pfSense Hardware Empfehlung

[WildGuy]

Hi,

nachdem meine pfSense doch so langsam in die Jahre gekommen ist, hatte ich mal mit dem Gedanken gespielt, dass man die Hardware doch mal tauschen könnte. Hier werkelt halt noch ein alter Rechner vor sich hin (was natürlich in Sachen Stromverbrauch jetzt auch nicht grade der Renner ist). Was nutzt ihr denn so für eure pfSense- oder auch OPNsense-Installationen an Hardware, hat zufällig jemand "die" Hardware-Empfehlung für eine pfSense/OPNsense?

Prinzipiell würden mir erstmal 2 LAN-Ports reichen (zu 4 wären natürlich auch nicht schlecht), AES-NI sollte drin sein, min. 4+GB RAM und natürlich auch Platz für eine SSD. WLAN-Funktionalität (direkt am Board o.ä.) ist nicht gewünscht. Eventuell so ein APU-Board? Alternativ doch eher in Richtung Intel NUC (wobei die schon recht teuer sind)? Jemand eine Idee, bzw. was nutzt ihr so dafür?

 

[tiermutter]

hat zufällig jemand "die" Hardware-Empfehlung für eine pfSense/OPNsense?

"die" Hardwareempfehlung gibt es ja meistens nie, kommt ja auch darauf an, was die Kiste alles leisten soll... aber bei Hardwareempfehlungen bin ich ohnehin raus.
APU oder Draytek sind aber meist ein guter Kompromiss zwischen Leistung und Energiebedarf. Ich würde in jedem Fall Intel NICs verwenden und von Realtek Abstand nehmen, da Realtek NICs bis zuletzt keinen sonderbar guten Treiber Support in Free-/Hardened BSD haben. Ob sich ein NUC lohnt mag ich nicht beurteilen, habe mir die Teile noch nie genau angeschaut.

bzw. was nutzt ihr so dafür?

Ich verwende die Hardware einer Terra/ Securepoint RC100 G3 mit Atom E3845 und 4GB RAM. Die kommt mit einer Glasfaserleitung 600/300 locker zurecht und auch der VPN Speed ist ausreichend für mich (hatte mal unabhängig vom WAN getestet wie schnell das ist, habe den Messwert aber vergessen). Außerdem laufen noch Dienste wie AdGuard und DNScryptProxy darauf und ich habe ziemlich viele pf-table entries. Bei IPS/IDS geht die Kiste aber in die Knie und kommt im Schnitt nicht über 250Mbit/s.
Mir ist außerdem wichtig, dass ich ein Mobilfunkmodem einbauen kann, was bei dem Teil möglich ist.

 

[EOL15]

Wie @tiermutter bereits sagte, kommt es immer auf die persönlichen sowie technischen Anforderungen an. Ich betreibe die pfSense auf einem APU Board. Mir kam es neben der Leistung vor allem auch auf dem Stromverbrauch an, da das Teil ja 24/7 läuft. Mit einem Stromverbrauch von max. 12 Watt für das Board zuzüglich des Stromverbrauches der verbauten mSATA SSD konnte ich also gut damit leben. Ich habe in diesem Zusammenhang aber schon mal irgendwo gelesen, das der Datendurchsatz für DSL-Anschlüsse unter Verwendung eines APU Boards zwar absolut ausreichend ist, sobald aber höhere Übertragungsraten mittels Glasfaser ins Spiel kommen, gerät das Board wohl ziemlich bald an seine Grenzen. Ich meine mal was von 150 - 200 Mbit/s gelesen zu haben, wo ein APU Board noch ausreicht. Ich leg da meine Hand jetzt aber nicht für ins Feuer und sage das alles nur unter Vorbehalt.

Die nächste Stufe (mit der ich selber auch schon geliebäugelt habe) wäre dann vielleicht so ein IPU System mit Intel CPU. Hier gibt es eine große Bandbreite an Geräten und Herstellern. Ich werfe da mal NRG-Systems in den Raum *klick* woher auch mein APU Board stammt. Interessant find ich hier auch den Benchmark Vergleich, den die dabei anbieten *klick*, wobei bei sowas immer viel Interpretationsspielraum bleibt. Es gibt aber auch vergleichbare Geräte von Hunsn, Kettop, Protectli etc. pfSense bietet unter dem Namen Netgate *klick* auch selber Hardware an.

 

[blurrrr]

Die Sachen von NRG sehen aus wie die Dinger, die man überall auf Alibaba findet (z.B. hier)... Sicher, dass NRG die selbst baut? Scheint mir irgendwie nicht so und auch die 19"-Auswahlen sind recht überschaubar (scheint es bei den Quadcores z.B. auch garnicht zu geben). "IPU" so "scheint" es jedenfalls - ist wohl nicht der ganz korrekte Begriff, da Intel anscheinend etwas anderes darunter versteht (vllt auch erst seit neustem? K.A. Hier bzw hier wird von "IPU" gesprochen, aber in einem völlig anderen Kontext, aber lassen wir die Haarspalterei mal... Scheint irgendwo nur NRG zu sein, die das Ding IPU nennen und kaufen kann man die Dinger auf Amazon irgendwie auch nicht, zumindestens ist es hier egal was ich anklicke, ich sehe auch keine Preise... https://www.amazon.de/NRG-Systems-Firewall-lüfterlos-i3-6006U/dp/B08L6HHZNY/. In solchen Fällen lasse ich dann meist doch eher die Finger von sowas.

