Tee-se-itse: Rautapalomuurit (pfSense, Sophos UTM..) (Mitä käytätte ja miksi juuri se vaihtoehto?)

[dataaja95]

Itse suosittelisin opnsense tai yleensä palomuurikoneiksi dellin sff sarjan optiplexejä. Ovat ihan standardia perusrautaa ja päivitettävyys ok, toki sähkönkulutus ja äänekkyys on hieman isompi mitä kiinapurkeissa, mutta rauta riittää myös pyörittelemään tarvittaessa proxmoxia tai raskaampaa ids/ips settiä ja logitusta

 

[mailman]

Itse suosittelisin opnsense tai yleensä palomuurikoneiksi dellin sff sarjan optiplexejä. Ovat ihan standardia perusrautaa ja päivitettävyys ok, toki sähkönkulutus ja äänekkyys on hieman isompi mitä kiinapurkeissa, mutta rauta riittää myös pyörittelemään tarvittaessa proxmoxia tai raskaampaa ids/ips settiä ja logitusta

Sama pätee HPn ja Lenovon sff vehkeiden kanssa

 

[Alfh]

Itse suosittelisin opnsense tai yleensä palomuurikoneiksi dellin sff sarjan optiplexejä. Ovat ihan standardia perusrautaa ja päivitettävyys ok, toki sähkönkulutus ja äänekkyys on hieman isompi mitä kiinapurkeissa, mutta rauta riittää myös pyörittelemään tarvittaessa proxmoxia tai raskaampaa ids/ips settiä ja logitusta

Oletko mittaillut virrankulutuksia?
Ebayssa näkyy olevan paljonkin valikoimaa <200€ hintaluokassa EU-alueella. SFF-koneissa näyttäisi olevan prossuina ihan perus i5-8400 tms. kun taas minikoneissa olisi vähävirtaisempia T-mallin prossuja, mutta ei taas kunnon verkkokortille tilaa. Noissa merkkikoneissa ei varmaan ole biosissa liiemmin asetuksia alivoltitukseen? Ei yhtään huvittaisi pitää jotain 40-60w kuluttavaa ser-konetta päällä 24/7 näillä sähkönhinnoilla.

Löytyisi jo valmiiksi Intelin I350 low profile PCIe-verkkokortti.

1G symmetriseen kuituun olisi tulossa ja saisi olla potkua sen verran ettei ole koko ajan kuormitus tapissa. Kiinanrauta ei ole vaihtoehto ja tähän luen mukaan myös Lenovon.

 

[Ogeli]

Oletko mittaillut virrankulutuksia?

Nyt kun oli tehomittari perässä niin Lenovo M710s i5-8500 prossu ja pari korttia, proxmox käytössä nyt n. 15W
Muuten lähes idle mutta motioneye formaatin muunnos vaatinee jonkun watin.
Mitä olen mittaillut noita vähän vanhempiakin koneita niin idle tehot on yleensä alle 20W

"T" prossun tehonsäästö lienee pieni ja se on lähinnä saavutettu kelloa pudottamalla?
Tolle intel kortille taidetaan ilmoittaa 7W tehonkulutus mutta sitäkin epäilen mulla on todo listalla tutkia.

Tehomittarina klasulta ostettu ilmeisen luotettava.

Niin ja vielä mulla on testikoneena sama runko G4400 prossulla ja siinäkin menee 1G läpi, salauslaskennsta en tiedä.

 

[k70]

Täällä myös joku vanha Dell i5:llä. Sellainen vähän perinteisempi mikrotorni (MT?). Suht hiljainen, kun on iso tuuletin, ja helppo lisätä kortteja. Kulutus noin 20W OPNsense-käytössä.

 

[dataaja95]

Oletko mittaillut virrankulutuksia?
Ebayssa näkyy olevan paljonkin valikoimaa <200€ hintaluokassa EU-alueella. SFF-koneissa näyttäisi olevan prossuina ihan perus i5-8400 tms. kun taas minikoneissa olisi vähävirtaisempia T-mallin prossuja, mutta ei taas kunnon verkkokortille tilaa. Noissa merkkikoneissa ei varmaan ole biosissa liiemmin asetuksia alivoltitukseen? Ei yhtään huvittaisi pitää jotain 40-60w kuluttavaa ser-konetta päällä 24/7 näillä sähkönhinnoilla.

