus dan klinkt dit veel leuker :

Tom Paris schreef op donderdag 14 november 2024 @ 14:54:
Koop dan een Wyse 5070, Futro S940 of Lenovo M720/M920 met een X520. Beetje zoeken in V&A en eBay, ben je rond de €100 kwijt voor praktisch dezelfde performance in *sense.

Alleen zijn dat dan weer behoorlijk oude dan wel steeds ouder worden kastjes qua SoC die erin zit en dus ook de performance en bugs en zo...

Lastige keuze!

Belgar schreef op donderdag 14 november 2024 @ 16:46:
Ik draai de router in een container en gebruik de commandline voor configuratie (VYOS).

De router container is ook bij volle belasting redelijk zuinig gelukkig.

Ik zou daar eigenlijk wel wat meer info over willen hebben :
- Wat voor Container ?
- Welke hardware ?
- VyOS als in Ubiquiti EdgeRouters of echt Brocade Routers ?
- Zet je dan de hardware (de NICs van de Host) door via VT-D of iets dergelijks ?

Als ik het in een VM kan gooien dan wil ik daar wel een keer mee rommelen


/EDIT :

Belgar schreef op donderdag 14 november 2024 @ 20:18:
De router kun je krijgen direct bij: https://vyos.io/ . Indien je een specifieke versie wil moet je zelf wel compilen. Om gewoon te testen kun je de daily release (gratis precompiled en download) in een VM slepen en werkt het in principe direct uit de doos (hoewel een router per default niets doet natuurlijk ). In proxmox GUI terminal openen naar vyos VM en configureren maar.

Klinkt goed! Thnx!

[ Voor 9% gewijzigd door nero355 op 15-11-2024 19:02 ]

[Belgar]

@nero355
ik draai op zo'n N100 doosje als hardware (niks speciaals, wel goed gekoeld). Proxmox als container/VM manager.

Proxmox heeft native support (na aanzetten in de config met enkele setting) voor VT-D / VT-I interfaces en je kan per VM hardware virtueel of exclusief toewijzen (allemaal via Proxmox GUI).

De router kun je krijgen direct bij: https://vyos.io/ . Indien je een specifieke versie wil moet je zelf wel compilen. Om gewoon te testen kun je de daily release (gratis precompiled en download) in een VM slepen en werkt het in principe direct uit de doos (hoewel een router per default niets doet natuurlijk ). In proxmox GUI terminal openen naar vyos VM en configureren maar.

[Villager]

Wat is t stil hier :-)
Niemand aan het kijken voor een nieuw router boxje nu de black friday aanbiedingen er zijn?
Ik wel dus. Hen nu een Topton N305 (32GB 2TB) met Proxmox en daarop 2 VM's en een stuk of 8 containers. De machine kan het prima aan, maar merk dat het soms wel lastig is met updates en resets om het zo te plannen dat het de vrouw niet gaat irriteren omdat de TV het even niet doet :-).
Een los doosje voor OPNsense zou het probleem oplossen. Zat ook te kijken naar de doosjes met 2x sfp+, maar die zijn nog best prijzig. Ook een doosje met 2x lan is bijna net zo duur als eentje met 4. Een N100 met 8Gb en 256 SSD volstaat. Iemand suggesties?

[TheCeet]

Ikzelf heb gisteren is snel zitten kijken naar Topton n100 bakje met 8gb RAM en 128gb komt het op 177€.

Denk dat ik deze ga aanschaffen als dedicated opnsense bakje.
En mn lenovo m720q dan inrichten als ‘home servertje’

[Villager]

TheCeet schreef op zaterdag 23 november 2024 @ 16:27:
Ikzelf heb gisteren is snel zitten kijken naar Topton n100 bakje met 8gb RAM en 128gb komt het op 177€.

Denk dat ik deze ga aanschaffen als dedicated opnsense bakje.
En mn lenovo m720q dan inrichten als ‘home servertje’

Welke? Linkje?

[EverLast2002]

Belgar schreef op donderdag 14 november 2024 @ 20:18:
@nero355
ik draai op zo'n N100 doosje als hardware (niks speciaals, wel goed gekoeld). Proxmox als container/VM manager.

Proxmox heeft native support (na aanzetten in de config met enkele setting) voor VT-D / VT-I interfaces en je kan per VM hardware virtueel of exclusief toewijzen (allemaal via Proxmox GUI).

De router kun je krijgen direct bij: https://vyos.io/ . Indien je een specifieke versie wil moet je zelf wel compilen. Om gewoon te testen kun je de daily release (gratis precompiled en download) in een VM slepen en werkt het in principe direct uit de doos (hoewel een router per default niets doet natuurlijk ). In proxmox GUI terminal openen naar vyos VM en configureren maar.

Zal wel aan mij liggen, maar waar precies kun je een gratis iso of een vm downloaden?
Ik zoek me scheel op die vyos website...

[TheCeet]

Villager schreef op zaterdag 23 november 2024 @ 16:45:
[...]

Welke? Linkje?

Deze:
https://a.aliexpress.com/_EJsVgwv

Dus met black friday nu 20€ korting op.
Lijkt me nog redelijke prijs voor nieuw te zijn, uiteraard kan het goedkoper met andere cpu

[mrdemc]

EverLast2002 schreef op zaterdag 23 november 2024 @ 16:59:
[...]


Zal wel aan mij liggen, maar waar precies kun je een gratis iso of een vm downloaden?
Ik zoek me scheel op die vyos website...

https://support.vyos.io/s...000099218-rolling-release

[TigerMooD]

TheCeet schreef op zaterdag 23 november 2024 @ 17:06:
[...]

Deze:
https://a.aliexpress.com/_EJsVgwv

Dus met black friday nu 20€ korting op.
Lijkt me nog redelijke prijs voor nieuw te zijn, uiteraard kan het goedkoper met andere cpu

Thnx, ik had er ook nog 1 nodig, zojuist besteld, als ik em heb laat ik wel even horen hoe hij bevalt.

[nero355]

Villager schreef op zaterdag 23 november 2024 @ 08:58:
Wat is t stil hier

Omdat alles gewoon werkt gok ik

Ik heb nu al iets van 3 of 4 updates van OPNsense overleefd in ieder geval

Niemand aan het kijken voor een nieuw router boxje nu de black friday aanbiedingen er zijn?
Ik wel dus.

Zat ook te kijken naar de doosjes met 2x sfp+, maar die zijn nog best prijzig.
Ook een doosje met 2x lan is bijna net zo duur als eentje met 4. Een N100 met 8Gb en 256 SSD volstaat.

Iemand suggesties?

Een doosje met N100 + 4 x 2,5 Gbps LAN zou je voor € 115 moeten kunnen scoren als het goed is dus dan is dit :

TheCeet schreef op zaterdag 23 november 2024 @ 17:06:
Deze : https://a.aliexpress.com/_EJsVgwv

Dus met black friday nu 20€ korting op.

Wel een mooie optie denk ik

En je hebt dan zelfs een Serial Port optie zo te zien!

TheCeet schreef op zaterdag 23 november 2024 @ 16:27:
Ikzelf heb gisteren is snel zitten kijken naar Topton n100 bakje met 8gb RAM en 128gb komt het op 177€.

