Tee-se-itse: Rautapalomuurit (pfSense, Sophos UTM..) (Mitä käytätte ja miksi juuri se vaihtoehto?)

[DaMan]

Testaan nyt itsekin enemmän tuota pfSenseä luunapissa. Tuotantokäytössä vielä täysillä varmaan ainakin toistaiseksi tuo SophosUTM mutta muutamana iltana viritellyt tuota pfSenseä. Tällä hetkellä kohtuullisesti viritettynä pakettina pf243+ntopng+snort. Erityisesti tuo ntopng on mielenkiintoinen liikenteen analytiikan kannalta. Ainoastaan johdon raportointi taitaa puuttua. Tai en ainakaan sellaista löytänyt ilmaisversiosta. Mitenhän ntopng:n saisi jotenkin ähellettyä Sophosen rinnalle?

pfSensenssä on niin järjetön väärä valikoita ja namiskuukkeleita että ei varmaan kaikki vaihtoehtoja tullut kokeiltua. Ei edes suurinta osaa. Onhan se niin että muuri on pystyssä ulkoapäin kaikilta osin ennenkuin antaa luvan jollekin? Eli joka jeppe menee passintarkastukseen ellei anna erikseen VIP-oikeuksia tai päästä keittiön kautta? Ei jaksanut virittää mitään skanneria ulkoverkon puolelle tarkistamaan onko muuri vedenpitävä. Mutta toimii ja on jopa yllättävän nopea vaikka kaikki protokollatarkistukset on secure-tasolla käytössä. Prossukuorma heittelee siinä 10% kulmilla ja muistiakaan ei ole käytössä kun 13% annetusta määrästä.

Pitäisi varmaa vielä viritellä tuo Squid ja ClamAV niin alkaa olla kohtuullinen paketti kasassa, vai onko? Puuttuuko jotain olellista?

Mikähän näistä palikoista kävisi tuohon mainosten ja muun http/s-töhnän poistoon verkkotasolla parhaiten (vrt. Pi-Hole)? Ja miten saisi parhaiten pop3 (w+w/o SSL) virus-/roskapostiskannerin hyvälaatuisella, tuoreella ja tarkalla skannerikirjastolla?

Todella mukava kun voi melkein "lennosta" vaihtaa Sophoksen ja pfSensen välillä. Molemmat on Qnapion virtuaalikytkimessä virtuaalikoneissa. Vaihto kestää luokkaa 10 sekuntia kun toinen on aina pausella ja toinen ajossa.

 

[escalibur]

CloudFiren uusi DNS 1.1.1.1 ja pfSense:

DNS over TLS for 1.1.1.1 • r/PFSENSE

Issue with pfBlockerNG DNSBL and Cloudflare's 1.1.1.1 DNS Resolver • r/PFSENSE

 

[user9999]

CloudFiren uusi DNS 1.1.1.1 ja pfSense:

DNS over TLS for 1.1.1.1 • r/PFSENSE

Issue with pfBlockerNG DNSBL and Cloudflare's 1.1.1.1 DNS Resolver • r/PFSENSE

DNS over TLS with pfSense

 

[Vauhtimursu]

Pakko kysästä, koitin läppäriin asentaa pfsenssiä ja tutustua tähän hieman ennenkuin teen suurempia ostopäätöksiä. Asentelin tuohon läppäriin tosiaan ja se kyseli wania lania ym kunnes tuli 16kpl kohta eteen. Pitääkö siinä suorittaa mitä ? Vai alkaako paketti olemaan sitte kasassa ja jos kaikki olis niinkuin pitää niin toisella koneella pitäis saada yhteys 192.168.1.1 osotteella ? Vai tuleeko sen 16 valintakohdan jälkeen vielä jotain ?

Tarvin sen 2kpl rj-45:sta , toinen tulee modeemista , ja toiseen laitan kytkimestä jolloinka kaikki liikenne kulkis muurin läpi ? Nythän läppärissä nyt ei oo kuin tuo 1 kpl rj45 , homma kaatui siihen aika nopeesti jos oon vähääkään kärryillä siitä mitä pitää tehdä. Ei taida läppäristä saada toimivaa peliä tähän tarkotukseen , mutta kyselen nyt hieman typeriä tosiaan ennenkuin teen näitä ostopäätöksiä. Jos jaksasitte hieman kertoa mitä tuossa on vielä odotettavissa ?

Kiitos.

 

[escalibur]

Konffasin 1.1.1.1 ja 1.0.0.1 primääriksi ja tässä on testituloksia omalla liittymällä (nopeimmasta hitaimpaan):

Spoileri

Final benchmark results, sorted by nameserver performance:
(average cached name retrieval speed, fastest to slowest)

1. 1. 1. 1 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,001 | 0,001 | 0,002 | 0,000 | 100,0 |
- Uncached Name | 0,002 | 0,056 | 0,288 | 0,073 | 100,0 |
- DotCom Lookup | 0,014 | 0,055 | 0,146 | 0,049 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
1dot1dot1dot1.cloudflare-dns.com
MEGAPATH2-US - MegaPath Networks Inc., US


1. 0. 0. 1 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,001 | 0,001 | 0,002 | 0,000 | 100,0 |
- Uncached Name | 0,002 | 0,071 | 0,440 | 0,101 | 100,0 |
- DotCom Lookup | 0,010 | 0,032 | 0,153 | 0,041 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
1dot1dot1dot1.cloudflare-dns.com
CLOUDFLARENET - Cloudflare, Inc., US


62.241.198.245 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,001 | 0,001 | 0,002 | 0,000 | 100,0 |
- Uncached Name | 0,003 | 0,083 | 0,323 | 0,098 | 100,0 |
- DotCom Lookup | 0,010 | 0,010 | 0,010 | 0,000 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
resolver1.dnaip.fi
DNA, FI


62.241.198.246 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,001 | 0,002 | 0,002 | 0,000 | 100,0 |
- Uncached Name | 0,004 | 0,083 | 0,297 | 0,084 | 100,0 |
- DotCom Lookup | 0,010 | 0,014 | 0,037 | 0,008 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
resolver2.dnaip.fi
DNA, FI


8. 8. 4. 4 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,011 | 0,011 | 0,011 | 0,000 | 100,0 |
- Uncached Name | 0,022 | 0,084 | 0,357 | 0,079 | 100,0 |
- DotCom Lookup | 0,031 | 0,040 | 0,061 | 0,011 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
google-public-dns-b.google.com
GOOGLE - Google LLC, US


8. 8. 8. 8 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
+ Cached Name | 0,011 | 0,011 | 0,011 | 0,000 | 100,0 |
+ Uncached Name | 0,021 | 0,087 | 0,372 | 0,086 | 100,0 |
+ DotCom Lookup | 0,031 | 0,043 | 0,062 | 0,012 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
google-public-dns-a.google.com
GOOGLE - Google LLC, US


64. 6. 64. 6 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,011 | 0,013 | 0,018 | 0,001 | 100,0 |
- Uncached Name | 0,013 | 0,115 | 0,380 | 0,105 | 100,0 |
- DotCom Lookup | 0,012 | 0,015 | 0,021 | 0,003 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
recpubns1.nstld.net
VGRS-AC19 - VeriSign Global Registry Services, US


89.233. 43. 71 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,019 | 0,019 | 0,020 | 0,000 | 100,0 |
- Uncached Name | 0,023 | 0,071 | 0,278 | 0,062 | 100,0 |
- DotCom Lookup | 0,034 | 0,047 | 0,307 | 0,041 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
unicast.censurfridns.dk
WEBPARTNER WEBPARTNER A/S is a Danish Internet Service Pr


