Tee-se-itse: Rautapalomuurit (pfSense, Sophos UTM..) (Mitä käytätte ja miksi juuri se vaihtoehto?)

[Rensu]

dy.fi:n vaatimaa tiuhempaa päivitystahtia varten olen patchannut vain tämän (pitäisi vaivautua lisäämään tuo UI:lle ja tarjoamaan mainlineen):

/etc/inc: diff dyndns.class dyndns.class.org252
344c344
< $this->_dnsMaxCacheAgeDays = 6;

Tuo ominaisuus on tulossa 2.6 versioon, viimeinkin. Tovi tuossakin on vierähtänyt.
Feature #9092: Option to set interval of forced Dynamic DNS updates - pfSense - pfSense bugtracker

 

[user9999]

Hitaasti tulee kyllä pfSenseen päivityksiä.

Spoileri: pkg audit -F

Fetching vuln.xml.bz2: .......... done
curl-7.76.1 is vulnerable:
cURL -- Multiple vulnerabilities
CVE: CVE-2021-22947
CVE: CVE-2021-22946
CVE: CVE-2021-22945
WWW: VuXML: cURL -- Multiple vulnerabilities

cURL -- Multiple vulnerabilities
CVE: CVE-2021-22926
CVE: CVE-2021-22925
CVE: CVE-2021-22924
CVE: CVE-2021-22923
CVE: CVE-2021-22922
WWW: VuXML: cURL -- Multiple vulnerabilities

mpd5-5.9 is vulnerable:
MPD5 PPPoE Server remotely exploitable crash
WWW: VuXML: MPD5 PPPoE Server remotely exploitable crash

python38-3.8.10 is vulnerable:
Python -- multiple vulnerabilities
WWW: VuXML: Python -- multiple vulnerabilities

4 problem(s) in 3 installed package(s) found.

 

[haller]

Onko pfSensen päivitysnopeudessa tapahtunut mitään muutoksia Plus- ja community-versioihin jaon jälkeen?

 

[juuhokei]

Itsellä vuosi ollut OPNsense ajossa ja tyytyväinen ainakin toistaiseksi, päivitystahti paljon nopeampi kuin pfSensellä ja en ole huomannut että mitään olisi mennyt ikinä rikki. Migraatio raudasta virtuaalikoneeseen meni myös nätisti kunhan sääti interfacet kuntoon ja haki Wireguardin paketin.

 

[TunTuri]

Hmm.. pitänee varmaan kokeilla OPNsenseä uusiksi jossain vaiheessa, ihan vain itsensä sivistämisen vuoksi. Viimeksi kokeiltuani siinä oli kaksi hylkäämiseen johtanutta ongelmaa, jokin DNS ongelma jonka detaileja en muista mutta joka ei ratkennut tunnin selvittelylläkään ja toinen että palomuurisääntöjen ohessa ei näkynyt statemäärää ja datan määrää, mitä oli nappautunut mihinkin palomuurisääntöön. Ehkä nämä ovat jo korjautuneet ajan kanssa, mielellään pitäisi itsensä valveutuneena edes jostain vaihtoehdosta pfsenselle.

 

[juuhokei]

Hmm.. pitänee varmaan kokeilla OPNsenseä uusiksi jossain vaiheessa, ihan vain itsensä sivistämisen vuoksi. Viimeksi kokeiltuani siinä oli kaksi hylkäämiseen johtanutta ongelmaa, jokin DNS ongelma jonka detaileja en muista mutta joka ei ratkennut tunnin selvittelylläkään ja toinen että palomuurisääntöjen ohessa ei näkynyt statemäärää ja datan määrää, mitä oli nappautunut mihinkin palomuurisääntöön. Ehkä nämä ovat jo korjautuneet ajan kanssa, mielellään pitäisi itsensä valveutuneena edes jostain vaihtoehdosta pfsenselle.

