Was bringt mir ein VLAN vs DHCP Subnetze und DNS

[blurrrr]

Wieso VMs und Storage nicht im selben VLAN?

Die VMs sollen den Storage garnicht erst sehen sollen, da liegen die virtuellen Platten der VMs drauf. Ansonsten könnte man ggf. von der VM aus auf den Storage zugreifen (wo auch die anderen Images liegen). Wenn der Storage auch nicht von den normalen Clients erreichbar sein sollen, kommen Hypervisor (LAN1) und Storage z.B. in ein extra Netz (VLAN30)

 

[wario]

Die VMs sollen den Storage garnicht erst sehen sollen, da liegen die virtuellen Platten der VMs drauf. Ansonsten könnte man ggf. von der VM aus auf den Storage zugreifen (wo auch die anderen Images liegen). Wenn der Storage auch nicht von den normalen Clients erreichbar sein sollen, kommen Hypervisor (LAN1) und Storage z.B. in ein extra Netz (VLAN30)

okay super, damit kann ich arbeiten Wie schnell muss den so eine Firewall sein, bzw welche Anzahl Kerne sollte sie haben damit sie in nem Gbit Netzwerk nicht zum Flaschenhals wird? Ich hab nen mini pc konfiguiert für 350@ mit aktuellem AMD 6 Kerner, 8gb RAM und ner 128iger SSD
reicht das oder ist das sogar totaller Overkill?

 

[the other]

Moinsen, Du solltest darauf achten, dass auch die NICs kompatibel sind, zb keine realtek NICs nehmen, sondern zu Intel greifen.
Schau dir dazu mit ner Google Suche mal die Kompatibilitätslisten an.
Von der power her sollte dein minipc reichen, denke ich mal.
Frage ist ja auch wie schnell du dein gbit Internet aus dem Router heraus und zur pfsense hinbekommst.

 

[wario]

heisst also der intigrierte Realtek netzwerk adapter des gigabyte boards dass ich ausgewählt habe garnicht funktioniert?
Ja dann gibts es halt ne Intel Netzwerkadapter dazu.
Hab die Liste gefunden:
https://www.freebsd.org/releases/13.1R/hardware/

Frage ist ja auch wie schnell du dein gbit Internet aus dem Router heraus und zur pfsense hinbekommst.

wie darf ich das verstehen? der miniPC mit pfsense/opensense wird ziemlich direkt am Router angeschlossen, danach über ein 20m LAN kabel ins andere Zimmer wie der Server steht in ein Switch rein und von dort aus an den Hypervisor
Sollte keine Probleme geben oder?

 

[the other]

Moinsen,
Ich meinte damit:
Du bekommst 1 gbit vom ISP. Du willst intern auf 10 gbit gehen. Benötigst du intern wirklich diese Geschwindigkeit?

 

[wario]

Moinsen,
Ich meinte damit:
Du bekommst 1 gbit vom ISP. Du willst intern auf 10 gbit gehen. Benötigst du intern wirklich diese Geschwindigkeit?

wahrscheinlich nicht, ich lass es erstma bei 1gbit, muss erstma klein anfangen, wird sonst zu teuer.

Ich habe hier laut der Liste nen Intel i350 der kompatible sein sollte. Hab hier nen i350 t4 (4 ports)
ist sowas auch kompatibel oder geht das nicht?

https://www.ricardo.ch/de/a/intel-ethernet-server-adapter-1350-t4-1197727924/

 

[the other]

Moinsen, für solche Einzelheiten immer besser auf die Listen schauen.sowas merke ich mir niemals nicht...

 

[wario]

Moinsen, für solche Einzelheiten immer besser auf die Listen schauen.sowas merke ich mir niemals nicht...

hab ja oben gschrieben der Intel i350 ist auf der Liste, ich hab hier nen i350-t4 heisst also der t4 würde nicht funktionieren?

