Zuinige firewall hardware die Gigabit aan kan

[Q]

Ik probeer mijn stroomverbruik te beperken en daarom ben ik opzoek naar een zuinige router/firewall die gigabit internet aan kan.

Ik heb een Raspberry Pi 4B+ getest en die kan prima een iperf3 doen op 940 Mbit, maar zodra je een leuke IPTables ruleset laadt dan haal ik nog maar ~650 Mbit.

Op bestaande x86 compatible hardware haal ik wel de volle snelheid van gigabit internet.

In het verleden heb ik wel eens een losse firewall gekocht voor een paar honderd euro, maar daar zit dan zo'n MIPS processortje in dat nog zwakker is als een Pi 4 en dat was helemaal geen succes.

Mijn eisen zijn als volgt:

1. <10 Watt idle power usage
2. Moet Linux kunnen draaien
3. Liefst twee Gigabit ethernet poorten maar 1 poort en USB3 support is ook goed (2e NIC wordt dan via USB aangesloten)
4. Klein / compact voor in de meterkast.

Edit:

5. Liefst iets kant-en-klaars

Overigens draai ik nu via één netwerk kaart en VLANs maar ik overweeg om daar vanaf te stappen (haal niet de volle gigabit door deze setup).

Ik ben benieuwd of mensen nog tips/ideeën hebben. Misschien kan de conclusie ook zijn dat mijn wensen combinatie niet redelijk is / niet te realiseren valt.

---

Ubiquity router/firewall producten zijn ook interessant, maar ik vraag me af of die de volle gigabit halen.
zoiets als dit misschien:

pricewatch: Ubiquiti EdgeRouter 4

[Voor 10% gewijzigd door Q op 01-02-2021 22:16]

[TheByteBoy]

Hier al eens gekeken? Zelfbouw project: Firewall / Router / AP

[Q]

TheByteBoy schreef op maandag 1 februari 2021 @ 22:02:
Hier al eens gekeken? Zelfbouw project: Firewall / Router / AP

Nee, nog niet, bedankt voor de tip. Overigens hoop ik eigenlijk iets kant-en-klaars te kopen als dat zou lukken.

[Detmer]

Q schreef op maandag 1 februari 2021 @ 22:13:
[...]


Nee, nog niet, bedankt voor de tip. Overigens hoop ik eigenlijk iets kant-en-klaars te kopen als dat zou lukken.

Iets als een Intel Nuc of Gigabyte Brix? Ook de nieuwere servers doen niet zoveel in gebruik als je ze een beetje goed inricht. Maar dat is voor alleen een firewall een beetje overkill.

[Q]

Detmer schreef op maandag 1 februari 2021 @ 22:17:
[...]


Iets als een Intel Nuc of Gigabyte Brix? Ook de nieuwere servers doen niet zoveel in gebruik als je ze een beetje goed inricht. Maar dat is voor alleen een firewall een beetje overkill.

Bedankt voor de tip, zo'n Brix is niet zo prijzig. Geeft me wel een idee... Ik heb nog een oude mac mini liggen, eens kijken wat die idle doet.

[wuppie007]

Je zou ook nog naar een pc engines apu2 bordje kunnen kijken. Ik draai daarmee opnsense. Geen idee of die een gigabit trekt met de opties die jij wilt. Volgens mij zijn er altijd wel combies van instellingen te bedenken die eenvoudige hardware op de knieën krijgt.

[spone]

Anekdotisch verhaal, N=1 enzo, maar met een EdgeRouter PoE-5 (voorloper van de EdgeRouter 4 die jij noemt) trek ik bij normaal verkeer de gigabit LAN-WAN wel dicht. Dat is met traffic inspection op hostniveau en een hele basic ruleset.

Houd er ook rekening mee dat afhankelijk van wat je wil offloading nog wel eens van de wagen wil vallen. Met name zaken als PPPoE i.c.m. VLANs of IPv6 support zorgt ervoor dat devices alles over de CPU gaan afhandelen... en dan neemt de performance best een duikvlucht.

Als je echt onder alle omstandigheden gigabit performance wil halen i.cm. grote rulesets en veel features à la IPS/IDS neig ik net als hierboven naar een x86-based platform. Zelfs een simpele Atom maakt gehakt van de gemiddelde MIPS CPU die in een standaard routerdoosje aanwezig is.

