pfSense router virtualiseren?

[procyon]

Tweakers ik heb wat advies nodig.

Ik heb thuis een tweak verbinding, Synology NAS en wat Ubiquiti spul (Wifi & Switch). Omdat alles nu goed werkt en stabiel is begint het weer te kriebelen voor een onnodige ‘upgrade’.
Het plan (geinspireerd door wat youtube videos) is nu de synology nas en de fritzbox router te vervangen door een zelf te bouwen router met pfsense. Met een dergelijke setup, zo is het idee althans. Kan ik op behoorlijke snelheid mijn hele netwerk op een VPN verbinding hangen via bijvoorbeeld NordVPN).

Ik wil daarvoor graag een mITX systeempje bouwen, dacht eerst aan een i3 8100 maar ga denk ik toch voor de Ryzen 2200g gezien ik AMD wat wil steunen. Vervelende is echter dat ik geen mATX bordjes kan vinden met AM4 die dual lan hebben... Moet ik voor dit knullige argument nu toch naar de i3? Ik zoek het nog even goed uit.

Hoewel die extra rekenkracht natuurlijk op piekmomenten nodig is (downloaden etc) is het zonde dat zo’n ding altijd staat te idle’en, om deze reden dacht ik ook mijn synology nas te vervangen door diezelfde computer. Maar dan moet ik gaan virtualiseren. Dan nu mijn vraag want hier wordt het onbekend terrein voor me.

Wat adviseren jullie? Vanuit energie verbruik perspectief lijkt het zinnig de computer twee VM’s te laten draaien zodat ik FreeNAS en pfSense kan draaien. Maar dat betekend dus ook dat deze ene computer direct aan het internet verbonden is. Is dit wel veilig te maken? Ik dacht altijd dat je computer (maakt niet uit welke versie van windows) zodra je die direct aan het internet hangt direct wordt geinfecteerd door random shit. Is dit zo of niet? Als ja, moet ik dan misschien gaan denken aan Linux? Is dat iets veiliger? Ik heb er niet veel ervaring mee maar zie hierin een leuk project om wat mee te rommelen + wat te leren.

Jullie input is zeer gewaardeerd.

[Raven]

Je denkt waarschijnlijk aan VMware Workstation of VirtualBox?

Hoe het bij VirtualBox zit weet ik niet, maar bij VMware Workstation is het (als ik het goed herinner) simpel. Bridge de wan-interface van de pfSense VM met de fysieke interface voor de internetverbinding, daarna naar de netwerk-eigenschappen in Windows en haal de vinkjes overal behalve bij "VMware Bridge Protocol" weg

Als het goed is heeft Windows dan geen directe toegang tot het internet meer, alles loopt via de pfSense VM, hierbij de LAN-interface van pfSense gebridged met de 2e fysieke interface die aan je switch hangt.

Maar als je Windows gebruikt, wordt je wel doodgegooid met updates en ben je telkens je router even kwijt tot Windows weer is bijgewerkt. Google eens op ESXi, zie o.a. Zuinige ESXi Server , dat is een besturingssysteem met maar een functie: virtuele pc's draaien en omdat ESXi héél wat lichter is dan Windows, heb je meer systeembronnen beschikbaar voor de virtuele pc's

[ Voor 5% gewijzigd door Raven op 28-05-2018 17:27 ]

[Frogmen]

Op zo,n systeem met dat doel zou ik esxi gebruiken dat is er voor gemaakt let dus wel op dat bord en processor ondersteunt worden.

[procyon]

Goede suggesties, dank. Ga me er in verdiepen. De al wat oudere bronnen die ik kan vinden zeggen dat de power usage niet op het niveau zit van Windows. Ik ga eens onderzoeken hie dat met ryzen gaat.

[__fred__]

Ik draai op dit moment op een AMD FX-8350 die ik overhad FreeNAS (FreeBSD variant). Deze draait een VM met pfSense erop. Grofweg kan ik wel wat roepen over je plan, of je nou Linux of BSD gaat gebruiken:

• Ik overweeg juist een i3, omdat ik deze AMD niet onder de 70 watt idle krijg met C6 Deep sleep states en cores uitschakelen enabled. Ryzen is natuurlijk wel wat energiezuiniger dan deze oude FX-8350, maar zo zuinig als intel krijg je het nooit.
• Ik heb 10x 7watt idle 3,5" schijven vervangen door 4x 2,5" 5TB harddisks op 0,8watt idle. Deze heb ik als externe HDD's gekocht omdat dat goedkoper was dan interne kopen.
• AMD IOMMU (tegenhanger intel VT-D) is nog niet in de stable branch van FreeBSD beland, geen idee of een VM-ware ESXi dat al wel kan, is een risico-tje. Ik heb mijn "externe NIC" gebridged omdat ik dus geen PCI passthrough kan doen naar mijn pfSense. Toch minder veilig dan helemaal de adapter niet zichtbaar maken voor het host OS. Er zit bij mij geen IP stack op die bridge in de host, dus het risico is klein, maar theoretisch groter dan bij passthrough.
• Realtek NICs i.c.m. AMD C6 power states is huilen. Die realteks hebben maar 8K geheugen en tussen wakker worden en interrupt afhandelen is bij Gigabit snelheden de helft van je data al weg. Dit leidde bij FreeBSD in ieder geval tot het "down" en weer "up" brengen van de link door de driver waardoor je een paar seconden zonder internet zit. Mijn realtek is dus disabled, en er zitten twee Intel kaartjes in. Ik zou dus altijd een bord nemen waar al twee intel nics opzitten. 9 van de 10 ryzen borden heeft Realtek
• ZFS als bestandssysteem (met hardwarematige AES encryptie via Geli) geeft voor mijn data een fijn gevoel en jails (halve docker onder BSD) maakt bij mij dat alle services in virtueel gescheiden containers zitten met eigen virtuele netwerk adapters.
• 400Mbit Ziggo kost geen CPU power. mijn CPU zit op 3% ofzo als ie speedtest doet. Intern trekt ie altijd de gigabit link dicht.
• Ik ben vrij handig met FreeBSD en Linux dus vind het niet zo erg om te pielen. Het duurde even om dit allemaal aan de praat te krijgen. Mijn Ziggo modem staat zelf in bridge en vond mijn virtuele bridge niet zo leuk ertussen. Gek genoeg toen ik 1x een TCP/IP stack op de host opbouwde en via DHCP een IP adres vroeg, kon ik daarna het MAC adres klonen op pfSense (en een fake MAC op de echte NIC zetten). De lease verlengen of opnieuw vragen werkt nu wel gewoon goed. Daarnaast heb ik wat moeten stoeien om te zorgen dat mijn Jails pas starten nadat pfSense online is. De Jails gebruiken allemaal DHCP en als pfSense er nog niet is, is er ook geen DHCP server.

