Hardware Vergleich - Was ist für Euch zu Hause sinnvoll? Was nutzt ihr?

[guest15032]

Hallo zusammen,

ich nutze meine OPNsense Appliance nun schon ein paar Tage und habe gemerkt, dass da doch größere Unterschiede in der Hardware Ausstattung Einfluss haben auf die spätere Funktioinalität.

Ich selbst nutze die OPNsense Ghz Small, die direkt von Deciso stammt: https://www.applianceshop.eu/security-appliances/security-appliances-desktop-and-wallmountable/pfsense-based-desktop/opnsense-small-ghz.html

Ich denke, rein von den Spezifikationen her, ist das Gerät durchaus gut, für den Preis von 299€. Was ich bisher schon gemerkt habe (auch durch die Diskussionen hier im Forum) ist, dass man bei einigen Dingen, die man als Neuling in dem Gebiet zuvor nicht bedacht hat, an Grenzen stößt, die etwas "ärgern".

Beispiel Gästenetz: Ich habe mir einen etwas besseren Access Point besorgt, der hat meinen vorherigen Router, der selbst als AP konfiguriert war, ersetzt. Dieser sitzt an einem von zwei LAN Ports. Am zweiten LAN Port sitzt mein Switch. Somit habe ich eine physische Trennung von LAN und WLAN. Würde ich jetzt ein Gästenetz aufstellen wollen, kann ich das zwar durch die Funktionen im Access Point bewerkstelligen, aber einen dritten LAN Port, für einen echten zweiten AP, gibt es schon nicht mehr. Auch ein anderes Gerät an einem dritenn Port, oder evlt. ein zweites LAN Subnetz, ist somit nicht auf dieser Ebene möglich.

Beispiel Caching: Ich habe in dem Gerät eine 8GB SD Karte verbaut, Caching würde rein über eine RAM Disk laufen. Eine SSD kann ich nicht verbauen, aufgrund der Bauert des Gerätes.

Worauf ich hinaus möchte:

Wie zufrieden seid ihr mit euren Firewalls zu Hause? Wie habt ihr entschieden, was sinnvoll für euch ist und vor allem: was genau nutzt ihr zu Hause für Hardware? Sind das Security Appliances, wie meine? Von Cisco, Zyxel, etc.? Oder laufen eure Firewall auf alten Routern oder Reechnern?

Und wie seht ihr den Einsatz solcher Appliances hinsichtlich der wirtschaftlichkeit und des tatsächlichen Nutzens? Oder anders gesagt: Wenn ich jetzt mal nur die "einfachen" Appliances in dem Shop betrachte, aus dem ich meine habe, dann würde ich ja schon direkt statt 299€,  549 € für eine stärkere Appliance mit auch einem LAN Port mehr zahlen und wenn es noch eine mit SSD sein soll, dann sind direkt 649€ fällig.

Klar, es müssen nicht diese dort sein, das sei nur ein Beispiel. Aber generell sind die Appliances ja nicht sehr günstig, Ich überlege aber, bin ich mit meinem Gerät gut aufgestellt? Oder lohnt sich doch noch mal ein Hardware Wechsel? Schließlich möchte ich nicht jedes Jahr eine neue Appliance kaufen und konfigurieren, sondern mit einem Gerät länger glücklich sein.

Gruß
Chris

[monstermania]

Hi,
es kommt immer darauf an! ;)
So lange man keine IDS/IPS zu Hause nutzen will tut es auch eine recht schwache Hardware für OPNSense problemlos. Dazu muss es m.E. Klein sein und darf keinen hohen Stromverbrauch haben.
Ich nutze zu Hause eine ältere Terra Black Dwarf Firewall-Hardware und habe darauf OPNSense installiert. Daran dann 2 USB-WLAN Sticks und fertig war meine Firewall. Hat mich im Ganzen so 50€ gekostet (35€ für die Terra und ca. 15€ für die Sticks). http://wiki.securepoint.de/index.php/Appliances_Hardware#Terra_Black_Dwarf_UTM.3B_VPN_V1_.28Nur_UTM.2F_EOL.29.2F_V2.2F_V10.2F_MicroNAC
Ich hab das Teil mal getestet (LAN2WAN) und könnte damit locker einen 50Mbit-Anschluss bedienen (Firewall, Proxy). Nur hab ich gerade mal einen 8Mbit-Anschluss zu Hause! Das Teil hat 3 LAN Anschlüsse, wovon ich z.Zt. keinen nutze!
Läuft Alles per WLAN, wobei ich hier real so zwischen 22-25 Mbit schaffe (11g).