Kyllä nämä löytyy oikean ylänurkan Inspect-napin takaa, sitä en tiedä kauanko ominaisuus on ollut olemassa:

 

[juuhokei]

Tulipa mieleen kun töissä päässyt Check Pointin ja Fortinetin palomuurien kanssa työskentelemään, että onko kenellään näistä kaupallisista palomuureista tiedossa edullisia virtuaalikone lisenssejä labra/kotikäyttöön? Monesta olemassa 2-4 viikon trialeja mutta olisi kiva ajaa samaa kotona 24/7 ja testata erilaisia juttuja. Etenkin Check Pointiin olen tykästynyt. Muista kiinnostaisi esimerkiksi Palo Alto, Fortinet, Cisco ja Juniper.

Edit: Untanglella on olemassa edullinen kotilisenssi mutta sitä en tähän kategoriaan laskisi.

 

[escalibur]

Tulipa mieleen kun töissä päässyt Check Pointin ja Fortinetin palomuurien kanssa työskentelemään, että onko kenellään näistä kaupallisista palomuureista tiedossa edullisia virtuaalikone lisenssejä labra/kotikäyttöön? Monesta olemassa 2-4 viikon trialeja mutta olisi kiva ajaa samaa kotona 24/7 ja testata erilaisia juttuja. Etenkin Check Pointiin olen tykästynyt. Muista kiinnostaisi esimerkiksi Palo Alto, Fortinet, Cisco ja Juniper.

Edit: Untanglella on olemassa edullinen kotilisenssi mutta sitä en tähän kategoriaan laskisi.

Vaikka ollaan pahasti offtopicin puolella, vastaan silti. Noista kannattaa kysellä työpaikan kautta. Monen vendorin support on valmis tarjoamaan erilaisia pidennettyä trial- tai NFR-lisenssejä testaus- ja opiskelukäyttöön. Rokeasti vain yhteyttä kontaktikanaviin ja eiköhän joku noista tule vastaan.

 

[dataaja95]

Miten saan opnsensessä määritettyä ilmoitukset meiliin esim vaikka päivityksistä tai verkkoyhteyden katkeamisesta. PfSensessä tuo sujui kätevästi system, advance, notifications alta, mutta opnsensessä ei tunnu olevan mitään järkevää tapaa tuon määrittämiseen.

 

[maninthemoon]

Mitä en tajua, jos määrittelen vaikka IoT verkolle aliaksen missä privaluokan verkkoalueet on kerrottu
192.168.0.0/16
172.16.0.0/12
10.0.0.0/8
ja teen 2 muurisääntöä. Ylempänä blokataan tuo alias, missä noi verkot on määritelty ja tuon säännön alapuolella on sääntö missä sallitaan kaikki. Eikö se tällä mekanismilla laitteiden pitäisi päästä ulos? En ainakaan saa toimimaan, niin ehkä tässä on jotain, mitä en nyt huomaa.

 

[Khauron]

Mikä muuri? pfSense / opnSense?
Sääntöjen käsittely pysähtyy tuohon ensimmäiseen, eli blokkiin, eikä jatku siitä?
Toinen mikä tulee mieleen on se, että nuo ym. muurit kyttää liikennettä interface-pohjaisesti. Eli onko nuo sulla VLANeina, vai jotenkin muuten?

 

[TunTuri]

Tjooh, jos sääntö täsmää, niin silloin jäädään siihen. blokkisäännön jälkeen jos onkin sallivaa, niin ei silloin sinne asti päästä jos blokkisääntö tarraa. ...ellen ole nyt kässännyt jotain väärin.

 

[sra2010]

Mitä en tajua, jos määrittelen vaikka IoT verkolle aliaksen missä privaluokan verkkoalueet on kerrottu
192.168.0.0/16
172.16.0.0/12
10.0.0.0/8
ja teen 2 muurisääntöä. Ylempänä blokataan tuo alias, missä noi verkot on määritelty ja tuon säännön alapuolella on sääntö missä sallitaan kaikki. Eikö se tällä mekanismilla laitteiden pitäisi päästä ulos? En ainakaan saa toimimaan, niin ehkä tässä on jotain, mitä en nyt huomaa.

