Het grote zuinige server topic - deel 3

[pimlie]

RobertMe schreef op donderdag 1 januari 2026 @ 14:34:
moet die al door meerdere beveiligingslagen heen

Precies, en firmware/bios/software updates is ook gewoon onderdeel van die beveiligingslagen. Zodra je erop vertrouwd dat 'de rest' van de lagen je voldoende beveiliging bieden dan heb je eigenlijk al gefaald in het toepassen van die kennis.
De terechte vraag die je jezelf vervolgens stelt is of dat boeit voor jouw thuis situatie, daar mag je uiteraard volledig zelf over oordelen. Maar objectief gezien zou het goed zijn om wel dat onderscheid te maken, en dan zeker als je hier in een publiek topic advies geeft

[RobertMe]

pimlie schreef op donderdag 1 januari 2026 @ 14:44:
[...]


Precies, en firmware/bios/software updates is ook gewoon onderdeel van die beveiligingslagen. Zodra je erop vertrouwd dat 'de rest' van de lagen je voldoende beveiliging bieden dan heb je eigenlijk al gefaald in het toepassen van die kennis.

Niet perse, naar mijn idee. Het is een streven om overal, op alle lagen, 100% veilig te zijn. Maar je gaat nooit 100% de garantie hebben dat je daadwerkelijk overal veilig bent. Waarna het vervolgens altijd een risico afweging is wat je wel en niet accepteert. Ik zou dus zeker wel een product willen hebben dat OOTB gewoon veilig is en geen bekende lekken heeft. Als er vervolgens een lek gevonden wordt en er geen update voor uit komt dan is het een afweging in hoe vatbaar je voor dat lekt bent. Wat dus neer komt op hoe makkelijk het lek te misbruiken is, en hoe vatbaar je daarvoor bent / hoe wijdverspreid er misbruik van wordt gemaakt. En als dan blijkt dat ik het lek in hard-/software zit die door miljarden anderen gebruikt wordt (interessant "doelwit" dus), en het lek op afstand (via internet dus (bv drive by bij het bezoek van een website of iets soortgelijks)) te misbruiken is, of er veel apparaten in omloop zijn die er lokaal misbruik van (kunnen) maken, dan zou ik mij zorgen gaan maken. Maar ik acht de kans dus ook klein dat wat voor commercieel apparaat dan ook naast zijn normale functie en in dit geval al het "kwaadwillend zijn" óók nog eens code/functionaliteit gaat bevatten om (zeer specifieke) exploits in bv switches te misbruiken om vervolgens op een VLAN te komen om vervolgens daar weer een PC over te nemen. Dan gaat het dus eerder over een gerichte aanval waarbij er daadwerkelijk on-the-spot laag voor laag de boel "ontmanteld" wordt. En de uren/kosten die daar in zal zitten zullen mij geen interessant zijn doelwit maken.

Als er nu een lek in een Ubiquiti switch, die ik heb, zou zitten en die is alleen theoretisch te misbruiken (lees: nog geen zero-day / bekende exploits in omloop) dan zou ik mij niet direct zorgen maken.

Maar objectief gezien zou het goed zijn om wel dat onderscheid te maken, en dan zeker als je hier in een publiek topic advies geeft

Maar dit topic gaat over thuisservers Niet over "groot bedrijf met gevoelige informatie".

Edit:
En je moet je natuurlijk ook afvragen hoeveel onveiliger het geworden is als er een bekend lek in zit. Het enige verschil is immers dat het bekend is, niet dat het lek er in zit. Het was dus al "net zo" onveilig. Het enige verschil is dat het feit dat er een lek is, en wellicht een richting van hoe het te misbruiken, bekend is. Dus het risico neemt alleen toe "doordat het bekend is". Maar dat het lek niet bekend is betekend ook niet dat je veilig bent. Want die aanvaller kan het lek alsnog weten en misbruiken. Een zero-day dus.

[ Voor 10% gewijzigd door RobertMe op 01-01-2026 15:12 ]

[mrmrmr]

pimlie schreef op donderdag 1 januari 2026 @ 14:12:
@mrmrmr Ze zijn al wat ouder, maar uitvoering: Netgear Prosafe Gigabit Plus GS105Ev2 en uitvoering: Netgear Prosafe Gigabit Plus GS108Ev3

De GS105Ev2 verbruikt zeer zeker ~1W, de GS108Ev3 deed iets meer maar twijfel nu over hoeveel meer. Mijn PM231E doet het helaas niet meer dus kan het nu niet na meten (de batterijen waren op en nadat ik die heb vervangen werkt het display wel maar zijn alle meetwaarden altijd 0)

Bedankt voor de gegevens. Uit de spec sheet haal ik dat het maximale verbruik van de uitvoering: Netgear Prosafe Gigabit Plus GS105Ev2 2,6W is: "worst case, all ports used". Bij de uitvoering: Netgear GS305-300PES, per stuk (GS305v3) is dat 2,15W. Met name als je een tamelijk grootverbruikende glasvezelmodem kan uitsparen en laag verbruikende glasvezel/ethernet converter kan toepassen is dat nuttig.

[Standeman]

Ik zit al een tijdje te denken om een simpele nextcloud / minecfraft servertje te hebben. Voornamelijk voor foto opslag en een potje minecraft te spelen met mijn kinderen. Het liefst stil en klein, maar vooral goedkoop en zuinig. Ik heb nog een 1tb ssd en een 32GB sodimm liggen die in een gestorven laptop zitten. Misschien ook kodi om media af te spelen.

Het beste voor mijn geval zal een tweedehands (het liefste fanloos) NUC zijn denk ik zo met ruimte voor twee SSD's. Backup doe ik wel handmatig op een externe SSD die ik nog heb liggen.

[Jerie]

RobertMe schreef op donderdag 1 januari 2026 @ 14:34:
[...]

Nja, ik vind het 50/50. Natuurlijk kunnen er naderhand lekken gevonden worden (die als het goed is natuurlijk worden opgelost).
Maar stapje terug: hoe vaak lees je daadwerkelijk over dat IoT spul inderdaad het hele netwerk waar die in geplaatst is binnen lepelt en doorstuurt naar zijn maker? Ik zeer zelden tot nooit.
Vervolgens zorgen "wij" voor een extra beveiligingslaag, door VLANs te gebruiken.

(Disclaimer: ik heb geen OSCP cert.)

Sorry maar... are you kidding? IoT is constant een zwakke schakel! In de VS kun je toegang krijgen tot ANPR camera's (ik heb het kunnen bevestigen met de gebruikelijke tooling) waardoor je realtime 4k mee kunt kijken Flock Exposed Its AI-Powered Cameras to the Internet. We Tracked Ourselves. Zie ook: https://haveibeenflocked.com/

Er staan legio camera's in Nederland waar je ook mee kunt kijken, en de camera's op afstand kunt bedienen (inclusief de microfoon). Die webservers zitten niet achter een reverse proxy...

Bij pentests is het ook met regelmaat zo'n oude Windows XP machine die nog ergens draait ("hij heeft geen netwerkomgeving hoor!" ) waarmee je AD admin wordt xd. Ook via printers ben ik met regelmaat (met toestemming) binnengekomen bij organisaties. Hierdoor kon ik zelfs een keer alle prints en scans (met zeer PII!) plaintext lezen. De aanval was eenvoudig fysiek uit te voeren: 1 van de printers stond letterlijk naast de WC voor gasten.

Onze diensten hebben ons hier recent (2025) op gewezen: nieuws: AIVD benadrukt belang van updaten printers en routers in overheidscam... specieke aanleiding is wellicht de 'recente' CUPS kwetsbaarheid.

Vlak voor COVID crisis was er een Tweakers.net conferentie in Hilversum. Daar had de politie een presentatie: your toaster is snitching on you. Het is nu 2026. Zes jaar later. Een paar dagen geleden was de conferentie 39c3. Daarin de volgende presentaties:

Lightning Talks - Tag 2 (specifiek deze timestamp een talk over Oral B tandenborstels uitlezen (de talk is 5 minuten, leuke voor je podcast @WoutF ). Maar bijvoorbeeld ook een Switchbot Meter Pro. Bluetooth verraad zichzelf, en de data is ook nog eens eenvoudig te sniffen. En dat dit, met alle respect, jochie aan het einde met z'n Flipper Zero het hele publiek spamt toont deels zijn niveau aan, maar aan de andere kant ook hoe onveilig Bluetooth is. Gelukkig deed hij niet ook een deauth op de WLAN AP...

Bluetooth Headphone Jacking: A Key to Your Phone. Deze talk was interessanter (doch niet voor Tweakers redactie...) Hierbij zit PII in Bluetooth verkeer (zoals waar je naar luistert), maar ook allerlei andere zaken, inclusief debugging informatie, of Bluetooth Classic session keys. Er was zelfs een PoC om WhatsApp over te nemen. Hetzelfde zal ook bij smartwatches het geval zijn. Voor de software die ze hebben ontwikkeld om deze aanval mogelijk te maken, zie https://github.com/auracast-research/race-toolkit

Dus wil zo'n apparaat dat echt kwaadaardige bedoelingen heeft (die dus naar mijn idee al extreem zeldzaam zijn) iets uitrichten moet die al door meerdere beveiligingslagen heen. VLANs (+ firewall op de router) geven al een vorm van beveiliging, en zal over het algemeen veilig zijn.

Dat zo'n IoT toestel internettoegang moet hebben is geen given. Waarom zou je printer internettoegang moeten hebben? M.i. is daar Home Assistant voor, en wil je juist niet dat dit soort zaakjes via internet benaderbaar zijn (via de computer van een ander (lees: 'de cloud'). Het is dezelfde logica als reverse proxy: de attack surface verlagen. Bovendien moet je ze ook in een apart VLAN zetten.

En vervolgens heb je nog beveiliging op bv de management interface van de switch, of op bv een PC (in het andere VLAN). Dus zelfs al is de switch lek heb je nog beveiliging op andere plekken (en dat kan zelfs zijn "het kwaadwillende apparaat weet onterecht de management interface van de switch te openen, máár die management interface zal nog steeds beveiligd zijn met een gebruikersnaam en wachtwoord / ... waar dat kwaadwillende apparaat niet doorheen komt").

admin/admin het zal je verbazen hoe vaak het standaard wachtwoord niet eens wordt gewijzigd op dit soort apparatuur. De management interface hoort niet aanspreekbaar te zijn vanaf de IoT VLAN(s) maar ook daar faalt men nog wel eens in. Persoonlijk heb ik ook nul vertrouwen in SSH server op die managed switches (in router mode). Die worden ook vaak niet geupdate waardoor je zelfs je SSH client specifiek voor die connectie moet downgraden naar onveilige standaarden (!!!). Waardoor eigenlijk enkel tijdelijk serieel overblijft, maar dan heb je wel fysieke toegang nodig.

En dan nog acht ik de kans klein dat kwaadwillende apparaten die je al bewust in een aparte / geïsoleerde omgeving zet aangepast gaan worden om ook nog eens actief misbruik te maken van lekken die er zich heel misschien in die omgeving bevinden. Vooral in het geval van IoT spul van een paar euro. Dat ding heeft geen oneindige opslagruimte, RAM, CPU kracht, om actief te kunnen zoeken naar vele (mogelijke / bekende) lekken.

Oneindige opslagruimte, RAM, CPU kracht? Dat hoeft ook niet voor een point of entry. Een netcat reverse shell is daar een voorbeeld van, en ieder apparaat kan dat draaien. Ook het exfiltreren van data is goedkoop. Die devices kunnen dat wel.

Uiteraard gezien vanuit een thuissituatie. Met een "drive by" aanval. Ik denk niet dat ik prive interessant genoeg ben dat iemand wel actief gaat proberen om binnen te dringen op basis van specifieke lekken en er dus "uren mankracht" in steekt met alleen mij als target.

Als je targeted/fysiek te werk gaat is het meestal niet zo moeilijk, maar als je die dingen niet aan het internet hangt (let hierbij ook op IPv6) dan ben je m.i. al substantieel verstandiger bezig. Thuisnetwerken zijn interessant voor criminelen, om meerdere redenen. In de hybride oorlogvoering bijvoorbeeld.

Gooi je nu niet layer 2 en layer 3 switches op een grote hoop? Layer 3 switches zijn inderdaad semi routers omdat die verkeer van het ene VLAN naar het andere VLAN kunnen ]sturen routeren. Maar nog steeds geen NAT zullen kennen. Mogelijk geen firewall hebben? ...

(Of een router NAT kan ja of nee maakt het niet wel of niet een router... persoonlijk wil ik zo min mogelijk NAT, jij niet? Men noemt het ook wel layer 2-3 switches. Ik noem het een router die ook kan switchen.)

Dat is niet hoe je het correct instelt op de managed switch. Op de managed switch zeg je dat alles op een bepaalde port tagged wordt. Want als je zegt ik vertrouw dat de tag die IoT apparaat zegt juist is (wat niet hoeft als er maar 1 VLAN op die poort komt) dan vertrouw je het IoT apparaat onnodig.

Voor specifiek routers heb je dan ook https://github.com/threat9/routersploit Meta zal ik maar niet linken...

Wat mij betreft zul je dit soort factoren mee moeten nemen. Je zou dus best een unmanaged switch kunnen gebruiken, in het voorbeeld dat ik al gaf. Ik van dat ook oprecht een interessante toepassing, maar met 4 ports 100 mbit heb ik er dan wel nog een andere switch bij nodig. En wel een managed switch. Volgens mij kun je dan net zo goed 3x 100 mbit ports op je managed switch nemen.

[Jerie]

RobertMe schreef op donderdag 1 januari 2026 @ 15:03:

Als er nu een lek in een Ubiquiti switch, die ik heb, zou zitten en die is alleen theoretisch te misbruiken (lees: nog geen zero-day / bekende exploits in omloop) dan zou ik mij niet direct zorgen maken.

Wel, ik heb al gezegd dat al die MIPS machines geen ASLR hebben, en dat maakt een gevonden bug triviaal om uit te buiten. Al geef ik toe dat ik niet weet wat de impact van LLM's op dit proces is.

Maar dit topic gaat over thuisservers Niet over "groot bedrijf met gevoelige informatie".

Toch werken mensen ook vanuit huis, bijvoorbeeld. En wij zijn ook doelwit van criminelen uit verre landen die geen uitleveringsverdrag met ons hebben.

En je moet je natuurlijk ook afvragen hoeveel onveiliger het geworden is als er een bekend lek in zit.

Het verschil is gigantisch. APTs gaan hun zero days niet zomaar burnen aan random targets (wel mogelijk targeted), terwijl criminelen en statelijke actoren eenvoudig lekke software kunnen vinden via de bekende kanalen.

