Aankoopadvies zelfbouw pfSense / VPN systeem

[oochiewallie]

Ik heb besloten om maar eens werk te maken van het verbeteren van mijn online privacy en heb daarom een NordVPN abbo afgesloten. Ik dacht, dat stel ik wel even in op mijn router (een al wat oudere Netgear R7000), alleen was dat een beetje te optimistisch. De performance is namelijk ver te zoeken: met mijn T-Mobile Gbit-verbinding haal ik nog maar tussen de 40-50 Mbit (bedraad), wanneer ik de VPN instel op mijn router (m.b.v. de FlashRouters Privacy App). Dit terwijl ik met de NordVPN client op mijn laptop makkelijk rond de 250 Mbit haal (ook nog niet top, maar goed, al wel een heel verschil). Daar valt dus nog heel wat te halen.

Na een lange zoektocht kwam ik uit bij allerlei kant en klare systemen, veelal o.b.v. pfSense. Zelfbouw heeft dan echter mijn voorkeur. Daarbij heb ik gelezen dat vooral de single-core performance belangrijk is (i.v.m. OpenVPN, dat nog geen ondersteuning kent voor meerdere cores) en dat de CPU vooral AES-NI moet ondersteunen.

Daarbij kom ik uit op het volgende systeempje, wat ik net even bij elkaar heb geklikt:

#	Category	Product	Prijs	Subtotaal
1	Processors	Intel Pentium Gold G6400 Boxed	€ 59,90	€ 59,90
1	Moederborden	ASRock H410M-ITX/ac	€ 83,50	€ 83,50
1	Behuizingen	Cooler Master Elite 110	€ 53,48	€ 53,48
1	Geheugen intern	Kingston KSM26ES8/8ME	€ 41,-	€ 41,-
1	Voedingen	Corsair TX550M	€ 70,90	€ 70,90
1	Solid state drives	WD Green SSD M.2 V2 120GB	€ 24,-	€ 24,-
			Totaal	€ 332,78

Het zal misschien hier en daar een flinke overkill zijn, maar is altijd nog goedkoper dan vele kant en klare systemen, met een vele malen betere performance.

Ik ben benieuwd wat jullie ervan vinden en of er hier en daar nog ruimte is voor verbetering? Of voor het nog verder terugbrengen van de kosten, zonder in te moeten boeten aan performance.

Ik hoor graag jullie adviezen, waarvoor vast dank!

[GlowMouse]

Ik zou eerst een stapje terugnemen en nadenken over wat je wilt bereiken. Websites zien je eigen ip-adres niet meer, maar de grote jongens blijven je tracken via cookies en andere technieken. Als je dat probeert tegen te gaan, bijvoorbeeld door niet in te loggen bij Google en regelmatig je cookies weg te gooien, krijg je zoveel captcha's voor je kiezen dat je dat snel zat bent. Waar doe je het dan voor?

[oochiewallie]

GlowMouse schreef op dinsdag 2 maart 2021 @ 20:06:
Ik zou eerst een stapje terugnemen en nadenken over wat je wilt bereiken. Websites zien je eigen ip-adres niet meer, maar de grote jongens blijven je tracken via cookies en andere technieken. Als je dat probeert tegen te gaan, bijvoorbeeld door niet in te loggen bij Google en regelmatig je cookies weg te gooien, krijg je zoveel captcha's voor je kiezen dat je dat snel zat bent. Waar doe je het dan voor?

Het is voor nu m.n. bedoeld voor het kunnen kijken van IPTV en buitenlandse content van diverse streaming-aanbieders. Maar dat neemt niet weg dat je terecht een punt hebt uiteraad.

[GlowMouse]

oochiewallie schreef op woensdag 3 maart 2021 @ 10:41:
[...]


Het is voor nu m.n. bedoeld voor het kunnen kijken van IPTV en buitenlandse content van diverse streaming-aanbieders. Maar dat neemt niet weg dat je terecht een punt hebt uiteraad.