 

[the other]

Moinsen,
Keine Ahnung.Hab ich nie ausprobiert. Wenn du das Gerät eh da hast, dann installier eben in Ruhe mal pfsense...wirst dann ja sehen, ob es Stress gibt. Wenn nicht, umso besser...
Angesichts der derzeitigen stromkosten kannst du bei 1 gbit lan natürlich auch was abgespeckteres nehmen.4 gb RAM reichen, 3 nics reichen, wenn du nur die normalen vlan, vpn, Firewall, werbeblocker Dienste nutzt, dann reicht ein apu board auch, kostet etwa 250 Euro und ist recht sparsam.

 

[wario]

nein hab es nicht da darum frage ich ja hab n bericht im netz gefunden der sagt dass die t4 genauso funktioniert wie die normale i350

 

[blurrrr]

Kommt darauf an, was Du darauf laufen lassen willst und welche Durchsätze Du dabei haben willst. Für reines "Routing" reichen sehr viele Dinge schon aus. bei 10GBit via VPN kommt es nochmal auf die Verschlüsselung an, aber sowas braucht schon etwas mehr wums. Dazu gesellen sich dann noch anderweitige Dienste, welche ggf. auch auf die Performance der Firewall drücken (IDS/IPS/Mail-Gateway/Proxy/usw.). Muss man allerdings auch erstmal alles verstehen, also vielleicht initial erstmal die Finger von lassen, ein "kleines" Gerät nehmen, Hypervisor und Storage kommen in ein eigenes Netz, die beiden könntest Du auch ggf. "direkt" via 10G verbinden (dann muss die Firewall das auch nicht können) und jut ist.

EDIT: T1,T2,T4 ist die Anzahl der "Ports", das hat mit dem "i350" ("Chipsatz") nix zu tun. Funktioniert eine i350-T1, kannst Du zu 99,99% davon ausgehen, dass eine i350-T4 auch funktionieren wird

 

[wario]

Kommt darauf an, was Du darauf laufen lassen willst und welche Durchsätze Du dabei haben willst. Für reines "Routing" reichen sehr viele Dinge schon aus. bei 10GBit via VPN kommt es nochmal auf die Verschlüsselung an, aber sowas braucht schon etwas mehr wums. Dazu gesellen sich dann noch anderweitige Dienste, welche ggf. auch auf die Performance der Firewall drücken (IDS/IPS/Mail-Gateway/Proxy/usw.). Muss man allerdings auch erstmal alles verstehen, also vielleicht initial erstmal die Finger von lassen, ein "kleines" Gerät nehmen, Hypervisor und Storage kommen in ein eigenes Netz, die beiden könntest Du auch ggf. "direkt" via 10G verbinden (dann muss die Firewall das auch nicht können) und jut ist.

ich dacht halt ich bau mir liebr so nen itx pc auf in nem kleinen Gehäuse, da bekommen ich halt deutlich potentere Hardware für das Geld die dann auch noch bei Upgrades der Leitung in zukunft auch nicht gleich ausgewechselt werden muss.

https://www.amazon.de/HSIPC-Firewal...zLjM3IiwicXNhIjoiMC4wMCIsInFzcCI6IjAuMDAifQ==
100 Piepen mehr und ich bekomm dafür nen ordentliche 6C APU (AMD 5700G mit 8g RAM) im eigenbau.

reicht sowas auch? Die Firewall soll erstma nur das Netz schützen, vlan routen können und evt nen einzelnen VPN Zugang ermöglichen damit ich von ausserhalb Zugriff habe. Mehr nicht. Ich weiss nicht was sowas alles können muss. Ich will erstma nur nextcoud auf der VM und damit Zugang unserer User ermöglichen, der Mailserver und Webserver läuft auf ner VM, Storage ist halt die Syno und bleibt erstma alles auf 1Gbit Intern. vom ISP hab ich ha momentan eh nur 1gbit down und 100mb up.
Ich hab ich noch nicht gross mit den Funktionen der Firewall auseinander setzen können, und weiss nicht was es da alles so gibt bzw was Leistung frist. das kommt dann alles beim basteln

EDIT: T1,T2,T4 ist die Anzahl der "Ports", das hat mit dem "i350" ("Chipsatz") nix zu tun. Funktioniert eine i350-T1, kannst Du zu 99,99% davon ausgehen, dass eine i350-T4 auch funktionieren wird