Saattaa käydä niin, että estät tuolla säännöllä myös dns liikenteen. Pystytkö pingaamaan esim 8.8.8.8 eli google dns? Mikäli pysyt, mutta muuten ei normi selailu toimi niin laita ylimmäksi sääntö joka sallii dns liikenteen palomuuriin.

 

[maninthemoon]

Mikä muuri? pfSense / opnSense?
Sääntöjen käsittely pysähtyy tuohon ensimmäiseen, eli blokkiin, eikä jatku siitä?
Toinen mikä tulee mieleen on se, että nuo ym. muurit kyttää liikennettä interface-pohjaisesti. Eli onko nuo sulla VLANeina, vai jotenkin muuten?

Tärkein tietysti jäi kertomatta. Pfsense kyseessä.
Liikenne pysähtyy tosiaan tuohon ensimmäiseen sääntöön eikä reittiä ole internettiin. Ja VLAN:eina olen interfacet tehnyt.

Kokeilin tätä, kun katsoin yhden hekilön tekemää ohjetta, mutta toki siinäkään ei käynyt selväksi, että pääsikö päättelaitteet ulos asti. Testasi, että blokkasi kyllä verkkojen välisen keskustelun.

Joku tuossa tökkää, kun laittaa kaikki noi edellä mainitut priva verkot kokonaisuudessaan blokaten. Tämä kyllä toimii nyt yhdellä sallitulla säännöllä niin, että blokkaan vain ne priva verkot mitä oikeasti on käytössä enkä kokonaista aluetta. Säännössä on sitten Invert Match sääntö missä on merkattu tuo alias missä on kaikki olemassa olevat priva verkot.

Tuota samaa jos yritää säännössä sen verran muokata, että vaihtaa vain aliaksen missä priva verkot on kokonaisuudeessaan kerrottu, niin ei toimi.

Saattaa käydä niin, että estät tuolla säännöllä myös dns liikenteen. Pystytkö pingaamaan esim 8.8.8.8 eli google dns? Mikäli pysyt, mutta muuten ei normi selailu toimi niin laita ylimmäksi sääntö joka sallii dns liikenteen palomuuriin.

Ei toimi. Kännyllä liityn tuohon verkkoon, niin ilmoittaa, että yhdistetty ilman internettiä.

Eikä tällä ole niin väliä, kun kaikki toimii muuten niin kuin haluan, mutta tuo tosiaan olisi ollut hiukan selkeämpi vaihtoehto.

Tämä on se malli mitä kokeilin.

Tässä vielä esimerkki käänteisesti. Eli sallitaan kaikki pääsy kaikkialle paitsi priva verkkoihin. Ei toimi tämäkään.

 

[sra2010]

Tärkein tietysti jäi kertomatta. Pfsense kyseessä.
Liikenne pysähtyy tosiaan tuohon ensimmäiseen sääntöön eikä reittiä ole internettiin. Ja VLAN:eina olen interfacet tehnyt.

Kokeilin tätä, kun katsoin yhden hekilön tekemää ohjetta, mutta toki siinäkään ei käynyt selväksi, että pääsikö päättelaitteet ulos asti. Testasi, että blokkasi kyllä verkkojen välisen keskustelun.

Joku tuossa tökkää, kun laittaa kaikki noi edellä mainitut priva verkot kokonaisuudessaan blokaten. Tämä kyllä toimii nyt yhdellä sallitulla säännöllä niin, että blokkaan vain ne priva verkot mitä oikeasti on käytössä enkä kokonaista aluetta. Säännössä on sitten Invert Match sääntö missä on merkattu tuo alias missä on kaikki olemassa olevat priva verkot.

Tuota samaa jos yritää säännössä sen verran muokata, että vaihtaa vain aliaksen missä priva verkot on kokonaisuudeessaan kerrottu, niin ei toimi.


Ei toimi. Kännyllä liityn tuohon verkkoon, niin ilmoittaa, että yhdistetty ilman internettiä.

Eikä tällä ole niin väliä, kun kaikki toimii muuten niin kuin haluan, mutta tuo tosiaan olisi ollut hiukan selkeämpi vaihtoehto.

