Zelfbouw project: Firewall / Router / AP

[MrJoery]

nero355 schreef op donderdag 5 december 2024 @ 14:31:
Hoe houden andere OPNsense gebruikers zichzelf op de hoogte van nieuwe updates/patches/hotfixes ??

Ik heb 'm zelf in de RSS-feeds staan, voor de Tweakers die dat ook willen:

https://forum.opnsense.or...11.0;type=rss;action=.xml


De "Re:" posts zijn hotfixes voor releases.

[ Voor 4% gewijzigd door MrJoery op 05-12-2024 14:49 ]

[Villager]

Hoe houden andere OPNsense gebruikers zichzelf op de hoogte van nieuwe updates/patches/hotfixes ??

Ik gebruik de OPNsense addon in Home Assistant en daar kijk ik eigenlijk dagelijks op :-)

[Rolfie]

nero355 schreef op donderdag 5 december 2024 @ 14:31:
Deze week een hotfix voor een hotfix uitgebracht voor OPNsense : https://forum.opnsense.or...44413.msg221775#msg221775

Kernel gerelateerd dus vanavond maar eens een schop geven


Which brings me to the following...


Hoe houden andere OPNsense gebruikers zichzelf op de hoogte van nieuwe updates/patches/hotfixes ??

Ik heb voorlopig maar een gewoonte ervan gemaakt om elke Woensdag https://forum.opnsense.org/index.php?board=11.0 te checken

Tweakers?
En ik heb een HA Integratie die mij een push bericht geeft als er een Firmware Upgrade beschikbaar is voor OPNSense. Die is meestal nog sneller.

[stormfly]

nero355 schreef op donderdag 5 december 2024 @ 14:31:
Deze week een hotfix voor een hotfix uitgebracht voor OPNsense : https://forum.opnsense.or...44413.msg221775#msg221775

Kernel gerelateerd dus vanavond maar eens een schop geven


Which brings me to the following...


Hoe houden andere OPNsense gebruikers zichzelf op de hoogte van nieuwe updates/patches/hotfixes ??

Ik heb voorlopig maar een gewoonte ervan gemaakt om elke Woensdag https://forum.opnsense.org/index.php?board=11.0 te checken

Je kunt via hun forum subscriben op het announcement topic, dan krijg je netjes mails inclusief de releasenotes.

[nero355]

stormfly schreef op donderdag 5 december 2024 @ 17:13:
Je kunt via hun forum subscriben op het announcement topic, dan krijg je netjes mails inclusief de releasenotes.

Die had ik inderdaad op hun forum gezien en was ik vergeten te vermelden

Wel één ding : Sommigen zeggen dat die functie niet altijd geheel betrouwbaar werkt om de een of andere reden !!

MrJoery schreef op donderdag 5 december 2024 @ 14:46:
Ik heb 'm zelf in de RSS-feeds staan, voor de Tweakers die dat ook willen:

https://forum.opnsense.or...11.0;type=rss;action=.xml

[Afbeelding]
De "Re:" posts zijn hotfixes voor releases.

In al die tijd dat RSS bestaat nog nooit iets mee gedaan dus misschien moet ik daar nu dan eens mee beginnen

Villager schreef op donderdag 5 december 2024 @ 15:32:
Ik gebruik de OPNsense addon in Home Assistant en daar kijk ik eigenlijk dagelijks op :-)
[Afbeelding]

Rolfie schreef op donderdag 5 december 2024 @ 15:45:
En ik heb een HA Integratie die mij een push bericht geeft als er een Firmware Upgrade beschikbaar is voor OPNSense.
Die is meestal nog sneller.

Misschien zoiets ook een keer bouwen en laten weergeven op een leuk displaytje

Ik heb eigenlijk totaal geen behoefte aan "Home Automation" dus zal eventueel iets moeten verzinnen i.c.m. wat SmokePing en andere leuke grafiekjes

Tweakers?

Ik kom al jarenlang niet meer op de Frontpage sinds een of andere rare redesign destijds dus die optie sla ik liever over

[Raven]

Villager schreef op donderdag 5 december 2024 @ 15:32:
[...]

Ik gebruik de OPNsense addon in Home Assistant en daar kijk ik eigenlijk dagelijks op :-)
[Afbeelding]

Zou je die ook als melding bij instellingen (in HA) weer kunnen laten geven? Ik weet dat HA-updates, evenals firmware updates van Shelly's en dingen die via HACS zijn geïnstalleerd, daar vermeld worden als er een update beschikbaar is.

Maar zou dat met zoiets ook kunnen?

[stormfly]

Raven schreef op donderdag 5 december 2024 @ 17:43:
[...]

Zou je die ook als melding bij instellingen (in HA) weer kunnen laten geven? Ik weet dat HA-updates, evenals firmware updates van Shelly's en dingen die via HACS zijn geïnstalleerd, daar vermeld worden als er een update beschikbaar is.

Maar zou dat met zoiets ook kunnen?

Ja hoor dat moet wel lukken, als je de sensor naam noemt in chatGPT tikt hij zo een automation voor je uit met een pushbericht.

[Villager]

Raven schreef op donderdag 5 december 2024 @ 17:43:
[...]

Zou je die ook als melding bij instellingen (in HA) weer kunnen laten geven? Ik weet dat HA-updates, evenals firmware updates van Shelly's en dingen die via HACS zijn geïnstalleerd, daar vermeld worden als er een update beschikbaar is.

Maar zou dat met zoiets ook kunnen?

Pushmeldingen doe ik via Node-Red naar Telegram of Gmail. Dat kan hier ook bij, maar aangezien dit geen belangrijke mededeling is doe ik deze niet. Mn vrouw wordt nu al gek van de meldingen op mn smartwatch :-)

[Rolfie]

Raven schreef op donderdag 5 december 2024 @ 17:43:
[...]

Zou je die ook als melding bij instellingen (in HA) weer kunnen laten geven? Ik weet dat HA-updates, evenals firmware updates van Shelly's en dingen die via HACS zijn geïnstalleerd, daar vermeld worden als er een update beschikbaar is.

Maar zou dat met zoiets ook kunnen?

Zoals dit bedoel je?


Dit is mogelijk met een plugin vanuit OPNsense repo by mimugmail, wie ook volgens mij een ontwikkelaar is van OPNSense.

En daarna is er een HACS Plugin "OPNSense" en wat kleine configuratie.

[ Voor 14% gewijzigd door Rolfie op 05-12-2024 20:14 ]

[_Eend_]

nero355 schreef op donderdag 5 december 2024 @ 14:31:
Deze week een hotfix voor een hotfix uitgebracht voor OPNsense : https://forum.opnsense.or...44413.msg221775#msg221775

Kernel gerelateerd dus vanavond maar eens een schop geven


Which brings me to the following...


Hoe houden andere OPNsense gebruikers zichzelf op de hoogte van nieuwe updates/patches/hotfixes ??

Ik heb voorlopig maar een gewoonte ervan gemaakt om elke Woensdag https://forum.opnsense.org/index.php?board=11.0 te checken

Ik kijk of een zekere T.net gebruiker met koeien in zijn avatar een bericht post


Serieus antwoord: Ik houd de melding op het dashboard in de gaten. Als ik inlog op het dashboard is het 9 v/d 10x keer om te kijken of er updates zijn.

^{ik had ooit een python scriptje dat als er updates waren een berichtje naar Telegram stuurt voor pfSense gevonden en dat ik wilde ombouwen naar OPNsense. maar dat heb ik tot op heden nog niet gedaan.}

[Raven]

Rolfie schreef op donderdag 5 december 2024 @ 20:08:
[...]

Zoals dit bedoel je?
[Afbeelding]

Dit is mogelijk met een plugin vanuit OPNsense repo by mimugmail, wie ook volgens mij een ontwikkelaar is van OPNSense.

En daarna is er een HACS Plugin "OPNSense" en wat kleine configuratie.

Dat ja, maar dan in het algemeen (ik gebruik geen OPNSense), in mijn geval PiHole bijv.

[Lethalis]

nero355 schreef op donderdag 5 december 2024 @ 14:31:
Hoe houden andere OPNsense gebruikers zichzelf op de hoogte van nieuwe updates/patches/hotfixes ??

Op de OPNsense van mijn werk staat een widget op het Dashboard met Announcements.



[edit] Ik heb alleen geen idee hoe mijn collega dat geregeld heeft. Moet ik even vragen Want op mijn eigen OPNsense krijg ik de optie helemaal niet om dat widget toe te voegen. Ik draai OPNsense zelf overigens nog niet écht, maar heb het virtueel op Proxmox staan momenteel en heb VLAN's aangemaakt i.c.m. een smart switch (virtuele one armed router ).

Misschien dit weekend even testen of het een optie is.

[ Voor 25% gewijzigd door Lethalis op 06-12-2024 08:51 ]

[ninjazx9r98]

Lethalis schreef op vrijdag 6 december 2024 @ 08:44:
[...]

Op de OPNsense van mijn werk staat een widget op het Dashboard met Announcements.

[Afbeelding]

[edit] Ik heb alleen geen idee hoe mijn collega dat geregeld heeft. Moet ik even vragen Want op mijn eigen OPNsense krijg ik de optie helemaal niet om dat widget toe te voegen. Ik draai OPNsense zelf overigens nog niet écht, maar heb het virtueel op Proxmox staan momenteel en heb VLAN's aangemaakt i.c.m. een smart switch (virtuele one armed router ).

Misschien dit weekend even testen of het een optie is.

Widget is hier automatisch verschenen toen enkele releases geleden het dashboard design op de schop is gegaan. Heb er in ieder geval niks voor hoeven doen.

[Lethalis]

ninjazx9r98 schreef op vrijdag 6 december 2024 @ 08:57:
[...]
Widget is hier automatisch verschenen toen enkele releases geleden het dashboard design op de schop is gegaan. Heb er in ieder geval niks voor hoeven doen.

Grappig, ik zat nog op versie 24.1, ondanks dat ik gisteren updates heb geïnstalleerd. Vandaag nog een keer updates gecontroleerd en nu kreeg ik de optie om naar 24.7 te upgraden en daar is hij nu mee bezig. Duurt nog best lang. Gelukkig heb ik hem nog niet in gebruik

[edit]
It's back en de widget met announcements staat er inderdaad ook

En ik kan nog wat update rondes houden blijkbaar. Normaal doet mijn collega dit altijd op de zaak, dus dit is voor mij even nieuw dat je per versie de update moet doen.

[edit 2]
Ik zit nu op versie 24.7.10_2.

[ Voor 19% gewijzigd door Lethalis op 06-12-2024 09:27 ]

[mrdemc]

nero355 schreef op donderdag 5 december 2024 @ 14:31:
Deze week een hotfix voor een hotfix uitgebracht voor OPNsense : https://forum.opnsense.or...44413.msg221775#msg221775

Kernel gerelateerd dus vanavond maar eens een schop geven


Which brings me to the following...


Hoe houden andere OPNsense gebruikers zichzelf op de hoogte van nieuwe updates/patches/hotfixes ??

Ik heb voorlopig maar een gewoonte ervan gemaakt om elke Woensdag https://forum.opnsense.org/index.php?board=11.0 te checken

op de startpagina van de opnsense staat ook een bulletin. daarnaast moet ik sowieso de logs elke dag even bekijken op de verschillende installaties (heb dat nog niet gecentraliseerd), dus dan ga ik gelijk even naar de firmware tab voor een update check.

Daarnaast heb je natuurlijk ook de RSS feed (waarvan die op de startpagina van de opnsense volgens mij ook gebruik van maakt) die je in je eigen mailclient of wat dan ook kunt instellen:
https://forum.opnsense.or...11.0;type=rss;action=.xml

[nero355]

stormfly schreef op donderdag 5 december 2024 @ 18:30:
Ja hoor dat moet wel lukken, als je de sensor naam noemt in chatGPT tikt hij zo een automation voor je uit met een pushbericht.

offtopic:
Ik word echt treurig van dit soort berichten op GoT tegenwoordig...

Laat die rommel lekker voor wat het is en gebruik je hersenpan of vraag hulp aan je medemens !!!

Villager schreef op donderdag 5 december 2024 @ 19:08:
Pushmeldingen doe ik via Node-Red naar Telegram of Gmail.

_Eend_ schreef op donderdag 5 december 2024 @ 20:53:
^{ik had ooit een python scriptje dat als er updates waren een berichtje naar Telegram stuurt voor pfSense gevonden en dat ik wilde ombouwen naar OPNsense. maar dat heb ik tot op heden nog niet gedaan.}

Zoiets lijkt me misschien wel het beste dus als jullie wat bruikbaars hebben op dat gebied dan hoor ik dat graag

Mijn vrouw wordt nu al gek van de meldingen op mn smartwatch :-)

Je kan in Telegram meldingen van bepaalde mensen of groepen op "Silent/Mute" zetten dus dat mag geen probleem heten

_Eend_ schreef op donderdag 5 december 2024 @ 20:53:
Ik kijk of een zekere T.net gebruiker met koeien in zijn avatar een bericht post

Grapjas!

Doe je iets ééééén keer : Gelijk een label...

Serieus antwoord: Ik houd de melding op het dashboard in de gaten. Als ik inlog op het dashboard is het 9 v/d 10x keer om te kijken of er updates zijn.

Tja, dat kan natuurlijk en hebben we allemaal, maar dat is ook weer zoiets...

Het doet me een beetje aan een verandering in Pi-Hole denken :
Vroeger kon je naar de webGUI ervan gaan en dan zag je de statistieken vanuit een soort Anonymous/Guest View staan inclusief de CPU LOAD van je Pi-Hole.
Vervolgens log je in als je wat gaat veranderen of andere dingen wilt bekijken.

Sinds een jaartje of ietsje langer kan dat niet meer : Alles is achter de login verstopt!
Dus wil je wat zien dan moet je elke keer inloggen...

Dat vonden sommige mensen niet leuk en gingen dus gewoon de oude versie van "de startpagina" terugzetten

Bovenstaand verhaal wetende zou je bijna je pfSense/OPNsense ook gaan modden om zoiets te hebben i.c.m. hun eigen Dashboard

Raven schreef op vrijdag 6 december 2024 @ 06:12:
Dat ja, maar dan in het algemeen (ik gebruik geen OPNSense), in mijn geval PiHole bijv.

Als je straks wat leuks voor Pi-Hole hebt dan hoor ik dat graag in het Pi-Hole Topic

Lethalis schreef op vrijdag 6 december 2024 @ 08:44:
Op de OPNsense van mijn werk staat een widget op het Dashboard met Announcements.

[Afbeelding]

[edit] Ik heb alleen geen idee hoe mijn collega dat geregeld heeft. Moet ik even vragen Want op mijn eigen OPNsense krijg ik de optie helemaal niet om dat widget toe te voegen. Ik draai OPNsense zelf overigens nog niet écht, maar heb het virtueel op Proxmox staan momenteel en heb VLAN's aangemaakt i.c.m. een smart switch (virtuele one armed router ).

Misschien dit weekend even testen of het een optie is.

Dat is dus standaard aanwezig in de 24.7.x reeks van OPNsense en heb ik uiteraard erbij staan

mrdemc schreef op vrijdag 6 december 2024 @ 11:44:
op de startpagina van de opnsense staat ook een bulletin. daarnaast moet ik sowieso de logs elke dag even bekijken op de verschillende installaties (heb dat nog niet gecentraliseerd), dus dan ga ik gelijk even naar de firmware tab voor een update check.

