Tee-se-itse: Rautapalomuurit (pfSense, Sophos UTM..) (Mitä käytätte ja miksi juuri se vaihtoehto?)

jad sanoi:
Onko niin, että paras ratkaisu on vieläkin fitlet2, vaikka tuollakin jo alkaa ikää olemaan ?
Entä kumpi prossuvaihtoehto tuossa olisi parempi Celeron J3455 vai Atom E3950 ? Atom vissiin syö vähän vähemmän virtaa, mutta mikä lienee ero suorituskyvyssä ?

Jos tuohon asentaa OpenVPN:n, niin kuinka pitkälle potkua riittää ? Nykyinen nettiyhteys tosin on 100M/10M, niin tuskin muodostuu pullonkaulaksi, mutta jos sitä joskus saisi vaikka 1G liittymän, niin millaisia nopeuksia on vpn tunnelin läpi odotettavissa ?
Napsauta laajentaaksesi...
Fitlet2 + Sophos XG v18 Home-yhdistelmällä ja 1000/100-kuituyhteydellä läpi menee n. 880/95 Mbps. Sophos XG:n VPN:llä liikkuu data kotiverkosta ulos sillä nopeudella mitä tuo kuituyhteys antaa myöten.

Sophos XG Home on muutoinkin varsin tylsä ratkaisu: Se on asennettu Fitlettiin pari vuotta sitten ja ainoa mitä sille on tarvinnut ajan kanssa tehdä on päivitysten tekeminen muutaman kerran vuodessa. Ja tämähän tapahtuu vain valitsemalla valikosta "päivitä".

Ja ehdottomasti kannattaa hankkia Celeron J3455-malli. Se on hieman halvempi ja hieman nopeampi kuin E3950-malli. Jälkimmäisen "hyöty" on pitkä saatavuus, jolla on merkitystä vain yrityskäyttäjille.

www.sophos.com

Cybersecurity as a Service Delivered | Sophos

We Deliver Superior Cybersecurity Outcomes for Real-World Organizations Worldwide with a Broad Portfolio of Advanced Security Products and Services.
www.sophos.com www.sophos.com
 
  • Tykkää
Reactions: jad
escalibur sanoi:
Edelleenkään Netgaten omat sekoilut eivät liity pfSensen CE:n luotettavuuteen joka on avointa lähdekoodia ja jokaisen tarkistettavissa. Kuten sanoin ei lähdetä väittämään jotain sellaista joka ei perustu mihinkään lähteisiin, vaan lähinnä omiin uskomuksiin. pfSense on tälläkin hetkellä vähintäänkin yhtä turvallinen kuin OPNsense, VyOS tai mikä muu vastaava. Silloin kun asiasta uutisoidaan näytteiden kera, voidaan asiasta olla eri mieltä.
Napsauta laajentaaksesi...

pfSensen Wireguard toteutus näytettiin jo olevan reiällinen ja se löytyy CE-versiosta 2.5, jonka Netgate pisti ulos joka tapauksessa - välittämättä koodin laadusta. Vasta kun saivat tarpeeksi lokaa niskaan niin ilmoittivat sen poistavansa myöhemmistä versioista. pfSensen "OSS"-strategia on muutenkin sellainen, ettei sille välttämättä löydy hirveästi katselijoita, koska kyseessä ei ole avoin projekti, eikä sillä luultavasti ole enää mitään tulevaisuutta.
 
burmanm sanoi:
pfSensen Wireguard toteutus näytettiin jo olevan reiällinen ja se löytyy CE-versiosta 2.5, jonka Netgate pisti ulos joka tapauksessa - välittämättä koodin laadusta. Vasta kun saivat tarpeeksi lokaa niskaan niin ilmoittivat sen poistavansa myöhemmistä versioista. pfSensen "OSS"-strategia on muutenkin sellainen, ettei sille välttämättä löydy hirveästi katselijoita, koska kyseessä ei ole avoin projekti, eikä sillä luultavasti ole enää mitään tulevaisuutta.
Napsauta laajentaaksesi...
Samalla logiikalla voitaisiin jättää Ubiquitin väliin, koska heilläkin sattui olemaan ongelmia tietyillä osa-alueilla? Wireguard on melko uusi projekti joka on edelleen vasta alkumetreilla tuotantoversioiden osalta. Netgate munasi ja myönsi virheensä poistamalla koko lisärin kunnes asia on korjattu.

Nyyt siis kyse oli erikseen asennettavasta ja konfiguroitavasta lisäristä, eikä itse pfSensen palomuurisoftasta. Taas kerran, odotetaan niitä todistettuja näyttöjä ennen kuin julistetaan koko projektin epäluotettavaksi.

burmanm sanoi:
pfSensen "OSS"-strategia on muutenkin sellainen, ettei sille välttämättä löydy hirveästi katselijoita, koska kyseessä ei ole avoin projekti, eikä sillä luultavasti ole enää mitään tulevaisuutta.
Napsauta laajentaaksesi...
Meinaat että yksi maailman suosituimmista ilmaisista palomuurisoftista ei kiinnostaisi tietoturvasta (tai sen puutteista) kiinnostuneita? Sanoisin että aika moni haluaisi tuollaisen meriitin CV:hensä, blogiinsa tai vaikkapa mustalle pörssille. ZERODIUM - The Leading Exploit Acquisition Platform :kin varmaan olisi valmis tekemään tarjouksen asiasta.
 
Palatakseni alkuperäiseen kysymykseeni, niin onko tuohon PfSensen/OpnSensen pyörittämiseen jotain selkeää laitesuositusta hintaluokassa <350€?