Denk dat ik deze ga aanschaffen als dedicated opnsense bakje.
En mn lenovo m720q dan inrichten als ‘home servertje’

Laatst gekeken naar 120/128/240/250/256 GB M.2 SATA/NVMe SSD's en sinds ik WD Green wel redelijk genoeg vind voor zoiets en weet dat het geen gezeik met Linux geeft en dus ook hopelijk niet met *BSD dacht ik dat het wel een leuke optie zou zijn : Krengen kosten al gauw € 30+

Nou weet ik niet wat 8 GB RAM kost voor zo'n kastje op dit moment, maar € 177 klinkt opzich ook wel als een redelijke deal op voorwaarde dat je een beetje kwaliteit RAM en SSD krijgt

TheCeet schreef op zaterdag 23 november 2024 @ 17:06:
Deze:
https://a.aliexpress.com/_EJsVgwv

Dus met black friday nu 20€ korting op.
Lijkt me nog redelijke prijs voor nieuw te zijn, uiteraard kan het goedkoper met andere cpu.

Mooi gevonden hoor!

Nu nog wat ouders helemaal nieuw kopen lijkt me zonde, tenzij een of andere speciale reden...

EverLast2002 schreef op zaterdag 23 november 2024 @ 16:59:
Zal wel aan mij liggen, maar waar precies kun je een gratis iso of een vm downloaden?

Ik zoek me scheel op die vyos website...

Goed kijken :

1. https://vyos.io/
2. Bovenin bij "Products and Services" kijken.
3. Kies voor "VyOS Universal Router".
4. Dan kom je op https://vyos.io/vyos-universal-router terecht.
5. Kies daar "Free Download".
6. Dan kom je op https://support.vyos.io/s...000099218-rolling-release terecht.
7. Click op "VyOS Rolling Releases" met heel ver naar rechts "Download" in dezelfde balk.
8. Dan kom je op https://github.com/vyos/vyos-nightly-build/releases terecht.
9. Scroll naar "Assets" en kies daar een ISO :
- https://github.com/vyos/v...1230007-generic-amd64.iso
- https://github.com/vyos/v...generic-amd64.iso.minisig
Je downloadt dan als het goed is op dit moment "1.5-rolling-202411230007" waarvan dit de link is : https://github.com/vyos/v.../1.5-rolling-202411230007

En als ik bovenstaande zo eens bekijk dan ben ik het met je eens : Dat kan makkelijker !!!

[Villager]

"Ik heb nu al iets van 3 of 4 updates van OPNsense overleefd in ieder geval "

In mijn geval is de update nog wel een keer fout gelopen, zoals bij de laatste update. Het feit dat ik heel makkelijk de laatste goeie VM kan restoren heeft me al vaak gered. Mocht ik een doosje dedicated voor OPNsense aanschaffen dan lijkt me dit ook de weg te gaan toch? OPNsense in een VM op Proxmox?
Wel weer een risico dat ik er weer andere containers bij ga zetten

[danieldk]

Villager schreef op zondag 24 november 2024 @ 07:25:
"Ik heb nu al iets van 3 of 4 updates van OPNsense overleefd in ieder geval "

In mijn geval is de update nog wel een keer fout gelopen, zoals bij de laatste update. Het feit dat ik heel makkelijk de laatste goeie VM kan restoren heeft me al vaak gered. Mocht ik een doosje dedicated voor OPNsense aanschaffen dan lijkt me dit ook de weg te gaan toch? OPNsense in een VM op Proxmox?
Wel weer een risico dat ik er weer andere containers bij ga zetten

Of ZFS snapshots, die kun je ook in de bootloader selecteren, mocht je niet in the Web UI kunnen komen:

https://docs.opnsense.org...s.html#booting-a-snapshot

Mijn firewall box heeft ook een USB serial aansluiting, dus desnoods loop ik even met een laptop naar de meterkast en kies via serial welke snapshot geboot moet worden.

Tot dusver overigens niet nodig geweest, maar ik gebruik de business editie, waarin minder frequent updates uitrolt worden, die al een tijdje in de community versie getest zijn. Als je het OPNsense forum een beetje volgt, krijg je toch de indruk dat de community editie een beetje de betaversie is. Business mag wat kosten, maar ik zie het maar als een donatie aan een heel erg goed open source project.

[ Voor 9% gewijzigd door danieldk op 24-11-2024 08:22 ]

[TheCeet]

nero355 schreef op zaterdag 23 november 2024 @ 22:14:


[...]

Laatst gekeken naar 120/128/240/250/256 GB M.2 SATA/NVMe SSD's en sinds ik WD Green wel redelijk genoeg vind voor zoiets en weet dat het geen gezeik met Linux geeft en dus ook hopelijk niet met *BSD dacht ik dat het wel een leuke optie zou zijn : Krengen kosten al gauw € 30+

Nou weet ik niet wat 8 GB RAM kost voor zo'n kastje op dit moment, maar € 177 klinkt opzich ook wel als een redelijke deal op voorwaarde dat je een beetje kwaliteit RAM en SSD krijgt


[...]

Mooi gevonden hoor!

Nu nog wat ouders helemaal nieuw kopen lijkt me zonde, tenzij een of andere speciale reden...

Backbone kost ie 133€.
Dus 44€ goedkoper maar ik ben er zeker van dat je geen DDR5 RAM en goede betrouwbare nvme voor dat geld kan vinden.

Daar twijfel ikzelf ook beetje aan. Liever backbone en goede nvme en ram apart aanschaffen dan het Chinese onbekende erin…

[Dennis]

Kabouterplop01 schreef op maandag 4 november 2024 @ 18:07:
edit: ik zou beginnen met een tcpdumpje op je OCSP request , dan weet je gelijk waar je moet kijken.
Kijk of het je client uitgaat en of het aankomt op je server. is echt een minuutje werk.
met een filtertje erop op port 80 of van een specifiek src_ip.

good luck and keep us on the altitude

Ik heb weer even wat tijd gevonden hiermee verder te knutselen (met een gezin kom je er toch niet elke dag aan toe ).

Allereerst: ik kan vanaf de pfSense machine succesvol openssl ocsp commando aanroepen en krijg dan de juiste output:

code:

[2.7.0-RELEASE][[e-mail]]/usr/local/etc/raddb/certs: openssl ocsp -issuer ca_cert.pem -cert dennis.vanl.pem -text -url http://ocsp.vanl.nl/
OCSP Request Data:
    Version: 1 (0x0)
    Requestor List:
        Certificate ID:
          Hash Algorithm: sha1
          Issuer Name Hash: 8AAD02013DB6661E0E26027ED4A594E5BEC76470
          Issuer Key Hash: 7CEB61AFDBCB47B6FD7C5413C385B68284ED4CDF
          Serial Number: 5EECB758AC6C36A1
    Request Extensions:
        OCSP Nonce:
            04107671180993B8F3DF3DAE75016A36F67E
OCSP Response Data:
    OCSP Response Status: successful (0x0)
    Response Type: Basic OCSP Response
    Version: 1 (0x0)
    Responder Id: 7CEB61AFDBCB47B6FD7C5413C385B68284ED4CDF
    Produced At: Nov 24 11:12:43 2024 GMT
    Responses:
    Certificate ID:
      Hash Algorithm: sha1
      Issuer Name Hash: 8AAD02013DB6661E0E26027ED4A594E5BEC76470
      Issuer Key Hash: 7CEB61AFDBCB47B6FD7C5413C385B68284ED4CDF
      Serial Number: 5EECB758AC6C36A1
    Cert Status: good
    This Update: Nov 24 11:12:43 2024 GMT
    Next Update: Nov 24 12:12:43 2024 GMT