Een of ander schermpje met iets van een "Custom Dashboard" zoals sommigen hebben met het weer en dergelijke lijkt me veel handiger dan elke keer moeten inloggen om dat soort dingen te checken

Daarnaast heb je natuurlijk ook de RSS feed (waarvan die op de startpagina van de opnsense volgens mij ook gebruik van maakt) die je in je eigen mailclient of wat dan ook kunt instellen:
https://forum.opnsense.or...11.0;type=rss;action=.xml

Die heb ik ondertussen aan Pale Moon toegevoegd na de reactie van

MrJoery schreef op donderdag 5 december 2024 @ 14:46:
Ik heb 'm zelf in de RSS-feeds staan, voor de Tweakers die dat ook willen:

https://forum.opnsense.or...11.0;type=rss;action=.xml

[Afbeelding]
De "Re:" posts zijn hotfixes voor releases.

en kwam erachter dat Mozilla Firefox niks meer met RSS lijkt te doen

[Lethalis]

Ik ben uren bezig geweest om IPTV aan de praat te krijgen via mijn virtuele one armed router (opnsense met vlan tagging over een Proxmox bridge). Ik tig handleidingen volgen om IPTV aan de praat te krijgen met opnsense en elke keer werkte het niet. Beeld kapte ermee na een paar seconden.

Bleek het aan mijn Proxmox bridge te liggen...

code:

echo 0 > /sys/class/net/vmbr0/bridge/multicast_snooping

Bam! Ik kan nu TV kijken

Kortom ik heb nu een OPNsense virtuele machine op een Intel NUC draaien met Proxmox. En ik heb een Zyxel smart switch die de VLAN's uitsplitst voor IPTV, WAN en LAN etc. Ben een groot deel van de dag aan het klooien geweest, maar alles lijkt het nu te doen.

Ook de VPN's naar de zaak toe, port forwardings etc. Hopen dat het blijft werken

PS
De STB zit in zijn eigen VLAN, dus als het goed is gaat het verkeer niet mijn LAN en WIFI in. Zal dit nog proberen te monitoren op de switch.

[ Voor 38% gewijzigd door Lethalis op 06-12-2024 22:36 ]

[nero355]

Lethalis schreef op vrijdag 6 december 2024 @ 22:18:
Ik tig handleidingen volgen om IPTV aan de praat te krijgen met opnsense en elke keer werkte het niet. Beeld kapte ermee na een paar seconden.

Bleek het aan mijn Proxmox bridge te liggen...

code:

echo 0 > /sys/class/net/vmbr0/bridge/multicast_snooping

Bam! Ik kan nu TV kijken

Hopen dat het blijft werken

Volgens mij moet je dat nog effe in je sysctl.conf gooien, want anders is het na een reboot weer naar 1 i.p.v. 0 teruggedraaid

PS
De STB zit in zijn eigen VLAN, dus als het goed is gaat het verkeer niet mijn LAN en WIFI in. Zal dit nog proberen te monitoren op de switch.

Dat niet, maar in dat "STB VLAN" kan het wel de boel volgooien en dus alsnog op die manier de rest verstoren denk ik

* nero355 moet ook nog maar eens een keer goed naar het hele IGMP Snooping verhaal kijken...
Ook als je geen IPTV afneemt bij een ISP heb je natuurlijk wel al die Casting/AirPlay/AVAHI toestanden die het een en ander kunnen veroorzaken !!
En sommigen zeggen zelfs dat alle Clients die op je netwerk uitgeschakeld zijn, maar de LAN NIC van actief blijft (Voor 'Wake on LAN' bijvoorbeeld) hun IPTV verkeer verstoren, maar of dat echt zo is ?! Geen idee...

[Lethalis]

nero355 schreef op zaterdag 7 december 2024 @ 01:02:
[...]

Volgens mij moet je dat nog effe in je sysctl.conf gooien, want anders is het na een reboot weer naar 1 i.p.v. 0 teruggedraaid

[...]

Dat niet, maar in dat "STB VLAN" kan het wel de boel volgooien en dus alsnog op die manier de rest verstoren denk ik

Dat het na een reboot weer weg is, ben ik mij van bewust. Ik zat nog ff te kijken naar de beste manier om dat te doen. Eventueel met een post-up ofzoiets in de /etc/network/interfaces. Kortom, zodra de bridge up komt, moet het commando uitgevoerd worden.

In het STB VLAN zitten alleen de Opnsense en de STB trouwens Ik heb nog wel gelezen dat je ook bij een Linux bridge een multicast querier aan kunt zetten:

echo 1 > /sys/devices/virtual/net/$IFACE/bridge/multicast_querier

Dan zou je snooping aan kunnen laten staan.

https://pve.proxmox.com/wiki/Multicast_notes

Alleen geen idee of dat nog werkt met de nieuwste Proxmox. Ik ben nu ff blij dat het überhaupt werkt en dan ga ik gaandeweg eens kijken of ik dingen kan verbeteren.

Uiteindelijk wil ik andere hardware waardoor ik die hele bridge niet meer nodig heb Dit is eigenlijk vooral een proof of concept, dat ik nu alles virtueel draai op een Intel NUC met 1 netwerk interface

Ik ben alleen nog een beetje huiverig ervoor om een Chinees ding te bestellen. Al zie ik ook in Duitsland wel leuke NUC's met meerdere netwerk interfaces.

Een mini ITX PC bouwen met extra netwerk interfaces is ook een optie als ik hem klein genoeg voor de meterkast kan houden. Dan kan het ook meteen de server zijn met wat serieuzere storage.

[Lethalis]

nero355 schreef op zaterdag 7 december 2024 @ 01:02:
[...]

* nero355 moet ook nog maar eens een keer goed naar het hele IGMP Snooping verhaal kijken...
Ook als je geen IPTV afneemt bij een ISP heb je natuurlijk wel al die Casting/AirPlay/AVAHI toestanden die het een en ander kunnen veroorzaken !!
En sommigen zeggen zelfs dat alle Clients die op je netwerk uitgeschakeld zijn, maar de LAN NIC van actief blijft (Voor 'Wake on LAN' bijvoorbeeld) hun IPTV verkeer verstoren, maar of dat echt zo is ?! Geen idee...

De meeste streaming diensten zijn toch gewoon unicast? Maar mijn kennis van het IGMP gebeuren is ook beperkt. Ik zal daar t.z.t. ook verder induiken, want ik heb een hoop dingen ingesteld omdat een howto dat zegt, niet omdat ik zelf ook begrijp waarom

Sowieso zie ik al dat de netwerk ranges afwijken. Veel tutorials schieten met hagel en hebben zoiets van "sta al deze netwerk ranges maar toe voor de zekerheid" terwijl maar een klein deel ervan echt in gebruik lijkt te zijn.

Uitdaging 1 was simpelweg "het moet werken"

Groot voordeel van een aparte VLAN voor de STB is wel dat ik nu heel makkelijk kan monitoren wat de STB allemaal doet en dat kan gebruiken om de boel te fine tunen. Nu ik een werkende situatie heb, kan ik die iig altijd restoren als ik hem sloop

Het grote voordeel van Opnsense vind ik wel de inzage die je in dingen hebt. Met een Draytek kreeg ik het bijvoorbeeld niet aan de praat, omdat ik het ook lastig vond om daarmee de traffic en firewall rules live te monitoren en debuggen.

Had wel syslog aanstaan naar een logserver etc, maar alsnog was dat veel onhandiger dan de live view in Opnsense die je kunt filteren. En sowieso reageert de UI van Opnsense veel sneller. Ik heb een vrij dure Draytek 2970 maar ik ervaar het als een frustrerend apparaat.

Maar goed, ik ben ook PfSense en Opnsense gewend van mijn werk. En daar draait het op beefy hardware en wordt een Dell server die "over is" gewoon als firewall gebruikt Al doe ik daar zelf vaak niet meer mee dan VPN verbindingen managen en wat firewall rules aanpassen.

Ik ben een software developer die IT taken erbij doet, niet andersom Voor het thuiswerken is het alleen wel erg handig als ik een router heb die VPN verbindingen voor mij opzet en waar ik zelf vanaf afstand ook weer bij kan. Zodat ik niet op elke computer / ip telefoon / smart phone apart met dat soort dingen moet klooien.

KPN iptv moet werken ivm de WAF factor Anders krijg ik ruzie thuis. Zelf vind ik het niet eens zo belangrijk. De app doet het ook en meestal is er toch niks op TV. Eigenlijk maakt een vrouw en kids de boel ingewikkelder dan nodig

Zelf zou ik de trapkast leeghalen en daar simpelweg een PC neerzetten, kabels trekken en klaar. Maar ja... dat wordt me niet in dank afgenomen als ik een serverhok ervan maak

Dus nu moet het qua hardware per se klein en zoveel mogelijk weggewerkt worden, terwijl dat eigenlijk niet matcht met wat ik er allemaal op wil draaien. Liefst ook eigenlijk ontwikkelomgeving met SQL Server en grote test databases. Paar TB aan storage etc.

Had het eerst op zolder staan, maar dat is inmiddels ook al een slaapkamer en een washok.

Ik wil een server hok!

In mijn oude flatje had ik een Ikea rek waar 3 PC's naast elkaar in stonden. Toen wou ik daar nog wieltjes onder plaatsen zodat ik hem makkelijk naar voren kon trekken

Maar goed, qua stroom gebruik is het handiger om met wake on lan computers alleen aan te zetten wanneer ik ze nodig heb. Dus is het splitsen van router en server handig.

PS
Probleem van mijn meterkast is dat er een warmtewisselaar van de stadsverwarming staat. Die neemt veel ruimte in en straalt ook behoorlijk wat warmte af. Daarom is de ruimte in de meterkast beperkt. En eigenlijk zou ik iets qua ventilatie moet maken.

Al vallen de temperaturen van de NUC die daar hangt tot nu toe mee. CPU schommelt tussen de 35 en 50 graden. Ik heb wel de Turbo Boost in de BIOS uitgezet. Hij trekt het nog prima zo en is stiller en koeler. Met Turbo Boost werd hij 80 graden

[ Voor 52% gewijzigd door Lethalis op 07-12-2024 09:44 ]

[nero355]

Lethalis schreef op zaterdag 7 december 2024 @ 06:36:
Uiteindelijk wil ik andere hardware waardoor ik die hele bridge niet meer nodig heb

Ik ben alleen nog een beetje huiverig ervoor om een Chinees ding te bestellen. Al zie ik ook in Duitsland wel leuke NUC's met meerdere netwerk interfaces.

Check anders gewoon of er wat leuks tweedehands tekoop staat :
- categorie: Servers
- categorie: Barebones

Zo ben ik aan mijn TopTon N5105 gekomen : € 135 inclusief verzendkosten en 16 GB RAM en 120 GB SSD van amper een half jaar oud

En laatst zag ik dat er iemand een Intel Atom 2820 NUC gewoon GRATIS had weggeven dus dat kan ook nog

Een mini ITX PC bouwen met extra netwerk interfaces is ook een optie als ik hem klein genoeg voor de meterkast kan houden.
Dan kan het ook meteen de server zijn met wat serieuzere storage.

Volgens mij waren er wat Shuttle Barebone opties van 1U waarin je ook nog eens 2 x 20 TB HDD's of zo kan toevoegen : Staat ergens in dit topic als het goed is

Lethalis schreef op zaterdag 7 december 2024 @ 08:56:
De meeste streaming diensten zijn toch gewoon unicast?

Wat ik bedoelde is dat apparaten op je netwerk ook constant Multicast verkeer versturen

- Laten we zeggen een Raspberry Pi die standaard AVAHI aanzet.
Random Linux distro op je PC/Laptop kan ook...
- Windows heeft ook het een en ander onder het motto Plug & Play Service of zoiets... Weet niet meer precies...
- Apple TV/Nvidia Shield TV/Google Chromecast doen het ook !!
- In mijn geval deed mijn printer het ook en sinds ik die mooi via een webGUI kon configureren om dat niet te doen heb ik dat ook maar gelijk gedaan en alleen reguliere protocollen ingeschakeld overgelaten
- Grote kans dat al die hippe "Home Automation" apparaten ook het een en ander doen zoals Philips Hue en Logitech Harmony Hub en "Spyware Deurbellen" en dergelijke...

Ik zal daar t.z.t. ook verder induiken, want ik heb een hoop dingen ingesteld omdat een howto dat zegt, niet omdat ik zelf ook begrijp waarom

Niks aan de hand : Doen steeds meer mensen tegenwoordig

Sowieso zie ik al dat de netwerk ranges afwijken. Veel tutorials schieten met hagel en hebben zoiets van "sta al deze netwerk ranges maar toe voor de zekerheid" terwijl maar een klein deel ervan echt in gebruik lijkt te zijn.

Komt omdat heel veel "Tutorials" niks anders zijn dan de "Hash & Rehash Generation" waarbij iedereen elkaar napraat zonder zelf eerst wat dieper erin te duiken

Het grote voordeel van Opnsense vind ik wel de inzage die je in dingen hebt. Met een Draytek kreeg ik het bijvoorbeeld niet aan de praat, omdat ik het ook lastig vond om daarmee de traffic en firewall rules live te monitoren en debuggen.

Had wel syslog aanstaan naar een logserver etc, maar alsnog was dat veel onhandiger dan de live view in Opnsense die je kunt filteren. En sowieso reageert de UI van Opnsense veel sneller. Ik heb een vrij dure Draytek 2970 maar ik ervaar het als een frustrerend apparaat.

Die Live View van OPNsense is inderdaad best wel goud waard !!!

Ik vond het alleen wel een beetje stom dat verkeer dat wordt toegelaten standaard wordt gelogged dus dat had ik al gauw uitgeschakeld

Maar goed, ik ben ook PfSense en Opnsense gewend van mijn werk.
En daar draait het op beefy hardware en wordt een Dell server die "over is" gewoon als firewall gebruikt

Gezien alle CPU lekken die er zijn geweest hopelijk een niet al te oude Server ?!

Ik ben daarom voor een relatief nieuwe SoC gegaan i.p.v. een goedkoper ouder model

KPN iptv moet werken ivm de WAF factor Anders krijg ik ruzie thuis. Zelf vind ik het niet eens zo belangrijk. De app doet het ook en meestal is er toch niks op TV. Eigenlijk maakt een vrouw en kids de boel ingewikkelder dan nodig

Dat is je eigen schuld !!!

Zelf zou ik de trapkast leeghalen en daar simpelweg een PC neerzetten, kabels trekken en klaar.
Maar ja... dat wordt me niet in dank afgenomen als ik een serverhok ervan maak

Laat haar anders al die mooie voorbeelden in Zelfbouw project: Firewall / Router / AP zien en dan vindt ze het misschien wel heel mooi of zo

Dus nu moet het qua hardware per se klein en zoveel mogelijk weggewerkt worden, terwijl dat eigenlijk niet matcht met wat ik er allemaal op wil draaien. Liefst ook eigenlijk ontwikkelomgeving met SQL Server en grote test databases. Paar TB aan storage etc.