Om deze reden zijn gehackte telefoons (targeted) van onschatbare waarde voor een organisatie als Citizen Lab. Hierdoor hebben zij al meerdere zero days kunnen vinden, die uiteindelijk zijn opgelost.

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

Het enige verschil is immers dat het bekend is, niet dat het lek er in zit. Het was dus al "net zo" onveilig. Het enige verschil is dat het feit dat er een lek is, en wellicht een richting van hoe het te misbruiken, bekend is. Dus het risico neemt alleen toe "doordat het bekend is". Maar dat het lek niet bekend is betekend ook niet dat je veilig bent. Want die aanvaller kan het lek alsnog weten en misbruiken. Een zero-day dus.

Een heleboel zero days worden verhandeld op de zwarte markt. Daar zijn exploit brokers actief, die dus actief handelen in zero days. Dat is ook hoe een organisatie als Cellebrite aan hun zero days komt (het leeuwendeel vinden ze niet zelf, die kopen ze in).

Deze exploit brokers zijn wat mij betreft niet 'slechts' criminelen. Ze weten heel goed wat ze doen, en ze zijn moreel failliet. Het argument dat ik hoorde om het goed te praten was bijna letterlijk 'als ik het niet doe, dan doet het ander het wel' . Potentieel faciliteren zij willens en wetens oorlogsmisdadigers (en daarom zitten ze ook niet in landen waar wij een uitleveringsverdrag mee hebben). Daarmee zouden ze ook verantwoordelijk zijn voor misdaden tegen de menselijkheid. Helaas hebben we (Europa) doorgaans niet de ballen ze op te sporen, en als militair doelwit worden ze ook niet aangemerkt. Als we dat wel zouden doen, zouden we minimaal ingaan tegen de belangen van US/IL. Tegenwoordig geen frisse landen, al gaat een Cellebrite regelmatig nog veel verder dan die twee...

Ook hier ligt trouwens een stuk verkenning voor een redactie van een grote tech-website. De grootste en oudste hacker conferentie van respectievelijk Europa en de wereld hebben ze in ieder geval niets over gerapporteerd. Nul, nada. Ik begrijp daar niets van. Ik kan zo twee redacteuren opnoemen die daar wat te zoeken hebben.

En de gevonden lekken waar ik mij in heb verdiept, waren allemaal gerelateerd aan zaken die al bekend waren. Zoals undervolting, hyperthreading, branch prediction, Bluetooth. Ook WLAN is regelmatig een doelwit geweest. Allemaal zaken waar de OpenBSD devs ons al tientallen (NB: niet overdreven) jaren voor waarschuwen. MIPS geen ASLR is ook niets nieuws.

Ook jailbreak gemeenschap blijft graag zitten op zero days. Op zich te begrijpen. Zo was er een talk in 39c3 die er qua titel voor heeft gezorgd dat jailbreak methodes ineens vlak voor publicatie talk spontaan publiek worden. Iets dat ook deels het doel was van de presentator, die hierdoor op het laatste moment zijn aanval compleet kon maken. Meneer was er dusdanig trots op, deed me aan een zekere dienst denken. In ieder geval vond ik de use case van beatsaber eigen muziek wel hilarisch...

De bugbounties worden ook niet altijd netjes en eerlijk afgehandeld, maar dat is wel een manier om legaal geld te verdienen met gevonden kwetsbaarheden. Op de zwarte markt kun je er een veelvoud mee verdienen... denk aan een factor van minstens 10x, en dat is dan nog gedateerde informatie van mijn kant (van voor totale oorlog Rusland - Oekraïne).

[Mars Warrior]

@Jerie. Leuk. Censys ASNs staan bij mij standaard geblokkeerd in CrowdSec.

Verder ook hier alles unmanaged switches. Geen VLANs, hoogstens scheiding via het ioT netwerk van mijn Deco’s.

En alle software draait in docker containers. Netjes gegroepeerd met overlay netwerken en alles achter een Traefik proxy icm CrowdSec, AppSec en iptables firewall bouncer.

Gemiddeld zo’n 1.000 - 5.000 drops per dag.

Het gros is ruis. Op IP adres, niet op domein, dus kansloos. En als het op domein is, dan heeft de probe of scan vaak niets te maken met wat er draait op dat domein, dus wederom kansloos (404).

De enige targets die kloppen zitten bij mij op Wordpress. Maar daar blokkeert Wordfence zo ongeveer alle bekende aanvalspatronen. IP adressen komen vervolgens in CrowdSec terecht en dus in de firewall.

Ik heb tot nu toe nog niets gezien waar ik mij ook maar enigszins druk om zou moeten maken.

CVE’s worden i.h.a. zeer snel door CrowdSec opgepakt waarna een AppSec regel elke aanval on the fly blokkeert.

De grootste bulk aan scanners komt bij mij thuis overigens niet van Censys, maar van Azure, AWS, Hostglobal en Pfcloud vandaan.

[RobertMe]

Volgens mij gaat het nu wel heel erg offtopic. Maar toch even een korte reactie.

edit:
reactie is iets langer geworden dan gepland was

Jerie schreef op donderdag 1 januari 2026 @ 16:51:
Sorry maar... are you kidding? IoT is constant een zwakke schakel! In de VS kun je toegang krijgen tot ANPR camera's (ik heb het kunnen bevestigen met de gebruikelijke tooling) waardoor je realtime 4k mee kunt kijken Flock Exposed Its AI-Powered Cameras to the Internet. We Tracked Ourselves. Zie ook: https://haveibeenflocked.com/

Er staan legio camera's in Nederland waar je ook mee kunt kijken, en de camera's op afstand kunt bedienen (inclusief de microfoon). Die webservers zitten niet achter een reverse proxy...

Ik zeg niet dat IOT geen zwakke schakel is. Maar dat IOT nu geen/veel minder een "trojan horse" is. Wat je hier aanhaalt zijn zaken die gewoon niet aan het internet moeten hangen, en (andere) beveiliging mist.
Waar ik op doelde is dat ik een of ander IOT apparaat koop en dat vervolgens bv network shares gaat lopen scannen en doorsturen naar zijn maker. Daartegen kun je je beschermen door VLANs te scheiden (en dat apparaat geen internet toegang te geven!). Of zonder internet bv een IOT apparaat als cryptolocker dienst doet en documenten op shares lockt. Dat is waar ik mee doelde hardware die je "aanvalt".

Bij pentests is het ook met regelmaat zo'n oude Windows XP machine die nog ergens draait ("hij heeft geen netwerkomgeving hoor!" ) waarmee je AD admin wordt xd. Ook via printers ben ik met regelmaat (met toestemming) binnengekomen bij organisaties. Hierdoor kon ik zelfs een keer alle prints en scans (met zeer PII!) plaintext lezen. De aanval was eenvoudig fysiek uit te voeren: 1 van de printers stond letterlijk naast de WC voor gasten.

Ook een totaal andere aanval dan waar het hier over ging. Met fysieke toegang oude prints/scans terughalen uit een printer heeft niks te maken met het up to date houden van firmware op een switch.

Onze diensten hebben ons hier recent (2025) op gewezen: nieuws: AIVD benadrukt belang van updaten printers en routers in overheidscam... specieke aanleiding is wellicht de 'recente' CUPS kwetsbaarheid.

Routers, uiteraard, die hangen rechtstreeks aan internet (en kun je geen internet toegang ontzeggen ).

Lightning Talks - Tag 2 (specifiek deze timestamp een talk over Oral B tandenborstels uitlezen (de talk is 5 minuten, leuke voor je podcast @WoutF ). Maar bijvoorbeeld ook een Switchbot Meter Pro. Bluetooth verraad zichzelf, en de data is ook nog eens eenvoudig te sniffen. En dat dit, met alle respect, jochie aan het einde met z'n Flipper Zero het hele publiek spamt toont deels zijn niveau aan, maar aan de andere kant ook hoe onveilig Bluetooth is. Gelukkig deed hij niet ook een deauth op de WLAN AP...

Bluetooth, dus irrelevant v.w.b. waar het over ging. Totaal andere techniek en "plaatje". En van die Oral-B tandenborstel zal vast zijn dat het gewoon publiek verstuurd wordt (niet handig! En een bekend "lek" als je het product koopt, geen firmware fix gaat dit oplossen want het is een feature voor die displays die Oral-B heeft). Wel een leuke feature dat je in Home Assistant kunt zien hoe lang de buren de tanden hebben gepoetst (Want dat HA die tandenborstels kan "uitlezen" weet ik al langer, en dat er zijn die dus de tandenborstel van de buren "zien" ook).
En in de context van wat ik in mijm eerdere bericht schreef is dit dus ook geen "trojan horse" / .... Het is gewoon een product met zeer domme design keuzes waardoor zijn eigen gegevens "op straat" liggen. Het is niet iets dat jouw netwerk / omgeving "scant" en iets met die data doet. Het zijn "alleen" de gegevens van de tandenborstel zelf.

[...]
Dat zo'n IoT toestel internettoegang moet hebben is geen given. Waarom zou je printer internettoegang moeten hebben? M.i. is daar Home Assistant voor, en wil je juist niet dat dit soort zaakjes via internet benaderbaar zijn (via de computer van een ander (lees: 'de cloud'). Het is dezelfde logica als reverse proxy: de attack surface verlagen. Bovendien moet je ze ook in een apart VLAN zetten.

Eens!
En mijn wasmachine hangt wel in HA maar niet aan het internet . Home Connect heeft zelfs de optie om de cloud verbinding uit te schakelen en alleen lokaal te babbelen. Enige nadeel is dat je via de cloud (eenmalig) moet registreren. Waarna zowel de officiële app als HA over het LAN kunnen verbinden. En ik meen dat voor de communicatie ook een (unieke) encryption key nodig is. Dus andere apparaten, in mijn IOT VLAN, kunnen ook niet met de wasmachine verbinden want die kennen de encryptiesleutel niet.
En voor de rest ben ik sowieso huiverig voor wifi, en (Matter over) Thread! spul. Omdat die dus mogelijk naar huis willen bellen. Op te lossen met blokkeren internettoegang (mijn default op het IOT VLAN en dat is dus ook weer het geval voor de wasmachine los van de instelling van het apparaat zelf), maar het kan net zo goed zijn dat het apparaat (nu of later) internet vereist voor een correcte werking. En zeker dan heb je geen controle over wat er over de lijn gaat (want je moet de lijn open zetten voor de correcte werking).

[...]


admin/admin het zal je verbazen hoe vaak het standaard wachtwoord niet eens wordt gewijzigd op dit soort apparatuur.

Uiteraard. Maar het aanpassen van default wachtwoorden hoort (en is bij mij) een standaard maatregel. Dat is gewoon een van de vele "lagen" qua beveiliging. Dat is wat ik ook bedoelde met op meerdere (/"alle") lagen correct beveiligen. Als die managed switch lek is waardoor de management interface wagenwijd open staat (vanaf alle VLANs) is er in ieder geval nog de login nodig. (Die uiteraard ook lek kan zijn, maar in mijn geval in ieder geval geen default credentials gebruikt).

Persoonlijk heb ik ook nul vertrouwen in SSH server op die managed switches (in router mode). Die worden ook vaak niet geupdate waardoor je zelfs je SSH client specifiek voor die connectie moet downgraden naar onveilige standaarden (!!!).

Die ervaring heb ik gelukkig niet, met Ubiquiti spul. (UniFi switches, UniFi APs, de nu EOL Security Gateway (router), en EdgeRouter).

Waardoor eigenlijk enkel tijdelijk serieel overblijft, maar dan heb je wel fysieke toegang nodig.

Je kunt er vast een serieel naar ethernet apparaat aan hangen. O.a. de JetKVM kan dat (maar een volledig IP KVM voor alleen serieel is wel overkill )

[...]


Oneindige opslagruimte, RAM, CPU kracht? Dat hoeft ook niet voor een point of entry. Een netcat reverse shell is daar een voorbeeld van, en ieder apparaat kan dat draaien. Ook het exfiltreren van data is goedkoop. Die devices kunnen dat wel.

En daarom krijgen IOT apparaten bij mij geen internet toegang. Leuk dat een kwaadaardig apparaat (/"trojan horse") dan remote gevoed kan worden (/slechts een gateway naar het LAN is). Maar de eigenaar / "control server" komt er al niet in.

[...]


Als je targeted/fysiek te werk gaat is het meestal niet zo moeilijk, maar als je die dingen niet aan het internet hangt (let hierbij ook op IPv6) dan ben je m.i. al substantieel verstandiger bezig.

Uiteraard en uiteraard. Daarom ben ik ook van de UniFi Security Gateway afgestapt (intussen hebben ze wel een zone based firewall). Geen fatsoenlijke firewall v.w.b. IPv6. Alles IP based wat het ondoenlijk maakt, zeker gezien de VLAN subnets dan door de ISP worden opgelegd (DHCP PD). Mijn eigen router (plain Debian, nftables als firewall) werkt gewoon zone based "verkeer vanaf deze (VLAN) interface mag niet naar de WAN interface" (in het geval van IOT uberhaupt naar geen enkele ander VLAN. Hoogstens antwoorden op verbindingen opgezet vanaf het prive VLAN. En hetzelfde voor het "management" VLAN).

[...]


(Of een router NAT kan ja of nee maakt het niet wel of niet een router... persoonlijk wil ik zo min mogelijk NAT, jij niet? Men noemt het ook wel layer 2-3 switches. Ik noem het een router die ook kan switchen.)

Een echte router kan niet switchen. De USG kan het niet, de EdgeRouter kan het niet, en mijn TopTon doos kan het niet. Die hebben gewoon 3 of 4 zelfstandige netwerkpoorten. Aan elkaar knopen kan alleen in software (bridge) en is traag.
Consumenten routers met 4, 5 poorten zit gewoon een (layer 2, managed) netwerk switch chip in. Zie je ook in OpenWRT waar je de poorten kunt / moet taggen. (En zelfs met de standaard firmware is de WAN poort vaak gewoon een extra "ingang" / poort op de switch chip waar ook de 4 LAN poorten op zitten. Alleen wordt het verkeer vanaf de LAN poort getagged zodat het OS die de routing doet, het verkeer kan onderscheiden).

En in beide gevallen (met of zonder switch chip) wordt routing, NAT, ... dus ergens anders afgehandeld. Of softwarematig en dus "gewoon" op de CPU, of de SOC heeft hier extra offloading opties voor. Dus zelfs dan zijn het dus twee dingen, gescheiden. Layer 2 switching gebeurt door de switch chip (de ene keer zit exact die chip in een managed layer 2 switch, de andere keer in een (consumenten) router). Layer 3, routing, NAT, firewall, ..., gebeurt in een ander stuk hardware (of dedicated hardware, of softwarematig gewoon op de CPU).