    Response Extensions:
        OCSP Nonce:
            04107671180993B8F3DF3DAE75016A36F67E
    Signature Algorithm: sha256WithRSAEncryption
         a3:d8:ac:73:19:57:d6:39:4f:61:61:46:81:14:d8:f2:ea:72:
         1a:21:a0:4c:28:5d:a9:85:98:fd:1a:8f:2d:99:58:92:16:21:
         17:84:ce:1d:02:0e:94:ef:c8:d1:31:d9:8d:57:9a:9d:fa:80:
         73:8e:b9:6e:59:5e:64:2b:4e:9b:50:64:9d:8f:2a:4e:a8:38:
         80:d4:f9:80:9d:fa:13:bb:98:73:53:44:7c:5e:34:f4:e2:b0:
         79:f0:0b:41:53:0c:27:a3:da:2f:7b:fc:87:8c:02:70:3a:9b:
         5e:a3:b7:ec:52:c5:4b:82:19:b6:32:c0:9d:9d:a2:7b:26:db:
         30:c2:de:a0:b8:b2:6f:2f:48:6f:90:c4:c9:81:0e:a7:e6:16:
         7d:7d:61:b0:39:c0:e4:81:ba:66:88:33:ea:d5:d2:12:80:fb:
         00:49:49:2b:9d:af:bf:02:88:54:2f:59:b6:a3:9b:a8:4f:68:
         ca:dd:b3:77:22:31:00:5b:57:67:ee:28:fc:52:79:07:78:35:
         ca:18:33:dd:4f:5f:d9:fe:1f:09:81:72:ee:37:dd:d1:e8:25:
         4b:bd:a4:d1:7a:29:bc:2f:76:2a:8d:0a:57:d9:ab:68:db:a1:
         b8:aa:03:4b:93:15:cc:12:db:22:c8:89:55:af:e3:29:e6:65:
         ef:48:83:36:d8:65:92:9b:65:55:a3:81:10:05:ee:22:04:0b:
         37:f0:21:0a:0e:93:e4:c2:36:29:12:28:f3:66:7f:20:d4:70:
         58:54:50:15:da:c9:5c:d8:ae:32:ba:c5:4d:5a:b5:79:f0:ea:
         d5:dd:d5:8d:78:4d:87:81:c8:1b:d6:9f:da:50:e9:39:73:61:
         67:5a:fd:39:3f:85:fe:57:62:71:c7:ee:04:d2:54:d7:49:b0:
         4a:14:4a:36:d5:3d:5b:7a:ac:8c:e4:54:b2:c7:fc:02:df:12:
         3b:c9:fa:93:60:16:61:e1:e0:3d:ff:c5:6d:f8:fe:ef:15:6e:
         d8:6e:b4:8c:f5:9b:80:97:78:39:72:83:8b:6e:01:00:83:10:
         c6:43:94:f0:43:44:b8:02:0b:48:65:5c:c7:c8:81:9f:c2:ee:
         7f:da:0c:38:e0:30:ab:63:6f:9f:aa:0f:b5:a5:9e:4b:38:f0:
         35:c5:af:4b:66:6b:0a:1b:af:2a:40:4e:1b:55:a2:e5:21:68:
         95:9f:07:5d:56:42:cd:ab:76:09:1f:ca:a1:9b:90:e5:3e:30:
         3f:44:d1:f0:f3:04:06:a9:2d:a8:07:de:67:c8:72:5b:a3:0d:
         56:a6:88:8d:72:54:cc:d6:75:95:c7:58:87:5a:6d:3b:63:af:
         a1:c4:a9:d1:ca:4f:b6:de
Response verify OK
dennis.vanl.pem: good
        This Update: Nov 24 11:12:43 2024 GMT
        Next Update: Nov 24 12:12:43 2024 GMT

Daarmee dus concluderend dat de firewall een dergelijke aanroep niet blokkeert en het probleem daar dus niet zit. En wat ik eigenlijk al wist: mijn OCSP server zelf werkt ook prima.

De volgende vraag is of FreeRadius het goede commando gebruikt om een en ander aan te roepen. Helaas kun je met radiusd -X niet een specificatie van het OpenSSL commando krijgen, maar de logfile geeft wel een kleine indicatie:

code:

Certificate chain - 1 cert(s) untrusted
(TLS) untrusted certificate with depth [1] subject name /C=NL/O=VanL/OU=VanL Security/CN=VanL Users CA G5
(TLS) untrusted certificate with depth [0] subject name /SN=van L/GN=Dennis/CN=dennis.vanl/emailAddress=[e-mail]
(14) eap_tls: EXPAND %{User-Name}
(14) eap_tls:    --> dennis.vanl
(14) eap_tls: checking certificate CN (dennis.vanl) with xlat'ed value (dennis.vanl)
(14) eap_tls: Starting OCSP Request
(14) eap_tls: ocsp: Using responder URL "http://ocsp.vanl.nl:80/"
(14) eap_tls: ERROR: ocsp: Couldn't verify OCSP basic response
(14) eap_tls: ERROR: (TLS) ocsp: Certificate has been expired/revoked
(14) eap_tls: (TLS) send TLS 1.2 Alert, fatal internal_error
(14) eap_tls: ERROR: (TLS) Alert write:fatal:internal error
(14) eap_tls: ERROR: (TLS) Server : Error in error
(14) eap_tls: ERROR: (TLS) Failed reading from OpenSSL
(14) eap_tls: ERROR: (TLS) error:27069076:OCSP routines:OCSP_basic_verify:signer certificate not found
(14) eap_tls: ERROR: (TLS) error:1417C086:SSL routines:tls_process_client_certificate:certificate verify failed
(14) eap_tls: ERROR: (TLS) System call (I/O) error (-1)
(14) eap_tls: ERROR: (TLS) EAP Receive handshake failed during operation
(14) eap_tls: ERROR: [eaptls process] = fail
(14) eap: ERROR: Failed continuing EAP TLS (13) session.  EAP sub-module failed
(14) eap: Sending EAP Failure (code 4) ID 36 length 4
(14) eap: Failed in EAP select
(14)     [eap] = invalid
(14)   } # authenticate = invalid
(14) Failed to authenticate the user

Ik ben vooral even getriggerd door de eerste twee regels.

Mijn CA-structuur ziet er als volgt uit:


Zoals te zien is, wordt het server-certificaat van mijn Radius server door een andere intermediate CA uitgegeven dan mijn user-certificaat waarmee ik als client probeer in te loggen. Die opzet leek mij logisch omdat ik op beide intermediate CA's andere policies hanteer, bijvoorbeeld over de geldigheidsduur van een certificaat.

Dat is geen noodzaak overigens, dus ik ga eens testen met het uitgeven van een server-certificaat door dezelfde intermediate CA en kijken wat dat teweeg brengt.

To be continued... .

[Villager]

TheCeet schreef op zondag 24 november 2024 @ 09:15:
[...]

Backbone kost ie 133€.
Dus 44€ goedkoper maar ik ben er zeker van dat je geen DDR5 RAM en goede betrouwbare nvme voor dat geld kan vinden.

Daar twijfel ikzelf ook beetje aan. Liever backbone en goede nvme en ram apart aanschaffen dan het Chinese onbekende erin…

Ik heb de Topton N100 toch wel zonder Ram en Storage gekocht voor €129. Enerzijds om eventuele douanekosten te voorkomen (>€150) en anderzijds om er zeker van te zijn dat ik een goeie memory module en ssd er in kan doen. Heb nog een 500Gb Nvme liggen.
Zal deze er goed in werken? https://www.alternate.nl/...eheugen&utm_term=IENH58N0

[ Voor 15% gewijzigd door Villager op 24-11-2024 13:41 ]

[Kabouterplop01]

^^ Gaaf! @Dennis

Wat mij triggert is dat volgens mij er niets mis is met je cert, maar eerder met de trust van die andere intermediate:

code:

(14) eap_tls: ERROR: (TLS) ocsp: Certificate has been expired/revoked
(14) eap_tls: (TLS) send TLS 1.2 Alert, fatal internal_error
(14) eap_tls: ERROR: (TLS) Alert write:fatal:internal error
(14) eap_tls: ERROR: (TLS) Server : Error in error
(14) eap_tls: ERROR: (TLS) Failed reading from OpenSSL
----
(14) eap_tls: ERROR: (TLS) error:27069076:OCSP routines:OCSP_basic_verify:signer certificate not found <<<<<
(14) eap_tls: ERROR: (TLS) error:1417C086:SSL routines:tls_process_client_certificate:certificate verify failed
---

Het certificate kan niet worden gevalideerd.