MOS6510 sanoi:
Fitlet2 + Sophos XG v18 Home-yhdistelmällä ja 1000/100-kuituyhteydellä läpi menee n. 880/95 Mbps. Sophos XG:n VPN:llä liikkuu data kotiverkosta ulos sillä nopeudella mitä tuo kuituyhteys antaa myöten.

Sophos XG Home on muutoinkin varsin tylsä ratkaisu: Se on asennettu Fitlettiin pari vuotta sitten ja ainoa mitä sille on tarvinnut ajan kanssa tehdä on päivitysten tekeminen muutaman kerran vuodessa. Ja tämähän tapahtuu vain valitsemalla valikosta "päivitä".

Ja ehdottomasti kannattaa hankkia Celeron J3455-malli. Se on hieman halvempi ja hieman nopeampi kuin E3950-malli. Jälkimmäisen "hyöty" on pitkä saatavuus, jolla on merkitystä vain yrityskäyttäjille.

www.sophos.com

Cybersecurity as a Service Delivered | Sophos

We Deliver Superior Cybersecurity Outcomes for Real-World Organizations Worldwide with a Broad Portfolio of Advanced Security Products and Services.
www.sophos.com www.sophos.com
Napsauta laajentaaksesi...

Vaikuttaa omat kriteerini täyttävältä laitteelta. Valitettavasti saatavuus on heikko, tuo on kuitenkin hyvä vertailukohta. Kiitos!
 
Bahamies sanoi:
Palatakseni alkuperäiseen kysymykseeni, niin onko tuohon PfSensen/OpnSensen pyörittämiseen jotain selkeää laitesuositusta hintaluokassa <350€?



Vaikuttaa omat kriteerini täyttävältä laitteelta. Valitettavasti saatavuus on heikko, tuo on kuitenkin hyvä vertailukohta. Kiitos!
Napsauta laajentaaksesi...
fitlet2 tai esim Shuttle DS-mallisto. Shuttle XPС slim DS77U, halvin hinta 239€

Toinen vaihtoehto on metsästää tuon kokoisia koneita käytettynä joista löytyy 2 ethernet-porttia, taikka laajennuspaikka erilliselle verkkokortille.
 
escalibur sanoi:
fitlet2 tai esim Shuttle DS-mallisto. Shuttle XPС slim DS77U, halvin hinta 239€
Napsauta laajentaaksesi...
Tuosta Shuttlesta on myös tuo uudempi malli jos kaksi verkkokorttia riittää. HUOM! Kyseessä on barebone, eli tuote ei sisällä muistia, kiintolevyä eikä käyttöjärjestelmää.
www.jimms.fi

Shuttle XPC slim DS10U, MiniPC -barebone, musta - 369,00€

HUOM! Kyseessä on barebone, eli tuote ei sisällä muistia, kiintolevyä eikä käyttöjärjestelmää. Tekniset tiedot : Form Factor : Shuttle 1.3L -kotelo Prosessori :
www.jimms.fi www.jimms.fi
 
user9999 sanoi:
Tuosta Shuttlesta on myös tuo uudempi malli jos kaksi verkkokorttia riittää. HUOM! Kyseessä on barebone, eli tuote ei sisällä muistia, kiintolevyä eikä käyttöjärjestelmää.
www.jimms.fi

Shuttle XPC slim DS10U, MiniPC -barebone, musta - 369,00€

HUOM! Kyseessä on barebone, eli tuote ei sisällä muistia, kiintolevyä eikä käyttöjärjestelmää. Tekniset tiedot : Form Factor : Shuttle 1.3L -kotelo Prosessori :
www.jimms.fi www.jimms.fi
Napsauta laajentaaksesi...
Muistin tuon vasta äsken. :) Tosin mene ja tiedä millaista hyötyä käytännössä tuon lisähinta tuo. Ehkä BIOS-päivitysten muodossa? :think:
 
Bahamies sanoi:
Palatakseni alkuperäiseen kysymykseeni, niin onko tuohon PfSensen/OpnSensen pyörittämiseen jotain selkeää laitesuositusta hintaluokassa <350€?

Vaikuttaa omat kriteerini täyttävältä laitteelta. Valitettavasti saatavuus on heikko, tuo on kuitenkin hyvä vertailukohta. Kiitos!
Napsauta laajentaaksesi...
Tuolta vain tilaamaan suoraan valmistajalta:
fit-iot.com

Buy fitlet2

Business customers check out fitlet2 risk-free evaluation fitlet2 requires exactly one RAM module to operate. Normally, fitlet2 has M.2 SATA installed but in some cases alternative storage device is used, such as
fit-iot.com fit-iot.com

Samalla mukaan:
- FC-M2LAN FACET-Card (2x Gbit Ethernet)
- 64 GB SATA SSD for fitlet2
- Fitlet2 mounting bracket

Tuon sopivan SSD:n löytäminen muualta ei ole aivan yksinkertaista, joten kannattaa tilata samalla tuolta.
 
user9999 sanoi:
Tuosta Shuttlesta on myös tuo uudempi malli jos kaksi verkkokorttia riittää. HUOM! Kyseessä on barebone, eli tuote ei sisällä muistia, kiintolevyä eikä käyttöjärjestelmää.
www.jimms.fi

Shuttle XPC slim DS10U, MiniPC -barebone, musta - 369,00€

HUOM! Kyseessä on barebone, eli tuote ei sisällä muistia, kiintolevyä eikä käyttöjärjestelmää. Tekniset tiedot : Form Factor : Shuttle 1.3L -kotelo Prosessori :
www.jimms.fi www.jimms.fi
Napsauta laajentaaksesi...