Ik zal zo nog wel wat meer roepen en wat screenshots schieten:

[ Voor 26% gewijzigd door __fred__ op 28-05-2018 21:24 . Reden: Plaatjes geschoten. ]

[procyon]

Dank je voor je uitgebreide reactie.
Ik vind power usage erg belangrijk, daarom kwam ik ook op een i3 8100 of de 2200g ryzen uit. Ze zijn beide ongeveer even zuinig. https://www.tomshardware....-benchmarking,5464-5.html

Die cpu die jij gebruikt is natuurlijk een beest met goede performance maar helaas was die architectuur altijd wat minder energiezuinig.
Dat van de NIC's is een goede, heb al veel waarschuwingen gelezen dat je voor dit doeleinde beter Intel NIC's moet gebruiken.

De troughput die ik bedoelde was verkeer via Open VPN, dit versleutelen kost wat meer cycles dan regulier verkeer. Wil eens kijken of dit haalbaar is zo (en in pfSence uitvogelen hoe ik Netflix en gaming exclude (maar daar ben ik nog lang niet )

Jij draait dus VM's op Linux, is dat een beter idee voor dit doeleinde dan Windows?

esxi klinkt me als muziek in de oren maar kan ik daar ok NZBget op draaien en een VPN server ? Misschien als container? En de beheersoftware van de Ubiquiti spulletjes? Of moet ik hiervoor een normaal OS draaien?

Edit, ik zie nu je screenshots: Uber tof! Dit wil ik ook

[ Voor 3% gewijzigd door procyon op 28-05-2018 20:53 ]

[__fred__]

De vraag is of je Ryzen ook zo zuinig is onder Linux of FreeBSD. Intel wel in ieder geval.

VPN gaat je nauwelijks extra kracht kosten, omdat tegenwoordig de CPU dat via de AES-NI instructie vrij aardig zelf kan zonder al te hard te moeten rennen. Niet vergeten om te enablen in de interface:



Als je NZBGet en transmission in een jail zet, zoals ik, dan zorg je dat die over de VPN gaan, en de rest niet, dan kan dan vrij eenvoudig via de IP-adressen of eventueel een apart VLAN / Bridge, dan hoef je ook niets te excluden.

Ow, en Linux is niet hetzelfde als BSD. Zonder hier de geschiedenis op te ratelen, zijn ze voldoende anders om met linuxkennis weer overnieuw te moeten beginnen op BSD en vice versa. ESXi is gebaseerd op Linux.

Ik draai FreeNAS als host en dat gebruikt FreeBSD als basis. De hypervisor daarin heet BHyve en Jails lijken nog het meest op de FreeBSD variant van docker. Elke jail heeft een eigen filesystem met daarop het FreeBSD base image, een netwerk interface en daarop geinstalleerde packages. De ene daemon kan de andere niet zien, anders dan via het netwerk. Via mount points kun je evt. subdirectories van het host filesystem delen met de jail.

bijvoorbeeld voor twee jails (transmission en nzbget) de packages die daarin geinstalleerd zijn:

code:

jws@server:~ % sudo iocage pkg nzbget info
gettext-runtime-0.19.8.1_1     GNU gettext runtime libraries and programs
indexinfo-0.3.1                Utility to regenerate the GNU info page index
libffi-3.2.1_2                 Foreign Function Interface
libxml2-2.9.7                  XML parser library for GNOME
nzbget-19.1_2                  Binary newsreader supporting NZB files
p7zip-16.02_1                  File archiver with high compression ratio
pkg-1.10.5                     Package manager
python27-2.7.14_1              Interpreted object-oriented programming language
readline-7.0.3_1               Library for editing command lines as they are typed
unrar-5.50,6                   Extract, view & test RAR archives

jws@server:~ % sudo iocage pkg transmission info
bittorrent-libutp-0.20130514_1 The uTorrent Transport Protocol library and sample utilities
ca_root_nss-3.37               Root certificate bundle from the Mozilla Project
curl-7.59.0                    Command line tool and library for transferring data with URLs
dht-0.22                       Mainline variant of Kademlia Distributed Hash Table (DHT)
libb64-1.2.1                   Library for fast Base64 encoding and decoding
libevent-2.1.8_1               API for executing callback functions on events or timeouts
libnatpmp-20150609             NAT-PMP lightweight library
libnghttp2-1.31.1              HTTP/2.0 C Library
miniupnpc-2.0.20170509         UPnP IGD client lightweight library
pkg-1.10.5                     Package manager
transmission-daemon-2.93       Fast and lightweight daemon BitTorrent client
transmission-web-2.93          Fast and lightweight WebUI for Transmission BitTorrent client
unrar-5.50,6                   Extract, view & test RAR archives