77. 88. 8. 8 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,019 | 0,019 | 0,019 | 0,000 | 100,0 |
- Uncached Name | 0,021 | 0,117 | 0,363 | 0,088 | 100,0 |
- DotCom Lookup | 0,027 | 0,055 | 0,130 | 0,013 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
dns.yandex.ru
YANDEX, RU


77. 88. 8. 88 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,019 | 0,019 | 0,019 | 0,000 | 100,0 |
- Uncached Name | 0,023 | 0,125 | 0,332 | 0,086 | 100,0 |
- DotCom Lookup | 0,027 | 0,072 | 0,174 | 0,047 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
safe.dns.yandex.ru
YANDEX, RU


77. 88. 8. 2 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,019 | 0,019 | 0,019 | 0,000 | 100,0 |
- Uncached Name | 0,023 | 0,130 | 0,355 | 0,097 | 100,0 |
- DotCom Lookup | 0,027 | 0,062 | 0,146 | 0,036 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
secondary.safe.dns.yandex.ru
YANDEX, RU


77. 88. 8. 7 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,019 | 0,019 | 0,019 | 0,000 | 100,0 |
- Uncached Name | 0,022 | 0,131 | 0,413 | 0,104 | 100,0 |
- DotCom Lookup | 0,027 | 0,067 | 0,145 | 0,033 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
family.dns.yandex.ru
YANDEX, RU


77. 88. 8. 1 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,019 | 0,019 | 0,020 | 0,000 | 100,0 |
- Uncached Name | 0,029 | 0,136 | 0,414 | 0,110 | 100,0 |
- DotCom Lookup | 0,028 | 0,054 | 0,066 | 0,007 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
secondary.dns.yandex.ru
YANDEX, RU


77. 88. 8. 3 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,019 | 0,019 | 0,019 | 0,000 | 100,0 |
- Uncached Name | 0,030 | 0,139 | 0,435 | 0,110 | 100,0 |
- DotCom Lookup | 0,027 | 0,063 | 0,174 | 0,031 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
secondary.family.dns.yandex.ru
YANDEX, RU


91.239.100.100 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,026 | 0,026 | 0,027 | 0,000 | 100,0 |
- Uncached Name | 0,028 | 0,109 | 0,379 | 0,099 | 100,0 |
- DotCom Lookup | 0,039 | 0,061 | 0,387 | 0,071 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
anycast.censurfridns.dk
UNCENSOREDDNS-AS, DK


9. 9. 9. 10 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,032 | 0,032 | 0,032 | 0,000 | 100,0 |
- Uncached Name | 0,033 | 0,086 | 0,303 | 0,079 | 100,0 |
- DotCom Lookup | 0,033 | 0,053 | 0,142 | 0,037 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
dns-nosec.quad9.net
QUAD9-AS-1 - Quad9, US


9. 9. 9. 9 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,032 | 0,033 | 0,033 | 0,000 | 100,0 |
- Uncached Name | 0,034 | 0,084 | 0,360 | 0,082 | 100,0 |
- DotCom Lookup | 0,033 | 0,038 | 0,041 | 0,002 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
dns.quad9.net
QUAD9-AS-1 - Quad9, US


84.200. 69. 80 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,033 | 0,034 | 0,034 | 0,000 | 100,0 |
- Uncached Name | 0,034 | 0,086 | 0,269 | 0,078 | 100,0 |
- DotCom Lookup | 0,035 | 0,043 | 0,055 | 0,008 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
resolver1.ihgip.net
ACCELERATED-IT, DE


208. 67.222.222 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,034 | 0,034 | 0,035 | 0,000 | 100,0 |
- Uncached Name | 0,034 | 0,143 | 0,547 | 0,140 | 100,0 |
- DotCom Lookup | 0,065 | 0,141 | 0,301 | 0,074 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
resolver1.opendns.com
OPENDNS - OpenDNS, LLC, US


208. 67.222.220 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,034 | 0,034 | 0,035 | 0,000 | 100,0 |
- Uncached Name | 0,034 | 0,145 | 0,512 | 0,136 | 100,0 |
- DotCom Lookup | 0,065 | 0,127 | 0,300 | 0,065 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
resolver3.opendns.com
OPENDNS - OpenDNS, LLC, US


84.200. 70. 40 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,033 | 0,035 | 0,035 | 0,000 | 100,0 |
- Uncached Name | 0,034 | 0,088 | 0,282 | 0,077 | 100,0 |
- DotCom Lookup | 0,035 | 0,044 | 0,055 | 0,008 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
resolver2.ihgip.net
ACCELERATED-IT, DE


208. 67.220.222 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,034 | 0,035 | 0,035 | 0,000 | 100,0 |
- Uncached Name | 0,035 | 0,125 | 0,509 | 0,117 | 100,0 |
- DotCom Lookup | 0,065 | 0,123 | 0,221 | 0,061 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
resolver4.opendns.com
OPENDNS - OpenDNS, LLC, US


129.250. 35.251 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,035 | 0,036 | 0,036 | 0,000 | 100,0 |
- Uncached Name | 0,036 | 0,074 | 0,303 | 0,078 | 100,0 |
- DotCom Lookup | 0,036 | 0,042 | 0,065 | 0,009 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
y.ns.gin.ntt.net
NTT-COMMUNICATIONS-2914 - NTT America, Inc., US


149.112.112.112 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,036 | 0,036 | 0,036 | 0,000 | 100,0 |
- Uncached Name | 0,037 | 0,089 | 0,326 | 0,084 | 100,0 |
- DotCom Lookup | 0,037 | 0,041 | 0,046 | 0,003 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
rpz-public-resolver1.rrdns.pch.net
QUAD9-AS-1 - Quad9, US


4. 2. 2. 1 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,037 | 0,037 | 0,039 | 0,000 | 100,0 |
- Uncached Name | 0,038 | 0,094 | 0,343 | 0,083 | 100,0 |
- DotCom Lookup | 0,155 | 0,158 | 0,190 | 0,007 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
a.resolvers.level3.net
LEVEL3 - Level 3 Parent, LLC, US


4. 2. 2. 2 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,038 | 0,038 | 0,039 | 0,000 | 100,0 |
- Uncached Name | 0,038 | 0,083 | 0,352 | 0,074 | 100,0 |
- DotCom Lookup | 0,039 | 0,039 | 0,041 | 0,000 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
b.resolvers.level3.net
LEVEL3 - Level 3 Parent, LLC, US


4. 2. 2. 3 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,037 | 0,038 | 0,038 | 0,000 | 100,0 |
- Uncached Name | 0,038 | 0,094 | 0,325 | 0,080 | 100,0 |
- DotCom Lookup | 0,156 | 0,157 | 0,184 | 0,004 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
c.resolvers.level3.net
LEVEL3 - Level 3 Parent, LLC, US


4. 2. 2. 5 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,037 | 0,038 | 0,038 | 0,000 | 100,0 |
- Uncached Name | 0,038 | 0,097 | 0,393 | 0,091 | 100,0 |
- DotCom Lookup | 0,156 | 0,157 | 0,190 | 0,005 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
e.resolvers.level3.net
LEVEL3 - Level 3 Parent, LLC, US


156.154. 71. 22 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,038 | 0,038 | 0,039 | 0,000 | 100,0 |
- Uncached Name | 0,038 | 0,101 | 0,401 | 0,105 | 100,0 |
- DotCom Lookup | 0,040 | 0,062 | 0,148 | 0,039 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
··· no official Internet DNS name ···
ULTRADNS - NeuStar, Inc., US