Tämä on se malli mitä kokeilin.



Tässä vielä esimerkki käänteisesti. Eli sallitaan kaikki pääsy kaikkialle paitsi priva verkkoihin. Ei toimi tämäkään.

Sun pitää sallia liikenne palomuuriin portista 53, niin sitten laitteet osaa mennä nettiin. Jokaiselle vlan:lle luot oman säännön joka sallii dns portin 53 siihen osoitteeseen joka palomuurilla siinä interfacessa on.

 

[juuhokei]

Laita lokitus päälle droppisääntöön niin helpompi hakea vikaa. Itse veikkaan myös ettei pääsyä DHCP:lle ja/tai DNS:lle.

edit: niin ja kai automaattinen outbound NAT päällä että osaa tuon verkon natata ulos julkiselle osoitteelle.

 

[maninthemoon]

Sun pitää sallia liikenne palomuuriin portista 53, niin sitten laitteet osaa mennä nettiin. Jokaiselle vlan:lle luot oman säännön joka sallii dns portin 53 siihen osoitteeseen joka palomuurilla siinä interfacessa on.

No tämähän se oli!. Ihan selkeähän tuo on, mutta ei näitä aina itse heti hokaa. Kiitos vinkeistä!

Edit. Sen takia tuo aikaisempi alias on toiminut, kun jokaiselle vlanillen on omansa missä omaa verkkoaluetta ei ole blokattu, niin dns on kulkenut. Nyt kun tässä on kaikki priva verkot blokattu, niin dns ei tietenkään päässyt läpi.

 

[maninthemoon]

En nyt vielä kerinnyt tämän syvällisemmin tutkia asiaa, niin heitän kysymyksen tähän, jos joltakulta tulee selkeä vastaus.

En ole tätä aikaisemmin seurannut ja netti kyllä toimii muuten moitteettomasti ellei näitä seuraavia tulisi seurattua.

Eli, tuossa tein netille nopeuden noston 150 megaseen (kaapeli) ja jos täyttä kaistaa valuu tavaraa sisään, niin Pfsensen Gatewayssa tulee packet loss:ia ja jos samaan aikaan pingaa, niin pingiin tulee satunnaisia katkoksia. Antaako olla vai kannattaako säätää jotain, jos tämä on ns. näennäistä eikä oikeasti vaikuta mihinkään toimintaan? Huomasin tämän eilen. Eli sen pidemmältä ajalta ei vielä ole tuloksia toiminnan kannalta.

 

[TunTuri]

...

11% lossi kuiteskin.. näinköhän fq_codel auttaisi tuohon, vaikka sekin periaatteessa tekee lossia. Kokeilisin ehkä tuota, tässä joku vanha tutoriaalikin asiaan

 

[maninthemoon]

11% lossi kuiteskin.. näinköhän fq_codel auttaisi tuohon, vaikka sekin periaatteessa tekee lossia. Kokeilisin ehkä tuota, tässä joku vanha tutoriaalikin asiaan

Täytyypä vilkaista tuo video läpi ja testailla vielä.

 

[maninthemoon]

Seuraava typerä kysymys. Testailen (tai siis yritän) saada Serverille VPN palvelua (RAS) asennettua. Kyllä tuo palvelu sinne asentui ja pelaakin sisäverkosta, mutta pfsensen porttiohjaus ei nyt suostu toimimaan. Yritin katsella elisan sivujakin ja ei eteen osunut mainintoja porteista 1701, 4500 ja 500 mitä tuo ilmeisesti tarvitsee toimiakseen ulkoa päin.

Yritän tällä katsella, että onko portit auki, mutta ei. Avasin testiksi 443 portin mikä kyllä toimii vallan hienosti ja näyttää aukinaista testatessa, mutta nuo muut mainitut portit ei suostu aukeamaan. Kaapelinetti edelleen käytössä.