Ich persönlich habe privat eine Zotac ZBOX CI329 Pro im Einsatz (lüfterlos, hat zwar nur 2 Ports - reicht mir aber privat völlig (auch bei div. VLAN-IDs)). SSD dazu, RAM dazu, fertig. Kann mich bisher definitiv nicht beschweren, Ding läuft jetzt fast 2 Jahre problemlos durch.

 

[the other]

Moinsen,
afaik baut NRG lediglich das bundle zusammen. Zumindest hinsichtlich der APU Boards wird das Original von PC Engines genommen, dann kommt das ehäuse und das Netzteil dazu, wird hübsch (naja) lackiert und durch NRG vertrieben.
Hier läuft aktuell ein APU2D4 mit AES-NI Unterstützung, 5 GB Speicher und 3 Netzwerkinterfaces. Reicht für mein kleines Heimnetz, den DSL Anschluss und openVPN mit max. 3 Clients dicke aus. Habe aber auch kein IPS, kein pfblockerNG oder andere rechenintensive Dinge installiert...

 

[EOL15]

Sicher, dass NRG die selbst baut?

Absolut nicht! Ich bin bei meiner damaligen Suche nach einem passenden Stück Hardware für die pfSense recht schnell bei NRG-Systems gelandet und habe mir dann dort auch ein APU.2E4 Bundle inkl. mSATA SSD, Gehäuse sowie Netzteil gekauft. Erst später fiel mir auf, das die dort auch IPU Systeme auf Intel Basis anbieten. Wer dabei aber der eigentliche Hersteller von all dieses Systemen ist und ob IPU dabei ein gängiger Name ist, kann ich nicht beantworten und ist mir ehrlich gesagt auch ziemlich egal. Bei meiner weiteren Recherche bezüglich IPU bin ich halt auf weitere Hersteller oder Anbieter wie Hunsn, Kettop, Protectli etc. gestoßen. Hier war i.d.R. das Problem, das bei Bestellung diese direkt aus dem asiatischen Raum geliefert werden und teilweise bis zu 4 Wochen Lieferzeit hatten (… hatten!) Ob sich das zwischenzeitlich geändert hat, müsste ich nachschauen. Von daher… ich vermute mal, das NRG-Systems ein deutscher OEM Vertreiber für das Zeugs ist und die Geräte auch vorrätig hat. Daher kommt man vielleicht schneller auf NRG als auf andere Anbieter. Keine Ahnung. Die Gehäuse als auch die Hardware Komponenten erwecken teilweise den Eindruck, das das alles aus einer Schmiede kommt.

Vergessen…. @blurrrr
Wenn du bei deinem Amazon Link mal oben rechts auf „Alle Angebote“ klickst, dann siehst du den Preis und auch den Anbieter… nämlich NRG-Systems. Von daher habe ich direkt bei denen bestellt und nicht über Amazon.

 

[blurrrr]

Vergessen…. @blurrrr

Ah, siehste mal... Bin ich glatt zu blöde, um Amazon richtig zu bedienen...oha...

Bei meiner weiteren Recherche bezüglich IPU bin ich halt auf weitere Hersteller oder Anbieter wie Hunsn, Kettop, Protectli etc. gestoßen. Hier war i.d.R. das Problem, das bei Bestellung diese direkt aus dem asiatischen Raum geliefert werden und teilweise bis zu 4 Wochen Lieferzeit hatten (… hatten!)

Ja, da gibt es einige, ich persönlich würde da aber auch nur ungern bestellen wollen. Grade diese Gehäuse die NRG dazu packt, kenn ich bisher eigentlich auch nur von diesen noname-Hardware-Kisten, weswegen mich das ein wenig gewundert hat, dass NRG sich da so präsentiert, aber ist vermutlich schon so wie Du sagst (OEM).

Kleiner Nachtrag zum eigentlichen Thema: Es gibt noch einen Hardware-Sizing-Guide von Netgate (die da kommerzielle pfSense-Produkt verscheuern)...: https://docs.netgate.com/pfsense/en/latest/hardware/size.html und als kleine Hilfestellung hier nochmal der Vergleich der Netgate-Kisten: https://info.netgate.com/hubfs/website-assets/netgate-hardware-comparison-doc.pdf (einfach nur, damit man mal Vergleichswerte hat und die Hardware/Zahlen besser einschätzen kann)

 

[tiermutter]

Es gibt noch einen Hardware-Sizing-Guide von Netgate

Als Ergänzung dazu, damit nicht immer nur diese Netgate-Bande genannt wird, gibt es sowas auch von OPNsense mit weiteren Informationen:
https://docs.opnsense.org/manual/hardware.html

 

[EOL15]

Der TE möchte aber eine Hardware Empfehlung für eine pfSense

 

[tiermutter]

Von OPNsense war aber immerhin kurz die Rede... und wenn man schon seine Hardware verbessern möchte, warum nicht auch gleich die Software?