208. 67.220.220 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,037 | 0,038 | 0,038 | 0,000 | 100,0 |
- Uncached Name | 0,037 | 0,136 | 0,527 | 0,129 | 100,0 |
- DotCom Lookup | 0,068 | 0,112 | 0,219 | 0,055 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
resolver2.opendns.com
OPENDNS - OpenDNS, LLC, US


208. 67.222.123 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,038 | 0,038 | 0,038 | 0,000 | 100,0 |
- Uncached Name | 0,038 | 0,143 | 0,550 | 0,134 | 100,0 |
- DotCom Lookup | 0,068 | 0,125 | 0,304 | 0,065 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
resolver1-fs.opendns.com
OPENDNS - OpenDNS, LLC, US


208. 67.220.123 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,037 | 0,038 | 0,038 | 0,000 | 100,0 |
- Uncached Name | 0,038 | 0,147 | 0,557 | 0,136 | 100,0 |
- DotCom Lookup | 0,068 | 0,122 | 0,219 | 0,060 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
resolver2-fs.opendns.com
OPENDNS - OpenDNS, LLC, US


4. 2. 2. 4 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,040 | 0,041 | 0,041 | 0,000 | 100,0 |
- Uncached Name | 0,041 | 0,086 | 0,322 | 0,075 | 100,0 |
- DotCom Lookup | 0,041 | 0,042 | 0,046 | 0,001 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
d.resolvers.level3.net
LEVEL3 - Level 3 Parent, LLC, US


156.154. 71. 25 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,041 | 0,041 | 0,041 | 0,000 | 100,0 |
- Uncached Name | 0,040 | 0,086 | 0,346 | 0,072 | 100,0 |
- DotCom Lookup | 0,042 | 0,074 | 0,151 | 0,045 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
··· no official Internet DNS name ···
ULTRADNS - NeuStar, Inc., US


4. 2. 2. 6 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,041 | 0,041 | 0,041 | 0,000 | 100,0 |
- Uncached Name | 0,041 | 0,089 | 0,391 | 0,079 | 100,0 |
- DotCom Lookup | 0,042 | 0,043 | 0,044 | 0,000 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
f.resolvers.level3.net
LEVEL3 - Level 3 Parent, LLC, US


129.250. 35.250 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,042 | 0,042 | 0,042 | 0,000 | 100,0 |
- Uncached Name | 0,043 | 0,081 | 0,311 | 0,077 | 100,0 |
- DotCom Lookup | 0,043 | 0,049 | 0,072 | 0,010 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
x.ns.gin.ntt.net
NTT-COMMUNICATIONS-2914 - NTT America, Inc., US


199. 85.127. 20 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,041 | 0,042 | 0,042 | 0,000 | 100,0 |
- Uncached Name | 0,043 | 0,097 | 0,396 | 0,087 | 100,0 |
- DotCom Lookup | 0,044 | 0,069 | 0,152 | 0,040 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
··· no official Internet DNS name ···
ULTRADNS - NeuStar, Inc., US


156.154. 71. 1 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,041 | 0,042 | 0,042 | 0,000 | 100,0 |
- Uncached Name | 0,042 | 0,109 | 0,421 | 0,099 | 100,0 |
- DotCom Lookup | 0,043 | 0,078 | 0,152 | 0,046 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
rdns2.ultradns.net
ULTRADNS - NeuStar, Inc., US


199. 85.126. 20 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,043 | 0,043 | 0,044 | 0,000 | 100,0 |
- Uncached Name | 0,044 | 0,093 | 0,273 | 0,070 | 100,0 |
- DotCom Lookup | 0,046 | 0,059 | 0,085 | 0,014 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
··· no official Internet DNS name ···
ULTRADNS - NeuStar, Inc., US


156.154. 70. 1 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,043 | 0,043 | 0,044 | 0,000 | 100,0 |
- Uncached Name | 0,044 | 0,103 | 0,309 | 0,082 | 100,0 |
- DotCom Lookup | 0,045 | 0,058 | 0,085 | 0,015 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
rdns1.ultradns.net
ULTRADNS - NeuStar, Inc., US


156.154. 70. 22 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,043 | 0,043 | 0,044 | 0,000 | 100,0 |
- Uncached Name | 0,043 | 0,107 | 0,333 | 0,089 | 100,0 |
- DotCom Lookup | 0,045 | 0,057 | 0,084 | 0,016 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
··· no official Internet DNS name ···
ULTRADNS - NeuStar, Inc., US


198.153.192. 1 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,043 | 0,043 | 0,044 | 0,000 | 100,0 |
- Uncached Name | 0,045 | 0,108 | 0,774 | 0,124 | 100,0 |
- DotCom Lookup | 0,046 | 0,060 | 0,087 | 0,016 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
··· no official Internet DNS name ···
ULTRADNS - NeuStar, Inc., US


198.153.194. 1 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,044 | 0,044 | 0,045 | 0,000 | 100,0 |
- Uncached Name | 0,045 | 0,091 | 0,339 | 0,071 | 100,0 |
- DotCom Lookup | 0,046 | 0,068 | 0,155 | 0,037 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
··· no official Internet DNS name ···
ULTRADNS - NeuStar, Inc., US


156.154. 70. 25 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,043 | 0,044 | 0,044 | 0,000 | 100,0 |
- Uncached Name | 0,043 | 0,096 | 0,305 | 0,080 | 100,0 |
- DotCom Lookup | 0,045 | 0,060 | 0,085 | 0,016 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
··· no official Internet DNS name ···
ULTRADNS - NeuStar, Inc., US


188.165.200.156 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,047 | 0,047 | 0,048 | 0,000 | 100,0 |
- Uncached Name | 0,052 | 0,082 | 0,265 | 0,052 | 100,0 |
- DotCom Lookup | 0,059 | 0,059 | 0,061 | 0,000 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
arthurgarnier.fr
OVH, FR


51.254. 25.115 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,047 | 0,047 | 0,047 | 0,000 | 100,0 |
- Uncached Name | 0,051 | 0,090 | 0,289 | 0,062 | 100,0 |
- DotCom Lookup | 0,058 | 0,058 | 0,060 | 0,000 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
ip115.ip-51-254-25.eu
OVH, FR


64. 6. 65. 6 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,051 | 0,052 | 0,055 | 0,001 | 100,0 |
- Uncached Name | 0,054 | 0,125 | 0,349 | 0,090 | 100,0 |
- DotCom Lookup | 0,051 | 0,052 | 0,059 | 0,001 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
recpubns2.nstld.net
VGRS-AC22 - VeriSign Global Registry Services, US


193.183. 98. 66 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,053 | 0,054 | 0,054 | 0,000 | 100,0 |
- Uncached Name | 0,055 | 0,093 | 0,280 | 0,050 | 100,0 |
- DotCom Lookup | 0,055 | 0,058 | 0,074 | 0,005 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
··· no official Internet DNS name ···
PDDA-AS, IT


89. 18. 27.167 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,058 | 0,059 | 0,064 | 0,001 | 100,0 |
- Uncached Name | 0,060 | 0,128 | 0,325 | 0,065 | 100,0 |
- DotCom Lookup | 0,095 | 0,100 | 0,196 | 0,017 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
··· no official Internet DNS name ···
OPTICBRIDGE-RO-AS, RO


8. 20.247. 20 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,050 | 0,060 | 0,266 | 0,036 | 100,0 |
- Uncached Name | 0,058 | 0,316 | 0,999 | 0,266 | 100,0 |
- DotCom Lookup | 0,058 | 0,225 | 0,711 | 0,199 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
ns2.recursive.dnsbycomodo.com
-Reserved AS-, ZZ