Dat is niet hoe je het correct instelt op de managed switch. Op de managed switch zeg je dat alles op een bepaalde port tagged wordt. Want als je zegt ik vertrouw dat de tag die IoT apparaat zegt juist is (wat niet hoeft als er maar 1 VLAN op die poort komt) dan vertrouw je het IoT apparaat onnodig.

Uiteraard zet je op de switch dan de poort op untagged IOT en de rest zet je "uit" (UniFi noemt het zelfs "Block all"). Waarbij het eerder dus ging over of er uberhaupt ooit lekken hierin zijn geweest. Kan een kwaadwillend apparaat een (ander) VLAN ID sturen dan dat de switch port toestaat en vervolgens of dat verkeer er doorheen krijgen (laten switchen dus) of potentieel zelfs het management VLAN ID gebruiken én de management interface openen. Dát zou dan wel een serieuze kwetsbaarheid zijn waar ik een firmware update voor wil hebben. Maar dan nog acht ik de kans klein dat een kwaadwillend apparaat daar gebruik van weet te maken. Binnen de hardware constraints die zo'n apparaat vaak zal hebben. En dan zou het netwerk an zich ook in kaart gebracht moeten zijn om te weten welk VLAN ID "opties" geeft en welke IP adressen daarbij horen. En ja, als dat apparaat van op afstand "gevoed" wordt, en het dus puur een gateway apparaat voor de aanvaller zou dat wel kunnen. Maar als dat apparaat geen internet toegang heeft kan die ook niet verbinden met de remote control server en kan die aanvaller het dus ook niet als gateway gebruiken.

[andru123]

Waar hangt de SLZB zigbee stick? Is het op USB poort of netwerk/apart voeding? Wat is het verbruik?

Ronald_O schreef op woensdag 1 oktober 2025 @ 08:42:
Heb hier nu wel aardig voor elkaar denk ik met onderstaande. Heb op debian 13 docker geïnstalleerd en daarop een stuk of 30 containers en daarnaast nextcloud. De sata ssd heb ik er weer ingedaan voor de docker zaken aangezien die zuiniger is dan de m2 ssd. De m2 ssd gebruik ik dan vooral voor de data van nextcloud.

De HDD wordt dan via een slimme stekker af en toe aangezet om een backup te maken.

#	Categorie	Product	Prijs	Subtotaal
1	Processors	Intel Core i5-14600K Boxed	€ 169,-	€ 169,-
1	Moederborden	Kontron K3843-B	€ 195,65	€ 195,65
1	Interne harde schijven	WD Green SATA 3 Gb/s, 2TB	€ 72,-	€ 72,-
1	Behuizingen	NZXT Phantom Black	€ 0,-	€ 0,-
1	Processorkoeling	Arctic Freezer 36	€ 32,20	€ 32,20
1	Geheugen intern	Crucial CT2K16G56C46U5	€ 99,99	€ 99,99
1	Voedingen	Mini-box picoPSU 80	€ 31,62	€ 31,62
1	Interne SSD's	Crucial MX500 2,5" 500GB	€ 116,18	€ 116,18
1	Interne SSD's	Crucial P3 2TB (CT2000P3SSD8)	€ 124,99	€ 124,99
1	Overige componenten	FSP 084-DHAN3	€ 44,50	€ 44,50
1	Smarthome accessoires	SLZB-06 ZigBee Ethernet PoE USB LAN WIFI Adapter	€ 0,-	€ 0,-
1	HDD/SSD behuizingen	Sharkoon QuickPort XT HC Pro Zwart	€ 0,-	€ 0,-
			Totaal	€ 886,13

Powertop met zo'n 1000 wakeups/second

code:

           Pkg(HW)  |            Core(HW) |            CPU(OS) 0
                    |                     | C0 active   0.2%
                    |                     | POLL        0.0%    0.0 ms
                    |                     | C1_ACPI     1.3%    0.2 ms
C2 (pc2)   14.9%    |                     | C2_ACPI     4.5%    2.0 ms
C3 (pc3)    1.5%    | C3 (cc3)    0.0%    | C3_ACPI    93.4%   27.4 ms
C6 (pc6)   42.1%    | C6 (cc6)    3.0%    |
C7 (pc7)    0.0%    | C7 (cc7)   93.0%    |
C8 (pc8)    8.3%    |                     |
C9 (pc9)    0.0%    |                     |
C10 (pc10)  0.0%

De watjes zien er dan zo uit. Gisteren de laatste containers (dsmr reader & influxdb) vervangen door het in home assistant te regelen. Vandaar de daling rond 20:00 uur. Gemiddeld kom ik dan nu uit op 8 watt verbruik. De smlight zigbee stick, die in de unifi switch zit, komt er eigenlijk nog bij met ~1 watt.
[Afbeelding]

[Ronald_O]

andru123 schreef op vrijdag 2 januari 2026 @ 07:21:
Waar hangt de SLZB zigbee stick? Is het op USB poort of netwerk/apart voeding? Wat is het verbruik?

[...]

Zie laatste stukje van wat je quote . Zit in een Poe switch en verbruikt +/- 1 watt

[sahinasappelsap]

andru123 schreef op maandag 29 december 2025 @ 20:19:
Leuk meter, wist het niet dat Ikea die maakt.
Probleem van zulke plugs dat meting van lagere vermogens kan niet accuraat zijn. Maar als je kan dit plug testen en vergelijken met een goede meter (bijv. Brennestuhl), dan kan je ook je ervaring delen in Slimme stekkers met meten energieverbruik

Ik heb voor de gelegenheid maar de aanbevolen brennenstuhl aangeschaft.. (als je iets vraagt, dan mag je ook iets terugdoen )

Anyhow:

Hardware:

Systeem	CPU	Geheugen	Opslag	Aanvullende interne hardware	Externe opslag	OS
soyo M2 Plus V1 (https://nl.aliexpress.com...html?gatewayAdapt=glo2nld)	Intel N100	16GB DDR4	512 GB	- Realtek 8822CE WLAN / Bluetooth module - Realtek 8168 NIC	Samsung SATA SSD 256GB - SM841	Debian 13 Trixie

Geinstalleerde software:
- Docker
- Containerized Portainer, Frigate en Pi-Hole

Voor de test heb ik de mini-server opgestart en heb ik de 3 docker images gestopt. Mini-servertje is aangesloten op een ethernet kabel, wifi is down.

BIOS ben ik afgeweken van de beelink guide omdat ik mijn cpu op 1Ghz wilde hebben draaien. (Dus dan moet de turbo wel aan staan maar met lagere wattages). ZIe hiervoor ook mijn post verderop.

Dan zie ik in idle:

Volt	Ampere	Watt	kWh
233	0.03	4.1 - 4.8	0.0

Als ik dan alle containers aanzwengel en vervolgens in frigate open om naar de cam streams te kijken (3 camera's), dan ziet het er zo uit:

Volt	Ampere	Watt	kWh
235	0.07	7.8 - 9.5	0.0

Als ik in frigate vervolgens een recording van een uur exporteer (ffmpeg) dan schiet ie heel kort naar de 36watt.

Wattage zit na een minuut of 5 tussen de 20 en 25-ish. Maar het fluctueert behoorlijk. Doe ik het zo goed, of willen jullie aanvullende info?

[ Voor 7% gewijzigd door sahinasappelsap op 03-01-2026 16:34 ]

[mrmrmr]

@sahinasappelsap Welke optimalisaties heb je gedaan? Met name BIOS, besturingssysteem en overige software.

[sahinasappelsap]

mrmrmr schreef op vrijdag 2 januari 2026 @ 17:14:
@sahinasappelsap Welke optimalisaties heb je gedaan? Met name BIOS, besturingssysteem en overige software.

Ik ben echt een linux noob. Maar via chatgpt en veel googlen heb ik hetvolgende gedaan:
- Bios: is een vrij beperkt ding (zo een ouderwets blauw scherm). Hier heb ik enkel Secure boot uitgezet, SATA mode (AHCI) nagelopen, fastboot uitgezet, VT-d aangezet en hij draait op de primary GPU. Niets meer.
- Debian 13 trixie kaal geinstalleerd via een usb stickie (enkel ssh en de standard system utilities erbij gedaan)
- De RTL 8168 DKMS packages geinstalleerd en 8169 verwijderd/geblacklist
- De intel-media-va-driver-non-free geinstalleerd (voor intel-vaapi op motion detection frigate)
- De Samsung ssd gemount naar /mnt/usb
- Docker geinstalleerd, default. Idem voor de containers zelf.
- fail2ban ufw geinstalleerd en tot nu toe 5 poorten toegestaan.

...en dat is het.

[mrmrmr]

@sahinasappelsap
In de topic start vind je informatie over optimalisatie voor zuinigheid. Voor Linux is dat vooral powertop autotune en consoleblank (als niet via een GUI plaatsvind). In de BIOS kun je o.a. ASPM aanzetten. Zie de topic start voor deze en meer instellingen.

Frigate zorgt waarschijnlijk voor een belasting als het beelden verwerkt om bijvoorbeeld beweging te detecteren.

[sahinasappelsap]

mrmrmr schreef op vrijdag 2 januari 2026 @ 17:25:
@sahinasappelsap
In de topic start vind je informatie over optimalisatie voor zuinigheid. Voor Linux is dat vooral powertop autotune en consoleblank (als niet via een GUI plaatsvind). In de BIOS kun je o.a. ASPM aanzetten. Zie de topic start voor deze en meer instellingen.

Frigate zorgt waarschijnlijk voor een belasting als het beelden verwerkt om bijvoorbeeld beweging te detecteren.

Thanks, ga ik nog een keer doornemen. Maar geen slecht verbruik toch? :-)

[mrmrmr]

sahinasappelsap schreef op vrijdag 2 januari 2026 @ 18:17:
Thanks, ga ik nog een keer doornemen. Maar geen slecht verbruik toch? :-)

Zonder optimalisaties is dat moeilijk vooraf te zeggen. Het zal er meestal niet slechter op worden, maar het kan wel beter worden. Redelijk zuinige N100 systemen die we kennen (zie gepinde posts rechtsboven) zijn bijvoorbeeld:
GewoonWatSpulle in "Het grote zuinige server topic - deel 3"
Satom in "Het grote zuinige server topic - deel 3"
rutgerdj in "Het grote zuinige server topic - deel 3"
bbe20 in "Het grote zuinige server topic - deel 3"
GioStyle in "Het grote zuinige server topic - deel 3"

Iets minder:
Spasmo in "Het grote zuinige server topic - deel 3"
ijdod in "Het grote zuinige server topic - deel 3"

Niet zo zuinig als je zou willen:
floyo255 in "Het grote zuinige server topic - deel 3"
CodeCaster in "Het grote zuinige server topic - deel 3"
pimlie in "Het grote zuinige server topic - deel 3"
Spasmo in "Het grote zuinige server topic - deel 3"
Lennyz in "Het grote zuinige server topic - deel 3"

[RobertMe]

sahinasappelsap schreef op vrijdag 2 januari 2026 @ 18:17:
[...]

Thanks, ga ik nog een keer doornemen. Maar geen slecht verbruik toch? :-)

In het kort: ik weet niet beter dan dat de N100 ~8W idle verbruikt (op basis van dit topic). Alleen de Odroid H4 met N97 ("dezelfde" CPU) doet ~4W.
Ter vergelijking: ik heb een no name Chinese mini PC met N5105 CPU, da's de directe voorloper van de N97/N100, en die deed ~2W kaal en met alle toeters en bellen die ik er op draai (Home Assistant en randzaken incl DSMR Reader, Paperless-NGX, Syncthing, ...) verbruikt die incl UPS aan de muur ~8W "idle" (ik gok zonder UPS 4 of 5 Watt). De Odroid H3, ook met N5105, zit kaal idle zelfs net onder de 2W op basis van metingen in dit topic. Echter heeft alles voor de N97/N100 kunstmatige beperkingen, zoals geen ondersteuning voor de veel gebruikte AVX instructieset (die wel op de core CPUs zit sinds ~2010 of zo). Daarom zou ik geen N5105 meer aanraden tenzij je goed weet wat je koopt.

V.w.b. onder load durf ik niet te zeggen. Behalve dat er wat algemene Frigate optimalisaties te doen zijn. Zoals bewegingsdetectie op een lage resolutie stream. OpenVINO gebruiken (of een Google Coral). Etc. Maar dat staat vast allemaal in de Frgate documentatie. Voor als je die dus nog niet toegepast zou hebben.

[sahinasappelsap]

mrmrmr schreef op vrijdag 2 januari 2026 @ 18:30:
[...]


Zonder optimalisaties is dat moeilijk vooraf te zeggen. Het zal er meestal niet slechter op worden, maar het kan wel beter worden. Redelijk zuinige N100 systemen die we kennen (zie gepinde posts rechtsboven) zijn bijvoorbeeld:
GewoonWatSpulle in "Het grote zuinige server topic - deel 3"
Satom in "Het grote zuinige server topic - deel 3"
rutgerdj in "Het grote zuinige server topic - deel 3"
bbe20 in "Het grote zuinige server topic - deel 3"
GioStyle in "Het grote zuinige server topic - deel 3"

Iets minder:
Spasmo in "Het grote zuinige server topic - deel 3"
ijdod in "Het grote zuinige server topic - deel 3"

Niet zo zuinig als je zou willen:
floyo255 in "Het grote zuinige server topic - deel 3"
CodeCaster in "Het grote zuinige server topic - deel 3"
pimlie in "Het grote zuinige server topic - deel 3"
Spasmo in "Het grote zuinige server topic - deel 3"
Lennyz in "Het grote zuinige server topic - deel 3"

Interesting, ik ga deze link nog even volgen die ik tegenkwam toen ik door de reacties heenging
https://windgate.net/beel...0-powersave-optimization/

[sahinasappelsap]

RobertMe schreef op vrijdag 2 januari 2026 @ 18:42:
[...]