Das T4 für die Anzahl Ports steht war mir auch bewusst, dacht halt dass es doch wieder spezielle treiber braucht um die 4 Ports dann auch alle zu erkennen. Heisst also wenn der Chipsatz xxx unterstützt wird, die Portanzahl keine Rolle spielt, das wollte ich wissen

 

[blurrrr]

Also die meisten werden halt irgendwas kleines haben... Ich bin die Tage halt nochmal über so eine kleine Kiste gestolpert, fand ich jetzt auf dem Papier nicht schlecht mit 4x2,5Gbit-Anschlüssen (ich persönlich halte da garnix von, sondern würde eher direkt auf 10Gbit gehen, aber die Hersteller machen es den Leuten ja vor... Router 2,5Gbit, NAS 2,5Gbit, usw.). Davon gibts haufenweise bei Amazon mit 1Gbit-Support, war halt die erste mit 2,5Gbit die ich gesehen hab... Die meisten nutzen aber wohl - wie @the other schon erwähnte - so eine APU-Geschichte, ich persönlich hab auch einfach zum "Mini-Rechner" gegriffen (Zotac ZBox CI329 Nano). hat auch auch nur 2 LAN-Ports (für mich einfach WAN + LAN), wobei beidseitig (sowohl WAN- als auch LAN-seitig) noch jeweils VLANs zum Einsatz kommen.

Ist aber auch wirklich nur zur Trennung der Netze... Performance brauch ich da weder unter den Netzen noch in Richtung Internet (1. Router 100Mbit, 2. Router 10Mbit) und zwischen meinen Netzen gibt es nirgendwo die Anforderung wirklich Gbit zu bringen, wüsste auch nicht wofür....

Bei Dir sieht das mitunter schon wieder ein bisschen anders aus, zumindestens was die Geschwindigkeit Hypervisor <-> Storage angeht und ggf. auch Client <-> Storage (Upload ISOs/Images), kann man aber ggf. auch direkt vom Storage herunterladen. Musste halt mal schauen.. 10Gbit für Hypervisor/Storage kannst Du ggf. auch via direkter Verbindung lösen (dann hast Du Dir erstmal den 10Gbit-Switch gespart).

EDIT: Stromverbrauch ist natürlich auch irgendwo eine Sache, denn a) billiger wird's nicht und b) läuft so eine Firewall auch 24/7. Aber solange Deine CPU nicht mit 125W durch die Gegend ballert, sollte das schon passen

 

[the other]

Moinsen,

Die Firewall soll erstma nur das Netz schützen, vlan routen können und evt nen einzelnen VPN Zugang ermöglichen damit ich von ausserhalb Zugriff habe. Mehr nicht.

Das ist dann absolut ausreichend (bei intern 1 Gbit LAN). Wie gesagt, kannst auch ein downsizing betreiben. Die wirklich rechenintensiven Dinge sind eben IPS/IDS mit snort und securitata und so...
Wenn du aber das Geld hast, klar, kannst dir auch einen dickeren Brocken dahinstellen...

 

[wario]

Also die meisten werden halt irgendwas kleines haben... Ich bin die Tage halt nochmal über so eine kleine Kiste gestolpert

genau den Klotz hab ich dir ja oben auch verlinkt

, fand ich jetzt auf dem Papier nicht schlecht mit 4x2,5Gbit-Anschlüssen (ich persönlich halte da garnix von, sondern würde eher direkt auf 10Gbit gehen, aber die Hersteller machen es den Leuten ja vor... Router 2,5Gbit, NAS 2,5Gbit, usw.). Davon gibts haufenweise bei Amazon mit 1Gbit-Support, war halt die erste mit 2,5Gbit die ich gesehen hab... Die meisten nutzen aber wohl - wie @the other schon erwähnte - so eine APU-Geschichte, ich persönlich hab auch einfach zum "Mini-Rechner" gegriffen (Zotac ZBox CI329 Nano). hat auch auch nur 2 LAN-Ports (für mich einfach WAN + LAN), wobei beidseitig (sowohl WAN- als auch LAN-seitig) noch jeweils VLANs zum Einsatz kommen.