Ow, en wellicht een laatste waarschuwing: FreeNAS wordt ontwikkeld door een bedrijf, iXsystems, en die hebben wat krediet verspeeld door de "Corral" versie (10.0) te releasen, die gewoon zwaar buggy was, en deze daarna terug te trekken. Ze zijn toen verder gegaan op versie 9.10 en hebben 11.0 en 11.1 gereleased, maar de nieuwe UI is nog steeds niet stabiel en functionaliteit tussen de twee UI's verschilt en bijvoorbeeld de jails zijn niet compatible tussen oude UI en nieuwe. Dat is best crappy en een hoop mensen zijn toen afgehaakt.
Verwacht dus geen synology-ervaring op het moment.

[ Voor 8% gewijzigd door __fred__ op 28-05-2018 21:41 ]

[Frogmen]

Als je gaat virtualiseren doe het dan wel goed tuurlijk kan je op Windows VM's draaien maar dat is voor testen en ontwikkelen of specifiek doel. Veilig is het zeker niet om op Windows virtueel PFsense te gaan draaien. Esxi gebruikt weinig resource en is verder kaal, alles wat je wilt doen regelen draaien wat dan ook doe je in virtual machines. Dus je draait er bijvoorbeeld gewoon Pfsense en Windows10 en Freenas op. Overigens is er meer keus op virtualisatie gebied. Proxmox kan ook een alternatief zijn met meer AMD ondersteuning.

[ Voor 6% gewijzigd door Frogmen op 29-05-2018 10:51 ]

[Uberprutser]

Tip: hier lezen

[synoniem]

Ik heb een Dell R210 met ESXI als thuisserver. pfSense heb ik als enige en passthrough gekoppeld aan de WAN kant met vSwitch0 . De LAN kant met vSwitch1 zit aan mijn thuisnetwerk en daaraan heb ik verscheidene VM's gekoppeld. Ook de management poorten van VMware ESXI zitten alleen aan de LAN kant gekoppeld. PFsense start en stopt met de host.

Uiteraard heb je niet zulke zware hardware nodig en ik heb gekeken naar kleinere kastjes met Intel processor en netwerkkaarten maar deze server kon ik voor niets krijgen dus ik stel de aanschaf van nieuwe hardware nog even uit. Maar zowel zou ik toch dezelfde setup kiezen maar met minder VM's.

[procyon]

Thanks guys!
@ Frogmen; dank dat je dit even genoemd hebt, windows zelf als VM draaien. Zou ik nooit aan gedacht hebben maakt het uiteraard veiliger, thanks!

@ Synoniem; dank, ik ga het denk ik precies zo optuigen.

[procyon]

Heb inmiddels besteld:
Nieuwe Asrock h370m-itx-ac, tweedehandse i3 8100 en in onderhandeling voor 16GB geheugen.

Dus het wordt Esxi met daarop een pfSense en Windows als VM's.

De synology wordt vervangen door een share in windows. Zal daar NZBget draaien, PLEX server, ubiquiti controller en wil einde van de zomer wat gaat rommelen met home automation.

De pfSense VM zal alle verkeer naar buiten toe via VPN laten lopen (met wat uitzonderingen), wat cashing doen, VPN server draaien en Snort.

Is dit allemaal een goed uitgangspunt?

[Rataplan_]

Wij draaien in ons bedrijf 2 pfSense dozen in HA, op 2 Hyper-V servers in DMZ (voor wat dat laatste nog waard is tegenwoordig). Draait al een jaar of 2 perfect. M.a.w. Hyper-V Server is ook nog een (gratis) oplossing als hypervisor. Heb je mogelijk wat beter energiebeheer met bepaalde CPU's.

[synoniem]

Rataplan_ schreef op dinsdag 29 mei 2018 @ 16:52:
Wij draaien in ons bedrijf 2 pfSense dozen in HA, op 2 Hyper-V servers in DMZ (voor wat dat laatste nog waard is tegenwoordig). Draait al een jaar of 2 perfect. M.a.w. Hyper-V Server is ook nog een (gratis) oplossing als hypervisor. Heb je mogelijk wat beter energiebeheer met bepaalde CPU's.

Ik gebruik de VMware ESXi Free versie met webinterface en dat werkt prima inclusief standaard plus dat ondersteuning voor usb passthrough devices is inbegrepen. Dat was voor mij poosje terug de dealbreaker bij Hyper-V: geen ondersteuning voor client usb devices. (Dwz alleen ondersteuning door commerciële partijen).

[synoniem]

procyon schreef op dinsdag 29 mei 2018 @ 16:43:
Heb inmiddels besteld:
Nieuwe Asrock h370m-itx-ac, tweedehandse i3 8100 en in onderhandeling voor 16GB geheugen.

Dus het wordt Esxi met daarop een pfSense en Windows als VM's.

De synology wordt vervangen door een share in windows. Zal daar NZBget draaien, PLEX server, ubiquiti controller en wil einde van de zomer wat gaat rommelen met home automation.

De pfSense VM zal alle verkeer naar buiten toe via VPN laten lopen (met wat uitzonderingen), wat cashing doen, VPN server draaien en Snort.

Is dit allemaal een goed uitgangspunt?

Lijkt me een goed uitgangspunt. Mocht je bij het installeren van ESXi of pfSense nog vragen hebben, mag je me gerust even een DM sturen.