199. 2.252. 10 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,118 | 0,118 | 0,118 | 0,000 | 100,0 |
- Uncached Name | 0,118 | 0,163 | 0,337 | 0,063 | 100,0 |
- DotCom Lookup | 0,119 | 0,144 | 0,182 | 0,016 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
ns2.sprintlink.net
SPRINTLINK - Sprint, US


204.117.214. 10 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,119 | 0,119 | 0,119 | 0,000 | 100,0 |
- Uncached Name | 0,119 | 0,155 | 0,336 | 0,056 | 100,0 |
- DotCom Lookup | 0,126 | 0,141 | 0,158 | 0,012 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
ns1.sprintlink.net
SPRINTLINK - Sprint, US


204. 97.212. 10 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,119 | 0,119 | 0,119 | 0,000 | 100,0 |
- Uncached Name | 0,120 | 0,159 | 0,341 | 0,059 | 100,0 |
- DotCom Lookup | 0,120 | 0,140 | 0,183 | 0,016 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
ns3.sprintlink.net
SPRINTLINK - Sprint, US


209. 55. 1.220 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,132 | 0,132 | 0,132 | 0,000 | 100,0 |
- Uncached Name | 0,133 | 0,156 | 0,326 | 0,042 | 100,0 |
- DotCom Lookup | 0,145 | 0,153 | 0,224 | 0,013 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
nsb.ibbsonline.com
MOMENTUM - SinglePipe LLC, US


209. 55. 0.110 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,135 | 0,135 | 0,136 | 0,000 | 100,0 |
- Uncached Name | 0,137 | 0,164 | 0,359 | 0,051 | 100,0 |
- DotCom Lookup | 0,148 | 0,165 | 0,229 | 0,024 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
nsa.ibbsonline.com
MOMENTUM - SinglePipe LLC, US


45. 77.165.194 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,135 | 0,136 | 0,136 | 0,000 | 100,0 |
- Uncached Name | 0,151 | 0,194 | 0,386 | 0,050 | 100,0 |
- DotCom Lookup | 0,164 | 0,179 | 0,219 | 0,014 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
accuracy.ns.fourthestate.co
AS-CHOOPA - Choopa, LLC, US


204.194.234.200 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,151 | 0,151 | 0,152 | 0,000 | 100,0 |
- Uncached Name | 0,152 | 0,226 | 0,646 | 0,102 | 100,0 |
- DotCom Lookup | 0,153 | 0,210 | 0,435 | 0,070 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
··· no official Internet DNS name ···
302-DIRECT-MEDIA-ASN - 302 Direct Media LLC, US


204.194.232.200 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,155 | 0,155 | 0,155 | 0,000 | 100,0 |
- Uncached Name | 0,155 | 0,233 | 0,608 | 0,105 | 100,0 |
- DotCom Lookup | 0,156 | 0,193 | 0,225 | 0,016 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
··· no official Internet DNS name ···
302-DIRECT-MEDIA-ASN - 302 Direct Media LLC, US


45. 32. 36. 36 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
- Cached Name | 0,281 | 0,281 | 0,282 | 0,000 | 100,0 |
- Uncached Name | 0,318 | 0,387 | 0,547 | 0,073 | 100,0 |
- DotCom Lookup | 0,438 | 0,478 | 0,570 | 0,040 | 100,0 |
---<-------->---+-------+-------+-------+-------+-------+
independence.ns.fourthestate.co
AS-CHOOPA - Choopa, LLC, US


192.168. 1. 1 | Min | Avg | Max |Std.Dev|Reliab%|
----------------+-------+-------+-------+-------+-------+
+ Cached Name | - | - | - | - | - |
+ Uncached Name | - | - | - | - | - |
+ DotCom Lookup | - | - | - | - | - |
---<O-OO---->---+-------+-------+-------+-------+-------+
pfSense.localdomain
Local Network Nameserver


UTC: 2018-04-06, from 04:46:36 to 04:50:59, for 04:23,098

Interpreting your benchmark results above:

The following guide is only intended as a quick
"get you going" reference and reminder.

To obtain a working understanding of this program's operation, and to familiarize yourself with its many features, please see the main DNS Benchmark web page by clicking on the "Goto DNS Page" button below.

Referring to this sample:

64. 81.159. 2 | Min | Avg | Max |Std.Dev|Reliab%
----------------+-------+-------+-------+-------+-------
- Cached Name | 0.001 | 0.001 | 0.001 | 0.000 | 100.0
- Uncached Name | 0.021 | 0.033 | 0.045 | 0.016 | 100.0
- DotCom Lookup | 0.021 | 0.022 | 0.022 | 0.001 | 100.0
---<O-OO---->---+-------+-------+-------+-------+-------
dns.chi1.speakeasy.net
Speakeasy

Tässä voitte testata toimiiko teidän DNSSEC: DNSSEC Resolver Test

 

[samim]

Millä työkalulla teit nuo spoilerin logit?

 

[escalibur]

Millä työkalulla teit nuo spoilerin logit?

GRC's | DNS Nameserver Performance Benchmark  

 

[user9999]

DNS over TLS (Cloudflare)
Jotain häikkää tuossa oli kun ei toiminu pariin päivään.
1.1.1.1 was working, but not anymore
DNS Resolver Log Error sending queries to 1.1.1.1

Näköjään korjattu ja testasin niin toimii taas...

 

[user9999]

Pakko kysästä, koitin läppäriin asentaa pfsenssiä ja tutustua tähän hieman ennenkuin teen suurempia ostopäätöksiä. Asentelin tuohon läppäriin tosiaan ja se kyseli wania lania ym kunnes tuli 16kpl kohta eteen. Pitääkö siinä suorittaa mitä ? Vai alkaako paketti olemaan sitte kasassa ja jos kaikki olis niinkuin pitää niin toisella koneella pitäis saada yhteys 192.168.1.1 osotteella ? Vai tuleeko sen 16 valintakohdan jälkeen vielä jotain ?

Tarvin sen 2kpl rj-45:sta , toinen tulee modeemista , ja toiseen laitan kytkimestä jolloinka kaikki liikenne kulkis muurin läpi ? Nythän läppärissä nyt ei oo kuin tuo 1 kpl rj45 , homma kaatui siihen aika nopeesti jos oon vähääkään kärryillä siitä mitä pitää tehdä. Ei taida läppäristä saada toimivaa peliä tähän tarkotukseen , mutta kyselen nyt hieman typeriä tosiaan ennenkuin teen näitä ostopäätöksiä. Jos jaksasitte hieman kertoa mitä tuossa on vielä odotettavissa ?

Kiitos.

Pistä vaikka kuva niin selviää mikä tuo 16kpl kohta on.

 

[Anakki]

Kyllä vain. Shuttle Europe: Overview

Loistava laite vakauden ja laajentavuuden osalta, mutta ainut ärsyttävä asia on ettei biosta voi päivittää kuin Windowsin kautta.

ps. pfSense 2.4.3-RELEASE päivitys meni ongelmitta (kännykän kautta). Edellisen version uptime taisi olla jotain 180 päivää tjsp.

Täältä löytyy Shuttle DS67U ja toiminut ongelmitta. BIOS-päivitykset saa asennettua kätevästi boottaavalta USB-tikulta, jossa on FreeDOS

 

[Rensu]

Itellä PFsensen 2.4.3 päivitys meni taas häneksi. Webin kautta päivitin ja ilmoitti ihanasti että ok ja käynnistyy uudelleen, mutta eihän se taaskaan päivityksen jälkeen bootannut. Töllö kiinni purkkiin ja sen näköiset herjat, että parempi asentaa suoraan uudestaan. Pelkäsin vähän että minkälainen show se on, mutta asennusohjelma osasi hakea vanhan asennuksen conffit talteen ja parissa minuutissa oli taas reititin pystyssä.