[Dennis]

Kabouterplop01 schreef op zondag 24 november 2024 @ 13:15:
^^ Gaaf! @Dennis

Wat mij triggert is dat volgens mij er niets mis is met je cert, maar eerder met de trust van die andere intermediate:

code:

(14) eap_tls: ERROR: (TLS) ocsp: Certificate has been expired/revoked
(14) eap_tls: (TLS) send TLS 1.2 Alert, fatal internal_error
(14) eap_tls: ERROR: (TLS) Alert write:fatal:internal error
(14) eap_tls: ERROR: (TLS) Server : Error in error
(14) eap_tls: ERROR: (TLS) Failed reading from OpenSSL
----
(14) eap_tls: ERROR: (TLS) error:27069076:OCSP routines:OCSP_basic_verify:signer certificate not found <<<<<
(14) eap_tls: ERROR: (TLS) error:1417C086:SSL routines:tls_process_client_certificate:certificate verify failed
---

Het certificate kan niet worden gevalideerd.

Nou, heb even geprobeerd wat ik zei maar het maakt geen verschil. Op één of andere manier moet ik dan toch zien te achterhalen wat FreeRadius/pfSense onderliggend doet, maar dat is nog geen sinecure vrees ik.

[Kabouterplop01]

Dennis schreef op zondag 24 november 2024 @ 14:23:
[...]

Nou, heb even geprobeerd wat ik zei maar het maakt geen verschil. Op één of andere manier moet ik dan toch zien te achterhalen wat FreeRadius/pfSense onderliggend doet, maar dat is nog geen sinecure vrees ik.

Ergens op die responder mis je de referentie van het intermediate lijkt me:
de responder wordt hier aangeroepen:
"http://ocsp.vanl.nl:80/"
maar daar wordt door de daemon of een CRL gevonden, of er mist een referentie, of kan die niet lezen wegens rechtengebrek. Je krijgt echt een untrusted terug

tenminste zo gaat mijn brainwrapper te werk...
inderdaad geen sinecure, ben echt benieuwd wat dit nou is.

[delta1]

Ik heb nog een oude TP-Link TL-WDR4300 v1 uit februari 2012, die ook al zo lang draait op een oude versie van DD-WRT. Deze router stond dan weer in de DMZ van mijn KPN Experiabox, waardoor de veiligheid van mijn thuisnetwerk volledig afhankelijk is van de DD-WRT-firewall. Dat vind ik al jaren geen prettig idee.

Daarom heb ik besloten over te stappen op OPNsense. Na wat onderzoek heb ik een barebone Glovary Mini PC besteld met een Intel N100 CPU en 6x2.5GbE poorten. Met een Black Friday deal lijkt het met een mooie korting te zijn, al betwijfel ik of dit niet al gewoon de oude prijs was.

Daarnaast heb ik een Crucial CT16G48C40S5 16GB en een Lexar NM620 512GB besteld. Waarschijnlijk overkill voor enkel OPNSense en de dingen die ik ermee wil doen, maar ik heb graag wat extra om futureproof te zijn. Misschien dat ik nog ga experimenteren met Proxmox.

Het duurt nog een paar weken voordat alles binnen is, maar kan niet wachten om voor het eerst met OPNSense aan de slag te gaan

[EverLast2002]

delta1 schreef op zondag 24 november 2024 @ 21:56:
Ik heb nog een oude TP-Link TL-WDR4300 v1 uit februari 2012, die ook al zo lang draait op een oude versie van DD-WRT. Deze router stond dan weer in de DMZ van mijn KPN Experiabox, waardoor de veiligheid van mijn thuisnetwerk volledig afhankelijk is van de DD-WRT-firewall. Dat vind ik al jaren geen prettig idee.

In jouw situatie is de firewall tussen DMZ en LAN van de Experiabox toch de scheiding?
Of heb je je hele thuisnetwerk aan de DMZ gekoppeld met de TP-Link ertussen?

[TheCeet]

Villager schreef op zondag 24 november 2024 @ 13:13:
[...]


Ik heb de Topton N100 toch wel zonder Ram en Storage gekocht voor €129. Enerzijds om eventuele douanekosten te voorkomen (>€150) en anderzijds om er zeker van te zijn dat ik een goeie memory module en ssd er in kan doen. Heb nog een 500Gb Nvme liggen.
Zal deze er goed in werken? https://www.alternate.nl/...eheugen&utm_term=IENH58N0

Hoe kom je aan die 129€ als ik mag vragen?

De voorgestelde RAM zou idd moeten werken.
Moet SO-DIMM, DDR5 & 4800MHz zijn.

Ikzelf heb deze op het oog:
Crucial RAM 16GB voor 39€
WD Blue SN580 500GB voor 45€

[nero355]

Villager schreef op zondag 24 november 2024 @ 07:25:
"Ik heb nu al iets van 3 of 4 updates van OPNsense overleefd in ieder geval "

In mijn geval is de update nog wel een keer fout gelopen, zoals bij de laatste update.

Maar wat ging er dan precies verkeerd

Ik kan me bijvoorbeeld best wel voorstellen dat als je Suricata voor IDS/IPS gebruikt dat door een update die van toepassing was daarop het een en ander verkeerd ging bij jou en bij mij weer niet, want ik doe daar niks mee

Of omdat je het blijkbaar virtueel draait en ik weer niet...

Het feit dat ik heel makkelijk de laatste goeie VM kan restoren heeft me al vaak gered.

Ik maak gewoon een Backup van de Config via het downloaden van die XML file en reinstall op het moment dat het mis is gegaan en niet 1,2,3 te fixen is

Mocht ik een doosje dedicated voor OPNsense aanschaffen dan lijkt me dit ook de weg te gaan toch? OPNsense in een VM op Proxmox?

Gewoon lekker direkt op het kastje installeren en gaan met die banaan

Wel weer een risico dat ik er weer andere containers bij ga zetten

Dat risico heb je altijd met pfSense/OPNsense want ik geloof dat je op de een of andere manier iets met bHyve van FreeBSD kon doen

TheCeet schreef op zondag 24 november 2024 @ 09:15:
Backbone kost ie 133€.

Daar twijfel ikzelf ook beetje aan. Liever backbone en goede nvme en ram apart aanschaffen dan het Chinese onbekende erin…

De term is barebone

Dus 44€ goedkoper maar ik ben er zeker van dat je geen DDR5 RAM en goede betrouwbare nvme voor dat geld kan vinden.

M.2 NVMe is al bijna dat bedrag en M.2 SATA scheelt amper geld

Maar dat gezegd hebbende : Mijn N5105 TopTon kastje had gewoon fatsoenlijk Samsung RAM erin zitten dus ze kunnen het wel !!

De SSD was echter weer een bagger ding van SK Hynix dat problemen gaf opeens dus die heb ik weer gauw eruit gepleurd

_{Bovenstaand effe op voorwaarde dat ik de medeTweaker die hem aan mij heeft verkocht goed heb begrepen en hij de TopTon dus zo met die hardware bij de verkoper destijds heeft besteld !!}

Villager schreef op zondag 24 november 2024 @ 13:13:
Ik heb de Topton N100 toch wel zonder Ram en Storage gekocht voor €129.