Had het eerst op zolder staan, maar dat is inmiddels ook al een slaapkamer en een washok.

Ik wil een server hok!

Ik zie eerlijk gezegd geen kwaad in een flinke Big Tower met een zooi hardware erin die je weer via Proxmox kan segmenteren via VT-D en dergelijken, maar dat zal wel weer aan mij liggen

In mijn oude flatje had ik een Ikea rek waar 3 PC's naast elkaar in stonden.
Toen wou ik daar nog wieltjes onder plaatsen zodat ik hem makkelijk naar voren kon trekken

Was dat een Lack Rack ?!

P.S. :
Probleem van mijn meterkast is dat er een warmtewisselaar van de stadsverwarming staat. Die neemt veel ruimte in en straalt ook behoorlijk wat warmte af. Daarom is de ruimte in de meterkast beperkt.
En eigenlijk zou ik iets qua ventilatie moet maken.

Al vallen de temperaturen van de NUC die daar hangt tot nu toe mee. CPU schommelt tussen de 35 en 50 graden. Ik heb wel de Turbo Boost in de BIOS uitgezet. Hij trekt het nog prima zo en is stiller en koeler. Met Turbo Boost werd hij 80 graden

In het eerder genoemde topic zijn daar ook hele mooie oplossingen voor verzonnen, hoewel naar mijn mening een graad of 50 niet als een direkt probleem klinkt

[Lethalis]

nero355 schreef op zaterdag 7 december 2024 @ 14:14:
[...]
En laatst zag ik dat er iemand een Intel Atom 2820 NUC gewoon GRATIS had weggeven dus dat kan ook nog

Die heb ik nog liggen ergens volgens mij, maar of die voldoende performance levert voor Opnsense? Zou het wel op bare metal daarop draaien dan.

Wat ik ook niet weet - voor mijn iets modernere NUC - is hoe goed USB C ethernet adapters werken? Die zie je ook weleens in dual uitvoering etc.

Een Shuttle barebone is evt wel een idee voor een Proxmox server.

[ Voor 6% gewijzigd door Lethalis op 07-12-2024 15:11 ]

[Raven]

nero355 schreef op zaterdag 7 december 2024 @ 14:14:
- Windows heeft ook het een en ander onder het motto Plug & Play Service of zoiets... Weet niet meer precies...

Wikipedia: Universal Plug and Play (UPnP)?

[ Voor 18% gewijzigd door Raven op 07-12-2024 15:43 ]

[Gijs007]

Heb met OPNsense wireguard en een IPSec VPN's ingesteld.
Nu heb ik alleen wel een vreemd probleem, verbindingen naar het internet toe, die via de VPN verlopen, stoppen na een poosje met werken.
Als ik iets in mijn interne netwerk wil benaderen via de VPN, dan gaat dat nog wel prima. Ook als ik de VPN weer opnieuw verbindt, is dit probleem tijdelijk opgelost.
Mijn vermoede is dat NAT stopt met werken na een x periode, maar alleen voor uitgaande verbindingen vanaf een bestaande VPN sessie. Enige idee waardoor dit zou kunnen komen?

Andere vraag, is IPSec tegenwoordig beter dan Wireguard, voor moderne clients (o.a iPhones, Windows 11 laptops)? De gebruikte protocollen (AES, SHA) zitten native in het OS en maken met moderne hardware gebruik van hardware offloading.

[Tom Paris]

Lethalis schreef op zaterdag 7 december 2024 @ 15:08:
[...]
Wat ik ook niet weet - voor mijn iets modernere NUC - is hoe goed USB C ethernet adapters werken? Die zie je ook weleens in dual uitvoering etc.

Over het algemeen een slecht idee, en wordt overal afgeraden. USB adapters leveren veel CPU overhead op, wat kan leiden tot instabiele verbindingen (interrupts, drops, etc).

Voor je andere afwegingen, kijk eens naar thin clients. Bijv. Wyse 5070 Extended, Fujitsu Futro S920/S940 of HP t740. Kwalitatief hoogwaardige hardware met PCIe slot voor een NIC. Veel keuze in V&A en eBay.

[nero355]

Lethalis schreef op zaterdag 7 december 2024 @ 15:08:
Die heb ik nog liggen ergens volgens mij, maar of die voldoende performance levert voor Opnsense?
Zou het wel op bare metal daarop draaien dan.

Gezien het feit dat zo'n Atom 2820 (Vaak zit er zelfs vanwege tekorten destijds een 2830 in !!) via Samba gewoon 1 Gbps kan pompen zou een verbinding zonder PPPoE en IDS/IPS toestanden ook wel 1 Gbps aan NAT snelheid kunnen halen gok ik

Wat ik ook niet weet - voor mijn iets modernere NUC - is hoe goed USB C ethernet adapters werken? Die zie je ook weleens in dual uitvoering etc.

Zie eerder discussie daarover waarvan dit een mooie TL;DR is in feite :

Tom Paris schreef op zaterdag 7 december 2024 @ 20:45:
Over het algemeen een slecht idee, en wordt overal afgeraden.
USB adapters leveren veel CPU overhead op, wat kan leiden tot instabiele verbindingen (interrupts, drops, etc).

Voor je andere afwegingen, kijk eens naar thin clients. Bijv. Wyse 5070 Extended, Fujitsu Futro S920/S940 of HP t740. Kwalitatief hoogwaardige hardware met PCIe slot voor een NIC. Veel keuze in V&A en eBay.

Ik zag een Shuttle model en een Sophos bakkie in V&A staan samen met een shitload aan Intel NUC modellen waarvan hij effe moet uitzoeken welke Dual LAN NIC heeft of ermee uitgebreid kan worden via zo'n module onderaan in de behuizing

Raven schreef op zaterdag 7 december 2024 @ 15:42:
Wikipedia: Universal Plug and Play (UPnP)?

Het kan best zijn dat die naast Simple Service Discovery Protocol ook andere dingen doet zoals daar wordt vermeld Universal Plug and Play - AV Standards
want je hebt dus inderdaad ook nog Zero-configuration networking die ook wordt genoemd en al die dingen samen zorgen er bijvoorbeeld voor dat je automatisch Windows Shares via SMB ziet of je Versterker dan wel een DLNA Server kan benaderen zonder handmatig het een en ander te moeten doen

En dat zorgt dus allemaal voor Multicast verkeer op je netwerk :
- Universal Plug and Play - IGMP Snooping and reliability
- Zero-configuration networking - DNS-SD with Multicast
- Zero-configuration networking - DLNA
- Zero-configuration networking - Apple Bonjour
- Zero-configuration networking - AVAHI
- SystemD - mDNS and LLMNR in systemd-resolved

/Minder luie versie van wat ik eerder zei

Ik heb ooit in Windows al die zooi zitten slopen en ook weer moeten herstellen af en toe dus dit is een beetje grofweg wat ik er nog over weet...

Tegenwoordig zie ik alles uit de Windows 8.x/10/11 generatie als een soort ChromeOS zeg maar : Werkt het niet ?! Herinstalleren !!!
Dat heeft dus als gevolg dat ik er niet meer zoveel mee rommel, want voordat je het weet zit Windows te zeiken met allerlei irritante meldingen dat het weer ingeschakeld moet worden of komt er een Windows Update die het weer terugdraait om wat voor reden dan ook

Gijs007 schreef op zaterdag 7 december 2024 @ 15:59:
Heb met OPNsense wireguard en een IPSec VPN's ingesteld.
Nu heb ik alleen wel een vreemd probleem, verbindingen naar het internet toe, die via de VPN verlopen, stoppen na een poosje met werken.
Als ik iets in mijn interne netwerk wil benaderen via de VPN, dan gaat dat nog wel prima. Ook als ik de VPN weer opnieuw verbindt, is dit probleem tijdelijk opgelost.
Mijn vermoede is dat NAT stopt met werken na een x periode, maar alleen voor uitgaande verbindingen vanaf een bestaande VPN sessie.

Enige idee waardoor dit zou kunnen komen?

Ik zou denken dat je het in de NAT/Gateway/States settings moet zoeken, maar kan het mis hebben, want geen ervaring mee...

Andere vraag, is IPSec tegenwoordig beter dan Wireguard, voor moderne clients (o.a iPhones, Windows 11 laptops)? De gebruikte protocollen (AES, SHA) zitten native in het OS en maken met moderne hardware gebruik van hardware offloading.

Wireguard is veiliger dan IPSec als het goed is en qua accu toestanden hoef je het ook niet te laten, want dat is één van de grote voordelen van Wireguard ten opzichte van OpenVPN

[Lethalis]

Tom Paris schreef op zaterdag 7 december 2024 @ 20:45:
[...]
Voor je andere afwegingen, kijk eens naar thin clients. Bijv. Wyse 5070 Extended, Fujitsu Futro S920/S940 of HP t740. Kwalitatief hoogwaardige hardware met PCIe slot voor een NIC. Veel keuze in V&A en eBay.

Collega van mij gebruikt oude Dell Optiplex SFF machientjes. Is voor mij misschien ook een optie. Zie ook dat er PCIe sloten op zitten inderdaad.

Als ik daar dual NIC kaartje in stop, heb ik iig 3 ports (wan, lan en dedicated stb / iptv port). Een computer van 29 x 29 x 9 cm past nog wel in de meterkast.

[ Voor 5% gewijzigd door Lethalis op 08-12-2024 12:24 ]

[nero355]

Lethalis schreef op zondag 8 december 2024 @ 12:19:
Als ik daar dual NIC kaartje in stop, heb ik iig 3 ports (wan, lan en dedicated stb / iptv port).

Quad Port Intel NIC kan natuurlijk ook nog

[Tom Paris]

Lethalis schreef op zondag 8 december 2024 @ 12:19:
[...]

Collega van mij gebruikt oude Dell Optiplex SFF machientjes. Is voor mij misschien ook een optie. Zie ook dat er PCIe sloten op zitten inderdaad.

Als ik daar dual NIC kaartje in stop, heb ik iig 3 ports (wan, lan en dedicated stb / iptv port). Een computer van 29 x 29 x 9 cm past nog wel in de meterkast.

Nadeel van Optiplex-achtige machines is dat ze als desktop bedoeld zijn, met een 'desktop CPU' inclusief het bijbehorende verbruik. Qua performance zijn ze overkill voor een router, dus dan is het imo zonde van het stroomverbruik. Daarom ben ik wel fan van thin clients, ze zijn uitgerust met low-power CPUs die voldoende performance bieden maar wel gunstig zijn qua verbruik (en meestal passief gekoeld kunnen worden).

[Lethalis]

Tom Paris schreef op zondag 8 december 2024 @ 14:07:
[...]
Nadeel van Optiplex-achtige machines is dat ze als desktop bedoeld zijn, met een 'desktop CPU' inclusief het bijbehorende verbruik. Qua performance zijn ze overkill voor een router, dus dan is het imo zonde van het stroomverbruik. Daarom ben ik wel fan van thin clients, ze zijn uitgerust met low-power CPUs die voldoende performance bieden maar wel gunstig zijn qua verbruik (en meestal passief gekoeld kunnen worden).

Zo'n Dell Optiplex zou ik als Proxmox server inzetten en daar dan ook OPNsense op draaien. Maar er draaien dan dus ook Linux containers op met SQL Server, Nginx, mijn eigen portal (Angular en .NET backend), Nextcloud en ook mijn eigen git "server" (gewoon een Debian Linux container met bare repositories, maar vreet wel storage).

Dus het zou niet puur een router zijn.

Ik twijfel zelfs over een nieuwe Optiplex, omdat ik dan een veel snellere processor krijg, 512GB NVME en 16GB RAM. Het zou dan wel de enige computer zijn die 24/7 aan staat. Dus de rest gaat dan alleen aan on demand (wake on LAN).

Op dit moment heb ik allemaal losse apparaten die continu aan staan.

Zou ik voor een echte thin client gaan, dan zou ik alsnog een losse server ernaast hebben draaien. En hoewel ze het afraden om PfSense of OPNsense virtueel te draaien, vind ik het persoonlijk wel fijn. Je kunt dan makkelijk even een snapshot maken voordat je gaat updaten etc. Gaat er iets mis? Even rollbacken en het zal wel.

Ter vergelijking: ik heb gisteren nog een oude Netgate SG-1100 uit een kast getrokken om te kijken of dat nog een optie was. Die liep 3 jaar achter met zijn updates uiteraard. Dus ik updaten, rebooten en ... niks. Dood. USB serial console er aangehangen en met PuTTY gekeken wat er aan de hand was, bleek ik in de bootloader te zitten. Voer ik "reboot" uit dan krijg ik allemaal foutmeldingen.

In het beste geval is de install corrupt, in het slechtste geval heeft de MMC het begeven.

Een gewone PC geeft mij wat meer het vertrouwen dat ik dingen zelf kan fixen. Ik woon op 10 minuten rijden van Informatique, dus even snel een nieuwe NVME halen is bijvoorbeeld zo gebeurd. Terwijl ik vaak bij andere apparatuur al gauw denk van "it's bricked".

En ja, dan ben ik misschien geen echte Tweaker, ik heb niet eens een soldeerbout Maar goed, op echte PC hardware voel ik mij wel thuis en zelf een PC bouwen / onderdelen vervangen is geen probleem. Ik heb wel torx schroevendraaiers, voor als laptops uit elkaar moeten Ooit aangeschaft omdat ik de storage in een Mac Mini 2012 zelf heb vervangen. Dat vind ik al gepiel, maar lukt nog. In mijn oude laptop heb ik ook de wifi module vervangen bijvoorbeeld. Maar dat is al zweten

PS
Tuurlijk voor die prijs zou ik ook altijd een reserve Netgate apparaatje achter de hand kunnen houden, als je het puur financieel bekijkt. Maar het is ook hobby... ik vind OPNsense wel mooi, ook met het donkere cicada theme. En alles reageert lekker vlot, dus een beetje overkill kan geen kwaad.

Het draait momenteel trouwens op een NUC8i5BEK. Core i5 8250U, 8GB RAM en 64GB SSD. Qua performance eigenlijk prima, maar ja... kunnen geen netwerk interfaces bij, dus ik laat alles via een smart switch lopen. En op zich werkt dat heel goed moet ik zeggen.

Gevoelsmatig wil ik nu graag andere hardware... aan de andere kant draait het nu eigenlijk prima Het is alleen een relatief complexe setup geworden die ik goed moet documenteren. Met andere hardware zou ik het wat kunnen vereenvoudigen.

But it works. En 9W stroomverbruik overigens.

[ Voor 16% gewijzigd door Lethalis op 08-12-2024 15:09 ]

[Raven]

nero355 schreef op zondag 8 december 2024 @ 12:09:
[...]

Gezien het feit dat zo'n Atom 2820 (Vaak zit er zelfs vanwege tekorten destijds een 2830 in !!) via Samba gewoon 1 Gbps kan pompen zou een verbinding zonder PPPoE en IDS/IPS toestanden ook wel 1 Gbps aan NAT snelheid kunnen halen gok ik

Als een Atom N270 een gigabit verbinding kan dichttrekken (router-pc v1), dan zal een (Celeron?) N2820 dat ook wel kunnen

[Lethalis]

nero355 schreef op zondag 8 december 2024 @ 12:09:
[...]
Gezien het feit dat zo'n Atom 2820 (Vaak zit er zelfs vanwege tekorten destijds een 2830 in !!) via Samba gewoon 1 Gbps kan pompen zou een verbinding zonder PPPoE en IDS/IPS toestanden ook wel 1 Gbps aan NAT snelheid kunnen halen gok ik

Ik heb wel PPPoE En gebruik OpenVPN.