Wenn ich jetzt neu kaufen müsste, würde ich wohl eine PC Engines-Hardware kaufen: http://varia-store.com/Hardware/PC-Engines-Bundles/APU-3A4-Bundles:::637_1081_1098.html
Dazu dann noch eine 16 GB mPCI SSD und eine WLAN-Karte. Das sollte für die nächsten Jahre ausreichen, wenn man nicht gerade einen Gbit-Glasfaseranschluss zu Hause hat und IDS/IPS auf der Firewall laufen lassen will.

Die Beschränkung mit den wenigen LAN-Anschlüssen sollte man ja per vLAN umgehen können. Klar, wäre schon schön, für jedes vLAN einen eigenen LAN-Port an der Firewall zu haben, aber irgendwann ist eh immer einer zu wenig. ;) Hab ich selbst schon hier in der Firma gehabt.

Bei den fertigen Appliances schreckt mich als Privatnutzer halt immer irgendwo der Preis! Auch gibt es hier zumeist keine Möglichkeit einen AP direkt auf der Appliance zu betreiben (evtl. per USB), was dann für mich zu Hause auch wieder irgendwo ein Showstopper wäre.

Gruß
Dirk

[JeGr]

@Monster: Hast du vor auf der APU viel mit LTE zu machen? Ansonsten würde mich wundern, warum du das Alpha Board von pcEngines nutzen möchtest ;) Der einzige Unterschied zur APU2 (die noch lange nicht EOL geht) ist ja der Fakt, dass auf der APU3 Alpha/Test mehr SIM Slots eingebaut wurden um mehrere LTE Modems zu betreiben. Und man hat über einen PCIe Slot nachgedacht, der aber noch nicht implementiert wurde - zumindest m.W. :)

Ansonsten sind die APU2s sicher wohl das was man als günstigste Alternative zu Hause bekommen kann. Ein wenig kleiner und kompakter, dafür aber auch etwas teurer wäre da nur noch eine NCA-1010 von Lanner, die vergleichbar mit der APU2 arbeitet. Deren Nachfolger, die 1020 steht übrigens in den Startlöchern und bringt dann als SOC einen Braswell N3010er Zweikerner mit. Sollte sich dann doch etwas von der APU2/3 abheben können dadurch und ein wenig in die Lücke zu den Atom C2358/C2558 SOCs stoßen.

Ich hatte mir vor ca. 5 Jahren eine Lanner FW-7535 gekauft (viel zu teuer eigentlich aber 6 Intel Interfaces + Rackmount waren ZU verführerisch...) und die wird nun nach der langen Zeit wohl demnächst durch eine 7525 abgelöst - wieder mit 6 NICs und einem Atom C2558 drin. Der dürfte dann auch für Kabelnetze von 400MBit/s aufwärts keine Probleme bekommen :D Etwas übertrieben? Ja, für reinen Home-use schon, allerdings hab ich da tatsächlich auch mal Testnetze, Testsetups und mein eigenes Heimsetup dran, das etwas komplexer aufgebaut ist :) Daher durchaus legitim.

Grüße
Jens

[monstermania]

@Monster: Hast du vor auf der APU viel mit LTE zu machen? Ansonsten würde mich wundern, warum du das Alpha Board von pcEngines nutzen möchtest ;) Der einzige Unterschied zur APU2 (die noch lange nicht EOL geht) ist ja der Fakt, dass auf der APU3 Alpha/Test mehr SIM Slots eingebaut wurden um mehrere LTE Modems zu betreiben. Und man hat über einen PCIe Slot nachgedacht, der aber noch nicht implementiert wurde - zumindest m.W. :)

Da hab ich nicht genau genug geschaut, als ich den Link gepostet hab  :(
Ich meine natürlich die APU2!

