Wil een OpenBSD router opzetten. Effe vragen...

[Verwijderd]

Ik wil een OpenBSD router-pc opzetten en wil hier posten wat ik van plan ben.
Als je iets anders/beter zou doen, post dan hier graag je commentaar!

Ingrediënten:
Men neme - 1 Pentium 1/100Mhz systeem met 16 Mb Ram
- 2 Realtek 8139 pci ethernet nics
- 1 Alcatel speed touch pro (voorheen home )
- 1 8+1 poorts Solair ethernet hub
- De nodige kabels

Daarmee wil ik graag maken:
1 router/firewall die mijn lan van thuis-pc's via m'n adsl-modem met internet verbindt
Met behulp van OpenBSD, dat ik via ftp wil installeren
Via welke ook mijn thuis-web/mailserver via NAT bereikbaar is (iemand een openbsd-nat-howto?)
Waarvan pf zo veilig mogelijk staat ingesteld (iemand goeie links?)
Die de volgende services draait:
- DNS
- NTP
- SSH

Moet er wel bijzeggen dat ik een OpenBSD newbie ben, heb alleen zeer spaarzame ervaring met FreeBSD maar kan goed met Linux overweg.

[2P]

Alles wat je zoekt staat in de FAQ van OpenBSD.

.

[moto-moi]

..en eventuele vragen over de keuze van je OS, kun je hier kwijt : Welk OS (bv. Linux distro) moet ik nemen? Part 2..

[Verwijderd]

Ja, bedankt, daar post ik dit voor nou goed?
De url openbsd.org had ik zelf ook al gevonden.

Lezen is 1 belangrijk ding, commentaar van anderen is een ander belangrijk ding.

[Verwijderd]

OpenBSD kies ik omdat ik er geen ervaring mee heb, het draait op de hardware die ik beschikbaar heb, en omdat het me erg aanspreekt dat ze zich erg op veiligheid richten. Dat lijkt me een goede zaak voor een os op een router-pc. Dus het is niet zo dat ik zit te dubben over wat voor os.

[Verwijderd]

Sorry hoor dat ik een beetje kribbig klink.
Maar ik hoopte op inhoudelijk commentaar in plaats van RTFM-replies.

[2P]

Verwijderd schreef op 13 november 2002 @ 15:42:
en omdat het me erg aanspreekt dat ze zich erg op veiligheid richten. Dat lijkt me een goede zaak voor een os op een router-pc.

Hierdoor worden veel mensen misleid...
Je maakt mij namelijk niet wijs dat een OpenBSD router veiliger is dan een Linux, NetBSD, FreeBSD router. Het gaat er namelijk om welke services je erop draait en of je de patches daarvoor wel bij houd.
Daarom is naar mij mening een Linux router even veilig te configureren als een OpenBSD router. Ja, het is wel zo dat het OpenBSD team zich volledig concentreerd op veiligheid. Beveiliging staat bij hun op #1 en dat is iets wat je bij andere OS'en niet zo snel terug ziet.
Geschikt voor een router???
Ik zelf had problemen met de stabiliteit en betrouwbaarheid en met m'n 3com kaarten die niet goed werkten (nog steeds niet gefixed in 3.2).
Daarom draai ik het zelf niet meer op m'n router.
Maar een kennis van me draait het al tijden en heeft nooit "echt" problemen ermee gehad...

_{deze reply is natuurlijk grotendeels IMHO en NOFI he}

[Verwijderd]

Verwijderd schreef op 13 November 2002 @ 15:50:
Sorry hoor dat ik een beetje kribbig klink.
Maar ik hoopte op inhoudelijk commentaar in plaats van RTFM-replies.

Wat voor commentaar verwacht je dan? Inhoudelijk commentaar op wat je van plan bent? Voer het maar uit, kom problemen tegen, en kom dat hier dan na het zelf opgezocht te hebben nog es vragen. Je stelt geen echte vraag hier, je zegt gewoon ik wil dit gaan doen. Goed, bedankt voor de informatie.
Als je vraag was ik wil dit gaan proberen, maar ik weet niet of OpenBSD hier voor mij het geschikte OS is, dan heeft moto-moi gelijk dat ie je naar het andere topic doorverwijst.

