Zelfbouw project: Firewall / Router / AP

[The Zep Man]

stormfly schreef op donderdag 14 augustus 2025 @ 15:29:
Je hebt deze programmer nodig met een 3,3 volt schakelaar.

Bij gebrek daaraan: je kan ook een Raspberry Pi met een 40-pin connector gebruiken in combinatie met flashrom. Die heeft het juiste voltage (3,3V) op diens GPIO-pinnen, waarmee die onderteuning heeft voor het betreffende protocol (SPI). De pinout vind je hier (pin 19, 21, 23, 24 voor dataoverdracht, pin 1 en 39 voor voeding van de chip).

[ Voor 13% gewijzigd door The Zep Man op 14-08-2025 15:50 ]

[RobertMe]

@The Zep Man als ik het goed begrijp schrijf jij dat je de flash chip rechtstreeks op een RPi kunt aansluiten? Dus puur vanaf de klem / ..., direct naar de GPIO pins van de RPi? Da's wel nice.

* RobertMe had vorig jaar Bricked bios Yoga Slim 7 Pro opnieuw flashen via EEPROM . Toen ook zo'n programmer besteld, alleen dan zonder 3.3V / 5V switch maar met een extra bordje dat de omzetting doet. Het stukje van @stormfly met een klem die "niet pakt" herken ik ook. Heb toen veel geëxperimenteerd (verschillende Frankenstein biossen in elkaar geprutst) en op het eind mislukte lezen toch wel vaak. Door wat vaagheden (POST die een minuut duurde , i.p.v. letterlijk 1 of 2 seconden) een paar weken terug opnieuw geflasht, en velrvele pogingen nodig gehad voordat de chip betrouwbaar gelezen was (lees: 2x een lees actie dezelfde file opleverde). En uiteindelijk iets van 20 minuten lang "heel stil gezeten" en de klem er op blijven drukken zonder "een millimeter" te bewegen (en dan lezen, diff met voorgaande keer lezen, zelfde resultaat, en op hoop van zegen schrijven wat ook weer lezen + schrijven + verifyen is en dus vele minuten duurt). Die andere gelinkte klem ziet er mogelijk wel beter uit? Maar ook duurder denk ik dan het hele setje bij elkaar kostte

[Tom Paris]

RobertMe schreef op donderdag 14 augustus 2025 @ 16:04:
@The Zep Man als ik het goed begrijp schrijf jij dat je de flash chip rechtstreeks op een RPi kunt aansluiten? Dus puur vanaf de klem / ..., direct naar de GPIO pins van de RPi? Da's wel nice.

Dat kan ja. Zo flash je bijv. ook OpenWrt op de KPN Experia Wifi en KPN SuperWifi 1.

[The Zep Man]

RobertMe schreef op donderdag 14 augustus 2025 @ 16:04:
@The Zep Man als ik het goed begrijp schrijf jij dat je de flash chip rechtstreeks op een RPi kunt aansluiten? Dus puur vanaf de klem / ..., direct naar de GPIO pins van de RPi? Da's wel nice.

Klopt. Wat je nodig hebt is een apparaat dat als SPI host kan werken. Een Pi kan dit. Er is geen andere hardware nodig. Wat jumper cables en een testklem zijn voldoende. Opensource software doet de rest.

Werkt ook goed om slechte flashes mee te herstellen. Dat kan via een testklem en op sommige desktopmoederborden ook via een undocumented header.

[ Voor 12% gewijzigd door The Zep Man op 14-08-2025 17:48 ]

[RobertMe]

The Zep Man schreef op donderdag 14 augustus 2025 @ 17:46:
[...]


Klopt. Wat je nodig hebt is een apparaat dat als SPI host kan werken. Een Pi kan dit. Er is geen andere hardware nodig. Wat jumper cables en een testklem zijn voldoende. Opensource software doet de rest.

Werkt ook goed om slechte flashes mee te herstellen. Dat kan via een testklem en op sommige desktopmoederborden ook via een undocumented header.

De slechte flash heb ik intussen dus ervaring mee Lenovo gooide het gewoon op "buiten garantie" en wilde me uit coulance nog de "extended warranty" verkopen met een korting zodat ik hem dus "gratis" kon laten maken Terwijl gewoon de "exe" van op hun website de boel had gesloopt en er op internet vele verhalen te vinden zijn van bricked biosen na een update.

Nu heb ik dan die losse chip / USB "stick", werkt an zich prima, alleen dan dat de klem (intussen) nogal iffy is (maar die blijft met flashen vanaf RPi natuurlijk ook nodig). En RPis als alternatief heb ik ook nog wel. Zelfs een "originele" ("Model B"), meteen besteld nadat het ding uit kwam vanuit de UK. Vervolgens niks mee gedaan behalve OpenELEC er op

@stormfly , je geeft trouwens aan een nieuwe flash chip besteld te hebben. Maar kun je die solderen? Ben zelf een relatieve leek (laatst mijn defecte subwoofer gefixt, eens een keer een knop op een muis vervangen en wat met ESPjes geprutst). Through hole spul is natuurlijk (heel) eenvoudig. Maar dit surface mounted spul is natuurlijk andere koek. Met mijn gewone bout vast niks aan te beginnen. Heb een TS100.

[stormfly]

RobertMe schreef op donderdag 14 augustus 2025 @ 18:18:
[...]

@stormfly , je geeft trouwens aan een nieuwe flash chip besteld te hebben. Maar kun je die solderen? Ben zelf een relatieve leek (laatst mijn defecte subwoofer gefixt, eens een keer een knop op een muis vervangen en wat met ESPjes geprutst). Through hole spul is natuurlijk (heel) eenvoudig. Maar dit surface mounted spul is natuurlijk andere koek. Met mijn gewone bout vast niks aan te beginnen. Heb een TS100.

Ja dat had ik wel gedurfd met een regelbare Weller, ik heb een handvol verschillende puntjes. Heb wat YT bekeken en dan beide zijde alle 4 de pootjes vertinnen, opwarmen links-rechts-links-rechts en dan gaat hij zweven. Daarna met een stift met een dunnere punt even op 2 pootjes vastzetten en dan de overige pootjes door laten vloeien. Dat was mijn plan ;-) maar gelukkig is het niet nodig want het blijft wel gepriegel.

[nike]

Zijn er ook al mensen die nadenken om hun PFsense of Opensense doosje te vervangen voor een unify cloud fiber.
Zeker ook gezien de specs https://store.ui.com/us/e...-fiber/products/ucg-fiber
Wat ik dan nog zou missen is haproxy dus daar zou ik een aparte lxc container voor moeten bouwen.
Maar ja ik draai al zolang zelf pfsense met zoveel rules en vlans etc... dat het nog een hele klus word om het over te zetten.

Maar iets nieuws is ook leuk, en ik heb al switchen en AP's van unify.

[jadjong]

Nee.

[RobertMe]

jadjong schreef op zaterdag 16 augustus 2025 @ 13:39:
Nee.

Goede onderbouwing

@nike, ik heb juist ~2,5 jaar terug de overstap gemaakt van een USG naar volledig zelfbouw (TopTon doosje met Debian). De nieuwe UniFi software was gewoon crap, en een zone based firewall bv, waardoor het ook IPv6 capable was, was onmogelijk (kan intussen wel). Maar nu heb ik ook gewoon veel meer vrijheden. En op mijn router draai ik nu ook gewoon een deel van mijn Docker containers (binnen halen Linux ISOs bv). En wellicht dat ik op een later moment ik mijn servertje en router helemaal samenvoeg. Met hoe het nu draait (Docker containers op de router, gekoppeld aan VLANs etc etc) heb ik dat in principe al en is er geen enkele echte reden waarom iets op het servertje zou moeten en niet op de router zou kunnen. Sowieso al omdat beide dezelfde CPU bevatten (N5105), en het servertje 8GB gesoldeerd RAM heeft dat vol zit , terwijl de router 2x SODIMM heeft waar intussen de officiële max van 16GB in zit (maar o.a. de ervaringen in dit topic aangeven dan 32GB vaak ook werkt).
En in de nabije toekomst (1, 1,5 jaar) komt er wellicht wel weer een "normaler" systeem voor in de plaatst. Met een Intel Core processor, mATX mobo met, mogelijkheid tot 128GB RAM of whatever, .... Software technisch zie ik momenteel geen enkele reden om dat niet te doen. En hardware technisch heeft het ook wat voordelen (geen limiet door netwerk in kopiëren bestaande van router naar server bv . Maar ook dat het waarschijnlijk weer zuiniger is dan de 8W + 4W die beiden nu gebruiken. En "ongelimiteerde" RAM grote. Mogelijkheid tot een shitload aan opslag (nu gelimiteerd tot 1x NVME en 1x SATA, mATX heb je vaak toch al 2x NVME en 4x SATA. Etc etc). Enige nadeel is dan de grotere form factor en de investering.

[Tom Paris]

RobertMe schreef op zaterdag 16 augustus 2025 @ 14:10:
geen enkele echte reden waarom iets op het servertje zou moeten en niet op de router zou kunnen

Veiligheid. Een configuratiefout of kwetsbaarheid kan je duur komen te staan als je alles samenvoegt op één machine en één OS. Zelf zou ik een *sense VM in ESXi/Proxmox als 'bare minimum' beschouwen vmb veiligheid en beschikbaarheid, heb je mogelijkheden genoeg om daarnaast Linux VMs en containers te draaien geïsoleerd van je router.

[RobertMe]

Tom Paris schreef op zaterdag 16 augustus 2025 @ 14:46:
[...]


Veiligheid. Een configuratiefout of kwetsbaarheid kan je duur komen te staan als je alles samenvoegt op één machine en één OS.

Dat kan net zo goed gebeuren als je ze wel apart hebt. Ook dan kun je bv in de firewall een configuratiefout maken waardoor alles open staat.
En alles is al dusdanig ingericht dat ik bij het starten van een nieuwe Docker container ook weer de firewall moet nalopen/aanpassen (tot het punt dat containers die "offline" zouden moeten werken vervolgens niet starten omdat ze initieel wel een bestand moeten downloaden maar dat niet werkt). Dus sure, met een configuratiefout kan het mis gaan, maar dat kan ook bij een gescheiden systeem. En door alles by default zo restrictief mogelijk te doen en daarna "op maat" dingen aan te passen / toe te staan neemt dat ook al veel weg.

Zelf zou ik een *sense VM in ESXi/Proxmox als 'bare minimum' beschouwen vmb veiligheid en beschikbaarheid, heb je mogelijkheden genoeg om daarnaast Linux VMs en containers te draaien geïsoleerd van je router.

Proxmox ben ik bekend mee en juist van af aan het stappen. Voegt IMO niks toe. Ik wil gewoon een OS hebben waarop ik software kan draaien, geen hypervisor waar ik vervolgens een LXC of VM op moet zetten om daarin weer exact dezelfde software te draaien die ook op een gewone server zonder VM had gekund.
En of het met Proxmox nu zoveel veiliger wordt? Juist zaken als de netwerk configuratie in Proxmox op zetten lijken mij nogal fout gevoelig waardoor je weer tegen het initiële punt aan loopt "een configuratiefout en de boel is lek".

Edit / aanvulling:
Docker draait in mijn geval ook met de setting op met zijn vingers van de firewall af te blijven. En "port forwards" in Docker geef ik uiteraard ook niet op (die wel kinda zouden werken doordat Docker gewoon doodleuk een transparante TCP / UDP proxy start. Dus een proxy proces op de host dat luistert op de opgegeven poort en doorstuurt naar de opgegeven poort van de container. Alleen zou zelfs in dat geval dus weer de firewall niet zijn aangepast en dus het binnenkomende verkeer nog steeds gedropt worden).

[ Voor 13% gewijzigd door RobertMe op 16-08-2025 15:32 ]

[nike]

Persoonlijk ga ik nooit meer mijn *sense router virtualiseren.
Elke keer als ik de host wil updaten, ligt het internet er uit.
Het het kan best wel eens handig zijn als er iets met je host is, dat je altijd nog internet heb.

Maar ja bij mij is het nu even zwaar overkill, mijn pfsense draait op een chinees doosje een n305 met alleen de firewall. wel super stabiel en snel Ik had eerst een atom ding, maar ik kwam met speed testen nooit boven de 1G. dat had te maken dat ik altijd speedtesten deed via vlans en dat trok hij niet. nu wel.
Maar alles in het unify eco systeem trek mij ook wel.

[TheCeet]

Wie kan me helpen met hetvolgende:

Setup:
PC1: OpnSense met Unbound DNS.
PC2: Proxmox: LXC AdGuard Home en andere containers.
Er zijn firewall rules ingesteld in Opnsense zodat alle DNS forced naar Opnsense gaat mocht er een toestel zijn die hardcoded DNS heeft.

AdGuardHome is ingesteld met Quad9 upstream server.
Maar ik zou ook graag hebben dat dit via Unbound gaat en niet meer via Quad9.

Wat heb ik gedaan:
Firewall rules tijdelijk uitgeschakeld.
Nieuwe LXC container waar Unbound in draait opgezet via gekende Proxmox Helper scripts.
In AGH upstream ingesteld van die Unbound > werkt perfect.

Waar loopt het mis:
Zodra ik de firewall rules inschakel zie ik in de querylog in AGH alle requests "refused".
Alias aangemaakt met DNS servers van Opnsense router + IP van AGH.
In de firewall rule dan Destination deze geselecteerd > lukt nog niet.

Mijn vraag: kan dit überhaupt wel wat ik wil opzetten?


Hier screenshots van de firewall.