Maar goed, het draait nu op een Core i5 8259U (NUC8i5BEK) en dat draait allemaal lekker vlot.

Upgraden naar een compacte desktop PC met extra NIC's zou ik vooral doen, omdat:
1. Het meer ruimte geeft om dingen op Proxmox te draaien (homelab).
2. Extra NIC's de configuratie vereenvoudigen, omdat ik het niet via de smart switch hoef te doen. Bij issues kun je de kabels dan ook simpelweg overprikken naar de Experiabox. Dat kan nu ook, maar moet ik ff goed opletten welke ports ik gebruik ivm de VLAN's die zijn geconfigureerd

Aan de andere kant moet ik misschien ff niks doen en de boel even laten draaien. De NUC trekt het prima, zelfs met Turbo Boost uit. Upgraden kan altijd nog. Maar een systeem met dedicated NIC's is uiteindelijk minder complex qua configuratie en misschien minder storingsgevoelig.

Maar dat is vooral mijn gevoel erbij. In principe werkt een one armed router prima. Sowieso heb ik maar een 100 mbit internetverbinding (glasvezel, up en down). Daar haal ik overigens 125 mbit over Ook over OpenVPN (en dat kan wel een CPU hog zijn).

PS
Ik zou die oude Celeron NUC natuurlijk wel als backup OPNsense kunnen inrichten. Mocht de i5 NUC om wat voor reden dan ook besluiten niet meer te werken.

[ Voor 6% gewijzigd door Lethalis op 09-12-2024 07:23 ]

[nero355]

Tom Paris schreef op zondag 8 december 2024 @ 14:07:
Nadeel van Optiplex-achtige machines is dat ze als desktop bedoeld zijn, met een 'desktop CPU' inclusief het bijbehorende verbruik.

Hangt IMHO af van de belasting, want ook Desktop modellen zijn bij "Bijna IDLE Loads" behoorlijk zuinig tegenwoordig als het goed is

Dit zou voor mij veel belangrijker zijn :

Daarom ben ik wel fan van thin clients, ze zijn uitgerust met low-power CPUs die voldoende performance bieden maar wel gunstig zijn qua verbruik (en meestal passief gekoeld kunnen worden).

Ik wil geen herrie in de meterkast/op de gang

Qua performance zijn ze overkill voor een router, dus dan is het imo zonde van het stroomverbruik.

Iets met PPPoE en IDS/IPS en oude posts met een configuratie die een i3 9100/9300 of zo had

[RobertMe]

nero355 schreef op maandag 9 december 2024 @ 14:21:
[...]

Hangt IMHO af van de belasting, want ook Desktop modellen zijn bij "Bijna IDLE Loads" behoorlijk zuinig tegenwoordig als het goed is

Zeker tegenwoordig bij Intel met de E en P cores. Als je zaken dan ook nog cores koppelt (geen idee of dat kan met kernel zaken zoals IP forwarding) en dan dus aan de E cores kan zuinig zeker. In het "zuinige thuiserver" topic komen ook gewoon systemen met moderne i7 processoren langs die minder dan 5W verbruiken (in combinatie met een moederbord van Kontron en een PicoPSU en dus geen ATX voeding maar met een 12V powerbrick van minder dan 100W).

[Tom Paris]

RobertMe schreef op maandag 9 december 2024 @ 15:16:
[...]

Zeker tegenwoordig bij Intel met de E en P cores. Als je zaken dan ook nog cores koppelt (geen idee of dat kan met kernel zaken zoals IP forwarding) en dan dus aan de E cores kan zuinig zeker. In het "zuinige thuiserver" topic komen ook gewoon systemen met moderne i7 processoren langs die minder dan 5W verbruiken (in combinatie met een moederbord van Kontron en een PicoPSU en dus geen ATX voeding maar met een 12V powerbrick van minder dan 100W).

Afaik is de scheduler van BSD nog niet 'aware' van de P en E cores. Je zult handmatig cores moeten pinnen, maar het OS kan niet zelf schakelen tussen idle en power. Linux idd wel, dus je zult dan moeten virtualiseren om dat lage verbruik te behalen.

[Lethalis]

nero355 schreef op maandag 9 december 2024 @ 14:21:
[...]
Dit zou voor mij veel belangrijker zijn :

Ik wil geen herrie in de meterkast/op de gang

Daar is mijn huidige Intel NUC gevoeliger voor dan een kleine desktop PC vermoed ik. Een Dell Optiplex SFF heeft toch wat grotere fans dan het laptop fannetje dat in een NUC zit en snel verstopt kan raken. Bovendien kun je aan een SFF PC nog wel het e.e.a. knutselen, zoals de fans vervangen door stillere.

Voor de rest komt er sowieso herrie uit mijn meterkast. In de warmteafleverset van de stadswarmte zit een pomp die aanspringt, zeker nu de verwarming wat vaker aan gaat. Is dan gezellig aan het brommen de hele tijd.

[nero355]

Lethalis schreef op maandag 9 december 2024 @ 16:42:
Daar is mijn huidige Intel NUC gevoeliger voor dan een kleine desktop PC vermoed ik.

Bij de eerder genoemde Intel NUC 2820FYKH vond ik het opzich wel meevallen en heb ik hem in de tijd dat ik hem veel gebruikte nog nooit moeten schoonmaken

Een Dell Optiplex SFF heeft toch wat grotere fans dan het laptop fannetje dat in een NUC zit en snel verstopt kan raken.
Bovendien kun je aan een SFF PC nog wel het e.e.a. knutselen, zoals de fans vervangen door stillere.

Dat dan weer wel

Voor de rest komt er sowieso herrie uit mijn meterkast.
In de warmteafleverset van de stadswarmte zit een pomp die aanspringt, zeker nu de verwarming wat vaker aan gaat. Is dan gezellig aan het brommen de hele tijd.

Mja, herrie tot een bepaalde hoogte dan... "Stofzuiger fans" en zo... Je weet wel wat ik bedoel...

[tomdh76]

Ik zou graag advies willen over een goede hardware backup voor mijn virtuel OPNsense setup. Deze heb ik draaien op een proxmox server maar vorige week was de hardware / moederbord kapot waardoor alles plat ligt. Gelukkig had ik nog ergens een andere pc waarop ik proxmox kon installeren maar downtime was wel een dag.

Voor het hele virtuele OPNsense gebeuren gebruikte ik een edgerouter 4 die verder ook prima was maar al een jaar stof aan het happen is.

De Edgerouter is natuurlijk totaal anders om in te stellen wat betreft vlans / firewall. Lastig dus om even vanaf OPNsense te kopieren. Wat ik me ook af vraag of als ik de egderouter in plug alle apparaten deze weten te vinden als ik hem hetzelfde ip adres geef als de OPNsense. Hoe zit het met apparaten waarbij ik in het apparaat een statisch ip heb gegeven? Moet ik de edgerouter hetzelfde mac address geven als de opnsense?

Mijn switches zijn allemaal van unifi en als ik het goed heb begrepen zijn dit layer 3 apparaten die ip de routing van de devices de goede kant op moeten sturen?

Of zou jullie advies zijn; gooi edgerouter weg en koop een goedkoop klein opnsense bakje (suggesties) waarbij je makkelijk de config heen kan restoren

[stormfly]

tomdh76 schreef op dinsdag 24 december 2024 @ 12:36:
Ik zou graag advies willen over een goede hardware backup voor mijn virtuel OPNsense setup. Deze heb ik draaien op een proxmox server maar vorige week was de hardware / moederbord kapot waardoor alles plat ligt. Gelukkig had ik nog ergens een andere pc waarop ik proxmox kon installeren maar downtime was wel een dag.

Voor het hele virtuele OPNsense gebeuren gebruikte ik een edgerouter 4 die verder ook prima was maar al een jaar stof aan het happen is.

De Edgerouter is natuurlijk totaal anders om in te stellen wat betreft vlans / firewall. Lastig dus om even vanaf OPNsense te kopieren. Wat ik me ook af vraag of als ik de egderouter in plug alle apparaten deze weten te vinden als ik hem hetzelfde ip adres geef als de OPNsense. Hoe zit het met apparaten waarbij ik in het apparaat een statisch ip heb gegeven? Moet ik de edgerouter hetzelfde mac address geven als de opnsense?

Mijn switches zijn allemaal van unifi en als ik het goed heb begrepen zijn dit layer 3 apparaten die ip de routing van de devices de goede kant op moeten sturen?

Of zou jullie advies zijn; gooi edgerouter weg en koop een goedkoop klein opnsense bakje (suggesties) waarbij je makkelijk de config heen kan restoren

Waarom koop je niet een UniFi router en beheer je alles uit één dashboard?

Welke optie in OPNsense gebruik je specifiek waardoor je dat wilt behouden?

Op basis van je vragen over MAC en IP schat ik je niet in als iemand die dagelijks met netwerken bezig is, waarom dan onnodig complex maken? Nee alleen het gateway IP moet hetzelfde zijn, niet het MAC adres.

[ Voor 6% gewijzigd door stormfly op 24-12-2024 12:58 ]

[tomdh76]

stormfly schreef op dinsdag 24 december 2024 @ 12:56:
[...]


Waarom koop je niet een UniFi router en beheer je alles uit één dashboard?

Welke optie in OPNsense gebruik je specifiek waardoor je dat wilt behouden?

Op basis van je vragen over MAC en IP schat ik je niet in als iemand die dagelijks met netwerken bezig is, waarom dan onnodig complex maken? Nee alleen het gateway IP moet hetzelfde zijn, niet het MAC adres.

Nee ik ben geen ITer dus het is een pure hobby. Dank voor je opmerking over gateway ip. Ik vroeg me gewoon af hoe de apparaten de weg vinden naar een nieuwe router op 192.168.2.1. Als de switch het ene moment 192.168.2.1 op poort 13 heeft en dan het volgende moment op poort 1 dacht ik dat ik nog wel iets extra moest instellen. Het lukte in ieder geval niet echt goed op een KPN box aan te sluiten op poort 1 met ip adres 192.168.2.1

Ik gebruik in OPNsense happroxy en wireguard. Uiteraard kan dat ook anders geregeld worden als ik een unifi router koop. Maar goed een unifi router kan ook kapot. Dan zou ik dus twee unifi routers moeten kopen als hardware backup. Ik heb nu een prima functionerend systeem dus hoef ik maar 1 hardware router backup te hebben

[Tribunus]

Ik ga binnenkort verhuizen en wil dan mijn netwerk grondig aanpakken, wat heb ik nu:
- Fortigate 60F zonder licenties (via het werk)
- Palo Alto PA-440 lab licentie (via het werk)
- HP 1810-24 poort zonder PoE
- Netgear Prosafe GS510
- Aruba AP-505 x3
- NUC met esx (HA, Plex etc)
- Synology NAS 9xx serie (storage voor plex, en zaken als radarr etc)
- Synology NAS 2xx serie (voor de backups van de 9xx serie, foto's e.d.)

Ik heb het geluk dat ik de mogelijkheid heb om diverse enterprise merken in mijn woning te hebben, uiteraard in bruikleen. Daar wil ik van af. Alle bruikleen spullen moeten er uit. Dat zijn de firewalls en de switches.

Ik zit nu te kijken naar OPNsense als software voor de firewall, die dan gekoppeld wordt op een Ziggo modem. Al dan niet in bridge, daar ben ik nog niet uit (nu ook meerdere firewalls in gebruik achter NAT voor diverse doeleinden)

Wat betreft switches, daar ben ik zelf nog niet helemaal uit. Ik verwacht dat het ubiquity of aruba oid wordt. Dat is qua functies etc wel goed uit te zoeken en het hoeft niet persee onder 1 paraplu te vallen voor management doeleinden. Voor mij is het qua (W)LAN set and forget. En de aruba AP's zijn nog prima.

Ik heb alleen wel hardware nodig voor OPNsense. Ik wil dat liever niet op de NUC installeren maar echt een apart stukje hardware hiervoor aanschaffen. Wat zijn de wensen \ eisen:
- Minimaal 2 poorten (LAN/WAN)
- Doorvoer snelheid 1G up en down maar 2,5G is wellicht handig ivm toekomst
- Budget ca 300 euro?

Nu lees ik veel over het aanschaffen van een N100, en ook weer veel dat je het niet moet doen. Ik lees mensen die hardware kopen bij Alie, en het werkt prima, maar andere zeggen weer niet doen.. Dat maakt mijn twijfel alleen maar groter. Het moet wel stabiel zijn. Maar de prijs van de hardware die OPNsense vraag vind ik wel weer wat aan de hoge kant. Ik wil liever een barebone waar ik niet al te veel zelf aan hoef te doen a een NUC bijvoorbeeld.

Opties:
Protectli (Maar welke versie dan (in ieder geval 4 poorten voor toekomstige uitbreiding) kan met OPNsense preinstalled
CW-X86-P5(N100) (iemand hier ervaring mee? Volgens mij wel chinese makelarij)

En nog veel meer varianten die ik hier voorbij heb zien komen. Ik zie door de bomen het bos niet meer in ieder geval
Wie kan mij adviseren wat betreft dat stukje hardware wat ik nodig heb

[ikke26]

@Tribunus Ik heb zelf ook mijn twijfels bij willekeurige Chinese kastjes en heb meer vertrouwen in gebruikte enterprise hardware. Daarom heb ik een Lenovo M720q van marktplaats gehaald en daar een low-profile unlocked Intel X710-DA4 kaart ingebouwd als router. Die is met een Zaram SFP+ module direct aangesloten op de glasvezelprovider en met een DAC kabel op een switch. Daarnaast zijn mijn NAS en workstation ermee aangesloten op 10 gbit.

Ik gebruik momenteel de HP JG924A 24-poorts managed gigabit switch voor al het overige in huis. Die switch is managed, passief gekoeld, zuinig (7W) en heb ik op marktplaats voor zo'n €25,- kunnen oppikken.

Die switches zijn zo goedkoop omdat HP de software niet meer ondersteunt. Dat vond ik prima want je kunt er OpenWRT op flashen.

[jvanhambelgium]

>Ik heb alleen wel hardware nodig voor OPNsense. Ik wil dat liever niet op de NUC installeren maar echt een >apart stukje hardware hiervoor aanschaffen. Wat zijn de wensen \ eisen:
>- Minimaal 2 poorten (LAN/WAN)
>- Doorvoer snelheid 1G up en down maar 2,5G is wellicht handig ivm toekomst
>- Budget ca 300 euro?

Mikrotik RB5009 ?
Is wel niet zelfbouw qua hardware ;-) maar wel flexibeler dan een Zwitsers zakmes.

[stormfly]

tomdh76 schreef op dinsdag 24 december 2024 @ 14:57:
[...]


