pfSense en lagere snelheden

[noripsni]

Als eerst, ik post hier niet zo vaak, dus als ik op de verkeerde plek ben, let me know!

Vraagje.. hopelijk weet iemand een oplossing.
Ik heb een 500mbit glasvezel verbinding. Via Xs4all krijg ik zo'n fritzbox erbij.
Geen enkele problemen mee, maar voor de veiligheid van mijn eigen PC (Windows 10) wil ik toch iets meer ertussen hebben.

Ik heb daarom een VM draaien, op mijn PC met daarin pfSense+Snort. Dit draait op een VirtualBox, laatste versie. Mijn NIC is geconfigureerd om geen IPv4 en IPv6 te ondersteunen (is uitgezet) en ik heb een loopback adapter geinstalleerd. In VirtualBox zijn deze 2 nics doorgegeven, en alles werkt

Echter.. download/upload is nogal geknepen naar +/-30%-40%. Ik pak 200mbit maximaal.

Als ik om de Vm heenga, dus een directe verbinding naar de fritzbox pak ik de volledige snelheid, +/-500mbit
Gezien het allemaal op 1 pc draait, en dus ook dezelfde hardware is vind ik dit nogal raar


de NIC's zijn in pfSense als autoselect als ook full duplex 1000mb aangeduid, geen verschil

[plizz]

Wat is de spec's van die pc die VM host? Ik heb een idee dat de CPU de bottleneck is.

[xleeuwx]

ik heb het zelfde gehad met PFSense op VMware ESXI 5.*. Wat je eventueel kan proberen, de VirtualBox adapter type wijzigen. Daarnaast kan je proberen even een VM op te zetten met bijvooorbeeld Ubuntu en daarmee de snelheid te checken.

[Bierkameel]

noripsni schreef op maandag 15 februari 2016 @ 11:21:
Als eerst, ik post hier niet zo vaak, dus als ik op de verkeerde plek ben, let me know!

Vraagje.. hopelijk weet iemand een oplossing.
Ik heb een 500mbit glasvezel verbinding. Via Xs4all krijg ik zo'n fritzbox erbij.
Geen enkele problemen mee, maar voor de veiligheid van mijn eigen PC (Windows 10) wil ik toch iets meer ertussen hebben.

Waarom? ik neem aan dat die fritzbox gewoon NAT dus dus dat zou redelijk veilig moeten zijn, of gebruik je een extern ipv6 adres?

[JackBol]

XS4All heeft hun fritzbox redelijk goed dicht staan. Ik zal je nooit afraden om een eigen router te bouwen, maar voor huis-tuin-en-keuken gebruik is de fritzbox zeker voldoende.

[noripsni]

Specs:

amd phenom ii x4 925
16gb
asrock 970 extreme3 r2.0

gezien de VM een 64bit freebsd is is virtualisatie aangezet (ook in BIOS)
heb geprobeerd met 1core, 2 cores, met 512mb en 2048 mb, geen verschil

heb meerdere adapter types geprobeerd.. intel pro/1000 mt desktop geeft het beste resultaat. paravirtualisation adapter geeft het slechtste resultaat

nog niet geprobeerd met een ubuntu vm, zal dat eens proberen

[noripsni]

Bierkameel schreef op maandag 15 februari 2016 @ 11:51:
[...]

Waarom? ik neem aan dat die fritzbox gewoon NAT dus dus dat zou redelijk veilig moeten zijn, of gebruik je een extern ipv6 adres?

de fritzbox word wel voor de rest van het netwerk gebruikt (wifi, voip, tv), op mijn eigen pc wil ik iets meer "veiligheid"

[JackBol]

noripsni schreef op maandag 15 februari 2016 @ 12:02:
[...]


de fritzbox word wel voor de rest van het netwerk gebruikt (wifi, voip, tv), op mijn eigen pc wil ik iets meer "veiligheid"

Ben dan eens specifieker wat "veiligheid" is.
Als het alleen maar om port-filtering gaat, waarom installeer je geen personal firewall op je eigen PC?

[ Voor 6% gewijzigd door JackBol op 15-02-2016 15:19 ]

[johnkeates]

pfSense in VirtualBox gaat niet lekker werken, daar heeft de hypervisor niet de juiste specs voor. Wat je kan doen om het wat beter te maken is e1000 NICs gebruiken, VT enz. aan zetten, 2 CPU cores, minimaal 768MB RAM en TSO/GSO enz. uitzetten om dat dat hoe dan ook in software zal gebeuren en BSD dat efficiënter kan dan Windows of VirtualBox.

Je zou ook even wat meer informatie kunnen geven m.b.t. resource gebruik van zowel de VM als de host, en packet captures om te kijken of er problemen zijn op de lijn.

[noripsni]

JackBol schreef op maandag 15 februari 2016 @ 15:19:
[...]


Ben dan eens specifieker wat "veiligheid" is.
Als het alleen maar om port-filtering gaat, waarom installeer je geen personal firewall op je eigen PC?

Omdat ik geen enkele troep wil van allerlei kunstzinnige obscure "anti virus" bedrijven installeer ik geen "personal firewall".. Sterker nog.. nog nooit gedaan, alleen maar al uit protest tegen dit soort (in mijn ogen) malafide bedrijven...