[Kabouterplop01]

TheCeet schreef op zaterdag 23 augustus 2025 @ 21:05:
Wie kan me helpen met hetvolgende:

Setup:
PC1: OpnSense met Unbound DNS.
PC2: Proxmox: LXC AdGuard Home en andere containers.
Er zijn firewall rules ingesteld in Opnsense zodat alle DNS forced naar Opnsense gaat mocht er een toestel zijn die hardcoded DNS heeft.

AdGuardHome is ingesteld met Quad9 upstream server.
Maar ik zou ook graag hebben dat dit via Unbound gaat en niet meer via Quad9.

Wat heb ik gedaan:
Firewall rules tijdelijk uitgeschakeld.
Nieuwe LXC container waar Unbound in draait opgezet via gekende Proxmox Helper scripts.
In AGH upstream ingesteld van die Unbound > werkt perfect.

Waar loopt het mis:
Zodra ik de firewall rules inschakel zie ik in de querylog in AGH alle requests "refused".
Alias aangemaakt met DNS servers van Opnsense router + IP van AGH.
In de firewall rule dan Destination deze geselecteerd > lukt nog niet.

Mijn vraag: kan dit überhaupt wel wat ik wil opzetten?

Het zou best kunnen werken, maar ik denk dat het niet aan je firewall ligt.
Een firewall werkt op de ip en port laag. Als je refuseds krijgt op je AGH dan denk ik dat de firewall werkt, je krijgt immers antwoord van je AGH, dat betekent dat je requests aankomen op de AGH (dus er is IP connectivity) en de applicatie geeft antwoord (de port staat open en is bereikbaar)

Ik gok dat je op je AGH moet checken

[stormfly]

@TheCeet werkt AGH + Unbound wel goed als je het AGH IP hard in je client/PC zet? Heb je die setup onafhankelijk getest zonder PBR/re-direct rules?

https://www.reddit.com/r/...edirect_all_dns_requests/
https://forum.opnsense.org/index.php?topic=9245.0

Ik denk dat je nog wat rules mist, vooral de verplichte inverted rules, die heb jij wel staan maar naar 127.0.0.1? Nou ja de links zijn eerste google hits mijn advies. Wis alle config, test eest of AGH en Unbound samen als set goed werken zonder enige vorm van redirect en dan bouw je de redirect opnieuw. Als je Unbound wilt uitsluiten van de redirect, want die moet immers naar de root servers, dan moet je die met een regel boven de redirect 1:1 door laten gaan. FW rules werken top down

[nike]

@TheCeet
Ik heb het anders ingericht, wel via pfsense, maar volgens mij komt dat redelijk overeen.
eerst 2x firewall op het lan die je wil.
Dan een forward regel naar je adguard.

[TheCeet]

@stormfly
Ja dat werkt perfect.
AGH IP manueel in iPhone gezet > alles DNS gaat keurig via Unbound.

Het loopt pas mis als ik die firewall rules inschakel.
Dan lukt Unbound gedeelte niet meer + als ik test met 1.1.1.1 manueel in iPhone komt er ook geen data meer door.
Ik denk niet dat het aan AGH gedeelte ligt, maar wel aan de FW rules. En daar ontbreek ik toch wat kennis.
Het blijft voor mij 1 grote leerschool dit.

[Kabouterplop01]

Dan doet je firewall het goed en is er iets wat je in de rules moet bekijken.
Wat zegt je logfile? *status> systemlogs> tabje firewall

Ik zie dat je een specifieke richting "in" toe laat, maar moet er ook een terugweg worden allowed?

[ Voor 27% gewijzigd door Kabouterplop01 op 24-08-2025 22:15 ]

[TheCeet]

Ja ik ga wat documentatie opzoeken zodat het toch nog slim komt. Momenteel tast ik wat in het duister

[wian]

Je kan het ook simpeler maken. Adguard Home container uitzetten.

In OPNsense -> Unbound DNS -> Blocklist -> enable en een paar blocklists aanvinken onder "Type of DNSBL". Met OISD Big ben je in principe al klaar, maar je kan ook de AdGuard lijst aanvinken. Grote voordeel hiervan is dat je voor je basis netwerkvoorzieningen niet meer afhankelijk bent van een extra server. Nadeel is dat je geen mooie statistiekjes hebt.

[ThinkPad]

AGH kan ook prima op OPNsense draaien, is gewoon een 3rd party plugin voor! Mimugmail repository: https://www.routerperformance.net/opnsense-repo/

AGH draait hier ook in OPNsense, op een custom port (53530 ofzo). Unbound op default 53. En dan een NAT rule om clients te forceren naar die custom AGH port. En in AGH kun je dan 127.0.0.1:53 opgeven als upstream. Werkt prima.

[ Voor 18% gewijzigd door ThinkPad op 28-08-2025 23:07 ]

[TheCeet]

Bedankt voor de tips.
Ga ik zeker eens bekijken!

Heb toch liefst AGH omwille van de UI en de statistieken.

[Rolfie]

Ik heb AGH gewoon op 53 op Opnsense draaien en voor bepaalde informatie naar unbound forward icm een alternative port, dan voornamelijk de reverse lookup, of interne FQDN die ik gebruik.

Werkt perfect moet ik zeggen, al krijg ik nog wel errors met de DNS als ik een verbinding heb met mijn OpenVPN. Daar moet ik nog tijd aan besteden.
Ik wil ook een 2de AGH neerzetten en dan de config laten repliceren, zodat ik niet afhankelijk ben van 1 DNS server.

Maar de setup werkt wel goed en eigenlijk beter dan de unbound en dan blocklists.

[ Voor 18% gewijzigd door Rolfie op 29-08-2025 09:18 ]

[TheCeet]

Ja maar ik wil gewoon meer controle.
Als er nu iemand op zijn/haar toestel DNS server aanpast naar 1.1.1.1 kunnen ze daar gebruik van maken.
Dus ik wil alles forceren richting de eigen DNS server IP's. Vooral omdat ik merk dat de Android TV toch forced Google DNS wil bezoeken ipv mijn eigen DNS.

[eymey]

nike schreef op zaterdag 16 augustus 2025 @ 13:39:
Zijn er ook al mensen die nadenken om hun PFsense of Opensense doosje te vervangen voor een unify cloud fiber.
Zeker ook gezien de specs https://store.ui.com/us/e...-fiber/products/ucg-fiber
Wat ik dan nog zou missen is haproxy dus daar zou ik een aparte lxc container voor moeten bouwen.
Maar ja ik draai al zolang zelf pfsense met zoveel rules en vlans etc... dat het nog een hele klus word om het over te zetten.

Maar iets nieuws is ook leuk, en ik heb al switchen en AP's van unify.

Toevallig heb ik daar onlangs niet alleen over na gedacht, maar ook de stap echt gemaakt. Van OPNSense, gevirtualiseerd in een KVM VM op een Proxmox server, naar een UCG-Fiber!

Net als @RobertMe had ik voorheen ook een Unifi Security Gateway, in 2018, nadat ik ook al switches en AP's van Ubiquiti had gekocht. Maar ik was vrij snel erg teleurgesteld over de slechte instelbaarheid van basic dingen (vooral qua DHCP en DNS en andere zaken). En toen ben ik me gaan verdiepen in OPNSense. Toen ook een Shuttle DH310 met Core i3-8100 CPU en 16 GB RAM gekocht.

Die gevirtualiseerde OPNSense, samen met een Home Assistant OS VM en wat LXC containers op die Shuttle heeft sinds begin 2019, dus ruim 6 jaar, rete stabiel gedraaid! Enige downtime was vanwege upgrades, paar keer in huis verplaatsen vanwege grondige herindeling van de meterkast, etc.

Een paar maanden terug begon de NVME SSD jn de Shuttle SMART errors te geven (hij was dik door zijn gespecificeerde aantal geschreven terabytes heen) en ook de fannetjes op het koelblok begonnen steeds meer lawaai te maken en ik kreeg het niet meer gefixt met schoonmaken. Toen heb ik dus met veel speurwerk passende fannetjes ( 2x 6 CM, 1 CM dik én met PWM ) gevonden en ook een nieuwe SSD ingebouwd, Proxmox opnieuw geinstalleerd en de VMs en LXC containers geimporteerd.

Inmiddels wilde ik echter eigenlijk ook wel eens op zoek naar wat nieuws als vervanging voor de Shuttle, het liefst ook iets waar ik mijn glasvezel met SFP+ module direct in kwijt kon, ipv de losse TP-link mediaconverter. Maar kwam er al vrij snel achter, ook via het zuinige server topic, dat de spoeling qua zuinige netwerkkaarten met SFP+ poorten behoorlijk dun was (of erg duur).

Inmiddels had de Unifi Cloud Gateway - fiber zich aangediend en waren de reviews die ik erover heb gezien lovend. Ook de Unifi Network applicatie van de controller was inmiddels flink uitgebreid met veel meer instelbaarheid en features, Wireguard, etc. En gezien mijn ervaring met het repareren van de Shuttle en het internet dat ik er toen ook uit moest gooien, ookal duurde het hooguit een half dagje, leek het me ook wel weer 'leuk' om internettoegang gewoon weer op aparte hardware te doen.

Afgelopen week heb ik de daadwerkelijke migratie van OPNSense naar de UCG-Fiber gedaan. Ik loop nog wel tegen wat dingen aan die nu op de UCG toch meer moeite lijken te gaan kosten of 'tegen vallen' qua customizability. Bijvoorbeeld:

• Ingebouwde Ad Blocking via DNS alleen gebaseerd op (te agressieve) propietary block list, terwijl ik de voorkeur aan OISD geef. Dat heb ik nu opgelost door NextDNS als DNS-servers te gaan gebruiken, daar OISD te kiezen en NextDNS via DOH vanuit de UCG in te stellen. Misschien ooit nog een Pi-hole containertje, maar dan heeft het thuisnetwerk toch weer een afhankelijkheid op de server.
• Interface voor registreren van interne hostnames of vastzetten van IP's in DHCP nog wel wat omslachtig, maar functioneel.
• Wireguard server voor site to site tunnel tussen de Fritzbox van mijn ouders en mijn netwerk, plus wireguard voor 'road warriors' moet ik nog aan beginnen/uitzoeken.
• Stroomverbruik van de UCG-Fiber toch wat tegenvallend hoog (rond de 8 watt), wat deels gecompenseerd wordt door ~5W reductie in verbruik doordat de Shuttle 1 NIC en 1 VM minder actief heeft.
• MTU van 1500 voor de PPPoE tunnel moet nog steeds 'hacky' met custom scripts, ipv dat je dit gewoon kan instellen.

Over het algemeen denk ik dat ik er (nog) geen spijt van heb dat ik de overstap heb geprobeerd, maar we zullen het de komende tijd zien of ik zelfbouw met OPNSense toch best wel zal gaan missen of niet.

Voordeel is wel dat ik mijn hele netwerk nu in één beheer interface heb, wat ook prettiger is als er ooit wat met mij mocht gebeuren en iemand in onze omgeving die niet helemaal digibeet is, maar ook niet per se verstand heeft van mijn Proxmox setup, zou mijn gezin moeten helpen bij issues. Ook is de Shuttle, zeker met het recente onderhoud, weer klaar voor nog wat jaartjes mee gaan met meer reserve capaciteit.

[wian]

Als je tevreden bent met alleen de OISD - Big blocklist (ik ook!) kun je ook gratis ControlD gebruiken (gevonden op OISD).

code:

IPv4
76.76.2.32
76.76.10.32

IPv6
2606:1a40::32
2606:1a40:1::32

Super eenvoudige en lightweight manier om OISD DNS filtering toe te passen op routers/firewalls zonder plugins.

Ben benieuwd naar je ervaringen. Heb een tijdje terug de stap gemaakt naar een UCGUltra (en weer terug naar OPNsense), maar blijft toch aantrekkelijk om alles in unifi te hebben. Single pane of glass en minder tijd kwijt aan beheer.

[ Voor 20% gewijzigd door wian op 29-08-2025 15:43 ]

[Tom Paris]

TheCeet schreef op vrijdag 29 augustus 2025 @ 10:15:
Ja maar ik wil gewoon meer controle.
Als er nu iemand op zijn/haar toestel DNS server aanpast naar 1.1.1.1 kunnen ze daar gebruik van maken.
Dus ik wil alles forceren richting de eigen DNS server IP's. Vooral omdat ik merk dat de Android TV toch forced Google DNS wil bezoeken ipv mijn eigen DNS.

Dit is een kwestie van firewall regels, staat los van je DNS server / adblock tool.

[eymey]

wian schreef op vrijdag 29 augustus 2025 @ 15:38:
Als je tevreden bent met alleen de OISD - Big blocklist (ik ook!) kun je ook gratis ControlD gebruiken (gevonden op OISD).

code:

IPv4
76.76.2.32
76.76.10.32

IPv6
2606:1a40::32
2606:1a40:1::32

Super eenvoudige en lightweight manier om OISD DNS filtering toe te passen op routers/firewalls zonder plugins.

Ben benieuwd naar je ervaringen. Heb een tijdje terug de stap gemaakt naar een UCGUltra (en weer terug naar OPNsense), maar blijft toch aantrekkelijk om alles in unifi te hebben. Single pane of glass en minder tijd kwijt aan beheer.

Hmm, ook interessant! Ik had hem wel voorbij zien komen, maar kan uit de website niet zo goed opmaken wat nou precies "free" is en wanneer je moet betalen. Zie wel dat ze ook ook een URL in het dnscrypt-formaat "DNS Stamp" geven. Dat is fijn, want in de Ubiquiti Network interface voor het instellen van DoH moet je, bij het opgeven van een custom DoH server met custom block lists, de URL in dat formaat opgeven. Alle bekende DNS providers zijn ook gewoon selecteren, maar je kan dan niet configureren met welke blocklist je ze wil laten werken.