Nee ik ben geen ITer dus het is een pure hobby. Dank voor je opmerking over gateway ip. Ik vroeg me gewoon af hoe de apparaten de weg vinden naar een nieuwe router op 192.168.2.1. Als de switch het ene moment 192.168.2.1 op poort 13 heeft en dan het volgende moment op poort 1 dacht ik dat ik nog wel iets extra moest instellen. Het lukte in ieder geval niet echt goed op een KPN box aan te sluiten op poort 1 met ip adres 192.168.2.1

Dat lost ARP op. ARP is een stateloos protocol, wat betekent dat het geen tabel bijhoudt waarin IP- en MAC-adressen aan elkaar worden gekoppeld. Telkens wanneer een apparaat met een ander apparaat op het netwerk moet communiceren, stuurt het een ARP-verzoek om het MAC-adres van het andere apparaat op te lossen.

Ik gebruik in OPNsense happroxy en wireguard. Uiteraard kan dat ook anders geregeld worden als ik een unifi router koop. Maar goed een unifi router kan ook kapot. Dan zou ik dus twee unifi routers moeten kopen als hardware backup. Ik heb nu een prima functionerend systeem dus hoef ik maar 1 hardware router backup te hebben

Ik heb jaren lang een voor geconfigureerde ER-X op de plank gehad, hij was voorzien van alle VLANs en de juiste WAN configuratie maar zonder LAN firewall rules, dan heb je in een paar minuten weer internet. Omdat FW rules niet bij te houden zijn voor een cold spare van een andere vendor. Heb ik voor lief genomen dat ik dat dan zou moeten herstellen.

[ Voor 12% gewijzigd door stormfly op 24-12-2024 16:01 ]

[RobertMe]

stormfly schreef op dinsdag 24 december 2024 @ 15:51:
[...]


Dat lost ARP op. ARP is een stateloos protocol, wat betekent dat het geen tabel bijhoudt waarin IP- en MAC-adressen aan elkaar worden gekoppeld. Telkens wanneer een apparaat met een ander apparaat op het netwerk moet communiceren, stuurt het een ARP-verzoek om het MAC-adres van het andere apparaat op te lossen.

ARP als protocol is wellicht wel stateless, maar apparaten op het netwerk houden wel een cache bij van IP adres - MAC adres, het ARP cache. Dus als er een ander apparaat op het netwerk verschijnt met hetzelfde IP adres maar ander MAC adres zal eerst de oude regel uit die tabel moeten geraken (gokje: als er geen verkeer terug komt op het bekende MAC doet het OS automatisch een nieuwe ARP aanvraag?).

Zelfde bij netwerk switches, die houden ook bij op welke poort zich een MAC adres bevindt, zodat niet elk pakket op elke poort gedupliceerd hoeft te worden (dan was het een hub en geen switch ). En ook daar dus "als je een apparaat op andere poort aansluit" zal het mogelijk even duren (milliseconden? Seconden?) voordat al dan niet die tabel is bijgewerkt en de switch weet dat het MAC adres naar een andere poort is verplaatst.

[stormfly]

RobertMe schreef op dinsdag 24 december 2024 @ 16:55:
[...]

ARP als protocol is wellicht wel stateless, maar apparaten op het netwerk houden wel een cache bij van IP adres - MAC adres, het ARP cache. Dus als er een ander apparaat op het netwerk verschijnt met hetzelfde IP adres maar ander MAC adres zal eerst de oude regel uit die tabel moeten geraken (gokje: als er geen verkeer terug komt op het bekende MAC doet het OS automatisch een nieuwe ARP aanvraag?).

Zelfde bij netwerk switches, die houden ook bij op welke poort zich een MAC adres bevindt, zodat niet elk pakket op elke poort gedupliceerd hoeft te worden (dan was het een hub en geen switch ). En ook daar dus "als je een apparaat op andere poort aansluit" zal het mogelijk even duren (milliseconden? Seconden?) voordat al dan niet die tabel is bijgewerkt en de switch weet dat het MAC adres naar een andere poort is verplaatst.

Klopt!

Een switch zal flooden bij een onbekend MAC adres over alle porten en daarna de port waar het MAC achter zit opslaan.

[Tribunus]

ikke26 schreef op dinsdag 24 december 2024 @ 15:31:
@Tribunus Ik heb zelf ook mijn twijfels bij willekeurige Chinese kastjes en heb meer vertrouwen in gebruikte enterprise hardware. Daarom heb ik een Lenovo M720q van marktplaats gehaald en daar een low-profile unlocked Intel X710-DA4 kaart ingebouwd als router. Die is met een Zaram SFP+ module direct aangesloten op de glasvezelprovider en met een DAC kabel op een switch. Daarnaast zijn mijn NAS en workstation ermee aangesloten op 10 gbit.

Ik gebruik momenteel de HP JG924A 24-poorts managed gigabit switch voor al het overige in huis. Die switch is managed, passief gekoeld, zuinig (7W) en heb ik op marktplaats voor zo'n €25,- kunnen oppikken.

Die switches zijn zo goedkoop omdat HP de software niet meer ondersteunt. Dat vond ik prima want je kunt er OpenWRT op flashen.

En dit is mij dan weer te veel werk 😅. Ik ben echt op zoek naar iets wat meer kant en klaar is. Ik verwacht dat ik voor een protectli ga oid, wel wat duurder maar wel een stukje minder complexiteit.

jvanhambelgium schreef op dinsdag 24 december 2024 @ 15:33:
>Ik heb alleen wel hardware nodig voor OPNsense. Ik wil dat liever niet op de NUC installeren maar echt een >apart stukje hardware hiervoor aanschaffen. Wat zijn de wensen \ eisen:
>- Minimaal 2 poorten (LAN/WAN)
>- Doorvoer snelheid 1G up en down maar 2,5G is wellicht handig ivm toekomst
>- Budget ca 300 euro?

Mikrotik RB5009 ?
Is wel niet zelfbouw qua hardware ;-) maar wel flexibeler dan een Zwitsers zakmes.

Mikrotik blijf ik ver weg van. Die software kan ik echt helemaal niets mee, half jaar geprobeerd maar is helemaal niets voor mij 😉

[Lethalis]

tomdh76 schreef op dinsdag 24 december 2024 @ 12:36:
Ik zou graag advies willen over een goede hardware backup voor mijn virtuel OPNsense setup. Deze heb ik draaien op een proxmox server maar vorige week was de hardware / moederbord kapot waardoor alles plat ligt.

Ik heb mijn OPNsense simpelweg dezelfde LAN en DHCP range als de KPN router gegeven. Mocht de hele Proxmox met OPNsense overlijden dan kan ik altijd de KPN router weer aansluiten.

Sterker nog, ik heb hem laten hangen. Hoef alleen maar de kabels om te prikken. Tuurlijk raak ik dan de VPN server kwijt en de extra features die ik gebruik, maar hebben we iig internet.

Ook handig als er een storing bij KPN is. Dan hoef ik niet op zolder te zoeken waar ik hem in vredesnaam gelaten heb. Been there, done that

[ Voor 9% gewijzigd door Lethalis op 25-12-2024 10:29 ]

[mrdemc]

Tribunus schreef op dinsdag 24 december 2024 @ 21:11:
[...]


En dit is mij dan weer te veel werk 😅. Ik ben echt op zoek naar iets wat meer kant en klaar is. Ik verwacht dat ik voor een protectli ga oid, wel wat duurder maar wel een stukje minder complexiteit.


[...]


Mikrotik blijf ik ver weg van. Die software kan ik echt helemaal niets mee, half jaar geprobeerd maar is helemaal niets voor mij 😉

Als je wilt gaan voor simpel kun je natuurlijk ook de makers van OPNSense direct steunen door je hardware bij hun te halen
https://shop.opnsense.com...sktop-security-appliance/

Zelf heb ik de DEC740

[Tribunus]

mrdemc schreef op woensdag 25 december 2024 @ 12:16:
[...]


Als je wilt gaan voor simpel kun je natuurlijk ook de makers van OPNSense direct steunen door je hardware bij hun te halen
https://shop.opnsense.com...sktop-security-appliance/

Zelf heb ik de DEC740

Heb ik inderdaad ook aan gedacht maar die prijzen zijn wel fors vergeleken met andere hardware die je voor 300,- ook kan aanschaffen. Vind ik een enorm verschil.

[Tribunus]

Welke netwerkkaart kan je nu het beste kopen voor een m720q?
Liefst 4x 2,5G interfaces. De riser heb ik al wel via diverse posts kunnen vinden hier

[Tom Paris]

tomdh76 schreef op dinsdag 24 december 2024 @ 12:36:
Ik zou graag advies willen over een goede hardware backup voor mijn virtuel OPNsense setup. Deze heb ik draaien op een proxmox server maar vorige week was de hardware / moederbord kapot waardoor alles plat ligt. Gelukkig had ik nog ergens een andere pc waarop ik proxmox kon installeren maar downtime was wel een dag.

Voor het hele virtuele OPNsense gebeuren gebruikte ik een edgerouter 4 die verder ook prima was maar al een jaar stof aan het happen is.

Als je echt een 'cold spare' wil: flash OpenWrt op je Edgerouter 4, en maak een barebones config waarmee je snel kunt ompluggen en basic internet hebt totdat je je OPNsense machine weer up and running hebt.

ikke26 schreef op dinsdag 24 december 2024 @ 15:31:
Ik heb zelf ook mijn twijfels bij willekeurige Chinese kastjes en heb meer vertrouwen in gebruikte enterprise hardware. Daarom heb ik een Lenovo M720q van marktplaats gehaald

Dan zou ik maar niet opzoeken waar Lenovo vandaan komt

Tribunus schreef op dinsdag 24 december 2024 @ 14:58:
Ik heb alleen wel hardware nodig voor OPNsense. Ik wil dat liever niet op de NUC installeren maar echt een apart stukje hardware hiervoor aanschaffen. Wat zijn de wensen \ eisen:
- Minimaal 2 poorten (LAN/WAN)
- Doorvoer snelheid 1G up en down maar 2,5G is wellicht handig ivm toekomst
- Budget ca 300 euro?

Als je een meer mainstream merk zoekt dan wat je op Ali vindt, zijn Asus en Shuttle goede opties

[The Zep Man]

ikke26 schreef op dinsdag 24 december 2024 @ 15:31:
@Tribunus Ik heb zelf ook mijn twijfels bij willekeurige Chinese kastjes en heb meer vertrouwen in gebruikte enterprise hardware.
(...)
Die switches zijn zo goedkoop omdat HP de software niet meer ondersteunt. Dat vond ik prima want je kunt er OpenWRT op flashen.

Daarom maak ik mij niet zo druk om Chinese hardware. Daar gooi ik toch zelf iets van OPNsense of OpenWRT op. Zonder dat gebruik ik geen hardware (OEM of van de "gevestigde merken").

Aan die OEM x86 routers zonder bewegende onderdelen uit China kan weinig kapot gaan. Een weekje proefdraaien, daarna in gebruik nemen en een reserveunit op de plank. Werkt prima.

[nero355]

Tribunus schreef op dinsdag 24 december 2024 @ 14:58:
- HP 1810-24 poort zonder PoE

Wat betreft switches, daar ben ik zelf nog niet helemaal uit. Ik verwacht dat het ubiquity of aruba oid wordt.
Dat is qua functies etc wel goed uit te zoeken en het hoeft niet persee onder 1 paraplu te vallen voor management doeleinden.

Die HP(E) Switch kan je natuurlijk ook wel ergens goedkoop scoren, desnoods tweedehands

Er is een Aruba 16-poorts Switch met 120 Watt PoE+ capaciteit voor onder de € 300 tekoop en gaat misschien ooit mijn Ubiquiti PoE+ Switch vervangen als de voeding daarvan overlijdt zoals al bij heel veel mensen is gebeurd dus kijk daar eens naar als je ook gelijk PoE/PoE+ wilt hebben.

Nu lees ik veel over het aanschaffen van een N100, en ook weer veel dat je het niet moet doen.
Ik lees mensen die hardware kopen bij Alie, en het werkt prima, maar andere zeggen weer niet doen...

Dat maakt mijn twijfel alleen maar groter. Het moet wel stabiel zijn.

IMHO is daar 0,0 reden voor en moet je alleen een leuke deal zien te scoren van rond de € 115 voor puur en alleen de Barebone met de juiste behuizing

Maar de prijs van de hardware die OPNsense vraag vind ik wel weer wat aan de hoge kant.

Dat vind ik ook bij zowel pfSense als OPNsense modellen, maar het punt is wel dat je dan ook support en garantie vanuit hun bedrijf krijgt en dus ook gelijk van het licentie gezeik af bent als ik het goed heb onthouden

mrdemc schreef op woensdag 25 december 2024 @ 12:16:
Als je wilt gaan voor simpel kun je natuurlijk ook de makers van OPNSense direct steunen door je hardware bij hun te halen

https://shop.opnsense.com...sktop-security-appliance/

Zelf heb ik de DEC740

Daarnaast vind ik de hardware/chips/SoC's die worden gebruikt en de vaak actieve koeling bij de wat betere modellen ook niet echt tof trouwens

[Villager]

Ik heb vandaag wat met m'n netwerkkabels gedaan en kwam er even later achter dat igmp-proxy in OPNsense gestopt was. De OPNsense plugin voor Home Assistant had vroeger een entity die de status van het IGMP proces weergaf. Daar had een ik Node-Red flow voor gebouwd zodat ik kon monitoren dat het proces niet draaide en dan startte ik het opnieuw. Deze IGMP status zit helaas niet meer in de OPNsense pluging voor HA.
Ik heb zojuist even gezocht naar andere oplossingen om het IGMP proxy proces te monitoren, maar kan niks vinden. In m'n zoektocht kwam ik wel iets tegen wat mogelijk een oplossing voor dit probleem kan zijn. Maar daar heb ik dan even wat hulp bij nodig van iemand die handig is in het schrijven van bash scripts.
Er is namelijk een commando waarmee je kan zien of het proces aanwezig is: /usr/local/sbin/pluginctl -s |grep 'igmpproxy'. Het zou volgens mij mogelijk moeten zijn om een script te schrijven die je periodiek via cron laat draaien, checkt of igmp-proxy nog draait en zo niet deze week kan opstarten met "pluginctl -s igmpproxy restart". Als m'n aanname klopt, kan iemand helpen met het bash script?

