Opnsense / Microtik / Ubiquiti

[WPN]

Goedeavond,

Ik run op dit moment een Sophos Home VM als firewall. Deze setup wil ik vanaf, en wil terug naar een fysiek device om in een 1u te monteren (bij vookeur).

- Microtik RB5009
- Ubiquity Cloud gateway Max
- "custom appliance" voor Opnsense

Microtik is financieel aantrekkelijk. Krijgt van wat ik lees veel bang for buck.
Cloud gateway is makkelijk te gebruiken en zou de lxc unifi controller voor mn 3 AP's kunnen vervangen
De custom hardware voor Opnsense is mogelijk wat prijziger en het vereist veel eigen werk

Alle drie de opties zijn geen probleem.

Wat wil ik
eis; Ik wil op korte termijn VPN toegang tot mn netwerk via mobiele telefoon of andere router die bij familie staat. Maar logischerwijs uitgaand ook VPN vanuit clients.
wens; 1u mountable hetzij build-in optie of via aparte ears. Dit is hoge voorkeur, anders wordt het buiten kast plaatsen
wens; adblocker/dns, dhcp, op verschillende vlans
wens; Automatisch SSL certificates vervangen op het device (via plugin of wat mogelijk is), grote wens niet perse vereist als andere voordelen zwaarder wegen
wens; 4 porten

Internet aansluitign is niet zo hoog, heb neit veel nodig. 700Mbit Ziggo (wat ouder abo dat telkens upgraded wordt). Modem van Ziggo staat bridged en wil ik zo houden
KPN glasvezel kan ook, maar zie behalve een apar financiele zaken geen noodzaak om over te stappen, zeker niet omdat ik begreep dat de KPN box niet gebridged kan worden.


Ubiquiti voelt al als derde wiel aan. DUs die kans is klein.

Voor de custom hardware zijn er vele mogelijkheden op amazon (zoals partaker, hunsn, protectly), zelfbouw noem maar op. Kant en klaar brengt weer wel wat extra kosten mee, zelfbouw is geen probleem maar brengt weer extra tijd mee voor het in elkaar zetten.

Graag wil ik jullie mening/advies. Ofwel wat zou jij nu kiezen als je voor de keuze komt nu.

[Jan-man]

WPN schreef op maandag 2 september 2024 @ 00:10:De custom hardware voor Opnsense is mogelijk wat prijziger en het vereist veel eigen werk.

Opnsense heeft gewoon zijn eigen hardware (nl leverancier)

https://shop.opnsense.com...orie/hardware-appliances/ (wij hebben er tientallen mischien wel honderd in het veld draaien)

Wanneer je voor 1u / rack hardware gaat is het altijd prijzig. Is nou eenmaal zo helaas (niche markt voor ons consumenten)

Zelf zou ik voor opn/pfsense kiezen omdat je veel vrijheid hebt (als hardware stuks gaat plemp je hem zo naar een andere tijdelijke pc of vm). Daarnaast hebben beide platformen een grote community met veel support voor plugins/expansions. Dat vind ik echt een groot plus punt tegenover die andere 2 merken. Zeker bij Unifi ben je beperkt tot wat hun bieden.

[ Voor 0% gewijzigd door Jan-man op 02-09-2024 13:20 . Reden: Typo ]

[WPN]

Jan-man schreef op maandag 2 september 2024 @ 00:37:
[...]


Opnsense heeft gewoon zijn eigen hardware (nl leverancier)

https://shop.opnsense.com...orie/hardware-appliances/ (wij hebben er tientallen mischien wel honderd in het veld draaien)

Wanneer je voor 1u / rack hardware gaat is het altijd prijzig. Is nou eenmaal zo helaas (niche markt voor ons consumenten)

Zelf zou ik voor opn/pfsense kiezen omdat je veel vrijheid hebt (als hardware stuks gaat plemp je hem zo naar een andere tijdelijke pc of vm). Daarnaast hebben beide platformen een grote community met veel support voor plugins/expansions. Dat vind ik echt een groot plus punt tegenover die andere 2 merken. Zeker bij Unifi ben je beperkt tot wat hun bieden.