Als ik wat meer ervaring heb zal ik deze wel eens delen de Ubiquiti-relateerde topcreeks (die is er vast )

[VikeeVeekie]

Oud topic, maar dacht ik post mijn zelfbouw OPNsense box ervaringen hier.

Gebruikte ingredienten: Een Dell Optiplex 3040M, Realtek RTL8125B 2.5gbps (mislukt experiment, zie hieronder), Intel i226 2.5gbps adapter (poging 2).

Ik had deze box gebouwd omdat ik in de eerste instantie een Fortigate 60E van het werk had meegekregen met verlopen licenties, echter uiteindelijk erachter gekomen dat deze throughput issues had dus weer teruggegeven. Die box had ik eerst vervangen met een MFF Optiplex Core 2 Duo, maar kwam erachter dat hij het zwaar had met de 1gbps PPPoE verbinding en het stroomverbruik op zo'n 40-60w lag op idle / load.

Via Tweakers een 3040M op de kop kunnen tikken met een i5-6500T, een Realtek RTL8125B M.2 adapter gekocht op Amazon. Eerst zat ik op een bare-metal OPNSense install, maar merkte al gauw dat de WAN interface er na zo'n 2 dagen uptime eruit knalde. Interface was nog wel up en werd nog gewoon gezien, maar de PPPoE sessie kwam gewoon niet meer op gang en vereiste een reboot. Ik kon steeds zien dat de interface aan het flappen was, wel weer up kwam, maar er gewoon geen data meer overheen ging. Met regelmaat gelezen dat FreeBSD niet zo lekker omgaat met Realtek omdat de driver support niet zo goed gaat, dus als volgende poging had ik Proxmox erop laten draaien met de hoop dat Debian beter kon omgaan met deze adapter. Ik kreeg wel langere uptime tot het probleem zich voordeed, maar nog steeds met dezelfde symptomen: interface passeerde geen verkeer meer.

Dit had ik sinds juni zo gehad op Proxmox, met regelmaat zitten troubleshooten maar uiteindelijk het probleem nooit gevonden en een USB adapter gebruikt, die er ook soms uit klapte. Deze week wilde ik een poging wagen om of ik die interface stabiel kon laten werken, maar ik denk dat er iets is veranderd aan de drivers aan een recente update omdat ik de interface niet meer zag in ip addr, maar wel kon zien dat er tijdens bootup een alias enp3s0 werd toegewezen.

Puntje bij paaltje, uiteindelijk opgegeven en er gisteren een Intel i226 based M2 adapter erin geschroefd omdat ik las dat die wel stabieler werkte op FreeBSD. Nu de boel draaiende op een verse bare metal installatie en de komende periode in de gaten of dit beter werkt. Is het de moeite waard qua stroomverbruik? Best wel! Op idle zit het systeem op circa 10w, en als ik de volledige 1gbps voltrek zit ik op zo'n 28w.

[Tom Paris]

VikeeVeekie schreef op zondag 21 september 2025 @ 13:52:
Is het de moeite waard qua stroomverbruik? Best wel! Op idle zit het systeem op circa 10w, en als ik de volledige 1gbps voltrek zit ik op zo'n 28w.

Met pfSense kun je het verbruik verder terugdringen Sinds 2.8 kan pfSense namelijk PPPoE multi-threaded verwerken, waardoor de workload over alle cores wordt uitgesmeerd ipv single-thread op 1 core die maximaal in turbo-modus moet. Ik heb een Pentium J5005, die ik via PowerD op 'minimum' zet. CPU komt dan niet boven 900Mhz uit, maar nog steeds geen enkel probleem met volledige 1Gbps bandbreedte.

[tuxie6]

Tom Paris schreef op zondag 21 september 2025 @ 21:30:
[...]


Met pfSense kun je het verbruik verder terugdringen Sinds 2.8 kan pfSense namelijk PPPoE multi-threaded verwerken, waardoor de workload over alle cores wordt uitgesmeerd ipv single-thread op 1 core die maximaal in turbo-modus moet. Ik heb een Pentium J5005, die ik via PowerD op 'minimum' zet. CPU komt dan niet boven 900Mhz uit, maar nog steeds geen enkel probleem met volledige 1Gbps bandbreedte.

Helemaal mee eens, en een simpele manier om hem koeler en stiller en zuiniger te laten werken,
maar het kan van invloed zijn op je openvpn capaciteit heb ik ondervonden, verder heb ik er niet veel van gemerkt dat de cores op hun langzaamste snelheid draaien.

[Tom Paris]

tuxie6 schreef op maandag 22 september 2025 @ 00:24:
[...]


Helemaal mee eens, en een simpele manier om hem koeler en stiller en zuiniger te laten werken,
maar het kan van invloed zijn op je openvpn capaciteit heb ik ondervonden, verder heb ik er niet veel van gemerkt dat de cores op hun langzaamste snelheid draaien.

OpenVPN is inderdaad nog single-threaded, tenzij je DCO gebruikt. DCO is niet bij alle providers beschikbaar, denk dat daar met OpenVPN 2.7 (nu in beta) verandering in zal komen.

[Eric70]

nike schreef op donderdag 7 april 2022 @ 17:49:
[...]


yes vandaag binnen gehad.
PFsense 2.6.0 staat er standaard op, maar ik heb hem maar voor de zekerheid opnieuw geinstalleerd.
2,5g poorten worden goed ondersteund, ik heb aleen geen 2,5g switch.

stroom verbruik nu idle is 6,4w en voelt goed aan. van de week omgooien.

Nou de eerste indrukken:
Zojuist opnieuw pfsense geinstalleerd, mijn oude pfsense (een i5) de config een backup van gemaakt.
Deze bewerkt zodat de nics overeen komen en de backup ingelezen in de nieuwe pc.
Alles draaid weer als een zonnetje.
Ik heb wel het idee dat de gui iets trager aan voelt.... maar ik heb geen gewone install. ik draai echt alles, zoals vpn/haproxy/snort/ etc etc.
Komende dagen lekker testen.

Mag ik vragen hoe na drie jaar je ervaringen zijn met dit merk? Ze hebben aantrekkelijk geprijsde hardware maar sta toch een beetje huiverig tegenover een minder bekend Chinees merk. Wil ik iets soortgelijks van bijvoorbeeld Protectli ben ik al minimaal 50% duurder uit. Plus HSIPC levert een aantal modellen ook als rackmount waar m’n voorkeur naar uitgaat.

[Out.of.Control]

Ik heb sinds enkele jaren een vergelijkbaar systeem. Gekocht op Amazon, geen idee welk merk het precies was, maar inderdaad een stuk goedkoper dan Protectli.
En daar heb ik heb geen seconde spijt van. Ik gebruik OpenBSD als OS en dat draait stabiel en probleemloos.

[wian]

Protectli is een stuk duurder dan een TopTon/Qotom/CWWK op aliexpress bestellen, maar er is wel een verschil. Ik heb verschillende aliexpress firewalls gehad en daarna een protectli. Eerste grote verschil is de prijs. Je betaalt het dubbele voor een protectli firewall. Daar krijg je wel iets voor terug:

1. kwaliteit. de huidige protectli firewalls (v serie en vp serie) hebben custom ontworpen hardware. Het wordt nog steeds in China geproduceerd maar op specificaties van protectli. Ik heb een TopTon N150 vergeleken met een protectli vault v1410 en de protectli heeft een beter doordachte en duidelijk hogere kwaliteit behuizing. De bovenkant van de metalen behuizing maakt direct contact met de CPU, SSD en RAM voor een uitstekende hitte overdracht. Bij de TopTon zit er een dikke laag goedkope pasta over de CPU om contact te maken met de behuizing. De SSD en het geheugen maken geen contact met de behuizing, er zit een gat van 1-2 centimeter. Die worden dan ook heel snel warm. Met proxmox werd de SSD zo warm dat de performance flink naar beneden ging. Je kunt een fan op de TopTon leggen, maar de behuizing zit potdicht, dus er is binnen geen airflow. Je krijgt de temperatuur pas echt omlaag als je de behuizing open laat en direct lucht tegen de SSD en RAM blaast. De protectli had dit probleem niet. De behuizing werd goed warm, maar de SSD ging nooit throttelen en als je aan de buitenkant een ventilator plaatst zie je direct een groot verschil. Er zijn ook andere kleine verschillen, zoals een power connector die je kunt vastschroeven.

2. support. ten eerste is er uitgebreide documentatie op de protectli site. Ten tweede onderhouden ze coreboot die je makkelijk kunt flashen met een scriptje of zelf kunt compilen. Dan weet je dus zeker dat er geen vage modules of kwetsbaarheden in de bios van je firewall zitten. ik had de protectli 2e hands gekocht en kreeg netjes support adhv het serienummer zonder facturen te hoeven overleggen oid.

[Villager]

wian schreef op maandag 6 oktober 2025 @ 08:52:
Protectli is een stuk duurder dan een TopTon/Qotom/CWWK op aliexpress bestellen, maar er is wel een verschil. Ik heb verschillende aliexpress firewalls gehad en daarna een protectli. Eerste grote verschil is de prijs. Je betaalt het dubbele voor een protectli firewall. Daar krijg je wel iets voor terug:

1. kwaliteit. de huidige protectli firewalls (v serie en vp serie) hebben custom ontworpen hardware. Het wordt nog steeds in China geproduceerd maar op specificaties van protectli. Ik heb een TopTon N150 vergeleken met een protectli vault v1410 en de protectli heeft een beter doordachte en duidelijk hogere kwaliteit behuizing. De bovenkant van de metalen behuizing maakt direct contact met de CPU, SSD en RAM voor een uitstekende hitte overdracht. Bij de TopTon zit er een dikke laag goedkope pasta over de CPU om contact te maken met de behuizing. De SSD en het geheugen maken geen contact met de behuizing, er zit een gat van 1-2 centimeter. Die worden dan ook heel snel warm. Met proxmox werd de SSD zo warm dat de performance flink naar beneden ging. Je kunt een fan op de TopTon leggen, maar de behuizing zit potdicht, dus er is binnen geen airflow. Je krijgt de temperatuur pas echt omlaag als je de behuizing open laat en direct lucht tegen de SSD en RAM blaast. De protectli had dit probleem niet. De behuizing werd goed warm, maar de SSD ging nooit throttelen en als je aan de buitenkant een ventilator plaatst zie je direct een groot verschil. Er zijn ook andere kleine verschillen, zoals een power connector die je kunt vastschroeven.

2. support. ten eerste is er uitgebreide documentatie op de protectli site. Ten tweede onderhouden ze coreboot die je makkelijk kunt flashen met een scriptje of zelf kunt compilen. Dan weet je dus zeker dat er geen vage modules of kwetsbaarheden in de bios van je firewall zitten. ik had de protectli 2e hands gekocht en kreeg netjes support adhv het serienummer zonder facturen te hoeven overleggen oid.

Ik ben het helemaal met je eens!
Maar je kunt zeker iets doen om het beter te krijgen. Ik heb een Topton N100 met baremetal OPNSense en heb recent de CPU ge-repaste. Dat heeft de CPU temperatuur van ruim 50 graden gemiddeld naar rond de 42 graden teruggebracht. Van de dikke klodder naar subtiel aangebracht. Dat zorgt ook voor minder hitte intern. Heb er nog wel steeds een Fan op liggen.
Ik heb ook een Topton N305 met Proxmox met 3 VM's en een stuk of 10 containers. Die heeft wel een interne fan aan de onderzijde. Maar ook daar heb ik alsnog een fan op liggen.
Dus het is een afweging voor iedereen of je het geld er voor over hebt om een Protectli te kopen met de kwaliteitsvoordelen of met een beetje aanpassen prima vooruit te kunnen met de Toptons.

[Eric70]

Ik zat specifiek aan het merk HSIPC te denken vandaar mijn vraag aan @nike , had van hun een rackmount model in gedachten: https://www.amazon.nl/dp/...c_wl_lv_ov_lig_dp_it&th=1

Maar als ik jullie reacties zo lees schuift de Protectli toch naar boven op mijn lijstje (stond er ook al als optie op). Het heeft gelukkig geen haast.

[wian]

Villager schreef op maandag 6 oktober 2025 @ 09:28:
[...]

Ik ben het helemaal met je eens!
Maar je kunt zeker iets doen om het beter te krijgen. Ik heb een Topton N100 met baremetal OPNSense en heb recent de CPU ge-repaste. Dat heeft de CPU temperatuur van ruim 50 graden gemiddeld naar rond de 42 graden teruggebracht. Van de dikke klodder naar subtiel aangebracht. Dat zorgt ook voor minder hitte intern. Heb er nog wel steeds een Fan op liggen.
Ik heb ook een Topton N305 met Proxmox met 3 VM's en een stuk of 10 containers. Die heeft wel een interne fan aan de onderzijde. Maar ook daar heb ik alsnog een fan op liggen.
Dus het is een afweging voor iedereen of je het geld er voor over hebt om een Protectli te kopen met de kwaliteitsvoordelen of met een beetje aanpassen prima vooruit te kunnen met de Toptons.

Het is allemaal wel op te lossen, je moet er alleen wel van bewust zijn. Je moet het niet erg vinden om even te repasten en evt. een fan op een fanless systeempje te leggen. En als je wilt "optimaliseren" door je firewall te combineren met proxmox en een sloot VMs / containers, dan kun je eigenlijk beter kiezen voor een systeem wat ontworpen is als server met een ingebouwde ventilator.

Dat laatste geldt ook voor protectli. Als bare metal firewall voldoet de passieve koeling prima, maar als je hem zwaar gaat belasten met proxmox, kun je er beter ook een fan op leggen.

Conclusie: (die hier iedere maand wordt gemaakt en daarna weer genegeerd ) beter je firewall en proxmox server gescheiden houden dan een high-spec firewall kopen waardoor je in de verleiding komt om er van alles bij te draaien.