[ Voor 29% gewijzigd door synoniem op 29-05-2018 20:22 ]

[ppl]

Het grote nadeel aan je router virtualiseren is het updaten van de hypervisor waarop die router draait. In geval van ESXi houdt dat in dat je de boel in maintenance mode moet zetten en dat betekent dat alle vm's uit of in slaapstand moeten staan en dus niet beschikbaar zijn. Gevolg: geen internetverbinding meer dus updates van ESXi zul je geheel offline moeten kunnen doen. Dat vergt enige planning. Ik heb mijn basis infrastructuur (denk aan firewall, dns en dhcp) juist bewust buiten een hypervisor gelaten zodat ik daar geen last van heb. De machine die de hypervisor draait kan ik dan ook lekker rebooten zonder dat ik mijn complete internetverbinding in huis kwijt ben. Dat maakt updaten niet alleen makkelijker maar zorgt er ook voor dat ik altijd dingen op internet kan opzoeken mocht er iets bij het updaten misgaan.

Wat in dit geval ook erg handig is om te doen, is kijken naar de firewall oplossingen van Ubiquiti. Dan kun je namelijk middels 1 controller je gehele infrastructuur inregelen. Een VLAN die je aanmaakt zal via die weg heel makkelijk op zowel je switch, AP als firewall beschikbaar zijn wat het beheer een stuk makkelijker en prettiger maakt.

@Rataplan_ Hyper-V is leuk voor een diehard Windows bedrijf omdat je al vrij snel een AD nodig hebt. Dat is bij ESXi, XenServer en Proxmox niet het geval. In geval van een single host omgeving zul je de beperkingen van ESXi zelfs niet eens merken.

[Rataplan_]

Hoezo? Je kunt toch gewoon dezelfde vm's draaien? Of je nou ad hebt of niet. Maargoed, had ik thuis maar één host nodig, werd dat ook esx denk ik, maar hyper-v server is een hele mooie hypervisor, draait ook gewoon van usb of sd, en compatibiliteits issues met *nix / Linux / BSD OS'en is al lang verleden tijd.
Wat zijn volgens jou de nadelen?

[procyon]

Hoeveel uodates heeft ESXi gehad dit jaar? Als je ze op 1 hand kan tellen is het ok maar als dit net als Windows is dan is dat inderdaad wel een ding om rekening mee te houden.

[Raven]

procyon schreef op woensdag 30 mei 2018 @ 08:58:
Hoeveel uodates heeft ESXi gehad dit jaar? Als je ze op 1 hand kan tellen is het ok maar als dit net als Windows is dan is dat inderdaad wel een ding om rekening mee te houden.

Daarbij is ESXi bij mijn weten alles behalve opdringerig als het om het installeren van updates gaat, vergeleken met Windows 10.

[ThinkPad]

Ik heb pfSense ook virtueel (onder ESXi) draaien. M'n host is een Lenovo desktop met i5 processor. Niet extreem zuinig (28-35W), maar heb stroom over van m'n zonnepanelen

Bevalt uitermate goed. Zelfs als ik de verbinding (100Mbit) helemaal dichttrek dan staat pfSense nog uit z'n neus te eten met 6% CPU-belasting ofzo. Kan het je alleen maar aanraden.
Ik zie in Zelfbouw project: Firewall / Router / AP (PfSense) ook vaak mensen die een bakje kopen voor alleen pfSense, vaak gaat het dan zo maar over 300 euro. Zwaar overkill voor de gemiddelde thuisverbinding

Mogelijk moet je wel een managed switch kopen, dat maakt het wat makkelijker om met VLANs te spelen. Mijn host heeft maar één netwerkkaart, maar door de managed switch kan ik daar meerdere netwerken (VLANs) overheen zetten. Zo heb ik in pfSense ook een gastennetwerk gemaakt en een apart netwerkje (zonder internet) voor Internet-of-Things spul zoals Philips Hue, ESP8266 spul e.d.

Zorg wel voor goede backups van je data als je je NAS ook wilt gaan virtualiseren.
Het aantal updates valt mee trouwens. Ik update mijn hypervisor ongeveer 1-2x per jaar. Onlangs nog bijgewerkt naar ESXi 6.7

[ Voor 24% gewijzigd door ThinkPad op 30-05-2018 10:29 ]

[jadjong]

procyon schreef op woensdag 30 mei 2018 @ 08:58:
Hoeveel uodates heeft ESXi gehad dit jaar? Als je ze op 1 hand kan tellen is het ok maar als dit net als Windows is dan is dat inderdaad wel een ding om rekening mee te houden.

Bij ESX moet je (thuis) handmatig een iso downloaden op de PC, die naar een stukje opslag op de host verplaatsen. Daarna al je VM's uit zetten, de host in maintenance mode plaatsen en via de commandline de upgrade starten. Het is niet zo dat het ding elke twee weken vanzelf kijkt wat voor leuks er nu weer op de website van VMware te vinden is, het ding doet helemaal niets totdat jij dat vertelt.

[TommyboyNL]

procyon schreef op woensdag 30 mei 2018 @ 08:58:
Hoeveel uodates heeft ESXi gehad dit jaar? Als je ze op 1 hand kan tellen is het ok maar als dit net als Windows is dan is dat inderdaad wel een ding om rekening mee te houden.

Zolang je er niet op geilt om altijd maar het nieuwste te hoeven draaien, is het voldoende om ESXi slechts 1 keer per 1 a 2 jaar te updaten. Dat spul werkt gewoon, en blijft gewoon werken. Daar is het op ontworpen.

[Anoniem: 316512]

Raven schreef op woensdag 30 mei 2018 @ 09:47:
[...]

Daarbij is ESXi bij mijn weten alles behalve opdringerig als het om het installeren van updates gaat, vergeleken met Windows 10.