Hun eigen hardware vind ik dan net weer iets te prijzig. 550 euro is de minimale investering. Ik zat eigenlijk zelf aan max 400 te denken.

Je andere punten zijn interresant om keuze in mee te laten wegen. Dank


Iemand een mening over partaker hardware? Bijvoorbeeld
https://www.amazon.nl/Par...%C5%BD%C3%95%C3%91&sr=8-3
Deze barebone en zelf nog mem en storage inzetten.

[ Voor 17% gewijzigd door WPN op 02-09-2024 22:06 ]

[FrankHe]

Hier heb ik een MikroTik met WireGuard VPN's naar twee locaties. Met WireGuard heb je geen TLS/SSL nodig dus ook geen vernieuwing van certificaten.

Heb een stel uitvoering: MikroTik hAP ax lite gekocht en die thuis en op andere plekken neergezet. Ik gebruik de router, firewall en WireGuard functie en heb de WiFi uitgeschakeld. Een zeer capabele VPN die een goede 200 Mbps per VPN-verbinding doet, helemaal geen gekke prestatie voor een apparaat van rond de Eur 50. Ik ben nog nieuw in het MikroTik ecosysteem maar het lukt vrij goed om m'n weg te vinden. Betrouwbare hardware en zeer betaalbaar.

[ Voor 3% gewijzigd door FrankHe op 03-09-2024 23:20 ]

[drocona]

Ik draai al een tijd dedicated OPNsense in VM's om VPN te termineren en te routeren/firewallen daar ik een Fortigate hardware firewall thuis had staan. Inmiddels ben ik een jaar geleden overgegaan van Ziggo naar Delta fiber, waardoor de 1Gb/s niet voldoende was op de Fortigate.

Resutaat:
Heb op AliExpress een fanless mini PC van Topton/CWWK met een N100 CPU en 2,5Gbps netwerkpoorten, barebone voor 160 euro aangeschaft. Zelf 16GB RAM en een 512GB NVMe SSD ingezet (kost 15 min werk). Het zal mij niets verbazen als ze ook in 1U variant zijn (ik kon ze alleen niet vinden), maar ik heb het losse kastje op een legplank liggen in mijn rack.

Denk dat ik in totaal max 250 euro kwijt was en knal nu 2,3Gbps over mijn glasvezel heen. Alle WireGuard tunnels zijn getermineerd op dit apapraat, inclusief site2site naar public cloud omgevingen.
OPNsense is ontzettend uitgebreid en je kunt er bijna alles mee.

Ik draai eerst Proxmox op het apparaat en daar vervolgens een VM in met OPNsense. Ook heb ik nog twee andere services (o.a. DNS/Adblock voor interne devices en Unifi controller software) in container/VM draaien op dezelfde box.
Verbruikt ~9-15W continu, dus ook lekker zuinig (tip: ik gebruik powertop in proxmox om energieverbruik te verlagen).

[ Voor 9% gewijzigd door drocona op 05-09-2024 08:57 ]

[FrankHe]

drocona schreef op donderdag 5 september 2024 @ 08:39:
Ik draai al een tijd dedicated OPNsense in VM's om VPN te termineren en te routeren/firewallen daar ik een Fortigate hardware firewall thuis had staan. Inmiddels ben ik een jaar geleden overgegaan van Ziggo naar Delta fiber, waardoor de 1Gb/s niet voldoende was op de Fortigate.

Resutaat:
Heb op AliExpress een fanless mini PC van Topton/CWWK met een N100 CPU en 2,5Gbps netwerkpoorten, barebone voor 160 euro aangeschaft. Zelf 16GB RAM en een 512GB NVMe SSD ingezet (kost 15 min werk). Het zal mij niets verbazen als ze ook in 1U variant zijn (ik kon ze alleen niet vinden), maar ik heb het losse kastje op een legplank liggen in mijn rack.

Denk dat ik in totaal max 250 euro kwijt was en knal nu 2,3Gbps over mijn glasvezel heen. Alle WireGuard tunnels zijn getermineerd op dit apapraat, inclusief site2site naar public cloud omgevingen.
OPNsense is ontzettend uitgebreid en je kunt er bijna alles mee.

