Hallo, ich bin gerade dabei ein Homelab zusammen zu basteln. Ich arbeite schon lange mit Linux, möchte jetzt aber bisschen mehr machen im Bereich Netzwerk. U.a. soll Wireguard laufen, möchte mir div. MDM Systeme anschauen etc. - eben sowas, wie es in Firmen eingesetzt wird, aber nur open source.
Ich habe eine recht gute Internetverbindung (symmetrisch 10gbit) und würde, wenn ich schon eine dedizierte Hardware kauf, auch möglichst "viel" ausprobieren und laufen lassen wollen, u.a. DPI. Ich hab meine Workstation die mit 10gbit aktuell am BananaPi R4 hängt (mein Router).
Meine Frage: welche Hardware wäre da empfehlenswert/realistisch? Ich will nicht tausende an Euros ausgeben (danke RAMAgeddon und co.). Ich frage mich ob so ein N355 ausreicht, vermute aber eher nicht wenn DPI ins Spiel kommt. Bevor ich jetzt 500 Euro und mehr ausgeb und danach enttäuscht bin, dachte ich mir, ich frag mal nach ob mir wer was empfehlen kann. Ich brauche eher selten die volle Leistung. Würde die aber gern abrufen können, wenn das irgendwie möglich ist. Wenn ich bei Steam zb. ein Spiel kauf und das hat 50Gb, dann ist das schon nett mit 8-9Gbit/s runterzuladen. Bin für jede Info/Tipp dankbar!
Bei DPI zählt CPU-Performance. Am Rande bemerkt, hängt das davon ab, was Du dafür einsetzen willst. Soweit mir bekannt, läuft Zenarmor in der Gratisversion nur single-threaded, was die Performance per se einschränkt - ich glaube kaum, dass irgendeine CPU das mit 10 Gpbs schafft.
Für reines Firewalling wäre ein N355 ausreichend, das packt sogar ein N1x0.
Auch hier gilt: You gotta pay to play!
Danke für die Antwort! Ich würde wohl Suricata erstmal verwenden für das WAN (so wie in https://popacloudhost.com/blog/opnsense-suricata-vs-zenarmor/ beschrieben). Ich frage mich nur, ob selbst das mit dem N355 performant läuft, oder ob ich da massiv einbussen hätte.
Befürchte, wenn ich da wirklich mit arbeiten will, muss ich irgend einen kleinen Rechner kaufen mit 2*sfp+-Karte und deutlich stärkerer CPU. Der Vorteil ist, sowas findet man trotz RAMAgeddon auch gebraucht
Je nach Größe des Regelsatzes wirst Du da um Enterprise Hardware kaum herumkommen, wenn Du den Speed wirklich ausnutzen willst. Suricata braucht hohe Single-Core Performance, mit Mehrkern-Server-Prozessoren mit niedrigen Frequenzen kommst Du da nicht weit. Das wird laut und energiefressend.
Der N355 bietet keinen sehr hohen Grundtakt, wird das bei größeren Regelsätzen einbrechen.
Zum Glück hab ich vor dem Kauf hier nachgefragt, danke!
Enterprise klingt teuer... was würdest du empfehlen?
Es ist "nur" ein Homelab, aber wenn, dann würd ich schon gern von den 10gbit möglichst viel verwenden können wollen :P
Du kannst locker mit bezahlbaren Geräten 10 Gbit/s routen und "firewallen". Was du unter einem mittleren vierstelligen Betrag nicht finden wirst, ist ein Gerät, das 10 Gbit/s IDS/IPS macht (ich nehme an, mit DPI meinst du Deep Packet Inspection).
Da bleibt dann die Frage, wozu du das brauchst? Ich benutze kategorisch keine IDS, da ich die Technologie für zu fehleranfällig und deutlich überbewertet halte.
Saubere Trennung wenig vertrauenswürdiger Endgeräte, DNS Blocklisten, freie IP-Blocklisten, evtl. kombiniert mit Crowdsec oder Q-Feeds. Fertig.
Für 10 Gbit/s Routing:
- Die Luxusvariante: https://shop.opnsense.com/product/dec750-opnsense-desktop-security-appliance/
- Etwas preiswerter: https://eu.protectli.com/product/vp2440/ oder https://eu.protectli.com/product/vp6630/
Von letzterem gibt es natürlich auch noch günstigere China-Klone bei Aliexpress oder Amazon, kann gut gehen, muss aber nicht. Oder was von Minisforum.
@meyergru ist hier definitiv "da man" bei Fragen zu konkreter Hardware.
Ich würde das IDS vergessen und mit 10 Gbit/s Spass haben.