[CrankyGamerOG]

Villager schreef op donderdag 2 januari 2025 @ 19:55:
Ik heb vandaag wat met m'n netwerkkabels gedaan en kwam er even later achter dat igmp-proxy in OPNsense gestopt was. De OPNsense plugin voor Home Assistant had vroeger een entity die de status van het IGMP proces weergaf. Daar had een ik Node-Red flow voor gebouwd zodat ik kon monitoren dat het proces niet draaide en dan startte ik het opnieuw. Deze IGMP status zit helaas niet meer in de OPNsense pluging voor HA.
Ik heb zojuist even gezocht naar andere oplossingen om het IGMP proxy proces te monitoren, maar kan niks vinden. In m'n zoektocht kwam ik wel iets tegen wat mogelijk een oplossing voor dit probleem kan zijn. Maar daar heb ik dan even wat hulp bij nodig van iemand die handig is in het schrijven van bash scripts.
Er is namelijk een commando waarmee je kan zien of het proces aanwezig is: /usr/local/sbin/pluginctl -s |grep 'igmpproxy'. Het zou volgens mij mogelijk moeten zijn om een script te schrijven die je periodiek via cron laat draaien, checkt of igmp-proxy nog draait en zo niet deze week kan opstarten met "pluginctl -s igmpproxy restart". Als m'n aanname klopt, kan iemand helpen met het bash script?

code:

#!/bin/bash

# Controleer of igmpproxy draait
if ! pgrep -x "igmpproxy" > /dev/null; then
    echo "igmpproxy draait niet. Starten..."
    # Start igmpproxy
    sudo systemctl start igmpproxy
    if [ $? -eq 0 ]; then
        echo "igmpproxy is succesvol gestart."
    else
        echo "Er is een fout opgetreden bij het starten van igmpproxy."
    fi
else
    echo "igmpproxy draait al."
fi

Maar eerlijk, je leert meer door zelf tutorials op te zoeken. Deze zal sws niet 1op1 werken in opnsense
Dus hieronder 1 aangepast op opnsense

code:

#!/bin/bash

# Controleer of igmpproxy draait
if ! ps aux | grep -v grep | grep -q "igmpproxy"; then
    echo "igmpproxy draait niet. Starten..."
    # Start igmpproxy via de service manager van OPNsense
    sudo service igmpproxy start
    if [ $? -eq 0 ]; then
        echo "igmpproxy is succesvol gestart."
    else
        echo "Er is een fout opgetreden bij het starten van igmpproxy."
    fi
else
    echo "igmpproxy draait al."
fi

[ Voor 13% gewijzigd door CrankyGamerOG op 02-01-2025 19:59 ]

[Villager]

CrankyGamerOG schreef op donderdag 2 januari 2025 @ 19:58:
[...]

code:

#!/bin/bash

# Controleer of igmpproxy draait
if ! pgrep -x "igmpproxy" > /dev/null; then
    echo "igmpproxy draait niet. Starten..."
    # Start igmpproxy
    sudo systemctl start igmpproxy
    if [ $? -eq 0 ]; then
        echo "igmpproxy is succesvol gestart."
    else
        echo "Er is een fout opgetreden bij het starten van igmpproxy."
    fi
else
    echo "igmpproxy draait al."
fi

Maar eerlijk, je leert meer door zelf tutorials op te zoeken. Deze zal sws niet 1op1 werken in opnsense
Dus hieronder 1 aangepast op opnsense

code:

#!/bin/bash

# Controleer of igmpproxy draait
if ! ps aux | grep -v grep | grep -q "igmpproxy"; then
    echo "igmpproxy draait niet. Starten..."
    # Start igmpproxy via de service manager van OPNsense
    sudo service igmpproxy start
    if [ $? -eq 0 ]; then
        echo "igmpproxy is succesvol gestart."
    else
        echo "Er is een fout opgetreden bij het starten van igmpproxy."
    fi
else
    echo "igmpproxy draait al."
fi

Dank voor de supersnelle reactie! Ik ga 'm zo even proberen. Klopt dat je meer leert door zelf aan de slag te gaan en dat is ook meestal wat ik doe. Sorry dat ik nu even de makkelijke weg heb gekozen. Zal t niet meer doen
Super bedankt hiervoor!

[1ER]

Ik volg dit topic nu al een tijdje en verbaas mij er over dat eigenlijk niemand gebruik maakt van een van de home editions van Sophos. Ik gebruik al jaren UTM9 maar begin nu tegen de limiet aan te lopen van 50 ip adressen. Overstappen naar XG houd me tegen omdat ik IPv6 niet werkend krijg op een KPN glas lijn. Dit werkt op de UTM9 wel. Wat zouden jullie mij adviseren?

[Xilvaro]

Ik gebruik al jaren Sophos Home, eerst UTM en nu al een jaartje XG

Enig verschil is dat ik Sophos Home daadwerkelijk op Sophos hardware draai Een XG135 Rev2 om precies te zijn.

Destijds de overstap gemaakt naar XG in verband met het IP limiet, net als jij. Ik gebruik alleen geen IPv6 en bij mijn weten werkt dat binnen XG prima.

[ Voor 29% gewijzigd door Xilvaro op 03-01-2025 15:06 ]

[1ER]

Ik heb hier inderdaad ook Sophos hardware. Een SG330 waar de home ed. van UTM op draait en een een XG330r2 om te testen. Nu staat er XG home op maar daar kan ik natuurlijk ook pfSense op zetten. Misschien moet ik dat toch maar eens proberen want IPv6 moet anno 2025 toch echt eens gaan werken. Mocht er nog iemand een config voorbeeld hebben voor XG icm een KPN/Freedom (pppoe) glaslijn dan hou ik mij natuurlijk van harte aanbevolen 😀.

[The GUI]

Ik draai ook een XG 135 rev. 3 met Sophos Home. Overweeg er wel Opnsense op te zitten, maar weet niet of de CPU krachtig genoeg is voor 1 Gbit/s PPPoE. Volgend jaar is alle XG hardware end of support dus dan moet ik er toch aan geloven.

KPN en IPv6 werkt niet omdat Sophos geen PD met DHCP ondersteunt op PPPoE verbindingen.

[1ER]

Ok, dat gaat dus niet werken. Morgen maar eens pfSense installeren, eens kijken of ik daar een beetje mee uit de voeten kan.
I.i.g. dank voor jullie reacties.

[Xilvaro]

PD zegt me zo niks, ligt aan mij te weinig met IPv6 gedaan.

KPN PPPoE werkte prima bij mij toen ik nog KPN Fiber had, nu Odido, simpel VLAN en gaan met die banaan.

Beide verbindingen gigabit, zonder dps etc haal ik die gemakkelijk.

[ Voor 5% gewijzigd door Xilvaro op 03-01-2025 23:25 ]

[RobertMe]

Xilvaro schreef op vrijdag 3 januari 2025 @ 23:23:
PD zegt me zo niks, ligt aan mij

KPN PPPoE werkte prima bij mij toen ik nog KPN Fiber had, nu Odido, simpel VLAN en gaan met die banaan.

Bij Odido zul je ook niks met PD te doen hebben. Gaat namelijk om IPv6 zijn DHCPv6 Prefix Delegation, waarmee de router middels DHCP PD een prefix kan opvragen om te gebruiken op het LAN netwerk. Maar die prutsers van Odido ondersteunen / leveren nog steeds geen IPv6.

[Jan-man]

Tribunus schreef op woensdag 25 december 2024 @ 22:09:
Welke netwerkkaart kan je nu het beste kopen voor een m720q?
Liefst 4x 2,5G interfaces. De riser heb ik al wel via diverse posts kunnen vinden hier

Beste is met Intel poorten (minste gezeur) maar 2.5 gb Nics hebben meestal een flinke koel blok / fan en denk dat de meeste niet passen.

Ik heb zelf 5 stuks met gbit quad Nics en die passen nog maar net en worden ook flink warm.

[nero355]

1ER schreef op vrijdag 3 januari 2025 @ 14:44:
Ik volg dit topic nu al een tijdje en verbaas mij er over dat eigenlijk niemand gebruik maakt van een van de home editions van Sophos.

Als je flink terugleest of de Search erbij pakt dan vind je wel wat ervaringen, maar over het algemeen worden die bakken naar pfSense/OPNsense "omgebouwd" want zoals je zelf al zegt :

- limiet van 50 ip adressen.

En dus licentie(s) gezeik als je net wat meer wilt

Ook trouwens de reden dat ze tekoop worden gezet en meteen erbij staat dat je ook wat anders erop kan draaien

1ER schreef op vrijdag 3 januari 2025 @ 15:28:
Mocht er nog iemand een config voorbeeld hebben voor XG icm een KPN/Freedom (pppoe) glaslijn dan hou ik mij natuurlijk van harte aanbevolen.

Dat is gewoon op je WAN VLAN 6 voor Internet en PPPoE eroverheen met kpn:kpn als username:password en gaan met die banaan !!!

Villager schreef op donderdag 2 januari 2025 @ 19:55:
Er is namelijk een commando waarmee je kan zien of het proces aanwezig is:

code:

/usr/local/sbin/pluginctl -s |grep 'igmpproxy'

Het zou volgens mij mogelijk moeten zijn om een script te schrijven die je periodiek via cron laat draaien, checkt of igmp-proxy nog draait en zo niet deze week kan opstarten met "pluginctl -s igmpproxy restart".

Als m'n aanname klopt, kan iemand helpen met het bash script?

Je zou eventueel wat kunnen jatten van [Ubiquiti & IPTV] Ervaringen & Discussie als de eerder aangeboden oplossing problemen geeft, maar je moet dan inderdaad wel rekening houden met Linux vs. FreeBSD verschillen en het een en ander aanpassen in de script

Of iets van een Raspberry Pi/Orange Pi/Banana Pi inzetten voor puur en alleen het IPTV gebeuren op basis van Linux

[ Voor 53% gewijzigd door nero355 op 04-01-2025 19:52 ]

[Rembock]

Na enige tijd alles goed gelezen te hebben in dit topic, en nu een mooie lijst opgesteld & besteld te hebben, zou ik graag mijn aankomende setup hier willen toetsen.

Ik heb als barebone een HUNSN N100 met 6x 2.5GbE poorten op Amazon besteld. Momenteel is de keuze nu gegaan voor OPNSense voor een zo compleet mogelijk oplossing. Ik heb ergens de klepel horen luiden dat PFSense flink wat functies in de CE versie mist t.o.v. de Plus versie, maar weet niet waar de bel hangt m.b.t. wat er precies ontbreekt in de CE versie. Mocht er iemand zijn die mij hierover wat kan bijbrengen, ben ik altijd geïnteresseerd

Aan de barebone ga ik het volgende toevoegen:

• Crucial RAM 16GB DDR5 4800MHz, niet met modelnummer 23XX (volgens de HUNSN klantenservice hebben deze batches compatibiliteit/stabiliteit-problemen)
• KingSpec 256GB M.2 2230 SSD in het wifi-slot met een A-E to NVME Adapter Converter Card
• Integral 256GB mSATA SSD

Doel is om de 2 SSD's in RAID-Z1 op te stellen voor redudantie. De wifi-poort is PCIe 3.0x1, in theorie zal ik dus via deze constructie snelheden van de mSATA schijf (500MB/s Read / 400MB/s Write) kunnen behalen.
Betekent dit dat ik meer dan ruim voldoende bandbreedte heb als ik de OPNSense Hardware sizing & setup guide (Troughput) doorneem?

Tevens van plan om te gaan spelen met Zenarmor en Suricata. Ik verwacht dat dit wel enige impact gaat hebben op de snelheid, maar verwacht dat het zal sowiezo al sneller zijn met een 2.5Gb-netwerk t.o.v. mijn huidige Gigabit netwerk. Of maak ik nu een volledig verkeerde aanname?

Ter aflsuiting wil ik, net zoals een paar anderen in dit draadje, mijn complimenten voor HUNSN uitspreken. Snelle en duidelijke communicatie, zelfs in het weekend krijg je een reactie. Daarnaast leveren zij ook proactief goede ondersteuning m.b.t. je aanschaf (zie tip hierboven over het type ram). Mocht je dus niet van plan zijn om via Ali te bestellen, kan ik deze winkel op Amazon aanraden als mijn router binnen is binnen de gecommuniceerde leverdatum!

[MrJoery]

@Rembock mooie setup zo. Zelf heb ik ook een N100, zelfs met de PPpoE overhead krijg ik netjes de volledige 2.5gbit vol. Wel is het in OPNsense belangrijk om hardware offloading aan te zetten.

Betreffende de RAID, tijdens de OPNsense setup kun je er voor kiezen om 2 of meer schijven in mirror te draaien in een ZFS setup. Ik heb zelf niks in de UEFI/HW ingesteld voor RAID.

[nero355]

Rembock schreef op maandag 13 januari 2025 @ 15:17:
Momenteel is de keuze nu gegaan voor OPNSense voor een zo compleet mogelijk oplossing.

Daar zal je ook genoeg aan hebben

Ik heb ergens de klepel horen luiden dat PFSense flink wat functies in de CE versie mist t.o.v. de Plus versie, maar weet niet waar de bel hangt m.b.t. wat er precies ontbreekt in de CE versie.
Mocht er iemand zijn die mij hierover wat kan bijbrengen, ben ik altijd geïnteresseerd

IMHO is het meer een kwestie van Licentie gezeik ontwijken en tegenwoordig kan je pfSense niet eens downloaden zonder eerst een account bij hun webshop aan te maken kwam ik vorig jaar achter

• KingSpec 256GB M.2 2230 SSD in het wifi-slot met een A-E to NVME Adapter Converter Card
• Integral 256GB mSATA SSD

Doel is om de 2 SSD's in RAID-Z1 op te stellen voor redudantie.

De wifi-poort is PCIe 3.0x1, in theorie zal ik dus via deze constructie snelheden van de mSATA schijf (500MB/s Read / 400MB/s Write) kunnen behalen.

Onnodig moeilijk gedoe wat mij betreft, maar dat moet je zelf weten

Betekent dit dat ik meer dan ruim voldoende bandbreedte heb als ik de OPNSense Hardware sizing & setup guide (Troughput) doorneem?

OPNsense zegt zelf dat 120 GB SSD en 8 GB RAM meer dan genoeg zou moeten zijn, tenzij idioot grote Enterprise omgeving en zo dus je zit wel goed voorlopig

Tevens van plan om te gaan spelen met Zenarmor en Suricata.
Ik verwacht dat dit wel enige impact gaat hebben op de snelheid, maar verwacht dat het zal sowiezo al sneller zijn met een 2.5Gb-netwerk t.o.v. mijn huidige Gigabit netwerk.
Of maak ik nu een volledig verkeerde aanname?

Het is meer een CPU dingetje, maar bedenk goed of je daaraan wilt beginnen, want als ik rondkijk op het OPNsense Forum af en toe dan is daar de houding min of meer "IDS/IPS is leuk, maar voor de meesten zal het amper meerwaarde toevoegen..." dus "Bezint voordat ge begint" en zo

Ter aflsuiting wil ik, net zoals een paar anderen in dit draadje, mijn complimenten voor HUNSN uitspreken. Snelle en duidelijke communicatie, zelfs in het weekend krijg je een reactie.
Daarnaast leveren zij ook proactief goede ondersteuning m.b.t. je aanschaf (zie tip hierboven over het type ram).
Mocht je dus niet van plan zijn om via Ali te bestellen, kan ik deze winkel op Amazon aanraden als mijn router binnen is binnen de gecommuniceerde leverdatum!

Interessant! Thnx!

MrJoery schreef op maandag 13 januari 2025 @ 16:06:
@Rembock mooie setup zo. Zelf heb ik ook een N100, zelfs met de PPpoE overhead krijg ik netjes de volledige 2.5gbit vol. Wel is het in OPNsense belangrijk om hardware offloading aan te zetten.

Welke Hardware Offloading dan

Het wordt juist aangeraden om alle Offloading van je NIC's helemaal UIT te zetten !!!

Betreffende de RAID, tijdens de OPNsense setup kun je er voor kiezen om 2 of meer schijven in mirror te draaien in een ZFS setup.

Ik heb zelf niks in de UEFI/HW ingesteld voor RAID.