Kiitoksia suosituksista. Tuo Shuttle olikin jo vaihtoehtojen listalla.

NIC:n määräksi riittää 2 (1 WAN ja 1 LAN), kytkimet ovat sitten erikseen. Valintakriteeri on nyt melkolailla teho ja hinta, mutta veikkaan vähän, että käytännössä kaikki AES-NI-tuelliset vaihtoehdot ovat riittävän tehokkaita. Yksi 250GB SSD löytyykin ylimääräisenä, niin laitan käyttiksen pyörimään sille. Aivan ylimitoitettu, mutta en viitsi osta toistaa levyä tätä varten.

Onko kellään täällä kokemusta noista kiinalaisista geneerisistä "pfSense-reitittimistä"? Alan kyllä vahvasti kallistua tuohon Shuttleen jo ihan siksi, että pääsee tukemaan kotimaista myyjää.

MOS6510 sanoi:
Tuolta vain tilaamaan suoraan valmistajalta:
fit-iot.com

Buy fitlet2

Business customers check out fitlet2 risk-free evaluation fitlet2 requires exactly one RAM module to operate. Normally, fitlet2 has M.2 SATA installed but in some cases alternative storage device is used, such as
fit-iot.com fit-iot.com

Samalla mukaan:
- FC-M2LAN FACET-Card (2x Gbit Ethernet)
- 64 GB SATA SSD for fitlet2
- Fitlet2 mounting bracket

Tuon sopivan SSD:n löytäminen muualta ei ole aivan yksinkertaista, joten kannattaa tilata samalla tuolta.
Napsauta laajentaaksesi...

Alkaakin hinta nousta veroineen ja tulleineen sen verran, että putoaa omalta listalta.
 
Bahamies sanoi:
Kiitoksia suosituksista. Tuo Shuttle olikin jo vaihtoehtojen listalla.
Napsauta laajentaaksesi...
Tuo Shuttle jaksaa gigasella mainiosti.
Jotain VPN testejä Shuttle DS77 versiolla.

Tee-se-itse: Rautapalomuurit (pfSense, Sophos UTM..) (Mitä käytätte ja miksi juuri se vaihtoehto?)

Ja VPN on poissuljettu, koska? Itse tein joskus testimielessä täysin toimivan setupin Squidillä. En saanut HAproxyä koskaan toimimaan halutulla tavalla. Katson, jos löydän bookmarkin jostain.
bbs.io-tech.fi
 
Bahamies sanoi:
Alkaakin hinta nousta veroineen ja tulleineen sen verran, että putoaa omalta listalta.
Napsauta laajentaaksesi...
Ei tuon perusrungon hinta tulleineen ja rahteineen paljoa tuosta Shuttlesta eroa. Molempiinhan tarvitaan yhtälailla muistikampa ja SSD tuon rungon lisäksi.

Kahdellakin Ethernet-portilla pärjää; tuon Facelet-kortin hankkiminen ei ole pakollista.
 
user9999 sanoi:
Tuo Shuttle jaksaa gigasella mainiosti.
Jotain VPN testejä Shuttle DS77 versiolla.

Tee-se-itse: Rautapalomuurit (pfSense, Sophos UTM..) (Mitä käytätte ja miksi juuri se vaihtoehto?)

Ja VPN on poissuljettu, koska? Itse tein joskus testimielessä täysin toimivan setupin Squidillä. En saanut HAproxyä koskaan toimimaan halutulla tavalla. Katson, jos löydän bookmarkin jostain.
bbs.io-tech.fi
Napsauta laajentaaksesi...

Okei, turha tässä varmaan enää on kauheasti pohtia. Tuo Shuttle riittää varmasti omaan käyttööni. Oikeastaan vain IDS/IPS käytössä tarvitsisi runsaasti enemmän tehoa, mutta sellaiselle tuskin on käyttöä omassa verkossa.
 
Bahamies sanoi:
Okei, turha tässä varmaan enää on kauheasti pohtia. Tuo Shuttle riittää varmasti omaan käyttööni. Oikeastaan vain IDS/IPS käytössä tarvitsisi runsaasti enemmän tehoa, mutta sellaiselle tuskin on käyttöä omassa verkossa.
Napsauta laajentaaksesi...
Jos OpenVPN nopeutta haluaa niin kannattaa katsoa prossua, jossa yhden ytimen suorituskyky on korkea. Joku korjatkoon jos tuohon on tullut muutos. En ole seurannut tuota OpenVPN kehitystä enää.
PfSensessä saa iPsecin toimimaan useammalla ytimellä aktivoimalla seuraavan

Enable Asynchronous Cryptography
IPsec cryptography jobs can be dispatched multi-threaded to run in parallel and increase performance. However, not all platforms and configurations fully support this function. To enable this capability, check Asynchronous Cryptography under VPN > IPsec on the Advanced tab.

En muista löytyykö tuota asetusta OPNSensestä.
 
escalibur sanoi:
Netgate munasi ja myönsi virheensä poistamalla koko lisärin kunnes asia on korjattu.
Napsauta laajentaaksesi...

Netgate ei myöntänyt, vaan hyökkäsi suoraan Wireguardin kehittäjää vastaan. Vasta kun Netgate oli saanut tarpeeksi lokaa niskaansa he päättivät myöhemmin poistaa sen (2.5:ssa se on edelleen). Itseasiassa, onko sellaista releasea edelleenkään julkaistu josta se on poistettu?