[wian]

eymey schreef op vrijdag 29 augustus 2025 @ 10:44:
[...]
Toevallig heb ik daar onlangs niet alleen over na gedacht, maar ook de stap echt gemaakt. Van OPNSense, gevirtualiseerd in een KVM VM op een Proxmox server, naar een UCG-Fiber!

Net als @RobertMe had ik voorheen ook een Unifi Security Gateway, in 2018, nadat ik ook al switches en AP's van Ubiquiti had gekocht. Maar ik was vrij snel erg teleurgesteld over de slechte instelbaarheid van basic dingen (vooral qua DHCP en DNS en andere zaken). En toen ben ik me gaan verdiepen in OPNSense. Toen ook een Shuttle DH310 met Core i3-8100 CPU en 16 GB RAM gekocht.

Die gevirtualiseerde OPNSense, samen met een Home Assistant OS VM en wat LXC containers op die Shuttle heeft sinds begin 2019, dus ruim 6 jaar, rete stabiel gedraaid! Enige downtime was vanwege upgrades, paar keer in huis verplaatsen vanwege grondige herindeling van de meterkast, etc.

Een paar maanden terug begon de NVME SSD jn de Shuttle SMART errors te geven (hij was dik door zijn gespecificeerde aantal geschreven terabytes heen) en ook de fannetjes op het koelblok begonnen steeds meer lawaai te maken en ik kreeg het niet meer gefixt met schoonmaken. Toen heb ik dus met veel speurwerk passende fannetjes ( 2x 6 CM, 1 CM dik én met PWM ) gevonden en ook een nieuwe SSD ingebouwd, Proxmox opnieuw geinstalleerd en de VMs en LXC containers geimporteerd.

Inmiddels wilde ik echter eigenlijk ook wel eens op zoek naar wat nieuws als vervanging voor de Shuttle, het liefst ook iets waar ik mijn glasvezel met SFP+ module direct in kwijt kon, ipv de losse TP-link mediaconverter. Maar kwam er al vrij snel achter, ook via het zuinige server topic, dat de spoeling qua zuinige netwerkkaarten met SFP+ poorten behoorlijk dun was (of erg duur).

Inmiddels had de Unifi Cloud Gateway - fiber zich aangediend en waren de reviews die ik erover heb gezien lovend. Ook de Unifi Network applicatie van de controller was inmiddels flink uitgebreid met veel meer instelbaarheid en features, Wireguard, etc. En gezien mijn ervaring met het repareren van de Shuttle en het internet dat ik er toen ook uit moest gooien, ookal duurde het hooguit een half dagje, leek het me ook wel weer 'leuk' om internettoegang gewoon weer op aparte hardware te doen.

Afgelopen week heb ik de daadwerkelijke migratie van OPNSense naar de UCG-Fiber gedaan. Ik loop nog wel tegen wat dingen aan die nu op de UCG toch meer moeite lijken te gaan kosten of 'tegen vallen' qua customizability. Bijvoorbeeld:

• Ingebouwde Ad Blocking via DNS alleen gebaseerd op (te agressieve) propietary block list, terwijl ik de voorkeur aan OISD geef. Dat heb ik nu opgelost door NextDNS als DNS-servers te gaan gebruiken, daar OISD te kiezen en NextDNS via DOH vanuit de UCG in te stellen. Misschien ooit nog een Pi-hole containertje, maar dan heeft het thuisnetwerk toch weer een afhankelijkheid op de server.
• Interface voor registreren van interne hostnames of vastzetten van IP's in DHCP nog wel wat omslachtig, maar functioneel.
• Wireguard server voor site to site tunnel tussen de Fritzbox van mijn ouders en mijn netwerk, plus wireguard voor 'road warriors' moet ik nog aan beginnen/uitzoeken.
• Stroomverbruik van de UCG-Fiber toch wat tegenvallend hoog (rond de 8 watt), wat deels gecompenseerd wordt door ~5W reductie in verbruik doordat de Shuttle 1 NIC en 1 VM minder actief heeft.
• MTU van 1500 voor de PPPoE tunnel moet nog steeds 'hacky' met custom scripts, ipv dat je dit gewoon kan instellen.

Over het algemeen denk ik dat ik er (nog) geen spijt van heb dat ik de overstap heb geprobeerd, maar we zullen het de komende tijd zien of ik zelfbouw met OPNSense toch best wel zal gaan missen of niet.

Voordeel is wel dat ik mijn hele netwerk nu in één beheer interface heb, wat ook prettiger is als er ooit wat met mij mocht gebeuren en iemand in onze omgeving die niet helemaal digibeet is, maar ook niet per se verstand heeft van mijn Proxmox setup, zou mijn gezin moeten helpen bij issues. Ook is de Shuttle, zeker met het recente onderhoud, weer klaar voor nog wat jaartjes mee gaan met meer reserve capaciteit.

Net als @eymey heb ik onlangs ook de overstap gemaakt van OPNsense naar Unifi, maar dan de goedkopere UCG-Ultra. Oorspronkelijk wilde ik gewoon de verbeterde firewall functionaliteit in Unifi Network software v9.4 testen, maar ben zo tevreden dat ik voorlopig niet terug ga naar OPNsense.

Unifi UCG-Ultra Cloud Gateway Ultra met Unifi Network 9.4
voordelen:

• volledig geintegreerd in unifi - je hele netwerk beheren vanuit 1 interface
• geen aparte vm/container nodig voor de unifi network app
• inzicht in netwerkverkeer en flows - vind dit overzichtelijker en fijner werken dan in standaard opnsense
• policy based routing heel eenvoudig (verkeer door VPN sturen op basis van source adres, destination hostnames of applicatie protocol)
• wireguard server en clients instellen heel eenvoudig
• zone based firewall overzichtelijk
• uitstekende app voor telefoon/tablet
• goedkoop instapmodel met volledige 1gbit performance en laag verbruik (UCG-Ultra)

nadelen:

• GUI is mooi maar niet altijd logisch (e.g. dhcp management, twee soorten backups - netwerk app en device)
• initieel geheel handmatig instellen, beperkte import van dhcp reserveringen mogelijk
• All eggs in one Ubiquiti basket
• Ubiquiti product lijn is behoorlijk verwarrend, andere modellen met ingebouwde wifi of NVR zijn niet goedkoop.

OPNsense
voordelen:

• veel meer functionaliteit, helemaal dmv de vele beschikbare plugins en uitbreidingen
• open source, geen afhankelijkheid van vendor
• spreiding van risico - netwerk gescheiden beheren van firewall

nadelen:

• netwerk gescheiden beheren van firewall, VLANs beheren op twee plekken
• GUI is niet altijd logisch, zelfs na jaren van gebruik
• geen app voor op telefoon
• minder mooie GUI, werkt erg matig vanaf telefoon

Dus voor nu helemaal over op Unifi (totdat ik me weer ga vervelen ). Ik blijf dit topic volgen in ieder geval.

[nike]

@Eric70 ik heb vele mini pc's gehad als pfsense router. doe je veel met vlans zou ik geen J processor nemen.
Elke n150+ is prima.
Af en toe eens de backup downloaden, en mocht het mis gaan, even opnieuw installeren op andere hardware, de nics in het config bestandje goed zetten, en je bent zo weer up and running.
En mijn advies: draai je firewall op bare metal, en niks anders er op/bij.

Ook ik ben over gegaan op een cloud gateway fiber en heb pfsense uit gezet.
De firewall rulesen zones was voor mij wel even wennen, maar ben er nu wel aardig uit.

Ik mis nog wat dingen, maar kijk dat nog even aan.
(haproxy, pfblocker) hiervoor nu npmanager en de rules van unify zelf.

[RobertMe]

nike schreef op maandag 6 oktober 2025 @ 19:18:
@Eric70 ik heb vele mini pc's gehad als pfsense router. doe je veel met vlans zou ik geen J processor nemen.
Elke n150+ is prima.
Af en toe eens de backup downloaden, en mocht het mis gaan, even opnieuw installeren op andere hardware, de nics in het config bestandje goed zetten, en je bent zo weer up and running.
En mijn advies: draai je firewall op bare metal, en niks anders er op/bij.

Een N150 lijkt mij overkill? Heb zelf een N5105 nu al een jaar of 2, 3 en nog 0 issues mee gehad. Of nouja..., ik draai bare metal Debian en meer software er op, en de N5105 mist wat zaken (AVX instructieset bv) waardoor ZFS native encryption (en waar het ook lijkt ook regelmatig ook andere software encryptie met (AES) GCM) zo traag als ... is. Of nouja, niet perse extreem traag, maar wel 100% CPU load en veel trager dan geen encryptie. Er is een (outdated) PR die naast AVX als "hardware accelerated" ook SSE4.1 toevoegt, en dan is het performance verlies maar iets van tientallen MB/s i.p..v honderden. Maar routeren en NATen is voor mij geen enkel probleem.

Alhoewel een slimme netwerk opzet natuurlijk meehelpt "veel VLANs" zegt niks. Als je zaken isoleert op toepassing etc ga je vast geen Gigabits tussen VLANs pompen. Mijn servertje/NAS zitten ook gewoon in het "prive" VLAN bv, dus daarvoor hoef ik niet te routeren. En PC die Home Assistant "moet" benaderen in het IoT VLAN heeft aan een paar Kbit/s ook wel voldoende. En zelfs dan kan ik me niet indenken dat de N5105 geen Gbit/s aan zou kunnen v.w.b. routeren of NAT.

Enige potentiele (zware) bottleneck, en die benoem je dan weer niet , is PPPoE. Die is natuurlijk niet offloaded waardoor die de CPU zwaar aan het werk zet. Terwijl een consumenten routertje van een paar tientjes "gewoon" hardware offloading heeft voor PPPoE en daar dus geen enkel probleem mee heeft.

[borft]

RobertMe schreef op maandag 6 oktober 2025 @ 19:32:
[...]

Een N150 lijkt mij overkill? Heb zelf een N5105 nu al een jaar of 2, 3 en nog 0 issues mee gehad. Of nouja..., ik draai bare metal Debian en meer software er op, en de N5105 mist wat zaken (AVX instructieset bv) waardoor ZFS native encryption (en waar het ook lijkt ook regelmatig ook andere software encryptie met (AES) GCM) zo traag als ... is. Of nouja, niet perse extreem traag, maar wel 100% CPU load en veel trager dan geen encryptie. Er is een (outdated) PR die naast AVX als "hardware accelerated" ook SSE4.1 toevoegt, en dan is het performance verlies maar iets van tientallen MB/s i.p..v honderden. Maar routeren en NATen is voor mij geen enkel probleem.

Alhoewel een slimme netwerk opzet natuurlijk meehelpt "veel VLANs" zegt niks. Als je zaken isoleert op toepassing etc ga je vast geen Gigabits tussen VLANs pompen. Mijn servertje/NAS zitten ook gewoon in het "prive" VLAN bv, dus daarvoor hoef ik niet te routeren. En PC die Home Assistant "moet" benaderen in het IoT VLAN heeft aan een paar Kbit/s ook wel voldoende. En zelfs dan kan ik me niet indenken dat de N5105 geen Gbit/s aan zou kunnen v.w.b. routeren of NAT.

Enige potentiele (zware) bottleneck, en die benoem je dan weer niet , is PPPoE. Die is natuurlijk niet offloaded waardoor die de CPU zwaar aan het werk zet. Terwijl een consumenten routertje van een paar tientjes "gewoon" hardware offloading heeft voor PPPoE en daar dus geen enkel probleem mee heeft.

mee eens, mijn router is een j4115 (ik heb een odroid h2+), en die heeft geen enkele moeite met pppoe, ook niet op symmetrische gbit snelheden. routeren tussen vlans en vpn encryptie ook geen enkel probleem. (hier overigens ook debian/stable bare metal)

[RobertMe]

borft schreef op maandag 6 oktober 2025 @ 21:43:
[...]


mee eens, mijn router is een j4115 (ik heb een odroid h2+), en die heeft geen enkele moeite met pppoe, ook niet op symmetrische gbit snelheden. routeren tussen vlans en vpn encryptie ook geen enkel probleem. (hier overigens ook debian/stable bare metal)

Dat vind ik positief om te lezen nu er sinds ~1,5 week een paar honderd meter (misschien wel kilometer) glasvezel onder de stoep voor de tuin ligt
Aanleg Glaspoort. Letterlijk tientallen individuele vezels (van de woningen) die hier bij elkaar komen en met een overlengte van denk een metertje of 20 in de grond zijn gestopt.

Alhoewel PPPoE in combi met systemd-networkd AFAIK nog steeds niet echt te doen is. Gezien PPPoE een userland ding is willen ze er niet aan, dat AFAIK voor een awkward situatie zorgt dat je het halfbakken moet combineren met de defacto standaard PPPoE implementatie / daemon. Terwijl netplan, NetworkManager, etc gewoon wel PPPoE ondersteunen en onderwater (/transparant voor de gebruiker) die PPPoE daemon starten.

Maar wat ik begrepen heb... "moet PPPoE ook dood". Overblijfsel van DSL tijd waarbij er geen enkele reden is om het te gebruiken met glasvezel behalve "we gebruikten het altijd al" (en dus "het achterliggende netwerk heeft het altijd al vereist en zal het ook voor glasvezel vereisen ondanks totaal overbodig")

[Villager]

wian schreef op maandag 6 oktober 2025 @ 10:41:
[...]

Het is allemaal wel op te lossen, je moet er alleen wel van bewust zijn. Je moet het niet erg vinden om even te repasten en evt. een fan op een fanless systeempje te leggen. En als je wilt "optimaliseren" door je firewall te combineren met proxmox en een sloot VMs / containers, dan kun je eigenlijk beter kiezen voor een systeem wat ontworpen is als server met een ingebouwde ventilator.

