Hallo zusammen,
ich habe vor Kurzem eine neue OPNsense-Firewall auf einem lüfterlosen Mini-PC mit einem Intel N150 Prozessor und Intel i226 (igc) 2.5 GbE Netzwerkkarten aufgesetzt.
Das System läuft bisher stabil, aber ich möchte die maximale Leistung und den höchsten Durchsatz aus der Hardware herausholen. Mein Ziel ist es, das Basissystem, Unbound DNS und insbesondere Zenarmor (Paketverarbeitung/L7-Inspektion) zu optimieren, ohne in CPU-Engpässe oder Paketverluste zu geraten.
Hier ein paar Details zu meinem Setup:
* Hardware: Intel N150 (Sparsam, effiziente Kerne)
* Netzwerkkarten: Intel i226-V (mit dem nativen igc-Treiber)
* Pakete: Zenarmor, Unbound (mit DNS-Blocking/Caching)
Ich würde mich sehr über Ratschläge der Community zu Best Practices und spezifischen Anpassungen freuen:
1. Optimierung von Basissystem & Netzwerkkarten:
* Gibt es bestimmte Loader Tunables oder sysctl-Einstellungen (wie RSS / Receive-Side Scaling, Interrupt-Remapping oder Hardware-Offloading), die für den igc-Treiber und die N150-Architektur empfohlen werden, um den Durchsatz bei Gigabit+ zu maximieren?
* Sollte Hardware Checksum Offloading in modernen OPNsense-Versionen mit diesen Netzwerkkarten explizit aktiviert oder deaktiviert werden?
2. Unbound DNS-Optimierung:
* Was sind die besten Anpassungen für Unbound, um eine blitzschnelle DNS-Auflösung zu erreichen (z. B. Cache-Größen, infra-cache-numhosts, Prefetching oder Aktivierung paralleler Threads)?
3. Zenarmor Leistungsoptimierung:
* Da Zenarmor recht ressourcenintensiv ist (Packet Engine / Netmap-Modus): Was ist die beste Konfiguration für einen 4-Kern N150 Prozessor?
* Sollte ich den nativen Netmap-Treiber-Modus oder den emulierten Modus mit dem igc-Treiber verwenden?
* Gibt es spezielle Berichts-/Datenbank-Optimierungen (Elasticsearch vs. SQLite), um die CPU- und Disk-I/O-Last auf einem Mini-PC niedrig zu halten?
Ich freue mich über alle Tipps, Konfigurationsbeispiele oder Links zu guten Tuning-Guides für ähnliche Intel-Setups mit geringer Leistungsaufnahme. Vielen Dank im Voraus!
Viele Grüße,
Manuel
Wie ist die Performance bei dir denn jetzt und wie hast du sie gemessen?
Bei meinem System (Intel J6412 mit i226-V NICs) ist die inter-VLAN Performance von 1.1 Gbit/s auf ca. 2.4 Gbit/s gestiegen (gemessen mit iperf), nachdem ich Zenarmor abgeschaltet hatte. Da war dann keine weitere Optimierung mehr nötig. Zenarmor ist halt nur single-threaded (ausgenommen die ganz teueren Versionen), das wird dann dein Flaschenhals werden.
Ich habe übrigens alle Offloading Optionen unter Interface->Settings angekreuzt und damit deaktiviert. Mehr Performance würde das Offloading also nicht bringen, aber vielleicht weniger Stromverbrauch.