Ei tuo ole mitään virheen myöntämistä, edes siinä blogissaan eivät myöntäneet tehneensä virhettä vaan jatkoivat syyttelyä. Heille ilmoitettiin asiasta yli vuosi sitten, mutta päättivät palkata sen sijaan kunnon rikollisen tekemään tuo patchi ja halusivat olla sen takana mielummin. Eivät olleet kiinnostuneita Wireguardin tekijän mielipiteistä ennen kuin asia tuli vasta julkiseksi - jonka jälkeen hyökkäsivät.

Kyllä se kertoo itse kehittäjästä ja sitä kautta softasta, varsinkaan kun kyseessä ei ollut edes eka kerta kun Netgate tekee samaa touhua, viime kerralla "myönsivät" vasta oikeuden määräyksellä. En edes ymmärrä kuinka joku voi puolustella tuollaista toimintaa, onko sulla taloudellisia intressejä tässä asiassa?
 
jad sanoi:
Senverran vanha naavaparta olen, että kyllä mieluusti laitteessa saisi olla perinteiset RED ja GREEN interfacet ihan fyysisinä :) Vaikka eipä nuo VLAN:t mitään rakettitiedettä ole, joskus sentään tullut ihan töidenkin puolesta verkkojen kanssa pelehdittyä. Itseasiassa harkinnassa on vielä sekin, että lähdenkö rakentamaan systeemiä ollenkaan pfsensellä vai lyönkö masokistina kädet saveen ja rakentelen halutun systeemin nollista. Mutta kiitos tuosta NUC Pro vinkistä, olen ollut siinä uskossa, että saatavilla on vain yhden verkkointerfacen versioita.


Tarkoitatko siis, että tuo 400Mbps menee VPN:n läpi heittämällä ?
Napsauta laajentaaksesi...
Testasin OpenVPN nopeutta tämän ohjeen mukaan:
airvpn.org

AirVPN

AirVPN
airvpn.org airvpn.org
Sain lähes 900Mbps tälle Intel NUC8i3BEH ja virtualbox ja pfSense 2.5.
 
  • Tykkää
Reactions: jad
burmanm sanoi:
Netgate ei myöntänyt, vaan hyökkäsi suoraan Wireguardin kehittäjää vastaan. Vasta kun Netgate oli saanut tarpeeksi lokaa niskaansa he päättivät myöhemmin poistaa sen (2.5:ssa se on edelleen). Itseasiassa, onko sellaista releasea edelleenkään julkaistu josta se on poistettu?

Ei tuo ole mitään virheen myöntämistä, edes siinä blogissaan eivät myöntäneet tehneensä virhettä vaan jatkoivat syyttelyä. Heille ilmoitettiin asiasta yli vuosi sitten, mutta päättivät palkata sen sijaan kunnon rikollisen tekemään tuo patchi ja halusivat olla sen takana mielummin. Eivät olleet kiinnostuneita Wireguardin tekijän mielipiteistä ennen kuin asia tuli vasta julkiseksi - jonka jälkeen hyökkäsivät.

Kyllä se kertoo itse kehittäjästä ja sitä kautta softasta, varsinkaan kun kyseessä ei ollut edes eka kerta kun Netgate tekee samaa touhua, viime kerralla "myönsivät" vasta oikeuden määräyksellä. En edes ymmärrä kuinka joku voi puolustella tuollaista toimintaa, onko sulla taloudellisia intressejä tässä asiassa?
Napsauta laajentaaksesi...
Pointtini ei ollut puolustaa Netgatea (josta en itsekään välitä), vaan tarkoitin että on turhaa väittää sellaista jolle ei löydy minkälaista näyttöä. Nyt siis puhutaan pfSense CE-version luotettavuudesta.
 
MOS6510 sanoi:
Ja ehdottomasti kannattaa hankkia Celeron J3455-malli. Se on hieman halvempi ja hieman nopeampi kuin E3950-malli. Jälkimmäisen "hyöty" on pitkä saatavuus, jolla on merkitystä vain yrityskäyttäjille.
Napsauta laajentaaksesi...
Näyttäisi Celron vieläpä kuluttavan vähemmän energiaakin. Vaikuttaa hyvältä vaihtoehdolta. Kiitos tästä.
 
Onko kukaan hiljattain kokeillut Sophoksen kotikäytössä ilmaisia UTM tai XG muureja? Miten vertautuu esimerkiksi pfSenseen? Vai onko suljetun koodin ratkaisut tyystin unohdettu?
 
Oli mielessä kokeilla Sophosta pfsensen tilalle tässä lähiaikoina, jos olisi vielä enemmän asenna ja unohda ratkaisu ilman hirveää säätämistä vaikka siitäkin tykkään.
 
juuhokei sanoi:
Onko kukaan hiljattain kokeillut Sophoksen kotikäytössä ilmaisia UTM tai XG muureja? Miten vertautuu esimerkiksi pfSenseen? Vai onko suljetun koodin ratkaisut tyystin unohdettu?
Napsauta laajentaaksesi...
Olen käyttänyt Sophos XG Home-versiota useita vuosia. Toimii täysin moitteetta. Ainoa tarvittu ylläpitotehtävä on ollut ohjelmistopäivitys pari kertaa vuodessa ja sekin on vain yhdestä valikosta käynnistys.

Käytössä on normaalit palomuuriominaisuudet sekä VPN. Lisäksi käytän VPN-yhteyksissä sisäänpäin Sophoksen ilmaista dynaamista ja automaattista DNS-palvelua.
 
Viimeksi muokattu:
MOS6510 sanoi:
Olen käyttänyt Sophos XG Home-versiota useita vuosia. Toimii täysin moitteetta. Ainoa tarvittu ylläpitotehtävä on ollut ohjelmistopäivitys pari kertaa vuodessa ja sekin on vain yhdestä valikosta käynnistys.