Ik draai eerst Proxmox op het apparaat en daar vervolgens een VM in met OPNsense. Ook heb ik nog twee andere services (o.a. DNS/Adblock voor interne devices en Unifi controller software) in container/VM draaien op dezelfde box.
Verbruikt ~9-15W continu, dus ook lekker zuinig (tip: ik gebruik powertop in proxmox om energieverbruik te verlagen).

Wanneer 1 Gbps niet langer volstaat dan heb je daar kennelijk een flink datacenter staan.

Die barebones met N100 SOC zijn inderdaad heel mooi, een behoorlijk krachtige CPU met zeer laag verbruik en voldoende PCI-lanes om leuke dingen te doen. Persoonlijk koop ik op AliExpress geen 'kritische' hardware, ik betaal liever iets meer en haal het bij een betrouwbare winkel in de EU. Het is belangrijk genoeg om niet op te bezuinigen.

Voor mij is een VPN die meer dan 100 Mbps doet ruim voldoende. WireGuard die 'sustained 200 Mbps' per verbinding aankan is echt meer dan genoeg voor wat ik nodig heb. Dedicated hardware met een zeer klein 'aanvalsoppervlak' voor een prijs van zo'n Eur 50,- inclusief de btw. Voor Eur 150 verbind ik drie sites met elkaar! Goedkoper gaat niet lukken. MikroTik is wat dat betreft zeer goed gepositioneerd. Ze hebben uiteraard ook grotere en duurdere bakken in het productaanbod.

[CrankyGamerOG]

Gewoon een HP DL360 G9 ergens op te kop tikken voor 100 euro ofzo en je hebt een prima machine waar je alle kanten mee op kan (opnsense)

Als je met Proxmox of esxi aan de gang gaat kun je daar dus alles op kwijt, unifi controller, opnsense etc.

edit : ok 100 euro moet je geluk hebben, de mijne koste wel rond die prijs via een tweaker. Ik had hem van hem voor 75 (zonder mem en hdd's, die heb ik los gekocht) van @vsErik (thnx nog maat ! )

[ Voor 57% gewijzigd door CrankyGamerOG op 05-09-2024 14:12 ]

[FatalError]

Als Mikrotik liefhebber vind ik de RB5009 een geweldig apparaat. Flinke prestaties, veel features, laag energieverbruik en vrij lage prijs.
Nu heeft Mikrotik een behoorlijke leercurve. Veel dingen gaan een stuk omslachtiger als je van veel andere producten gewend bent, maar de flexibiliteit die je er voor terug krijgt is echt enorm.

[jurroen]

WPN schreef op maandag 2 september 2024 @ 21:50:
[...]


Hun eigen hardware vind ik dan net weer iets te prijzig. 550 euro is de minimale investering. Ik zat eigenlijk zelf aan max 400 te denken.

M72q Tiny met 4 x Gbit PCIe kaart (Intel is een aanrader). Met een beetje geluk, geduld en inzet ben je er voor de helft van je budget. Daar kun je OPNsense of een ander routers/security gateway achtig iets op prakken.

UniFi zou een idee zijn als je ook meer daarin wilt investeren, dor bijvoorbeeld ook de Protect of Access producten te gaan gebruiken. Wat gebruiksvriendelijker maar mist soms wat functionaliteit voor de die-hard Tweaker. Thom van osnews is overigens bezig met een review van UniFi meuk.

Mikrotik is heel fijn, maar heeft voor nieuwkomers een redelijk hoge leercurve. Als je die tijd wilt investeren is het dat zeker wel waard.

[BHQ]

CrankyGamerOG schreef op donderdag 5 september 2024 @ 14:08:
Gewoon een HP DL360 G9 ergens op te kop tikken voor 100 euro ofzo en je hebt een prima machine waar je alle kanten mee op kan (opnsense)

Als je met Proxmox of esxi aan de gang gaat kun je daar dus alles op kwijt, unifi controller, opnsense etc.