Dat laatste geldt ook voor protectli. Als bare metal firewall voldoet de passieve koeling prima, maar als je hem zwaar gaat belasten met proxmox, kun je er beter ook een fan op leggen.

Conclusie: (die hier iedere maand wordt gemaakt en daarna weer genegeerd ) beter je firewall en proxmox server gescheiden houden dan een high-spec firewall kopen waardoor je in de verleiding komt om er van alles bij te draaien.

Wel grappig eigenlijk. Ik had dus de N100 wel ge-repaste, maar de N305 nog niet. Naar aanleiding van deze 'discussie' heb ik 'm gisteren ook gedaan en meteen het anti-stof gaasje wat tussen de uitblazende fan en de onderplaat zat verwijderd. Bij de lucht inlaat plekken heb ik het uiteraard laten zitten. Systeem draait nu zonder externe fan erop en de CPU temperatuur is van 30 graden naar 32 gegaan. Dank voor deze 'trigger'

[Tom Paris]

borft schreef op maandag 6 oktober 2025 @ 21:43:
[...]


mee eens, mijn router is een j4115 (ik heb een odroid h2+), en die heeft geen enkele moeite met pppoe, ook niet op symmetrische gbit snelheden. routeren tussen vlans en vpn encryptie ook geen enkel probleem. (hier overigens ook debian/stable bare metal)

Zelfde ervaring hier met een J4105/J5005. Dell Wyse 5070 Extended doet ongeveer 7 Gbps NAT. Zo'n 5070 of een Fujitsu S940 met een netwerkkaart naar keuze (bijv. X520, als je de ONT wil vervangen), en je bent voor minder dan €100 klaar. Dan heb je enterprise hardware met regelmatige BIOS updates.

[Sp33dFr34k]

Probleempje met OPNSense en Wireguard hier, sinds vandaag werkt het opeens niet meer. Het heeft bijna 2 jaar prima gefunctioneerd en gebruikte het dagelijks. Lag een beetje achter met updates, dus net helemaal uptodate gebracht naar 25.7.

Net nog even de handleiding 3x nagelopen, maar alles ziet er goed uit... alleen de normalization rule mistte ik, die heb ik toegevoegd. Nieuwe peers gegenereerd voor het geval de keys niet meer kloppen, maar krijg gewoon geen handshake meer, heel vreemd.

Iemand enig idee wat ik kan checken?

EDIT: dangit, ik denk probeer eens een andere app (gebruik WG Tunnel op Android ipv autotunneling), officiële WG app getest. Die werkte wel! Daarna weer WG Tunnel geprobeerd, die werkt opeens ook?! Ik begrijp het niet meer...

[ Voor 17% gewijzigd door Sp33dFr34k op 20-10-2025 22:11 ]

[Boomster]

Goedemorgen allemaal,

ik ben zoekende binnen pfsense. Het volgende wil ik graag voor elkaar krijgen:

- ik heb homeassistant binnen synology als vmmachine draaien
- het adres voor homeassistant is: 192.168.2.104

wat wil ik?
- ik wil graag voorkomen dat ik iedere keer het ip adres moet invullen. Het zou fijn zijn als ik dit adres kan markeren als bijv: /homeassistant
- dit voorkomt vervelende typfouten en werkt een stuk fijner.

Weten jullie hoe ik het IP adres kan omzeten naar een andere target in de adresbalk van de browser?

[Kabouterplop01]

Boomster schreef op zaterdag 15 november 2025 @ 08:38:
Goedemorgen allemaal,

ik ben zoekende binnen pfsense. Het volgende wil ik graag voor elkaar krijgen:

- ik heb homeassistant binnen synology als vmmachine draaien
- het adres voor homeassistant is: 192.168.2.104

wat wil ik?
- ik wil graag voorkomen dat ik iedere keer het ip adres moet invullen. Het zou fijn zijn als ik dit adres kan markeren als bijv: /homeassistant
- dit voorkomt vervelende typfouten en werkt een stuk fijner.

Weten jullie hoe ik het IP adres kan omzeten naar een andere target in de adresbalk van de browser?

Dan moet je er een hostentry (een A-record)voor maken in je DNS server.
Dan gaan we er even vanuit dat je PFsense machien je DNS server is. (DNS resolver)

[barrymossel]

Boomster schreef op zaterdag 15 november 2025 @ 08:38:
Goedemorgen allemaal,

ik ben zoekende binnen pfsense. Het volgende wil ik graag voor elkaar krijgen:

- ik heb homeassistant binnen synology als vmmachine draaien
- het adres voor homeassistant is: 192.168.2.104

wat wil ik?
- ik wil graag voorkomen dat ik iedere keer het ip adres moet invullen. Het zou fijn zijn als ik dit adres kan markeren als bijv: /homeassistant
- dit voorkomt vervelende typfouten en werkt een stuk fijner.

Weten jullie hoe ik het IP adres kan omzeten naar een andere target in de adresbalk van de browser?

Kun je niet gewoon de HA een statisch IP geven (heb je waarschijnlijk al gedaan) en daar bij de static IP settings een hostname (bijv. homeassistant) definiëren? In de general settings van pfsense staat waarschijnlijk een domain (bijv. netwerkvanboomster). Dan zou HA in principe via http://homeassistant.netwerkvanboomster:8123 te benaderen moeten zijn.

---edit---
Als je die poort niet wilt gebruiken kun je kijken naar een reverse proxy en een dns override. Op je Synology bijvoorbeeld Nginx Proxy Manager installeren. In je DNS server (ik gebruik Unbound) een override maken voor host: homeassistant en domain: netwerkvanboomster. Deze override richting IP Nginx laten wijzen. En dan in Nginx het domein homeassistant.netwerkvanboomster laten verwijzen naar 192.168.2.104 met poort 8123.

---disclaimer---
Zo zou ik het doen, maar ik ben verre van een netwerk specialist. Ik heb zeker ook die laatste niet getest.

[ Voor 22% gewijzigd door barrymossel op 15-11-2025 12:30 . Reden: toevoeging ]

[Boomster]

barrymossel schreef op zaterdag 15 november 2025 @ 12:19:
[...]

Kun je niet gewoon de HA een statisch IP geven (heb je waarschijnlijk al gedaan) en daar bij de static IP settings een hostname (bijv. homeassistant) definiëren? In de general settings van pfsense staat waarschijnlijk een domain (bijv. netwerkvanboomster). Dan zou HA in principe via http://homeassistant.netwerkvanboomster:8123 te benaderen moeten zijn.

---edit---
Als je die poort niet wilt gebruiken kun je kijken naar een reverse proxy en een dns override. Op je Synology bijvoorbeeld Nginx Proxy Manager installeren. In je DNS server (ik gebruik Unbound) een override maken voor host: homeassistant en domain: netwerkvanboomster. Deze override richting IP Nginx laten wijzen. En dan in Nginx het domein homeassistant.netwerkvanboomster laten verwijzen naar 192.168.2.104 met poort 8123.

---disclaimer---
Zo zou ik het doen, maar ik ben verre van een netwerk specialist. Ik heb zeker ook die laatste niet getest.

Bedankt voor je reactie, ondertussen is het gelukt om het te fixen, dmv een override.

[scorpio]

Dit lijkt me de betere plek voor mijn verhaal..
Had het in een post van iemand anders als reactie geplaatst maar zoals ik zei ,,hier lijkt me beter .

Ik plak het vorig verhaal maar even hier dan wordt t duidelijk ..hoop ik.
Ik hoor graag of dit klopt/werken gaat..t duurt nog wel een dikke week of anderhalf voor k de TopTon binnen heb.
-----------------------------------------------------------------------------------------------------------------------------------------------
k speelde ook al tijdje met vervangen Zyxel door mini pc met OPNsense ..idee Vlan...betere firewall etc...maar doordat ik m'n hoofd niet meer zo goed kan gebruiken als voorheen (na herseninfarct) zocht ik naar een goed , begrijpelijk en behulpzame tutorial.
Van alles doorgespit,beluistert en bekeken.

Nu net hier beland en dit lijkt me goed te helpen..k reis mee , leer en doe ideeën op.
Zal vast goed komen
wat heb ik :

sinds een jaar Odido glasvezel 1G up en down.
Van daar uit gaan 2 utp 6a kabel naar de huiskamer 2x UTP contactdoos*

*1e UTP gaat naar een RAX 120 welke staat ingesteld als AP
Die geeft wifi door aan alles wat maar wifi nodig heeft mobieltjes, TV, PSP5,Stofzuiger , 3D printer etc etc
vanuit RAX120 gaat 1x UTP naar een NAS en 1x UTP naar een DENON versterker.
Wilde ook een utp naar TV doen destijds maar snelheid ervan was lager als de wifi snelheid in de tv

*2e UTP gaat naar mijn hobby kamer naar een Switch (4x 2.5 Gbe)
Daarvanuit gaan de UTP naar:
1 > PC
2 > AP voor betere wifi dekking door het huis ..(UTP+poe injector)
3 > Canon Laserprinter

Het werkt ..maar je ziet dat een beetje scheiding en netheid wenselijk is.

Daarvoor heb ik nu eindelijk besteld een Mini PC waarvan de bedoeling is dat die mijn Odido router gaat vervangen .
Ik weet al dat ik er OPNsense op ga zetten.
Maar weet verder nog niet hoe en welke indeling ik ga maken, denk dat het goed is om Vlan's aan te maken ..maar ook dat heb k nog nooit gedaan .

Het begin is er en wanneer ik de mini pc heb zal t allemaal wel (geleidelijk) goed komen.
K doe het rustig aan en wanneer ik af en toe hier een "domme" vraag stel bij deze op voorhand excuses
K ga eens op papier zetten welke delen ik sowieso wil scheiden..IOT / PC.laptops/familie mobieltjes en tablets/ etc .
Dan weet ik iig hoeveel Vlan k nodig denk te hebben.

O ja , k heb al gezien dat ik op de RAX120 vwb wifi een guest kan maken dus ik kan daar alvast wat apparaten op zetten en scheiden v/d rest.
Verder denk/hoop ik met de minipc middels OPNsense de VLan te kunnen maken .


Ik denk dat de mini pc dit allemaal kan regelen.
Die maakt de Vlans..heeft 4 x 2.5 gbe poorten waarvan ik 2 Vlans maak..3 eigenlijk maar de eerste is als vervanging voor de Odido Zyxel router in vlan0.300

1 naar de RAX120 (die kan idd zelf geen vlan maken ) welke dan t adres en ID van Vlan 1 krijgt en zelf daarnaast nog wel een wifi guest kan maken en ook alles via MAC adressen kan beschermen op de "normale""niet guest "wifi en de UTP poorten

de andere naar mijn switch als vlan 2 en die gaat naar mijn pc , LPT , (MAC beschermd) en AP welke weer een guest kan maken..

Zo ongeveer had ik het bedacht maar dat is dus zonder precieze Vlan kennis..
Ik dacht dat wanneer de minipc de Vlans insteld de rest alleen maar de juiste adressen ervan zou nodig hebben
Maar dan nog zou k nu nog niet weten hoe ik dan met pc op de NAS (welke op de ander Vlan zal zitten .kan komen..hihi..je "hoort het ..niet helemaal een noob maar nog niet alles machtig op dat gebied en tegenwoordig wat meer moeite... maar had wat ik nu heb al wel nice voor elkaar en beveiligd
Maar de Mini PC ..nuc ,nic whatever heeft 4 x 2.5 Gbe en een goede pentium J6412 ..12 G ddr4 en 256 NVMe




Hoor graag of dit überhaupt kan en waarom indien niet.
Of suggesties hoe ik dit beter kan inrichten ..hoofddoel van de mini pc was betere bescherming maar zou mooi zijn als ik wat kan scheiden via Vlan..(naast de guest op de wifi) maar als dat niet kan blijft dus de router/firewall functie van de minipc (OPNsense) over

[ Voor 4% gewijzigd door scorpio op 19-11-2025 17:40 ]

[commentator]

voor je verder gaat; kan je switch wel overweg met vlans?
Er zijn op youtube mooie uitleg video's over vlan en opnsense te vinden

[GoBieN-Be]

De VLAN's moet je inderdaad aanmaken op je OPNsense firewall, daar moet je dan voor één of meedere VLAN netwerken een apart subnet configureren (bv 192.168.101.0/24) en DHCP instellen.

Je moet aan een switch poort een VLAN ID kunnen toewijzen, dus moet een managed switch zijn.
Op je accesspoint moet je een apart WiFi netwerk kunnen maken waarbij je een VLAN ID kan instellen.
Je accesspoint moet je dan aansluiten op een poort waarbij VLAN 1 untagged is (standaard zo) en VLAN 101 (voorbeeld nummer) voor GUEST en VLAN 102 voor IOT tagged zijn.

In de OPNsense firewall moet je dan nog regels instellen dat GUEST en IOT netwerk wel of niet internettoegang hebben, en wellicht wil je een regel dan je wel vanuit je gewoon LAN (VLAN ID 1) toestellen kan bereiken in IOT bijvoorbeeld.

Ik zou in jouw geval misschien beginnen met OPNsense zonder zelf VLAN's te maken.
Om eerst de OPNsense netwerkconfiguratie en firewall regels te leren kennen.
Dan pas daarna complexer maken met eigen VLAN's op je netwerk.

[scorpio]

GoBieN-Be schreef op woensdag 19 november 2025 @ 19:23:

Ik zou in jouw geval misschien beginnen met OPNsense zonder zelf VLAN's te maken.
Om eerst de OPNsense netwerkconfiguratie en firewall regels te leren kennen.
Dan pas daarna complexer maken met eigen VLAN's op je netwerk.