[Oxygen61]

Ansonsten sind die APU2s sicher wohl das was man als günstigste Alternative zu Hause bekommen kann. Ein wenig kleiner und kompakter, dafür aber auch etwas teurer wäre da nur noch eine NCA-1010 von Lanner, die vergleichbar mit der APU2 arbeitet. Deren Nachfolger, die 1020 steht übrigens in den Startlöchern und bringt dann als SOC einen Braswell N3010er Zweikerner mit. Sollte sich dann doch etwas von der APU2/3 abheben können dadurch und ein wenig in die Lücke zu den Atom C2358/C2558 SOCs stoßen.

Ich hatte mir vor ca. 5 Jahren eine Lanner FW-7535 gekauft (viel zu teuer eigentlich aber 6 Intel Interfaces + Rackmount waren ZU verführerisch...) und die wird nun nach der langen Zeit wohl demnächst durch eine 7525 abgelöst - wieder mit 6 NICs und einem Atom C2558 drin. Der dürfte dann auch für Kabelnetze von 400MBit/s aufwärts keine Probleme bekommen :D Etwas übertrieben? Ja, für reinen Home-use schon, allerdings hab ich da tatsächlich auch mal Testnetze, Testsetups und mein eigenes Heimsetup dran, das etwas komplexer aufgebaut ist :) Daher durchaus legitim.

Gerade mal angeschaut und das 7525 is ja en absolutes Flaggschiff. Wenn Geld keine Rolle spielen würde und man für dieses Monster nicht jemanden für ausrauben müsste (600€ !!!) hätt ich das ohne mit der Wimper zu zucken gekauft, obwohl mich das "x86" und die Tatsache, dass keine SSD verbaut wurde schon etwas stutzig macht...

die NCA-1210 wär hammer mit 4x intel LAN Ports aber kein AES-NI :(:(
(Oder hab ich mich verlesen und das Ding kann Intel® AES-NI?)

NCA-1010 bzw NCA-1020 haben nur 3x intel LAN Ports ..... einer zu wenig :(

Ich möchte den Thread hier nicht klauen, bzw. an mich reißen, aber da ich wie ne0h wahrscheinlich auch an einer Hardware Lösung mit 4 LAN Ports interessiert bin.... kannst du da etwas empfehlen?

Was die Kiste können muss:
- Prozessor und LAN Ports von Intel
- Fanless
- Intel® AES-NI unterstützt
- SSD verbau und nutzbar
- 4x LAN Ports (LAN, WLAN, WAN, DMZ)

Einer ne Idee? :)

[astronach]

Moinsen,

zur Frage 'Was nutzt ihr?'
Derzeit ein Zotac Nano CI323 mit 4GB und SD Card (Nano Image). SSD ist geplant, aber ich werde da keine neue reinschrauben, vielmehr wandert meine kleinste SSD (120GB) in die Zotac und eine größere SSD (>250GB) in meinen Hauptrechner.
An der WAN Seite hängt ne KD FritzBox, auf der LAN Seite ein 8 Port CISCO Switch (manageable, derzeit noch ohne VLAN Setup). Daran hängen wiederum 2 Clients, 1 HP ESX Server, ein UbiQuity AP und ein NAS (wird aber in kürze aus dem Setup entfernt und anderweitig ersetzt). OpenVPN Gateway, DynDNS Setup, Transparent Proxy mit ein paar ACL´s und 1 Smartphone mit OpenVPN angebunden.

Ich mach mir gerad einen Kopp ob es Sinn macht ein Gast Netzwerk einzurichten für Mobile Clients auf der OPNsense und zwar aus verschiedenen Gründen:
1. Der AP könnte das von Haus aus, dann würde ich den aber gerne per VLAN separieren
2. Die FritzBox kann das auch von Haus aus und damit wären die Gäste eh vor der OPNsense FW und sogar mit diversen Filtern und Sperren konfigurierbar.

Ja, nice to have Options........

Also, bisher eigentlich alles überschaubar und ohne größere Probleme im Einsatz (siehe meine Postings).

gruss,
Astronach

[JeGr]

Gerade mal angeschaut und das 7525 is ja en absolutes Flaggschiff. Wenn Geld keine Rolle spielen würde und man für dieses Monster nicht jemanden für ausrauben müsste (600€ !!!) hätt ich das ohne mit der Wimper zu zucken gekauft, obwohl mich das "x86" und die Tatsache, dass keine SSD verbaut wurde schon etwas stutzig macht...

die NCA-1210 wär hammer mit 4x intel LAN Ports aber kein AES-NI :(:(
(Oder hab ich mich verlesen und das Ding kann Intel® AES-NI?)

