Vastaus löytyy suoraan pfSensen dokumentaatiosta: Installing and Upgrading — Upgrade Guide | pfSense Documentation
Kiitos! Jos tuota nyt tulkitsee oikein ja ajatellaan, että versio on 2.4.0, niin siitä vielä voidaan suoraan päivittää. Mikäli on vanhempi, kuin 2.4.0 (esim. 2.3.x), niin silloin tarvitaan uudelleen asennus.
Ellei muu auta, niin ehkä tämä. Toivottavasti on tuore backup conffista: Netgate 1100 Security Gateway Manual — Reinstalling pfSense Plus Software | Netgate Documentation
Ei kyllä kuulosta hyvältä. Onko tuossa UFS vai ZFS?
Mitä etua tuo "Teams QoS" tuo esim fq_codeliin verrattuna?
No jaa-a
Itselläni vähän sama homma edessä ja sopivaa pfsense/opnsense rautaa kattellut josko saisi pientä ja söpöä mikä menisi kivasti räkkiin. Nyt käytössä on Ubiquitin dream machine pro ja siitä menee 10Gb linkki qnapin kytkimeen jossa 10Gb laitteet on kiinni. UDM:ssä ei mitään vikaa ole, mutta olisi tarvetta useammalle WAN yhteydelle, eikä UDM tue niitä... Olen katsellut Aliexpressistä Qotomin laitteita, niissä ei 10Gb:tä ole, mutta saisi vaikka 8x1Gb verran porttaja pienessä koossa ja olen myös katsellut tuota SG-6100 laitetta joka olisi kyllä sopiva ja melkoisen kykenevä laitekkin, mutta hintaa kyllä on ja siihen en usko että menee opnsense kiinni lainkaan. En ole toki tutkinut asiaa.
Joo, mielestäni siinäkään ei toimi kuin fail over toisessa WAN portissa... Jotain komentorivi virityksiä on tainnut joku tehdä, mutta se taitaa olla aina purkkaviritys...
Itsellä Fitlet2 ja erittäin tyytyväinen. Vähän kallis, mutta kerran sen kirpaisi silloin kun sen maksoin. Tuo vaikuttaisi kovalta tuo Fitlet3. Veikkaan, että hinnat ovat vielä kovemmat nyt ja saatavuus tulee olemaan olematon. Ehkä sitten Fitlet4 ECC-tuki ja 10G-tuki.
Tarvitseeko välttämättä reitittää 10g verkkojen välillä? Jos jotain NASia tms käytössä niin laittaisin vaan samaan verkkon kuin laitteet joilta käytetään.
Tarvitsee koska laitteita noin 10 eri vlanissa. Gigaiset linkit hyvin käytetty tällä hetkellä. Tai 10g verkkojen välillä ei tarvitse välttämättä, mutta tuota liikennettä noissa 10 verkossa sen verran paljon, että gigan linkit on jo pullonkaula. Runkoverkko siksi muuttumassa 2x10Gb, että saa hetken hengähtää. Fyysiset serverit tulee myös 2X10Gb linkeillä runkoon.
Äkkiä tulee mieleen että eikö jokaiselle tiettyyn verkkoon palveluita tarjovalle serverille kannata luoda ko. verkkoon oma interface? Jos tämä ei ole mahdollista tai muuten halutaan 10Gb reititystä niin ainakin RouterOS 7:ssa on mahdollista reitittää vlanien välillä nimellisnopeudella. Kait noita vastaavia optimointeja on muillakin verkkolaitevalmistajilla?
Eikös UDMP:ssä ole gigan backplane? Jotain juoruja olen kuullut että hardware revikkojen myötä on saattanut parantua, mutta käsittääkseni rehellistä 10 gigan linkkiä UDMP ei jaksaisi vääntää.
Itse ainakin olen tyytyväinen pfsense+unifi yhdistemään, Unifin palomuurista en tykkää pätkääkään.
Siinä on 10Ggigan WAN ja LAN portit. En tiedä miten jaksaisi reitittää 10 gigaa kun ei ole kuin 1gb yhteys nettiin. Toki LAN:ssa 10 gigaa toimii hyvin. Ja suurin osa liikenteestä ei edes UDMP:lle asti tule kun menee vaan kytkimen portista toiseen.
Tässä vierähtikin aika pitkä tovi, mutta nyt tuli asennelluksi Proxmox 7.0 ja siihen OPNsense 21.7.4-amd64, mikä juuri päivittyi .5:een.
Tuota pfsenseä olen alkanut tutkimaan nyt, pitää vaan löytää rautaa jossa 10Gb LAN puoli (mahdollisesti 2) ja sitten kaksi WAN porttia. Minulla on kahdennettu nettiyhteydet ja molemmat aktiivisesti käytössä.
www.intel.com
Ehkä ei vaikuta loadiin ja lämpöihin, mutta WAN ei ole välttämättä paras interface IDS/IPS:lle Intrusion Prevention System — OPNsense documentation
www.netgate.com
OPNsensessä on testisääntö OPNsense-App-detect/test, jolla voi testata helposti, että http://pkg.opnsense.org/test/eicar.com.txt tuottaa blockin tai vähintään alertin, riippuen siitä miten IDS/IPS ja tuo sääntö on konffattu
Testasimpa huvikseni, tein lievästi mielenkiintoisen havainnon.
