Tee-se-itse: Rautapalomuurit (pfSense, Sophos UTM..) (Mitä käytätte ja miksi juuri se vaihtoehto?)

[Enhancer]

Opnsense ja Adguard Home.
Tähän asti toiminut hyvin, mutta kun lisäsin verkkoon Unifin hallittavan kytkimen ja tukiaseman VLAN verkkojen toivossa, niin en saa millään VLANeja toimimaan halutulla tavalla, palomuurisäännöistä huolimatta. Alkuun yritin saada vierasverkkoa toimimaan, mutta tästä verkosta joko pääsee kaikkialle tai ei mihinkään. Aloin epäilemään että syynä on Adguard ja sen DNS-asetukset.
Helpoin tapa varmaan olisi aloittaa Adguardin asennus puhtaalta pöydältä, mutta miten tuo asennus ensinnäkin poistetaan? Riittääkö että ottaa palvelun pois käytöstä ja poistaa pluginin, ja sen jälkeen asentaa uudestaan? Toinen ongelma on että jos otan Adguardin pois käytöstä, niin verkosta ei pääse ulos vaikka palautan DNS-asetukset Opnsensen puolelta.
Oikeastaan riittäisi pelkkä Zenarmor omaan käyttöön, eli tässä vaiheessa kiinnostaisi vain poistaa Adguard kokonaan.

Onhan sinulla VLAN varten palomuurisäännöt tehtynä? Oletuksena uudessa VLAN:ssa kaikki uloslähtevä on estettynä?

 

[SpiidWulf]

Nykyinen hyvin palvellut PC Engines APU2 pfSense pitäisi korvata 2.5GbE aikakauden ratkaisulla. Onko edelleen tilanne se, että käytännössä kohtuuhintaiset järkevät vaihtoehdot ovat kiinalaisten N100 koneet, jos tarpeen olisi saada ainakin 4x2.5GbE portit ja järkevä suorituskyky VPN käyttöön? Onko näissä valmistajien (Topton, Hunsn, ...) kesken suurempia eroja?

 

[Khauron]

Nykyinen hyvin palvellut PC Engines APU2 pfSense pitäisi korvata 2.5GbE aikakauden ratkaisulla. Onko edelleen tilanne se, että käytännössä kohtuuhintaiset järkevät vaihtoehdot ovat kiinalaisten N100 koneet, jos tarpeen olisi saada ainakin 4x2.5GbE portit ja järkevä suorituskyky VPN käyttöön? Onko näissä valmistajien (Topton, Hunsn, ...) kesken suurempia eroja?

Minulla on tuollainen kiinanpurkki ajossa, tarkalleen ottaen tuollainen:

N100/N200/i3-N305 5-network Fengshang version soft 5-network 2.5G dual M.2 dual SATA dual HDMI/DP/multi-network port mini host

Features: 1. Brand new lntel 12th generation N series full small core low power consumption processor 2. 1*SO-DIMM DDR5 slot 4800MHz compatible with 5200/5600MHZ 3. Five 2.5G network ports Brand new Intel i226-V network card chip 4. 4 4K display outputs Dual HDMI+DP+Type-C (support 3-screen...

cwwk.net

Toimii hyvin, hienosti, ja ongelmitta. Mutta, BIOS / UEFI-päivitykset ovat hepreaa ja oikeasti ei voi tietää mitä siellä pyörii. Komponentit, siis RAM ja SSD, ovat myös hinnat-alkaen mallia.
Itsellä pyörii vehkeessä VMware ESXi 8.0.3 (vSpshere), mutta muutkin hypervisorit pyörivät nätisti. RAMmia ei koskaan voi olla liikaa.

Itsellä tuli ongelmaksi myös 5 X 2.5 GBe pfSense-käyttö, koska verkkoportit ovat itsenäisiä. Täten ne joutuu pfSensestä (tai softasta nyt itsenään) reitittämään keskenään. En koskaan saanut toimimaan setuppia jossa 4 X ethernet-porttia olisivat keskenään kytkimiä ja jakaisivat samat VLAN- ja palomuuri-setupit.