NICE!!!

Enerzijds om eventuele douanekosten te voorkomen (>€150)

Dat is ook wel een mooie reden om alleen de barebone te bestellen

Zal deze er goed in werken? https://www.alternate.nl/html/product/1839688?

In het verleden kwamen hier heel veel voorbeelden langs met Crucial geheugen dus zoek die eens op

delta1 schreef op zondag 24 november 2024 @ 21:56:
Ik heb nog een oude TP-Link TL-WDR4300 v1 uit februari 2012, die ook al zo lang draait op een oude versie van DD-WRT. Deze router stond dan weer in de DMZ van mijn KPN Experiabox, waardoor de veiligheid van mijn thuisnetwerk volledig afhankelijk is van de DD-WRT-firewall. Dat vind ik al jaren geen prettig idee.

Raar verhaal...

Je had beter de ExperiaBox gewoon alles kunnen laten doen als je de TP-Link met DD-WRT toch niet direkt aan je WAN had zitten

[Villager]

TheCeet schreef op zondag 24 november 2024 @ 23:11:
[...]

Hoe kom je aan die 129€ als ik mag vragen?

De voorgestelde RAM zou idd moeten werken.
Moet SO-DIMM, DDR5 & 4800MHz zijn.

Ikzelf heb deze op het oog:
Crucial RAM 16GB voor 39€
WD Blue SN580 500GB voor 45€

Deze: https://a.aliexpress.com/_EI94E1P
En dan de €20 korting.

[delta1]

EverLast2002 schreef op zondag 24 november 2024 @ 22:21:
[...]


In jouw situatie is de firewall tussen DMZ en LAN van de Experiabox toch de scheiding?
Of heb je je hele thuisnetwerk aan de DMZ gekoppeld met de TP-Link ertussen?

Dat laatste inderdaad. De TP-Link heb ik een vast IP-adres gegeven in de Experiabox, en vervolgens het DMZ veldje in de Experiabox web interface op dat IP-adres gezet. Dus ik ben in de veronderstelling dat alle inkomende verbindingen klakkeloos doorgezet worden naar mijn TP-Link router, en bijbehorende firewall. Maar misschien heb ik dit verkeerd.

[EverLast2002]

delta1 schreef op maandag 25 november 2024 @ 14:49:
[...]


Dat laatste inderdaad. De TP-Link heb ik een vast IP-adres gegeven in de Experiabox, en vervolgens het DMZ veldje in de Experiabox web interface op dat IP-adres gezet. Dus ik ben in de veronderstelling dat alle inkomende verbindingen klakkeloos doorgezet worden naar mijn TP-Link router, en bijbehorende firewall. Maar misschien heb ik dit verkeerd.

Die constructie is apart maar werkt wel. De reden om dit zo te doen weet jij beter dan wij.
Misschien mist de Experiabox bepaalde functionaliteit die DD-WRT wel heeft?
En de firewall van een Experiabox lijkt me ook redelijk robuust aangezien hele volksstammen er eentje in huis hebben staan.

[DutchCrownNL]

Villager schreef op zaterdag 23 november 2024 @ 08:58:
Wat is t stil hier :-)
Niemand aan het kijken voor een nieuw router boxje nu de black friday aanbiedingen er zijn?

Alles werkt hier naar behoren, en geen klachten vanuit de directie
Draai nog steeds barebone opnsense op mijn TopTon met N100 en 4x 2.5Gbit nics, was 1 van de eerste modellen met die cpu.

Ben af en toe wel aan het kijken naar nieuw spul hoor, maar dat is dan alleen omdat het.. ehm.. nieuw is

[delta1]

EverLast2002 schreef op maandag 25 november 2024 @ 17:41:
[...]


Die constructie is apart maar werkt wel. De reden om dit zo te doen weet jij beter dan wij.
Misschien mist de Experiabox bepaalde functionaliteit die DD-WRT wel heeft?
En de firewall van een Experiabox lijkt me ook redelijk robuust aangezien hele volksstammen er eentje in huis hebben staan.

Dit is vrij normaal voor mensen met een DSL aansluiting die een eigen router willen gebruiken. Een eigen router kan al snel veel meer dan een Experiabox. Want veel meer dan poorten open zetten en een SSID aanpassen kun je niet.

Afijn, de experiabox neemt de modem functies op zich, en voor de rest regelt mijn eigen router de rest. En uiteraard lopen dan al mijn apparaten via mijn eigen router.

Ik weet dat er modem/router combinaties bestaan die werken met een KPN DSL verbinding, zoals de FritzBoxen, maar ik wil liever de DIY/opensource kant op. Wellicht komt er ooit nog glasvezel hier, maar tot die tijd ben ik afhankelijk van een experiabox.

En ik denk juist in deze setup dat de eigen router ook de firewall functionaliteit overneemt, omdat je met DMZ die van de Experiabox omzeilt. Maar dat heb ik dan wellicht verkeerd.

[ Voor 6% gewijzigd door delta1 op 25-11-2024 19:50 ]

[nero355]

delta1 schreef op maandag 25 november 2024 @ 19:45:
Dit is vrij normaal voor mensen met een DSL aansluiting die een eigen router willen gebruiken.

Niet echt, want er zijn gewoon xDSL Modem/Routers tekoop die je zo kan neerzetten i.c.m. een KPN xDSL verbinding

Een eigen router kan al snel veel meer dan een Experiabox.
Want veel meer dan poorten open zetten en een SSID aanpassen kun je niet.

Best wel jammer inderdaad, want vroeger was dat niet zo toen je nog de Alcatel Speedtouch modellen kreeg van KPN

Ik weet dat er modem/router combinaties bestaan die werken met een KPN DSL verbinding, zoals de FritzBoxen, maar ik wil liever de DIY/opensource kant op.

Ik gebruikte altijd een DrayTek xDSL Modem/Router want ook die Fritz!Box dingen zijn best wel kreupel en heel simpel qua webGUI helaas...
Zelfs als je de zogenaamde "Advanced/Expert Mode" aanzet !!

Ook kan je losse xDSL Modems van DrayTek kopen uit de 100 Serie en daar weer je DIY Router op aansluiten

[delta1]

nero355 schreef op maandag 25 november 2024 @ 22:13:
[...]

Niet echt, want er zijn gewoon xDSL Modem/Routers tekoop die je zo kan neerzetten i.c.m. een KPN xDSL verbinding

[...]

Ik gebruikte altijd een DrayTek xDSL Modem/Router want ook die Fritz!Box dingen zijn best wel kreupel en heel simpel qua webGUI helaas...
Zelfs als je de zogenaamde "Advanced/Expert Mode" aanzet !!

Daarom gaf ik de Fritzbox ook als voorbeeld. Leuk voor de consument die iets meer wil (oprecht), maar die kant en klare xDSL modem/routers hebben altijd brakke, snel gedateerde web interfaces, en je mist op den duur altijd wel wat functionaliteit.

nero355 schreef op maandag 25 november 2024 @ 22:13:
Ook kan je losse xDSL Modems van DrayTek kopen uit de 100 Serie en daar weer je DIY Router op aansluiten

En dan kom je dus praktisch gezien uit op mijn setup. Zo gek is het dus niet
Maar wel handig in kader van ruimte/energie besparing, dus neem ik zeker mee! Ik kwam toevallig eerder de ZyXEL VMG4005-B50A tegen.