Löytyisi jo valmiiksi Intelin I350 low profile PCI-verkkokortti.

1G symmetriseen kuituun olisi tulossa ja saisi olla potkua sen verran ettei ole koko ajan kuormitus tapissa. Kiinanrauta ei ole vaihtoehto ja tähän luen mukaan myös Lenovon.

Empä ole mittaillut sähkönkulutusta, mutta en sanoisi tuota mitenkään hirveäksi virtasyöpöksi mitä olen sähköyhtiön kulutuksen seurannan kautta tutkiskellut välillä asiaa. Meikäläisen delli on varustettu vielä i7 6700 prossulla, joka on todellakin overkill pelkkään opnsensen ajamiseen

 

[Alfh]

kun taas minikoneissa olisi vähävirtaisempia T-mallin prossuja, mutta ei taas kunnon verkkokortille tilaa

No, kun tällainen HP:n minikone kerran oli jo valmiina pyörittämässä virtuaaleja, niin virtualisoin myös OPNsensen ja toin sille kaikki verkot vlaneilla yhdestä verkkokortista. Tuplanattaan sillä operaattorin purkin sisäverkkoa. Saa nähdä kuinka hyvin pysyy kasassa. Toistaiseksi ainakin toimii hienosti. Speedtest näyttää 730/770 eli ihan ok. 600-930 on ollut vaihteluväli aiemmin.

Ahdistaa tuo operaattorin purkki kun ei ole sen hallintaan pääsyä ja kaikki portit ovat nattaavia. Tuo tämä nyt ainakin yhden muurin lisää ja yksityisyyttä omalle sisäverkolle jos ei muuta.

 

[Ihmemies]

Itsellä on HP Prodesk G3. Pari low profile slottia. Aika iso, ja cd-asema on turha, mutta toiminut OK. Tehot riittää gigaselle yhteydelle VPN:n kanssa. Platinum virtalähde, vei 13W idlenä. Maksoi 150€ 2,5v sitten.

Julkaistu 2017. 6300T, 8GB ddr4 muistia ja 256Gb Toshiban SSD.

Itsellä onneksi tulee WAN liitäntä rj45:sta suoraan kämppään, niin ei tarvitse katsella isp:n laitteita.

 

[Hanziz]

Kysymys opnsenseen / mikrotikin swOS kytkimeen. Juuri sain eilen rakenneltua opnsense boxin (3xrj45) jonka perässä mikrotikin hallittava kytkin (CSS326-24G-2S+RM) . Muutama verkko tarvis eristää toisistaan, eli mikä olisi paras tapa hoitaa tämä. Mikrotikillä saan kyllä verkot erilleen näillä ohjeillta, mutta tällöin tipahtaa valokuitu pois pelistä. Pitääkö minun lisäksi jotain conffata tuolta opnsensen puolelta vaikka alustavasti tarkoitus hoitaa nuo vlanit kytkimen puolelta.

 

[juuhokei]

Kysymys opnsenseen / mikrotikin swOS kytkimeen. Juuri sain eilen rakenneltua opnsense boxin (3xrj45) jonka perässä mikrotikin hallittava kytkin (CSS326-24G-2S+RM) . Muutama verkko tarvis eristää toisistaan, eli mikä olisi paras tapa hoitaa tämä. Mikrotikillä saan kyllä verkot erilleen näillä ohjeillta, mutta tällöin tipahtaa valokuitu pois pelistä. Pitääkö minun lisäksi jotain conffata tuolta opnsensen puolelta vaikka alustavasti tarkoitus hoitaa nuo vlanit kytkimen puolelta.

Opnsensessä tietty verkkojen luonti ja reititys internetiin (menee automaattisesti) sekä verkkojen välinen muuraus palomuurisäännöillä. Kytkimellä sitten vain kuljetetaan kyseisten verkkojen vlanit halutuille laitteille. Muurin ja kytkimen välille trunk portti joiden kautta kaikki vlanit kuljetetaan.