Nou is het ook wel een beetje appels met peren vergelijken. Gebruik dan Hyper-v o.i.d. als voorbeeld.

[procyon]

Thanks voor de reacties.
Het zeuren om updates vind ik niet zo erg, maar aangezien dit stukje software de toegang bewaakt van het 'grote gore' internet naar mijn thuis netwerk, wil ik updates eigenlijk wel altijd snel installeren. Wie weet is daarmee net een kritiek lek gedicht.

Maar 10 updates per jaar is geen enkel probleem. Zolang het er maar niet 10 per maand zijn

[synoniem]

jadjong schreef op woensdag 30 mei 2018 @ 10:40:
[...]

Bij ESX moet je (thuis) handmatig een iso downloaden op de PC, die naar een stukje opslag op de host verplaatsen. Daarna al je VM's uit zetten, de host in maintenance mode plaatsen en via de commandline de upgrade starten. Het is niet zo dat het ding elke twee weken vanzelf kijkt wat voor leuks er nu weer op de website van VMware te vinden is, het ding doet helemaal niets totdat jij dat vertelt.

Je kunt ESXi gewoon vanaf de commandline updaten zoals hier staat uitgelegd. Ik laat pfSense gewoon lopen en laat ESXi rebooten na de update. Omdat ik pfSense zo heb ingesteld dat hij met (enige vertraging) start en stopt met de server ben ik maar een paar minuten offline.

[jadjong]

synoniem schreef op woensdag 30 mei 2018 @ 17:00:
[...]


Je kunt ESXi gewoon vanaf de commandline updaten zoals hier staat uitgelegd. Ik laat pfSense gewoon lopen en laat ESXi rebooten na de update. Omdat ik pfSense zo heb ingesteld dat hij met (enige vertraging) start en stopt met de server ben ik maar een paar minuten offline.

Ding hoeft niet meer in maintenance mode?

[synoniem]

jadjong schreef op woensdag 30 mei 2018 @ 17:06:
[...]

Ding hoeft niet meer in maintenance mode?

Nee omdat ESXi geheel in het geheugen draait kun je de bestanden op de hdd/usbstick gewoon bijwerken. Je moet uiteraard wel de VM's die niet automatisch starten en stoppen met de server afsluiten voordat je reboot maar zolang er geen vMotion draait hoef je hem niet in maintenance mode te zetten.

Overigens in die link staat

esxcli software sources profile list -d https://hostupdate.vmware.com/software/VUM/PRODUCTION/main/vmw-depot-index.xml | grep ESXi-6.5.0

maar voor het gemak kun je dat nog uitbreiden naar

esxcli software sources profile list -d https://hostupdate.vmware.com/software/VUM/PRODUCTION/main/vmw-depot-index.xml | grep ESXi-6.5.0|sort

dan zie je namelijk welke de meest recente update is.

[ Voor 32% gewijzigd door synoniem op 30-05-2018 17:16 ]

[ppl]

procyon schreef op woensdag 30 mei 2018 @ 08:58:
Hoeveel uodates heeft ESXi gehad dit jaar? Als je ze op 1 hand kan tellen is het ok maar als dit net als Windows is dan is dat inderdaad wel een ding om rekening mee te houden.

Genoeg. Het grote voordeel van al die updates is dat je ze ook kunt downloaden en lokaal ergens neer kunt zetten. Het is alleen wat omslachtiger. Aangezien je een cruciaal stukje infra op zo'n host neer gaat zetten is dat wel even iets wat je in je achterhoofd moet houden. Vandaar dat het even iets meer planning is. Maar goed, dit is ook enterprise spul dus daar is het dan ook wel weer voor gemaakt

ESXi zelf geeft overigens geen melding over nieuwe updates. Dat zul je zelf in de gaten moeten houden. Een goed startpunt hiervoor is de volgende (onofficiële) site: VMware ESXi Patch Tracker.

De hoofdreden waarom ik dit aanstipte is het feit dat veel mensen hardware gebruiken die niet altijd op de HSL staat en dus geen officiële ondersteuning heeft. Soms werkt het, soms is er een 3rd party driver nodig. We hebben al een paar keer gezien dat een nieuwe release van ESXi invloed heeft op die drivers (het werkt niet meer). Soms kan door op de verkeerde manier te updaten ook de hele zooi worden overschreven. Bij major updates is het soms ook zo dat iets ineens legacy is en daarom uit ESXi is gehaald. Als je daar niet achter bent voordat je de update hebt geïnstalleerd zul je daar achterkomen wanneer je reboot. Komt je systeem ineens niet meer op of je hebt geen netwerk meer. En daar staat dan wel je vm die je internet toegang verschaft op... Kwestie van zorgen dat je in dat geval een backup internetverbinding hebt.

jadjong schreef op woensdag 30 mei 2018 @ 10:40:
Bij ESX moet je (thuis) handmatig een iso downloaden op de PC, die naar een stukje opslag op de host verplaatsen.

Dat is geen iso maar een vib. De iso die je kunt downloaden is er alleen voor wanneer je de 1e keer ESXi installeert en om ESXi naar een major release te upgraden (bijv. 6.0 naar 6.5 en 6.5 naar 6.7). De overige updates kun je als losse vib downloaden en installeren. Je kunt het ook online doen, dan gaat ie zelf kijken welke nodig zijn en toepassen.

jadjong schreef op woensdag 30 mei 2018 @ 17:06:
Ding hoeft niet meer in maintenance mode?

Ligt aan het soort update. In de ESXi help staat het ook wel vermeld hoe het moet. Vergeet ook niet dat wanneer je geen aparte datastore hebt (dus ESXi installatie en datastore staan op dezelfde disk) updaten invloed kan hebben op vm's.