Naja, man kann bei Deciso ins Regal greifen, um eine spezialisierte Appliance zu bekommen, die eben 7.9 GBps Threat Protection Durchsatz hat bei gleichzeitig niedrigem Stromverbrauch (DEC3920) oder irgendwas im Server-Bereich als 19"-Rack-Lösung (dann aber Performance) oder selbst bauen auf Basis aktueller High-End-Prozessoren. Die meisten Desktop-Plattformen könnten dann eben kein ECC-RAM, alternativ brauchst Du Server-CPUs und Mainboards, die fast ebenso teuer sind wie fertige 19"-Server von Dell.
Was auch in Frage käme, wäre so etwas: https://minisforumpc.eu/de/products/ms-a2-mini-pc, da reichen eventuell auch die kleineren CPUs, da die Single-Thread-Leistung entscheidend ist.
Ich zweifele aber ohnehin daran, dass das wesentlich günstiger als mit einer DEC3920 geht. Selbst die kann z.B. bei Wireguard nur ca. 4 Gbps. Es gibt noch fettere Lösungen, ich habe aber damit keine Erfahrungen - bei mir reichen 10 Gbps geroutet im Intranet und 2 Gbps im WAN. Außerdem nutze ich keine DPI-Lösungen.
Danke für die Infos. In dem Fall ist die Idee mit DPI/IDS im Homelab "Blödsinn"? D.h., dann würde auch was deutlich kleineres gehen. Ich verwende aktuell Wireguard mit dem BananaPi R4, wenn ich mit dem Laptop unterwegs bin und z.B. in ein Wlan einlogge.
Hier in CH bei init7 zahle ich für 1gbit genauso viel wie für 10gbit oder 25gbit. Deswegen dachte ich, es wäre cool die 10gbit zu erreichen mit IDS/DPI. Aber wenn das total überbewertet ist und einfach nur die Kosten in die Höhe treibt... jetzt bin ich unsicher, in dem Fall reicht wohl doch der N355. Dahinter käme dann der R4 mit weiteren Ports (RJ45) und Wifi. Dann streiche ich wohl Suricata/Zenarmor von der "Ausprobieren"-Liste
Habe mir auch vor einiger Zeit eine 10 Gbit Firewall gebaut. Hoste eine mittelgrosse Community mit Nutzern aus aller Welt. Habe zwar IDS am laufen, aber IPS aus. Will keine false positives. Mache es wie die Vorredner empfehlen, Blocklist als erste Mauer (firehol). Dann habe ich einen Honeypot gebaut, welcher Crowdsec füttert. Will wer auf einen Dienst zugreifen, den ihn nichts angeht, wird er mal 72h ins Jail geworfen.
Bin da auch nicht wirklich so tief drin. Aber damit blockst Du eh schon 99% der Angriffe von aussen ab. Und DPI halte ich für überbewertet. Gerade auch, weil der Grossteil der nach L7 geht eh verschlüsselt ist.
Läuft ziemlich gut auf einem uralt E3 Xeon (Haswell). Aber nach den ganzen Erfahrungen die ich gemacht habe, bin ich zum Schluss gekommen, dass mir 1/1 auch reichen würde. Wenn man dann 10 Gbit Firewall hat, kommt schnell der Wunsch nach 10 Gbit Switch und sowas auf. Damn Rabbithole. Und die 10 Gbit Gegenstellen abseits vom Speedtest musst Du weit suchen gehen.
Das ist richtig. Effektiv ist der Transferspeed für Daten der bestimmende Faktor dafür, wie lange man auf das Ende einer Operation wartet.
Wobei 10G Switches noch zu haben sind (wenn's auch kostet), aber alles abseits von DAC-Kabeln auch ziemlich Strom frisst. Ich nutze 10G ausschließlich mit DAC-Kabeln im Backbone, also zwischen OpnSense, Switch und Servern und nur für einen Haupt-Client per 10 GbE.
Alles andere maximal mit 2.5G, weil die Hardware günstig zu haben ist, wenig Strom verbraucht und vor allem, weil in der Realität selbst mehr großen Plattenarrays der Transferspeed meist auf ca. 300 MByte/s begrenzt ist, da zumindest beim Schreiben die Paritätsplatte(n) den maximalen Speed limitieren.
Und wenn man dann noch auf IDS verzichtet, reicht in der OpnSense ein N1x0 (allerdings mit 2x SFP+ (https://www.amazon.de/FakestarPC-Industrial-Firewall-Appliance-N150/dp/B0F7R11YKH)), der Switch kostet einen Tausender (z.B. USW-Pro-HD-24-PoE, weil man idealerweise 4xSFP+ braucht, denn 2 reichen nicht, wenn man noch einen Backup-Server braucht).