Over het algemeen wil je dat laatste niet eens i.c.m. Linux/*BSD dus dat moet je sowieso niet doen

[ Voor 11% gewijzigd door nero355 op 13-01-2025 16:14 ]

[Tom Paris]

Rembock schreef op maandag 13 januari 2025 @ 15:17:
Ik heb ergens de klepel horen luiden dat PFSense flink wat functies in de CE versie mist t.o.v. de Plus versie, maar weet niet waar de bel hangt m.b.t. wat er precies ontbreekt in de CE versie. Mocht er iemand zijn die mij hierover wat kan bijbrengen, ben ik altijd geïnteresseerd

CE kun je vergelijken met OPNsense. Plus heeft extra's die voor enterprise users interessant zijn, zoals QAT, IIMB en DCO om maximale hardwarematige versnelling te behalen voor VPNs. Zie de specifieke Plus-features hier.

Rembock schreef op maandag 13 januari 2025 @ 15:17:
Doel is om de 2 SSD's in RAID-Z1 op te stellen voor redudantie. De wifi-poort is PCIe 3.0x1, in theorie zal ik dus via deze constructie snelheden van de mSATA schijf (500MB/s Read / 400MB/s Write) kunnen behalen.
Betekent dit dat ik meer dan ruim voldoende bandbreedte heb als ik de OPNSense Hardware sizing & setup guide (Troughput) doorneem?

Je netwerkverkeer gaat nooit naar/via de harde schijf. De throughput van je SSD heeft totaal geen impact op de te behalen bandbreedte van je internetverbinding. Of begrijp ik je hier verkeerd?

MrJoery schreef op maandag 13 januari 2025 @ 16:06:
Wel is het in OPNsense belangrijk om hardware offloading aan te zetten.

Nee, dat moet je juist niet doen. TSO/LRO staan met goede reden standaard uit, de pfSense documentatie beschrijft wat beter waarom, maar ook OPNsense raadt aan dit uit te laten.

[Rembock]

@MrJoery / @nero355 / @Tom Paris dank voor deze waardevolle info, weer wat geleerd!

Tom Paris schreef op maandag 13 januari 2025 @ 16:38:

[...]


Je netwerkverkeer gaat nooit naar/via de harde schijf. De throughput van je SSD heeft totaal geen impact op de te behalen bandbreedte van je internetverbinding. Of begrijp ik je hier verkeerd?

Ook niet als het verkeer via een IPS/IDS gaat? Ik ben nog een leek op dit gebied, mogelijk doe ik een verkeerde aanname

[ Voor 7% gewijzigd door Rembock op 13-01-2025 17:07 ]

[borft]

Rembock schreef op maandag 13 januari 2025 @ 17:06:
@MrJoery / @nero355 / @Tom Paris dank voor deze waardevolle info, weer wat geleerd!


[...]

Ook niet als het verkeer via een IPS/IDS gaat? Ik ben nog een leek op dit gebied, mogelijk doe ik een verkeerde aanname

dan ook niet. in principe is de bottleneck, over het algemeen, cpu.

[Raven]

Tom Paris schreef op maandag 13 januari 2025 @ 16:38:
[...]


Nee, dat moet je juist niet doen. TSO/LRO staan met goede reden standaard uit, de pfSense documentatie beschrijft wat beter waarom, maar ook OPNsense raadt aan dit uit te laten.

Die heb ik ooit eens met ethtool uitgezet, had vage snelheid-drops bij samba-transfers van ene naar andere VLAN, offloading uit en probleem weg.

[Charlie_Root]

Rembock schreef op maandag 13 januari 2025 @ 17:06:
@MrJoery / @nero355 / @Tom Paris dank voor deze waardevolle info, weer wat geleerd!


[...]

Ook niet als het verkeer via een IPS/IDS gaat? Ik ben nog een leek op dit gebied, mogelijk doe ik een verkeerde aanname

Nee, je SSD doet niets met verkeer.

Als je IDS aanzet en logging gebruikt heeft het alleen wel invloed op je CPU en dus indirect mogelijk op je verkeer.

[Yoshimi]

Nu we onlangs verhuisd zijn, en alles uitgepakt is, wil ik mijn eigen router en unifi-apparatuur weer gaan aansluiten op de daarvoor bestemde punten. Momenteel maken we nog gebruik van de ISP router.

Ik heb, na inspiratie uit dit topic, een Debian router samengesteld, zoals ook @RobertMe en @Raven gedaan hebben.
Dit werkte vlekkeloos i.c.m. de Ziggo modem in onze vorige woning. Nu hebben we glasvezel, waarbij ik VLAN 300 moet configureren op de WAN interface.

Na enige tijd sleutelen krijg ik dit maar niet voor elkaar en ik weet niet exact waar het mis gaat. Ik heb in de “wan.network” file al “vlan=vlan300” opgenomen, en de configuratie op DHCP laten staan, net zoals voorheen. Eveneens een .netdev file gemaakt met vlan id 300.
Ik krijg echter geen lease, en dus geen internet.

Waar maak ik de denkfout?

[Raven]

@Yoshimi Wel de firewall aangepast naar de nieuwe interface? Zowel voor internetverkeer als toestaan van DHCP.

edit: DHCP-client ook aan het luisteren op de nieuwe (VLAN)interface? -> /etc/dhcp/dhclient.conf

En voor netwerkconfig gebruik ik nmcli (commando) en nmtui (menu met DOS-era uiterlijk) (apt install networkmanager), dan hoef je niet met configfiles te stoeien

[ Voor 68% gewijzigd door Raven op 23-01-2025 18:10 ]

[Yoshimi]

Raven schreef op donderdag 23 januari 2025 @ 17:57:
@Yoshimi Wel de firewall aangepast naar de nieuwe interface? Zowel voor internetverkeer als DHCP.

edit: DHCP-client ook aan het luisteren op de nieuwe (VLAN)interface? -> /etc/dhcp/dhclient.conf

En voor netwerkconfig gebruik ik nmcli (commando) en nmtui (menu met DOS-era uiterlijk) (apt install networkmanager), dan hoef je niet met configfiles te stoeien

Ik werk met systemd, en ik heb de WAN interface (.network file) enkel aangepast door VLAN300 toe te voegen. De configuratie voor deze interfacekaart staat op DHCP, waardoor hij standaard luistert voor een adres.

In nftables heb ik dit als variabele gedeclareerd (“if_WAN”) en die hergebruik ik waar nodig.
Ik had gehoopt dat dit zo ook zou werken aangezien de Ziggo modem in bridge modus stond en eigenlijk ook geen DHCP deed, dat deed de router altijd.

Een ander punt waar ik wellicht nog kan zoeken is dat een .netdev file altijd een .network file nodig blijkt te hebben (althans, gelezen..). Dat heb ik in mijn geval nog niet gedaan, misschien dat ik dit ook nog moet proberen.

Ik laat even wat weten of het gelukt is. Dank je voor het meedenken

[RobertMe]

@Yoshimi een .netdev hoort AFAIK inderdaad altijd een .network te hebben. Andersom meen ik van niet (in ieder geval niet als het om fysieke interfaces gaat?)

Wat ik mij in ieder geval afvraag is of je niet iets moet met de fysieke interface, en dan de VLAN (wan) interface daar bovenop. Hoe weet die immers aan welke fysieke interface de VLAN gekoppeld is en moet die fysieke interface niet ook iets van configuratie hebben?

Note: heb er zelf ook geen ervaring mee. Ook hier Ziggo / "DHCP" / IPoE.

[wvanommen]

Yoshimi schreef op donderdag 23 januari 2025 @ 17:54:
Nu we onlangs verhuisd zijn, en alles uitgepakt is, wil ik mijn eigen router en unifi-apparatuur weer gaan aansluiten op de daarvoor bestemde punten. Momenteel maken we nog gebruik van de ISP router.

Ik heb, na inspiratie uit dit topic, een Debian router samengesteld, zoals ook @RobertMe en @Raven gedaan hebben.
Dit werkte vlekkeloos i.c.m. de Ziggo modem in onze vorige woning. Nu hebben we glasvezel, waarbij ik VLAN 300 moet configureren op de WAN interface.

Na enige tijd sleutelen krijg ik dit maar niet voor elkaar en ik weet niet exact waar het mis gaat. Ik heb in de “wan.network” file al “vlan=vlan300” opgenomen, en de configuratie op DHCP laten staan, net zoals voorheen. Eveneens een .netdev file gemaakt met vlan id 300.
Ik krijg echter geen lease, en dus geen internet.

Waar maak ik de denkfout?

Je kunt toch gewoon een van interface definiëren bovenop je "normale" waninterface en dan die gebruiken als je wan interface in plaats van de bovenliggende interface?
Als je een managed switch hebt kun je uiteraard ook een poort taggen met 300 (en zijn native vlan uiteraard niet je normale netwerk maken) en die aan de media converter hangen en een andere poort untagged in vlan 300 hangen en daar je router op aansluiten.

[ Voor 10% gewijzigd door wvanommen op 23-01-2025 19:48 ]

[Yoshimi]

wvanommen schreef op donderdag 23 januari 2025 @ 19:46:
[...]


Je kunt toch gewoon een van interface definiëren bovenop je "normale" waninterface en dan die gebruiken als je wan interface in plaats van de bovenliggende interface?

[ Voor 49% gewijzigd door Yoshimi op 24-01-2025 15:51 ]

[Yoshimi]

wvanommen schreef op donderdag 23 januari 2025 @ 19:46:
[...]


Je kunt toch gewoon een van interface definiëren bovenop je "normale" waninterface en dan die gebruiken als je wan interface in plaats van de bovenliggende interface?

Dank je! Dat heb ik geprobeerd maar krijg ik niet voor elkaar.
Ik heb dus de wan interface die ik eerder gedefinieerd had nu voorzien van VLAN=VLAN300 tag en nog een extra .network file aangemaakt, die ik "wan300" heb genoemd waarin ik de DHCP en IPForwarding optie heb aangezet (masquerade). In de hoop dat daarmee een lease verkregen kan worden.

Ik heb het inmiddels voor elkaar gekregen. Is niet mijn dagelijkse kost, dus voor mij wat complexer dan verwacht. Strakjes zal ik een korte "tutorial" hier schrijven als notitie voor mezelf maar toch zeker ook voor anderen die dit willen instellen. Nu kan ik morgen alles rustig over zetten.

Dank je @RobertMe @Raven @wvanommen , cheers to that

"Tutorial"
Voor iedereen die dit ook wil instellen: mocht je gebruik maken van een glasvezelprovider die op de WAN interface een VLAN vereist om een DHCP adres toe te kennen, dan zijn de volgende parameters van belang in de systemd configuratiebestanden. In mijn geval KPN, VLAN300:

Eerst een netdev file aanmaken voor het nieuwe vlan. Ik heb deze '14-vlan300.netdev' genoemd:

code:

[NetDev]
Name=VLAN300
Kind=vlan

[VLAN]
Id=300

Vervolgens de fysieke interface configureren. Hiervoor heb ik een file '20-wan.network' gemaakt:

code:

[Match]
Name=WAN

[Network]
LinkLocalAddressing=no
VLAN=VLAN300

Als laatste een .network file maken voor vlan300. Ik heb deze 27-vlan300.network genoemd:

code:

[Match]
Name=VLAN300

[Network]
LinkLocalAddressing=no
DHCP=ipv4
IPForward=ipv4

[DHCPv4]
Hostname=router
UseHostname=no
UseDNS=no
UseNTP=no
UseSIP=no
UseGateway=yes
UseRoutes=no

De systemd bestanden worden in lexicografische volgorde ingeladen. Vandaar dat de .netdev bestanden altijd een lager nummer hebben dan de .network files, aangezien deze als eerste geladen dienen te worden.

Afhankelijk hoe (en of) je nftables gebruikt als firewall, dien je de WAN interface daar ook aan te passen, zoals Raven ook aangeeft. Ik maak gebruik van "define" optie, dus heb "define if_WAN = VLAN300" ervan gemaakt om naar de nieuwe interface te verwijzen.

Tot slot nog een reboot geven om de nieuwe configuratie te activeren.

[ Voor 42% gewijzigd door Yoshimi op 24-01-2025 16:17 ]

[nero355]

RobertMe schreef op donderdag 23 januari 2025 @ 18:50:
Een .netdev hoort AFAIK inderdaad altijd een .network te hebben.
Andersom meen ik van niet (in ieder geval niet als het om fysieke interfaces gaat?)

Wat ik mij in ieder geval afvraag is of je niet iets moet met de fysieke interface, en dan de VLAN (wan) interface daar bovenop. Hoe weet die immers aan welke fysieke interface de VLAN gekoppeld is en moet die fysieke interface niet ook iets van configuratie hebben?

Ik ben hier toevallig net over aan het lezen omdat ik daarmee het een en ander hoop te fixen op mijn Raspberry Pi die de eene boot wel SSH heeft en de andere niet, want Interfaces waren niet UP om de een of ander reden
_{En onlangs is daar ook nog een vreemde bug bij gekomen die op 'A-Symmetric Routing' lijkt als ik via SSH verbind vanuit een andere VLAN die ik vroeger toch echt niet had...
Ik verdenk daarom ook stiekem de OpenSSH versie van een aantal bugs, want het binden op een aparte Interface ging ook erg moeizaam!}

Je hebt drie onderdelen :
- .link file die vooral op MAC niveau het een en ander kan doen.
- .netdev voor VLAN en Wireguard Interfaces en een hoop andere dingen.
- .network waarin je dus de daadwerkelijk IPv4/IPv6 config zet en nog wat andere dingen.

Dus voordat je een .network kan aanmaken zal je een .netdev moeten aanmaken

wvanommen schreef op donderdag 23 januari 2025 @ 19:46:
Je kunt toch gewoon een van interface definiëren bovenop onder je "normale" waninterface en dan die gebruiken als je wan interface in plaats van de bovenliggende interface?

Dat is ook wat je normaal gesproken doet :
- eth0 UP maar zonder config.
- eth0.300 UP inclusief config.

Als je een managed switch hebt kun je uiteraard ook een poort taggen met 300 (en zijn native vlan uiteraard niet je normale netwerk maken) en die aan de media converter hangen en een andere poort untagged in vlan 300 hangen en daar je router op aansluiten.

Dat kan ook nog, maar dan wel het liefst via een aparte Switch om je LAN en WAN verkeer niet per ongeluk te mixen door eigen toedoen of een firmware bug

Yoshimi schreef op vrijdag 24 januari 2025 @ 15:51:
Ik heb het inmiddels voor elkaar gekregen.

Is niet mijn dagelijkse kost, dus voor mij wat complexer dan verwacht.
Strakjes zal ik een korte "tutorial" hier schrijven als notitie voor mezelf maar toch zeker ook voor anderen die dit willen instellen.

Nu kan ik morgen alles rustig over zetten.

Ben benieuwd!

[RobertMe]

nero355 schreef op vrijdag 24 januari 2025 @ 16:09:
- .link file die vooral op MAC niveau het een en ander kan doen.

Deze is wel een vreemde één in de byte. .netdev en .network hebben betrekking op systemd-networkd en worden @runtime ingelezen en dan wordt de interface aangemaakt / geconfigureerd. De .link file wordt gekopieerd naar het initrootfs en wordt, ik neem aan door udev (ook al lange tijd gelieerd aan / onderdeel van systemd (project)), gebruikt / toegepast heel vroeg tijdens het opstarten. Voor wijzigingen in de .link file (/het aanmaken van een link file) moet je dus een nieuw initrootfs maken én opnieuw opstarten (gebruikmakende van...).