In het kort: ik weet niet beter dan dat de N100 ~8W idle verbruikt (op basis van dit topic). Alleen de Odroid H4 met N97 ("dezelfde" CPU) doet ~4W.
Ter vergelijking: ik heb een no name Chinese mini PC met N5105 CPU, da's de directe voorloper van de N97/N100, en die deed ~2W kaal en met alle toeters en bellen die ik er op draai (Home Assistant en randzaken incl DSMR Reader, Paperless-NGX, Syncthing, ...) verbruikt die incl UPS aan de muur ~8W "idle" (ik gok zonder UPS 4 of 5 Watt). De Odroid H3, ook met N5105, zit kaal idle zelfs net onder de 2W op basis van metingen in dit topic. Echter heeft alles voor de N97/N100 kunstmatige beperkingen, zoals geen ondersteuning voor de veel gebruikte AVX instructieset (die wel op de core CPUs zit sinds ~2010 of zo). Daarom zou ik geen N5105 meer aanraden tenzij je goed weet wat je koopt.

V.w.b. onder load durf ik niet te zeggen. Behalve dat er wat algemene Frigate optimalisaties te doen zijn. Zoals bewegingsdetectie op een lage resolutie stream. OpenVINO gebruiken (of een Google Coral). Etc. Maar dat staat vast allemaal in de Frgate documentatie. Voor als je die dus nog niet toegepast zou hebben.

Ik gebruik idd openvino inderdaad, maar er is iets mis met frigate 16 lijkt het, en naar wat ik lees. Na een uur of 2 stopt openvino met de gpu en gaat hij op 50% belasting verder met de cpu. Heb daar nog geen oplossing voor kunnen vinden

[Luc45]

Ik probeer de laatste dingen uit te zoeken om zelf een NAS te bouwen zodat de synology er uit kan. Na flinke twijfels tussen kamp Intel en AMD is mijn oog is gevallen op een Intel 14600K processor, voornamelijk omdat deze wat power efficienter in te regelen zijn, maar ook nog indien het nodig is performance kunnen leveren.

Nu twijfel ik heel erg of ik voor een B760 of Z790 mobo moet gaan. Ik ben van plan om in ieder geval de pl1 en pl2 waardes omlaag te zetten, en wellicht de processor een beetje te undervolten, zodat hij wat zuiniger kan draaien en minder hitte produceert. Nu staat een Z790 er om bekend dat overclocking beter gaat en er meer mogelijkheden zijn, wat mij het gevoel geeft dit voor het zuiniger laten draaien ook een interessante keuze kan zijn. Verder vind ik het vooral belangrijk dat ik er 3 m.2 sloten op heb, 4 SATA poorten en 2.5G ethernet, maar dit lijkt bij (bijna) alle modellen wel te kunnen.

De rest van de build zie ik als volgt voor mij:

#	Categorie	Product	Prijs	Subtotaal
1	Processors	Intel Core i5-14600K Boxed	€ 190,99	€ 190,99
1	Geheugen intern	Corsair Vengeance CMK96GX5M2E6000Z36	€ 1.049,-	€ 1.049,-
1	Voedingen	Corsair RM650e (2025) Zwart	€ 85,90	€ 85,90
2	Interne SSD's	Lexar NM790 (zonder heatsink) 4TB	€ 324,90	€ 649,80
			Totaal	€ 1.975,69

Geheugen en SSD's liggen gelukkig al te wachten om geplaatst te worden, net op tijd geweest met bestellen ervan . Daarnaast komen er waarschijnlijk nog 3 HDD's in, in een ZFS pool, die ben ik nog aan het uitzoeken.

Hebben jullie wellicht het goede advies voor de keuze van het juiste moederboard voor deze build?

[andru123]

@Luc45 overweeg uitvoering: be quiet! Pure Power 13 M | 550W, is efficienter in low power.
Z chipset borden verbruiken +5-10W meer, uit mij bekende metingen.

[mrmrmr]

@Luc45 De 14600K is momenteel goedkoop. Vooral de E cores zijn zuinig te draaien. De K functie vervalt bij een zuinige server, dat is onvoordelig omdat vanaf een bepaald niveau verbruik kwadratisch toeneemt bij een bepaalde performancetoename, met name bij hogere frequenties.

3.5" hard disks zijn vaak de grootste verbruiker in een thuisserver. Zo weinig mogelijk disks laten draaien spaart het meeste verbruik uit. RAID heeft een aantal belangrijke nadelen, naast verbruik is dat het recovery bemoeilijkt en minder stabiel is. Je zal toch een backup nodig hebben van belangrijke data, bijvoorbeeld tijdelijk actieve externe backup via USB3. Dus beter daar geld in steken dan in online opslagredundantie.

Er is hier en daar gemeld dat NVMe op de chipset ASPM niet blokkeert. Meestal heb je er 1 of 2 op de chipset.

Het zuinigste desktopbord met laag verbruik is een Kontron K3843-B. Sommige Asus borden zijn binnen de groep consumentenmerken relatief zuinig, maar toch een stuk meer ten opzichte van de K3842-B.

De zuinigste voeding hangt af van het aantal hard disks. Met 2 hard disks kun je een uitvoering: Mini-box picoPSU PicoPSU-160-XT met de zuinige 120W uitvoering: XP Power VES120PS12 adapter. Het meeste profijt heb je als het idle verbruik lager dan 40W is. Daarboven is een zuinige ATX voeding een alternatief.

Ben je van plan meer disks te gaan gebruiken, dan is een ATX voeding een betere keuze. Het is verstandig vooraf te kijken wat het idle verbruik zal zijn. Bijvoorbeeld bij 20W verbruik kan een andere voeding beter dan bij 40W of 50W. Dat komt onder andere door PFC (powerfactorcorrectie). Zie de topic start.

Wat betreft geheugen: normaal gesproken vermijd je overklok of gaminggeheugen en ga je voor standaard JEDEC/SPD geheugen zoals dat van Crucial op de JEDEC standaard DDR5 spanning van 1,1V. Overklokgeheugen is vaak slechter dan gewoon geheugen, dat komt omdat het een hogere spanning vereist bij dezelfde doorvoersnelheid.
Sommige overklokgeheugenmodulen vallen terug in doorvoersnelheid als niet wordt overklokt omdat er geen SPD profiel voor is, dus controleer altijd of het op 1,1V de snelheid haalt die past bij de processor. In dit geval is dat dus DDR5 op 5600 MT/s en 1,1V, maar het geheugen dat je hebt gekozen valt vermoedelijk terug naar standaard 4800 MT/s. Geen groot probleem, maar als je nog zou kunnen kiezen (en de prijzen niet zo absurd zouden zijn) zou het hieruit zijn: categorie: Geheugen intern

[sahinasappelsap]

sahinasappelsap schreef op vrijdag 2 januari 2026 @ 20:04:
[...]


Interesting, ik ga deze link nog even volgen die ik tegenkwam toen ik door de reacties heenging
https://windgate.net/beel...0-powersave-optimization/

In navolging op deze guide heb ik nog even wat tweaks gedaan, moest echter de powersave governor net even anders inrichten op debian 13 trixie omdat indicator-cpufreq voor ubuntu is (chatGPT to the rescue )

Ik heb hem overigens op 700-800Mhz gehad en dan is het verbruik met docker images rond de 4-5 watt.

1) BIOS
BIOS ben ik afgeweken van de beelink guide omdat ik mijn cpu op 1Ghz wilde hebben draaien en met de instellingen die hier staan gaat hij max op 800Mhz. (Dus dan moet de turbo wel aan staan maar met lagere wattages).
(https://windgate.net/beel...0-powersave-optimization/)

CPU Power Management Control	Boot performance	Turbo performance
CPU Power Management Control	Turbo Mode	Enabled
CPU Power Management Control	Power Limit 1 Override	Enabled
CPU Power Management Control	Power Limit 1	10000
CPU Power Management Control	Power Limit 2 Override	Enabled
CPU Power Management Control	Power Limit 2	12000
CPU Power Management Control	Platform PL1	Enable
CPU Power Management Control	Platform PL1 Power	10000
GT Power Management Control	RC6 (render standby)	Disabled
GT Power Management Control	Maximum GT Frequency	550 MHz
GT Power Management Control	Disable Turbo GT Frequency	Disabled
Boot	Setup Prompt Timeout	3
Boot	Fast Boot	Disabled
Boot	Boot Mode	UEFI
Chipset > PCH-IO Configuration	State after G3	S0 state (Auto Power ON if power is lost)

2) Check CPU
cpupower frequency-info geeft dan hetvolgende aan:

Property	Value
CPU	2
Driver	intel_pstate
CPUs with same hardware frequency	2
CPUs requiring coordinated software frequency	2
Maximum transition latency	Cannot determine or is not supported
Hardware limits	700 MHz - 3.40 GHz
Available cpufreq governors	performance, powersave
Current policy	Frequency should be within 700 MHz and 3.40 GHz. Governor "powersave" active
Current CPU frequency	Unable to call hardware; 1.60 GHz (asserted by kernel)
Boost state support	Supported: yes, Active: yes

3) Downgraden naar min 400mhz, max 1ghz
- sudo nano /etc/systemd/system/cpupower.service

code:

[Unit]
Description=CPU Powersave Governor + Frequency Limits
After=multi-user.target

[Service]
Type=oneshot
ExecStart=/usr/bin/cpupower frequency-set -g powersave -d 400MHz -u 1000MHz

[Install]
WantedBy=multi-user.target

- sudo systemctl daemon-reexec
- sudo systemctl enable --now cpupower
- sudo reboot
- cpupower frequency-info

4) CPUpower info

code:

cpupower frequency-info
analyzing CPU 1:

driver: intel_pstate

CPUs which run at the same hardware frequency: 1
CPUs which need to have their frequency coordinated by software: 1

maximum transition latency: Cannot determine or is not supported.

hardware limits: 700 MHz - 3.40 GHz

available cpufreq governors: performance, powersave

current policy:
  frequency should be within 700 MHz and 1000 MHz.
  The governor "powersave" may decide which speed to use within this range.

current CPU frequency: Unable to call hardware
current CPU frequency: 968 MHz (asserted by call to kernel)

boost state support:
  Supported: yes
  Active: yes

5) Verbruik

-idle met 1 ssd en de netwerkkaart ingeplugd: 0.03 ampere / 4.1 - 4.8 watt




- met 3 docker containers aan: 0.07 ampere / 7.8 - 9.5 watt







Dat is ruim een halvering van de vorige stats

[ Voor 5% gewijzigd door sahinasappelsap op 03-01-2026 11:45 ]

[haakjesluiten]

Wat nieuwe hardware om mee te spelen. niet als 24/7 server bedoelt, maar als virtualisatie/workstation/gamen maar was toch benieuwd hoe zuinig ik het kan krijgen.

beetje mix van spullen die ik had liggen en nieuwe onderdelen en daarom niet helemaal optimaal:

Asus B860-I GAMING WIFI
Intel 265K (limiet op 75w)
2X DDR5 32GB 5600 (1,1V)
1TB samsung 980pro
8TB WDSN850
Voor nu even een bequiet pure power 13 (650watt atx voeding)

in proxmox: Zit nu op +/-13watt (laagste wat ik heb gemeten is 11watt) met alleen de cpu fan (noctua L12) maar hij gaat niet onder C-state 3 (en laat die optie ook niet zien in Powertop) dus volgens mij moet ik nog even verder pielen in de bios.

ook nog geprobeerd met RTX5070TI maar dan gaat het verbruik naar 35watt

aangezien de psu volgens de fabrikant 71,2% efficient is bij 2% belasting zou dit dus onder 10watt moeten kunnen uitkomen met een pico psu. En mogelijk nog lager met extra optimalisaties.

Update:
Een of andere manier ontsluit het moederboard geen hogere c-states dan 3, nog eens uitzoeken of dat bij oudere bios versies wel gewerkt heeft

[ Voor 36% gewijzigd door haakjesluiten op 03-01-2026 15:56 ]

[andru123]

@haakjesluiten Asus Strix B660 (en B760) kwam onder 5W. Ik verwacht hetzelfde van B860 (jammer dat je geen inventaris geeft, ga niet raden). Heb je al alle BIOS settings van Mich in "Het grote zuinige server topic - deel 3" nagelopen?
Meetinstrument? Peripherals?

[mrmrmr]

@sahinasappelsap Kun je het verbruik ook je in je originele bericht zetten? Dan kan die worden "gepind".

Gaat de monitor uitgaat na een x aantal minuten? Dat kan met een kernel parameter consoleblank=60. RC6 zou ook op enabled moeten staan voor de gpu.

De cpu governor zou op powersave moeten staan.
Dat kan je controelren met cat /sys/devices/system/cpu/cpu0/cpufreq/scaling_governor

De package C-state is van belang want die geeft aan hoe lang een systeem in een hoge powersave stand staat (C8-C10). Intel processoren zouden CPU C-state 10 moeten kunnen halen (op nieuwe/onbekende processoren na). Je ziet hier ook RC6 state terug voor de gpu.

powersave tabblad "Idle Stats":

Pkg(HW)  |            Core(HW) |            CPU(OS) 0   CPU(OS) 2
                    |                     | C0 active   0.1%        0.1%
                    |                     | POLL        0.0%    0.0 ms  0.0%    0.0 ms
                    |                     | C1          0.8%    0.4 ms  0.0%    0.0 ms
C2 (pc2)    3.2%    |                     |
C3 (pc3)    0.0%    | C3 (cc3)    0.0%    | C3          0.0%    0.0 ms  0.0%    0.0 ms
C6 (pc6)    0.2%    | C6 (cc6)    0.3%    | C6          0.3%    0.4 ms  0.0%    0.0 ms
C7 (pc7)    0.0%    | C7 (cc7)   98.2%    | C7s         0.0%    0.0 ms  0.0%    0.0 ms
C8 (pc8)   93.5%    |                     | C8          1.6%    0.8 ms  5.7%    3.0 ms
C9 (pc9)    0.0%    |                     | C9          0.1%    0.5 ms  0.0%    0.0 ms
C10 (pc10)  0.0%    |                     |
                    |                     | C10        97.0%   89.2 ms 93.8%   22.1 ms
                    |                     | C1E         0.0%    0.0 ms  0.2%    0.4 ms

                    |            Core(HW) |            CPU(OS) 1   CPU(OS) 3
                    |                     | C0 active   0.5%        0.3%
                    |                     | POLL        0.0%    0.0 ms  0.0%    0.0 ms
                    |                     | C1          0.0%    0.0 ms  0.0%    0.0 ms
                    |                     |
                    | C3 (cc3)    0.0%    | C3          0.0%    0.0 ms  0.1%    0.6 ms
                    | C6 (cc6)    0.4%    | C6          0.1%    0.1 ms  0.4%    0.3 ms
                    | C7 (cc7)   97.5%    | C7s         0.0%    0.0 ms  0.0%    0.0 ms
                    |                     | C8          5.8%    3.1 ms  9.3%    2.6 ms
                    |                     | C9          0.0%    0.0 ms  2.6%    5.4 ms
                    |                     |
                    |                     | C10        93.0%   58.8 ms 87.0%   13.2 ms
                    |                     | C1E         0.0%    0.0 ms  0.0%    0.0 ms

                    |             GPU     |
                    |                     |
                    | Powered On  0.0%    |
                    | RC6       100.0%    |
                    | RC6p        0.0%    |
                    | RC6pp       0.0%    |

Bij tabblad "tunables" kun je zien of alles op "Good" staat.