ja die specs sind erstma nicht schlecht hab den auch mal auf der Seitenlinie

Bei Dir sieht das mitunter schon wieder ein bisschen anders aus, zumindestens was die Geschwindigkeit Hypervisor <-> Storage angeht und ggf. auch Client <-> Storage (Upload ISOs/Images), kann man aber ggf. auch direkt vom Storage herunterladen. Musste halt mal schauen.. 10Gbit für Hypervisor/Storage kannst Du ggf. auch via direkter Verbindung lösen (dann hast Du Dir erstmal den 10Gbit-Switch gespart).

ich glaube 10gbit wird erstma auf die seite gelegt, zumal die DS920 das erstma garnicht kann. Sobald ich sehe dass es doch mehr user werden, kann ich immer noch übere eine grössere DS nachdenken, aber eben da stellt sich dann wieder die frage mit der ISP Anbindung..
Ich könnte noch nen 2ten Provider aufschalten. aber der kann in der Bude hier nur 300mbit down und 100up

Wie schaut dass aus mit direkt von der Storage runterladen? Wenn ich ne nextcloud vm für die user habe, läuft dass ja zwangsweise über den Hypervisor? die können dann ja nicht direkt von der storage runterladen, falls ich was falsch verstanden habe, tuts mir leid.
Ich selber werd dann vermutlich ne eigenen DS benutzen für meinen persönliche Kram ausserhalb der VM und der Storage

Moinsen,

Das ist dann absolut ausreichend (bei intern 1 Gbit LAN). Wie gesagt, kannst auch ein downsizing betreiben. Die wirklich rechenintensiven Dinge sind eben IPS/IDS mit snort und securitata und so...
Wenn du aber das Geld hast, klar, kannst dir auch einen dickeren Brocken dahinstellen...

Wie rechenintensiv ist den z.B IPS? Eigentlich möchte ich dass dann auch nutzen wenn es möglich ist. Ich möchte wirklich nicht dass mein vorhaben wegen sowas dann in die Brüche geht, deshalb gebe ich mir auch deutlich mehr Vorbereitungszeit. Wenn es ein jahr und länger geht um das alles zu lernen ists halt so. Und wenns mehr kostet dann soll es so sein.

naja der dicke brocken kostet halt nur 120 euro mehr dafür ist der auch ca 3x 4x so schnell.. (amd 5600g vs celeron j4125)

 

[the other]

Moinsen,
also ich lehne mich mal recht weit aus dem Fenster und behaupte:
du solltest dir erstmal gründlich die basics zu VLAN, VPN, Firewall usw aneignen, das Ding rund zum Laufen bringen und schauen, was du so damit machst.
Intrusion Detection und Prevention sind dann wieder ne Wissenschaft für sich und du belastest damit ein System doch ziemlich...und wenn du den Nutzen dahinter nicht brauchst (und auch nix mit den gewonnenen Daten anfangen kannst /willst), dann würd ich da stumpf ne Kurve drum machen. Oder anders gesagt: wenn dir die Begriffe nix sagen, ist das IMHO nicht schlimm, aber dann benötigst du die auch nicht zwingend auf deinem System.
So, fertig mit ausm Fenster lehnen (und bisher nicht gestürzt).

 

[wario]

Moinsen,
also ich lehne mich mal recht weit aus dem Fenster und behaupte:
du solltest dir erstmal gründlich die basics zu VLAN, VPN, Firewall usw aneignen, das Ding rund zum Laufen bringen und schauen, was du so damit machst.
Intrusion Detection und Prevention sind dann wieder ne Wissenschaft für sich und du belastest damit ein System doch ziemlich...und wenn du den Nutzen dahinter nicht brauchst (und auch nix mit den gewonnenen Daten anfangen kannst /willst), dann würd ich da stumpf ne Kurve drum machen. Oder anders gesagt: wenn dir die Begriffe nix sagen, ist das IMHO nicht schlimm, aber dann benötigst du die auch nicht zwingend auf deinem System.
So, fertig mit ausm Fenster lehnen (und bisher nicht gestürzt).

du hast vollkommen recht, ich hab noch kaum Plan von, nur hab ich irgendwie den Anspruch dass ich es von Anfang an richtig machen will, und mir auch nicht 2mal neue Hw kaufen möchte falls es dann doch Sinnvoll ist. Ich will einfach nicht dass mein Unternehmen scheitert weil einer sich ohne Probleme Zugang zu meinem Netz erhascht hat, nur weil ich eben IPS und sowas nicht implementiert habe. Es muss ja auch nicht von anfang an mitlaufen.. das wird es sowieso nicht, aufgrund fehlender Kenntnisse.
Ich denk halt immer, wer billig kauft, kauft 2x und möchte für die Zukunft gut aufgestellt sein.