En een flink stroomverbruik. De Mikrotik in de startpost gebruikt <10W als 'ie niet veel te doen heeft.

[CrankyGamerOG]

BHQ schreef op maandag 9 september 2024 @ 23:22:
[...]

En een flink stroomverbruik. De Mikrotik in de startpost gebruikt <10W als 'ie niet veel te doen heeft.

Ja maar dan heb je alleen een router/fw met een server kun je zoveel meer.

[jeroen3]

Ik heb de Mikrotik RB5009 op KPN glasvezel 1 gbit, geen KPN box o.i.d. voor nodig.

De volgende zaken heb ik ingesteld:
- kpn pppoe met ipv6
- firewall
- paar portforwards
- blokkade ipcams naar internet
- zerotier vpn (nieuw op de ARM64 apparaten) dit werkt echt top, ook op de iphone.
- ptp vpn (met scripts voor static dns)
- gasten vlan, dhcp (en ubiquity wifi)
- pihole in /container (nieuw in routeros 7, externe usb ssd vereist)

Eigenlijk vrij simpel.

Hoe en wat de certificaten weet ik niet, nog nooit nodig gehad.
Ook heb ik geen IPTV of VOIP dingen ingesteld bij KPN. Wel ooit gehad jaren terug met mikrotik en routeros 6. Ga er vanuit dat dit ook nog steeds kan.

De RB5009 is zeker een capabel toestel, het enige wat ik eigenlijk wel mis is een paar poe outs.
Als je deze toch prijzig vindt kun je nog naar de L009, maar die doet net aan 700 Mbit als je config niet te lastig is.

Zoals @FatalError aangeeft is er wel een leercurve, het is geen fancy ubiquity wizard.
Hoewel de nieuwe winbox 4 beta wel dark mode heeft

[BHQ]

CrankyGamerOG schreef op dinsdag 10 september 2024 @ 08:02:
[...]

Ja maar dan heb je alleen een router/fw met een server kun je zoveel meer.

Ja, maar dat kan ook met een zuinigere machine die in principe net zo capabel kan zijn (op b.v. dual PSU na dan).

Het grote zuinige server topic - deel 3

[CrankyGamerOG]

BHQ schreef op dinsdag 10 september 2024 @ 08:27:
[...]

Ja, maar dat kan ook met een zuinigere machine die in principe net zo capabel kan zijn (op b.v. dual PSU na dan).

Het grote zuinige server topic - deel 3

Ja maar die zijn weer een stuk duurder in aanschaf, en als je zonnepaneeltjes hebt boeit het verbruik niet zo veel

[SambalBij]

Ik had toevallig niet zo lang geleden dezelfde keuze.
In eerste instantie een Mikrotik besteld, maar die bleek issues te hebben in combinatie met mijn kabelmodem. Elke zoveel minuten viel de ethernet link even weg... Kreeg ik niet opgelost, dus ding teruggestuurd.

Unifi wel overwogen, maar voor mijn gevoel te 'simpel' - Ik wil juist een hoop zelf kunnen instellen, en dat had ik voor mijn gevoel niet met Unifi.

Daarna korte tijd opnsense op een HP thin client gedraaid. Dat ging prima, maar trok me toch even te veel stroom... (Iets van tegen de 30W ofzo meen ik)

Uiteindelijk via eBay een wat oudere Sophos SG115 firewall besteld.
Dat zijn x86 dingen met een redelijk normale bios en een video uitgang, en daar kun je prima opnsense op installeren en gebruiken
Ding werkt uitstekend. Was voor rond de 100 euro klaar geloof ik, en maar heel weinig gedoe met de installatie. Performance is ok, ding is zuinig, interfaces werden allemaal netjes herkend en toegewezen.