Nutze einen Zyxel XS1930-10 als Core, der war deutlich günstiger als einen Tausender. Da dran hängen zwei WS, zwei (bald drei) Server und mein Access Switch. Beim Access Switch reichen mir 1 Gbit, habe da einen Zyxel Nebula GS1920-24v2 geholt. Der Core Switch dient auch als Mediaconverter, macht also aus WAN Glas auch noch Kupfer, nutze Glas effektiv nur für WAN. Ja, braucht bisschen mehr Strom alles auf Kupfer. Aber da ich rauche im Büro und alles fliegend verkabelt ist, dachte ich ist das schmerzfreier.
Quote from: Patrick M. Hausen on July 17, 2026, 09:11:31 PM- Die Luxusvariante: https://shop.opnsense.com/product/dec750-opnsense-desktop-security-appliance/
- Etwas preiswerter: https://eu.protectli.com/product/vp2440/ oder https://eu.protectli.com/product/vp6630/
Ich hab den 750er gekauft, der schafft geradeso mit ach und krach 6Gbit. Ich würd die Finger davon lassen wenn Du 10Gbit willst.
Mit welchen Diensten und mit was für einer Art von Uplink?
Alles Default. Init7 10GBit.
Und was ist der Default bei Init7? Statisch, DHCP, PPPoE? Und welche Dienste willst du benutzen.
standard ist dhcp
Da muss man halt auch differenzieren. Ein einzelner TCP Stream ≠ mehrere UDP Streams. Wenn Gesamtdurchsatz mit 10 Gbit beworben ist, kann es gut sein, dass da auch ohne IDS oder VPN bei weitem nicht in jeder Lebenslage wirklich 10 Gbit/s durchgehen. Hab das mit der Sense noch nicht wirklich getestet, aber bin bei meiner Uraltgurke immer ganz amüsiert, wenn da 8 Gbit im Speedtest auf der Uhr stehen. Und die drei X540 laufen hinter einem PLX Chip an PCIe 3.0. Aber ein einzelner TCP Download macht halt gerade mal 1 Gbit/s. Kann aber auch an meinen uralt Servern dahinter liegen, da liegt alles auf DC-SATA und SAS Platten.
Wie hast Du denn gemessen? Speedtest? iPerf? Beim Speedtest auch darauf achten, die CLI Version zu nehmen. Sonst kann es sein, dass schlicht die blöde App limitiert.
Und der TE will sich mal ein Homelab mit 10 Gbit/s aufbauen. Da sollte man die Kirche vielleicht im Dorf lassen, und erst mal seine Anforderungen abklopfen, bevor da von einer Hardware abgeraten wird. Die 10 Gbit/s musst Du erst mal bedienen können, und damit meine ich Down- und Upload.
Btw. hat letzte Nacht ein init7 User meinen Server gebencht. Mit Windows 7 und *husthust* Internet Explorer. Muss da aber Entwarnung geben, meine Website läuft extern, und ist nur mit 1 Gbit/s angebunden. Zumindest der Grossteil davon. War das einer von euch Spezialisten? Aber macht ruhig, mein Hoster ist sich gewohnt, dass die Seite 2-3 TB Traffic im Monat macht.
Der Standard bei init7 (Fiber7 10G) ist ne dynamische ipv4 und ne statische ipv6. Dienste liefen einfach, die Standardmaessig aktiviert sind wenn man opnsense frisch installiert.
Will heissen ich habe den Wanport ans init7 Netz gehangen, dann meinen PC an den anderen Fiberport gehangen und los gings. Die Kiste schafft keine 10Gbit.
Das gleiche Spiel habe ich dann mit einem Minisforum MS01 gemacht, da kommst auf Anhieb auf die 10Gbit.
Ich hab das Teil noch hier liegen. Kannst gern haben und selbst testen.
Es stimmt, die 750er hat bei mir auch nur ca. 7 Gbit/s maximal gebracht und dazu musste man schon tunen - ich habe die aber auch nicht empfohlen. Der wesentliche Vorteil ist der niedrige Verbrauch und die passive Kühlung. Spätestens mit IDS ist bei 10 Gbps.
Die Specs von Deciso sprechen von 8.5G Port zu Port.
Ich erwarte von einem Teil mit 2x 10G Interfaces nicht unbedingt volle 10G Durchsatz von einem Client von/zum Internet. Bei mir hängt die DEC750 mit 2x 10G LACP am zentralen Switch. Da der ganze Rest vom Netz 1G ist, reicht das locker, um niemals zum Engpass zu werden, über alle VLANs hin und her.
Da gehe ich mit Patrick, 10G Brutto sind nicht 10G Netto.