[Verwijderd]

Ik denk dat je beter wat meer geheugen kan nemen. Zeker met een DNS-server. Het basissysteem zal wel gaan, maar met een aantal additionele services zal ie lekker gaan swappen. Inhoudelijk genoeg??

[miniBSD]

OpenBSD installeren is niet voldoende, veiligheid is een concept en geen applicatie. Dus ongeacht welke OS je gebruikt, je zult het moeten bijhouden.

Wat betreft PF, '/etc/ipf.conf' is een prima plek om mee te beginnen. De website voor PF is http://www.benzedrine.cx/pf.html

PF is ontwikkeld naar voorbeeld van IPFILTER, dus wellicht kun je daar ook eens naar kijken.

[Verwijderd]

Bedankt voor het commentaar, JA het is inhoudelijk genoeg zo..

Dat van meer geheugen nodig bij het draaien van een DNS had ik al een beetje op gerekend.. Ik heb geen sjoege van hoe DNS werkt, ik heb alleen wel begrepen dat het cachen en up to date houden van een lijst met domeinnamen/ip-adressen een behoorlijke last op je geheugen en netwerkverbinding kan leggen toch?

Mee eens dat wat de veiligheid van een systeem bepaald, natuurlijk niet alleen het kale systeem is, maar vooral hoe je het configureert en bijhoudt.
Maar ik vind het een geruststellend idee voor een openbsd-n00b als ik, dat het OS zelf zo op veiligheid is gericht. Dat zal betekenen dat er in de default install niet allerlei onnodige services standaard openstaan of dat er allerlei dingen "gemakkelijk gemaakt" zijn die een systeem kwetsbaar (kunnen) maken.

[Verwijderd]

Verwijderd schreef op 13 November 2002 @ 16:18:
Ik denk dat je beter wat meer geheugen kan nemen. Zeker met een DNS-server. Het basissysteem zal wel gaan, maar met een aantal additionele services zal ie lekker gaan swappen. Inhoudelijk genoeg??

Niet om het een of ander, maar dit is grote onzin... Ter voorbeeld (master dns, +/- 150 subdomains, +/- 550 hosts + forwarding):

code:

su-2.05# ps axuww|grep named
bind    9012  0.0  1.2  3520 3024  ??  Ss   Tue11AM   0:19.82 
 /usr/sbin/named -u bind -g bind -c /unison/servers/named/named.conf

su-2.05# ps axuww|grep sshd
root     820  0.0  0.5  2012 1184  ??  Is   Fri07AM   0:01.07 sshd
root   64891  0.0  0.5  4600 1408  ??  I     5:58PM   0:00.02 
  sshd: ikke [priv] (sshd)
ikke 64893  0.0  0.5  4600 1412  ??  S     5:58PM   0:00.02 
  sshd: ikke@ttyp0 (sshd)

su-2.05# ps axuww|grep ntpd
root     253  0.0  0.3  1256  740  ??  S<s  Fri07AM   0:11.53 ntpd

(FreeBSD 4-stable, bind8)

Al met al kom ik op zo'n 5M aan in-use ram, combineer dit met een kernel van 1/2M, en je hebt nog meer dan de helft van je 16M over

[Verwijderd]

Verwijderd schreef op 13 November 2002 @ 17:20:
Dat zal betekenen dat er in de default install niet allerlei onnodige services standaard openstaan of dat er allerlei dingen "gemakkelijk gemaakt" zijn die een systeem kwetsbaar (kunnen) maken.