Mocht ik later eventueel nog eens naar glasvezel gaan (nu 400/40 Ziggo) of ik meer willen doen en het ding te langzaam blijken, dan denk ik dat ik gewoon ook weer naar een tweedehand Sophos op zoek ga, maar dan een wat snellere (SG135 van een recente revisie of zoiets)

[ Voor 12% gewijzigd door SambalBij op 10-09-2024 18:17 ]

[WPN]

SambalBij schreef op dinsdag 10 september 2024 @ 18:16:
Ik had toevallig niet zo lang geleden dezelfde keuze.
In eerste instantie een Mikrotik besteld, maar die bleek issues te hebben in combinatie met mijn kabelmodem. Elke zoveel minuten viel de ethernet link even weg... Kreeg ik niet opgelost, dus ding teruggestuurd.

Unifi wel overwogen, maar voor mijn gevoel te 'simpel' - Ik wil juist een hoop zelf kunnen instellen, en dat had ik voor mijn gevoel niet met Unifi.

Daarna korte tijd opnsense op een HP thin client gedraaid. Dat ging prima, maar trok me toch even te veel stroom... (Iets van tegen de 30W ofzo meen ik)

Uiteindelijk via eBay een wat oudere Sophos SG115 firewall besteld.
Dat zijn x86 dingen met een redelijk normale bios en een video uitgang, en daar kun je prima opnsense op installeren en gebruiken
Ding werkt uitstekend. Was voor rond de 100 euro klaar geloof ik, en maar heel weinig gedoe met de installatie. Performance is ok, ding is zuinig, interfaces werden allemaal netjes herkend en toegewezen.

Mocht ik later eventueel nog eens naar glasvezel gaan (nu 400/40 Ziggo) of ik meer willen doen en het ding te langzaam blijken, dan denk ik dat ik gewoon ook weer naar een tweedehand Sophos op zoek ga, maar dan een wat snellere (SG135 van een recente revisie of zoiets)

Zeer interresant dit.
Ik heb op mn werk binnenkort XG hardware over. Misschien de moeite waard om dus even te wachten daarop.
Gewoon booten met USB stick van opnsense en gaan?

Iedereen tot nu toe bedankt voor de input.
Ik wil geen big-ass server plaatsen. Ik heb een paar kleine mini pc's die een cluster vormen om mn zaken te regelen
Echter is het wel het overwegen waard (na proberen Sophos hardware) om toch met Proxmox Opnsense op te tuigen en wat andere containers met netwerkservicedes en mn cluster voor grotere opties in te zetten

[ Voor 10% gewijzigd door WPN op 11-09-2024 22:36 ]

[dylan111111]

Kijk ook eens naar een Firewalla. https://firewalla.com/products/firewalla-gold-se-firewall
Is gemakkelijk in de opzet en beheer via een app, draait gewoon op Linux dus kan ook containers of andere dingen op draaien mocht je dat willen. Kost een paar centen maar dan heb je er eigenlijk geen omkijken meer naar.

Persoonlijk heb ik de voorkeur om firewall en de rest van infra gescheiden te houden.

[ Voor 32% gewijzigd door dylan111111 op 12-09-2024 00:00 ]

[Uberprutser]

SambalBij schreef op dinsdag 10 september 2024 @ 18:16:
Unifi wel overwogen, maar voor mijn gevoel te 'simpel' - Ik wil juist een hoop zelf kunnen instellen, en dat had ik voor mijn gevoel niet met Unifi.

Ik vraag me dan altijd af wat iemand mist voor huis-tuin-keuken+ gebruik. Niet voor dit topic overigens.
Jaren PFsense en later OPNsense gedraaid maar mijn UXG-Max doet alles (op BGP na, maar heeft wel OSPF), inclusief failover en application firewalling. En ook nog eens mijn recorder (Protect) en controller voor alle andere Unifi meuk die ik heb.

Aangezien TS al Unifi spullen heeft staan zou dat voor mij eerste keuze zijn, tenzij er ECHT functionaliteit mist die de Unifi niet op kan vangen.

[FrankHe]

SambalBij schreef op dinsdag 10 september 2024 @ 18:16:
Ik had toevallig niet zo lang geleden dezelfde keuze.
In eerste instantie een Mikrotik besteld, maar die bleek issues te hebben in combinatie met mijn kabelmodem. Elke zoveel minuten viel de ethernet link even weg... Kreeg ik niet opgelost, dus ding teruggestuurd.