N100 processoren hebben zuinige E-cores. Ze zullen minder gebruiken bij de normale maximale frequentie.
Het besturingssysteem laat de frequentieregeling over aan de processor (intel_pstate ). Die regeling is ingebakken in de processor. Dat is de moderne manier.

[haakjesluiten]

andru123 schreef op zaterdag 3 januari 2026 @ 15:50:
@haakjesluiten Asus Strix B660 (en B760) kwam onder 5W. Ik verwacht hetzelfde van B860 (jammer dat je geen inventaris geeft, ga niet raden). Heb je al alle BIOS settings van Mich in "Het grote zuinige server topic - deel 3" nagelopen?
Meetinstrument? Peripherals?

Handig overzicht maar die wijzigingen had ik zelf al gemaakt maar een of andere manier rapporteert de bios/hardware maar 3 c-states

[mrmrmr]

@haakjesluiten Je kan zelf de huidige master versie van powertop 2.15 compileren voor het tonen van de C states, in plaats van alleen de 3 standaard ACPI C states.

Hier staat dat er een update is geweest van Arrow Lake die nog niet in de release aanwezig is:
https://github.com/fenrus75/powertop/issues/191

Het is waarschijnlijk voor een deel een cosmetisch probleem en zullen de C states voor cores wel degelijk hoog zijn.

Ik zal eens proberen om een compile te doen vandaag voor Debian 13. Hopelijk zijn er geen unpackaged additionele libraries nodig. De onoffiële zelf gecompileerde versie die ik zelf gebruik dateert van september 2023.

edit:
link naar compile van de huidige master voor Debian 13:
https://www.transfernow.net/dl/20260103Dn3OB0Zx

Je hebt misschien tracefs/libevent libraries nodig:
sudo apt install libtracefs1 libtraceevent1
sudo apt install libtracefs-dev libtraceevent-dev (nodig voor compileren)

[ Voor 19% gewijzigd door mrmrmr op 03-01-2026 17:39 ]

[sahinasappelsap]

mrmrmr schreef op zaterdag 3 januari 2026 @ 15:52:
@sahinasappelsap Kun je het verbruik ook je in je originele bericht zetten? Dan kan die worden "gepind".

Gaat de monitor uitgaat na een x aantal minuten? Dat kan met een kernel parameter consoleblank=60. RC6 zou ook op enabled moeten staan voor de gpu.

De cpu governor zou op powersave moeten staan.
Dat kan je controelren met cat /sys/devices/system/cpu/cpu0/cpufreq/scaling_governor

De package C-state is van belang want die geeft aan hoe lang een systeem in een hoge powersave stand staat (C8-C10). Intel processoren zouden CPU C-state 10 moeten kunnen halen (op nieuwe/onbekende processoren na). Je ziet hier ook RC6 state terug voor de gpu.

powersave tabblad "Idle Stats":

Pkg(HW)  |            Core(HW) |            CPU(OS) 0   CPU(OS) 2
                    |                     | C0 active   0.1%        0.1%
                    |                     | POLL        0.0%    0.0 ms  0.0%    0.0 ms
                    |                     | C1          0.8%    0.4 ms  0.0%    0.0 ms
C2 (pc2)    3.2%    |                     |
C3 (pc3)    0.0%    | C3 (cc3)    0.0%    | C3          0.0%    0.0 ms  0.0%    0.0 ms
C6 (pc6)    0.2%    | C6 (cc6)    0.3%    | C6          0.3%    0.4 ms  0.0%    0.0 ms
C7 (pc7)    0.0%    | C7 (cc7)   98.2%    | C7s         0.0%    0.0 ms  0.0%    0.0 ms
C8 (pc8)   93.5%    |                     | C8          1.6%    0.8 ms  5.7%    3.0 ms
C9 (pc9)    0.0%    |                     | C9          0.1%    0.5 ms  0.0%    0.0 ms
C10 (pc10)  0.0%    |                     |
                    |                     | C10        97.0%   89.2 ms 93.8%   22.1 ms
                    |                     | C1E         0.0%    0.0 ms  0.2%    0.4 ms

                    |            Core(HW) |            CPU(OS) 1   CPU(OS) 3
                    |                     | C0 active   0.5%        0.3%
                    |                     | POLL        0.0%    0.0 ms  0.0%    0.0 ms
                    |                     | C1          0.0%    0.0 ms  0.0%    0.0 ms
                    |                     |
                    | C3 (cc3)    0.0%    | C3          0.0%    0.0 ms  0.1%    0.6 ms
                    | C6 (cc6)    0.4%    | C6          0.1%    0.1 ms  0.4%    0.3 ms
                    | C7 (cc7)   97.5%    | C7s         0.0%    0.0 ms  0.0%    0.0 ms
                    |                     | C8          5.8%    3.1 ms  9.3%    2.6 ms
                    |                     | C9          0.0%    0.0 ms  2.6%    5.4 ms
                    |                     |
                    |                     | C10        93.0%   58.8 ms 87.0%   13.2 ms
                    |                     | C1E         0.0%    0.0 ms  0.0%    0.0 ms

                    |             GPU     |
                    |                     |
                    | Powered On  0.0%    |
                    | RC6       100.0%    |
                    | RC6p        0.0%    |
                    | RC6pp       0.0%    |

Bij tabblad "tunables" kun je zien of alles op "Good" staat.

N100 processoren hebben zuinige E-cores. Ze zullen minder gebruiken bij de normale maximale frequentie.
Het besturingssysteem laat de frequentieregeling over aan de processor (intel_pstate ). Die regeling is ingebakken in de processor. Dat is de moderne manier.

Heb de initiële post aangepast met de juiste wattages.

Monitor uit na een paar minuten?
Ik heb er nu geen monitor op aangesloten, enkel met SSH vanaf mijn desktop.

cpu governor op powersave?
Ja

powersave tabblad "Idle Stats":
Geen idee wat je bedoelde, maar heb net powertop even geinstalleerd:

code:

          Pkg(HW)  |            Core(HW) |            CPU(OS) 0
                    |                     | C0 active  31.7%
                    |                     | POLL        0.0%    0.0 ms
                    |                     | C1E        13.8%    0.3 ms
C2 (pc2)   15.4%    |                     |
C3 (pc3)    0.3%    | C3 (cc3)    0.0%    |
C6 (pc6)    0.0%    | C6 (cc6)   57.5%    | C6          7.9%    0.9 ms
C7 (pc7)    0.0%    | C7 (cc7)   50.6%    |
C8 (pc8)    0.0%    |                     | C8         17.8%    1.4 ms
C9 (pc9)    0.0%    |                     |
C10 (pc10)  0.0%    |                     |
                    |                     | C10        34.4%    2.0 ms

                    |            Core(HW) |            CPU(OS) 1
                    |                     | C0 active  31.3%
                    |                     | POLL        0.0%    0.0 ms
                    |                     | C1E        13.5%    0.2 ms
                    |                     |
                    | C3 (cc3)    0.0%    |
                    | C6 (cc6)   56.4%    | C6          8.7%    0.8 ms
                    | C7 (cc7)   48.4%    |
                    |                     | C8         27.6%    1.5 ms
                    |                     |
                    |                     |
                    |                     | C10        24.4%    1.6 ms

                    |            Core(HW) |            CPU(OS) 2
                    |                     | C0 active  28.7%
                    |                     | POLL        0.0%    0.0 ms
                    |                     | C1E         7.4%    0.3 ms
                    |                     |
                    | C3 (cc3)    0.0%    |
                    | C6 (cc6)   66.9%    | C6          7.3%    0.9 ms
                    | C7 (cc7)   59.5%    |
                    |                     | C8         19.1%    1.6 ms
                    |                     |
                    |                     |
                    |                     | C10        42.2%    2.7 ms

                    |            Core(HW) |            CPU(OS) 3
                    |                     | C0 active  31.0%
                    |                     | POLL        0.0%    0.1 ms
                    |                     | C1E        11.5%    0.3 ms
                    |                     |
                    | C3 (cc3)    0.0%    |
                    | C6 (cc6)   59.7%    | C6          9.9%    0.8 ms
                    | C7 (cc7)   50.1%    |
                    |                     | C8         22.2%    1.5 ms
                    |                     |
                    |                     |
                    |                     | C10        30.4%    2.1 ms

                    |             GPU     |
                    |                     |
                    | Powered On 20.6%    |
                    | RC6        79.4%    |
                    | RC6p        0.0%    |
                    | RC6pp       0.0%    |
                    |                     |
                    |                     |
                    |                     |
                    |                     |
                    |                     |
                    |                     |

en de tunables
Daar zie ik het een en ander aan bad staan...geen idee of dat erg is?

code:

>> Bad           VM writeback timeout
   Bad           Enable Audio codec power management
   Bad           NMI watchdog should be turned off
   Bad           Runtime PM for PCI Device Intel Corporation Alder Lake-N PCH eSPI Controller
   Bad           Runtime PM for PCI Device Intel Corporation Alder Lake-N PCH Shared SRAM
   Bad           Runtime PM for PCI Device Intel Corporation Alder Lake-N Processor Host Bridge/DRAM Registers
   Bad           Runtime PM for PCI Device Intel Corporation Alder Lake-N SPI (flash) Controller
   Bad           Runtime PM for PCI Device Realtek Semiconductor Co., Ltd. RTL8111/8168/8211/8411 PCI Express Gigabit Ethernet Controller
   Bad           Runtime PM for PCI Device Realtek Semiconductor Co., Ltd. RTL8822CE 802.11ac PCIe Wireless Network Adapter
   Bad           Runtime PM for disk sda
   Bad           Runtime PM for disk sdb
   Bad           Runtime PM for port ata1 of PCI device: Intel Corporation Alder Lake-N SATA AHCI Controller
   Bad           Runtime PM for port ata2 of PCI device: Intel Corporation Alder Lake-N SATA AHCI Controller
   Bad           Runtime PM for PCI Device Intel Corporation Alder Lake-N SATA AHCI Controller
   Good          Bluetooth device interface status
   Good          Enable SATA link power management for host0
   Good          Enable SATA link power management for host1
   Good          Autosuspend for USB device Bluetooth Radio  [Realtek ]
   Good          Autosuspend for USB device xHCI Host Controller [usb1]
   Good          Autosuspend for USB device xHCI Host Controller [usb2]
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N PCH HECI Controller
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N PCH High Definition Audio Controller
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake Innovation Platform Framework Processor Participant
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N PCI Express Root Port #7
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N [UHD Graphics]
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N PCH USB 3.2 xHCI Host Controller
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N SMBus
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N PCI Express Root Port #4

[haakjesluiten]

mrmrmr schreef op zaterdag 3 januari 2026 @ 16:21:
@haakjesluiten Je kan zelf de huidige master versie van powertop 2.15 compileren voor het tonen van de C states, in plaats van alleen de 3 standaard ACPI C states.

Hier staat dat er een update is geweest van Arrow Lake die nog niet in de release aanwezig is:
https://github.com/fenrus75/powertop/issues/191

Het is waarschijnlijk voor een deel een cosmetisch probleem en zullen de C states voor cores wel degelijk hoog zijn.

Ik zal eens proberen om een compile te doen vandaag voor Debian 13. Hopelijk zijn er geen unpackaged additionele libraries nodig. De onoffiële zelf gecompileerde versie die ik zelf gebruik dateert van september 2023.

ik zie ze ook niet als ik opzoek welke c-states er gerapporteerd worden dus dit heeft niets met powertop te maken helaas

[ Voor 14% gewijzigd door haakjesluiten op 03-01-2026 17:01 ]

[mrmrmr]

@sahinasappelsap Je hebt zo te zien powertop --auto-tune nog niet gedraaid. Dat zet eenmalig power saving aan voor allerlei onderdelen. Bij elke herstart moet dat opnieuw, daar is een service voor. Let op dat de powertop --auto-tune er in moet staan en dat de service moet worden aangezet/enabled.

Ook zonder monitor is kan het nodig zijn om consoleblank kernel parameter toe te passen en te activeren (zie topicstart, bv. met update-grub, reboot). Dat zet de gpu in low power én stuurt een standby-opdracht naar een gekoppelde monitor. Als je geen monitor koppelt kan de gpu nog wel actief blijven bij een console installatie, daar is deze consoleblank opdracht voor.

Ik heb inmiddels een gecompileerde laatste versie van powertop gedeeld, zie mrmrmr in "Het grote zuinige server topic - deel 3". Voor mensen die het nodig hebben om core C states goed weer te geven.

Ik zie bij jou dat de package C states allemaal op 0% staan. Daar heb ik geen verklaring voor, maar misschien helpt de laatste versie van powertop.

[sahinasappelsap]

mrmrmr schreef op zaterdag 3 januari 2026 @ 17:53:
@sahinasappelsap Je hebt zo te zien powertop --auto-tune nog niet gedraaid. Dat zet eenmalig power saving aan voor allerlei onderdelen. Bij elke herstart moet dat opnieuw, daar is een service voor. Let op dat de powertop --auto-tune er in moet staan en dat de service moet worden aangezet/enabled.

Ook zonder monitor is kan het nodig zijn om consoleblank kernel parameter toe te passen en te activeren (zie topicstart, bv. met update-grub, reboot). Dat zet de gpu in low power én stuurt een standby-opdracht naar een gekoppelde monitor. Als je geen monitor koppelt kan de gpu nog wel actief blijven bij een console installatie, daar is deze consoleblank opdracht voor.

Ik heb inmiddels een gecompileerde laatste versie van powertop gedeeld, zie mrmrmr in "Het grote zuinige server topic - deel 3". Voor mensen die het nodig hebben om core C states goed weer te geven.

Ik zie bij jou dat de package C states allemaal op 0% staan. Daar heb ik geen verklaring voor, maar misschien helpt de laatste versie van powertop.

Ik zal morgen de gecompileerde powertop eens proberen.

Wat betreft de gpu: frigate gebruikt de gpu voor ffmpeg en motion detection op de camera streams. Ik vraag me af of het kwaad kan als de gpu in low power wordt gezet? Had hem overigens in de bios al wel op 550Mhz gedaan.