Nur weil der Provider mit 10G wirbt, sind das nicht 10G hinter deren Anschluss.
Da gehen gerne noch Header für deren internes Klimbim ab: Gerne machen die noch internes VPN zu deren Hardware inkl Keepalives etc.
Hilft auch mal nach deren MTU zu fragen, sonst wird das Netto noch kleiner.
Wenn man etwas "intelligentes" zum Schutz von außen möchte, gehe ich ebenfalls mit Crowdsec und DNS-Blacklists wie Hageci, das ist guter Basis-Schutz, der erstmal nichts kostet.
Wenn es nur um Home-Use geht würde ich nach 10G Kupfer-Hardware schauen - das spart gefummel mit SFPs und Glasfasern und hält die Kosten in Grenzen und die Verfügbarkeit ist gut.
Es sei denn, man möchte gerne lernen wie es mit Glas-Technik läuft..
Quote from: trixter on August 21, 2026, 09:44:35 AMWenn es nur um Home-Use geht würde ich nach 10G Kupfer-Hardware schauen - das spart gefummel mit SFPs und Glasfasern und hält die Kosten in Grenzen und die Verfügbarkeit ist gut.
Da bin ich anderer Meinung, aus Erfahrung. 10GBASE-T verbraucht irrsinnig viel Strom und wird auch entsprechend heiß. Es kann dir bei Switchen mit SFP+ passieren, dass man deshalb keine 2 Kupfer-Module direkt nebeneinander betreiben soll.
SFP+ im Gerät und DAC-Kabel sind im Moment der beste Weg bezgl. Stromverbrauch und Einfachheit. Aber auch Glas ist noch deutlich besser als 10GBASE-T.
Mit den Temperaturen hast Du nicht ganz unrecht - allerdings gibt es schon viel Hardware die 10g-T mitbringt.
Die folgende Übersicht zeigt die typischen Verbrauchswerte pro Port basierend auf gemessenen Daten:
10 Mbit/s (Fast Ethernet): ca. 0,1 Watt im aktiven Link.
100 Mbit/s: ca. 0,095 Watt (idle) bzw. 54 mW mit EEE.
1 Gbit/s: ca. 0,35 Watt (idle) bzw. 61 mW mit EEE.
10 Gbit/s: ca. 5 Watt pro Port; neuere Modelle sparen bis zu 80 % im Vergleich zur Vorgängergeneration.
Kein Link (Inaktiv): ca. 10 mW, wenn der Port automatisch abgeschaltet wird.
habe leider keine Werte zu 2,5G und 5G parat..
Ein guter managed 10G Switch wird schon richtig teuer - dann noch die DACs ... das geht richtig ins Geld
zb einen netgear xs mit 8 oder 10 x 10g-T bekommt man generalüberholt schon für relativ kleines Geld, eben OHNE noch SFPs/DACs kaufen zu müssen.
Stellt sich die Frage ob das Homelab im Dauerbetrieb oder "nur bei bedarf" läuft, bzw welchen Zweck das erfüllen soll.
by the Way wenn wir schon die Grüne Welle reiten: Wer am meisten Strom sparen will geht von DAC auf AOC, da kostet zwar jedes Kabel bis zum 3fachen, der Switch spart aber in Summe um die 50% Strom ein - so sind meine letzten Erfahrungswerte.
Muss sich jeder selber eine Kosten/Nutzen Rechnung aufmachen, je nach Prioritäten.
Green-IT kann auch bedeuten die Abwärme zum Heizen zu nutzen ;)
Quote from: trixter on August 21, 2026, 01:00:35 PMEin guter managed 10G Switch wird schon richtig teuer - dann noch die DACs ... das geht richtig ins Geld
https://mikrotik.com/product/crs310_1g_5s_4s_in
Deutlich unter 200 € für 8 Ports, neu.
EDIT: laut fs.com und anderen Quellen verbraucht AOC minimal mehr Strom und hat eine etwas höhere Latenz als passives DAC. Dafür ist es weniger störanfällig - klar bei Glas.
AOC brauchen pro Port 1-2,5W, Passive DACs maximal 0,1W. Wo soll das sparen?
Die Vorteile liegen bei der maximalen Länge der Leitung, Störfestigkeit und galvanischer Entkopplung, wie korrekt bemerkt mit wesentliche höheren Kosten.
Und wenn Du gute NICs und moderne Switches hast, wären selbst längere 10 GbE-Leitungen nicht mehr so viel schlechter bei 1 Watt pro Port.
Realistischerweise also: Im Serverraum DAC für kurze Verbindungen, wenn lange Leitung benötigt bis ca. 20m: 10GbE oder 2.5GbE, wenn längere Leitungen und Verkabelung "alt": optische Kabel.