Dat heeft debian ook en dat is volgens mij stukken handiger te onderhouden met een tool als apt-get

[2P]

Verwijderd schreef op 13 november 2002 @ 17:20:

Dat zal betekenen dat er in de default install niet allerlei onnodige services standaard openstaan of dat er allerlei dingen "gemakkelijk gemaakt" zijn die een systeem kwetsbaar (kunnen) maken.

Behalve dan inetd, sendmail en "PermitRootLogin" van sshd die standaard aanstaan zijn de "onnodige" services wel uit jah

Verwijderd schreef op 13 November 2002 @ 18:09:

Dat heeft debian ook en dat is volgens mij stukken handiger te onderhouden met een tool als apt-get

- Het gaat hier over OpenBSD en niet Debian (GNU/Linux).
- Onder OpenBSD is dat net zo makkelijk te onderhouden met cvsup, build world en de ports. Werkt nog beter ook

[Verwijderd]

Verwijderd schreef op 13 November 2002 @ 17:20:
Bedankt voor het commentaar, JA het is inhoudelijk genoeg zo..

Dat van meer geheugen nodig bij het draaien van een DNS had ik al een beetje op gerekend.. Ik heb geen sjoege van hoe DNS werkt, ik heb alleen wel begrepen dat het cachen en up to date houden van een lijst met domeinnamen/ip-adressen een behoorlijke last op je geheugen en netwerkverbinding kan leggen toch?

DJBDNS neemt betrekkelijk minder geheugen in beslag dan BIND en is bovendien ook meer secure. Beide is belangrijk voor je: security gaf je net al aan (let wel op security kost moeite ook met OpenBSD) en minder geheugen is ook interessant voor je aangezien je maar 16 MB hebt. OpenBSD maakt standaard gebruik van BIND. Ook best: chrooted en Systraced is dat tamelijk secure te noemen. Dat laatste is iets waar FreeBSD niet aan doet: Maw. op OpenBSD heb je de mogelijkheid om met een geweldige tool je BIND er beter op voor te bereiden op r00tk1dd13s die jou vervolgens niet kunnen exploiten voorbeeld waarom OpenBSD meer secure is op dit punt dan een FreeBSD of een Linux en by default!

Oh en Sendmail draait standaard alleen INTERN dus hij luistert niet op EXTERNE IP's. Dus dat is wel secure.

Mee eens dat wat de veiligheid van een systeem bepaald, natuurlijk niet alleen het kale systeem is, maar vooral hoe je het configureert en bijhoudt.
Maar ik vind het een geruststellend idee voor een openbsd-n00b als ik, dat het OS zelf zo op veiligheid is gericht. Dat zal betekenen dat er in de default install niet allerlei onnodige services standaard openstaan of dat er allerlei dingen "gemakkelijk gemaakt" zijn die een systeem kwetsbaar (kunnen) maken.

1) ik raad je aan om Deadly.org regelmatig te lezen voor het laatste nieuws en de laatste patches
2) of-ie standaard 2 RTL's van exact hetzelfde type kan gebruiken weet ik niet. Ik heb deze 3 NIC's in m'n OpenBSD bak. Niet de geweldigste: RTL8139 (intern netwerk deze is 100 mbit), RTL8029 (extern netwerk deze is 10 mbit half duplex; dat moet ook van je ST ADSL modem!), en een 3com ISA gevalletje voor een afzonderlijke bak die ik niet op m'n LAN wil hebben.
3) ik raad je aan om meer dan 16 MB erin te zetten dan gaat het compileren lekkerder. Hoe goed is dat geheugen? Ik heb 64 en daarmee gaat het lekker. Met 128 ging het weer nog een stuk sneller. Hoe groot is je HDD? En verder hoe snel kan-ie? Reken op flink wat MB's als je sources moet compileren (denk aan kernel compiles en patchen van zaken).
4) NAT met OpenBSD

[Jordi]

Juist, maar dit draadje had al een hele tijd geleden op slot gemoeten vanwege het 'vraag maar raak voor een knaak' gehalte. Sorry, maar het is hier geen vraagbaak "ik heb X, wat vinden jullie?"