Messages

Habe aber auch gelesen, dass ein MSS-Clamping Abhilfe schaffen könnte. Heißt also, dass es durch zu große Pakete verursacht werden kann.
Möglicherweise helfen die OpenVPN Optionen "TUN device MTU" (bspw. 1400 od. noch kleiner testen), "MSS fix" oder "Fragment size".

Allerdings hatte sich mein "Problem-Client" nach dem ersten Vorschlag nicht mehr gemeldet, so kann ich das nicht bestätigen.

Habe auch einen DSL-Lite Anschluss im Verdacht. User wissen ja oft nichtmal was für einen Anschluss sie haben ;(
Also MTU erst mal auf 1400

Was die Unassigned angeht, scheint das nur ein Anzeige-Ding zu sein. Ursprünglich wurden die immer unter Assignments angezeigt ... irritierend!

Kann es sein dass die unassigned Interfaces nicht mehr angezeigt werden?

Kann mich noch dunkel erinnern, dass zB OpenVpn-Server unassigned waren und von Hand zugewiesen wurden.

Habe aktuell eine Sense die fleißig in Nutzung ist, nebst OpenVpn, aber ich sehe keine unassigned Interfaces ... ist das ein Bug oder ein Feature?

Oder hat sich mit den Instaces etwas Grundlegendes geändert, dass ich verpasst habe?

Symptom: " AEAD Decrypt error: bad packet ID (may be a replay)" Also UDP-Pakete die in der falschen Reihenfolge eintrudeln ...
Kann ich mir bisher noch keinen Reim drauf machen.

Das ist einfach eine scheiß Seuche, Prefixe zu rotieren und das auch noch im dümmsten Fall alle 24h. Das läuft inzwischen schlicht unter "defekt" bei uns weil du nichts ordentlich damit anfangen kannst. Und da hilft dir weder irgendein DNS/DDNS noch sonstwas dagegen. Leider.

Das ist leider immer so eine Sache, wie der ISP das handhabt.
Bi mir blieb der V6 Prefix stehen, daher machte das kine Probleme, allerdings ist das leider kein Standard.

Ich betreibe mehrere OPNSense in Proxmox, ohne große Probleme.
Dabei halte ich mich an die Virt-IO Komponenten und den QEMU-Agent.
Man muss sich im Klaren sein, dass es die Virtualisierung Ressourcen verbraucht - also erwatet nicht von einem Mini-PC 10GBit/s mit IDS/IPS zu verarbeiten.
ZFS ist auch kein Problem, ermöglicht den Usern auf der Sense Snapshots vor wichtigen Änderungen, ohne Zugriff auf Proxmox zu benötigen.

Schau doch mal unter https://docs.opnsense.org/manual/how-tos/multiwan.html#multi-wan vorbei, da sind die entsprechenden Parameter erklärt.

by the Way wenn wir schon die Grüne Welle reiten: Wer am meisten Strom sparen will geht von DAC auf AOC, da kostet zwar jedes Kabel bis zum 3fachen, der Switch spart aber in Summe um die 50% Strom ein - so sind meine letzten Erfahrungswerte.

Muss sich jeder selber eine Kosten/Nutzen Rechnung aufmachen, je nach Prioritäten.
Green-IT kann auch bedeuten die Abwärme zum Heizen zu nutzen ;)

Mit den Temperaturen hast Du nicht ganz unrecht - allerdings gibt es schon viel Hardware die 10g-T mitbringt.

Die folgende Übersicht zeigt die typischen Verbrauchswerte pro Port basierend auf gemessenen Daten:

10 Mbit/s (Fast Ethernet): ca. 0,1 Watt im aktiven Link.
100 Mbit/s: ca. 0,095 Watt (idle) bzw.  54 mW mit EEE.
1 Gbit/s: ca. 0,35 Watt (idle) bzw.  61 mW mit EEE.
10 Gbit/s: ca. 5 Watt pro Port; neuere Modelle sparen bis zu 80 % im Vergleich zur Vorgängergeneration.
Kein Link (Inaktiv): ca. 10 mW, wenn der Port automatisch abgeschaltet wird.

habe leider keine Werte zu 2,5G und 5G parat..

Ein guter managed 10G Switch wird schon richtig teuer - dann noch die DACs ... das geht richtig ins Geld

zb einen netgear xs mit 8 oder 10 x 10g-T bekommt man generalüberholt schon für relativ kleines Geld, eben OHNE noch SFPs/DACs kaufen zu müssen.