Dat ga ik inderdaad maar eerst eens doen..niet direct noodzaak voor Vlan..wel wens...
Als de netwerkconfiguratie en firewall eenmaal goed is geregeld..kan k van leren..dan verder kijken..hoe en wat

Stap voor stap..

[ Voor 5% gewijzigd door scorpio op 20-11-2025 16:45 ]

[commentator]

scorpio schreef op donderdag 20 november 2025 @ 16:44:
[...]


Dat ga ik inderdaad maar eerst eens doen..niet direct noodzaak voor Vlan..wel wens...
Als de netwerkconfiguratie en firewall eenmaal goed is geregeld..kan k van leren..dan verder kijken..hoe en wat

Stap voor stap..

stap voor stap kan ook door wel vlans aan te maken en alles eerst in een vlan "huidig" / "oud" of net hoe je het noemen wil te plaatsen en dan bijv 1 apparaat om te zetten naar een ander vlan. Dan heb je ook precies onder controle wat je er is

[scorpio]

heb net een managed switch besteld,,goedkoop nu...kan k niet laten liggen .misschien nog 1 voor in woonkamer.
Kan k iig beginnen wanneer er klaar voor ben.
Dacht echt dat de minipc de vlans kon maken en ik met 2 utp kabels met verschillende vlans vreder kon..dan dus de woonkamer op 1 vlan ...mijn pc/hobby kamer op de andere vlan


En dan de switch die k bedoelde op 1 dezelfde vlan unmanaged switch maar nu dus managed besteld ..kan daar dus mee verder .

Maar een managed switch in woonkamer weet k nog niet zeker (te weinig kennis) of k daar wel een managed switch nodig ben ,, de RAX120 staat er , tv , denon versterker, psp 5 , Synology NAS....
ff een puzzel wat ik waarop ga zetten , zal wel makkelijker zijn daar wel ook M switch te plaatsen dus hihi

huidige ik is een beetje een chaoot maar t komt goed ...meestal

K post hier wel sommige stapjes ..helpt me te ordenen en hoor direct als k t verkeerd heb en/of beter kan
zal straks na het eten wel ff iets op papier tekenen hoe t nu zit..wie weet welk advies iemand kan geven als ie dat ziet

[ Voor 43% gewijzigd door scorpio op 20-11-2025 18:30 ]

[scorpio]

Hier mijn gedachten grafisch proberen weer te geven
Zoals nu en zoals ik (voorlopig) denk straks

[TumTum]

scorpio schreef op donderdag 20 november 2025 @ 17:07:
heb net een managed switch besteld,,goedkoop nu...kan k niet laten liggen .misschien nog 1 voor in woonkamer.
Kan k iig beginnen wanneer er klaar voor ben.
Dacht echt dat de minipc de vlans kon maken en ik met 2 utp kabels met verschillende vlans vreder kon..dan dus de woonkamer op 1 vlan ...mijn pc/hobby kamer op de andere vlan
[Afbeelding]

En dan de switch die k bedoelde op 1 dezelfde vlan unmanaged switch maar nu dus managed besteld ..kan daar dus mee verder .

Maar een managed switch in woonkamer weet k nog niet zeker (te weinig kennis) of k daar wel een managed switch nodig ben ,, de RAX120 staat er , tv , denon versterker, psp 5 , Synology NAS....
ff een puzzel wat ik waarop ga zetten , zal wel makkelijker zijn daar wel ook M switch te plaatsen dus hihi

huidige ik is een beetje een chaoot maar t komt goed ...meestal

K post hier wel sommige stapjes ..helpt me te ordenen en hoor direct als k t verkeerd heb en/of beter kan
zal straks na het eten wel ff iets op papier tekenen hoe t nu zit..wie weet welk advies iemand kan geven als ie dat ziet

Die had ik ook. Moet je goed beveiligen.
Uiteindelijk vervangen voor; uitvoering: Ubiquiti Flex Mini 2.5G
Zijn in de aanbieding geweest voor 40 p/s en heb er toen een paar aangeschaft.

[scorpio]

Met moet je goed beveiligen bedoel je.. Die gaat je goed beveiligen of... je moet hem goed beveiligen... Indien t laatste... Hoe? Opnsense gaat/kan dat toch?

[RobertMe]

scorpio schreef op donderdag 20 november 2025 @ 20:23:
Met moet je goed beveiligen bedoel je.. Die gaat je goed beveiligen of... je moet hem goed beveiligen... Indien t laatste... Hoe? Opnsense gaat/kan dat toch?

Ik neem aan dat @TumTum doelt op "plaats geen Chinese crap maar vervang het door een Amerikaans merk". Beetje de vraag "wie wil je dat je mogelijk bespioneert" (/me heeft ook allemaal UniFi op de router na. Chinees van Ali / Amazon / ... voelt dan toch "raar" / "onveilig")

[scorpio]

Ja snap t maar heb eigenlijk hetzelfde gevoel bijna bij Amerikaanse spullen 😏
En hoe goed weten of kunnen we dit weten.. Kan alleen de firewall goed inrichten en kijken via poortscans of ze net als nu goed dicht staan.

Verheug me iig op de spullen en t ermee bezig gaan☺️

[GoBieN-Be]

Ik ken die Hasivo en Horaco managed switches.
Zeer basis, maar doen hun werk.
Wel opletten dat je niet vergeet naar Tools te gaan en SAVE te drukken.
Anders bij reboot alle settings weer default.

[scorpio]

lees net dat je van de ene Vlan niet op de andere kan komen.
Wordt ff een puzzel want ik wil de NAS kunnen benaderen via de PC..
maar de NAS ook met Plex op TV gebruiken
Of ik moet PC/NAS EN TV op 1 Vlan (bekabeld) zetten maar dan kunnen familieleden niet meer via hun mobieltje (wifi) bv foto's naar de tv sturen ?

K moet nog veel lez(r)en

Bedenk me net ..kan natuurlijk altijd de TV dan tijdelijk op wifi zetten

[ Voor 13% gewijzigd door scorpio op 21-11-2025 16:55 ]

[commentator]

scorpio schreef op vrijdag 21 november 2025 @ 16:52:
lees net dat je van de ene Vlan niet op de andere kan komen.
Wordt ff een puzzel want ik wil de NAS kunnen benaderen via de PC..
maar de NAS ook met Plex op TV gebruiken
Of ik moet PC/NAS EN TV op 1 Vlan (bekabeld) zetten maar dan kunnen familieleden niet meer via hun mobieltje (wifi) bv foto's naar de tv sturen ?

K moet nog veel lez(r)en

Bedenk me net ..kan natuurlijk altijd de TV dan tijdelijk op wifi zetten

ja dat is het doel he dat apparaten niet bij elkaar kunnen komen.
Je kunt wel een regel in de firewall maken waardoor dat wel kan of dat juist maar 1 apparaat dat kan

[scorpio]

commentator schreef op vrijdag 21 november 2025 @ 16:57:
[...]

ja dat is het doel he dat apparaten niet bij elkaar kunnen komen.
Je kunt wel een regel in de firewall maken waardoor dat wel kan of dat juist maar 1 apparaat dat kan

Kijk ..dat helpt me ..
ook maar ff in verdiepen..poort forwarden, portal oid neem k aan..maar k zoek t op.
Thanks

[ Voor 4% gewijzigd door scorpio op 21-11-2025 17:03 ]

[RobertMe]

scorpio schreef op vrijdag 21 november 2025 @ 16:52:
lees net dat je van de ene Vlan niet op de andere kan komen.

Daarvoor heb je een verkeersregelaar nodig, die zou je ook wel een router kunnen noemen.

Je verkeer gaat dus naar de router, en die zorgt ervoor dat het naar een ander VLAN gaat (of in andere gevallen naar internet).

Enige waar je vervolgens op moet letten is dat je waarschijnlijk niet alle verkeer tussen alle VLANs toe wilt staan, anders hebben de VLANs 0,0 nut. En dat regel je dan weer met de firewall. (Die vaak is inbegrepen in de router)

[scorpio]

yup..daarvoor komt er op de mini pc OPNsense.
Die gaat de Zyxel vervangen, dit is een mooi YT filmpje voor me als t straks binnenkomt..heb al stuk bekeken

T is nu w888 tot de spulletjes binnenkomen
Goed weekend

O ja ..deze ook op de kop getikt

[ Voor 43% gewijzigd door scorpio op 21-11-2025 18:50 ]

[TumTum]

RobertMe schreef op donderdag 20 november 2025 @ 20:51:
[...]

Ik neem aan dat @TumTum doelt op "plaats geen Chinese crap maar vervang het door een Amerikaans merk". Beetje de vraag "wie wil je dat je mogelijk bespioneert" (/me heeft ook allemaal UniFi op de router na. Chinees van Ali / Amazon / ... voelt dan toch "raar" / "onveilig")

Dit is wel een beetje uit de context. De firmware van die switches is enorm brak. Je moet ze dus goed isoleren. Dat staat los van de spionage discussie. Dat maak jij ervan.

[Tom Paris]

De echte Tweaker koopt een switch waar 'ie OpenWrt op kan flashen...

[duvekot]

Tom Paris schreef op vrijdag 21 november 2025 @ 21:47:
De echte Tweaker koopt een switch waar 'ie OpenWrt op kan flashen...

Heb je een lijstje met voorbeelden en prijzen?

[Tom Paris]

duvekot schreef op vrijdag 21 november 2025 @ 21:57:
[...]

Heb je een lijstje met voorbeelden en prijzen?

https://toh.openwrt.org/?features=type_switch&view=all

[RobertMe]

TumTum schreef op vrijdag 21 november 2025 @ 21:35:
[...]


Dit is wel een beetje uit de context. De firmware van die switches is enorm brak. Je moet ze dus goed isoleren. Dat staat los van de spionage discussie. Dat maak jij ervan.

Ik probeerde de vraag te beantwoorden en speculeerde over de reden. Leek mij uit de post ook duidelijk.

En ik snap ook niet hoe je nu "je moet ze goed beveiligen" knoopt aan "brakke firmware". Bij "brakke firmware" denk ik aan bugs, vastlopers, .... En dat los je niet op door ze "goed te beveiligen". Enige dat past bij "firmware" en "goed beveiligen" is dat de authenticatie / authorizatie tot de management interface niet goed in elkaar zit / lek is. Maar dat haal ik dus niet uit je originele post.

[duvekot]

Tom Paris schreef op vrijdag 21 november 2025 @ 22:03:
[...]
https://toh.openwrt.org/?features=type_switch&view=all

Redelijke open deur 🚪... Ik dacht je een aantal voorbeelden had die je gebruikt had/hebt .. en natuurlijk wat moderne hardware.

[scorpio]

K zie soms door de bomen/diagrammen/uitleg/instructiefilmpjes het bos/netwerk niet meer.

Kan iemand me uitleggen of doorverwijzen naar een goede uitleg/video

1 Ik wil graag (zie schema) weten hoe ik straks na installatie minipc met OpnSense en daarop 2 of 3 Vlans heb gecreëerd sommige afzonderlijke apparaten toegang geef tot elkaar

Bv....Mijn PC (Vlan2) moet ook naar NAS (Vlan3 ) en vice versa
Is dat via regels in firewall of trunk in te stellen..
Of wel (zie tekening) utp1 v/d minipc wordt WAN ..UTP2 naar Vlan2 (richting hobbykamer) maar daar wil ik via managed switch weer zaken scheiden via elk eigen utp..(PC , Acces point wifi, printer,)


2 ik heb nu ook de NAS afgesloten v/h internet maar kan Plex dan niet eerder gebruiken dan wanneer ik weer internet toegang geef..al wii ik plex alleen op LAN gebruiken..
Kan ik dat straks instellen in de router/firewall?

Misschien iemand die al een soortgelijk systeem heeft en dat kan/wil delen met me?
Of weet welk yt vid of site ik naartoe kan?

Misschien moet ik gewoon wachten tot alles er is en wijst het zich vanzelf maar k mag me graag voorbereiden/inlezen/leren



Nu eerst naar verjaardag Kkind

[commentator]

scorpio schreef op zondag 23 november 2025 @ 13:49:
K zie soms door de bomen/diagrammen/uitleg/instructiefilmpjes het bos/netwerk niet meer.

Kan iemand me uitleggen of doorverwijzen naar een goede uitleg/video

1 Ik wil graag (zie schema) weten hoe ik straks na installatie minipc met OpnSense en daarop 2 of 3 Vlans heb gecreëerd sommige afzonderlijke apparaten toegang geef tot elkaar

Bv....Mijn PC (Vlan2) moet ook naar NAS (Vlan3 ) en vice versa
Is dat via regels in firewall of trunk in te stellen..
Of wel (zie tekening) utp1 v/d minipc wordt WAN ..UTP2 naar Vlan2 (richting hobbykamer) maar daar wil ik via managed switch weer zaken scheiden via elk eigen utp..(PC , Acces point wifi, printer,)


2 ik heb nu ook de NAS afgesloten v/h internet maar kan Plex dan niet eerder gebruiken dan wanneer ik weer internet toegang geef..al wii ik plex alleen op LAN gebruiken..
Kan ik dat straks instellen in de router/firewall?

Misschien iemand die al een soortgelijk systeem heeft en dat kan/wil delen met me?
Of weet welk yt vid of site ik naartoe kan?

Misschien moet ik gewoon wachten tot alles er is en wijst het zich vanzelf maar k mag me graag voorbereiden/inlezen/leren

[Afbeelding]

Nu eerst naar verjaardag Kkind

bekijk deze lijst eens
https://www.youtube.com/@...guy/search?query=opnsense

[scorpio]

Dank je 👌

[barrymossel]

scorpio schreef op zondag 23 november 2025 @ 13:49:
K zie soms door de bomen/diagrammen/uitleg/instructiefilmpjes het bos/netwerk niet meer.