How to Configure VLANs in OPNsense

 

[Pörkyle]

Asrock, Asus ja MSI tekevät myös jos minkälaista reittitin/servu käyttöön sopivaa pikku lautaa ja laitetta mutta näkyy aika harvasssa kaupassa olevan tarjolla jos ollenkaan.

https://ipc.msi.com/product_detail/Industrial-Motherboard/Mini-ITX/MS-CF10

https://ipc.msi.com/product_detail/Industrial-Motherboard/Mini-ITX/MS-CF13

https://ipc.msi.com/products_list/Industrial-Computer-Box-PC

https://ipc.msi.com/products_list/Industrial-Motherboard

https://www.asrockind.com/en-gb/fanless-embedded-box-pc

https://www.asrockind.com/en-gb/single-board-computer

Asus ASUS NUC 13 Rugged, PL64 ja Shuttle DL30N koneita näkyy olevan ihan datatronicilla listoilla.

Ensimmäiset IPFire boxin tilaajat näköjään saaneet jo laitteita käsiinsä. Unboxing the new IPFire Mini Appliance

Ei itellä kyllä oikeastaan tarvetta ole mutta harraste mielessä vois jonku pikku emon/koneen hommata.

 

[Sampo_91]

Onko joku ehtinyt testailla jo pfSense Plus 25.03 Beta 1:stä? Mun testailut tyrehtyvät heti alkuunsa, kun 25.03 ei tunnista Proxmoxilta passthrough'na tuotua Intelin I226-V:tä. Boot verification failaa ja homma rokkaa saman tien bootin jälkeen 24.11:ssä.

 

[user9999]

Jonkin verran tapauksia, joissa Netgate laitteiden eMMC levyt hajonneet.

Another Netgate with storage failure, 6 in total so far

Yesterday, I had ANOTHER 4100 die, just 2 years old. I tried to salvage the situation by remotely walking the customer through installing pfSense onto a USB ...

forum.netgate.com

6100 with failed eMMC
4200 with failed eMMC
failed NVMe on a 6100 MAX
2100 MAX reporting 48% health
1100 with failed eMMC

Troubleshooting Disk Writes | pfSense Documentation

docs.netgate.com

Troubleshooting Disk Lifetime | pfSense Documentation

docs.netgate.com

 

[dataaja95]

Jonkin verran tapauksia, joissa Netgate laitteiden eMMC levyt hajonneet.

Another Netgate with storage failure, 6 in total so far

Yesterday, I had ANOTHER 4100 die, just 2 years old. I tried to salvage the situation by remotely walking the customer through installing pfSense onto a USB ...

forum.netgate.com

6100 with failed eMMC
4200 with failed eMMC
failed NVMe on a 6100 MAX
2100 MAX reporting 48% health
1100 with failed eMMC

Troubleshooting Disk Writes | pfSense Documentation

docs.netgate.com

Troubleshooting Disk Lifetime | pfSense Documentation

docs.netgate.com

Ihmettelen miksi käyttävät emmc levyjä, olettaisin, että käytössä olisivat ihan perus nme ssd:t, kuitenkin enterpriseluokan laitteista kysymys, joten automaattisesti oletin, että olisi valittu pitkäikäisiä komponentteja

 

[user9999]

Ihmettelen miksi käyttävät emmc levyjä, olettaisin, että käytössä olisivat ihan perus nme ssd:t, kuitenkin enterpriseluokan laitteista kysymys, joten automaattisesti oletin, että olisi valittu pitkäikäisiä komponentteja

Outoa kyllä. Base versioissa on eMMC ja Max versioissa sitten kunnon levy.

 

[dataaja95]

Näyttäisi opnsense tukevan natiivina perus freebsd:n repoja, näitähän ei pfsenseen saanut /usr/local/etc/repos löytyy konffit. Tuohan mahdollistaa vaikka mitä lisäverkkosoftaa palomuuriin, esim tämän, vaikuttaa pidemmälle jalostetummalta suricatalta

The Zeek Network Security Monitor

Zeek (formerly Bro) is the world’s leading platform for network security monitoring. Flexible, open source, and powered by defenders.

zeekdotorg.wpcomstaging.com

 

[dataaja95]