[mrmrmr]

sahinasappelsap schreef op zaterdag 3 januari 2026 @ 18:48:
Wat betreft de gpu: frigate gebruikt de gpu voor ffmpeg en motion detection op de camera streams. Ik vraag me af of het kwaad kan als de gpu in low power wordt gezet? Had hem overigens in de bios al wel op 550Mhz gedaan.

Normaal gesproken komt de igpu uit de spaarstand als je een toets indrukt (USB device). Desnoods kun je dat gebruiken om te wekken.

Ik vermoed dat de gpu vanzelf wakker wordt wanneer die wordt aangesproken, maar misschien kan iemand anders dat bevestigen of ontkennen.

[Lankman]

Dat gebruik van die pin posts is absoluut de beste implementatie die ik hier in (al vele) 'het grote' posts ben tegengekomen. Absolute topklasse, ik wou dat meer topics belangrijke/zinnige posts zo pinde. Dik compliment voor je @mrmrmr

[Luc45]

andru123 schreef op vrijdag 2 januari 2026 @ 23:14:
@Luc45 overweeg uitvoering: be quiet! Pure Power 13 M | 550W, is efficienter in low power.
Z chipset borden verbruiken +5-10W meer, uit mij bekende metingen.

Bedankt! Goeie aanvullingen die ik heb meegenomen

mrmrmr schreef op zaterdag 3 januari 2026 @ 00:03:
Het zuinigste desktopbord met laag verbruik is een Kontron K3843-B. Sommige Asus borden zijn binnen de groep consumentenmerken relatief zuinig, maar toch een stuk meer ten opzichte van de K3842-B.

De zuinigste voeding hangt af van het aantal hard disks. Met 2 hard disks kun je een uitvoering: Mini-box picoPSU PicoPSU-160-XT met de zuinige 120W uitvoering: XP Power VES120PS12 adapter. Het meeste profijt heb je als het idle verbruik lager dan 40W is. Daarboven is een zuinige ATX voeding een alternatief.

Ben je van plan meer disks te gaan gebruiken, dan is een ATX voeding een betere keuze. Het is verstandig vooraf te kijken wat het idle verbruik zal zijn. Bijvoorbeeld bij 20W verbruik kan een andere voeding beter dan bij 40W of 50W. Dat komt onder andere door PFC (powerfactorcorrectie). Zie de topic start.

Wat betreft geheugen: normaal gesproken vermijd je overklok of gaminggeheugen en ga je voor standaard JEDEC/SPD geheugen zoals dat van Crucial op de JEDEC standaard DDR5 spanning van 1,1V. Overklokgeheugen is vaak slechter dan gewoon geheugen, dat komt omdat het een hogere spanning vereist bij dezelfde doorvoersnelheid.
Sommige overklokgeheugenmodulen vallen terug in doorvoersnelheid als niet wordt overklokt omdat er geen SPD profiel voor is, dus controleer altijd of het op 1,1V de snelheid haalt die past bij de processor. In dit geval is dat dus DDR5 op 5600 MT/s en 1,1V, maar het geheugen dat je hebt gekozen valt vermoedelijk terug naar standaard 4800 MT/s. Geen groot probleem, maar als je nog zou kunnen kiezen (en de prijzen niet zo absurd zouden zijn) zou het hieruit zijn: categorie: Geheugen intern

Bedankt voor de uitgebreide uitleg, de K3842-B ziet er interessant uit, maar voldoet helaas niet aan mijn eisen m.b.t. de benodigde specificaties. Ook wil ik de optie open houden voor meer schijven waardoor een ATX voeding mij een beter idee lijkt voor de langere termijn.

M.b.t. het geheugen heb ik helaas snel gegrepen om nog een redelijke prijs te betalen, hopelijk zal het goed werken en mochten de prijzen ooit weer naar een normaal niveau kruipen kan ik nog eens opzoek gaan naar zuiniger geheugen.

Hiermee ben ik tot de volgende samenstelling gekomen:

#	Categorie	Product	Prijs	Subtotaal
1	Processors	Intel Core i5-14600K Boxed	€ 239,87	€ 239,87
1	Moederborden	ASUS TUF Gaming B760M-PLUS II	€ 156,99	€ 156,99
1	Behuizingen	Jonsbo N5	€ 223,60	€ 223,60
1	Processorkoeling	DeepCool AK620 Zero Dark	€ 55,71	€ 55,71
1	Geheugen intern	Corsair Vengeance CMK96GX5M2E6000Z36	€ 1.049,-	€ 1.049,-
1	Voedingen	be quiet! Pure Power 13 M | 550W	€ 88,99	€ 88,99
2	Interne SSD's	Lexar NM790 (zonder heatsink) 4TB	€ 324,90	€ 649,80
1	Overige componenten	Google Coral M.2 Accelerator A+E key	€ 126,95	€ 126,95
			Totaal	€ 2.590,91

Qua HDD's ben ik nog aan het twijfelen wat het precies gaat worden, maar het worden in ieder geval hoge capaciteit schijven.

[mrmrmr]

@Luc45 Ik ben benieuwd of ASPM goed werkt in combinatie met de M.2 Coral. Een of meerdere onderdelen, of de BIOS, of het besturingssysteem kan in theorie voorkomen dat ASPM aan staat voor alle pcie onderdelen.

Mocht het niet werken, dan voorkomt dit dat de package C state hoog kan worden, wat op een doorsnee desktop systeem zo'n 3-8W hoger verbruik geeft. Een van de doelen in het zuinige server topic is om de package C state zoveel mogelijk op C8-C10 te krijgen.

[andru123]

mrmrmr schreef op woensdag 26 november 2025 @ 18:19:
Ik heb een nieuwe 5 ports gigabit switch: Netgear GS305-300PES (GS305v3). Zonder aangesloten netwerkstekkers is het verbruik 0,5W. Met twee aangesloten actieve 100 Mbps netwerkpoorten is het verbruik stabiel 1,0W. Met 1000 Mbps is het verbruik wisselend 1,2 en 1,4W.

De switch ondersteunt IEEE 802.3az (Energy Efficient Ethernet).

De meegeleverde adapter is een 5V 0,7A voeding. Het standbyverbruik is 0,0W.

Ik heb ook 2 modellen getest:
Managed uitvoering: Netgear GS305E :
idle: 1.1W
met 2 actieve UTP kabels: 1.4 - 1.6W
4 active UTP kabels: 1.9 - 2.0W
Alle 5 active UTP kabels(1 op 100 mbit, andere op 1000): 2.2 - 2.3W
Iperf tussen 2 PCs: 2.3W, 949 mbit/s
(met switch default settings, alle vlans etc. uitgezet)

Unmanaged uitvoering: Netgear GS308v3, EU-model, per stuk
idle: 0.5W
met 1 actieve UTP kabel: 0.8 - 0.9W
met 2 actieve UTP kabels: 1.1 - 1.2W
met 3 actieve UTP kabels: 1.2W
4 active UTP kabels: 1.3W
5 active UTP kabels: 1.6W
Iperf tussen 2 PCs: 1.9W, 949 mbit/s

Ik heb geen VLANs nodig, dus vraag is of ik echt een managed switch wil. 1.6W vs 2.3W, de prijs is gelijk (18$), 5 poorts vs 8. Ik heb wel meerdere ports nodig, dus ga ik voor unmanaged, denk ik.

(Wat opvallend was: mijn Windows 11-pc met een i225-netwerkadapter werkte niet met de GS308v3-switch. (Het werkte wel met de GS305E). De pc kreeg wel een IP-adres van de DHCP-server, maar er was geen internettoegang. De ledlampjes bleven groen.
Het bleek dat ik dit probleem met EEE had. Na een driverupdate was dit opgelost (maar nu heb ik geen EEE meer en zit beperkt tot 1 Gbps in Windows 11). Het is opmerkelijk dat dit geen probleem was met de GS305E - misschien ondersteunt de GS305E geen EEE?)

[ Voor 14% gewijzigd door andru123 op 04-01-2026 16:03 ]

[spoor12b]

Ik loop tegen een aantal dingetjes aan met Powertop, wellicht weet iemand hier raad?

Zo zie ik in het overzicht niet het energieverbruik van de GPU waardoor ik niet kan zien of RC6 actief is of niet.

Daarnaast geeft de optie --auto-tune de volgende output:

code:

modprobe cpufreq_stats failed
Loaded 0 prior measurements
Cannot load from file /var/cache/powertop/saved_parameters.powertop
File will be loaded after taking minimum number of measurement(s) with battery only

Ik heb daarom al een paar keer powertop gedraaid met de optie --calibrate wat de volgende output geeft:

code:

modprobe cpufreq_stats failed
Loaded 0 prior measurements
Cannot load from file /var/cache/powertop/saved_parameters.powertop
File will be loaded after taking minimum number of measurement(s) with battery only
RAPL device for cpu 0
RAPL Using PowerCap Sysfs : Domain Mask d
RAPL device for cpu 0
RAPL Using PowerCap Sysfs : Domain Mask d
Devfreq not enabled
glob returned GLOB_ABORTED
Cannot load from file /var/cache/powertop/saved_parameters.powertop
File will be loaded after taking minimum number of measurement(s) with battery only
Starting PowerTOP power estimate calibration
Calibrating idle
sh: 1: /usr/bin/xset: not found
sh: 1: /usr/bin/xset: not found
Calibrating: disk usage
Calibrating backlight
Calibrating idle
sh: 1: /usr/bin/xset: not found
sh: 1: /usr/bin/xset: not found
Calibrating: CPU usage on 1 threads
Calibrating: CPU usage on 4 threads
Calibrating: CPU wakeup power consumption
etc.

dit gaat zo nog een tijdje door wanneer uiteindelijk powertop gestart wordt. Echter, --auto-tune geeft nog steeds dezelfde foutmelding bij het starten?

Verder zou ik graag de nieuwste versie van powertop willen draaien als een docker proces, echter het is me niet helemaal duidelijk hoe ik dat moet doen? Het is me nog niet gelukt met deze versie; powertop draait volgens mij wel maar ik zie niets verschijnen.

Ik draai overigens OMV 8 (Debian 13).

Dank!

[andru123]

@spoor12b hier een uitleg over de melding mrmrmr in "Het grote zuinige server topic - deel 3"

[Jerie]

pimlie schreef op donderdag 1 januari 2026 @ 14:12:
@mrmrmr Ze zijn al wat ouder, maar uitvoering: Netgear Prosafe Gigabit Plus GS105Ev2 en uitvoering: Netgear Prosafe Gigabit Plus GS108Ev3

De GS105Ev2 verbruikt zeer zeker ~1W, de GS108Ev3 deed iets meer maar twijfel nu over hoeveel meer. Mijn PM231E doet het helaas niet meer dus kan het nu niet na meten (de batterijen waren op en nadat ik die heb vervangen werkt het display wel maar zijn alle meetwaarden altijd 0)

[...]

De smiley deed me denken dat je een grappige opmerking maakte, misschien zelfs uit eigen ervaring als developer? Maar daar je daarna toch door gaat: vergeet niet dat bugs altijd op kunnen treden. Zelfs als de software 100% veilig is kunnen er hardware issues zijn die voor problemen kunnen zorgen (intel). Of simpelweg features die door voortschrijdende inzichten toch niet veilig zijn (wederom intel). Niets is veilig voor altijd...

Denk dat we sinds Zenbleed kunnen stoppen met enkel Intel noemen alle Zen <= 3 zijn lek, AMD weigert het op te lossen, en ze doen ook aan planned obsolescence door FSR niet te porten naar hun oudere doch recentere GPUs. Ook ARM kent kwetsbaarheden (enkele die leken op die van Intel), maar ik heb ze zo snel niet voor de geest.

De GS108Ev3 gebruikt een Broadcom BCM53312 MIPS, dus je kunt er van op aan dat deze zuinig is (en traag qua managed interface). Ik zou het niet willen gebruiken als managed switch puur omdat het een MIPS is. Zit er een kwetsbaarheid in -> geen ASLR -> kinderlijk eenvoudig uit te buiten.

Ik denk wel dat je die zuinige 100 mbit switches met MIPS CPU wel achter een managed kunt zetten als je accepteert dat alles er voor dan unmanaged is (die zet je dan allen van untagged naar hetzelfde VLAN op de managed). Je kunt dan niet voor bijvoorbeeld iedere IoT device een aparte VLAN maken, maar je kunt wel het IoT spul in een VLAN zetten.

Met de huidige topologie zie ik niet in hoe ik van die switch in mijn woonkamer af kom (die een 10 gbit uplink heeft met de switch in de meterkast). Want een 100 mbit achter de managed zet denk ik weinig zoden aan de dijk.

Uiteindelijk verwacht ik niet dat routers of switches veel last gaan hebben van de DRAM crisis, en ik zie dus ook voor me dat er leuk spul uit kan komen op basis van de diverse RTL chips (inclusief doch niet enkel de RTL8127). Ik bedoel, met bijvoorbeeld een 8 port 100 mbit unmanaged en een 3 port SFP+ managed (1x DAC, 1x rj45, 1x glas uplink) + uplink naar de 100 mbit switch die allebei zuinig zijn zou ik uit de voeten kunnen.

Mensen kunnen ook overwegen om TB3+ te gebruiken. Dan moeten de machines wel bij elkaar in de buurt zitten. Recente AMD systemen hebben soms ook TB, sommige ARM SoCs ook (die van Apple). Niet alle Intel SoCs hebben het trouwens. Voor TB3+ networking op Linux, zie bijvoorbeeld deze guide voor Proxmox https://gist.github.com/g...e617b7d1d9421683df4ea224a voor een automatisch backup systeem dat tijdelijk hoge bandbreedte nodig heeft kan dit interessant zijn.

[mrmrmr]

@spoor12b powertop draai je op het niveau van het besturingssysteem, als root. Het wijzigt instellingen van het besturingssysteem naar allerlei power saving settings.

xset is de tool die wordt geinstalleerd als de X GUI draait. Die is niet aanwezig op de command line/shell installatie. Daar gebruik je de kernel parameter consoleblank=60. Zie topic start.

Een voorbeeld van output van de master build van powertop van gisteren:
# ./powertop20260103 --auto-tune
modprobe cpufreq_stats failed
Loaded 0 prior measurements
Cannot load from file /var/cache/powertop/saved_parameters.powertop
File will be loaded after taking minimum number of measurement(s) with battery only
RAPL device for cpu 0
RAPL Using PowerCap Sysfs : Domain Mask f
RAPL device for cpu 0
RAPL Using PowerCap Sysfs : Domain Mask f
Devfreq not enabled
glob returned GLOB_ABORTED
Cannot load from file /var/cache/powertop/saved_parameters.powertop
File will be loaded after taking minimum number of measurement(s) with battery only
Leaving PowerTOP

Wat je ziet is de output van allerlei tools of opdrachten die door powertop worden uitgevoerd, dit soort meldingen zijn als verwacht. Het is geen probleem, sommige zijn bedoeld voor oudere kernels en werken niet op moderne kernels. Andere gaan uit van een onnodige calibratie of van de aanwezigheid van batterijen.