[ Voor 17% gewijzigd door ppl op 30-05-2018 23:06 ]

[Raven]

@ppl Dit zal waarschijnlijk een offtopic discussie opleveren (indien dat het geval is, excuus aan mods en verzoek tot verplaatsen naar algemene ESXi-topic) maar als je een goed werkende ESXi-installatie hebt die ook overweg kan met de eventueel apart toegevoegde drivers, waarom zou je dan ESXi bijwerken met de mogelijke pech dat er het een en ander stuk gaat? Als je de management interface heel goed afschermt hoef je het voor eventuele gefixte lekken denk ik niet te doen, of wel?

[ppl]

Nieuwe features waar je op zit te wachten (security updates kunnen los)? Er zijn in ieder geval genoeg mensen die het doen. Zo was het bij ESXi 6.0 een aardig slachtveld

Zolang je hardware hebt die op de HSL staat is er eigenlijk helemaal niks aan de hand. En bij een nieuwe major versie van wat dan ook loop je altijd kans dat er iets wegvalt aan ondersteuning dus dan hoor je dat ook eerst uit te zoeken. Het is ook goed om te beseffen dat wanneer je een update wilt doen je geen dingen als een vib install moet gaan doen omdat deze zal overschrijven. Gebruik dan ook echt de update optie, dan gebeurd dat niet.

Voorkomen is beter dan genezen, een goede voorbereiding is het halve werk, etc. etc. etc. Dat is eigenlijk het hele punt van mijn post. Eerst controleren, dan pas doen want bij self builds is het vrij makkelijk om dingen stuk te maken.

Btw, omdat het hier gaat om het verwijderen van zaken als storage en NIC drivers gaat het afschermen van je management interface niet werken.

[procyon]

Oke alles binnen, computer gebouwd, alles lijkt in orde. Idle verbruik rond 35 watt.

Nu ESXI installeren, gaat prima tot ik zie dat slechts 1 NIC gezien wordt (terwijl die volgens de documentatie wel zou moeten werken). Geweldig begin dit.
Het gaat om een Intel I211AT, de Intel I219V wordt netjes herkend.

Ik kan treads vinden van jaren geleden van users die dit hadden:
https://communities.vmware.com/thread/507446 (geen oplossing)

https://www.v-front.de/20...11-and-i350-adapters.html (heeft een oplossing maar werkt niet bij mij. Waarschijnlijk omdat ik 6.7 draai.

Iemand ervaring met deze NIC en hoe hebben jullie dit werkend gekregen?

Nevermind, 2 uur van mijn tijd verprutst en het is genoeg zo. Ik zag een tooltje waarmee je drivers kan slipstreamen maar dat werkt weer niet op windows 10.

Anyway, ik zet er wel een NIC bij, dan is het hopelijk opgelost.. (had ik net zo goed voor een super goedkoop bord kunnen gaan).

Nu weer wachten tot die binnen is en dan maar hopen dat er geen andere verassingen zullen volgen.

[ Voor 35% gewijzigd door procyon op 10-06-2018 14:25 ]

[duiveltje666]

procyon schreef op zondag 10 juni 2018 @ 13:17:
Oke alles binnen, computer gebouwd, alles lijkt in orde. Idle verbruik rond 35 watt.

Nu ESXI installeren, gaat prima tot ik zie dat slechts 1 NIC gezien wordt (terwijl die volgens de documentatie wel zou moeten werken). Geweldig begin dit.
Het gaat om een Intel I211AT, de Intel I219V wordt netjes herkend.

Ik kan treads vinden van jaren geleden van users die dit hadden:
https://communities.vmware.com/thread/507446 (geen oplossing)

https://www.v-front.de/20...11-and-i350-adapters.html (heeft een oplossing maar werkt niet bij mij. Waarschijnlijk omdat ik 6.7 draai.

Iemand ervaring met deze NIC en hoe hebben jullie dit werkend gekregen?

Nevermind, 2 uur van mijn tijd verprutst en het is genoeg zo. Ik zag een tooltje waarmee je drivers kan slipstreamen maar dat werkt weer niet op windows 10.

Anyway, ik zet er wel een NIC bij, dan is het hopelijk opgelost.. (had ik net zo goed voor een super goedkoop bord kunnen gaan).

Nu weer wachten tot die binnen is en dan maar hopen dat er geen andere verassingen zullen volgen.

Misschien domme vraag , waarom geen Proxmox ipv Esxi? Dan werken beide nic's wel gewoon ...

[procyon]

duiveltje666 schreef op zondag 10 juni 2018 @ 14:41:
[...]

Misschien domme vraag , waarom geen Proxmox ipv Esxi? Dan werken beide nic's wel gewoon ...

Simpelweg omdat ik niet op de hoogte was van dit alternatief. Ik ga het proberen! Dank voor je suggestie

[Verwijderd]

Ik heb bij een basisschool in Wallonie een server geinstalleerd met Ubuntu en daar KVM-QEMU op geinstalleerd.
De server heeft 2 fysieke interfaces.
eth0 is via VT-d exclusief toegewezen aan pFsense als externe NIC.
eth1 is voor LAN. Via KVM maken pFsense en de VM die alle LAn taken afhandelt gebruik van eth1 en verder is er fysiek een 48poort managed switch op aangesloten.

Als je niet heel erg bedreven bent met KVM-QEMU (vanwege commandline) zou ik je adviseren om proxmox te gaan gebruiken als hypervisor. pFsense kan je dan nog steeds als VM binnen proxmox toepassen.