Käytössä on normaalit palomuuriominaisuudet sekä VPN.
Napsauta laajentaaksesi...
Tuli otettua tämä testikäyttöön, mutta törmäsin jo todella outoon logiikkaan tämän toiminnassa. Tarkemmin sanoen nuo Zonet. Niille kun voi määrittää joitain palveluja joihin on oikeus ja yksi niistä on palomuurin hallintaan pääsy. Oletuksena on LAN-zone jonka alle kuuluu alussa luotu untagged-verkko (192.168.1.0/24) sekä kaikki saman fyysisen interfacen alle luodut VLANit. Nyt kun luon uuden VLANin, vaikkapa IoT varten ja laitan säännöistä estetyksi kaiken liikenteen IoT -> LAN, niin IoT verkosta pääsee silti aina muurin hallintaan koska tuo VLAN on saman Zonen alla kuin LAN-verkko. Eikä näitä voi erottaa koska Zonet voi määritellä vain fyysisiin portteihin. Hallintaan pääsyä ei myöskään voi raksia Zonen asetuksista pois, koska silloin ei luonnollisesti mistään verkosta pääse sinne.

Voi olla, että olen nyt käsittänyt jotain väärin mutta muutaman tunnin yritin säätää tämän kanssa eilen ja ei vaan taida olla mahdollista samaan fyysiseen porttiin saada montaa Zonea toimimaan.
 
Viimeksi muokattu:
Ei ole kokemusta Sophoksesta mutta palomuureissa on yleensä konsepti nimeltä intra-zone traffic zoneissa. Joko se on allow/deny eli saman zonen alla olevat vlanit pystyvät keskutelemaan tai sitten se on estetty jolloin pitää erikseen tehdä palomuuriavaukset. Hiukan valmistajasta kiinni yleensä voiko saman fyysisen interfacen alla olevat eri vlanit, olla eri zoneissa vai pitääkö ne olla eroteltuna myös eri fyysisissä interfaceissa.

Itsellä kyllä tuo IoT on oma zone vs "LAN" mutta kai sen saisitoimimaan kumminpäin tahansa.
 
Rascal sanoi:
Ei ole kokemusta Sophoksesta mutta palomuureissa on yleensä konsepti nimeltä intra-zone traffic zoneissa. Joko se on allow/deny eli saman zonen alla olevat vlanit pystyvät keskutelemaan tai sitten se on estetty jolloin pitää erikseen tehdä palomuuriavaukset. Hiukan valmistajasta kiinni yleensä voiko saman fyysisen interfacen alla olevat eri vlanit, olla eri zoneissa vai pitääkö ne olla eroteltuna myös eri fyysisissä interfaceissa.

Itsellä kyllä tuo IoT on oma zone vs "LAN" mutta kai sen saisitoimimaan kumminpäin tahansa.
Napsauta laajentaaksesi...
Kyllä näköjään onnistuikin eri Zone samalla fyysiselle interfacelle VLANiin, oma kämmi vaan kun piti WAN:lle menevään sääntöön lisätä tuo uusi Zone minkä tein.
 
Loistavaa analyysia Arstechnicalta mitä oikein tapahtui Netgaten Wireguard-toteutuksessa:

arstechnica.com

Buffer overruns, license violations, and bad code: FreeBSD 13’s close call

40,000 lines of flawed code almost made it into FreeBSD’s kernel—we examine how.
arstechnica.com arstechnica.com

Toivoittavasti jatkossa noita asioita tarkistetaan entistä tarkemmalla suurennuslasilla. Tämä on hyvä osoitus miksi uusiin asioihin kannattaa suhtautua varauksella. Samoin avoin koodi ei välttämättä tarkoita yhtään mitään, ellei joku tarkista sen kuntoa. :) Katsotaan paljastuuko tästä enemmänkin, vai oppivatko näistä virheistä.

pfSensen osalta olen edelleen samaa mieltä, että palomuuri on turvallinen ja luotettava niin kauan kunnes toisin todistetaan. Wireguardin koodi oli huono ja siihen reagoitiin. Seurataan tilannetta.
 
Zetbo sanoi:
Järkyttävän tyhmä version numerointi noilla, mutta muuten ei ole kokemusta. Käsittääkseni eivät esim. tue esim. ipv6 ja noi zone jutut oli vähän sekavia. Niin ei ole tullut testailtua. Muutenki jos pistäisi linux pohjaiseen vaihtaa niin vaihtaisin varmaan suoraan Vyosiin.
Napsauta laajentaaksesi...
IPv6 tulee sitten kolmos versiossa ja ei noissa zoneissa mitään kovin erikoista mielestäni ole Red=Wan, Green=Lan, Blue=Wlan ja Orange=DMZ. Tuo Voys itselle uusi mutta näyttää että ilmainen vain niille jotka avustaa koodin kehittämisessä vai ymmärsinkö jotain väärin? Open Source Contributors – VyOS

Onhan noita vaihtoehtoja onneksi nykyään useampi että jokainen varmaan omiin tarpeisiin sopivan löytää.
 
escalibur sanoi:
pfSensen osalta olen edelleen samaa mieltä, että palomuuri on turvallinen ja luotettava niin kauan kunnes toisin todistetaan. Wireguardin koodi oli huono ja siihen reagoitiin. Seurataan tilannetta.
Napsauta laajentaaksesi...
Samaan aikaan OPNsensessä: Donenfeld & co on korjaillut (vaiko peräti uudelleenkirjoittanut) Wireguardin
 
Nyt kun olen viikonlopun säätänyt opnSense palomuurin kanssa, niin pitää vaan ihmetellä miksi en aikaisemmin vaihtanut DIY-palomuuriin.