NCA-1010 bzw NCA-1020 haben nur 3x intel LAN Ports ..... einer zu wenig :(

Ich möchte den Thread hier nicht klauen, bzw. an mich reißen, aber da ich wie ne0h wahrscheinlich auch an einer Hardware Lösung mit 4 LAN Ports interessiert bin.... kannst du da etwas empfehlen?

Was die Kiste können muss:
- Prozessor und LAN Ports von Intel
- Fanless
- Intel® AES-NI unterstützt
- SSD verbau und nutzbar
- 4x LAN Ports (LAN, WLAN, WAN, DMZ)

Einer ne Idee? :)

Aloha :)

1) Die 7525 ist genauso wie alle Lanner erstmal ein Barebone. Was du als RAM und SSD reinsteckst bleibt dir überlassen. Die 7525 gibt es als Scope-7 bspw. mit 80GB Intel SSD und 8GB RAM. Klar ist da eine SSD drin - wir vertreiben das Ding ja auch an unsere Kunden für mittlere/große Office Anbindungen :)

2) Die NCA-1210 ist ein C2000 Atom. Klar hat die AES-NI! Sogar QuickAssist mit drin, auch wenn das momentan noch nirgends eine Geige spielt. Allerdings habe ich von der noch keinen Preis gesehen geschweige denn ob lieferbar, aber sollte es jemand interessieren, könnte ich ja mal nachfragen ;)

3) Ja das Problem mit den 3 Ports... immer einer zu wenig scheint es. Wobei die Kisten trotzdem toll aufgestellt sind. Und von der Verarbeitung her kann man echt nicht meckern - nein keine Schleichwerbung ich durfte mich nur selbst überzeugen. Wer möchte kann sich gern meine Review dazu anschauen.

4) Zu deinen Punkten: Vielleicht doch mal die NCA-1210 anfragen ;) Theoretisch würde ja die C2358er Variante ohne Bypass durchaus reichen, also die -B. Gibt es auch mit einem SATA DOM statt vollständiger SSD.

Grüße

[guest15032]

Hi,

viele interessante Antworten...

Die Boxen von Dir, Dirk, sind sehr interessant. Wobei ich da keine mit 4 LAN Ports gesehen habe. Aber 4GB RAM, mSATA Unterstützung, etc. sind für den Preis schon ganz ordentlich. Lediglich der Prozessor gibt mir etwas zu denken, wobei ich ja in meiner Box auch einen AMD T40E habe. 

Kann ich die Geräte eigentliich genau so in Betrieb nehmen, wie meine jetzige Box? Sprich: SD Kart mit dem OPNsense Image bespielen, ins Gerät einbauen, booten, fertig? Oder müssen da erst irgendwelche speziellen Firmwares aufgespielt werden? Gibt es dazu irgendwelche Berichte hinsichtlich der Kompatibilität von Hardware und Firewall OS?

Die Lanner FW 7525 ist natürlich eine andere Klasse und im Vergleich zu anderen Appliances ist die mit 600$ (bei Amazon) sicherlich auch vertretbar, aber für mich persönlich dann doch wieder zu teuer für den Einsatz zu Hause.

die NCA-1210 wär hammer mit 4x intel LAN Ports aber kein AES-NI :(:(
(Oder hab ich mich verlesen und das Ding kann Intel® AES-NI?)

Die finde ich auch interessant, aber die Kiste hat - unabhängig vom wohl fehlenden AES-NI - nen Lüfter verbaut und scheidet für mich damit auch aus.

Was die Kiste können muss:
- Prozessor und LAN Ports von Intel
- Fanless
- Intel® AES-NI unterstützt
- SSD verbau und nutzbar
- 4x LAN Ports (LAN, WLAN, WAN, DMZ)

Das würde ich im Grunde so unterschreiben.