[wian_gn]

delta1 schreef op dinsdag 26 november 2024 @ 00:17:
[...]


Daarom gaf ik de Fritzbox ook als voorbeeld. Leuk voor de consument die iets meer wil (oprecht), maar die kant en klare xDSL modem/routers hebben altijd brakke, snel gedateerde web interfaces, en je mist op den duur altijd wel wat functionaliteit.

Zelf draai ik al bijna een jaar lang een Fritz!Box 7530 geflashed met OpenWRT op een VPlus lijn van Youfone. Doet bij mij routing + ad-filtering, maar kan natuurlijk ook als transparante bridge worden ingesteld. Super stabiel, alleen downtime voor upgrades.

[nero355]

delta1 schreef op dinsdag 26 november 2024 @ 00:17:
Daarom gaf ik de Fritzbox ook als voorbeeld. Leuk voor de consument die iets meer wil (oprecht)

Dan is die Fritz!Box wat mij betreft dus de verkeerde keuze

maar die kant en klare xDSL modem/routers hebben altijd brakke, snel gedateerde web interfaces, en je mist op den duur altijd wel wat functionaliteit.

Dat probleem heb je dus niet met een DrayTek

En dan kom je dus praktisch gezien uit op mijn setup. Zo gek is het dus niet

Ehm... NEE

Zo'n losse pure Modem is vele malen beter

Overigens kunnen heel veel DrayTek Modem/Router modellen ook in Bridge Mode draaien als dat moet !!

Maar wel handig in kader van ruimte/energie besparing, dus neem ik zeker mee! Ik kwam toevallig eerder de ZyXEL VMG4005-B50A tegen.

Check effe Het grote xDSL-topic om zeker te weten dat je een fatsoenlijk ZyXel model met Bonding koopt qua compatibiliteit met de Nederlandse xDSL Centrales/DSLAM's

[mrdemc]

nero355 schreef op dinsdag 26 november 2024 @ 18:32:
[...]

Dan is die Fritz!Box wat mij betreft dus de verkeerde keuze


[...]

Dat probleem heb je dus niet met een DrayTek


[...]

Ehm... NEE

Zo'n losse pure Modem is vele malen beter

Overigens kunnen heel veel DrayTek Modem/Router modellen ook in Bridge Mode draaien als dat moet !!


[...]

Check effe Het grote xDSL-topic om zeker te weten dat je een fatsoenlijk ZyXel model met Bonding koopt qua compatibiliteit met de Nederlandse xDSL Centrales/DSLAM's

Draytek is echt het voorbeeld van een brakke (het werkt wel) gedateerde UI

[GoBieN-Be]

Ik vind de Fritzbox toestellen trouwens zeer stabiel en degelijk.
Ik heb recent wat testen gedaan met een Fritz 6850 LTE.
Zelfs een IPSEC site 2 site VPN ermee opgezet (moet wel manueel via import file).

[nero355]

mrdemc schreef op dinsdag 26 november 2024 @ 18:37:
Draytek is echt het voorbeeld van een brakke (het werkt wel) gedateerde UI

Ik vind het heerlijk :


En om dezelfde reden ben ik heel happy met de OPNsense webGUI

[mrdemc]

nero355 schreef op dinsdag 26 november 2024 @ 19:16:
[...]

Ik vind het heerlijk :
[Afbeelding: Screenshot DrayTek Multi-PVC Settings]

En om dezelfde reden ben ik heel happy met de OPNsense webGUI

Haha ieder z’n ding ik vind OPNSense dan weer minder gedateerd aanvoelen, kan altijd beter natuurlijk, maar lekker snel en overzichtelijk met een aanpasbaar thema. Tot nu toe wat mij betreft het meest prettige UI.

[Zwelgje]

nero355 schreef op dinsdag 26 november 2024 @ 19:16:
[...]

Ik vind het heerlijk :
[Afbeelding: Screenshot DrayTek Multi-PVC Settings]

En om dezelfde reden ben ik heel happy met de OPNsense webGUI

fijn he Windows Vista met die Aero interface. bevalt goed?

[nero355]

mrdemc schreef op dinsdag 26 november 2024 @ 19:18:
Haha ieder z’n ding

Ik vind het oprecht vele malen fijner dan bijvoorbeeld de Ubiquiti UniFi Controller en al helemaal vanaf versie 6.x.x en hoger, want dat zijn echt schermruimte vretende gedrochten geworden

ik vind OPNSense dan weer minder gedateerd aanvoelen, kan altijd beter natuurlijk, maar lekker snel en overzichtelijk met een aanpasbaar thema.
Tot nu toe wat mij betreft het meest prettige UI.

Gewoon hoe het er standaard uitziet vind ik eigenlijk wel prima

Om maar wat anders erbij te pakken :
D-Link/Netgear/TP-Link hadden vroeger allemaal redelijk op elkaar lijkende webGUI's die de meesten wel kennen van de verschillende WRT smaakjes.

Echter moest op een gegeven moment bijvoorbeeld Netgear ineens interessant gaan doen en zag de webGUI van de R7000 er vanaf een bepaalde firmware upgrade opeens helemaal anders uit
Ineens allemaal hele blije toestanden met rare knoppen en kleuren om alles zogenaamd modern en gebruiksvriendelijker te maken...

Nou...

Dat was wat mij betreft dus echt gewoon CRAP!!!

Zwelgje schreef op dinsdag 26 november 2024 @ 19:19:
fijn he Windows Vista met die Aero interface. bevalt goed?

Het is een Windows 7 Professional schreenshot van jaren geleden

Maar inderdaad : Die installatie heb ik nog steeds om bepaalde redenen op een aparte SSD staan en dat was wat mij betreft nog steeds vele malen beter dan al die troep die erna uitkwam

[Lethalis]

Eerlijk gezegd boeit de user interface mij niet. Wat ik wel vervelend bij Draytek vind, is dat je bij elke kleine wijziging de vraag krijgt of hij kan rebooten.

En ik vind het debuggen van issues laatig ermee. Zelfs al log ik naar een syslog server dan nog vind ik de informatie beperkt.

Maar goed, ik begin zo naderhand old school een Linux router op te zetten met Debian. Als OpenVPN server werkt hij al. Ik moest met de easyrsa tool de certificaten genereren en later met nftables de NAT regelen vanuit het tunnel netwerk naar mijn LAN. But it works en ik heb daar de volledige controle over.

In plaats van het vervangen van de KPN router kan ik natuurlijk met een losse Linux server de missende features gewoon zelf bouwen. En naarmate ik steeds meer dingen geregeld heb, uiteindelijk alles met een Linux router doen.

Maar goed... hobby project.

En de user interface is heel mooi. Gewoon bash

[ Voor 3% gewijzigd door Lethalis op 27-11-2024 07:56 ]

[nero355]

Lethalis schreef op woensdag 27 november 2024 @ 07:26:
Eerlijk gezegd boeit de user interface mij niet. Wat ik wel vervelend bij Draytek vind, is dat je bij elke kleine wijziging de vraag krijgt of hij kan rebooten.

Niet mijn ervaring, tenzij firmware update

Ik begin zo naderhand old school een Linux router op te zetten met Debian.

En de user interface is heel mooi. Gewoon bash

LOL!

Hoewel ik dat eigenlijk ook wel geweldig vind ben ik bang dat je op een gegeven moment het overzicht een beetje kwijtraakt, vooral op het moment dat zo'n bakkie steeds meer gaat doen zoals in jouw geval

Je hebt dan kans dat je opeens denkt van : "Goh... een webGUI zou misschien toch wel fijn zijn ?!"

[RobertMe]

nero355 schreef op woensdag 27 november 2024 @ 15:17:
[...]

