Messages

Disclaimer: I don't know anything about Surricata.

I think you got them switched.

Crowdsec you can use multiple "parsers" (which logs it should read) and what "scenarios" it will look for.

Since this is all not "live" it isn't taxing on system resources and it won't affect your traffic speed or latency. It will block by using "bouncers" which can be pf (Opnsense), nftables or even nginx proxies.

AFAIK surricata is IPS. Resource intensive, because live.


So to get back to your question, since Surricata is live and faster already than crowdsec and does it's own blocking, why even bother sharing the information with crowdsec and vice versa? IMHO there is no point in doing that. But again, don't know much about it so happy to hear from others.

[Config on the wireguard clients:]

So you want an IPsec site A to site B connection?
Plus VPN users to your side A?


I personally would not do it. Why connect over a hop, when clients could directly connect to site B?

And I would use Wireguard instead.

What we got:

Your wireguard clients on site A are in this subnet: 192.168.202.0/27

Your site A subnet you did not tell, so I will just assume 192.168.200.0/24 as example.

Your site B subnet is 172.25.26.0/24


Config on the wireguard clients:

[Peer]
PublicKey = <site-a-public-key>
Endpoint = <site-a-public-ip>:51820
AllowedIPs = 192.168.202.0/27, 192.168.200.0/24

road warrior clients config on site a
[Peer]
PublicKey = <client-public-key>
AllowedIPs = 192.168.202.2/32

site to site config on site a
[Peer]
PublicKey = <site-b-public-key>
Endpoint = <site-b-public-ip>:51821
AllowedIPs = 192.168.202.2/32, 172.25.26.0/24

site to site config on site b
[Peer]
PublicKey = <site-b-public-key>
Endpoint = <site-b-public-ip>:51821
AllowedIPs = 192.168.200.0/24, 192.168.202.2/32



AFAIK that should work. Even without NAT rules. But I haven't tested it.

Vielleicht ist es auch nochmals anders und Crowdsec blockt direkt per pf und es ist darum egal was wir in den Firewall rules erstellen.


Ist am Ende aber auch egal. Was ist mit den decisions? Klar kannst du wie Patrick vorschlägt einfach whitelisten, mich würde aber der Trigger interessieren.


Hatte schon mal fälschliche DDOS trigger auf meine Nextcloud, einfach weil tausende files gesynct wurden. Danach konnte ich es für meine Bedürfnisse anpassen.

Die siehst du btw unter

https://deineOPNsense/ui/crowdsec/decisions/index

Hallo, seit ein Paar Tagen sperrt CrowdSec unseren Terminalserver alle 2 bis 3 Tage aus. Ich muss ständig unter Decisions, die Sperre löschen.

Was triggert denn die Sperre?

Habe Alias mit der IP-Adresse IPv4 des Terminalservers erstellt, eine Regel unter Firewall\Rules\Floating erstellt.

Hmm... bin mir nicht ganz sicher, aber ich glaube die Automatic Rules greifen vor deinen manuellen Rules.
Sprich, du wirst von Crowdsec in den automatic rules geblockt, egal was du nachher für eigene rules erstellst.

Gestern nach der Erstellung der Regel habe unter Firewall Live gesehen, dass der TS grün war, heute leider rot. Was mache ich falsch? 

Gestern wurde er durchgelassen, heute blockiert. Die Blockade ist bei den meisten crowdsec scenarios nur 4h.
Schritt 1 wäre also mal rauszufinden, warum überhaupt die Sperre getriggert wurde.

Ist aber immer noch sehr warm denk ich.

Das ding idled die ganze Zeit rum, macht nix aufregendes, dann sollts auch ned so warm werden ...

Sprechen wir von 55° CPU Temp? Wenn du von P1 und P2 sprichst?


Also wenn die CPU Temp 55° ist bei einem aktiv gekühlten Server, würde ich von Stromverschwendung der Lüfter sprechen und die fan curve anpassen :)

Have you tried to disable powerD?

Wohl eher Ausfall kurz nach Ablauf der Garantiezeit vs. Ausfall nach 10 Jahren.

Auch so eine gefühlte Wahrheit? :)

Außerdem sind die Zeiten, in denen 5 Jahre Garantie bei Festplatten nahezu Standard waren, lange vorbei.

Zeig mir eine Enterprise/NAS disk, welche nicht mit 5y Garantie daherkommt.
Bei SSD ist es noch krasser, alles was nicht absoluter Schmutz ist kommt sogar im Consumer Bereich mit 5 Jahren.

Keine Ahnung wie die auf die Idee kommst, 5y Garantie wäre ein Ding der Vergangenheit. Das Gegenteil ist der Fall.

Code Select Expand

Der Unterschied ist, dass mit höherer Temperatur [i]alle[/i] (sub)molekularen Prozesse schneller ablaufen, also auch alle Alterungsprozesse in Materialien, Oxidation, Elektromigration usw.Theoretisch, ja. Wie sieht es mit praktischen und echten Effekten aus? Ausfall nach 11 Jahren und einem Monat anstelle von 11 Jahren?

Code Select Expand

Außerdem sinkt mit höherer Temperatur bei Halbleitern aus Silizium der Widerstand, wodurch ggfs. der fließende Strom steigt, und erhöhter Strom ist auch wieder eine höhere Belastung für die Komponenten.Auch hier wieder, ja theoretisch. Dieser Effekt ist selbst bei 400W GPUs beim Vergleich 40° vs 80° äusserst klein.
Ganz zu schweigen von einer 10W SSD/HDD.