[nero355]

RobertMe schreef op vrijdag 24 januari 2025 @ 16:18:
Deze is wel een vreemde één in de byte. .netdev en .network hebben betrekking op systemd-networkd en worden @runtime ingelezen en dan wordt de interface aangemaakt / geconfigureerd.

Alle drie

De .link file wordt gekopieerd naar het initrootfs en wordt, ik neem aan door udev (ook al lange tijd gelieerd aan / onderdeel van systemd (project)), gebruikt / toegepast heel vroeg tijdens het opstarten.

Het leest dingen uit van UDEV en koppelt dan jouw voorkeuren aan een nieuwe Interface voor zover ik het goed heb begrepen

Zie : https://www.man7.org/linu.../man5/systemd.link.5.html

Voor wijzigingen in de .link file (/het aanmaken van een link file) moet je dus een nieuw initrootfs maken én opnieuw opstarten (gebruikmakende van...).

Het enige wat ik daar zie staan is dit :

Example 3. (Re-)applying a .link file to an interface

After a new .link file has been created, or an existing .link
file modified, the new settings may be applied to the matching
interface with the following commands:

code:

$ sudo udevadm control --reload
$ sudo ip link set eth0 down
$ sudo udevadm trigger --verbose --settle --action add /sys/class/net/eth0

You may also need to stop the service that manages the network
interface, e.g. systemd-networkd.service or
NetworkManager.service before the above operation, and then
restart the service after that.
For more details about udevadm command, see udevadm.

Wat ik weer raar vind, want er wordt dus over een UDEV <--> .link file koppeling gesproken en dat je moet uitkijken op het moment dat je UDEV wordt aangepast/opnieuw gegenereerd om wat voor reden dan ook

Maar gelukkig zal je 9 van de 10 keer niks met dat bestand doen dus lekker op .netdev en .network focussen en het komt wel goed

[Raven]

Yoshimi schreef op vrijdag 24 januari 2025 @ 15:51:
In mijn geval KPN, VLAN300:

, bedoel je niet Odido? KPN gebruikt VLAN6, Odido VLAN300.

Ter vergelijking: hier hoef ik voor het aanmaken van een VLAN-interface alleen dit te doen

Bash:

nmcli con add con-name wan6 ifname wan6 type vlan dev enp2s0 id 6

en ik heb een VLAN6 interface genaamd wan6 met enp2s0 als parent interface. Geen configfiles, kan wel, maar met networkmanager hoef ik maar 1 commando te geven voor een VLAN-interface. Al kan het ook met een DOS-uitziend menu

[nero355]

Raven schreef op vrijdag 24 januari 2025 @ 17:43:
, bedoel je niet Odido? KPN gebruikt VLAN6, Odido VLAN300.

Misschien Odido via KPN WBA

Ter vergelijking: hier hoef ik voor het aanmaken van een VLAN-interface alleen dit te doen

Bash:

nmcli con add con-name wan6 ifname wan6 type vlan dev enp2s0 id 6

en ik heb een VLAN6 interface genaamd wan6 met enp2s0 als parent interface. Geen configfiles, kan wel, maar met networkmanager hoef ik maar 1 commando te geven voor een VLAN-interface. Al kan het ook met een DOS-uitziend menu
[Afbeelding]

nmtui

Maar ik begin er niet meer aan en ga gewoon op de SystemD tour om hopelijk van al het gezeik af te zijn

Vroeger genoeg /etc/sysconfig/network-scripts/ configs met de hand gedaan in de juiste bestanden inclusief bond0 en zo

[nero355]

Yoshimi schreef op vrijdag 24 januari 2025 @ 15:51:
De systemd bestanden worden in lexicografische volgorde ingeladen. Vandaar dat de .netdev bestanden altijd een lager nummer hebben dan de .network files, aangezien deze als eerste geladen dienen te worden.

.link
.netdev
.network

Zijn 3 aparte groepen dus de nummers aan het begin van het bestand tellen alleen per groep als het goed is

Tot slot nog een reboot geven om de nieuwe configuratie te activeren.

Je kan drie dingen doen :

code:

systemctl start/stop/status systemd-networkd
networkctl status
journalctl -u networkd

Zonder reboot dus

Ik heb ook een beginnetje gemaakt voor mijn Raspberry Pi met VLAN Interfaces :

code:

# 1-enp3s0.network

[Match]
Name=enp3s0

[Link]
RequiredForOnline=yes
RequiredFamilyForOnline=ipv4
ActivationPolicy=up

[Network]
Description=Hoofd Interface
LinkLocalAddressing=ipv6
IPv6LinkLocalAddressGenerationMode=eui64
LLMNR=false
DNSOverTLS=opportunistic
DNSSEC=allow-downgrade
LLDP=true
EmitLLDP=true
Address=192.168.1.3/24
Gateway=192.168.1.1
DNS=192.168.1.2
Domains=<vulmaarwatin>.lan
DNSDefaultRoute=true
NTP=ntp.ubuntu.com
IPv6AcceptRA=false
VLAN=enp3s0.10
VLAN=enp3s0.254

code:

# 10-enp3s0-vlan10.netdev

[NetDev]
Description=VLAN Interface voor VLAN 10
Name=enp3s0.10
Kind=vlan

[VLAN]
Id=10
Protocol=802.1q

code:

# 10-enp3s0-vlan10.network

[Match]
Name=enp3s0.10

[Link]
RequiredForOnline=yes
RequiredFamilyForOnline=ipv4
ActivationPolicy=up

[Network]
Description=Sub-Interface voor VLAN 10
LinkLocalAddressing=ipv6
IPv6LinkLocalAddressGenerationMode=eui64
LLMNR=false
LLDP=true
EmitLLDP=true
Address=10.0.0.137/24
IPv6AcceptRA=false

code:

# 254-enp3s0-vlan254.netdev

[NetDev]
Description=VLAN Interface voor VLAN 254
Name=enp3s0.254
Kind=vlan

[VLAN]
Id=254
Protocol=802.1q

code:

# 254-enp3s0-vlan254.network

[Match]
Name=enp3s0.254

[Link]
RequiredForOnline=yes
RequiredFamilyForOnline=ipv4
ActivationPolicy=up

[Network]
Description=Sub-Interface voor VLAN 254
LinkLocalAddressing=ipv6
IPv6LinkLocalAddressGenerationMode=eui64
LLMNR=false
LLDP=true
EmitLLDP=true
Address=10.0.254.3/24
IPv6AcceptRA=false

Maar moet waarschijnlijk nog wat routing dingetjes erbij fixen om mogelijk A-Synchroon Routing te voorkomen en eventueel de Interface zelf als Master Interface toewijzen om raar gedoe te voorkomen

_{#Verkapte Backup/Reminder voor mezelf}

[ Voor 10% gewijzigd door nero355 op 26-01-2025 19:20 ]

[RobertMe]

nero355 schreef op zondag 26 januari 2025 @ 19:11:
[...]

Die twee zouden gewoon in één bestand moeten kunnen

"Die twee" is niet zo handig als je vervolgens 3 stuks quote En ik lees daarin toch dat @Yoshimi wel 3 files nodig heeft. Twee .netdev files waarvan 1 voor de fysieke interface en 1 voor de virtuele interface (VLAN). En dan nog 1 .network om de VLAN interface te configureren v.w.b. "netwerk gebeuren".

@Yoshimi: KPN doet "gewoon" IPv6, dus dat zou ik dan ook gebruiken. Terwijl je nu zelfs al begint met link local addressing uit te zetten (nee, dat heeft niet heel veel te maken met dat KPN wel of geen IPv6 doet, maar link local addressing is wel onderdeel van IPv6 natuurlijk).

[nero355]

RobertMe schreef op zondag 26 januari 2025 @ 19:17:
"Die twee" is niet zo handig als je vervolgens 3 stuks quote En ik lees daarin toch dat @Yoshimi wel 3 files nodig heeft. Twee .netdev files waarvan 1 voor de fysieke interface en 1 voor de virtuele interface (VLAN). En dan nog 1 .network om de VLAN interface te configureren v.w.b. "netwerk gebeuren".

Verkeerde knoppen zitten rammen en ook nog eens verkeerd gelezen...

Aangepast! Thnx!

@Yoshimi: KPN doet "gewoon" IPv6, dus dat zou ik dan ook gebruiken. Terwijl je nu zelfs al begint met link local addressing uit te zetten (nee, dat heeft niet heel veel te maken met dat KPN wel of geen IPv6 doet, maar link local addressing is wel onderdeel van IPv6 natuurlijk).

VLAN 300 = Odido = Geen IPv6 voorlopig

[RobertMe]

nero355 schreef op zondag 26 januari 2025 @ 19:21:
[...]

VLAN 300 = Odido

Lijkt mij dan wel handig dat @Yoshimi weet welke ISP die daadwerkelijk heeft. Want hij gaf KPN aan. Wellicht KPN netwerk / glasvezel maar Odido die levert over de vezel? Alleen heb je dan dus niks te doen met KPN. Je sluit een abo af bij Odido en krijgt een rekening van Odido.

---

In any case... V.w.b. de naamgeving van de files. De l komt voor de n en de d komt voor de w, oftewel .link => .netdev => .network. Dus uhm, mijn config bestanden hebben puur logische namen. Dus bv "wan.netdev", "wan.link" en "wan.network", of "prive.netdev" en "prive.network" en nog nooit issues mee gehad. En de .link files worden zoals eerder aangegeven waarschijnlijk uberhaupt door udev gebruikt tijdens de boot en moeten in het init filesystem zitten, waar de .netdev en .network files niet in zitten. Dus .link gaat dan sowieso goed. En .netdev komt dus ook voor de respectievelijke .network. Nog los van dat de .network files volgens mij "dynamisch" worden toegepast. Dus een .network file met een "[Match]" die niet matcht is geen probleem, en op het moment dat de interface verschijnt wordt de config automatisch toegepast. Zo heb ik ook allemaal .network files voor bridges die door Docker worden aangemaakt, en ook dat werkt prima, terwijl systemd-networkd natuurlijk opstart voor docker (docker.service heeft een dependency op network-online.target, die een dependency heeft op systemd-networkd-wait-online.service).

[Yoshimi]

RobertMe schreef op zondag 26 januari 2025 @ 19:17:
[...]

"Die twee" is niet zo handig als je vervolgens 3 stuks quote En ik lees daarin toch dat @Yoshimi wel 3 files nodig heeft. Twee .netdev files waarvan 1 voor de fysieke interface en 1 voor de virtuele interface (VLAN). En dan nog 1 .network om de VLAN interface te configureren v.w.b. "netwerk gebeuren".

@Yoshimi: KPN doet "gewoon" IPv6, dus dat zou ik dan ook gebruiken. Terwijl je nu zelfs al begint met link local addressing uit te zetten (nee, dat heeft niet heel veel te maken met dat KPN wel of geen IPv6 doet, maar link local addressing is wel onderdeel van IPv6 natuurlijk).

Je hebt inderdaad gelijk. We hebben Odido thuis via KPN WBA .
Dank je voor de tips w.b. nummering van de bestanden. Ik meen dit, toen ik hiermee begon, ergens gelezen te hebben dat er een volgorde in zit, maar dat zal dan inderdaad per sectie zijn. Heb de files hernoemd en dat werkt inderdaad prima!

[TheCeet]

Informatieve update voor de OPNsense users.
Versie 25.1 is zonet gereleased!
https://forum.opnsense.org/index.php?topic=45460.0

[ThinkPad]

Daarop inhakend nog een tip als je OPNsense fysiek draait én op ZFS filesystem hebt draaien: snapshots.
Vooraf even een snapshot maken, mocht update mislukken dan kun je makkelijk terug.

[geenwindows]

ook daarop inhakend, gebruik je Zenarmor, beter even wachten!
https://forum.opnsense.org/index.php?msg=227202

overigens ook handig om de recente config te back-uppen en evt een OPNsense installer .iso gereed te hebben, mocht het echt helemaal fout gaan.


edit:
zenarmor heeft hun repository gereed voor 25.1:
https://forum.opnsense.org/index.php?msg=227356

[ Voor 17% gewijzigd door geenwindows op 29-01-2025 18:37 ]

[Rembock]

ThinkPad schreef op woensdag 29 januari 2025 @ 14:05:
Daarop inhakend nog een tip als je OPNsense fysiek draait én op ZFS filesystem hebt draaien: snapshots.
Vooraf even een snapshot maken, mocht update mislukken dan kun je makkelijk terug.

Ben net begonnen met OPNsense, dus heb nog veel te leren, maar zag wel een alternatief dat mij ook aanspreekt en hier graag wil delen. Met OPNsense Importer kun je de nieuwe release testen vanuit een live omgeving.

[Comp User]

geenwindows schreef op woensdag 29 januari 2025 @ 18:34:
ook daarop inhakend, gebruik je Zenarmor, beter even wachten!
https://forum.opnsense.org/index.php?msg=227202

edit:
zenarmor heeft hun repository gereed voor 25.1:
https://forum.opnsense.org/index.php?msg=227356

Adguard werkt ook nog niet - zal wellicht met een paar dagen geüpdatet worden.

[Villager]

Vraagje:

Ik heb een interne DNS server omzetting gedaan en daar zijn (uiteraard) diverse netwerkproblemen uit ontstaan, waaronder die met de Arris VIP5202 KPN TV boxjes. Na een tijdje gingen ze nieuwe software ophalen. Het ophalen ging goed, maar het opstarten daarna bleef hangen op 80% bij het ophalen van de configuratie. Na een tijdje van alles proberen (ook een factory reset), uiteindelijk maar de Experia er weer even aan gehangen en toen werd netjes de installatie afgerond. OPNsense weer opgestart en nu werkt alles weer als voorheen. Ik gebruik 10.0.0.0/8, 213.75.0.0/16 en 217.166.0.0/16 als KPN hosts, waarvan de eerste range voor updates wordt gebruikt als ik het goed begrijp.
Iemand enig idee waarop dit fout loopt?
Edit:
Lijkt een bekend probleem te zijn:
https://community.kpn.com...80-na-update-modem-626696
Ik gebruik overigens 0.0.0.0/1, 128.0.0.0/1 als upstream adressen in de IGMP proxy settings, dus geen idee wat ik eventueel zou moeten aanpassen.

[ Voor 15% gewijzigd door Villager op 31-01-2025 14:53 ]

[DeOS]

Comp User schreef op vrijdag 31 januari 2025 @ 10:24:
[...]


Adguard werkt ook nog niet - zal wellicht met een paar dagen geüpdatet worden.

Wat werkt er niet dan? Ben hier over op 25.1 en ervaar geen problemen.

[Villager]

.

[ Voor 99% gewijzigd door Villager op 31-01-2025 18:19 ]

[Comp User]

DeOS schreef op vrijdag 31 januari 2025 @ 18:05:
[...]

Wat werkt er niet dan? Ben hier over op 25.1 en ervaar geen problemen.

Begonnen vanaf scratch - Waarschijnlijk een typo, nu werkt het wel.

Nu nog WireGuard aan de gang krijgen;

Geen voorkeur voor rechtstreeks of via een pi, zolang het maar gaat werken.