Port Checker - Check Open Ports Online

Port Checker is a simple tool to check for open ports and test port forwarding setup on your router. Verify and diagnose connection errors on your computer.

portchecker.co

 

[JannePee]

Operaattoreilla usein suljettuna alapään portteja. DNA taisi blokata jossain vaiheessa kaikki portit alle 1000 joten piti leikkiä port forwardereilla

 

[JannePee]

Näköjään Elisalla vain muutama portti blokattuna mutta ei esteenä siis tuolle RSA: Liikenteenhallintamenetelmät

 

[maninthemoon]

Näköjään Elisalla vain muutama portti blokattuna mutta ei esteenä siis tuolle RSA: Liikenteenhallintamenetelmät

Tuota minäkin katselin niin sen takia hiukka ihmetyttääkin, että miksi ei toimi.

 

[JannePee]

Tuota minäkin katselin niin sen takia hiukka ihmetyttääkin, että miksi ei toimi.

Itse palvelimen softamuurissa auki myös nuo portit? Monesti nuo unohtuu.

 

[maninthemoon]

Itse palvelimen softamuurissa auki myös nuo portit? Monesti nuo unohtuu.

On vallan pois päältä. Täytyy vielä kokeilla tappaa palvelu kaiken varalle.

 

[mikajh]

Yritin katsella elisan sivujakin ja ei eteen osunut mainintoja porteista 1701, 4500 ja 500 mitä tuo ilmeisesti tarvitsee toimiakseen ulkoa päin

Ja nämähän ovat siis UDP (ei TCP) -portteja: Virtual Private Networks — IPsec — IPsec and firewall rules | pfSense Documentation
Myös L2TP:n 1701. Itse en ole aikoihin käyttänyt noita VPN:ssä enkä koskaan pfSensessä. Elisa noita ei varmasti blokkaa edes kaapelissa.

 

[maninthemoon]

Ja nämähän ovat siis UDP (ei TCP) -portteja: Virtual Private Networks — IPsec — IPsec and firewall rules | pfSense Documentation
Myös L2TP:n 1701. Itse en ole aikoihin käyttänyt noita VPN:ssä enkä koskaan pfSensessä. Elisa noita ei varmasti blokkaa edes kaapelissa.

Kummatkin protokollat sallin, mutta ei apua. Nyt testailin lisää, niin rupeaa vaikuttamaan palvelimen pään reititys ongelmalta. Jos testaan VPN:ää sisäverkon osoitteella, niin yhdistyy kyllä, mutta ei löydä reittiä ulos. Ei muuta kuin lisää opiskelemaan tuon reitittämistä. Ei ihan ole selkeää kauraa itselleni, kun ensimmäistä kertaa puuhastelen tämän RAS:in kanssa.

 

[JannePee]

Palomuurissa pitää tehdä porttiohjaukset, ei riitä että avataan vaan nuo portit vaan muurille pitää kertoa, että juuri kyseisten porttien liikenne ohjataan tuolle VPN palvelimelle. Ei tuo muuri osaa ohjata muuten tulevaa liikennettä eli juurikin reititys puuttuu.

 

[maninthemoon]

Porttiohjaus on tehty oikein. Syy on nyt palvelimen päässä, mutta en ole vielä keksinyt, että mikä. Aloitan vallan uudelleen rakentamisen alusta uudelle palvelimelle, niin helpompi ehkä selvitellä tuota, kun on neitseellinen palvelin.

 

[user9999]

Kun keskustelua tuosta L2TP:n 1701 portista niin L2TP on mennyt rikki Windows 10 ja 11 päivityksissä. Ihan vain tiedoksi.

New Windows KB5009543, KB5009566 updates break L2TP VPN connections

Windows 10 users and administrators report problems making L2TP VPN connections after installing the recent Windows 10 KB5009543 and Windows 11 KB5009566 cumulative updates.

www.bleepingcomputer.com

Edit: Microsoft vahvistanut ongelman

Windows 10, version 21H2

View announcements and review known issues and fixes for Windows 10

docs.microsoft.com

After installing KB5009543, IP Security (IPSEC) connections which contain a Vendor ID might fail. VPN connections using Layer 2 Tunneling Protocol (L2TP) or IP security Internet Key Exchange (IPSEC IKE) might also be affected.