Ik weet niet of er met de huidige versie van pFsense nog steeds een probleem is met de virtIO drivers. Dit wordt opgelost via pomiscuous mode. https://www.mondaiji.com/...kvm-virtio-network-issues

Zelf heb ik een thuis server op basis van een supermicro mitx bord met Intel Xeon D1521 processor. Deze trekt met een 5 tal VM's + 2tal Linux containers gemiddeld rond de 50W. Proxmox 5.2 met 4 disks

[ Voor 4% gewijzigd door Verwijderd op 10-06-2018 15:22 ]

[Mijzelf]

Met 1 NIC kun je ook prima een router draaien, mits je niet meer dan 500Mbit/sec aan up- of download gebruikt, en je een managed switch gebruikt. Je gebruikt dan een apart VLAN voor de WAN (of voor de LAN, natuurlijk).

Ik heb dat een aantal jaren geleden gedaan op Xen, en toen bleek dat ik beter de VLAN uitsplitsing in Dom0 kon doen dan in de VM van de router, wegens performance.

[procyon]

Thanks voor de suggesties

[ Voor 90% gewijzigd door procyon op 10-06-2018 15:43 ]

[ik222]

Mijzelf schreef op zondag 10 juni 2018 @ 15:19:
Met 1 NIC kun je ook prima een router draaien, mits je niet meer dan 500Mbit/sec aan up- of download gebruikt, en je een managed switch gebruikt. Je gebruikt dan een apart VLAN voor de WAN (of voor de LAN, natuurlijk).

Ik heb dat een aantal jaren geleden gedaan op Xen, en toen bleek dat ik beter de VLAN uitsplitsing in Dom0 kon doen dan in de VM van de router, wegens performance.

Waarom zou je niet meer dan 500Mb/s kunnen halen met 1 NIC? Normaal gesproken is je ethernet verbinding gewoon 1Gb/s full duplex en dus kun je dat tegelijk beide kanten op halen.

[Verwijderd]

We gaan offtopic, maar als je via VLAN tagging 2 netwerken instelt op 1 interface zal je per netwerk maar de helft vande totale bandbreedte kunnen gebruiken.
Nu zal er bij niet zo heel veel mensen nu al 500Mbit internet beschikbaar zijn, dus de LAN kant zou een hogere bandbreedte kunnen overhouden dan de WAN kant.

[ik222]

Verwijderd schreef op zondag 10 juni 2018 @ 16:33:
We gaan offtopic, maar als je via VLAN tagging 2 netwerken instelt op 1 interface zal je per netwerk maar de helft vande totale bandbreedte kunnen gebruiken.
Nu zal er bij niet zo heel veel mensen nu al 500Mbit internet beschikbaar zijn, dus de LAN kant zou een hogere bandbreedte kunnen overhouden dan de WAN kant.

Je kan over de totale interface gewoon tegelijk 1Gb/s trekken in beide richtingen. Dus als 1 VLAN je WAN is en 1 je LAN kan je nog steeds nagenoeg 1Gb/s download halen (er gaat dan 1Gb/s in en 1Gb/s uit de interface wat uitgaande van full duplex gewoon kan).

Het wordt pas een probleem als je tegelijk met een 1Gb/s wilt downloaden en uploaden. Dan heb je gelijk en haal je inderdaad maximaal 500Mb/s beide kanten op (ook hier in de praktijk iets minder).

[Verwijderd]

Dat is precies wat er gebeurt als je je interface voor zowel WAN als LAN verbinding gebruikt.
Stel je hebt een 500Mbit internet verbinding en je download met 500Mbit. Dan moet diezelfde interface deze 500Mbit als upload naar je LAN uitvoeren: je maximale capaciteit is dan vol.

[procyon]

Proxmox geinstalleerd. Zag al wel dat die installatie niet op een USB stick past.
Dus heb nu het volgende; Proxmox geinstalleerd op een M2 1TB SSD. Wat ik al hoopte is inderdaad het geval. Ik kan gelukkig een stuk van die schijf toewijzen aan een Windows 10 VM. (800 GB).

Nu wil ik verder met het overzetten van data van mijn nas, dus 1 schijf eruit getrokken en in de Proxmox bak gestoken. De schijf is nu zichbaar in "storage view" maar de vraag is nu; hoe wijs ik deze totale schijf toe aan de windows VM?

En straks, wil ik de tweede erbij zetten voor spiegeling, is dat het beste in windows? Of kan ik een schijf spiegelen in Proxmox?

[ik222]

Verwijderd schreef op zondag 10 juni 2018 @ 19:01:
Dat is precies wat er gebeurt als je je interface voor zowel WAN als LAN verbinding gebruikt.
Stel je hebt een 500Mbit internet verbinding en je download met 500Mbit. Dan moet diezelfde interface deze 500Mbit als upload naar je LAN uitvoeren: je maximale capaciteit is dan vol.

Nee die redenatie klopt dus niet, er vanuit gaande dat we het over een standaard 1Gb/s full duplex verbinding hebben (en dat is bij huidige gigabit netwerken eigenlijk altijd zo). Full duplex betekent nu juist dat er tegelijk 1Gb/s beide richtingen op kan. Dus zolang je enkel download kan dat gewoon met (bijna) 1Gb/s. Er gaat dan gelijktijdig 1Gb/s de ethernet poort in (via het WAN VLAN) en 1Gb/s de ethernet poort uit (via het LAN VLAN).

Zou het een half duplex verbinding zijn dan klopt jou redenatie wel. Maar dat komt in principe niet voor bij gigabit ethernet netwerken.

[ppl]

Het ligt wat gecompliceerder omdat je de verbinding moet verdelen over 2 verschillende VLANs en je hierbij te maken hebt met extra overhead (TCP/IP is geen eenrichtingsverkeer, er gaat ook het nodige aan informatie terug) maar ook overige traffic op WAN en LAN die door de firewall moet. Door dat soort fratsen kun je nogal wat snelheidswisselingen zien, meer dan wanneer je een fysieke verbinding per netwerk (WAN, LAN) gebruikt.