 

[the other]

Moinsen,
ganz salomonisch vertreibt zb varia store die hardware für SOWOHL ALS AUCH (weil es am Ende ja auch doch sehr ähnliche Hardwareanforderungen sind, die die beiden Projekte haben wollen):
https://www.varia-store.com/de/kategorie/156-starterkits-bundles.html
Da fängt es mit einfachen bundles an und kann auch gerne etwas potenter und teurer werden, wird aber idR immer für BEIDE (also opn + pf sense) angeboten.
Der TE wollte ja Ideen für beide Systeme haben (und ich lehne mich mal raus und behaupte: die Software ist am Ende in den Anforderungen so ähnlich, dass es egal ist, welche du später nutzen willst, denn die Hardware wird eher durch die Pakete und den Einsatzbereich definiert)...
Und jetzt Schluss hier mit dem "er hat OPN/Netgate gesagt"-"STEINIGT IHN" / "Judäische Volksfront vs. Volksfront von Judäa" Geplenkel, ist ja schlimmer als beim Leben des Brian...
ps: "Weibsvolk anwesend?"

 

[EOL15]

Weibsvolk anwesend?

Mit tiefer Stimme antwortend *räusper*… nöin. Nöin, nöin!

Mir ist eh wurscht, wer welche Software einsetzt, zumal ich mir aus Ermangelung an Erfahrung, eh keinerlei Urteil bilden kann und selbst wenn… dann wäre es halt meine Meinung. Nicht mehr und nicht weniger. Auch wollte ich @tiermutter nur kurz piesacken, um unsere grade aufblühende Beziehung weiter zu festigen. Ich denke nämlich, er mag sowas. Das du natürlich nicht nur die Thread-Überschrift, sondern auch den Text darunter gelesen hast, bringt mich jetzt etwas in Verlegenheit und in Erklärungsnöte. Da steht ja tatsächlich was von pfSense/OPNsense. Shit. Bin schon wieder drauf reingefallen. Kacke. Kacke. Kacke.

 

[the other]

MUHAHAHAHA!

 

[the other]

Tja, neuer Accountname wird wohl fällig: Lord FingersFasterThanEyes/Brains? Dann nummerieren wir einfach durch, denn DAS passiert ja nunmal nicht nur dir...

 

[tiermutter]

@huwawa ich wollte doch nur ein bisschen zurückstänkern um unsere Beziehung zu festigen... Aber dieser Andere hat wohl etwas dagegen

 

[the other]

Moinsen,
hupsie, das wollte ich aber nicht, das junge Glück zu stören. Also, Waldorf und Statler, einfach weitermachen...ich hol mir mein Popcorn...

 

[WildGuy]

Hm... an diesen APU-Dingern ist aber anscheinend irgendwie gar kein Anschluss für einen Monitor... wie installiert man denn dann das System darauf? Über einen anderen Rechner installieren und dann umbauen? Kann doch irgendwie auch nicht richtig sein (schon aufgrund der unterschiedlichen Zuordnungen der Ports in der pfSense)?

 

[EOL15]

Wenn du dort z.B. mal bei Google APU pfSense Installation eingibst, erhältst mit etwas Glück teils sehr gute Anleitungen, wie das funktioniert.

 

[tiermutter]

Der TE möchte die Antwort aber gerne von uns haben, da wir das einfach sehr gut können

Wenn das Board eine Serielle Schnittstelle / COM-Port hat, geht das darüber, so als würde man mit dem CLI via SSH verbunden sein.
Das Bedarf dann natürlich einem Rechner mit Serieller Schnittstelle oder einen entsprechenden USB-Adapter (leider ist das Produkt, das ich empfehlen würde momentan nicht verfügbar), wie diesem: https://www.amazon.de/CableCreation...jbGlja1JlZGlyZWN0JmRvTm90TG9nQ2xpY2s9dHJ1ZQ==

Die alten Adapter von (direkt) Prolific mag ich nicht mehr, da habe ich immer Probleme mit den Treibern sei Windows 10.

 

[EOL15]

Der TE möchte die Antwort aber gerne von uns haben, da wir das einfach sehr gut können

Dann sollten wir dem TE aber noch mit auf dem Weg geben, das deine verlinkten USB-Kabel einen Stecker, also männlichen Seriellen Anschluss aufweisen. Das ist aber blöd, da - zumindest mein APU Board - ebenfalls über einen Stecker verfügt. Man benötigt aber eine Buche (also weiblichen Anschluss), oder einen Adapter Buchse/Buchse wie z.B. diesen hier

Und ja. Ich hab das deshalb so gut in Erinnerung, weil mit genau das passiert ist. Da denkst du -Toll- alles da, kannst loslegen und dann scheitert die Installation an einem blöden Stecker.