EI nyt ihan mene rautamuurikategoriaan, mutta verkonvalvontajärjestelmä tämäkin, Onko foorumilla kokemusta securityonionista. Sisältää näemmä kaikenlaista kivaa verkkoanalytiikka ja logitussoftaa, josta saa hälytyksiä eri järjestelmiin

https://securityonionsolutions.com/software

Vastaan tuli myös verkon pääsynvalvontaan packetfence

PacketFence | Open Source NAC

www.packetfence.org

 

[swep]

Jaettu ostoskori - Verkkokauppa.com

TP-Link TG-3468 -verkkokortti ja yksi muu tuote.

www.verkkokauppa.com

oisko ne sopivat komponentit opnsense setupiin? tarkistin ja toi tp link kortti on tuettu freebsd 14.1 kernella, mut en varmaa jos voisin saa parempii hallittu kytkimen samalla tai alemmalla hinnalla (jos vastaavalla hinnalla saada poe halittu kytkin, sitten varmasti ostaisin semmoinen) . Aion käyttää näitä elitedesk 800 g1 sff:lla. i5-4690 ja 4G ram (tarvinko ssd tai vanha kovalevy läppäristä riittävä kai?).

pahoittelen huonosta suomenkielesta

 

[mailman]

Jaettu ostoskori - Verkkokauppa.com

TP-Link TG-3468 -verkkokortti ja yksi muu tuote.

www.verkkokauppa.com

oisko ne sopivat komponentit opnsense setupiin? tarkistin ja toi tp link kortti on tuettu freebsd 14.1 kernella, mut en varmaa jos voisin saa parempii hallittu kytkimen samalla tai alemmalla hinnalla (jos vastaavalla hinnalla saada poe halittu kytkin, sitten varmasti ostaisin semmoinen) . Aion käyttää näitä elitedesk 800 g1 sff:lla. i5-4690 ja 4G ram (tarvinko ssd tai vanha kovalevy läppäristä riittävä kai?).

pahoittelen huonosta suomenkielesta

Laita suoraan intelin verkkokortti. Parempi tuki.
Ja nimenomaan 2 porttinen kortti. Yksi taisi tuolla myyntipuolella olevan myynnissäkin.

Samoten suorilta vain ssd levy kehiin, 120gb maksaa muutaman euron.
Itse vielä muistin tuplaisin, 4gb ddr3 kampa ei myöskään montaa euroa ole.

Kytkimeen en ota kantaa kun en tarpeitasi tiedä?

 

[escalibur]

Ehdottomasti Intelin verkkokortti jos hakee luotettavuutta ja toimintavarmuutta. Realtekin kortit ovat vähän niin ja näin aina kun käyttis (FreeBSD) päivittyy alla ja ajurituki on mitä on.

Aliexpressistä saa esim näitä dual i226 Intelin 2.5GbE verkkokortteja noin 40€:lla uutena.

(Mulla on tuollainen Lenovo M720q (i5 9500T, 16GB RAM...) kone myynnissä jos joku on vailla kompakttia pfSense-rautaa.)

 

[Barbarossa]

En itse ihan blankettisuositusta Intelin korteille antaisi.. Intelillä verkkopiireissä(kin) historiassa vähemmän kurantteja, kuten i225 versioineen on melko nopanheittoa. Tai hiukan kauempana menneisyydessä i211 variantit.

Omassa käytössä Saksasta ostetut refurbished i350-T4(v2) kortit ovat toimineet moitteetta, näitäkin saisi uutena kiinanmaalta edullisesti mutta riski saada väärennettyjä komponentteja ei ole vähäinen.

 

[mailman]

En itse ihan blankettisuositusta Intelin korteille antaisi.. Intelillä verkkopiireissä(kin) historiassa vähemmän kurantteja, kuten i225 versioineen on melko nopanheittoa. Tai hiukan kauempana menneisyydessä i211 variantit.

Omassa käytössä Saksasta ostetut refurbished i350-T4(v2) kortit ovat toimineet moitteetta, näitäkin saisi uutena kiinanmaalta edullisesti mutta riski saada väärennettyjä komponentteja ei ole vähäinen.

Varmasti kaikilla on ollut vähemmän kuranttia kamaa.
Mutta realtekki ja freebsd nyt tunnetusti ongelmallisempi kombo ollut.