Vihdoin pääsee oikeasti hyötykäyttämään VPN-yhteyksiäkin, kun reititin ei heti ensimmäisen yhteyden kohdalla ala köhimään. Lisäksi pääsee PiHolesta eroon ja voi pyörittää DNS-blokkeria suoraan reitittimessä. Otin myös GeoIP-blokkauksen käyttöön. Mahdollisuuksia olisi raudan puolesta tehdä paljon muutakin, tuntuu että mielikuvitus loppuu ennen kuin tehot loppuvat tai opnSense ei ominaisuutta tue.
 
Jokohan nyt olisi pfSensen päivityksen aika
1618336675929.png
 
Release notes -linkki olisi kiva aina versiopäivityksistä puhuttaessa. Ei vieläkään korjausta "Enable registration of DHCP client names in DNS" bugiin :(

Pitäisi vaihtaa johonkin toiseen mutta ei jaksaisi uhrata vapaa-aikaansa säätämiseen. Vaihtoehtojakin on valitettavan vähän. Mieluiten laittaisi Linux-pohjaisen systeemin kun se on alustana tuttu ja laitteistotuki on huomattavasti parempi. Ei vain tunnu sopivaa distroa löytyvän. IPFire ei pikaisen tutkimisen jälkeen taivu omiin tarpeisiin.
 
Grizzle sanoi:
Mieluiten laittaisi Linux-pohjaisen systeemin kun se on alustana tuttu ja laitteistotuki on huomattavasti parempi. Ei vain tunnu sopivaa distroa löytyvän. IPFire ei pikaisen tutkimisen jälkeen taivu omiin tarpeisiin.
Napsauta laajentaaksesi...

Itsellä oli vuosikausia SmoothwallCE jonka jämähdettyä odottamaan seuraavaa isoa päivitystä tuli kokeiltua monenlaista niin BSD- kuin *nix- pohjaista systeemiä. Rajoittavana tekijänä omassa systeemissä tuntuu olevan prosessori BSD-pohjaiset distrot kyllä reitittävät 1G/300M liittymän täydellä vauhdilla kunhan ei kytke ylimääräisiä palveluita päälle. Proxy, ids, yms. käyntiin niin nopeus kyykkää pahimmillaan alle puoleen joten itsellänikin jäi ainoaksi vaihtoehdoksi linux alustana. ClearOS aikanaan hävisi käytettävyydessä smoothwallille, mutta jouduin toteamaan ettei parannusta ole tullut reilun vuosikymmenen aikana. IPFire ja Zeroshell päätyivät seuraavaksi testipenkkiin, joista Zeroshell voitti käyttöliittymän selkeydellä. Zerolla pärjäsi mutta jokin tuntui olevan kokajan hieman pielessä.

Lopulta takraivossa häirinnyt tuntuma sai vilkaisemaan vielä olisiko jotain muuta käyttökelpoista distroa tarjolla. Jostain löytyi tieto että OpenWrt on saatavilla myös x86_64-pohjaisena, vanha tuttu distro jolla rakentelin mesh-verkkoja ennen kuin koko termiä oli lanseerattu. Rohkaistuin kokeilemaan ja pienten alkuköhinöiden jälkeen (valmisimagen tallennusosion kokoa ei saanut muutettua) tulen todennäköisesti pysyttelemään OWrt-käyttäjänä pitkään. Lisäpakettien asentaminen ja käyttöönotto ei tunnu vaikuttavan netin vauhtiin millään, juniorit saa pidettyä poissa uhkapelien, spywaren, yms parista ja itse saa hyödynnettyä openvpn:ä kun joskus tuikkaa nokan ulos ulko-ovesta.

Mikäli IPFire ei tunnu oikealta kannatta kokeilla Zeroshelliä tahi OpenWrt:ä. Kummassakin selkeä selainkäytöliittymä, sekä toimiva komentorivihallinta.
 
The_Thing sanoi:
Itsellä oli vuosikausia SmoothwallCE jonka jämähdettyä odottamaan seuraavaa isoa päivitystä tuli kokeiltua monenlaista niin BSD- kuin *nix- pohjaista systeemiä. Rajoittavana tekijänä omassa systeemissä tuntuu olevan prosessori BSD-pohjaiset distrot kyllä reitittävät 1G/300M liittymän täydellä vauhdilla kunhan ei kytke ylimääräisiä palveluita päälle. Proxy, ids, yms. käyntiin niin nopeus kyykkää pahimmillaan alle puoleen joten itsellänikin jäi ainoaksi vaihtoehdoksi linux alustana. ClearOS aikanaan hävisi käytettävyydessä smoothwallille, mutta jouduin toteamaan ettei parannusta ole tullut reilun vuosikymmenen aikana. IPFire ja Zeroshell päätyivät seuraavaksi testipenkkiin, joista Zeroshell voitti käyttöliittymän selkeydellä. Zerolla pärjäsi mutta jokin tuntui olevan kokajan hieman pielessä.

Lopulta takraivossa häirinnyt tuntuma sai vilkaisemaan vielä olisiko jotain muuta käyttökelpoista distroa tarjolla. Jostain löytyi tieto että OpenWrt on saatavilla myös x86_64-pohjaisena, vanha tuttu distro jolla rakentelin mesh-verkkoja ennen kuin koko termiä oli lanseerattu. Rohkaistuin kokeilemaan ja pienten alkuköhinöiden jälkeen (valmisimagen tallennusosion kokoa ei saanut muutettua) tulen todennäköisesti pysyttelemään OWrt-käyttäjänä pitkään. Lisäpakettien asentaminen ja käyttöönotto ei tunnu vaikuttavan netin vauhtiin millään, juniorit saa pidettyä poissa uhkapelien, spywaren, yms parista ja itse saa hyödynnettyä openvpn:ä kun joskus tuikkaa nokan ulos ulko-ovesta.