Mutta siis IPv6 on pelkää WAN puolta, koska se on julkisia osoitteita. Eli ihan menee kuten pitäiskin, tokihan IPv4 NAT pakkorakojen takia parikymmentä vuotta on totuttu ei julkisesti reitittyviin osoitteisiin, jotka on vain lähiverkkoa. Kun eivät voi olla muuta.
Toki, mutta tämä on tuon IDS:n konffaukselle pyllystä kun pitää olla interfaceissa lan että saa alerteissa oikeat IPv4 lan-osoitteet ja wan että saa IPv6-liikenteenkin syynättyä. Ja sitten alertit tulevat tuplana. Deny-säännöille ei liene merkitystä.
Laitetaan nyt tähän ketjuun kun tuli tuo Apple Watch laitettua reilu vuosi sitten. Eli pfSensessä Radius palvelin (EAP-TLS) eli sertifikaateilla autentikoidaan wifiin. Hommasin pari Apple HomePod Mini kaiutinta niin ne kanssa tukevat tuota samoin kuin Apple Watch. HomePod Minissä on sama SOC kuin Apple Watch SE ja Series 5 malleissa niin outoa olisi jos ei olisi toiminut. HomePod Mini tukee myös 5GHz wifi verkkoa eli se itsellä käytössä.Laitetaan nyt tänne jos joku joskus tarvitsee Applen laitteisiin.
Eli mulla on pfSensessä FreeRadius palvelin ja wifissä EAP-TLS eli sertifikaateilla autentikoidaan. Tuli hommattua Apple Watch Series 6 älykello niin tarpeena oli liittää tuo tuohon samaan langattomaan verkkoon. Tuo Apple Watch Series 6 tukee nyt uutena ominaisuutena 5GHz langatonta verkkoa.
Tuo olikin yllättävän helppo, koska mulla oli valmis Apple Configuration profiili eli sama mikä toimii Mac, iPhone, iPad jne. laitteissa.
IPhonessa tuo profiili on jo käytössä, mutta piti AirDropilla tiputtaa se uudestaan (Mac --> iPhone). Tuo sen takia, että profiilin pystyy asentamaan kelloon näin jälkeenpäin.
Tuosta kuvasta piti valita Apple Watch niin se asentuu kelloon. Tuo kuva on vanhasta iOS versiosta, kun siitä puuttuu molempiin valinta.
No profiili ilmestyi kelloon ja EAP-TLS wifi toimii.
Mulla on AP:ssa Mac filter käytössä niin iOS 14, iPadOS 14 ja watchOS 7 on tullut muutoksia tuohon.
Yksityisten Wi-Fi-osoitteiden käyttäminen iPhonessa, iPadissa, iPod touchissa ja Apple Watchissa - Apple-tuki (FI)
Tietosuojan parantamiseksi laitteesi käyttää eri MAC-osoitetta jokaisessa Wi-Fi-verkossa.support.apple.com
Edit: Lisätietoa noista EAP tyypeistä
802.1X Overview and EAP Types
This page provides an overview on 802.1x and explains the various protocols—MD5, LEAP, PEAP, TLS, and TTLS.
forum.netgate.com
forum.netgate.com
Katsoisin kotikäyttöön jotain tämäntyylistä purkkia: NRG Systems IPU Systeme und Zubehör ...ja pistäisin proxmoxin, siihen pfsensen ja esim ubuntua piholea varten + jos haluaa niin jotain muutakin säätöä, esim jos haluaa ajaa grafanaa tai home assistanttia samalla raudalla myös.
Minkä verkkokortin ostat tuohon?
Se on vähän auki vielä. Tilasin nyt kokeeksi Solarflare S7122:sen ja Mellanox MCX354A:n (QSFP+ mutta adapterilla SFP+:ksi). Lisäksi jossain kätköissä pitäisi olla ainakin yksi Mellanox ConnectX-2 -kortti ja ties mikä HP. Täytyy kokeilla mikä noista pelaa luotettavasti ja pienimmällä sähkönkulutuksella.
Halvalla saa hyvää, mutta ei nopeasti. Jos tuota korjausta ei jaksa ottaa käyttöön, niin varmaan vaihtamalla no-ip.com salasana sellaiseen, mikä ei tarvitse URL-enkoodausta auttaa. Itsellä toimii sinne mainiosti.
Kyse ei niinkäään ole vaikeudesta, vaan valinnasta olemaan julkaisematta päivityksiä jatkuvasti. Jokainen muutos ja päivitys tarkoittaa riskejä, että jotain voi mennä rikki. Tämän takia julkaisuversiota on syytä testata pitkään, ennen sen julkaisemista tuotantoon. pfSensen TOP 2 prioriteetti on vakaus ja jatkuva päivittäminen olisi sen vaarantamista. Lisäksi tuo koko no-ip dyn ominaisuus on sen verran harvojen (yritysten) käytössä, ettei asia välttämättä ole erityisen korkealla devaajien prioriteettilistalla.
Tämä oli hyvä muistutus, että ilmainenhan tämä on loppujen lopuksi.
Päivityksiä ei tarvitse joka viikko suoltaa pihalle, vaan pieniä korjauksia voisi tehdä jollain aikataululla, kun bugeja todetaan. Tuo on hyvä, että pyritään vakauteen ja luotettavuuteen sen sijaan, että uusia päivityksiä lykätään jatkuvasti pihalle. Sekin on selvä, että kaikki asiat on mahdoton ottaa huomioon, kun katsoo mihin kaikkeen pfsensekin taipuu lisäosineen.