Nyt vain mietityttää, että mitä tehdä kun 2.5 versio tulee ja AES-tukea ei ole omassa purkissa. Kyllä kannatti säästää pari kymppiä ku tuon hommasin reilu vuosi sitten, vaihtoehto olis ollut i3 prossulla sama laite... No voihan tuosta tehdä vaikka verkonpainon.

 

[Lagittaja]

Tarvin sen 2kpl rj-45:sta , toinen tulee modeemista , ja toiseen laitan kytkimestä jolloinka kaikki liikenne kulkis muurin läpi ? Nythän läppärissä nyt ei oo kuin tuo 1 kpl rj45 , homma kaatui siihen aika nopeesti jos oon vähääkään kärryillä siitä mitä pitää tehdä. Ei taida läppäristä saada toimivaa peliä tähän tarkotukseen , mutta kyselen nyt hieman typeriä tosiaan ennenkuin teen näitä ostopäätöksiä. Jos jaksasitte hieman kertoa mitä tuossa on vielä odotettavissa ?

Jos yhdellä LAN portilla pitää pärjätä niin tarvitset (jollain tasolla) hallittavan kytkimen ja joudut säätämään VLANien (Virtual LAN) kanssa.
Lukaise tämä pfSense VLANs with a one-NIC NUC & a TP-LINK TL-SG108E

 

[timop]

Itellä PFsensen 2.4.3 päivitys meni taas häneksi. Webin kautta päivitin ja ilmoitti ihanasti että ok ja käynnistyy uudelleen, mutta eihän se taaskaan päivityksen jälkeen bootannut. Töllö kiinni purkkiin ja sen näköiset herjat, että parempi asentaa suoraan uudestaan. Pelkäsin vähän että minkälainen show se on, mutta asennusohjelma osasi hakea vanhan asennuksen conffit talteen ja parissa minuutissa oli taas reititin pystyssä.

Nyt vain mietityttää, että mitä tehdä kun 2.5 versio tulee ja AES-tukea ei ole omassa purkissa. Kyllä kannatti säästää pari kymppiä ku tuon hommasin reilu vuosi sitten, vaihtoehto olis ollut i3 prossulla sama laite... No voihan tuosta tehdä vaikka verkonpainon.

Opnsense kehiin siitä oli jossain vai täällä jopa maininta ettei vaadi AES tukea. ei tosin tue(en ole testannut) pfsensen konfista. Äkkiähäntuo olisi kyllä kokeiltavissa virtuaalisena.

 

[escalibur]

Täältä löytyy Shuttle DS67U ja toiminut ongelmitta. BIOS-päivitykset saa asennettua kätevästi boottaavalta USB-tikulta, jossa on FreeDOS

Kyllä. Tosiaan tuo FreeDOS-vaihtoehtokin on olemassa vaikka kömpelöhän sekin on vuonna 2018.

 

[Vauhtimursu]

Pistä vaikka kuva niin selviää mikä tuo 16kpl kohta on.

osoitteesta doc.pfsense.org löytyi tuo 16 kpl kohta josta kuva tähän :

Tuommoinen tuli vastaan enkä siitä päässy eteenpäin enää, mutta se oli siis tutustumismatka pfsensen syövereihin vasta eikä ole tarkoitus jättää läppäriin pfsenseä vaan kasata joku romu johon saa nuo 2kpl rj-45, olis tuossa hallittavaa kytkintäki mutta luulen että pääsen helpommalla kun ei sitä sotke tähän nyt.

Jos olis läppärissä pfsense niin tuoko ois se yleiskuva mikä läppärin näytössä olis kokoaika kun pfsense hyrrää taustalla ? Ja toisella koneella pitäis päästä ip osoitteella web hallintaan loppuasetuksia säätämään ?

 

[Lagittaja]

Jos olis läppärissä pfsense niin tuoko ois se yleiskuva mikä läppärin näytössä olis kokoaika kun pfsense hyrrää taustalla ? Ja toisella koneella pitäis päästä ip osoitteella web hallintaan loppuasetuksia säätämään ?

Juuri näin

 

[Vauhtimursu]

Oi, kiitos ! Ehkä tätä "projektia" voi harkita ihan vakavasti ja alkaa raapimaan tavaroita kasaan.

 

[escalibur]

Tämän hetken kenties fiksuin rautasetuppi (pienyritys & kotikäyttöön): fitlet2 specifications

 

[DaMan]

Oi, kiitos ! Ehkä tätä "projektia" voi harkita ihan vakavasti ja alkaa raapimaan tavaroita kasaan.

Suosittelen kuitenkin lämpimästi ennen rautapaketin kasaamista ensin asentamaan ja testaamaan muuria virtuaalikoneella ja pitämään snapshotit ajantasalla. Jos/kun tulee tehtyä käpyjä tai tulee ihmettelyjä niin voi aina palata siihen mistä lähti. Ei tarvitse alusta alkaa joka kerta. Koska pf koostuu palikoista en ole ihan varma miten tuo backup/restore toimii koko paketin tasalla kun on 5-10 eri palikkaa asennettuna ja asetukset laitettuna.

Ja toisaalta virtuaalikoneella voi pitää "tuotantojärjestelmän" ajossa kokoajan ja veivaamaan pf-sydeemiä taustalla ennen käyttöönottoa. Nimittäin valikkoja ja vaihtoehtoja on kokolailla "runsaasti" ja virittämisessä, jos sen hyvin tekee, on aikamoinen ... virittäminen.

 

[Vauhtimursu]

Suosittelen kuitenkin lämpimästi ennen rautapaketin kasaamista ensin asentamaan ja testaamaan muuria virtuaalikoneella ja pitämään snapshotit ajantasalla. Jos/kun tulee tehtyä käpyjä tai tulee ihmettelyjä niin voi aina palata siihen mistä lähti. Ei tarvitse alusta alkaa joka kerta. Koska pf koostuu palikoista en ole ihan varma miten tuo backup/restore toimii koko paketin tasalla kun on 5-10 eri palikkaa asennettuna ja asetukset laitettuna.

Ja toisaalta virtuaalikoneella voi pitää "tuotantojärjestelmän" ajossa kokoajan ja veivaamaan pf-sydeemiä taustalla ennen käyttöönottoa. Nimittäin valikkoja ja vaihtoehtoja on kokolailla "runsaasti" ja virittämisessä, jos sen hyvin tekee, on aikamoinen ... virittäminen.

Tuo oli kyllä hyvä huomio. En ole koskaan kokeillu ainoanlaistakaan virtuaalijuttua. Onko täälä foorumilla jossain juttua miten pfsense sais virtuaalisesti ajoon ? Hyvä huomio jos jostain löytyy tuon tekemiseksi helpohkot ohjeistukset, mielellään kotikielellä niin varmasti kokeilen. Mites se toimii virtuaalisesti ? Onko se silloin vain toimivinaan vai voiko sen saada toimimaan ihan niinku ei virtuaalisesti ? Voisin yhdellä koneella nimittäin kyllä mielellään kokeilla tätäkin juttua.

edit : running production pfsense on virtual machine
"You should NEVER EVEN THINK about running a firewall in a virtual machine..." ...hyvin alkoi...

 

[timop]

No tuosta voi olla montaa mieltä kannattaako virtuaalissa ajaa..
Testatessa voi varsinkin.
Itse ajan kodin yhteyttä virtualisessa pfsensessä (vmwaressa) omalla kortilla .
Toki pitää tietää mitä tekee...
Ja Tuo topicci oli vuodelta 2006 asiat on kovasti muuttuneet siitä [emoji3]
Toki omalla vastuulla kukin tekee.