Kun je dan niet beter selectief verkeer door de vpn sturen, zoals verkeer van de tv of verkeer naar de streamingaanbieder? Dan heb je aan 50 Mbps meer dan genoeg.

[oochiewallie]

GlowMouse schreef op woensdag 3 maart 2021 @ 14:16:
[...]

Kun je dan niet beter selectief verkeer door de vpn sturen, zoals verkeer van de tv of verkeer naar de streamingaanbieder? Dan heb je aan 50 Mbps meer dan genoeg.

Hmm, ja, alleen zit ik hier met meerdere personen (soms tegelijkertijd kijkers op 4 tot 6 verschillende apparaten tegelijkertijd). Daar komt bij dat ik het niet lekker vind draaien op de Netgear R7000 (de DD-WRT interface is zeer traag bij gebruik van de FlashRouters privacy app en heb al diverse reboots gehad in de tussentijd).

[jvanderneut]

oochiewallie schreef op dinsdag 2 maart 2021 @ 19:54:

Ik ben benieuwd wat jullie ervan vinden en of er hier en daar nog ruimte is voor verbetering? Of voor het nog verder terugbrengen van de kosten, zonder in te moeten boeten aan performance.

Ik hoor graag jullie adviezen, waarvoor vast dank!

Ik zou eens kijken in het Het grote zuinige server topic - deel 2 topic, misschien is een Deskmini wel iets.

Op https://teklager.se hebben ze behalve leuke kant-en-klare routers ook performance data met NordVPN. Bedenk dat opnsense/pfsense + openvpn de slechtste combo is qua performance. Openwrt en/of wireguard ("Nordlynx" bij NordVPN) is aanzienlijk sneller.

[sdk1985]

oochiewallie schreef op woensdag 3 maart 2021 @ 10:41:
[...]


Het is voor nu m.n. bedoeld voor het kunnen kijken van IPTV en buitenlandse content van diverse streaming-aanbieders. Maar dat neemt niet weg dat je terecht een punt hebt uiteraad.

Klinkt een klein beetje als een XY probleem. Zo ver ik weet werkt PIA gewoon op AndroidTV. Zo te zien heeft NordVPN ook gewoon een AndroidTV app https://nordvpn.com/nl/download/android-tv/ Voor pak hem beet 50 euro heb je een MiBox. Al zou je er 6 moeten kopen dan is dat nog voordeliger dan het systeem van de startpost. Wellicht leuk om een keer te proberen?

[oochiewallie]

jvanderneut schreef op woensdag 3 maart 2021 @ 21:56:
Op https://teklager.se hebben ze behalve leuke kant-en-klare routers ook performance data met NordVPN. Bedenk dat opnsense/pfsense + openvpn de slechtste combo is qua performance. Openwrt en/of wireguard ("Nordlynx" bij NordVPN) is aanzienlijk sneller.

Thanks, dat is interessante informatie! Nooit geweten dat de combi pfSense + OpenVPN (NordVPN) veel minder ideaal is dan OpenWRT + WireGuard/NordLynx. Dat zijn nog behoorlijke verschillen qua snelheden, mits die cijfers van TekLager kloppen.

In dat geval lijkt die TLSense i7 die ze verkopen mij een zeer interessante. Echter, volgens mij is dan mijn eigen setup (zie openingspost), maar dan met OpenWRT erop i.c.m. NordLynx, dan altijd nog een stuk beter/sneller tegen lagere kosten. Enige voordeel van dat kastje is dat ie wat kleiner is en al helemaal pre-configured is. Hmm, lastig kiezen...

[oochiewallie]

sdk1985 schreef op woensdag 3 maart 2021 @ 22:34:
Klinkt een klein beetje als een XY probleem. Zo ver ik weet werkt PIA gewoon op AndroidTV. Zo te zien heeft NordVPN ook gewoon een AndroidTV app https://nordvpn.com/nl/download/android-tv/ Voor pak hem beet 50 euro heb je een MiBox. Al zou je er 6 moeten kopen dan is dat nog voordeliger dan het systeem van de startpost. Wellicht leuk om een keer te proberen?