Je kan zien of autotune goed gewerkt heeft als je powertop opnieuw draait en de resultaten bekijkt in de tabbladen, met name tabblad "Tunables", als alles op "Good" staat. De C states kun je controleren in tabblad "Idle Stats". Onder tabblad "Overview" kun je zien hoeveel wakeups er zijn per seconde. Hoe minder wakeups, hoe beter. Onder tabblad "Device Stats" zie je percentages gebruik van diverse hardwareonderdelen.

Het aantal wakeups kun je onder andere verlagen door overbodige processen te stoppen en monitoring te minimaliseren tot wat je nodig hebt. Dat kan bijvoorbeeld door de monitorfrequentie te verlagen. Als je monitoringsoftware draait kun je het aantal keren dat een controle wordt gedaan verminderen. Bijvoorbeeld door het niet elke seconde maar elke 5 minuten uit te voeren.

Check de energiemeter waar de stekker van de computer in zit. Je zult direct resultaat zien van "Good" settings als ze "Bad" waren, en zodra de consoleblank actief wordt daalt het verbruik verder.

@Lankman Dank voor de lof, maar alle tweakers die resultaten posten zijn degenen die we mogen danken, dus bij deze. @Mars Warrior en ik hoeven vaak alleen maar op de pinknop te drukken.

[shadylog]

De volgende onderdelen over het afgelopen jaar verzameld voor een "NAS/Server/Workstation" build:

#	Categorie	Product	Prijs	Subtotaal
1	Processors	Intel Core i5-14600K Boxed	€ 239,87	€ 239,87
1	Moederborden	Gigabyte B760M D3HP	€ 99,90	€ 99,90
1	Moederborden	Gigabyte B760M DS3H GEN5	€ 109,90	€ 109,90
1	Behuizingen	Fractal Design Node 804	€ 100,99	€ 100,99
1	Processorkoeling	Noctua NH-D12L	€ 88,50	€ 88,50
1	Geheugen intern	Crucial CT2K32G56C46S5	€ 701,80	€ 701,80
1	Voedingen	be quiet! Pure Power 13 M | 550W	€ 88,99	€ 88,99
1	Interne SSD's	Samsung 990 EVO Plus 2TB	€ 199,90	€ 199,90
Bekijk collectie Importeer producten			Totaal	€ 1.629,85

Hier komen nog 3 shucked 18TB schijven bij van de oude NAS.

Software op het systeem.
* Nixos met oci-containers (podman). Dit zijn systemd units die via crun/runc podman containers draaien en beheren. Meer hier beneden.
* Filesystem: Snapraid (1 parity disk, twee 'raid' disks) + MergerFS.
* Caddy voor nginx
* Journald etc op volatile
* DSMR Reader (met ser2net naar de OpenWRT router met een FTDI kabel in de meterkast ivm verbruik usb/cstates)
* Zigbee2mqtt (met ser2net naar een OpenWRT router met de zigbee usb stick in de meterkast ivm verbruik usb/cstates)
* Eclipse-mqtt
* Home-assistant (bluetooth adapter niet meer nodig, werk met shelly plugs door het huis die alle advertisements overnemen)
* Vaultwarden
* Minecraft-bedrock server (on demand (sudo systemctl start podman-minecraft (toekomstig home-assistant automatisering)
* Evcc (slim opladen)
* Plex/nzbget/sonarr/radarr/transmission
* Beszel agent / hub
* Frigate (niet geoptimaliseerd nog)

Er staan twee moederborden in de lijst:
De Gigabyte B760M D3HP is de DDR5 variant met 1Gbps netwerk.
De Gigabyte B760M DS3H GEN5 is de DDR5 variant met 2.5Gbps adapter.

Bios opties heb ik alleen ASPM en alle irrelevante dingen uitgezet. Ik wil wel nog kijken naar tuning/undervolting maar nog niet gedaan. DDR5 draait in 5600 modus (de default).

Op beiden borden (op 1gbps draad) haal ik C10 mee en hetzelfde idle gebruik 9 watt. Ik zie af en toe 8 watt, maar meerendeels 9 watt. Het spring een beetje tussen 8 watt en 11 watt maar blijft gemiddeld 9:



Met de extra drie drives gemonteerd (in spindown!) zit ik tussen de 12 watt gemiddeld. Als ze alle drie "active" zijn is het 21 watt. Dit is allemaal zonder activiteit.

Relevante nixos configuratie op Nixos. Ik heb de mergerfs/snapraid er in gehouden als anderen dit willen overnemen. Het voordeel van snapraid is dat ik kies wanneer ik mijn parity files bijwerk. Mergerfs werkt ook prima, alleen de schijven worden wakker die je aanspreekt op het gedeelde pad)

code:

  boot.initrd.availableKernelModules = [ "xhci_pci" "ahci" "nvme" "usbhid" ];
  boot.initrd.kernelModules = [ "r8125" ];
  boot.kernelModules = [ "kvm-intel" ];
  boot.blacklistedKernelModules = [ 
    "r8169".          # Als ik r8169 gebruik kom ik niet in C10. met de r8125 kan dat wel. Let op. Je moe de r8167/8 gebruiken voor de 1gbps moederbord variant
    "snd_hda_intel"   
    "snd_soc_skl" 
    "mei_me"          # Intel Management Engine (bespaart weer 0.5W)
  ];

  boot.kernelParams = [ 
    "pcie_aspm=force"
    "pcie_port_pm=force"             # Forceert power management op alle PCIe poorten
    "pcie_aspm.policy=powersupersave" 
    "usbcore.autosuspend=1" 
    "ahci.mobile_lpm_policy=3"
    "nmi_watchdog=0"
    "nowatchdog"
    "consoleblank=60"
    "quiet"
  ];

  fileSystems."/" =
    { device = "/dev/disk/by-uuid/0a7bcb40-de27-45a5-af51-ac48ac114e0c";
      fsType = "ext4";
      options = [ "noatime" "nodiratime" ];
    };

  services.udev.extraRules = ''
    # Zet alle PCI apparaten op 'auto' stroombeheer (wellicht redundant met powertop)
    SUBSYSTEM=="pci", ATTR{power/control}="auto"
    SUBSYSTEM=="usb", ATTR{power/control}="auto"
    SUBSYSTEM=="i2c", ATTR{power/control}="auto"
  
    # Realtek wol off and eee on 
    # Ik heb geen eee switches, ik denk ook niet dat ik het ga nemen ivm stabiliteit, maar toch aan.
    # Forceer wol uit van de realtek
    SUBSYSTEM=="net", ACTION=="add", NAME=="enp*", \
      RUN+="${pkgs.ethtool}/bin/ethtool -s $name wol d", \
      RUN+="${pkgs.ethtool}/bin/ethtool --set-eee $name eee on"

    SUBSYSTEM=="net", ACTION=="add", NAME=="eth*", \
     RUN+="${pkgs.ethtool}/bin/ethtool -s $name wol d", \
     RUN+="${pkgs.ethtool}/bin/ethtool --set-eee $name eee on"

    # APM Level instellen (Toestemming om te slapen)
    # We halen '-S 120' hier weg, want hd-idle regelt de timer.
    # We laten '-B 127' staan zodat de schijf het slaap-commando accepteert.
    ACTION=="add|change", KERNEL=="sd[a-z]", ATTR{queue/rotational}=="1", RUN+="${pkgs.hdparm}/bin/hdparm -B 127 /dev/%k"

    # SATA Link Power Management (ALPM)
    # SATA-controller mag ook slapen als de harde schijven uit staan.
    ACTION=="add", SUBSYSTEM=="scsi_host", KERNEL=="host*", ATTR{link_power_management_policy}="min_power"
  '';

  fileSystems."/boot" =
    { device = "/dev/disk/by-uuid/<boot-UUID>";
      fsType = "vfat";
      options = [ "fmask=0077" "dmask=0077" "noatime" ];
    };

  # Fysieke schijven
  fileSystems."/media/media1" = {
    device = "/dev/disk/by-label/media1";
    fsType = "xfs";
    options = [ "defaults" "noatime" "nodiratime" "nofail" ];
  };

  fileSystems."/media/media2" = {
    device = "/dev/disk/by-label/media2";
    fsType = "xfs";
    options = [ "defaults" "noatime" "nodiratime" "nofail" ];
  };

  fileSystems."/media/par1" = {
    device = "/dev/disk/by-label/par1";
    fsType = "xfs";
    options = [ "defaults" "noatime" "nodiratime" "nofail" ];
  };

  fileSystems."/media/storage" = {
    fsType = "fuse.mergerfs";
    device = "/media/media*";
    options = [
      "defaults"
      "noatime"
      "allow_other"
      "use_ino"
      "cache.files=off"
      "dropcacheonclose=true"
      "category.create=mfs"
      "fsname=mergerfs"
      "nofail"
      "x-systemd.slice=lowpower.slice" #ik probeer de mergerfs mount op de efficiency cores te krijgen, maar lukt nog niet 
    ];
  };

  # We zetten de automatische scan uit door handmatig devices te definieren. Speciale opties om te zorgen dat de scan niet de drives wakker maakt
  services.smartd = {
    enable = true;

    devices = [
      { 
        device = "/dev/nvme0n1"; 
        options = "-a"; 
      }

      { 
        device = "/dev/sda"; 
        options = "-a -o on -S on -n standby,q"; 
      }
      { 
        device = "/dev/sdb"; 
        options = "-a -o on -S on -n standby,q"; 
      }
      { 
        device = "/dev/sdc"; 
        options = "-a -o on -S on -n standby,q"; 
      }
    ];
  };


  services.locate.enable = false;
  
  swapDevices = [ ];

  # Enables DHCP on each ethernet and wireless interface. In case of scripted networking
  # (the default) this is the recommended approach. When using systemd-networkd it's
  # still possible to use this option, but it's recommended to use it in conjunction
  # with explicit per-interface declarations with `networking.interfaces.<interface>.useDHCP`.
  networking.useDHCP = false;
  # networking.interfaces.enp3s0.useDHCP = lib.mkDefault true;

  nixpkgs.hostPlatform = lib.mkDefault "x86_64-linux";
  hardware.cpu.intel.updateMicrocode = lib.mkDefault config.hardware.enableRedistributableFirmware;

  # Logs niet nodig, journald op volatile.. Alle containers hebben logging naar stdout
  services.journald.extraConfig = ''
    Storage=volatile
    Compress=yes
    SystemMaxUse=64M
    RuntimeMaxUse=64M
    RateLimitIntervalSec=30s
    RateLimitBurst=1000
  ''; 
   
    # Niet goed doorgetest
    zramSwap.enable = true;

  services.snapraid = {
    enable = true;
    
    parityFiles = [
      "/media/par1/snapraid.parity"
    ];
    
    contentFiles = [
      "/media/media1/snapraid.content"
      "/media/media2/snapraid.content"
    ];
    
    dataDisks = {
      d1 = "/media/media1";
      d2 = "/media/media2";
    };
    
    sync = {
      interval = "04:00";    # Elke nacht om 04:00 uur. mogelijk toekomstig op de goedkoopste uurtjes zetten met HA
    };

    touchBeforeSync = true;

    scrub = {
      interval = "Sun *-*-* 05:00:00"; # Zondagochtend 05:00 (na de sync)
      plan = 8;           # Controleer 8% van de array per keer (~1x per 3mnd alles)
      olderThan = 10;     # Sla gloednieuwe bestanden (jonger dan 10d) over
    };
  };

Hoe containers gemaakt gemaakt worden, alleen beszel en beszelhub ter voorbeeld. Snippet:

code:

  virtualisation.oci-containers.backend = "podman"; 

  virtualisation.oci-containers.containers = {

    # --- BESZEL HUB ---
    beszel-hub = {
      image = "henrygd/beszel:latest";
      autoStart = false;
      ports = [ "8090:8090" ];
      volumes = [
        "/data/appdata/beszel:/beszel_data"
        "/data/appdata/beszel_socket:/beszel_socket"
      ];
      extraOptions = [ 
        "--cpuset-cpus=12-19"
      ];
    };

    # --- BESZEL AGENT ---
    beszel-agent = {
      image = "henrygd/beszel-agent-intel:latest";
      autoStart = false;
      environment = {
        HUB_URL = "http://localhost:8090";
        LISTEN = "/beszel_socket/beszel.sock";
        KEY = "ssh-ed25519 <key van beszel hub>";
        TOKEN = "<token van beszel hub>";
        FILESYSTEM = "/dev/nvme0n1";
        DOCKER_HOST = "unix:///var/run/podman/podman.sock";
      };
      volumes = [
        "/data/appdata/beszel_socket:/beszel_socket"
        "/var/run/podman/podman.sock:/var/run/podman/podman.sock:ro"
        "/:/extra/filesystem:ro"
      ];
      extraOptions = [
        "--cpuset-cpus=12-19"
        "--device=/dev/dri:/dev/dri" 
        "--network=host"
        "--privileged"
      ];
    };

Terwijl mijn kinderen minecraften, dus niet echt idle:
Met containers aan (ook frigate), drives in spindown: ~25 watt gemiddeld.
Frigate is toch wel een grote boosdoener qua load. Ik kom op het moment niet verder dan C3 als dat aanstaat.

Vrij duur systeem, ga deze ook als desktop gebruiken. Met sway/oid met de tty van logind log ik in en dan gaat de desktop pas draaien. Die zet ik weer uit en we zijn weer low power.


Bonus:
Ik had nog een 5700XT videokaart liggen en er in gedaan (zonder drives).
Ik kreeg met wat extra kernel opties op `amdgpu` gerelateerd aan ASPM totaal 38<->60 watt (geen schijven aangesloten geen pod aan).
Gek genoeg dropt die naar 25/26 watt als je de GPU lijkt aan te spreken (uitvragen data). Blijkt iets niet goed in de bios van de GPU dat die niet verder durft te zakken als er geen load is. In windows bijv is de videokaart muisstil, in nixos (linux) krijg ik zonder video load (zonder desktop) wel luide fans enz en is het 60 watt aan het verbruiken)
Ik ga de videokaart niet aansluiten de iGPU is sterk genoeg voor wayland/sway etc.