Kan iemand me uitleggen of doorverwijzen naar een goede uitleg/video

1 Ik wil graag (zie schema) weten hoe ik straks na installatie minipc met OpnSense en daarop 2 of 3 Vlans heb gecreëerd sommige afzonderlijke apparaten toegang geef tot elkaar

Bv....Mijn PC (Vlan2) moet ook naar NAS (Vlan3 ) en vice versa
Is dat via regels in firewall of trunk in te stellen..
Of wel (zie tekening) utp1 v/d minipc wordt WAN ..UTP2 naar Vlan2 (richting hobbykamer) maar daar wil ik via managed switch weer zaken scheiden via elk eigen utp..(PC , Acces point wifi, printer,)


2 ik heb nu ook de NAS afgesloten v/h internet maar kan Plex dan niet eerder gebruiken dan wanneer ik weer internet toegang geef..al wii ik plex alleen op LAN gebruiken..
Kan ik dat straks instellen in de router/firewall?

Misschien iemand die al een soortgelijk systeem heeft en dat kan/wil delen met me?
Of weet welk yt vid of site ik naartoe kan?

Misschien moet ik gewoon wachten tot alles er is en wijst het zich vanzelf maar k mag me graag voorbereiden/inlezen/leren

[Afbeelding]

Nu eerst naar verjaardag Kkind

https://homenetworkguy.com/how-to/

Eerst goed lezen en pas uitvoeren als je het echt snapt. Want je Zyxel doet het beter dan een OPNSense boxje welke niet goed is geconfigureerd.

[scorpio]

barrymossel schreef op zondag 23 november 2025 @ 19:12:
[...]

https://homenetworkguy.com/how-to/

Eerst goed lezen en pas uitvoeren als je het echt snapt. Want je Zyxel doet het beter dan een OPNSense boxje welke niet goed is geconfigureerd.

Dank je , deze had ik gevonden en bewaard..na zijn youtube video.
Is een goede en schijn k te snappen
Ga k nog weer lezen en als alles er is is dit een goede om erbij te houden

[ Voor 8% gewijzigd door scorpio op 23-11-2025 20:02 ]

[scorpio]

Mooie vrij recente van dezelfde man
https://youtube.com/playl...NWL_I&si=Xc_Y0q0Mw0iLyQNm

[scorpio]

Update:

Inmiddels alles binnen maar k kom er nog niet helemaal uit.
Installeren OpnSense was een eitje en k kom ook in de ui

Maar k wil hem het liefst nu eerst tussen de Zyxel router (odido) en mijn netwerk hebben om vandaaruit alles rustig in te stellen.

Heb deze beste man zijn vid gevolgd en ging (dacht ik) ook allemaal goed.
Hij gaat uit van de mini pc na odido router als Bridge
K heb dus odido gelaten zoals was ..glasvezel>ont>utp>wan
Vanuit de odido 1e Lan poort naar de mini pc en vanuit de minipc >utp>Lan

Maar een maal ertussen gezet kreeg ik geen netwerk..geen internet en kon uiteraard de OPNSense pc ook niet meer bereiken.

Of moet ik iets in de Zyxel aanpassen?

K zal eens een andere tutorial opzoeken..

Wordt vervolgd

Update ..heb gevonden ..k neem hier rustig de tijd voor maar zal uiteindelijk goedkomen

[ Voor 21% gewijzigd door scorpio op 02-12-2025 11:57 ]

[barrymossel]

scorpio schreef op dinsdag 2 december 2025 @ 11:37:
Update:

Inmiddels alles binnen maar k kom er nog niet helemaal uit.
Installeren OpnSense was een eitje en k kom ook in de ui

Maar k wil hem het liefst nu eerst tussen de Zyxel router (odido) en mijn netwerk hebben om vandaaruit alles rustig in te stellen.

Heb deze beste man zijn vid gevolgd en ging (dacht ik) ook allemaal goed.
Hij gaat uit van de mini pc na odido router als Bridge
K heb dus odido gelaten zoals was ..glasvezel>ont>utp>wan
Vanuit de odido 1e Lan poort naar de mini pc en vanuit de minipc >utp>Lan

Maar een maal ertussen gezet kreeg ik geen netwerk..geen internet en kon uiteraard de OPNSense pc ook niet meer bereiken.

Of moet ik iets in de Zyxel aanpassen?

K zal eens een andere tutorial opzoeken..

Wordt vervolgd

Update ..heb gevonden ..k neem hier rustig de tijd voor maar zal uiteindelijk goedkomen
[Afbeelding]

Kun je die Zyxel wel in bridge mode zetten?? https://community.odido.n...bridge-mode-zetten-344116 en https://community.odido.n...bridge-mode-zetten-365997

Dus gewoon modem er tussenuit en dan VLAN 300. (Als je het kunt ontcijferen: https://forum.opnsense.org/index.php?topic=45027.0)

[vDorst]

Tom Paris schreef op vrijdag 21 november 2025 @ 21:47:
De echte Tweaker koopt een switch waar 'ie OpenWrt op kan flashen...

Deze Realtek chipset RTL8372/8373(N)-switches, is al een open firmware in de maak.
Deze Realtek zijn que energie-verbruik wel beter dan eentje waarom je OpenWRT kan zetten.

[scorpio]

barrymossel schreef op dinsdag 2 december 2025 @ 14:34:
[...]

Kun je die Zyxel wel in bridge mode zetten?? https://community.odido.n...bridge-mode-zetten-344116 en https://community.odido.n...bridge-mode-zetten-365997

Dus gewoon modem er tussenuit en dan VLAN 300. (Als je het kunt ontcijferen: https://forum.opnsense.org/index.php?topic=45027.0)

Ben even aan de gang gegaan met de "nieuwe " tutorial waarvan ik de link net plaatste .
K ben iets meer dan halverwege ..begint een beetje te duizelen dus andere keer verder.
Das de pest met m'n conditie..k wil en kan wel maar dan moet ik er echt de tijd voor nemen en op tijd rusten om later weer verder te gaan.
Vandaag te druk ook met ander zaken bezig geweest(o.a. kleinkinderen) en dat kan gewoon niet samen .
Ik had beter morgen kunnen beginnen ..maar ok.

Maar zo via deze weg plaats ik hoe ver ik ben en lees vanzelf wat iemand hier typt en wat ik beter kan doen of juist moet laten.

Ik denk dat deze (via de link) me te "moeilijk " is ..

Wat jij hier zegt komt me beter voor..ik wil eigenlijk en lijkt me makkelijker:
maar hoe minipc instellen hiervoor en en pakt de MiniPC dan wel een extern ip van odido
Ik heb er geen probleem mee als zyxel blijft wie/waar hij is en de minipc als een soort tussenstap fungeert en je daar dan firewall en VLAN mee kunt instellen
Maar als de Zyxel overname door de minipc makkelijker is en de ips adressen net zo goed kan verdelen over de netwerken en ik ook daarna wel de vlans kan doen sta ik er uiteraard voor open maar hoe.
En eenmaal de minipc ertussen hoe kom ik weer op zijn ui (welk ip krijgt ie dan)
Ik maak het misschien moeilijker dan is.

Vandaar dat k nu bezig was/ben met


1 De zyxel laten voor wat hij is.
2 De UTP's die er nu inzitten in de OpenSense pluggen ETh 1 en ETH 2
3 De 1e UTP vanaf de Zyxel (die heeft 2.5 Gbe ) op de WAN poort ETH0 v/d Minipc zetten en net als bv nu mijn AP krijgt die dan een adres welke hij verder geven kan aan de 2 netwerken.
Dan geeft de Zyxel (als de miniPC goed ingesteld staat) een ip adres aan de MiniPC en die moet dan de netwerken 1 en 2 verder "bedienen.
Als dat werkt kan ik eerst verder en hoop ik me ermee te kunnen redden en ga k me wagen aan Vlan's voor die 2 netwerken te maken zodat ik mijn wifi kan scheiden van mijn pc etc..maar das voor later.

Eerst dus ZYxel.(zo laten) >>minipc WAN>>2 UTP's >LAN
Als ik daar hulp voor kan krijgen of ik vindt daarvoor een stappenplan???

Sorry als dit wat onbenullig overkomt maar k kan t niet anders brengen dan t is

[HowsMyApple]

@scorpio Ik heb ook Odido, ook een mini-pc (met gevisualiseerde OPNsense) en ook de Zyxel modem ertussenuit gehaald.
Mijn hoofd zit te vol met snot en ik ben te koortsig om fatsoenlijk je verhaal te kunnen lezen, maar mocht je wat gerichte vragen hebben over hoe ik iets heb ingesteld mag je me gerust een pm sturen.

[scorpio]

HowsMyApple schreef op dinsdag 2 december 2025 @ 19:44:
@scorpio Ik heb ook Odido, ook een mini-pc (met gevisualiseerde OPNsense) en ook de Zyxel modem ertussenuit gehaald.
Mijn hoofd zit te vol met snot en ik ben te koortsig om fatsoenlijk je verhaal te kunnen lezen, maar mocht je wat gerichte vragen hebben over hoe ik iets heb ingesteld mag je me gerust een pm sturen.

Dank je wel 👌 en rustig aan... Eerst maar ff beter worden.. Beterschap en zodra je wat beter bent kunnen we contact opnemen en een manier zoeken om 't samen te doen? Of misschien heb je een paar stappen die k alvast ter voorbereiding al kan doen.

K heb dus opnsense er iig op.. Maar kan er makkelijk opnieuw en schoon op.

Beterschap en nogmaals dank je

[Tom Paris]

vDorst schreef op dinsdag 2 december 2025 @ 15:02:
[...]

Deze Realtek chipset RTL8372/8373(N)-switches, is al een open firmware in de maak.
Deze Realtek zijn que energie-verbruik wel beter dan eentje waarom je OpenWRT kan zetten.

OpenWrt heeft al een behoorlijke tijd ondersteuning voor Realtek-bases switches, binnenkort ook voor switches van Microchip.

[vDorst]

Tom Paris schreef op dinsdag 2 december 2025 @ 20:27:
[...]
OpenWrt heeft al een behoorlijke tijd ondersteuning voor Realtek-bases switches, binnenkort ook voor switches van Microchip.

Maar niet voor Realtek chipset RTL8372/8373(N)-switches. Want daarin zie een 8051 met weinig geheugen.
Maar deze chipset kan wel heel veel wat je van een switch verwacht en heeft maar 1 watt idle verbruik als niks is aangesloten.

[Zenix]

Ik heb ook een nieuw zelfbouw router gekocht om mijn gevirtualiseerde te vervangen, toch wel handig om een apart apparaat te hebben.

Ben voor de Radxa 52C 2GB gegaan en ga daar OpenWRT opzetten.
Deze is wat zuiniger dan een mini pc, maar zeker niet traag.
https://nl.aliexpress.com/item/1005007987542975.html

[RobertMe]

Zenix schreef op zondag 14 december 2025 @ 21:34:
Deze is wat zuiniger dan een mini pc, maar zeker niet traag.
https://nl.aliexpress.com/item/1005007987542975.html

Pics Numbers or it didn't happen.

edit:
Voor de duidelijkheid. Initieel doelde ik op "verbruikscijfers" (als in: hoe zuinig). Maar het is natuurlijk ook wel interessant om te weten wat die daadwerkelijk aan snelheid doet. Routeren tussen VLANs (theoretisch maximum dus de 2,5Gbit/s als je dat voor de rest ook hebt) en/of naar WAN (mag toch hopen dat die 1Gbit/s sowieso dicht kan trekken als je dat hebt. Maar evt ook met zaken als PPPoE hoe die het daar onder doet).

* RobertMe heeft het idee dat zijn TopTon begint te rammelen. Gisteren een update gedaan (van plain Debian dat er op draait). Vervolgens heel dom sudo systemctl poweroff gedaan, en vervolgens... niks. Stroom er meermaals af gehad ook maar ging niet aan. Uit getrokken en "mee genomen naar het bureau", ingestoken * ploep * power LED ging aan. Terug de kelder in waar die hangt. Nope. Pas na een aantal pogingen en het ding nog steeds in mijn hand ging die aan. Vervolgens terug geplaatst, waarvoor de stroom er weer uit moet ("ligt" in een 3D print met de power connector aan de onderkant), en weer niks / meerdere pogingen nodig.

Hiervoor heb ik wel gehad dat met Debian Bookworm als ik powertop --auto-tune (/alle powertop opties behalve voor de I226 NIC want dan crasht die) had gedaan en dan wilde rebooten dat er "niks meer gebeurde" en de stroom er af moest (dat er een power knop op zit vergat ik meestal / werkte ook niet?). Maar dan ging die wel ook meteen aan (/stroom moest er wellicht wel even een seconde of 2, 3 af, en dan heb ik het over de barrel plug uittrekken, niet de stroom uit het stopcontact en een adapter die nog wat "na-ijlt"). Sinds de Trixie update leek die dan weer helemaal niet te rebooten. Maarja, dan dus wel dat die nog steeds gewoon opstartte na een power-cycle.