Kaverilla on ajossa Netgaten 2100. Siinä on suoraan switched-portit ja oma setup toimii siinä. Ja pfSensessä suora tuki kytkimille ja fyysisessä raudassa oma piiri. Suosittelen.

https://www.dustinhome.fi/product/5011254401/2100-pfsense-security-gateway

 

[Heicci]

Onhan sinulla VLAN varten palomuurisäännöt tehtynä? Oletuksena uudessa VLAN:ssa kaikki uloslähtevä on estettynä?

Palomuurisäännöt oli kunnossa. Vika löytyi Adguardin asetuksista.

Kävin alusta asti läpi Adguardin asetukset seuraamalla tätä ohjetta:

How to setup AdGuard Home DNS on OPNsense with Unbound - windgate

Why do I need AdGuard Home as my internal DNS resolver?AdGuard Home is a free and open-source software that can block ads and tracking on all devices connected to your home Wi-Fi network. Unlike traditional ad blockers that only work on specific devices or browsers, AdGuard Home covers all...

windgate.net

Todennäköisesti se mikä ongelmat aiheutti oli puuttuvat määritykset siitä mitä verkkoja Adguardin pitäisi kuunnella. Tämän pystyy määrittämään asennuksen yhteydessä, mutta kyseiseen asetukseen ei pääse käsiksi jälkeenpäin muuten kuin muokkaamalla .yaml tiedostoa.
Eli SSH:lla sisään Opnsenseen ja edit /usr/local/AdGuardHome/AdGuardHome.yaml

Ao. kohtaan kun lisäsi kaikki VLAN-verkot niin alkoi toimimaan. Aiemmin kuunteli siis pelkästään LAN-aluetta.

dns:
  bind_hosts:
    - 127.0.0.1
    - 192.168.2.1
    - 192.168.10.1
    - 192.168.20.1
    - 192.168.30.1
    - 192.168.40.1
    - 192.168.50.1

 

[SpiidWulf]

Minulla on tuollainen kiinanpurkki ajossa, tarkalleen ottaen tuollainen:

N100/N200/i3-N305 5-network Fengshang version soft 5-network 2.5G dual M.2 dual SATA dual HDMI/DP/multi-network port mini host

Features: 1. Brand new lntel 12th generation N series full small core low power consumption processor 2. 1*SO-DIMM DDR5 slot 4800MHz compatible with 5200/5600MHZ 3. Five 2.5G network ports Brand new Intel i226-V network card chip 4. 4 4K display outputs Dual HDMI+DP+Type-C (support 3-screen...

cwwk.net

Toimii hyvin, hienosti, ja ongelmitta. Mutta, BIOS / UEFI-päivitykset ovat hepreaa ja oikeasti ei voi tietää mitä siellä pyörii. Komponentit, siis RAM ja SSD, ovat myös hinnat-alkaen mallia.
Itsellä pyörii vehkeessä VMware ESXi 8.0.3 (vSpshere), mutta muutkin hypervisorit pyörivät nätisti. RAMmia ei koskaan voi olla liikaa.

Itsellä tuli ongelmaksi myös 5 X 2.5 GBe pfSense-käyttö, koska verkkoportit ovat itsenäisiä. Täten ne joutuu pfSensestä (tai softasta nyt itsenään) reitittämään keskenään. En koskaan saanut toimimaan setuppia jossa 4 X ethernet-porttia olisivat keskenään kytkimiä ja jakaisivat samat VLAN- ja palomuuri-setupit.

Kaverilla on ajossa Netgaten 2100. Siinä on suoraan switched-portit ja oma setup toimii siinä. Ja pfSensessä suora tuki kytkimille ja fyysisessä raudassa oma piiri. Suosittelen.

https://www.dustinhome.fi/product/5011254401/2100-pfsense-security-gateway

Kiitos kattavista havainnoista. Pitää laittaa tuo Netgate 2100 harkintaan, hintaero ei kuitenkaan ole niin suuri verrattuna Kiinan vermeisiin.