 

[maninthemoon]

En nyt vielä kerinnyt tämän syvällisemmin tutkia asiaa, niin heitän kysymyksen tähän, jos joltakulta tulee selkeä vastaus.

En ole tätä aikaisemmin seurannut ja netti kyllä toimii muuten moitteettomasti ellei näitä seuraavia tulisi seurattua.

Eli, tuossa tein netille nopeuden noston 150 megaseen (kaapeli) ja jos täyttä kaistaa valuu tavaraa sisään, niin Pfsensen Gatewayssa tulee packet loss:ia ja jos samaan aikaan pingaa, niin pingiin tulee satunnaisia katkoksia. Antaako olla vai kannattaako säätää jotain, jos tämä on ns. näennäistä eikä oikeasti vaikuta mihinkään toimintaan? Huomasin tämän eilen. Eli sen pidemmältä ajalta ei vielä ole tuloksia toiminnan kannalta.

Tuli tätä nyt testattua ja kokeiltua Lawrencen ohjettakin, mutta ei auttanut. No, syypää osoittautuikin sitten VPN:ään. Mullavad käytössä ja se päällä rupeaa paketteja katoamaan. Kokeilin ilman, niin ei mitään "ongelmaa". Oliko tähän kenelläkään mielessä jotain korjausta mikäli on edes tarvetta?

 

[maninthemoon]

Tuli lisää testailtua tuota serverin pään L2TP VPN:ää. Ei ole kyse tuosta mikkisoftan päivityksestä tässä kohtaa. Puhelimen saan kyllä yhdistymään ulkoverkosta VPN palvelimelle ja samoiten WIN 10 clientin toimii, jos käyttää osoitteena sisäverkon osoitetta. Mutta ei millään suostu toimimaan, kun laittaakin julkisen oisoitteen VPN sovellukseen. Tuli niin paljon testailtua kaikkea, mutta tuli eteen tuo NAT reflelction, että olisikohan se voinut vaikeuttaa sisäverkon testailua, kun se on oletuksena pois päältä?

No, täytyy jatkaa tämän parissa vielä toistamiseen toisena ajankohtana. Testasin kyllä läppärilläkin "ulkoverkosta", mutta kuten sanottu, niin sen verran tuli asetuksien kanssa kikkailtua, että täytyy näitä testailla uudelleen, kun ei muista mitä kaikkea tulikaan kokeiltua.

 

[Piitu]

Taloon tuli Elisan 1000M/400M kuitu ja näyttää nykyisestä reitittimestä loppuvan vääntö kesken. Kolme ylintä testattu PC Engines APU4D4 ja kaksi alinta VMware-virtuaalikoneella (Ryzen 1700, josta pfSenselle 4 corea). Molemmissa 4GB muistia ja pfSense 2.5.2 samanlaisella konffiksella. Pistin kokeeksi virtuaalikoneen testiin, kun alkoi tuon APU:n suorituskyky epäilyttää ja kyllähän se selkeä pullonkaula näyttää nyt olevan.

TEST_DATE	DOWNLOAD_MEGABITS	UPLOAD_MEGABITS	LATENCY_MS
01/16/2022 9:09	671.85	395.41	3​
01/16/2022 9:04	679.03	395.45	3​
01/16/2022 9:00	683.88	395.33	3​
01/16/2022 8:54	945.97	395.28	3​
01/16/2022 8:46	938.51	395.28	3​

 

[Gobi]

Taloon tuli Elisan 1000M/400M kuitu ja näyttää nykyisestä reitittimestä loppuvan vääntö kesken. Kolme ylintä testattu PC Engines APU4D4 ja kaksi alinta VMware-virtuaalikoneella (Ryzen 1700, josta pfSenselle 4 corea). Molemmissa 4GB muistia ja pfSense 2.5.2 samanlaisella konffiksella. Pistin kokeeksi virtuaalikoneen testiin, kun alkoi tuon APU:n suorituskyky epäilyttää ja kyllähän se selkeä pullonkaula näyttää nyt olevan.