[Thralas]

Q schreef op maandag 1 februari 2021 @ 21:59:
Ik heb een Raspberry Pi 4B+ getest en die kan prima een iperf3 doen op 940 Mbit, maar zodra je een leuke IPTables ruleset laadt dan haal ik nog maar ~650 Mbit.

Wat versta je onder leuke ruleset?

De leukste ruleset vind ik er een die ESTABLISHED er op de eerste rule naar ACCEPT gooit, en dan zou je toch niet zo snel performance issues moeten hebben..

1. <10 Watt idle power usage
2. Moet Linux kunnen draaien
3. Liefst twee Gigabit ethernet poorten maar 1 poort en USB3 support is ook goed (2e NIC wordt dan via USB aangesloten)
4. Klein / compact voor in de meterkast.

Al naar thin clients gekeken? Ik heb een HP t620 voor €25 gekocht (maar dat was mazzel). Die voldoet aan alle punten (met USB3), Voor rond de €100 heb je Dell SFFs op Marktplaats, dat zijn ook aardige machientjes.

Overigens draai ik nu via één netwerk kaart en VLANs maar ik overweeg om daar vanaf te stappen (haal niet de volle gigabit door deze setup).

Als je echt heel kritisch bent twijfel ik of de t620 voldoende beef heeft. Maar zo'n SFF of NUC zonder meer.

Ubiquity router/firewall producten zijn ook interessant, maar ik vraag me af of die de volle gigabit halen.
zoiets als dit misschien:

pricewatch: Ubiquiti EdgeRouter 4

Zelfde prijscategorie: MikroTik RB4011iGS+RM. Die zou gigabit met gemak moeten doen.

[Q]

spone schreef op maandag 1 februari 2021 @ 22:33:
Zelfs een simpele Atom maakt gehakt van de gemiddelde MIPS CPU die in een standaard routerdoosje aanwezig is.

Tot voor kort draaide ik op een Microserver N40L die een AMD equivalent van een Atom draait, 10+ jaar oud en precies wat je zegt.

Het ding doet 30+ Watt idle en dat vind ik niet zo tof meer.

Hoop suggesties waar ik verder even in ga duiken.

En die 2012 Mac mini doet (onder MacOS) 7 Watt idle volgens mijn power meter. En dat voor een x86 doosje.
Linux installeren zal wel een effort zijn, en de vraag is of het doosje ook onder Linux zo zuinig zal zijn.

Bedankt voor alle suggesties van allen, tot nu toe.

[Jan-man]

Qotom mini pc ? Zijn zuinig en direct meerdere nics (afhankelijk van model)

[Frogmen]

Wat ik mij dan altijd weer afvraag, waar trek je prive 1 Gb mee vol? Want dat betekent dat er aan de andere kant ook voor jouw 1 Gb vol geleverd moet worden. Torrents, maar dan haal je meer binnen dan dat je voor kan kijken dus waarom? Maar dan wel moeilijk doen over je stroomverbruik, beetje raar. Of gaat het om jouw kosten?
Maar even on topic, vermoedelijk draai je wel meer servers ook, in dat geval zou ik zeker kijken naar virtualisatie op een moderne i5, uiteindelijk zal dat het meest energiezuinig zijn. Anders gezegd je kijkt nu naar 1 ding in de keten kijk naar je hele netwerk/ serverpark en kijk hoe je dat als geheel kan optimaliseren. Waarschijnlijk is er dan meer te besparen.

[Anoniem: 567735]

Kijk eens naar de NanoPi R4S. Verschillende smaken Linux beschikbaar, volgens mij zijn ze ook bezig met Opnsense en Pfsense, en OpenWRT is er ook al.

Ik heb er hier een liggen (nog niet mee gespeeld), maar is gebouwd als een tank.