 

[MrB]

Kiitos kattavista havainnoista. Pitää laittaa tuo Netgate 2100 harkintaan, hintaero ei kuitenkaan ole niin suuri verrattuna Kiinan vermeisiin.

Mä luulin että 4200 on se hinnat alkaen 2.5gbe Netgate, siis jos toi nopeempi wan oli hakusalla.

 

[Khauron]

Mä luulin että 4200 on se hinnat alkaen 2.5gbe Netgate, siis jos toi nopeempi wan oli hakusalla.

Totta, muuten. 2100:ssa on gigaiset portit, ja 4200:ssa on 2.5 Gbps.

 

[SpiidWulf]

Totta, muuten. 2100:ssa on gigaiset portit, ja 4200:ssa on 2.5 Gbps.

Huomasin itsekin tämän vasta, kun kävin Netgaten omien sivujen kautta tutkimassa. Myös suorituskykyarvot mm. VPN:n osalta ovat siellä hyvin erilaiset, mitä Dustinilla tuotetiedoissa. Sinällään tuo Netgaten 2100:lle ilmoittama 250Mbps IPSec suorituskyky olisi ollut riittävä, kun nykyinen laite kykenee reiluun 100Mbps, mutta 4200 näistä tosiaan soveltuvin on. Pitänee tuo laittaa tilaukseen, kun tarve on vain reititys- ja palomuuritoiminnot.

 

[JeanS]

Itsellä on Hunsn 6 porttinen 2.5gbe J sarjan mini PC pfSense käytössä. 2*WAN ja 3*LAN käytössä, eikä ole ollut mitään ongelmia. Toki riskinä on että Kiina tuote, eikä tiedä onko takaportteja tms. Täysin erilliset LAN portit on mielestäni etu koska voi täysin kontrolloida kuinka eri Laneissa/Subneteissa olevat koneet näkevät toisensa.

 

[Bahamies]

Olen tutulle antanut oman vanhan OPNsense routerin käyttöön ja hänellä tuli nyt eteen tilanne, että operaattori kyselee MAC-osoitetta laitteesta. Normaalistihan tuo on se modeemin pohjassa lukeva MAC, mutta tuollaisesta Aliexpress router-PC:stä sellaista tietoa nyt ei tietenkään suoraan löydy.

Itse kun en oikein tiedä mihin DNA tuota tietoa edes tarvitsee niin kaivoin WAN-portin MAC-osoitteen ja se nyt kelpasi kuulemma. Oletteko itse törmänneet tällaiseen ja mitä tietoja olette ilmoitelleet? Kyseisessä asunnossa yhteys tulee siis valokuidulla asuntoon, seinässä on RJ45 portti.

 

[kopsteri]

Kieltämättä erikoista. Dna tarvitsee kaapelimodeemeista Mac osoitteet mikäli kaapelinetti. Ei oo dna:lta ikinä Ethernet kohteissa kyllä maccia kysytty vaikka useassa eri osoitteessa ollut liittymä ja on vieläkin.

 

[Pakana]

Jos ottaa kiinteän ip:n niin haluavat mac numeron.

 

[Bahamies]

Jos ottaa kiinteän ip:n niin haluavat mac numeron.

Onko tuossa tarkoituksena jotenkin "rekisteröidä" tuo MAC verkkoon? Tuohon tarkoitukseen WAN MAC varmaan kelpaa, pitää vaan muistaa olla ikinä vaihtamatta porttia...

 

[blastermaster]

OPNsense ja/tai ZTE 5G modeemi päättivät lopettaa yhteistyön. En keksi mikä on mutta OPNsense ei millään saa IP osoitetta tuolta ZTE:ltä. Jos laitan läppärin suoraan kiinni ZTE, homma toimii. Jos vaihtan ZTE tilalle vanhan Huawei 4G modeemin niin OPNsense saa IP:n normaalisti.

Tämä OPNsense ja ZTE yhdistelmä siis toimi pitkään hyvin. Muutama kuukausi sitten aloitti kadottamaan IP osoitteen kesken kaiken ja piti boottailla molempia että osoite löytyi. Nyt sitten bootin jälkeen ei enää millään lähde toimimaan. Onko kokemuksia vastaavasta?