Dat is inderdaad heel vervelend. Het klinkt mij in de oren als een rotte kabel. Zoiets kun je gemakkelijk testen door op de router de snelheid van die ethernet-poort even hard op 100 Mbps half duplex te zetten. Als de verbinding vervolgens stabiel blijft, wat ik wel verwacht, dan kun je eigenlijk wel concluderen dat er iets mis is met de bekabeling. Bij mij draait de uiterst betaalbare MikroTik router zeer soliede. Het heeft wel een leercurve maar daar krijg je veel flexibiliteit voor terug.

[SambalBij]

FrankHe schreef op maandag 16 september 2024 @ 21:16:
[...]

Dat is inderdaad heel vervelend. Het klinkt mij in de oren als een rotte kabel. Zoiets kun je gemakkelijk testen door op de router de snelheid van die ethernet-poort even hard op 100 Mbps half duplex te zetten. Als de verbinding vervolgens stabiel blijft, wat ik wel verwacht, dan kun je eigenlijk wel concluderen dat er iets mis is met de bekabeling. Bij mij draait de uiterst betaalbare MikroTik router zeer soliede. Het heeft wel een leercurve maar daar krijg je veel flexibiliteit voor terug.

Ja dat heb ik allemaal uitgebreid getest. Kabels waren allemaal prima, diverse geprobeerd. (En ook geen prut CCA kabels uit de aanbiedingen-bak of iets, maar ook dezelfde issue met nieuwe, dure Panduit kabels)

Met de poorten op 100Mbit was het wel stabiel, maar ja dat schiet niet heel erg op met 400Mbit internet...
Met een doodsimpele gigabit switch tussen de modem en de firewall was de verbinding ook gewoon stabiel, wat me deed concluderen dat het waarschijnlijk ergens een ethernet issue is. Met wat googlen kwam ik dat probleem ook van iemand anders tegen, dus het leek ook wel vaker voor te komen. Helaas ook daar zonder oplossing. Toen heb ik hem maar naar Amazon geretourneerd omdat de retourtermijn op zijn einde liep.

[FrankHe]

SambalBij schreef op maandag 16 september 2024 @ 22:04:
[...]

Ja dat heb ik allemaal uitgebreid getest. Kabels waren allemaal prima, diverse geprobeerd. (En ook geen prut CCA kabels uit de aanbiedingen-bak of iets, maar ook dezelfde issue met nieuwe, dure Panduit kabels)

Met de poorten op 100Mbit was het wel stabiel, maar ja dat schiet niet heel erg op met 400Mbit internet...
Met een doodsimpele gigabit switch tussen de modem en de firewall was de verbinding ook gewoon stabiel, wat me deed concluderen dat het waarschijnlijk ergens een ethernet issue is. Met wat googlen kwam ik dat probleem ook van iemand anders tegen, dus het leek ook wel vaker voor te komen. Helaas ook daar zonder oplossing. Toen heb ik hem maar naar Amazon geretourneerd omdat de retourtermijn op zijn einde liep.

Dat is inderdaad naar. Begrijp het helemaal dat je de unit hebt geretourneerd. Het zal vermoedelijk ergens een productiefout zijn geweest en als die fout in een hele productiebatch zit dan hebben andere units waarschijnlijk hetzelfde probleem.

[gwabber]

Mijn two cents; ik draai al jaren pfSense in een heel klein hardware doosje met een n2807 cpu en 4 gig ram. Zeer energiezuinig. Begin pas de laatste tijd te merken dat hij wat meer moeite krijgt om mee te komen, maar in principe nog steeds prima op mijn 400/40 van Ziggo, met 5 vlans en drie VPN verbindingen!

[WPN]

Iedereen bedankt voor de input.
In het zelfbouw firewall topic heb ik hier en daar ook wat nuttige informatie kunnen filteren, o.a. dat iemand een oudere Sophos hardwarebak had gekocht en deze van Opsense had voorzien. Gezien er binnenkort op mn werk xg spul vrij komt wil ik kijken of ik dat kan gebruiken.
Zo niet, dan wordt het een andere bak met opnsense erop.