Mikäli IPFire ei tunnu oikealta kannatta kokeilla Zeroshelliä tahi OpenWrt:ä. Kummassakin selkeä selainkäytöliittymä, sekä toimiva komentorivihallinta.
Napsauta laajentaaksesi...
Kiitos vinkistä. Mulla sattuu olemaan jemmassa ylimääräinen muuriin sopiva mSATA SSD. Voisin vain ottaa nykyisen pois ja asentaa toiselle SSD:lle jonkun muun käyttiksen. Sitten jos pitää palata takasin pfSenseen niin se on helppoa vain vaihtamalla SSD takaisin :) Ensin pitää konffata kaapin perukoilla makaava kuluttaja-reititin varalaitteeksi niin ei ole netti poikki säätämisen aikana.
 
Viimeksi muokattu:
The_Thing sanoi:
Itsellä oli vuosikausia SmoothwallCE jonka jämähdettyä odottamaan seuraavaa isoa päivitystä tuli kokeiltua monenlaista niin BSD- kuin *nix- pohjaista systeemiä. Rajoittavana tekijänä omassa systeemissä tuntuu olevan prosessori BSD-pohjaiset distrot kyllä reitittävät 1G/300M liittymän täydellä vauhdilla kunhan ei kytke ylimääräisiä palveluita päälle. Proxy, ids, yms. käyntiin niin nopeus kyykkää pahimmillaan alle puoleen joten itsellänikin jäi ainoaksi vaihtoehdoksi linux alustana. ClearOS aikanaan hävisi käytettävyydessä smoothwallille, mutta jouduin toteamaan ettei parannusta ole tullut reilun vuosikymmenen aikana. IPFire ja Zeroshell päätyivät seuraavaksi testipenkkiin, joista Zeroshell voitti käyttöliittymän selkeydellä. Zerolla pärjäsi mutta jokin tuntui olevan kokajan hieman pielessä.

Lopulta takraivossa häirinnyt tuntuma sai vilkaisemaan vielä olisiko jotain muuta käyttökelpoista distroa tarjolla. Jostain löytyi tieto että OpenWrt on saatavilla myös x86_64-pohjaisena, vanha tuttu distro jolla rakentelin mesh-verkkoja ennen kuin koko termiä oli lanseerattu. Rohkaistuin kokeilemaan ja pienten alkuköhinöiden jälkeen (valmisimagen tallennusosion kokoa ei saanut muutettua) tulen todennäköisesti pysyttelemään OWrt-käyttäjänä pitkään. Lisäpakettien asentaminen ja käyttöönotto ei tunnu vaikuttavan netin vauhtiin millään, juniorit saa pidettyä poissa uhkapelien, spywaren, yms parista ja itse saa hyödynnettyä openvpn:ä kun joskus tuikkaa nokan ulos ulko-ovesta.

Mikäli IPFire ei tunnu oikealta kannatta kokeilla Zeroshelliä tahi OpenWrt:ä. Kummassakin selkeä selainkäytöliittymä, sekä toimiva komentorivihallinta.
Napsauta laajentaaksesi...

Ai että, tässä tuhti nippu hyvää vinkkiä. Opnsensen kanssa on ollut intrusion detection päällä, ei oo näkyny CPU kuormassa tjsp, vähän läpällä pistin päälle. Mutta ajoittain joissain peleissä voi yhteys jumittua todella satunnaisesti.
i3 ei ehkä jaksa tätä tehdä, enpä olis huomannut syy-yhteyden mahdollisuutta ilman tätä viestiä. Voi olla että hetkittäin käy liikennettä läpi ja siinä kohtaa reaaliaikainen online peli ottaa kipeää. Muuten suorituskyky ollut A+. En ole kovin kummoista rääkkiä tuolle raudalle antanut. Ehkäpä 2-viikossa selviää olisko vaikutusta. Bufferbloat jne kaikki ilman issakkaa ajossa. harvinainen issue ollut tähän asti.

Edit: ei vaikutusta. Eli palveluiden tuotantopään murhe.. servereillä ruuhkaa.
 
Viimeksi muokattu:
Ajattelin tämän threadiin sopivaksi kontentiksi, otsikonmukainen kunnon tee-se-itse palomuuriviritys :interested:


1.jpg
2.jpg
3.jpg
4.jpg

Runkona on 10" räkkihylly + peitelevy.
Tarkoituksena oli siis saada 10" räkkiin istuva reititin, siksi kyseinen form-factor. Ei ole koteloitu päältä nyt mitenkään, mutta se ei räkissä pahemmin haittaa.

Rautana vähän harvinaisempaa käsiin jäänyttä serriä; COMexpress type 10 moduli (Pentium N4200, 8 GB RAM) + carrier-kortti kahdella ethernetillä ja 64 GB mSATA SSD:llä. Lisäksi kolmas verkkoportti Intel Gigabit CT -kortilla, joka on kiinni miniPCIe <-> PCIe-x1 -riserilla.

Peltihylly toimii hyvin passiivijäähdyttimenä. Laite vie seinästä 7 W tehoa idlaillessa, mikä on varmaan vähemmän kuin keskimääräinen wifi-muovipurkkireititin.