[tvtech]

Hopelijk komt hier af en toe nog iemand, ik probeer het gewoon:

deze week ben ik gaan knutselen met pfSense. Virtueel op mijn Mac mini met VMware Fusion. Mijn Zeelandnet modem in bridge mode en via een thunderbolt to ethernet kabeltje naar mijn Mac mini (late 2012 core i5, 16GB ram en een 250 Samsung ssd), werkt uiteindelijk na wat probleempjes. Maar ik haal slechts 120 van de 250Mbit/s, cpu van de Mac staat dan aardig hoog. Als ik nog een vm start en daar een speedtest op doe gaat alles naar 100%.
Ik heb Squid en Clam AV en pfBlocker draaien. Doel is:

-scannen op virussen en mailwar voor het hele netwerk met ongev 25 apparaten
-adblocker
-applicaties blokkeren na een bepaalde tijd (dit heb ik nog niet geregeld)

Ik draai het virtueel om kosten en stroom te besparen. De pfsense vm heeft 2 virtuele processoren en 2GB ram. Ik had gedacht dat dit voldoende was.
Heeft iemand een idee waarom ik niet de volledige snelheid van mijn verbinding haal? NIC staan beide op 1GB/s.

[ik222]

Die thunderbolt adapter is waarschijnlijk een flinke CPU slurper zodra je er wat netwerkverkeer over trekt. Denk dat je met een managed switch ervoor en dan 2 VLAN's over die enkele echte NIC al veel betere resultaten haalt. Daarmee kan je makkelijk 900-950 download of upload halen of 450 - 475 up en download tegelijkertijd.

Meest ideale blijft natuurlijk een host met 2 echte netwerkadapters. Dan haal je gewoon 950+ Mbit tegelijk up en download.

[tvtech]

aha, dat zou goed kunnen. Helaas zit er maar 1 nic in maar ik heb er wel een Cisco SG300 aan hangen. Ik zou daar dus een 2e vlan op kunnen zetten, mijn modem dus op 1 poort in dat 2e vlan en en dan op de lan poort van de Mac de 2 vlans kunnen zetten waarbij er 1 door gaat naar de vm.
Dat zou me wel moeten lukken denk ik en anders is er Google.

dank voor de tip!

[ppl]

ik222 schreef op zondag 9 september 2018 @ 18:22:
Die thunderbolt adapter is waarschijnlijk een flinke CPU slurper zodra je er wat netwerkverkeer over trekt. Denk dat je met een managed switch ervoor en dan 2 VLAN's over die enkele echte NIC al veel betere resultaten haalt. Daarmee kan je makkelijk 900-950 download of upload halen of 450 - 475 up en download tegelijkertijd.

Dat is pertinent onjuist want de Thunderbolt versie IS een echte NIC Sterker nog, het is er eentje die officieus door VMware wordt ondersteund in bijv. VMware ESXi. Diverse VMware engineers maken er namelijk gebruik van (iets wat terug te vinden is op het officiële VMware forum).

Het probleem is dan ook beslist niet de Thunderbolt NIC. Het issue is eerder de resources van de vm zelf. Voor alleen firewalling zijn deze voldoende maar wanneer je daar ook allerlei scanning tools bij installeert en verkeer gaat scannen dan hakt dat er behoorlijk in. Daar wordt dan ook overal duidelijk voor gewaarschuwd. Er staat ook het e.e.a. op de officiële product pagina.
Bij gebruik van pfSense als vm op een VMware product dient ook de open-vm-tools package in pfSense te worden geïnstalleerd anders is je performance ook aardig belabberd (zeker als je 10Gbit/s wilt kunnen doen).

Probeer eerst eens die open-vm-tools te installeren en al die additionele tools uit te zetten. Dan zou je wel de maximale snelheid moeten halen. Zo niet dan zul je verder moeten zoeken.

[Tallguy]

* geen topic kaping...ik denk nl dat mijn vraag hier wel thuis hoort

Is er een goede how-to te vinden hoe je PFsense kan implementeren in je netwerk als je het op een Synology NAS laat draaien?

Ik heb een DS916+ die met beide NICS aan een switch hangt. De switch hangt op zijn beurt aan een Ubiquity Secure Gateway (USG) en die hangt aan een Ziggo Ubee modem (die in bridgemode staat).De USG is ook mijn DHCP server. Verder geen VLAN's.

De USG is niet krachtig genoeg om DPI en ISP te laten draaien. Ik heb daarom het idee opgepakt om te kijken of ik mijn NAS niet daarvoor kan inzetten (die toch al 24/7 aan staat).

Ik ben zeker geen held in netwerk-zaken, dus zoek ik wat hulp.
Momenteel zie ik even niet 100% helder voor me hoe ik kan zorgen dat al mijn verkeer van de USG via mijn NAS, door PFsense (die ik dan moet virtualiseren) naar mijn interne LAN kan gaan.

Is het zo simpel om de uitgaande poort van de USG aan 1 NIC van mijn NAS te koppelen en de andere NIC van de NAS aan de switch?
En dat ik op mijn NAS een VM moet maken met PFsense en dan ergens tegen de VM zetten dat bijv NIC1 inkomend (dus als WAN) wordt gezien) en dat NIC2 als uitgang (als LAN) wordt gezien?

Ik wil wel mijn services remote kunnen blijven benaderen van mijn NAS, dus Photostation, Filestation, Mail etc... Nu heb ik dat gedaan met portforwards op de USG.

Alvast bedankt voor de hulp