Hallo, ich bin gerade dabei ein Homelab zusammen zu basteln. Ich arbeite schon lange mit Linux, möchte jetzt aber bisschen mehr machen im Bereich Netzwerk. U.a. soll Wireguard laufen, möchte mir div. MDM Systeme anschauen etc. - eben sowas, wie es in Firmen eingesetzt wird, aber nur open source.
Ich habe eine recht gute Internetverbindung (symmetrisch 10gbit) und würde, wenn ich schon eine dedizierte Hardware kauf, auch möglichst "viel" ausprobieren und laufen lassen wollen, u.a. DPI. Ich hab meine Workstation die mit 10gbit aktuell am BananaPi R4 hängt (mein Router).
Meine Frage: welche Hardware wäre da empfehlenswert/realistisch? Ich will nicht tausende an Euros ausgeben (danke RAMAgeddon und co.). Ich frage mich ob so ein N355 ausreicht, vermute aber eher nicht wenn DPI ins Spiel kommt. Bevor ich jetzt 500 Euro und mehr ausgeb und danach enttäuscht bin, dachte ich mir, ich frag mal nach ob mir wer was empfehlen kann. Ich brauche eher selten die volle Leistung. Würde die aber gern abrufen können, wenn das irgendwie möglich ist. Wenn ich bei Steam zb. ein Spiel kauf und das hat 50Gb, dann ist das schon nett mit 8-9Gbit/s runterzuladen. Bin für jede Info/Tipp dankbar!
Bei DPI zählt CPU-Performance. Am Rande bemerkt, hängt das davon ab, was Du dafür einsetzen willst. Soweit mir bekannt, läuft Zenarmor in der Gratisversion nur single-threaded, was die Performance per se einschränkt - ich glaube kaum, dass irgendeine CPU das mit 10 Gpbs schafft.
Für reines Firewalling wäre ein N355 ausreichend, das packt sogar ein N1x0.
Auch hier gilt: You gotta pay to play!
Danke für die Antwort! Ich würde wohl Suricata erstmal verwenden für das WAN (so wie in https://popacloudhost.com/blog/opnsense-suricata-vs-zenarmor/ beschrieben). Ich frage mich nur, ob selbst das mit dem N355 performant läuft, oder ob ich da massiv einbussen hätte.
Befürchte, wenn ich da wirklich mit arbeiten will, muss ich irgend einen kleinen Rechner kaufen mit 2*sfp+-Karte und deutlich stärkerer CPU. Der Vorteil ist, sowas findet man trotz RAMAgeddon auch gebraucht
Je nach Größe des Regelsatzes wirst Du da um Enterprise Hardware kaum herumkommen, wenn Du den Speed wirklich ausnutzen willst. Suricata braucht hohe Single-Core Performance, mit Mehrkern-Server-Prozessoren mit niedrigen Frequenzen kommst Du da nicht weit. Das wird laut und energiefressend.
Der N355 bietet keinen sehr hohen Grundtakt, wird das bei größeren Regelsätzen einbrechen.
Zum Glück hab ich vor dem Kauf hier nachgefragt, danke!
Enterprise klingt teuer... was würdest du empfehlen?
Es ist "nur" ein Homelab, aber wenn, dann würd ich schon gern von den 10gbit möglichst viel verwenden können wollen :P
Du kannst locker mit bezahlbaren Geräten 10 Gbit/s routen und "firewallen". Was du unter einem mittleren vierstelligen Betrag nicht finden wirst, ist ein Gerät, das 10 Gbit/s IDS/IPS macht (ich nehme an, mit DPI meinst du Deep Packet Inspection).
Da bleibt dann die Frage, wozu du das brauchst? Ich benutze kategorisch keine IDS, da ich die Technologie für zu fehleranfällig und deutlich überbewertet halte.
Saubere Trennung wenig vertrauenswürdiger Endgeräte, DNS Blocklisten, freie IP-Blocklisten, evtl. kombiniert mit Crowdsec oder Q-Feeds. Fertig.
Für 10 Gbit/s Routing:
- Die Luxusvariante: https://shop.opnsense.com/product/dec750-opnsense-desktop-security-appliance/
- Etwas preiswerter: https://eu.protectli.com/product/vp2440/ oder https://eu.protectli.com/product/vp6630/
Von letzterem gibt es natürlich auch noch günstigere China-Klone bei Aliexpress oder Amazon, kann gut gehen, muss aber nicht. Oder was von Minisforum.
@meyergru ist hier definitiv "da man" bei Fragen zu konkreter Hardware.
Ich würde das IDS vergessen und mit 10 Gbit/s Spass haben.
Naja, man kann bei Deciso ins Regal greifen, um eine spezialisierte Appliance zu bekommen, die eben 7.9 GBps Threat Protection Durchsatz hat bei gleichzeitig niedrigem Stromverbrauch (DEC3920) oder irgendwas im Server-Bereich als 19"-Rack-Lösung (dann aber Performance) oder selbst bauen auf Basis aktueller High-End-Prozessoren. Die meisten Desktop-Plattformen könnten dann eben kein ECC-RAM, alternativ brauchst Du Server-CPUs und Mainboards, die fast ebenso teuer sind wie fertige 19"-Server von Dell.
Was auch in Frage käme, wäre so etwas: https://minisforumpc.eu/de/products/ms-a2-mini-pc, da reichen eventuell auch die kleineren CPUs, da die Single-Thread-Leistung entscheidend ist.
Ich zweifele aber ohnehin daran, dass das wesentlich günstiger als mit einer DEC3920 geht. Selbst die kann z.B. bei Wireguard nur ca. 4 Gbps. Es gibt noch fettere Lösungen, ich habe aber damit keine Erfahrungen - bei mir reichen 10 Gbps geroutet im Intranet und 2 Gbps im WAN. Außerdem nutze ich keine DPI-Lösungen.
Danke für die Infos. In dem Fall ist die Idee mit DPI/IDS im Homelab "Blödsinn"? D.h., dann würde auch was deutlich kleineres gehen. Ich verwende aktuell Wireguard mit dem BananaPi R4, wenn ich mit dem Laptop unterwegs bin und z.B. in ein Wlan einlogge.
Hier in CH bei init7 zahle ich für 1gbit genauso viel wie für 10gbit oder 25gbit. Deswegen dachte ich, es wäre cool die 10gbit zu erreichen mit IDS/DPI. Aber wenn das total überbewertet ist und einfach nur die Kosten in die Höhe treibt... jetzt bin ich unsicher, in dem Fall reicht wohl doch der N355. Dahinter käme dann der R4 mit weiteren Ports (RJ45) und Wifi. Dann streiche ich wohl Suricata/Zenarmor von der "Ausprobieren"-Liste