Käyttiksenä pyörii OPNsense, jota on tullut tässä harjoiteltua. Aika jyrkkä oppimiskäyrä AsusWRT-maailmasta saavuttaessa.. :nb: Toisaalta kaiken on saanut toimimaan kuten ennenkin + lisänä mm. Wireguard ja Unifi controller pyörii nyt samassa purkissa :tup:
 
Ittellä vie i3 cpu fw, 10G kelpoinen PoE+ sw, 2x wifi 6 ap, kuitupääte ja hue bridge noin 65-82W, alle 0.5A. 700VA UPS pyörittää hyvän tovin noita @ps86

(Edit, 10G SFP paikkoja tosin vain 2 kpl. Muut 12 slottia RJ45 ja 1Gbps)
 
The_Thing sanoi:
Rohkaistuin kokeilemaan ja pienten alkuköhinöiden jälkeen (valmisimagen tallennusosion kokoa ei saanut muutettua) tulen todennäköisesti pysyttelemään OWrt-käyttäjänä pitkään. Lisäpakettien asentaminen ja käyttöönotto ei tunnu vaikuttavan netin vauhtiin millään, juniorit saa pidettyä poissa uhkapelien, spywaren, yms parista ja itse saa hyödynnettyä openvpn:ä kun joskus tuikkaa nokan ulos ulko-ovesta.
Napsauta laajentaaksesi...
Itselläni myös nykyään openwrt x86 apu2 purkilla. Ainoa mikä oikeastaan on huolenaiheena on uusien versioiden päivitys.
Sysupgrade taitaa kyllä paskoa aika hyvin nämä x86 systeemit, varsinkin jos on tehnyt imagebuilderilla omat systeemit ja partitiokoko on muutettu jälkikäteen..

Pitäisi varmaan kehitellä systeemi niin, että configit ja tilastot majailisivat omalla partitiolla ja eivät ylikirjottuisi päivityksessä ollenkaan.

Suorituskykyyn olen erittäin tyytyväinen. Esim. SQM cake toimii loistavasti jos vertailee pfsenseen.

Käyttöliittymä Luci taasen on hemmetin ruma jos vertaillaan pfsensen vastaavaan.
 
Viimeksi muokattu:
mikajh sanoi:
Kannattaa tehdä oma firmis. Jos ei ole Linux-boksia niin virtuaalinen riittää. Esim. pakettien asennusta varten uusi firmis, jossa ko. paketti on mukana.
Napsauta laajentaaksesi...
Juu, siis olen imagebuilderilla tehnyt omat firmikset, mutta lähdekoodista en ole kääntänyt. Jostainsyystä törmäsin ongelmaan, että jos minulla on custom konfiguraatioita, niin apu2 purkilla jään aina bootlooppiin. Ohjelmat saan kyllä esiasennettua omalla firmiksellä, mutta konfigit joudun aina käsin kopioimaan. Kiersin ongelman niin, että lisäsin omaan imageen ylimääräisen kansion jossa oli kaikki omat custom konfigit ja sitten esimmäisen buutin jälkeen ajoin pikku skriptin joka kopioi ko. konfigit oikeille paikoilleen. Tämän kaiken olen testannut siis vasta ekalla asennuskerralla, joten kun päivitys 21.02 versioon tulee ajankohtaiseksi alkaa varmaan sydämentykytykset. :D

Anyway taitaisi kuulua enemmän tuonne openwrt ketjuun kun mennään enemmän detaljitasolle. :)

EDIT: Tästä innostuneena ja vähän googlettelulla saattaisi olla, että minun custom config ongelmani liittyisi juuri tähän: Image Builder with Custom Files won't boot
EDIT2: Toisaalta olen aina käyttänyt stableja, joten ehkä ei sittenkään. Hyvin samalta silti vaikuttaisi.
 
Viimeksi muokattu:
OpenVPN reikä.
OpenVPN 2.5.2 julkaistu jo. Pfsensessä OpenVPN 2.5.1.

openvpn-2.5.1 is vulnerable:
openvpn -- deferred authentication can be bypassed in specific circumstances
CVE: CVE-2020-15078
WWW: VuXML: openvpn -- deferred authentication can be bypassed in specific circumstances

Saa nähdä koska tulee päivitys..

vulnxml file up-to-date
curl-7.74.0 is vulnerable:
curl -- TLS 1.3 session ticket proxy host mixup
CVE: CVE-2021-22890
WWW: VuXML: curl -- TLS 1.3 session ticket proxy host mixup

curl -- Automatic referer leaks credentials
CVE: CVE-2021-22876
WWW: VuXML: curl -- Automatic referer leaks credentials

openvpn-2.5.1 is vulnerable:
openvpn -- deferred authentication can be bypassed in specific circumstances
CVE: CVE-2020-15078
WWW: VuXML: openvpn -- deferred authentication can be bypassed in specific circumstances

dnsmasq-2.84,1 is vulnerable:
dnsmasq -- cache poisoning vulnerability in certain configurations
CVE: CVE-2021-3448
WWW: VuXML: dnsmasq -- cache poisoning vulnerability in certain configurations

mysql57-client-5.7.32 is vulnerable:
MySQL -- Multiple vulnerabilities
WWW: VuXML: MySQL -- Multiple vulnerabilities

5 problem(s) in 4 installed package(s) found.
 
Viimeksi muokattu:
Kirjaudu tai rekisteröidy kirjoittaaksesi tänne.

Uutiset

Uutisia lyhyesti

Uusimmat viestit

Statistiikka

Viestiketjuista
262 476
Viestejä
4 558 119
Jäsenet
74 971
Uusin jäsen
Maikkol

Hinta.fi

Back
Ylös Bottom