 

[SpiidWulf]

OPNsense ja/tai ZTE 5G modeemi päättivät lopettaa yhteistyön. En keksi mikä on mutta OPNsense ei millään saa IP osoitetta tuolta ZTE:ltä. Jos laitan läppärin suoraan kiinni ZTE, homma toimii. Jos vaihtan ZTE tilalle vanhan Huawei 4G modeemin niin OPNsense saa IP:n normaalisti.

Tämä OPNsense ja ZTE yhdistelmä siis toimi pitkään hyvin. Muutama kuukausi sitten aloitti kadottamaan IP osoitteen kesken kaiken ja piti boottailla molempia että osoite löytyi. Nyt sitten bootin jälkeen ei enää millään lähde toimimaan. Onko kokemuksia vastaavasta?

Itselläni on käytössä pfSense ja ZTE:n modeemi. Jos vaikka sähkökatkon jälkeen modeemi ehtii käynnistyä ennen pfSenseä, se ei onnistu saamaan IP:ta, vaikka ZTE:n boottaisi vielä uudelleen. Vasta WAN interrfacen käyttäminen alhaalla ja ylhäällä pfSensen päässä korjaa tilanteen.

Myös sama havainto siitä, että ZTE on ainoa laite, mikä tuota aiheuttaa jumitteluna pfSenselle.

 

[user9999]

Mulla on kaapelimodeemi sillattuna niin pfSense sai jossain bootti tilanteessa privaatti IP:n tuolta kaapelimodeemilta (192.168.100.x). Korjaantui hetken päästä.
Seuraavalla pfSense WAN interface asetuksella olen estänyt tuon. Tuo 192.168.100.1 on kaapelimodeemin osoite.

 

[SpiidWulf]

Mulla on kaapelimodeemi sillattuna niin pfSense sai jossain bootti tilanteessa privaatti IP:n tuolta kaapelimodeemilta (192.168.100.x). Korjaantui hetken päästä.
Seuraavalla pfSense WAN interface asetuksella olen estänyt tuon. Tuo 192.168.100.1 on kaapelimodeemin osoite.

Tämä olikin hyvä vinkki, koska myös ZTE käyttäytyy juuri noin, eli tarjoaa hetken privaosoitetta bootin jälkeen.

 

[user9999]

Tuossa OPNsensessä on tuo asetus.

Interface configuration — OPNsense documentation

docs.opnsense.org

Reject Leases From

Can be used to ignore DHCP leases from ISP-issued modems, for example.

 

[Barbarossa]

Sama asetus käytössä myös. Kaapelimodeemi siltaavana mutta tietyissä tilanteissa, muistaakseni ainakin jos modeemin bootatessa kaapelimodeemiyhteyden muodostuksessa kestääkin normaalia pidempään syistä X, tulee kaapelimodeemin DHCP:ltä tuollainen privaatti-IP operaattorin DHCP:n sijaan. Jää sitten WAN ip:ksi reitittimelle senkin jälkeen kun yhteys on oikeasti toiminnassa, kunnes tavalla tai toisella reititin päivittää osoitteensa DHCP:llä.

Olettaisin että featuren tarkoitus on helpottaa modeemin hallintaliittymään pääsyä ongelmatilanteissa. Reititin ei vaan tue tällaista mahdollisuutta.

 

[kuukie]

Jos ottaa kiinteän ip:n niin haluavat mac numeron.

En usko, että mikää suuresta kolmesta tarjoaa kuluttajamiittymiin kiinteää julkista osoitetta.

 

[mikajh]

OPNsense 24.1.10 päivitettävissä (mukana mm. tietoturvakorjauksia esim. openssh:hon).

Jos käytät ipv6:tta, reboottaa päivityksen jälkeen. Ellet, restarttaa openssh web-hallinnasta: /ui/core/service

 

[Obi-Lan]

Futro S920 (quad core) näyttäisi hyytyvän ~500Mbps perus palomuurisääntöjen kanssa. Kukaan muu kokeillut rajoja?