Dus daarom pfSense+Snort.. voel ik me toch wat prettiger bij..

[noripsni]

johnkeates schreef op maandag 15 februari 2016 @ 15:23:
pfSense in VirtualBox gaat niet lekker werken, daar heeft de hypervisor niet de juiste specs voor. Wat je kan doen om het wat beter te maken is e1000 NICs gebruiken, VT enz. aan zetten, 2 CPU cores, minimaal 768MB RAM en TSO/GSO enz. uitzetten om dat dat hoe dan ook in software zal gebeuren en BSD dat efficiënter kan dan Windows of VirtualBox.

Je zou ook even wat meer informatie kunnen geven m.b.t. resource gebruik van zowel de VM als de host, en packet captures om te kijken of er problemen zijn op de lijn.

Ik was er al bang voor... is pfSense in een hyperviser (welke dan ook) geen goed idee? Ik wil binnenkort een servertje neer gaan zetten met ESXi (en goede hardware), en daarop moet dan ook pfSense e.d. gaan draaien... geen goed idee?

TSO/GSO zegt mij niets..

heb nu 2GB en 2 cores aanstaan, inclusief AMD-v, verschil in de marge (+/- 10mb ratio rond de 200, wat dus 500mbit moet zijn)
Resources.. redelijk laag.. CPU spiked niet echt boven de 15% (gemiddeld 5-7%), memory zit 12-13% van de 2gb...

Dus daar kan ik het niet echt vinden.. op mijn host (windows 10) draait alles goed.. geen rare dingen te zien (proces explorer staat standaard al aan)

Ik ga deze setup voor nu even laten voor wat het is.. eerst maar even switchen naar fatsoenlijke hardware

[TheBrones]

Dit probleem heb ik laatst ook gehad, het lag toen aan de netwerk kaart. De netwerk kaart was een tp-link. Met een Intel netwerk kaart werkte het hier wel gewoon. De tp-link kaart bleek niet goed overweg te kunnen met virtualisatie.

[LosserNL]

Met mijn Sophos UTM Esxi Vm heb ik dat ook, tenzij ik Snort uit zet. Dan haal ik de volle snelheid. Alles boven de 200-300 mbit kan je vergeten met snort vrees ik...

Weet niet of er al een betere versie is.

[johnkeates]

Ik haal dat prima met Snort aan.

pfSense in een VM werkt prima, ik gebruik zelf Xen, dat werkt prima, ook XenServer kan er prima mee werken. Wel belangrijk om te weten: in-memory transports hebben vaak in de virtuele hardware geen checksum calculatie zitten, waardoor pf (zit in nagenoeg elke BSD-router) alle pakketjes dropt om dat ze incorrecte checksums hebben. Makkelijkste manier om dat tegen te gaan is gewoon alle checksum offloading uitzetten. Dan worden de checksums niet door het virtuele apparaat berekend maar door de kernel, wat wel geldige checksums produceert. De reden dat checksums niet gedaan worden is om dat in-memory transport niet dezelfde problemen heeft qua integriteit die je bij fysieke poorten en kabels wel hebt.

Wat ESXi betreft: de vmware hypervisor is niet super fijn naar mijn smaak, de meeste mensen zien ESXi als 'dat gratis vmware ding met die windows interface', en daar houdt het een beetje op. Maar de driver support is bagger, storage is bagger, passthrough is bagger en de enige manier om het een beetje lekker te laten draaien is op peperdure hardware. Xen kan dat ook, maar daar boven op ook nog op commodity hardware, plus heeft alle drivers die Linux ook heeft. Je kan zelf kiezen hoe je je netwerk wil vormgeven, je eigen storage indeling maken en zelf beslissen wat je wel en niet wil ondersteunen.

Terug naar pfSense: ik draai het in PVHVM mode, en trek zo 10Gbit weg. Snort aan, pfBlocker (redundant voor sommige zaken), pfsync aan (HA met CARP/VRRP), diverse tunnels over zowel IKEv2 als OpenVPN zonder een centje pijn. Sure, de laagste configuratie draait op 2 Xeon E3-1250v3 cores met 1GB RAM, dus slappe hardware is het niet te noemen, maar het kan dus prima werken. Ik gebruik zelf voor het virtuele netwerk zowel standaard Linux Bridging als OpenVSwitch, maar ook zo nu en dan directe PCI devices. Ik gebruik vaak dual en quad Intel NIC's (zoals: http://www.amazon.co.uk/gp/product/B014W6AQ38? lekker goedkoop krachtig kaartje) en met VT-d kan je dan prima een 4-poorts LAGG voltrekken.

Virtuele NIC's werken vaak niet heel goed, qemu-dm gebaseerde e1000 werkt nog het beste, als je PVHVM hebt is xn een prima virtuele kaart, de virtuele kaart van VirtualBox is volgens mij niet zo best qua support, net als die van vmware.

Concreet:

- Haal goede hardware
- Gebruik goede configuratie
- Een Xeon + Intel NIC = dikke netwerkpijp