 

[escalibur]

Tulipa otettua Suricatan käyttöön. Katsotaan miten käy.

 

[DaMan]

Tuo oli kyllä hyvä huomio. En ole koskaan kokeillu ainoanlaistakaan virtuaalijuttua. Onko täälä foorumilla jossain juttua miten pfsense sais virtuaalisesti ajoon ? Hyvä huomio jos jostain löytyy tuon tekemiseksi helpohkot ohjeistukset, mielellään kotikielellä niin varmasti kokeilen. Mites se toimii virtuaalisesti ? Onko se silloin vain toimivinaan vai voiko sen saada toimimaan ihan niinku ei virtuaalisesti ? Voisin yhdellä koneella nimittäin kyllä mielellään kokeilla tätäkin juttua.

edit : running production pfsense on virtual machine
"You should NEVER EVEN THINK about running a firewall in a virtual machine..." ...hyvin alkoi...

Vähän riippuu mikä alusta sulla on Linux/Win/Unix. Muuri virtuaalikoneessa toimii vallan loistavasti. Liittimet sillataan ohjelmallisesti fyysisiin portteihin

Se ei ole vain toimivinaan vaan toimii oikeasti ja oikein samalla tavalla kun fyysisessä koneessa. Muurin asennus on ihan samanlainen proseduuri riippumatta onko muuri virtuaalikoneessa vai ei. Toki virtualisointiohjelmisto täytyy ensin asentaa koneelle (esim. vmware tai virtualbox) ja sitten luoda sinne virtuaalikone. Mutta netistä löytyy ziljoona artikkelia/videota tästä. Aloita matka youtubesta. Sieltä löytyy hyviä oppaita.

Muurin ajamisessa virtualisoituna on mielestäni pari asiaa jotka täytyy ymmärtää ja hyväksyä:
1) Jos itse alusta on joko konfiguroitu väärin, se on reikäinen tai siinä on haavoittuvuuksia, silloin tietenkään ei virtuaalikone pysty niitä paikkaamaan.
2) Jos itse alusta saadaan auki ja se on sisäverkossa niin tunkeutujalla on sitten valmis järjestelmä tehdä mitä haluaa ja uudelleen konffata systeemiä.

Jos itse lähtisin nollasta virittämään muuria ja virtuaalikonetta, laittaisin kevyen, vakaan ja tunnetun hyvin tuetun Linux distron alle (esim. Lubuntu) ja sitten siihen vaikka VirtualBox. Sitten voit asentaa vaikka kuinka monta muuria kokeeksi. Ei toki ajossa yhtäaikaa tai jos ajat kaikkia yhtäaikaa niin laita ainakin ne eri aliverkkoihin. Ja toki sitten tähän virtuaalikoneeseen voit asentaa kokeeksi vaikka 5 eri Windows-versiota ja vaikka Unixin. Itsellä on testauksen vuoksi virtuaalikoneissa Unix, Linuxeja, Winukoita, Android x86 ja macOS, ja näitä muureja, jne.

Toki jos ostat vain muuria varten raudan niin ei kannata siihen laittaa virtualisointia. Siinä tapauksessa virtualisoi vain opettelun ja virittelyn ajaksi.

Itselle laitoin nyt VM:n kokeeksi OPNsensen. Ei tuo OPNsense huono vaihtoehto ole pfSenselle kun molemmat kuitenkin perustuu pf:n koodiin. OPN näyttäisi olevan jotenkin hieman helpompi ymmärtää ja se on Unixin päällä (FreeBSD). Jos sillä nyt on kenellekään mitään lisäarvoa.

 

[FireExit]

.... ja se on Unixin päällä (FreeBSD). Jos sillä nyt on kenellekään mitään lisäarvoa.

Samallalailla pfSensekin FreeBSD:hen.

 

[Vauhtimursu]

Tarkotatteko että FreeBSD käyttikseksi ja siihen ajoon virtuaalimuuria ?
Ainoa mikä tässä projektissa mua huolestuttaa on juurikin nämä pari DaManin mainitsemaa seikkaa. Ettei olis semmoista virtuaalista Tervetuloa kylttiä.

Muurin ajamisessa virtualisoituna on mielestäni pari asiaa jotka täytyy ymmärtää ja hyväksyä:
1) Jos itse alusta on joko konfiguroitu väärin, se on reikäinen tai siinä on haavoittuvuuksia, silloin tietenkään ei virtuaalikone pysty niitä paikkaamaan.
2) Jos itse alusta saadaan auki ja se on sisäverkossa niin tunkeutujalla on sitten valmis järjestelmä tehdä mitä haluaa ja uudelleen konffata systeemiä.

 

[CryptoKid]

Tarkotatteko että FreeBSD käyttikseksi ja siihen ajoon virtuaalimuuria ?
Ainoa mikä tässä projektissa mua huolestuttaa on juurikin nämä pari DaManin mainitsemaa seikkaa. Ettei olis semmoista virtuaalista Tervetuloa kylttiä.

Itse suosittelisin jotain bare metal -hypervisoria, esim ESXi. Olettaisin ainakin sellaisessa olevan vähemmän hyökkäyspintaa kuin täydessä käyttiksessä + virtualisointiohjelmassa. Ja niitä ehkä testataan paremmin.
Itsellä oli juuri ESXi:n päällä pfSense kotona, ja hyvin toimi. Enkä usko että kenenkään kotiverkkoa niin kovasti yritetään korkata että tästä teoriassa helpommasta haavoittuvuudesta dedikoituun koneeseen nähden ongelmaa tulisi.

Tietty testailuun joku virtualbox riittänee.

 

[DaMan]

Itse suosittelisin jotain bare metal -hypervisoria, esim ESXi. Olettaisin ainakin sellaisessa olevan vähemmän hyökkäyspintaa kuin täydessä käyttiksessä + virtualisointiohjelmassa. Ja niitä ehkä testataan paremmin.
Itsellä oli juuri ESXi:n päällä pfSense kotona, ja hyvin toimi. Enkä usko että kenenkään kotiverkkoa niin kovasti yritetään korkata että tästä teoriassa helpommasta haavoittuvuudesta dedikoituun koneeseen nähden ongelmaa tulisi.

Tietty testailuun joku virtualbox riittänee.

Itse ajattelin juurikin että testaukseen ja aloittelijalle voisi olla helpoin tie virtualisointiin täysi käyttis ja virtualisointi (virtualbox tai vmware workstation player). Mutta suoraan sphereen tai Hyper-V:n tms. niin tulee sukellettua suoraan syviin vesiin ilman että harjoittelee rannan tuntumassa.

Olen samaa mieltä että jos et nyt jotain kovin hämärää puuhastele netin suuntaan niin tuskin sinua yritetään aivan apinan raivolla korkata. Foliohattu hyllylle hetkeksi ja lippis päähän lippa taaksepäin ja menox. Jos sinulla on vielä nettimodeemin oma köyhän miehen palomuuri päällä sekä NAT (=ei sillattuna) niin aika viejari saa olla että alkaa pommittamaan NATin takaa sun muuria. Yleensä kai se korkkausta yrittävä liikenne on jotenkin sisäverkon kaverin provosoimaa eli joko liikut "vaarallisilla vesillä" tai sitten jossakin sisäverkon laitteessa on virus tai tms. joka sitten siten generoi liikennettä tai pyytää yhteyksiä sinne ja tänne. Yleensä verkon heikoin lenkki on tuolin ja näppäimistön välillä.