Mitä sitten suosittelisit, jos ei inteliä?
Ja yhtälailla saksan maaltakin voit feikkiä saada

 

[escalibur]

Realtekin verkkokorteissa on sekin haaste ettei verkkokortit yleensä omaa omaa prossua, vaan nojaavat aina koneen omaan prossuun. Tämä voi sitten olla hyvä tai huono asia tietyissä tapauksissa.

 

[Ogeli]

Ehdottomasti Intelin verkkokortti jos hakee luotettavuutta ja toimintavarmuutta. Realtekin kortit ovat vähän niin ja näin aina kun käyttis (FreeBSD) päivittyy alla ja ajurituki on mitä on.

Me ollaan ennenkin keskusteltu asiasta, ajureiden tai muun suhteen mulla ei ole ollut ongelmia sen sijaan on havainto että realtec kuormittaa prossua huomattavasti enemmän.
Epäilisin johtuvan siitä että "paremmilla" korteilla linjan enkoodaus tapahtuu kortilla kun taas realtek purku tapahtuu ajurissa???

Noh täällä hetkellä on ongema broadcom/proxmox yhdistelmän kanssa, joku mättää kun opnsense ei toimi,
paljaalla raudalla sekä linux että freebsd toimii.

 

[Barbarossa]

Varmasti kaikilla on ollut vähemmän kuranttia kamaa.
Mutta realtekki ja freebsd nyt tunnetusti ongelmallisempi kombo ollut.

En sanallakaan viitannut Realtekkiin, suuntaan taikka toiseen.

Mitä sitten suosittelisit, jos ei inteliä?
Ja yhtälailla saksan maaltakin voit feikkiä saada

Mielestäni en sanonut että Inteliä pitää erityisesti välttää, totesin vaan että en menisi suosittelemaan "Inteliä" ilman mitään tarkennuksia. Joku vielä menee ostamaan niitä paskaksi tiedettyjä Intelin harharetkiä, jotkut oikeasti uskovat että mikä tahansa missä lukee Intel on automaattisesti priimaa.

 

[swep]

Laita suoraan intelin verkkokortti. Parempi tuki.
Ja nimenomaan 2 porttinen kortti. Yksi taisi tuolla myyntipuolella olevan myynnissäkin.

Samoten suorilta vain ssd levy kehiin, 120gb maksaa muutaman euron.
Itse vielä muistin tuplaisin, 4gb ddr3 kampa ei myöskään montaa euroa ole.

Kytkimeen en ota kantaa kun en tarpeitasi tiedä?

mul on paljon 2gb ddr3 kampat, voisin laittaa 8gb quad kanavalla sitten.
kovalevystä kysyin koska mul on pari vanhat kovalevyt ja luulin että voisin käyttää näitä.

kytkin tarvin vähintään 8 porttia, pako olla hallittava. PoE olisi makea kun saan tukiaseman

Me ollaan ennenkin keskusteltu asiasta, ajureiden tai muun suhteen mulla ei ole ollut ongelmia sen sijaan on havainto että realtec kuormittaa prossua huomattavasti enemmän.

mielenkiintoinen, en oo ajatellu siitä

 

[mailman]

mul on paljon 2gb ddr3 kampat, voisin laittaa 8gb quad kanavalla sitten.
kovalevystä kysyin koska mul on pari vanhat kovalevyt ja luulin että voisin käyttää näitä.

Kyllä se vanha hdd toimii, ssd vaan pirusti nopeampi.
Muistia vaan lisää niin paljon kuin menee/löytyy, varsinkin jos hddllä menet alkuun.

 

[mixoet]

Omassa käytössä Saksasta ostetut refurbished i350-T4(v2) kortit ovat toimineet moitteetta, näitäkin saisi uutena kiinanmaalta edullisesti mutta riski saada väärennettyjä komponentteja ei ole vähäinen.

Mistä olet ostanut noita kortteja?

 

[mailman]

Mistä olet ostanut noita kortteja?

Itse ihan ebaystä. Kattonut vaan että on ns vanha myyjä jne.
Kaikki 10gb kortit olleet sitä mitä pitikin

 

[Barbarossa]

Mistä olet ostanut noita kortteja?