[kosz]

Ik lees nergens dat het een knutselproject moet zijn, dus waarom dan geen kant en klare firewall ?
https://www.fortinet.com/...-fortiwifi-40f-series.pdf

Zit op een stroomverbruik tussen de 13 - 15W

[Freeaqingme]

Q schreef op maandag 1 februari 2021 @ 21:59:

Ik heb een Raspberry Pi 4B+ getest en die kan prima een iperf3 doen op 940 Mbit, maar zodra je een leuke IPTables ruleset laadt dan haal ik nog maar ~650 Mbit.

Op welke kernel versie is dit? Werd er onder water nftables icm bpf gebruikt?

[ChaserBoZ_]

ER-X router, erg zuinig met stroom, hier vind je een aantal meting ervan; https://community.ui.com/...5e-41c4-968a-9a4a656e1ce9

[Q]

Freeaqingme schreef op dinsdag 2 februari 2021 @ 10:59:
[...]


Op welke kernel versie is dit?

Dat weet ik even niet, maar ik had al op een andere website gezien dat met iptables een Pi 4 niet harder kan dan dit en mijn meting bevestigt dit.

Werd er onder water nftables icm bpf gebruikt?

Geen idee, gewoon standaard iptables ruleset met NAT, poortforwarding en reguliere allow rules.

[Q]

kosz schreef op dinsdag 2 februari 2021 @ 10:45:
Ik lees nergens dat het een knutselproject moet zijn, dus waarom dan geen kant en klare firewall ?
https://www.fortinet.com/...-fortiwifi-40f-series.pdf

Zit op een stroomverbruik tussen de 13 - 15W

Is wel een goede tip, beetje buiten mijn prijsrange (had ik niet genoemd) maar bij deze.

[johnkeates]

Een Qotom (of andere whitebox industrial PC met ULV Core CPU) met OpnSense kan dat wel. Sneller, goedkoper, beter, meer features, dan zo'n beetje alles wat er op de markt is voor jouw doel. In plaats van OpnSense kan je natuurlijk ook OpenWRT, Vyos of plain linux met nftables (of iptables) gebruiken. Zal qua energie niet veel verschillen.

[Voor 43% gewijzigd door johnkeates op 02-02-2021 12:47]

[johnkeates]

kosz schreef op dinsdag 2 februari 2021 @ 10:45:
Ik lees nergens dat het een knutselproject moet zijn, dus waarom dan geen kant en klare firewall ?
https://www.fortinet.com/...-fortiwifi-40f-series.pdf

Zit op een stroomverbruik tussen de 13 - 15W

Om dat 'kant en klaar' nooit echt 'kant en klaar' is. Puur om dat er een label op de doos zit en er winst gemaakt wordt betekent het nog niet dat het goed is, of dat het niet gewoon een betaald knutselwerkje wordt

[ChaserBoZ_]

johnkeates schreef op dinsdag 2 februari 2021 @ 12:44:
Een Qotom (of andere whitebox industrial PC met ULV Core CPU) met OpnSense kan dat wel. Sneller, goedkoper, beter, meer features, dan zo'n beetje alles wat er op de markt is voor jouw doel. In plaats van OpnSense kan je natuurlijk ook OpenWRT, Vyos of plain linux met nftables (of iptables) gebruiken. Zal qua energie niet veel verschillen.

True. Persoonlijk vind ik de Fortigate's mooi compleet, en door er jaren mee te werken kan ik er zelf goed mee overweg. Qua budget pastte het net niet thuis, dus daarom een Edgerouter-X van +/- €65

[PerfectPC]

Ik begrijp dat je zuinig wilt zijn, wat op zich erg lovenswaardig is, maar veel geld uitgeven om 10a20 W continu te sparen lijkt me niet erg economisch verantwoord.
Bovendien is het technisch ook niet erg realistisch om gigabit firewalling (L4+ dus) te verwachten in deze vermogensklasse als je netfilter wilt gebruiken.

[Q]

PerfectPC schreef op dinsdag 2 februari 2021 @ 15:47:
Ik begrijp dat je zuinig wilt zijn, wat op zich erg lovenswaardig is, maar veel geld uitgeven om 10a20 W continu te sparen lijkt me niet erg economisch verantwoord.
Bovendien is het technisch ook niet erg realistisch om gigabit firewalling (L4+ dus) te verwachten in deze vermogensklasse als je netfilter wilt gebruiken.