 

[blurrrr]

ich glaube 10gbit wird erstma auf die seite gelegt

Die wären auch nur dazu da, den Storage entsprechend an den Hypevisor anzubinden. Ohne 10G kannst Du als Backend-Storage auch einfach nur z.B. Raid1 nutzen, denn über 110MB/s wirst Du da sowieso nicht kommen (1Gbit-Anbindung halt). Alternativ lässt Du den Storage für den Hypervisor "lokal" auf dem Hypervisor. Was auch gern gemacht wird: Trennen. VM-OS-Storage = SSD (z.B. lokal auf dem Hypervisor) + Filestorage = HDD. Kannst Du machen wie Du lustig bist

naja der dicke brocken kostet halt nur 120 euro mehr

Falsch... der wird "einmalig" weniger kosten, das ist richtig, liegt aber bei 65W und(!) hat als Basis-Takt 3.8GHz, was auch nicht grade stromsparend ist, denn das heisst "langsam" (selbst wenn er wollte), kann er garnicht. Der Intel liegt bei 10W und hat einen Basis-Takt von 2Ghz. Ist halt wie Frage was Du willst. Heisst die AMD-CPU wird langfristig wesentlich mehr Kosten verursachen als die Intel-CPU, aber sei's drum. Wenn Du dann die AMD-CPU hast und merkst, dass das Ding "nichts" zu tun hat, ist so eine nicht-stromsparende-CPU dann ggf. auch schon ein bisschen frustrierend Alternativ - das ist natürlich auch wieder alles andere als stromsparend - Eigenbau. Das wird aber auch relativ teuer, denn Gehäuse, Board (mit oder ohne CPU), (gg. CPU,), RAM, SSD, ggf. noch Netzteil (sofern nicht beim Gehäuse dabei... intern oder pico), da sammelt sich auch einiges... Bei 19" spielt dann ggf. noch die Lautstärke eine Rolle (bzgl. der 40mm-Lüfter + ggf. Radial-Lüfter auf der CPU), usw.

Alles in allem schliesse ich mich aber auch @the other an... Das macht hier so den Eindruck á la "Ich will alles und das sofort!", nur wirst Du damit nicht wirklich ein paar Meter weit kommen und das ganze dürfte "ziemlich" frustrierend werden. Wenn Du zum aktuellen Stand keinerlei Ahnung bzgl. solcher Dinge hast, schieb IDS/IPS/WAF mal ruhig "mindestens" noch 1 Jahr vor Dir her... Es gibt definitiv noch mehr genug zu lernen (vor solchen Themen)

Ich will einfach nicht dass mein Unternehmen scheitert

Also doch gewerblich?!

Ich denk halt immer, wer billig kauft, kauft 2x und möchte für die Zukunft gut aufgestellt sein.

Du wirst sowieso 2x (oder noch mehrfach) kaufen, find Dich einfach damit ab, das ist einfach so. Alternativ kann ich Dir auch eine Enterprise-Firewall verkaufen, kostet einen Haufen Geld (nur für 1 Jahr, sind ja noch Lizenzen dabei ), so wirklich "anfangen" kannst Du damit eh nix (weil Du halt noch keine Ahnung hast) und alles... oder halt, warte, ich hab's.... Womit hast Du Auto fahren gelernt? Mit so einem typischen "Golf", oder mit einem Ferrari? Falls jetzt der Spruch kommt: "Konnte ich mir ja nicht aussuchen, wurde von der Fahrschule gestellt...", kein Thema: dann bauen wir die Frage einfach um: "Was war Dein erstes Auto? Ein gebrauchtes zum lernen, oder direkt der nagelneue Ferrari?". Du siehst schon, in welche Richtung das läuft...