Die von Dirk verlinkten Boxen, oder speziell dieser hier:  http://varia-store.com/Hardware/PC-Engines-Bundles/APU-3A4-Bundles/APU3A4-Embedded-Box-Bundle-1-GHz-4-GB-DDR3-RAM-3x-LAN::29431.html

Gefällt mir sehr gut. AES-NI Unterstützung soll sie wohl haben. Ok, wieder 3 LAN Ports, aber auch Intel (i211AT). Und das ganze Ding für 198€. Finde ich ziemlich gut und habe bisher nichts in der Preisklasse gefunden, das vergleichbar ist.

Kennt dazu noch jemand gute Alternativen?

Gruß
Chris

[guest15032]

Die Beschränkung mit den wenigen LAN-Anschlüssen sollte man ja per vLAN umgehen können. Klar, wäre schon schön, für jedes vLAN einen eigenen LAN-Port an der Firewall zu haben, aber irgendwann ist eh immer einer zu wenig. ;) Hab ich selbst schon hier in der Firma gehabt.

Dabei muss es doch aber auch irgendwelche negativen Punkte geben, oder? Sonst würde doch jede Hardware mit 3 LAN Ports (WAN, LAN, LAN2/WLAN) ausreichen?

Gruß
Chris

[monstermania]

Dabei muss es doch aber auch irgendwelche negativen Punkte geben, oder? Sonst würde doch jede Hardware mit 3 LAN Ports (WAN, LAN, LAN2/WLAN) ausreichen?

Klar,
gibt es auch Nachteile.
Die Verwaltung in der Firewall wird komplizierter/unübersichlicher und die vLAN's die auf einem NIC laufen teilen sich natürlich auch die Bandbreite des NIC!
Bei WLAN ist das mit der Bandbreite i.d.R. noch kein reales Problem.
Und die im Heimnetz genutzten Switche müssen natürlich auch vLAN-fähig sein.

[JeGr]

> Die finde ich auch interessant, aber die Kiste hat - unabhängig vom wohl fehlenden AES-NI - nen Lüfter verbaut und scheidet für mich damit auch aus.

Bitte lesen: das ist ein Atom C2x58, der HAT definitiv AES-NI! :)

> Kennt dazu noch jemand gute Alternativen?

Ja, bitte ebenfalls meinen Post darüber lesen :D Die APU3 ist ein Alpha Gerät für LTE Einsatz mit SIM Karten. Das Board ist sonst identisch mit der APU2C2 bzw. 2C4. Also einfach ein APU2 Bundle nehmen. Die 3er ist Alpha Hardware und momentan nur zum Test für SIM basierende Builds mit LTE/GPRS Modem gedacht.

> Dabei muss es doch aber auch irgendwelche negativen Punkte geben, oder? Sonst würde doch jede Hardware mit 3 LAN Ports (WAN, LAN, LAN2/WLAN) ausreichen?

Tut sie auch. VLAN hat lediglich die Bandbreitenbeschränkung: mehrere VLANs teilen sich physikalisch den gleichen Port. Wenn es aber "nur" um Internet Bereitstellung geht und man da eh nur 100MBit/s hat, ist es kein Thema bis zu 10 VLANs ohne Einbußen auf einem 3. Port zusammenzuführen. Der Switch dahinter muss natürlich VLANs können, das ist klar, aber selbst das ist zwischenzeitlich mit günstigen Switches von TP-Link, HP etc. kein Problem mehr.

Grüße

[guest15032]

Bitte lesen: das ist ein Atom C2x58, der HAT definitiv AES-NI! :)

Überlesen, Sorry. ;)

Ja, bitte ebenfalls meinen Post darüber lesen :D Die APU3 ist ein Alpha Gerät für LTE Einsatz mit SIM Karten. Das Board ist sonst identisch mit der APU2C2 bzw. 2C4. Also einfach ein APU2 Bundle nehmen. Die 3er ist Alpha Hardware und momentan nur zum Test für SIM basierende Builds mit LTE/GPRS Modem gedacht.