Nou, ik ben wel benieuwd, ik ben stiekem ook nog even aan het testen met een oude Mac Mini (2012) die onder MacOS 7 Watt idle deed en onder Linux 9 watt. Maar dat is hardware die nieuw ver boven het budget zou vallen ;-) dus het is wel valsspelen.

Maar ik moet even heel hard gaan nadenken over wat ik precies wil en welke trade-off ik wil maken.

Momenteel draait mijn netwerk op basis van VLANs, waar ik alleen vanaf kan door ofwel mijn router in de meterkast te zetten (wat nu niet past) of door nieuwe kabels te trekken, waar ik geen trek in heb.

De huidige setup met VLANs maakt het onmogelijk om de volle gigabit van internet te benutten maar misschien moet ik dat maar accepteren. Vaak is upstream ook de beperkende factor.

Ik wil bij deze alle mensen die in dit topic met suggesties zijn gekomen bedanken, het wordt gewaardeerd.

[Raven]

Q schreef op maandag 1 februari 2021 @ 21:59:
Mijn eisen zijn als volgt:

1. <10 Watt idle power usage
2. Moet Linux kunnen draaien
3. Liefst twee Gigabit ethernet poorten maar 1 poort en USB3 support is ook goed (2e NIC wordt dan via USB aangesloten)
4. Klein / compact voor in de meterkast.

Edit:

5. Liefst iets kant-en-klaars

Naast eerdergenoemde zelfbouw router topic zou je ook in Het grote zuinige server topic - deel 2 kunnen kijken, al moet je in dat topic wel even op het aantal netwerkkaarten letten . Zelf gebruik ik voor router-pc v3 een thinITX systeem dat idle zonder powertop al onder de 10W zit, met powertop nog niet geprobeerd.

#	Category	Product	Prijs	Subtotaal
1	Processors	Intel Core i3-8100T Tray	€ 0,-	€ 0,-
1	Moederborden	Gigabyte GA-IMB370TN (rev. 1.0)	€ 0,-	€ 0,-
1	Behuizingen	Akasa Galileo TU3	€ 186,73	€ 186,73
1	Geheugen intern	Corsair Vengeance CMSX8GX4M1A2666C18	€ 40,-	€ 40,-
1	Solid state drives	WD Green SSD 2,5" V2 120GB	€ 21,31	€ 21,31
			Totaal	€ 248,04

edit:

Q schreef op maandag 1 februari 2021 @ 21:59:
Ik heb een Raspberry Pi 4B+ getest en die kan prima een iperf3 doen op 940 Mbit, maar zodra je een leuke IPTables ruleset laadt dan haal ik nog maar ~650 Mbit.

Hoe ziet jouw firewall er uit? Ik gebruik nftables, daar kun je regels combineren.

[Voor 6% gewijzigd door Raven op 02-02-2021 18:06]

[sambaloedjek]

pricewatch: MikroTik Routerboard RB750Gr3 - hEX
idle 2.5W, haalde ik >900Mbps nat routing mee, met fasttrack. Opletten welke poorten je gebruikt; zie block diagram op de site van Mikrotik.

Of dezelfde maar met SFP poort en ietsje minder zuinig:
pricewatch: MikroTik hEX S

[Q]

Raven schreef op dinsdag 2 februari 2021 @ 17:44:
[...]

Naast eerdergenoemde zelfbouw router topic zou je ook in Het grote zuinige server topic - deel 2 kunnen kijken, al moet je in dat topic wel even op het aantal netwerkkaarten letten . Zelf gebruik ik voor router-pc v3 een thinITX systeem dat idle zonder powertop al onder de 10W zit, met powertop nog niet geprobeerd.

#	Category	Product	Prijs	Subtotaal
1	Processors	Intel Core i3-8100T Tray	€ 0,-	€ 0,-
1	Moederborden	Gigabyte GA-IMB370TN (rev. 1.0)	€ 0,-	€ 0,-
1	Behuizingen	Akasa Galileo TU3	€ 186,73	€ 186,73
1	Geheugen intern	Corsair Vengeance CMSX8GX4M1A2666C18	€ 40,-	€ 40,-
1	Solid state drives	WD Green SSD 2,5" V2 120GB	€ 21,31	€ 21,31
			Totaal	€ 248,04

Bedankt voor de tip! Ik ben bekend met dat topic, maar ik zocht iets heel kleins, compacts, liefst kant-en-klaar.