Stellt sich die Frage ob das Homelab im Dauerbetrieb oder "nur bei bedarf" läuft, bzw welchen Zweck das erfüllen soll.

Da gehe ich mit Patrick, 10G Brutto sind nicht 10G Netto.

Nur weil der Provider mit 10G wirbt, sind das nicht 10G hinter deren Anschluss.
Da gehen gerne noch Header für deren internes Klimbim ab: Gerne machen die noch internes VPN zu deren Hardware inkl Keepalives etc.
Hilft auch mal nach deren MTU zu fragen, sonst wird das Netto noch kleiner.

Wenn man etwas "intelligentes" zum Schutz von außen möchte, gehe ich ebenfalls mit Crowdsec und DNS-Blacklists wie Hageci, das ist guter Basis-Schutz, der erstmal nichts kostet.

Wenn es nur um Home-Use geht würde ich nach 10G Kupfer-Hardware schauen - das spart gefummel mit SFPs und Glasfasern und hält die Kosten in Grenzen und die Verfügbarkeit ist gut.
Es sei denn, man möchte gerne lernen wie es mit Glas-Technik läuft..

Ob man mit dem dynamischen IPv6 Kram glücklich wird, hängt wahrscheinlich eher von den Disconnect-Timeouts ab, also wann es ne Trennung gibt. TDSL sollte ja theoretisch nur noch so grob alle 3-6 Monate eine machen - da kann das dann gut funktionieren. Wie oft sie das v6 Prefix ändern, weiß ich nicht, da gibt es auch Anbieter, die da Hardcore alle 24h nen neuen Prefix announcen und dann macht v6 wenig Spaß :/

Naja, das kann man ja über DDNS übergehen, das läuft ja selbst für Lite-Anschlüsse mitlerweile brauchbar.
Ist doch für die Finger auch angnehmer DNS zu nutzen als eine v6-Adresse ;)

vielleicht würde sich etwas differenzierteres wie OpnManager anbieten?

Frage mich allerdings warum es ein zweites Managementsystem braucht?
So teuer ist die BE doch nun auch nicht...

Denke auch dass eine Firma mehr Ressourcen und ein größeres Interesse hat am Ende etwas brauchbares anzubieten.

Vielleicht macht es mehr Sinn zu versuchen sich am eigentlichen Projekt zu beteiligen?

Man kann das auch per VPN lösen:

baust einen Splittunnel für Außen und lässt dir den eigenen VPN pushen - mit dem kann man machen was man will.
Zusätzlich ist der Weg ins Heimnetz safe.

Somit nutzen alle Clients (drinnen wie draußen) diese DNS (zb unbound) und man kann so viele Domains aufmachen wie man will. Man kann sogar Domains überblenden, damit gewisse Dienste umgeleitet werden.

Natürlich ist das nichts für gewerblichen Einsatz - aber für den ambitionierten Home-User vielleicht angenehmer, da man unabhängig von Externen wird.

Naja, Du kannst ja für jede Route das zu nutzende Gateway angeben.

Das werden zwar die wenigsten im Homelab brauchen, aber hilft denen die über mehrere Gateways bzw Interfaces raus gehen.

Vielleicht auf dem Interface mal ein Capture laufen lassen ?

Nicht das einem über Logging etwas elementares entgeht.

Moin,

die Anfrage nach 2FA habe ich auch schon bekommen.
Habe das bisher mit dem "Umweg" via OpenVPN gelöst - dann ist der Anspruch an 2FA gelöst - inkl 3tem Feld für TOTP und der direkte Zugang ist per Regelwerk unzulässig.
Das ist zwar nicht ideal, aber bildet einen Kompromiss aus Passwortmanager-Kompatiblem Login und TOTP als 2tem Faktor - wenn man es genau nimmt ist via OpenVPN mit dem Zertifikat ja sogar ein dritter Faktor enthalten .... not bad but imperfect.

Microsoft/GitHub (für die, die es noch nicht wussten, JA GitHub ist seit Jahren in MS Besitz)

Schon bescheuert, da nutzt man freie unabhängige Software und doch tritt einem MS in den Arsch ;(

Werde meine Listen dann auch mal anpassen gehen .... Danke nach Redmond!