ESXi joo, mut voi mennä aloittelijalle hieman hifistelyksi. Mutta toki helpoin käyttää on se johon on tottunut. Kannattaa kokeilla mikä on se oma juttu. Ja tavoite kai muurin virtualisoinnilla on ylimenokauden ajaksi harjoittelua varten ja sitten oma rauta alle. Toki voi tuolla virtuaalillakin mennä jopa lopullisena mallina. Itselle kotiolosuhteissa riittää NATittu modeemi (kaikki kellot ja pillit päällä), oikein konffattu luunappi ja sen virtualisointi ja siinä SophosUTM. Kertaakaan ei muuri ole hälyyttänyt mistään epämääräisestä eikä logiin ole ilmestynyt mitään ihmettelyn arvoista. Modeemin muuri nyt kolisee melkein jatkuvasti mutta "normalno" sanoo itänaapuri

Itse ajattelen että kun kaikkein tärkein tieto (erittäin henkilökohtainen data) on USB-Backupilla joka ei ole kiinni verkossa kun silloin tällöin muutama minuutti niin ei ole mitään NIIN tärkeää että kannattaisi ihan alkaa oikeasti resursseja käyttämään. Jos perheen/firman valokuvat tai videot juhlista tai TV-tallennukset ja vastaavat kiinnostaa jotain niin paljon että viettää oikeasti aikaa että 1) korkkaa modeemin, 2) korkkaa Sophoksen ja 3) korkkaa vielä läppäreiden/pyötäkoneiden omat kaupalliset palomuurit niin voi tulla suoraan soittamaan ovikelloa kysymään niitä. Helpompi kaikille. Ei tartte minunkaan viettää aikaa reikiä tilkitessä. Ja jos korkkaus on sitä että haluaa asentaa jonkun lisäpätkän laitteeseen (esim. modeemiin joku träkkeri tai joku oma proxy/forwarderi) niin kyllä täytyy kysyä että mikähän nyt niin paljon kiinnostaa että täytyy noin paljon vaivaa nähdä.

Viranomaiskräkkäykset on toinen juttu, mutta niiden ei tartte sun myllyn virityksiä lähteä purkamaan. Ne saa tiedot suoraan ISP:ltä mitä sä verkossa duunaat ja ne saa tarvittaessa suoraan keskukseen omat snifferit. Ne saa auki melkein kaiken liikenteen mitä tarvitsevat (niillä on käytettävissä salausavaimet tai dekooderit) ja jos sä käytät jotain niin tiukkaa juttua ettei ne saa sitä auki niin sitten sulla on oikeasti jotain salattavaa. Se taas on kokonaan toinen tarina se.

 

[escalibur]

Recommended blocklists for pfBlocker (pfSense) - Raedts.BIZ | IT SECURITY & FORENSICS

DShield Most Active Attacking IPs
http://feeds.dshield.org/top10-2.txt

The CINS Army list is a subset of the CINS Active Threat Intelligence ruleset, and consists of IP addresses that meet one of two basic criteria: 1) The IP's recent Rogue Packet score factor is very poor, or 2) The IP has tripped a designated number of 'trusted' alerts across a given number of our Sentinels deployed around the world.

CINSscore.com

http://cinsscore.com/list/ci-badguys.txt

Talos’ IP and Domain Data Center is the world’s most comprehensive real-time threat detection network. The data is made up of over 100TB of daily security intelligence across over 1.6 million deployed Web, Email, Firewall and IPS appliances. Talos detects and correlates threats in real time using the largest threat detection network in the world spanning web requests, emails, malware samples, open source data sets, endpoint intelligence, and network intrusions.

IP Blacklist

The IP Blacklist is automatically updated every 15 minutes and contains a list of known malicious network threats that are flagged on all Cisco Security Products. This list is estimated to be 1% of the total Talos IP Reputation System.

https://www.talosintelligence.com/reputation




What IPv4 blocklists do you use with pfBlockerNG? • r/PFSENSE

 

[user9999]

Pitäisiköhän blockata Facebook

Peering
How to block HTTP and HTTPS Facebook with pfSense

 

[samim]

Pitäisiköhän blockata Facebook

Blokkaa pois.
https://facebookcorewwwi.onion/

 

[escalibur]

pfSense® software and the three CVEs announced today

Netgate has performed an assessment of today’s announced vulnerabilities: CVE-2018-8897, CVE-2018-6920, and CVE-2018-6921. We have determined that most users of pfSense® Software have no reason to be concerned. As with Meltdown and Spectre, most pfSense use cases are unaffected, except those with untrusted local users or a multi-tenant context.

 

[dot1q]

Jahas, tässä innostuin testaamaan yhden Intel ATOM prossun kanssa jotta oliskos tuosta passiivijäähdytetystä vehkeestä palomuuriksi. Laitteessa kun on kuitenkin pieni (40Gb) SSD ja 2Gb RAM tuon D525 prosessorin lisäksi. Paketin kruunaa 2kpl VIA Networking Velocity Gigabit Ethernet verkkokortteja jotka löytyy vakiona tästä kokoonpanosta.

Testasin tuossa tätä jo sen verran että 500-550Mbps menee läpi Iperf testillä tästä setistä (WAN-LAN) suoraan out-of-the-box setupilla. CPU kuorma ei kyllä näytä nousevan 40% yli (2 ydintä ja 2 säiettä kummassakin ytimessä) tuon etusivun seurannan mukaan. Ehkä pitänee vielä vetästä piiiiiiiiiiiiiiiiiiiiidempi iperf siirto jotta näkee mikä on suorituskyky. Ja poistan tuosta väliltä vielä yhden noin 200Mbps kuormitetun linkin niin näkee onko sillä vaikutusta througputtiin.

Tämä on ensikosketukseni pfSenseen.

edit: Joo kyllä tää kampe kotikäyttöön riittäis 30 sec 2 yhtäaikaisen siirron testillä kohtuu mojovaa tulosta teki. CPU kyllä kävi välillä jopa 50% ja hieman ylikin.

 

[escalibur]

@dot1q jos jaksat benchaile miten hyvin kyseinen setuppi jaksaa pyörittää Snorttia ja/tai OpenVPN:ää.

 

[dot1q]

escalibur, tarkoitus olis kaiken näköistä omaksi, ja miksei siis muidenkin, iloksi testailla. Se vaan tuossa käyttöönotossa meni reiteen, että olisin halunnut pitää samat IP-osoitteet käytössä kuin mitkä minulla oli ennestään - mutta pfSense ei tykännyt tästä (tunnisti ip-osoitteiden samanlaisuuden). En oikein hokannut tuossa kun pikkutunneilla naputtelin että mikä sitä rupesi pistämään. Parhaillaan kun olen kotona 4G netin takana ja toi MF286 tuli laitettua siltaavaksi tätä testiä varten.. Ilmeisesti se sisäverkosta hallittavuus juttu mikä MF286:ssa on, jotenkin sotki tuota pfSenseä tjms. Hissukseen toi mun neppailu tulee etenemään. Hyvänä puolena tässä on se, että mulla on nyt autotallissa Gigabitin kytktin ja talon kytkimelle menee 2Gbps linkki. Vois ajatella joskus laittavanssa nassin tonne talliin tjms.

EDIT: Jes! Sain tämän nyt sentään pelaamaan. Asensin juuri ACME paketin jatko käyttöjä ajatellen. Lisäsin vielä FW:n sallimien sessioiden määrää 400k tasolle..
Räpeltäminen alkakoot.

4G linkin läpi puski nyt tämmöstä:

(100Mbps rajoitettu Telia 4G simmi ja ZTE MF286 purkki nyt siltaavana + suuntaava paneeliantenni pihalla.)
Jaha. porukka meni nukkumaan. Alkoi tulla jotain 70Mbps läpi.
Liipasin SPeedtest ajon + 4K youtubevideon ja DirectAccess VPN:än läpi muutaman asennuspaketin kopioinnin käyntiin yhtäaikaa. Taitaapa tässä ihan kivasti potkua riittää. CPU 4%-15%
Graaffi tavuina, ei bitteinä. Tajusin jopa nyt jälkikäteen mistä sen vaihdan..