Auch etwas überlesen. :D

Ok. Also z.B. dieses Bundle hier: http://varia-store.com/Hardware/PC-Engines-Bundles/APU-2C4-Bundles/APU2C4-Embedded-Box-Bundle-1GHz-4GB-RAM-3x-LAN::29135.html

Wie verhält sich das denn preismäßig und leistungstechnisch im direkten Vergleich zur Lanner NCA-1210 (http://www.lannerinc.com/products/network-appliances/x86-desktop-network-appliances/nca-1210)? Also um wieviel ist die Lanner teurer und ist die in irgendeinem Bereich deutlich performanter bezogen auf ein normales Heimnetz? 4 separate LAN Ports sind mir einen deutlichen Aufschlag nicht wert, zumal das Teil halt nen Lüfter hat und dazu kämen ja noch RAM und SSD, die man sich kaufen muss.

Beim APU2C4 Bundle sind 16GB mSATA mit dabei, wenn ich das richtig verstehe?

Gruß
Chris

[JeGr]

Beim APU2C4 Bundle sind 16GB mSATA mit dabei, wenn ich das richtig verstehe?

Wenns dabei steht ja ;) Im Normalfall aber schon, korrekt :)

> Wie verhält sich das denn preismäßig und leistungstechnisch im direkten Vergleich zur Lanner NCA-1210

Kann ich die in Bezug auf die 1210 nicht sagen, da die bislang noch nicht im Portfolio ist/war, aber der C2358 bzw. C2558 ist deutlich mächtiger als das, was die APU2/NCA 1010 leisten kann. Nicht vergessen dass beide kleinen Geräte einen Low-Level embedded Chip einsetzen, der C2000 Atom aber ein spezifisch für Netzwerk/Embedded gezüchteter SOC ist, von dem darf man dann auch etwas mehr erwarten :) Und zumindest der 4-Kerner C2558 wuppert bspw. in der FW7525 schonmal 150MBit/s synchron verschlüsselt durch die Gegend ohne zu schwitzen :) Da hätten die Kleinen Kisten dann schon dran zu knabbern...

[guest15032]

Blöd gefragt:

Wie bespiele ich denn so nen mSATA Speicher? Also boote ich so eine Kiste einfach von einem USB Stick, um die OPNsense Software auf den mSATA Speicher zu installieren? Oder benötige ich dafür einen Adapter?

Kann ich die in Bezug auf die 1210 nicht sagen, da die bislang noch nicht im Portfolio ist/war, aber der C2358 bzw. C2558 ist deutlich mächtiger als das, was die APU2/NCA 1010 leisten kann. Nicht vergessen dass beide kleinen Geräte einen Low-Level embedded Chip einsetzen, der C2000 Atom aber ein spezifisch für Netzwerk/Embedded gezüchteter SOC ist, von dem darf man dann auch etwas mehr erwarten :) Und zumindest der 4-Kerner C2558 wuppert bspw. in der FW7525 schonmal 150MBit/s synchron verschlüsselt durch die Gegend ohne zu schwitzen :) Da hätten die Kleinen Kisten dann schon dran zu knabbern...

Mh, na gut, aber ich muss sagen, auch mein aktueller AMD T40E in meiner Appliance scheint sich eher zu langweilen, ich haue da jetzt bisher keine gewaltigen Mengen an verschlüsseltem Traffic durch. Ich frage mich halt, wie viel Sinn das macht, zumal ich keine Preise für die Lanner 1210 Kiste finde online? Und die Kosten für RAM und SSD kommen ja noch drauf. ;)

Generell noch ähnlich ausgestattete Geräte zum Vergleich? ;) Ich finde das Bundle bisher als Gesamtpaket am attraktivsten.

Gruß
Chris

[JeGr]

Aloha,

Wie bespiele ich denn so nen mSATA Speicher? Also boote ich so eine Kiste einfach von einem USB Stick, um die OPNsense Software auf den mSATA Speicher zu installieren?

Genau. mSATA ist nur ein Laufwerk mit SATA Schnittstelle das über einen speziellen miniPCIe Bus angebunden ist. Verhält sich und installiert sich genauso wie eine normale SSD/HDD.

Generell noch ähnlich ausgestattete Geräte zum Vergleich? ;) Ich finde das Bundle bisher als Gesamtpaket am attraktivsten.

Hatte ich ja bereits gemeint: In dem Preissegment bis ~200€ wirst du nichts finden, was an die APU2 rankommt (leider - wäre schön Alternativen zu haben). Bei Firmen könnte dann die 1010 und andere wieder interessant werden, was Garantieerweiterungen, next-business-day replacement usw. angeht. :)