LOL!

Hoewel ik dat eigenlijk ook wel geweldig vind ben ik bang dat je op een gegeven moment het overzicht een beetje kwijtraakt, vooral op het moment dat zo'n bakkie steeds meer gaat doen zoals in jouw geval

Je hebt dan kans dat je opeens denkt van : "Goh... een webGUI zou misschien toch wel fijn zijn ?!"

Ik draai nu een heel ruim jaar zelfbouw op basis van Debian en klaar. En heb nu niet het idee dat ik een UI mis.
99% van netwerk verhaal (VLANs, DHCP, IPv6 incl SLAAC etc, Wireguard, ...) zit in systemd-networkd config files (die sowieso gesplitst moeten zijn per interface, en mijn netwerk interfaces heten letterlijk wan, lan, prive, iot, ...).
Firewall verhaal zit in een file van nft / nftables.
Software die ik er op draai gaat via Docker en moet ik dus voor in de compose file van de "stack" zijn (voor Unbound bv /docker/dns/compose.yaml), of dan evt config files waar nodig (Unbound bv die geen UI heeft) en die staan dan ook in het bijbehorende mapje, /docker/dns/config/unbound/....

[nero355]

RobertMe schreef op woensdag 27 november 2024 @ 15:45:
Ik draai nu een heel ruim jaar zelfbouw op basis van Debian en klaar.

Soort van "Weet ik!" dankzij dit topic

En heb nu niet het idee dat ik een UI mis.

Dat kan

99% van netwerk verhaal (VLANs, DHCP, IPv6 incl SLAAC etc, Wireguard, ...) zit in systemd-networkd config files (die sowieso gesplitst moeten zijn per interface, en mijn netwerk interfaces heten letterlijk wan, lan, prive, iot, ...).

Hoe zijn die verspreid dan ? Of juist verzameld in één mapje ?

Ik heb namelijk weleens met wat SystemD dingetjes gerommeld en omdat het dan ging om bijvoorbeeld de Interfaces en OpenSSH zat alles in een aparte directory dus als je al die aanpassingen wilt backuppen zit je ook weer alles bij elkaar te rapen...

Firewall verhaal zit in een file van nft / nftables.

Wat ook weer uit 3 secties bestaat IIRC en dan ook nog eens puur text based is en je dus steeds minder overzicht hebt des te groter het wordt denk ik ?!

Software die ik er op draai gaat via Docker en moet ik dus voor in de compose file van de "stack" zijn (voor Unbound bv /docker/dns/compose.yaml), of dan evt config files waar nodig (Unbound bv die geen UI heeft) en die staan dan ook in het bijbehorende mapje, /docker/dns/config/unbound/....

Docker en die .yaml files vind ik ook zo'n gedrocht... Moet er niet aan denken...

Dan nog liever alles direkt in het OS installeren en de boel uit /etc/ bij elkaar rapen


#TochBestWelHandigAllesInÉénConfig.XMLfileProppen

[Lethalis]

nero355 schreef op woensdag 27 november 2024 @ 15:17:
[...]
Hoewel ik dat eigenlijk ook wel geweldig vind ben ik bang dat je op een gegeven moment het overzicht een beetje kwijtraakt, vooral op het moment dat zo'n bakkie steeds meer gaat doen zoals in jouw geval

Je hebt dan kans dat je opeens denkt van : "Goh... een webGUI zou misschien toch wel fijn zijn ?!"

Full disclosure: ruim 20 jaar geleden draaide ik op de zaak van mijn vader een Linux router / firewall op een PC die in de keuken stond waar het ISDN gebeuren binnenkwam.

Ik miste daar vrij weinig aan. Mijn vader werd alleen wel heel zenuwachtig toen ik ontslag nam en heeft toen een kant en klare router gekocht Niemand begreep wat ik gedaan had uiteraard. Destijds heb ik bijna alles in 1 groot script gezet dat uitgevoerd werd bij het opstarten van het OS.

Tegenwoordig documenteer ik alles wat ik doe, dus ik kan zo in mijn documentatie map met markdown bestanden kijken hoe iets ook alweer zat.

Voor de rest ben ik software developer, dus soms knutsel ik ook wat dingen aan elkaar. Op mijn Proxmox server draait ook een DataCollector die bijvoorbeeld de CPU en NVME temperatuur van de server logt in een database. En ik heb een eenvoudige portal waar ik op in kan loggen en de gemiddelde + max temperatuur van de afgelopen 24 uur kan zien.

En ik kan er eenvoudig een PC mee wakker maken (wake on lan). Mochten er nou dingen zijn die ik wil monitoren kan het best zijn dat ik daar een status pagina'tje voor maak

PS
Documentatie en config files staan ook in git. Ik heb een eigen gitea container draaien en kan dus ook terugkijken naar wat ik veranderd heb en waarom.

[ Voor 4% gewijzigd door Lethalis op 27-11-2024 16:29 ]

[GioStyle]

nero355 schreef op woensdag 27 november 2024 @ 15:59:

Hoe zijn die verspreid dan ? Of juist verzameld in één mapje ?

Ik heb namelijk weleens met wat SystemD dingetjes gerommeld en omdat het dan ging om bijvoorbeeld de Interfaces en OpenSSH zat alles in een aparte directory dus als je al die aanpassingen wilt backuppen zit je ook weer alles bij elkaar te rapen...

Tegenwoordig hou ik alle aanpassingen bij in Ansible. Als een server een keer vervangen wordt, dan is het even Debian installeren, met Ansible een playbook draaien, rebooten en dan klaar.

[nero355]

GioStyle schreef op woensdag 27 november 2024 @ 16:42:
Tegenwoordig hou ik alle aanpassingen bij in Ansible.

Dat is iets wat ik misschien nog eens ga bekijken, maar voorlopig eigenlijk geen behoefte aan heb eerlijk gezegd

Stiekem ook wel zin om een BOOTP netwerkje te bouwen, maar is allemaal serieus overkill op dit moment

[RobertMe]

nero355 schreef op woensdag 27 november 2024 @ 15:59:
[...]

Hoe zijn die verspreid dan ? Of juist verzameld in één mapje ?

Ik heb namelijk weleens met wat SystemD dingetjes gerommeld en omdat het dan ging om bijvoorbeeld de Interfaces en OpenSSH zat alles in een aparte directory dus als je al die aanpassingen wilt backuppen zit je ook weer alles bij elkaar te rapen...

In /etc/systemd heb je een system en een netwerk mapje. In het network mapje staat dus alles van het netwerk.

[...]

Wat ook weer uit 3 secties bestaat IIRC en dan ook nog eens puur text based is en je dus steeds minder overzicht hebt des te groter het wordt denk ik ?!

Je kunt zo veel "chains" maken als je wilt natuurlijk (net zoals bij iptables), maar je hebt inderdaad 3 standaard "hooks" en dus kom je al vrij snel uit op 3 chains (want een chain kan maar 1 hook hebben). En hooks zijn dan de input/forward/output net zoals bij iptables.
V.w.b. overzicht bewaren. Daarvoor heb ik een 32" 4K scherm Overzicht genoeg. En minder serieus. Ik kan gewoon meerdere regels tegelijkertijd op het scherm hebben staan. Doe dat maar eens in de UniFi controller met het tabelletje aan "overzicht" waar vrijwel niks in staat en dat je vervolgens moet doorklikken om de "details" te zien (of aan te passen).

[...]

Docker en die .yaml files vind ik ook zo'n gedrocht... Moet er niet aan denken...