Code Select Expand

Idealerweise wäre das komplette System überall auf der exakt gleichen Temperatur, die sich auch niemals ändern sollte. Diese Forderung ist natürlich vollkommen absurd. Einverstanden. Mein Argument beim damaligen RTX GPU Mining war immer, eine mining GPU würde ich mit Kusshand kaufen. Während die normale Gaming GPU hunderte Zyklen von 80° auf 21° hinter sich hat, lief die mining GPU konstant auf der gleichen Temperatur. Absurd ist es gerade bei einem Server/Firewall aber keineswegs. Die laufen ja 24/7.

Code Select Expand

Allerdings habe ich mich auch selten mit der Kühlung von HDDs abgegeben und trotzdem haben es viele ewig überlebt, allerdings kamen die meist nur auf 43°C, keinesfalls und schon gar nicht dauerhaft auf 60°. Also mich würde es stören, ganz besonders bei Hardware, die auf Jahrzehnte hin zuverlässig laufen soll, eine Firewall z.B. .Nun gut, das ist halt deine gefühlte Wahrheit, dass eine HDD auf 43° jahrelang zuverlässig läuft, nicht aber auf 60°.
Rein wissenschaftlich gesehen ist es hingegen irrelevant. Die Hersteller sind ja nicht doof. Die geben aus gutem Grund 5y Garantie und eine Temperaturbereich von 10-60°. Gäbe es auch nur eine 1% Chance eines höhren Ausfalles, wäre der Range 10-55°

Code Select Expand

wenn man schon nichts weiter unternimmt, sollte man zumindest die natürliche Konvektion / Kamineffekt unterstützenKamineffekt ist bei Computern ein Ammenmärchen. Der wird brutal überschätzt. Das zieht vielleicht bei einem passiven Gehäuse, wenn da aber nur ein einzelner 80mm Lüfter dreht, ist Feierabend. Du könntest eine Case mit einem 120mm Lüfter am Heck auf den Rücken stellen (so dass er voll gegen den Kamineffekt arbeiten müsste) und könntest vermutlich keinen Temperaturunterschied messen.


Sorry für den Rant, aber ich kann solche "gefühlten Wahrheiten" nicht unkommentiert im Raum stehen lassen. Es ist bewusst provokant geschrieben und ich habe nicht für jede meiner Behauptungen selbst einen wissenschaftlichen Beweis. Den muss ich IMHO aber auch nicht erbringen, da ich die Behauptungen nicht in den Raum gestellt habe. Dies soll lediglich als kritischer Denkanstoss gelesen werden.

@HBerger mach dich nicht verrückt. Deine Temperaturen sind völlig im grünen Bereich.

Bezüglich TBW: IMHO auch totaler overkill für OPNsense, ausser du logst extrem viel. Kannst aber auch RAM dafür verwenden.
Bei mir werkeln schon seit Jahren irgendwelche 256GB Intel 550 Resteposten SSDs in mehrere OPNsense boxen. Gar kein Problem.
Kommt aber halt auf deinen Anwendungsfall an.

Macht es Sinn, zu versuchen das Ding Kühler zu bekommen?

IMHO nein. Deine LLM blabbert Quatsch. Wie vieles im Internet. SSDs sind wie fast alle PC Bauteile locker auch mit 80° völlig im grünen Bereich.

Einzig bei HDDs sehe ich (oder besser gesagt die Hersteller) die Grenze eher bei 60°. Ist aber auch logisch, schliesslich drehen da Platten.

Was soll es deine SSD jucken, ob sie mit 40° oder 80° läuft? Wo soll da ein Unterschied sein?

ahh, no?

https://www.fs.com/products/185594.html

And bevor you ask, friend of mine his XGS-PON with that and OPNsense ;)

@tedhugehes I you would at least only slop your own thread, instead of someone elses. *old man yelling at cloud* Back in my days, we called that thread hijacking.

So much noise and wasted energy.
And for what? To realize that it is stupid not to directly input your ISP's fiber into your OPNsense? And that a unnecessary transceiver makes no sense?

Sorry if I am wrong, I just skipped it, not going to read that AI slop.

Same "issue" here.

26.4.1p1_3-amd64

DEC750

I don't code either.
So the best I can do is to review your readme, which describes your architecture.

to avoid unnecessary write cycles on the system SSD.

A backup is like what, 250k? That does not bother any SSD, not even if I do a hourly backup.

Automatic Daily Backups: Configure a specific time for daily backups.

Why should I want that? My config stays the same, sometimes for months. Instead of doing a daily backup, I just do a backup after I change something in the webGUI. Simply by downloading the XML. Doing a backup on any interval, IMHO, does not make sense. But okay, since it is so small and programming anything else is too complicated, you could do it like the Google Drive backup; daily and keep the last 30 or whatever.

Backup Management: List, download, restore, and delete backups from the UI.

Restore? Why? There is proven and working way to restore, why should I risk using your script for that task?

TLDR: It all boils down to: What are you trying to achieve?
After you but some thoughts into that question, you can do some research (or ask in the forum) and relize that the problem you are trying to solve, is already solved. Without the risk of AI slop.

This is btw true for almost all "here is my claude code hobby project" posts that flood /r/selfhosted and /r/homelab.