[ Voor 100% gewijzigd door shadylog op 04-01-2026 18:29 ]

[haakjesluiten]

Vandaag even verder gekeken mijn moederboard: (ROG STRIX B860-I GAMING WIFI). Lijkt geen c-states te communiceren waardoor die als fallback alleen C1,2,3 heeft. Mwait geeft geen resultaat.

[spoor12b]

Dank voor je uitgebreide reactie @mrmrmr !

De consoleblank parameter gebruik ik al, deze staat bij mij op 15. Helaas werkt auto-tune bij mij niet goed omdat de tunables, wat ik zelf al eerder zag, op bad blijven staan.

Is er nog een manier om alsnog auto-tune aan het werk te krijgen? Ik meende eerder een post te hebben gezien van iemand die een nieuwere versie met docker draait.

Het dashboard in OMV heb ik al redelijk opgeschoond en het aantal wakeups/second lijkt redelijk constant rond de 500-510 te liggen. Ik heb geen idee of dat een goede score is voor idle gebruik (fileserver, paar docker containers)?

Hier is te zien dat de RC6 informatie ontbreekt, had hem eerder wel. Vreemd...

[ Voor 24% gewijzigd door spoor12b op 04-01-2026 18:31 ]

[andru123]

@spoor12b controleer welke drivers zijn geladen mrmrmr in "Het grote zuinige server topic - deel 3"

[spoor12b]

@andru123 ik krijg de volgende output als ik dit draai: dmesg | grep i915

code:

[    6.177266] i915 0000:00:02.0: [drm] Found alderlake_p/alderlake_n (device ID 46d1) integrated display version 13.00 stepping D0
[    6.177996] i915 0000:00:02.0: [drm] VT-d active for gfx access
[    6.194263] i915 0000:00:02.0: vgaarb: deactivate vga console
[    6.194347] i915 0000:00:02.0: [drm] Using Transparent Hugepages
[    6.194833] i915 0000:00:02.0: vgaarb: VGA decodes changed: olddecodes=io+mem,decodes=io+mem:owns=io+mem
[    6.198707] i915 0000:00:02.0: [drm] Finished loading DMC firmware i915/adlp_dmc.bin (v2.20)
[    6.209518] i915 0000:00:02.0: [drm] GT0: GuC firmware i915/tgl_guc_70.bin version 70.49.4
[    6.209536] i915 0000:00:02.0: [drm] GT0: HuC firmware i915/tgl_huc.bin version 7.9.3
[    6.235550] i915 0000:00:02.0: [drm] GT0: HuC: authenticated for all workloads
[    6.237639] i915 0000:00:02.0: [drm] GT0: GUC: submission enabled
[    6.237645] i915 0000:00:02.0: [drm] GT0: GUC: SLPC enabled
[    6.238214] i915 0000:00:02.0: [drm] GT0: GUC: RC enabled

Overigens gebruik ik in OMV de laatste Proxmox kernel. Dat was voorheen de enige waarbij ik wel RC6 powersaving kreeg.

[ Voor 5% gewijzigd door spoor12b op 04-01-2026 20:32 ]

[mrmrmr]

spoor12b schreef op zondag 4 januari 2026 @ 18:30:
De consoleblank parameter gebruik ik al, deze staat bij mij op 15. Helaas werkt auto-tune bij mij niet goed omdat de tunables, wat ik zelf al eerder zag, op bad blijven staan.

Wat precies staat op bad?

Is er nog een manier om alsnog auto-tune aan het werk te krijgen? Ik meende eerder een post te hebben gezien van iemand die een nieuwere versie met docker draait.

Draai je het vanuit een container/VM of als root direct in het besturingssysteem? powertop werkt niet vanuit een gevirtualiseerde omgeving omdat de hardware dan gevirtualiseerd is. Tenzij een bepaald onderdeel exclusief wordt doorgegeven (passthrough).

Het dashboard in OMV heb ik al redelijk opgeschoond en het aantal wakeups/second lijkt redelijk constant rond de 500-510 te liggen. Ik heb geen idee of dat een goede score is voor idle gebruik (fileserver, paar docker containers)?

Of het goed is hangt af van wat het systeem doet. Voor een systeem dat bijna niks doet is 40 (Debian 13 met OpenSSH service) goed, maar het kan best honderden tot 1000 wakups zijn bij een druk bezet systeem met allerlei software die continu taken afhandelt.

Hier is te zien dat de RC6 informatie ontbreekt, had hem eerder wel. Vreemd...

De pagina laat alleen de regels zien binnen de afmetingen van de console window. Je kan met pagedown het deel bekijken dat op de volgende pagina staat.

Ik zie geen hoge package C state, daarom zou ik de output van lspci -vvv bekijken om te zien of ASPM uit staat voor bepaalde onderdelen. Als er geen pcie onderdelen in ASPM power saving stand komt scheelt dat omstreeks 3 tot 8 Watts.

[sahinasappelsap]

mrmrmr schreef op zaterdag 3 januari 2026 @ 17:53:
@sahinasappelsap Je hebt zo te zien powertop --auto-tune nog niet gedraaid. Dat zet eenmalig power saving aan voor allerlei onderdelen. Bij elke herstart moet dat opnieuw, daar is een service voor. Let op dat de powertop --auto-tune er in moet staan en dat de service moet worden aangezet/enabled.

Ook zonder monitor is kan het nodig zijn om consoleblank kernel parameter toe te passen en te activeren (zie topicstart, bv. met update-grub, reboot). Dat zet de gpu in low power én stuurt een standby-opdracht naar een gekoppelde monitor. Als je geen monitor koppelt kan de gpu nog wel actief blijven bij een console installatie, daar is deze consoleblank opdracht voor.

Ik heb inmiddels een gecompileerde laatste versie van powertop gedeeld, zie mrmrmr in "Het grote zuinige server topic - deel 3". Voor mensen die het nodig hebben om core C states goed weer te geven.

Ik zie bij jou dat de package C states allemaal op 0% staan. Daar heb ik geen verklaring voor, maar misschien helpt de laatste versie van powertop.

He autotune gedraaid, maar krijg dezelfde melding als hierboven genoemd. Zie verder het verbruik ook niet omlaag gaan?

Heb het gedaan met de huidige geïnstalleerde powertop. Hoe moet ik compileren trouwens, ben echt niet handig met Linux 🤭

[sahinasappelsap]

mrmrmr schreef op zaterdag 3 januari 2026 @ 17:53:
@sahinasappelsap Je hebt zo te zien powertop --auto-tune nog niet gedraaid. Dat zet eenmalig power saving aan voor allerlei onderdelen. Bij elke herstart moet dat opnieuw, daar is een service voor. Let op dat de powertop --auto-tune er in moet staan en dat de service moet worden aangezet/enabled.

powertop --auto-tune meldt bij mij

code:

modprobe cpufreq_stats failed
Loaded 0 prior measurements
Cannot load from file /var/cache/powertop/saved_parameters.powertop
File will be loaded after taking minimum number of measurement(s) with battery only
RAPL device for cpu 0
RAPL Using PowerCap Sysfs : Domain Mask d
RAPL device for cpu 0
RAPL Using PowerCap Sysfs : Domain Mask d
Devfreq not enabled
glob returned GLOB_ABORTED
Cannot load from file /var/cache/powertop/saved_parameters.powertop
File will be loaded after taking minimum number of measurement(s) with battery only
Leaving PowerTOP

Maar als ik nu naar de tunables ga staat alles wel op good.

code:

>> Good          Bluetooth device interface status
   Good          NMI watchdog should be turned off
   Good          Enable SATA link power management for host1
   Good          Enable Audio codec power management
   Good          VM writeback timeout
   Good          Enable SATA link power management for host0
   Good          Autosuspend for USB device Bluetooth Radio  [Realtek ]
   Good          Autosuspend for USB device xHCI Host Controller [usb1]
   Good          Autosuspend for USB device xHCI Host Controller [usb2]
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N SATA AHCI Controller
   Good          Runtime PM for port ata1 of PCI device: Intel Corporation Alder Lake-N SATA AHCI Controller
   Good          Runtime PM for port ata2 of PCI device: Intel Corporation Alder Lake-N SATA AHCI Controller
   Good          Runtime PM for disk sda
   Good          Runtime PM for disk sdb
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N PCH eSPI Controller
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N PCI Express Root Port #7
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N PCI Express Root Port #4
   Good          Runtime PM for PCI Device Realtek Semiconductor Co., Ltd. RTL8822CE 802.11ac PCIe Wireless Network Adapter
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake Innovation Platform Framework Processor Participant
   Good          Runtime PM for PCI Device Realtek Semiconductor Co., Ltd. RTL8111/8168/8211/8411 PCI Express Gigabit Ethernet Controller
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N SPI (flash) Controller
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N PCH High Definition Audio Controller
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N Processor Host Bridge/DRAM Registers
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N PCH Shared SRAM
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N [UHD Graphics]
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N PCH USB 3.2 xHCI Host Controller
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N SMBus
   Good          Runtime PM for PCI Device Intel Corporation Alder Lake-N PCH HECI Controller

Ik zal eens even kijken hoe ik dat automatisch bij opstarten kan laten doen via je link.

[mrmrmr]

@sahinasappelsap Dat ziet er goed uit. Ik zie dat wel dat je een WiFi/Bluetooth module hebt. Als je dat niet gebruikt kun je de module uitschakelen via de BIOS en testen of dat een verschil maakt. Of je kan de module verwijderen. Het zit meestal onder een metalen kap.

Zelf compileren is niet zo makkelijk inderdaad.

Voor Debian 13:
Een handige tool voor beheer is mc (Midnight Commander), te installeren met apt install mc. Installeren doe je als root (sudo su).

Download de master.zip file en pak die uit in een directory genaamd "powertop202260105". Ga naar die directory.

apt install libpci-dev libnl-3-dev libnl-genl-3-dev gettext libgettextpo-dev autopoint gettext libncursesdev libncursesw-dev libtool-bin dh-autoreconf autoconf-archive pkg-config libtracefs-dev libtracefs

autoreconf --install --verbose --force

./configure

make

De tool wordt vervolgens gecompileerd en staat dan in de src subdirectory.

Er zijn standaard debug symbols aanwezig. Die kun je verwijderen met deze opdracht:
strip -s autotop

Dan heb je een kleinere executable. Die kun je naar je useromgeving kopieren en starten met ./powertop.

Andere besturingssystemen dan Debian 13 hebben misschien packages met andere namen.

[sahinasappelsap]

mrmrmr schreef op maandag 5 januari 2026 @ 12:32:
@sahinasappelsap Dat ziet er goed uit. Ik zie dat wel dat je een WiFi/Bluetooth module hebt. Als je dat niet gebruikt kun je de module uitschakelen via de BIOS en testen of dat een verschil maakt. Of je kan de module verwijderen. Het zit meestal onder een metalen kap.

Zelf compileren is niet zo makkelijk inderdaad.

Voor Debian 13:
Een handige tool voor beheer is mc (Midnight Commander), te installeren met apt install mc. Installeren doe je als root (sudo su).

Download de master.zip file en pak die uit in een directory genaamd "powertop202260105". Ga naar die directory.

apt install libpci-dev libnl-3-dev libnl-genl-3-dev gettext libgettextpo-dev autopoint gettext libncursesdev libncursesw-dev libtool-bin dh-autoreconf autoconf-archive pkg-config libtracefs-dev libtracefs

autoreconf --install --verbose --force

./configure

make

De tool wordt vervolgens gecompileerd en staat dan in de src subdirectory.

Er zijn standaard debug symbols aanwezig. Die kun je verwijderen met deze opdracht:
strip -s autotop

Dan heb je een kleinere executable. Die kun je naar je user opgeving kopieren en starten met ./powertop.

Andere besturingssystemen dan Debian 13 hebben misschien packages met andere namen.

Thanks!
Ga nog even kijken wat het uithaalt als ik bluetooth/wifi uitzet en zal eens kijken of het compilen me lukt.
Edit: Ik heb in de bios gekeken, maar geen optie om de bluetooth/wifi uit te schakelen. Ik voel er weinig voor om het kastje open te schroeven zodat het kaartje eruit kan.
Ik heb via de eerder genoemde beelink nog deze instructie gevonden, maar die lijkt weinig uit te halen:

code:

Ubuntu# modprobe iwlwifi disable_11ax=true
Ubuntu# nano /etc/modprobe.d/iwlwifi.conf 
options iwlwifi disable_11ax=true

CTRL+X, Save YES

Ubuntu# update-initramfs -k all -u
Ubuntu# nano /etc/modprobe.d/blacklist.conf
blacklist iwlwifi

CTRL+X, Save YES

Ubuntu# sudo wget https://anduin.linuxfromscratch.org/sources/linux-firmware/intel/ibt-0040-1050.sfi
Ubuntu# sudo wget https://anduin.linuxfromscratch.org/sources/linux-firmware/intel/ibt-0040-1050.ddc
Ubuntu# cp ibt* /lib/firmware/intel/

[ Voor 20% gewijzigd door sahinasappelsap op 05-01-2026 14:33 ]

[andru123]

shadylog schreef op zondag 4 januari 2026 @ 18:27:
De volgende onderdelen over het afgelopen jaar verzameld …

Ik vind 9W idle vrij zuinig maar toch iets aan de hogere kant. Mijn ervaring met Gigabyte borden was ~5W idle. Heb je CPU turbo en audio in BIOS uitgezet? Probeer eens de netwerk kaart uitzetten, als je tijd hebt.
Anders kan het zijn dat Pure power 13 is niet zo zuinig als verwacht.

[spoor12b]

mrmrmr schreef op maandag 5 januari 2026 @ 02:56:
[...]

Wat precies staat op bad?

Het betreft de volgende zaken:


[...]


Draai je het vanuit een container/VM of als root direct in het besturingssysteem? powertop werkt niet vanuit een gevirtualiseerde omgeving omdat de hardware dan gevirtualiseerd is. Tenzij een bepaald onderdeel exclusief wordt doorgegeven (passthrough).

Het draait rechtstreeks vanuit het OS, OMV zelf is niet gevirtualiseerd

[...]


Of het goed is hangt af van wat het systeem doet. Voor een systeem dat bijna niks doet is 40 (Debian 13 met OpenSSH service) goed, maar het kan best honderden tot 1000 wakups zijn bij een druk bezet systeem met allerlei software die continu taken afhandelt.

Ik denk niet dat ik er zo heel veel meer vanaf kan halen, maar ik hou het in de gaten.

[...]


De pagina laat alleen de regels zien binnen de afmetingen van de console window. Je kan met pagedown het deel bekijken dat op de volgende pagina staat.

Helaas, pagedown brengt het niet in beeld, ook starten in een gemaximaliseerd Putty scherm.