Dan nog liever alles direkt in het OS installeren en de boel uit /etc/ bij elkaar rapen

Tsja, het configureren van de software doe je vaak toch via de software As said: Unbound configuratie moet ik toch gewoon in de Unbound config files doen natuurlijk. Sommige (/vele?) software heeft wel de mogelijkheid om zaken te configureren via env variables, die je dan ook weer in Docker kunt configureren (voor die container). Maar dat gebruik ik ook niet altijd. En bv bij Unbound kant dat (AFAIK) niet. En Unbound configureren met allemaal lokale domeinnamen wordt natuurlijk sowieso lastig via env variables.

V.w.b. backups. Daarvoor heb ik ZFS Incl. send & receive naar ander systeem. Kans is groot dat als ik tzt opnieuw begin / zou beginnen dat toch weer vanalles anders is. Ik zie in zoverre wel iets van nut van bijhouden in Git of Ansible scripts. Maar anderzijds: als ik over nu zeg 4, 5 jaar opnieuw begin, kan ik net zo goed from scratch beginnen omdat of aan software kant vanalles veranderd is of ik op basis van ervaringen dingen anders wil doen.

[Lethalis]

RobertMe schreef op woensdag 27 november 2024 @ 17:27:
[...]
Je kunt zo veel "chains" maken als je wilt natuurlijk (net zoals bij iptables), maar je hebt inderdaad 3 standaard "hooks" en dus kom je al vrij snel uit op 3 chains (want een chain kan maar 1 hook hebben). En hooks zijn dan de input/forward/output net zoals bij iptables.
V.w.b. overzicht bewaren. Daarvoor heb ik een 32" 4K scherm Overzicht genoeg.

Bovendien kun je alles van commentaar voorzien in /etc/nftables.conf, waardoor je juist een overzichtelijk bestand met rules krijgt waar meteen bijstaat waarom je ze aangemaakt hebt.

Ook kun je variabelen gebruiken om e.e.a. te verduidelijken.

PS
Naast input, output en forward heb ik ook nog prerouting en postrouting.

[ Voor 5% gewijzigd door Lethalis op 27-11-2024 18:15 ]

[Raven]

RobertMe schreef op woensdag 27 november 2024 @ 15:45:
Firewall verhaal zit in een file van nft / nftables.

/etc/nftables.conf

Zelf heb ik alles in een bash-script staan, maar dan wel met

Bash:

#!/usr/sbin/nft -f

zodat er niet overal nft voorgezet hoeft te worden

Om het een reboot te laten overleven is er

Bash:

sudo sh -c "nft list ruleset > /etc/nftables.conf"

Lethalis schreef op woensdag 27 november 2024 @ 16:27:
Destijds heb ik bijna alles in 1 groot script gezet dat uitgevoerd werd bij het opstarten van het OS.

/etc/rc.local? Mijn met het oude IPFire-forum verwijderde tutorial om IPv6 (en HE-tunnel) in IPFire werkend te krijgen, maakte daar gebruik van.

RobertMe schreef op woensdag 27 november 2024 @ 17:27:
[...]

Je kunt zo veel "chains" maken als je wilt natuurlijk (net zoals bij iptables), maar je hebt inderdaad 3 standaard "hooks" en dus kom je al vrij snel uit op 3 chains (want een chain kan maar 1 hook hebben). En hooks zijn dan de input/forward/output net zoals bij iptables.

Plus nftables heeft als voordeel dat je geen verschillende tools (iptables / ip6tables) hoeft te gebruiken en je kan regels aanmaken die zowel voor IPv4 als IPv6 gelden, i.p.v. het voor beide afzonderlijk te moeten doen zoals bij iptables / ip6tables.

[Uberprutser]

Villager schreef op zaterdag 23 november 2024 @ 08:58:
Wat is t stil hier :-)

Ik ben gezwicht en ben sinds enkele maanden over op Unifi UCG Max. Na bijna 20 jaar PFsense e.d. te hebben gedraaid was ik klaar met het gepruts en wilde het meer simpel houden.

De failover/loadbalancing tov OPNsense zit beter inelkaar en heb nu 4 functies in 1 doos ipv 2 containers, 1 VM en een losse Raspberry Pi 4.

In mijn lab heb ik VMware en OPNsense eruit gegooid en nu aan het rommelen met VyOS.

[ Voor 11% gewijzigd door Uberprutser op 27-11-2024 18:22 ]

[RobertMe]

Raven schreef op woensdag 27 november 2024 @ 18:18:
[...]

/etc/nftables.conf

Dat is de standaard file ja, die door de systemd unit wordt ingeladen. Maar je bent dus niet verplicht om specifiek die te hebben / maken. Ik gebruik hem wel hoor, daar niet van.

[...]

Plus nftables heeft als voordeel dat je geen verschillende tools (iptables / ip6tables) hoeft te gebruiken en je kan regels aanmaken die zowel voor IPv4 als IPv6 gelden, i.p.v. het voor beide afzonderlijk te moeten doen zoals bij iptables / ip6tables.

Dat is voor mij zo ongeveer de reden om voor een nieuwe router te gaan geweest. Groot deel van de firewall regels die ik nu heb werkt niet eens met IP. Grootste deel is op interface (/VLAN) basis waardoor IP adressen dus niet relevant zijn. En voor de rest een deel op MAC basis (als ik op basis van MAC statische IPs uitdeel maakt whitelisting op basis van MAC of IP toch niet meer uit).

[nero355]

RobertMe schreef op woensdag 27 november 2024 @ 17:27:
Doe dat maar eens in de UniFi controller met het tabelletje aan "overzicht" waar vrijwel niks in staat en dat je vervolgens moet doorklikken om de "details" te zien (of aan te passen).

Dat is wel de webGUI met de meest onoverzichtelijke Firewall Rules in ieder geval

Ik zei het al vanaf het begin destijds : Zag het er maar wat meer uit zoals de webGUI van mijn DrayTeks

Wat dat betreft is OPNsense echt een serieus flinke upgrade !!!

Kans is groot dat als ik tzt opnieuw begin / zou beginnen dat toch weer vanalles anders is.

Maar anderzijds: als ik over nu zeg 4, 5 jaar opnieuw begin, kan ik net zo goed from scratch beginnen omdat of aan software kant vanalles veranderd is of ik op basis van ervaringen dingen anders wil doen.

Daar loop ik een beetje te vaak tegenaan eerlijk gezegd dus daarom probeer ik ook steeds meer met een "Zien we dan wel weer..." hoduing naar dit soort dingen te kijken

Uberprutser schreef op woensdag 27 november 2024 @ 18:19:
Ik ben gezwicht en ben sinds enkele maanden over op Unifi UCG Max.

Na bijna 20 jaar PFsense e.d. te hebben gedraaid was ik klaar met het gepruts en wilde het meer simpel houden.

Maar wat was er dan zo ingewikkeld vraag ik me af

Al die tijd dat ik pfSense in een Proxmox VM heb gedraaid was het echt niet meer dan af en toe de Update/Upgrade knop aanclicken en dat was het dan wel weer...

In mijn lab heb ik VMware en OPNsense eruit gegooid en nu aan het rommelen met VyOS.

Heb je toch nog een echte Router in huis !!!

[nero355]

Deze week een hotfix voor een hotfix uitgebracht voor OPNsense : https://forum.opnsense.or...44413.msg221775#msg221775

Kernel gerelateerd dus vanavond maar eens een schop geven


Which brings me to the following...


Hoe houden andere OPNsense gebruikers zichzelf op de hoogte van nieuwe updates/patches/hotfixes ??

Ik heb voorlopig maar een gewoonte ervan gemaakt om elke Woensdag https://forum.opnsense.org/index.php?board=11.0 te checken