Alleen..., twijfelde ik eigenlijk al langer over iets nieuws. De "router" is nu multi functioneel en draaien wat meer zaken op. Niet alleen wat netwerk spul (Unbound incl. ad-blocking; FreeRADIUS; ...) maar ook een torrent client (voor de Linux ISOs) zodat dat niet over het hele netwerk hoeft. Maar naast de N5105 router (met SODIMM) heb ik ook een N5105 systeempje (met gesoldeerd RAM ) als server. En die laatste heeft 8GB RAM en dat zit "tot over de rand" vol. Waardoor ik ook wat dingen verplaatst heb. En eigenlijk vind ik dat best prima werken en is ook onderhoud / rebooten niet echt een issue (ook het servertje reboot ik zelden en is met een minuutje weer up. Moet ook wel anders ligt mijn Home Assistant op zijn gat). En mijn idee was om wellicht gewoon te consolideren. Maar met de huidige RAM prijzen denk ik dat dat sowieso maar even niet gaat gebeuren En SODIMM voor de TopTon router kan ik gewoon uit oudere laptops halen Zit nu 2x 8 in. Maar 2x 16 kan ik ook nog wel ergens vandaan toveren als het echt nodig zou zijn.

[ Voor 7% gewijzigd door RobertMe op 14-12-2025 21:59 ]

[Zenix]

RobertMe schreef op zondag 14 december 2025 @ 21:53:
[...]

Pics Numbers or it didn't happen.

Ik heb hem nog niet, maar ben benieuwd deze doet 5W en is redelijk vergelijkbaar YouTube: NanoPi R6S - 2.35Gbps Throughput with only 5W of Power Consumption bijvoorbeeld. Hij schijnt zelfs 3.5Gbps aan Wireguard te kunnen https://forum.openwrt.org/t/a-wireguard-comparison-db/187586

Er zit ook een 8-core SoC in waarvan één cluster is uitgeschakeld, ga wel kijken of die ik nog aan de de praat kan krijgen

[ Voor 12% gewijzigd door Zenix op 14-12-2025 23:31 ]

[Chris.nl]

Zenix schreef op zondag 14 december 2025 @ 22:50:
[...]


Ik heb hem nog niet, maar ben benieuwd doet 5W en is redelijk vergelijkbaar YouTube: NanoPi R6S - 2.35Gbps Throughput with only 5W of Power Consumption bijvoorbeeld. Hij schijnt zelfs 3.5Gbps aan Wireguard te kunnen https://forum.openwrt.org/t/a-wireguard-comparison-db/187586

Er zit ook een 8-core SoC in waarvan één cluster is uitgeschakeld, ga wel kijken of die ik nog aan de de praat kan krijgen

Leuk om te lezen, ben zelf ook enthousiast over OpenWRT op RockChip spul.

Die 5watt ga je idle waarschijnlijk niet aantikken

[RobertMe]

Zijn er eigenlijk niet van dit soort, zuinige (ARM) bordjes maar dan met 2x SSD optie? Zal dan wel hoogstwaarschijnlijk 2x NVME zijn aangezien die dingen dan wel PCIe hebben maar geen SATA (moet dan via losse controller). Maar zou dan wel interessant zijn voor mijn "use case". (Alhoewel ik met 1x SSD en 1x betrouwbare eMMC misschien ook weg zou kunnen).

---

En hoe zit het met hardware offloading? Volgens mij is dat iets dat alleen MediaTek kan? V.w.b. routing / NAT (/firewall?) offloading?
En Qualcomm heeft dan weer een instructieset voor het encryptie algoritme van Wireguard. Maar dat gaat vast gepaard met een gesloten "driver".

[Chris.nl]

FriendlyElec heeft meerdere NanoPi bordjes met eMMC/UFS en m.2 slot voor SSD. Geloof dat ze ook een NanoPc T6 hebben waar 2 SSD's aan kunnen.

OrangePi fabriceert ook dat soort spul.

Qua PPPoE / Wireguard performance is 't idd verstandig om specs en benchmarks te checken. Ik zou gewoon niet rekenen op hardware offloading.

[Tom Paris]

RobertMe schreef op maandag 15 december 2025 @ 09:20:
En hoe zit het met hardware offloading? Volgens mij is dat iets dat alleen MediaTek kan? V.w.b. routing / NAT (/firewall?) offloading?

Niet. Dit soort SoC's zijn general purpose designs, ze zijn niet ontworpen met hardware offloading. Ze kunnen prima dienst doen in een router, maar dan is alle packet processing op basis van brute rekenkracht. Hardware offloading zit doorgaans alleen in SoC's die specifiek ontworpen zijn voor netwerk-toepassingen. Alle grote designers hebben hardware offloading in hun netwerk-SoCs (Qualcomm, Broadcom, MediaTek, NXP, etc.), maar iedereen behalve MediaTek houdt de drivers closed source. (Hoewel Qualcomm met hun WiFi 7 generatie een deeltje open source lijkt te gaan maken.)

RobertMe schreef op maandag 15 december 2025 @ 09:20:
En Qualcomm heeft dan weer een instructieset voor het encryptie algoritme van Wireguard. Maar dat gaat vast gepaard met een gesloten "driver".

Heb je hier een bron van? Ik zie alleen maar AI hallucinaties als ik hier op zoek. De cipher die gebruikt wordt door Wireguard (ChaCha20) is juist ontworpen om met een generieke instructieset te werken, met operaties die elke CPU kent: Addition, Rotation, eXclusive-OR. Nu zijn er CPU extensies die dit soort operaties 'accelereren' door meerdere operaties samen te voegen in één cycle. Dat kan bijv. met SIMD (kan vrijwel elke CPU), NEON (generieke ARM bouwsteen) of AVX/AVX2/AVX512 op nieuwere AMD en Intel CPUs. Maar dat is dus niet echt een specifieke Wireguard/ChaCha20 accelerator, en ook niet exclusief voor Qualcomm...

[RobertMe]

Tom Paris schreef op maandag 15 december 2025 @ 12:16:
[...]


Niet. Dit soort SoC's zijn general purpose designs, ze zijn niet ontworpen met hardware offloading. Ze kunnen prima dienst doen in een router, maar dan is alle packet processing op basis van brute rekenkracht. Hardware offloading zit doorgaans alleen in SoC's die specifiek ontworpen zijn voor netwerk-toepassingen. Alle grote designers hebben hardware offloading in hun netwerk-SoCs (Qualcomm, Broadcom, MediaTek, NXP, etc.), maar iedereen behalve MediaTek houdt de drivers closed source. (Hoewel Qualcomm met hun WiFi 7 generatie een deeltje open source lijkt te gaan maken.)

Nouja, ze bestaan dus wel. Alleen worden ze (waarschijnlijk) niet toegepast op dit soort SBCs. Terwijl, nouja, de SBCs / doosjes toch vaak verkocht worden als "router". En volgens mij ook MediaTek regelmatig opduikt in dit soort systemen.

[...]


Heb je hier een bron van?

Ik heb het laatst ergens online gelezen. Maar geen idee meer waar en kan het zo snel ook niet meer vinden. Was IIRC wel op een forum/... en dus niks officieels, kan dus ook fout zijn geweest natuurlijk.Ik gebruik in ieder geval geen AI dus die heeft het niet voor mij gehallucineerd. Dus nee, geen bron.

En met de OpenWRT post die hier eerder werd gemeld hoeft Wireguard performance dus ook geen issue te zijn (met multi-gig Wireguard performance).

[TheCeet]

Ik zat is te kijken om de huidige 500GB NVMe uit mijn Opnsense bakje te hergebruiken in ander systeem en OPNsense te installeren op nieuwe 128GB of 256GB NVMe drive.
Maar veel keuze uit gekende merken is er precies niet.
Jullie aanbevelingen welke ongekende merken te vertrouwen zijn?

[Tom Paris]

RobertMe schreef op maandag 15 december 2025 @ 12:48:
Nouja, ze bestaan dus wel. Alleen worden ze (waarschijnlijk) niet toegepast op dit soort SBCs. Terwijl, nouja, de SBCs / doosjes toch vaak verkocht worden als "router". En volgens mij ook MediaTek regelmatig opduikt in dit soort systemen

Nou, ja en nee. Zoals gezegd, voor open source ondersteuning van hardware accelerators voor packet processing moet je bij MediaTek zijn. Hun SoCs voor netwerktoepassingen zitten in de Filogic serie, met de MT7988 (Filogic 880) als topmodel. Die heeft 'slechts' een quad-core Corex-A73, want 'waarom zou je veel rekenkracht nodig hebben in je router als je een hardware accelerator hebt'. Je zou een Banana Pi BPI-R4 best als server + router in kunnen zetten, maar dan gaat de CPU snel je bottleneck zijn denk ik. Vergelijk dat met een Rockchip RK3588S in een NanoPi, dat is quad-core Cortex-A76 + quad-core Cortex-A55. Hele ander klasse. Er zijn wel MediaTek SoCs met meer en modernere ARM cores, maar dan mis je weer de accelerator.

[RobertMe]

Tom Paris schreef op maandag 15 december 2025 @ 14:05:
[...]


Nou, ja en nee. Zoals gezegd, voor open source ondersteuning van hardware accelerators voor packet processing moet je bij MediaTek zijn. Hun SoCs voor netwerktoepassingen zitten in de Filogic serie, met de MT7988 (Filogic 880) als topmodel. Die heeft 'slechts' een quad-core Corex-A73, want 'waarom zou je veel rekenkracht nodig hebben in je router als je een hardware accelerator hebt'. Je zou een Banana Pi BPI-R4 best als server + router in kunnen zetten, maar dan gaat de CPU snel je bottleneck zijn denk ik. Vergelijk dat met een Rockchip RK3588S in een NanoPi, dat is quad-core Cortex-A76 + quad-core Cortex-A55. Hele ander klasse. Er zijn wel MediaTek SoCs met meer en modernere ARM cores, maar dan mis je weer de accelerator.

Thanks voor de uitleg. Ik ben niet zo bekend met ARM. Dus ik kom niet verder dan "meer cores is beter" Weet wel dat er "series" in zijn (de A73, A76, A55 zoals je noemt) maar of daar echt grote verschillen in zijn (qua prestaties, ondersteunde instructiesets, ...) weet ik niet.

Maar advies voor (ook) general purpose gebruik is dus om niet te richten op een systeem dat wel offloading heeft omdat die juist weer (te) zwak zijn voor general purpose.

Weet dan ook nog niet precies wat ik wil. Of ik of voor een combi apparaat wil gaan. Of toch gewoon echt een (goed) zuinige router met een wat meer performance server. Met wat ik nu heb draaien kan een combi device prima (zonder virtualisatie, i.t.t. wat velen in dit topic dan doen een Proxmox met een *Sense VM bv). Maar als ik voor < 3W (idle / low usage) een losse router kan neer zetten is dat ook het overwegen waard. Anders neig ik meer naar een < 10W combi oplossing. Waarbij de combi oplossing mogelijk / waarschijnlijk gewoon een (m)ATX systeem zou worden en er bv in de toekomst nog een SFP+ slot op zou kunnen en dat soort dingen. Met nu weer bv een Radxa of die NanoPI mist die SFP+ optie, voor in de toekomst, weer.
Anderzijds kan een combi oplossing weer mogelijk tricky zijn in dat een beetje gebruik meteen leidt tot een veel hoger verbruik. Terwijl dat met zo'n NanoPI dan mee valt, als die 2,8W idle doet vs 5W als die 2,5Gbit/s dicht trekt. Een general purpose (x86) systeem gaat mogelijk meer dan ~2,2W extra verbruiken als die 2,5Gbit/s moet routeren / NATen.

[Remc0_]

RobertMe schreef op maandag 15 december 2025 @ 14:35:
[...]

Thanks voor de uitleg. Ik ben niet zo bekend met ARM. Dus ik kom niet verder dan "meer cores is beter" Weet wel dat er "series" in zijn (de A73, A76, A55 zoals je noemt) maar of daar echt grote verschillen in zijn (qua prestaties, ondersteunde instructiesets, ...) weet ik niet.

Maar advies voor (ook) general purpose gebruik is dus om niet te richten op een systeem dat wel offloading heeft omdat die juist weer (te) zwak zijn voor general purpose.

Weet dan ook nog niet precies wat ik wil. Of ik of voor een combi apparaat wil gaan. Of toch gewoon echt een (goed) zuinige router met een wat meer performance server. Met wat ik nu heb draaien kan een combi device prima (zonder virtualisatie, i.t.t. wat velen in dit topic dan doen een Proxmox met een *Sense VM bv). Maar als ik voor < 3W (idle / low usage) een losse router kan neer zetten is dat ook het overwegen waard. Anders neig ik meer naar een < 10W combi oplossing. Waarbij de combi oplossing mogelijk / waarschijnlijk gewoon een (m)ATX systeem zou worden en er bv in de toekomst nog een SFP+ slot op zou kunnen en dat soort dingen. Met nu weer bv een Radxa of die NanoPI mist die SFP+ optie, voor in de toekomst, weer.
Anderzijds kan een combi oplossing weer mogelijk tricky zijn in dat een beetje gebruik meteen leidt tot een veel hoger verbruik. Terwijl dat met zo'n NanoPI dan mee valt, als die 2,8W idle doet vs 5W als die 2,5Gbit/s dicht trekt. Een general purpose (x86) systeem gaat mogelijk meer dan ~2,2W extra verbruiken als die 2,5Gbit/s moet routeren / NATen.

Heb je al gekeken naar een Banana Pi BPI-R4, ik ben er persoonlijk erg tevreden over. Maar de wifi-7 insteek kaart zonder power amplifier kan je wel achterwegen laten.

[andru123]

scorpio schreef op dinsdag 2 december 2025 @ 20:13:
[...]

Dank je wel 👌 en rustig aan... Eerst maar ff beter worden.. Beterschap en zodra je wat beter bent kunnen we contact opnemen en een manier zoeken om 't samen te doen? Of misschien heb je een paar stappen die k alvast ter voorbereiding al kan doen.

K heb dus opnsense er iig op.. Maar kan er makkelijk opnieuw en schoon op.

Beterschap en nogmaals dank je

@HowsMyApple is dat managed Zyxel switch? Welke model. Zijn de VLANs nodig voor de firewall te werken?