Und ein ganz wesentlicher Punkt (bei JEGLICHER Hardwareauswahl)... Lern erstmal Deine eigenen Anforderungen bzw. auch das Verhalten/das Wachstum Deiner eigenen Umgebung kennen. Mach erstmal "klein", lern erstmal ordentlich und "irgendwann" (vllt auch nie, weil Du vorher alles hinschmeisst ) kommst Du an den Punkt, wo Du "weisst" was Du "brauchst" (und nicht "gern hättest"). Das ist wesentlich zielführender, als wenn Du Dir "jetzt" den g**len heissen Schei** kaufst und in 10 Jahren mal soweit bist, dass Du damit auch "wirklich" was anfangen könntest... nutzt dann auch nix mehr, weil der Kram völlig veraltet ist und neue Hardware um Welten besser ist (und dann kaufst Du sowieso wieder neu ).

Also für den "Anfang" kauf erstmal "günstig", Du wirst sowieso nochmal in die Tasche greifen müssen. Lieber jetzt ein "bisschen" was investieren, Anforderungen kennenlernen und dann weisst Du mitunter schon sehr genau in welche Richtung es gehen soll/muss. Alternativ kannst Du natürlich auch direkt fast 1000€ auf den Tisch legen und Dir so ein Ding wie @Barungar kaufen, er ist damit - bis jetzt - jedenfalls anscheinend nicht unglücklich

EDIT: Spätestens, wenn Dein Kram zu mir ins Rechenzentrum wandert, musst Du sowieso auf 19"-Hardware umstellen

 

[the other]

Moinsen,
mal zum (hinkenden) Vergleich:
ich habe wie ja schon geschrieben einen ähnlichen Ansatz...kein beruflicher Hintergrund, keine berufliche Aus- oder Vorbildung zu IT, alles so mit der Zeit angelesen.
Pfsense auf einem einfachen APU board seit hm, ca. 3 Jahren am Laufen. Ich vermisse bisher Hardwaremäßig...nix. Gar nix.
Es laufen einige VLANs, DNS, DHCP, diverse Firewallregeln mit Aliasen, openVPN, FreeRADIUS, pfblockerNG mit ca. 30 Filterlisten...und die RAM Auslastung der vorhanden 4 GB liegt durchschnittlich bei 27%, CPU Auslastung ebenfalls im grünen Bereich. Es gab hier noch nie den Fall, dass die Hardware an ihre Grenzen kam durch meine Anforderungen.

Da ich auch noch ein Leben neben dem Hobby IT habe, mache ich hier kein IPS/IDS...das muss dann wieder ausgewertet werden, das muss dann wieder in Kontext gebracht werden...ansonsten generiert sowas lustige Zahlen, Daten Fakten, die isoliert ohne nötige Interpretation erstmal alles und nix bedeuten können.

Die Spielwiesen VLAN, Routing, VPN, IPv4 und v6 reichen mir persönlich nach wie vor aus.

Das Thema Strom bzw. wie effizient deine Hardware Lösung ist, hatte ich ja auch schon angesprochen: klar kannste dir auch ein Monster mit 16 GB und 10 Gbit und 16 Kernen in den Keller stellen (spart dann auch Heizung) für ein wenig Heimnetzwerkgefriemel...
Ich hab früher auch immer gedacht: kaufste gleich 2 Nummern größer, reicht...tja, wenn das Ding dann genau 2 Wochen nach dem Ende der Garantie abraucht, kaufste eh wieder neu. Von daher bin ich da voll bei @blurrrr ... vielleicht entscheidest du nach 8 Wochen auch, dass du den ganzen Kram weder brauchst noch willst...

 

[blurrrr]

Da ich auch noch ein Leben neben dem Hobby IT habe...

Bitte?!?! Ne ne ne... das kann SO schon mal garnicht sein, abseits der IT gibt es einfach "nichts", gab es nie und wird es auch nie geben(!). Hör mal auf an solche Märchen zu glauben, Du Fantast, aus dem Alter solltest Du schon längst rausgewachsen sein!