Oletko katsonut tätä ohjetta? APU2 1Gbit throughput on pfSense (configuration instructions) (teklager.se)

edit. Näköjään pfSensen uudessa versiossa ei tarvikaan säädellä enää, se mitä pystyy reitittämään on käytössä.

 

[Piitu]

Oletko katsonut tätä ohjetta? APU2 1Gbit throughput on pfSense (configuration instructions) (teklager.se)

Enpä ollut, mutta tuo ohje sanoo, että 2.5.0 versio ei enää vaatisi mitään tweakkausta.

Gigabit config for pfSense 2.5.0
No tweaks are required! Don't follow any of the information listed below for pfSense 2.4.5.

pfSense 2.5.0 is able to utilize multiple NIC queues by default, and therefore no tweaks are necessary.

 

[Gobi]

Enpä ollut, mutta tuo ohje sanoo, että 2.5.0 versio ei enää vaatisi mitään tweakkausta.

Gigabit config for pfSense 2.5.0
No tweaks are required! Don't follow any of the information listed below for pfSense 2.4.5.

pfSense 2.5.0 is able to utilize multiple NIC queues by default, and therefore no tweaks are necessary.

Lisäsinkin sen viestiini. BIOSin päivitys enää tulee mieleen, sitten varmaan on tuo 4D4 taputeltu. Omistin saman purkin, möin ennen symmetrisen gigabitin tuloa.

 

[Piitu]

BIOSin päivitys enää tulee mieleen, sitten varmaan on tuo 4D4 taputeltu.

Tulipa BIOS-päivityskin (4.11.0.2 --> 4.14.0.6) vielä testattua, mutta ei ollut siitäkään lääkkeeksi hidasteluun.

 

[MOS6510]

Taloon tuli Elisan 1000M/400M kuitu ja näyttää nykyisestä reitittimestä loppuvan vääntö kesken. Kolme ylintä testattu PC Engines APU4D4 ja kaksi alinta VMware-virtuaalikoneella (Ryzen 1700, josta pfSenselle 4 corea). Molemmissa 4GB muistia ja pfSense 2.5.2 samanlaisella konffiksella. Pistin kokeeksi virtuaalikoneen testiin, kun alkoi tuon APU:n suorituskyky epäilyttää ja kyllähän se selkeä pullonkaula näyttää nyt olevan.

Hanki Fitlet 2 tai Fitlet 3 palomuurilaitteeksi ja vääntöä riittää.

 

[naguttaha]

En nyt vielä kerinnyt tämän syvällisemmin tutkia asiaa, niin heitän kysymyksen tähän, jos joltakulta tulee selkeä vastaus.

En ole tätä aikaisemmin seurannut ja netti kyllä toimii muuten moitteettomasti ellei näitä seuraavia tulisi seurattua.

Eli, tuossa tein netille nopeuden noston 150 megaseen (kaapeli) ja jos täyttä kaistaa valuu tavaraa sisään, niin Pfsensen Gatewayssa tulee packet loss:ia ja jos samaan aikaan pingaa, niin pingiin tulee satunnaisia katkoksia. Antaako olla vai kannattaako säätää jotain, jos tämä on ns. näennäistä eikä oikeasti vaikuta mihinkään toimintaan? Huomasin tämän eilen. Eli sen pidemmältä ajalta ei vielä ole tuloksia toiminnan kannalta.

Selvisikö tämä?

Itselläni "5G"-yhteys, jonka perässä Pfsense. Piti leikkiä MTU ja MSS asetuksilla jolloin packet lossin sain kuriin. Tällä hetkellä MTU=1428 ja MSS 1388

En tiedä auttaako sulle, mutta ei ole paha rasti kokeilla asetuksia...

 

[maninthemoon]

1388

Kokeilin noilla eikä apua. Verkko rupesi ehkä enemmän "heilumaan". Tuolla ylempänä totesinkin, että tämä johtuu tuosta VPN:stä. Ilman sitä ei ole mitään "ongelmaa" ja ei tule virheitä. Kuristin verkkoa hiukan maksiminopeudesta, niin silläkin sain paketti virheiden pysymään pois.