Ik heb in eerste instantie ook geprobeerd om dat werkend te krijgen, maar dat is me nooit helemaal goed gelukt. Wat je dan eigenlijk wilt, is dat de TV de NordVPN automatisch opstart bij het aanzetten van de tv. En dan bij voorkeur ook nog op de achtergrond, zodat de gebruiker die app niet te zien krijgt. Dat laatste is mij nog niet gelukt. Daarbij was ook mijn constatering dat die app pas startte na ruim een minuut (nadat de tv was opgestart), dus in het ergste geval zit de gebruiker dan allang ("onbeschermd") tv te kijken.

Echter, wat ik nog vervelender vind van een dergelijke setup, is dat het qua beheersbaarheid natuurlijk een stuk minder fraai is. Ik moet dan alle tv's in huis langs (en ook nog eens alle mobiele apparaten). Het is natuurlijk veel handiger als je dat gewoon maar 1x in hoeft te stellen.

Ik waardeer je bijdrage, maar deze optie valt voor mij helaas af.

[jvanderneut]

[quote]oochiewallie schreef op donderdag 4 maart 2021 @ 13:35:
[...]

In dat geval lijkt die TLSense i7 die ze verkopen mij een zeer interessante. Echter, volgens mij is dan mijn eigen setup (zie openingspost), maar dan met OpenWRT erop i.c.m. NordLynx, dan altijd nog een stuk beter/sneller tegen lagere kosten. Enige voordeel van dat kastje is dat ie wat kleiner is en al helemaal pre-configured is. Hmm, lastig kiezen...

Klopt

Als je daadwerkelijk openwrt + nordlynx wil/kan gebruiken voldoet een goedkopere TLSense al.

[oochiewallie]

jvanderneut schreef op donderdag 4 maart 2021 @ 14:00:
Als je daadwerkelijk openwrt + nordlynx wil/kan gebruiken voldoet een goedkopere TLSense al.

Weet je dat zeker? Ik lees namelijk het volgende bij de AES-GCM CPU benchmarks:

Based on this chart, we can estimate that i5-4210U can achieve up to ~650Mbit/s, and i7-6500U can run at full Gigabit.

Dat suggereert dat je zelfs nog een duurdere variant (bijvoorbeeld deze) nodig hebt om Gbit-snelheden te halen.

[oochiewallie]

Ik kom er nu trouwens net achter dat die TLSense kastjes gewoon rebranded Qotom boxjes zijn uit China. Via Ali bestellen is dus nog een stuk goedkoper. Alleen jammer van die bijkomende BTW nog (geldt ook bij aanschaf via TekLager). Wordt dus toch zelf knutselen dan maar...

[oochiewallie]

Ik heb zojuist de Qotom Q555G6 overgenomen van een mede-Tweaker, dus daarmee is invulling gegeven aan mijn vraag. Dank allen voor de reacties! Het wordt uiteindelijk dus een OpenWRT + NordLynx/WireGuard combo.

[jvanderneut]

oochiewallie schreef op donderdag 4 maart 2021 @ 15:27:
[...]


Weet je dat zeker? Ik lees namelijk het volgende bij de AES-GCM CPU benchmarks:

Based on this chart, we can estimate that i5-4210U can achieve up to ~650Mbit/s, and i7-6500U can run at full Gigabit.

Dat is voor openvpn als ik het goed heb. Wireguard is minder zwaar en schaalt ook beter over meerdere cpu's.

[oochiewallie]

Ik heb inmiddels de boel werkend op een Qotom Q555G6 met i5-7300U processor erin. En dat werkt best lekker: ik haal gemiddeld rond de 600 Mbit up en down, op mijn Gigabit-lijntje (waarmee ik zonder VPN max. rond de 920 Mbit haal). Dat vind ik best netjes. Ben er blij mee zo!