Yleensä olen etsinyt eBaystä jonkun myyjän jolla on historiaa takana, mielellään myös firma eikä yksityinen. Joka kerta tullut mitä pitikin.

 

[user9999]

Pfsense System Patches 2.2.20_3 julkaistu.

https://redmine.pfsense.org/issues/15990

https://redmine.pfsense.org/issues/16076

 

[Pörkyle]

IPFire 2.29 - Core Update 192 julkaistu

www.ipfire.org - IPFire 2.29 - Core Update 192 released

www.ipfire.org

Today, we are releasing the latest version of IPFire: Version 2.29 - Core Update 192. It comes with a major kernel update to Linux 6.12, collectd 5, faster compression and decompression for the DELFATE algorithm, and lots of smaller bug and security fixes.

 

[Khauron]

pfSense System_Patches 2.2.20_4 julkaistu.

• Fix rule order after deleting or adding a firewall rule (Follow-up fix) (Redmine #16076)

 

[Indicaattori]

Olen yhden Futro S920 -thin clientin rakentanut, johon asensin Intelin NIC-kortin ja 12GB RAM-muistia, joka oli peräisin vanhasta läppärin raadosta. Laitteisto toimi hyvin ja oli todella virtapihi, kuluttaen noin 15-20 wattia seinästä. Tämä setti maksoi yhteensä noin 80 euroa + oma pieni aika.

Tämä edeltävä laitteisto meni kaupaksi tässä pieni hetki sitten, ja nyt olen kokenut suurta tyhjyyden tunnetta. Haluaisin taas rakentaa OPNsenselle laitteen ja olen taas palannut katselemaan superhalpoja Futro S920 -thin clienttejä, joita on myynnissä Saksassa eBayn kautta noin 20-30 euroa kappale.

Käyttöni on verrattain kevyttä, ja luulen, että tämä laitteisto selviäisi myös kevyestä OpenVPN-käytöstä, jos haluaisin tutkailla IP-kameroitani ja Home Assistantia verkon yli. Mutta onko tässä jotain, mitä en näe? Onko tämä laitteisto liian mopo? Entä tulevat OPNsense-päivitykset – tulevatko ne vaatimaan paljon enemmän resursseja?

 

[Enhancer]

Olen yhden Futro S920 -thin clientin rakentanut, johon asensin Intelin NIC-kortin ja 12GB RAM-muistia, joka oli peräisin vanhasta läppärin raadosta. Laitteisto toimi hyvin ja oli todella virtapihi, kuluttaen noin 15-20 wattia seinästä. Tämä setti maksoi yhteensä noin 80 euroa + oma pieni aika.

Tämä edeltävä laitteisto meni kaupaksi tässä pieni hetki sitten, ja nyt olen kokenut suurta tyhjyyden tunnetta. Haluaisin taas rakentaa OPNsenselle laitteen ja olen taas palannut katselemaan superhalpoja Futro S920 -thin clienttejä, joita on myynnissä Saksassa eBayn kautta noin 20-30 euroa kappale.

Käyttöni on verrattain kevyttä, ja luulen, että tämä laitteisto selviäisi myös kevyestä OpenVPN-käytöstä, jos haluaisin tutkailla IP-kameroitani ja Home Assistantia verkon yli. Mutta onko tässä jotain, mitä en näe? Onko tämä laitteisto liian mopo? Entä tulevat OPNsense-päivitykset – tulevatko ne vaatimaan paljon enemmän resursseja?

Laitapa mulle yksityisviestiä. Voisi olla idea.

 

[Indicaattori]

Laitapa mulle yksityisviestiä. Voisi olla idea.

Valitettavasti en pysty vielä 25 päivään lähettämään yksityisviestejä.


Taitaa ihmisellä olla aivan liikaa aikaa, kun ehtii katsella eBayn Futro-tarjontaa ja tehdä niistä Excel-taulukoita. Tässä on 12.3 otettuja hintoja eBaysta ja pohdittu erilaisia vaihtoehtoja eri Futro-malleilla ja verkkokorteilla.

Luulisi, että AMD GX-Series GX-424CC @ 2,4 GHz riittäisi jonkinlaiseen OpenVPN:n pyörittämiseen.