Täytyy ehkä ottaa testaukseen toinen VPN tarjoaja nyt, kun se on kohta ajankohtaista kuitenkin, että tapahtuuko muilla tätä.

 

[jsa]

Hanki Fitlet 2 tai Fitlet 3 palomuurilaitteeksi ja vääntöä riittää.

Saatavuus tuntuu olevan vähän haastavaa kummallakin :/

 

[escalibur]

Saatavuus tuntuu olevan vähän haastavaa kummallakin :/

Kävisikö Shuttle DS10U? Shuttle XPC slim DS10U, MiniPC -barebone, musta - 299,00€

 

[Zetbo]

OPNsense 22.1 released - OPNsense® is a true open source firewall and more

opnsense.org

OPNsense julkaisi uuden major version. Siirtyy nyt HardenedBSD:stä vanilla FreeBSD13. En ole vielä omaan Fitlettiin uskaltanu päivittää. Pitää venata pari bugfix versiota, että uskaltaa päivittää.

 

[jsa]

Kävisikö Shuttle DS10U? Shuttle XPC slim DS10U, MiniPC -barebone, musta - 299,00€

Mietin tuota kyllä, mutta pienempi fyysinen koko olisi hakusessa. No akuuttia tarvetta ei ole, joten haku jatkuu

 

[Grizzle]

Täältä löytyy monipuolisesti pieniä koneita: minipc.de

Olen ostanut tuolta yhden Jetway barebonen ja yhden Mitac mini-ITX emon ilman ongelmia.

 

[juuhokei]

OPNsense 22.1 released - OPNsense® is a true open source firewall and more

opnsense.org

OPNsense julkaisi uuden major version. Siirtyy nyt HardenedBSD:stä vanilla FreeBSD13. En ole vielä omaan Fitlettiin uskaltanu päivittää. Pitää venata pari bugfix versiota, että uskaltaa päivittää.

Itse lähdin heti "beta-testaajaksi", Proxmoxin backupista palauttaa äkkiä vanhan version jos tulee pahoja bugeja vastaan. Tietty jos muutoksia tekee konffikseen niin muistettava tehdä myös vanhaan jos palauttaa.

 

[juuhokei]

Itse lähdin heti "beta-testaajaksi", Proxmoxin backupista palauttaa äkkiä vanhan version jos tulee pahoja bugeja vastaan. Tietty jos muutoksia tekee konffikseen niin muistettava tehdä myös vanhaan jos palauttaa.

Vaikuttaisi resurssien käyttö ehkä hieman maltillisemmalta kun Proxmoxin graafeja katsoo, joskin aika se ja sama piikkaileeko CPU 1,4% vai 2%. Päivitys tuossa 28.1 piikin kohdalla:

Muistia tuntuisi myös vievän hieman vähemmän, voi tosin osin johtua myös bootista. Mitään ongelmia ei ole vielä tullut vastaan, joskaan plugareita ei ole muita kuin Wireguard.

 

[haller]

Pfsensen logissa oli tällaisia ihmetyksia ~20 riviä:

Vierailijaverkossa (10.23.45.1/24) on tasan yksi kone: 10.23.45.2. Ainut väylä vierailijaverkkoon on Unifi-tukareiden kautta. Miten noiden lähdettä kannattaisi lähteä etsimään? Capture käyntiin ja sitten vaan toivotaan että jotain jää haaviin?

 

[sra2010]

Onko kyseessä vain väärässä järjestyksessä olevat paketit tai vastauksia yhteyksiin jotka on jo loppuneet, jolloin ne kuuluukin tiputtaa pois? Nuo ip osoitteet vain vaikuttavat olevan sellaisia, että ei pitäisi kumpaakaan löytyä tuosta vierailijat verkosta. Oletko niitä selvittänyt, että mistä nuo ovat, onko kohteena tuo 10.200.200.250 ja löytyykö sitä omasta verkosta?