 

[timop]

Onko kellään pfsenswssä dyndns clientti käytössä ja vieläpä dy.fi osoitteella?
Joku versio takaperin alko päivitys automaattisesti epäonnistua ja huomasin vasta kun on vanha.
Nyt ihan tässä kuukauden sisään on mennyt vielä huonommaksi vanhenee jatkuvasti.
Update url on: http://www.dy.fi/nic/update?hostname=domainini.dy.fi

 

[McPaHa]

Normi dyndns käytössä ja toimii
Siis tarkoitan ettei dy.fi

 

[et328]

Joku tuolla dy.fi:ssä on muuttunut/rikki. Minulla on pitkään ollut Ubuntussa ajastettu wget:illä tehty päivitys eikä se enää toiminut. Tein sitten vastaavan curl:illa ja nyt taas toimii. Molemmat siis ihan siellä heidän sivulla olleen esimerkin mukaan. Tuollahan oli palvelinpäivitys 25.4., ilmeisesti siinä jokin muuttui?

 

[timop]

Kappas joo joku palvelinvaihto. Pitääpä kysellä sieltä palautteen kautta.

 

[Villae]

Ei suoraan pfsenseen liity, mutta itsellä ei yhdessä dd-wrt-purkissa toiminut tuo päivitysurli http:na, mutta kun vaihtoi https:ksi sen, niin toimi. En kyllä sitä sen enempää ihmetellyt.

 

[et328]

Yritin https:näkin, mutta ei toiminut. Tiedä sitten olisiko jotain muutakin pitänyt muuttaa tuossa wget-rivissä. Curl-käskyssä minulla on https.

 

[Asiantuntija]

Yritin https:näkin, mutta ei toiminut. Tiedä sitten olisiko jotain muutakin pitänyt muuttaa tuossa wget-rivissä. Curl-käskyssä minulla on https.

dy.fi https lopetti toimintansa joskus reilu vuosi sitten. Siellä oli silloin varmenne vanhentunut ja lähdin kyselemään asiasta aiemmalta ylläpitäjältä ja hän suositteli siirtymään muihin palveluihin. Varmennetta ei uusittu muutaman viikon sisällä ja siirryinkin silloin noip:n käyttäjäksi. En tiedä onko dy.fi:n ylläpito parantunut tuon tapahtuman jälkeen.

 

[user9999]

pfSense 2.4.3-RELEASE-p1 and 2.3.5-RELEASE-p2 now available

EDIT: JOTAIN ONGELMIA PÄIVITYKSEN KANSSA
Upgrade to 2.4.3_1 Fails at First Attempt

 

[escalibur]

Pyysin @Jimm's tuotteistamaan fitlet2:t: Tuotehaku - Jimms.fi

 

[escalibur]

Pyysin @Jimm's tuotteistamaan fitlet2:t: Tuotehaku - Jimms.fi

Jos koko ei ole ongelma, parempi rauta samaan (299€) hintaan: Shuttle Barebone Slim DS77U, musta - 299,00€

 

[muumio]

dy.fi https lopetti toimintansa joskus reilu vuosi sitten. Siellä oli silloin varmenne vanhentunut ja lähdin kyselemään asiasta aiemmalta ylläpitäjältä ja hän suositteli siirtymään muihin palveluihin. Varmennetta ei uusittu muutaman viikon sisällä ja siirryinkin silloin noip:n käyttäjäksi. En tiedä onko dy.fi:n ylläpito parantunut tuon tapahtuman jälkeen.

Onko tuossa perl kikkareessa jotain miksi porukka ei sitä käytä? Ollut käytössä ties miten monta vuotta ongelmitta.

 

[dot1q]

Testailut ja tekemiset kesken. Erilaisia ohjelmistopaketteja on tullut asennettua käyttön, RRD, nTop nyt päällimmäisinä suorituskyky seurantapalikoina. Vielä pitää ddns pistää tuotantoon sekä LetsEncrypt, jotta pääsee selfsigned infoista eroon. mainosten poistoon olen jo ohjelmiston myös ladannut mutten vielä laittanut tuotantoon.

Eka huomio tässä on se, että 4G yhteys on nyt vakaampi. Jos ennen tuli 5min pelaamisessa 2-3 kertaa minuuttiin lagi piikki, niin nyt tulee ehkä kerran tai kaksi viiteen minuuttiin ja pienempänä kuin aiemmin. ZTE MF286 on sittenkin siltaavana vakaampi kuin reitittävänä + wifiä pyörittävänä; tämä roolin vaihto teki hyvää kotiverkolleni.

 

[FireExit]

Tää menee vähän offtopic, sorry !

Miten toi Hurricane Electricin Free DNS toimii? Onko se vastaava palvelu ku noip.com tai dyndns.com? Vai oonko ymmärtäny sen väärin?

 

[MOS6510]

Jos koko ei ole ongelma, parempi rauta samaan (299€) hintaan: Shuttle Barebone Slim DS77U, musta - 299,00€

Ei tuota E3930-mallia kannata mihinkään käyttöön ostaa. Vain E3950 tai J3455-malleissa on joitain järkeä. Yksityiskäytössä J3455 on järkevämpi ja n. 10% nopeampi kuin E3950.

Fitlet2 J3455 Barebone maksaa rahteineen tuolta Compulabilta suoraan tilattuna $211 ja siihen tullit päälle. Hinnaksi tulee alle tuon Shuttlen koneen ja tehoa on hieman enemmän.

PassMark - CPU Comparison Intel Celeron J3455 vs Intel Celeron 3865U
Buy

Kun tuota Fitlettiä tilaa, niin kannattaa harkita, että tilaa 2 Ethernet-porttia sisältävän Facelet-lisäkortin samalla. Myös sopivan SSD-levyn löytäminen osoittautui aika hankalaksi, joten kannattaa ottaa sekin Compulabilta.

 

[Pertti Kosunen]

Jos koko ei ole ongelma, parempi rauta samaan (299€) hintaan: Shuttle Barebone Slim DS77U, musta - 299,00€

Noihin Shuttleihin saa myös VGA-ulostulon lisäpalikalla toisen sarjaportin tilalle.

Kun tuota Fitlettiä tilaa, niin kannattaa harkita, että tilaa 2 Ethernet-porttia sisältävän Facelet-lisäkortin samalla. Myös sopivan SSD-levyn löytäminen osoittautui aika hankalaksi, joten kannattaa ottaa sekin Compulabilta.

3G/4G, PCI ja PoE lisäpalikoiden kanssa saa myös 2280 pituisen M.2 Sata-levyn sisään, noissa on huomattavasti parempi valikoima.

Kannattaa ostaa kaikki kerralla, kun postimaksut on melko kalliit.

 

[MOS6510]

3G/4G, PCI ja PoE lisäpalikoiden kanssa saa myös 2280 pituisen M.2 Sata-levyn sisään, noissa on huomattavasti parempi valikoima.

Kyllä, mutta 2 x Ethernet Facelet-kortin kanssa ei voi laittaa samaan aikaan noita toisia kortteja. Kyllä noita pieniäkin M.2 Sata-levyjä löytyy. Omani tilasin täältä:

64GB Transcend M.2 NGFF 2242 42mm SATA III 6Gbps SSD MTS400 MLC Flash 560MB/sec 760557812876 | eBay

64 Gt levy riittää hyvin palomuurikäyttöön.