Hoe ziet jouw firewall er uit? Ik gebruik nftables, daar kun je regels combineren.

Ik gebruik gewoon kaal iptables op basis van een custom script. dat de regels genereert op basis van een config file.

Ik ben niet bekend met nftables, ik zal mij daar eens in verdiepen.

[Raven]

Q schreef op dinsdag 2 februari 2021 @ 18:11:
[...]


Bedankt voor de tip! Ik ben bekend met dat topic, maar ik zocht iets heel kleins, compacts, liefst kant-en-klaar.

Ok ... is grotendeels kant-en-klaar ook goed? Misschien is een barebone a la Shuttle DH310 wat, heb ik ook hier en doet idle 6-7W i.c.m. i3 8100, 1x8GB RAM, WD Green 2.5" ssd en W10. Daar hoef je alleen een RAM-module, CPU en ssd in te stoppen, de rest is kant en klaar. Even koeling eruit halen, die 3 componenten erin, koeling er weer in en klaar

Q schreef op dinsdag 2 februari 2021 @ 18:11:
[...]


Ik gebruik gewoon kaal iptables op basis van een custom script. dat de regels genereert op basis van een config file.

Ik ben niet bekend met nftables, ik zal mij daar eens in verdiepen.

Hmm, toen ik nog iptables gebruikte, had ik die zelf geschreven, nftables ook. Heb niet gebruik gemaakt van custom scriptjes, documentatie gelezen + veel voorbeelden bekeken en daar een firewall op gebaseerd.

Mocht je een nftables voorbeeld willen hebben, geef maar een gil Toen ik er mee aan de gang ging waren voorbeelden van complete firewalls niet te vinden en de iptables-translate tool (die iptables omzet naar nftables) herkende niet alle iptables regels, zelfs de belangrijkste regels (default policy) niet

[Voor 4% gewijzigd door Raven op 02-02-2021 18:35]

[Luxicon]

Q schreef op dinsdag 2 februari 2021 @ 18:11:
[...]


Bedankt voor de tip! Ik ben bekend met dat topic, maar ik zocht iets heel kleins, compacts, liefst kant-en-klaar.


[...]


Ik gebruik gewoon kaal iptables op basis van een custom script. dat de regels genereert op basis van een config file.

Ik ben niet bekend met nftables, ik zal mij daar eens in verdiepen.

Ben je er al uit? Mij lijken bijvoorbeeld een Qotom of Protectli box een goede aankoop. Compact en krachtig. 2e NIC zit er sowieso op.

[Q]

Raven schreef op dinsdag 2 februari 2021 @ 18:28:
[...]

Ok ... is grotendeels kant-en-klaar ook goed? Misschien is een barebone a la Shuttle DH310 wat, heb ik ook hier en doet idle 6-7W i.c.m. i3 8100, 1x8GB RAM, WD Green 2.5" ssd en W10. Daar hoef je alleen een RAM-module, CPU en ssd in te stoppen, de rest is kant en klaar. Even koeling eruit halen, die 3 componenten erin, koeling er weer in en klaar


[...]
Hmm, toen ik nog iptables gebruikte, had ik die zelf geschreven, nftables ook. Heb niet gebruik gemaakt van custom scriptjes, documentatie gelezen + veel voorbeelden bekeken en daar een firewall op gebaseerd.

Mocht je een nftables voorbeeld willen hebben, geef maar een gil Toen ik er mee aan de gang ging waren voorbeelden van complete firewalls niet te vinden en de iptables-translate tool (die iptables omzet naar nftables) herkende niet alle iptables regels, zelfs de belangrijkste regels (default policy) niet

Bedankt voor de suggestie van de hardware. Qua nftables, moet ik gewoon even rustig de tijd pakken om mij er in te verdiepen, maar bedankt voor het aanbod voor hulp.

Voor nu heb ik even genoeg informatie, daar wil ik open over zijn.

Maar als je denkt toch iets te kunnen bijdragen - dit topic kan in de toekomst door andere mensen gevonden worden via de search - hou je dan niet in.

@Luxicon Zie deze reactie.

Ter verduidelijking: ik gebruik nu een HP Microserver Gen10 en die doet ~16 watt idle. Die past alleen niet in mijn meterkast en ik dacht met mijn oorspronkelijke vraag mooi twee vliegen in één klapt te kunnen vangen.

Ik denk dat ik mijn situatie niet totaal ga optimaliseren en bij de Gen10 blijf, die al een forse verbetering is tov de N40L die 2x zoveel verbruikte idle.

Dus ik ga niet nog zuiniger en ik ga ook de extra gigabit performance door de VLANs laten liggen. Puur vanuit gemak, betrouwbaarheid en praktisch oogpunt. Misschien dat ik daar later nog op terug kom.

Ik ga niet verder spelen met de Mac Mini want om daar Linux op te krijgen, dat ging wel maar leuk is anders.

De Microserver gaat wel onder handen genomen worden want de HDDs gaan er uit en er komen SSDs voor in de plaats, deels voor OS en deels voor backup.

[Voor 22% gewijzigd door Q op 02-02-2021 19:04]

[Thralas]

sambaloedjek schreef op dinsdag 2 februari 2021 @ 18:09:
pricewatch: MikroTik Routerboard RB750Gr3 - hEX
idle 2.5W, haalde ik >900Mbps nat routing mee, met fasttrack. Opletten welke poorten je gebruikt; zie block diagram op de site van Mikrotik.

Of dezelfde maar met SFP poort en ietsje minder zuinig:
pricewatch: MikroTik hEX S

Belangrijk om te vermelden: fasttrack werkt alleen voor IPv4.

Als je IPv6 hebt dan schiet hij tekort. Ik haal ~300 Mbit/s voor v6 inclusief PPPoE op een hAP ac (vergelijkbare benchmarks). Heb je toch echt een RB4011 nodig (denk ik) om de gigabit te halen.

[Ben(V)]

https://www.stupid-projects.com/benchmarking-the-nanopi-r4s/

[Q]

Q schreef op maandag 1 februari 2021 @ 22:43:

En die 2012 Mac mini doet (onder MacOS) 7 Watt idle volgens mijn power meter.

Ik wil nog even melden dat dit niet klopt. Ik gebruikte een hele slechte verbruiksmeter volgens test artikelen. Een beter toestel liet rond de 20 watt zien.

[Frogmen]

Q schreef op dinsdag 2 februari 2021 @ 18:58:
[...]


Bedankt voor de suggestie van de hardware. Qua nftables, moet ik gewoon even rustig de tijd pakken om mij er in te verdiepen, maar bedankt voor het aanbod voor hulp.

Voor nu heb ik even genoeg informatie, daar wil ik open over zijn.

Maar als je denkt toch iets te kunnen bijdragen - dit topic kan in de toekomst door andere mensen gevonden worden via de search - hou je dan niet in.

@Luxicon Zie deze reactie.

Ter verduidelijking: ik gebruik nu een HP Microserver Gen10 en die doet ~16 watt idle. Die past alleen niet in mijn meterkast en ik dacht met mijn oorspronkelijke vraag mooi twee vliegen in één klapt te kunnen vangen.

Ik denk dat ik mijn situatie niet totaal ga optimaliseren en bij de Gen10 blijf, die al een forse verbetering is tov de N40L die 2x zoveel verbruikte idle.

Dus ik ga niet nog zuiniger en ik ga ook de extra gigabit performance door de VLANs laten liggen. Puur vanuit gemak, betrouwbaarheid en praktisch oogpunt. Misschien dat ik daar later nog op terug kom.

Ik ga niet verder spelen met de Mac Mini want om daar Linux op te krijgen, dat ging wel maar leuk is anders.

De Microserver gaat wel onder handen genomen worden want de HDDs gaan er uit en er komen SSDs voor in de plaats, deels voor OS en deels voor backup.

Ik zou op die Microserver gaan virtualiseren geeft je naast je router nog meer mogelijkheden zeker als je ook al VLAN's gebruikt.

[80sdude]

Is Firewalla iets? Klein en kant n klaar