OPNsense auf SD Card (Zotac Nano CI323)

[astronach]

Hallo,

teste gerade OPNsense in einer VMware Umgebung, letzten Endes soll die FW aber auf einem Zotac Nano CI323 laufen.
Den hab ich mir gerade erst besorgt, somit stellen sich gerad 2 Fragen:
Erkennt der Installer die Hardware-Komponenten des Zotac?
Kann ich die FW auf einer SD-Karte laufen lassen -> Oder lieber ne SSD einbauen.



Möchte einen Transparenten Proxy einrichten (Werbung etc. filtern) soll aber nicht Cachen, weil die Internetanbindung ist 100Mbit.

Der Zotac hat 4GB RAM.

gruss,
Astronach

[monstermania]

Moin,
der Zotac sollte bis auf das integrierte WLAN-Interface unter OPNSense laufen.
Ob die FW von SSD oder SD läuft hängt von Deinen Anforderungen ab. Bei Betrieb von SD-Karte solltest das NANO-Image wählen, da hier Schreibzugriffe auf die SD-Karte minimiert wird.
Der Proxy funktioniert auch durchaus mit einer Nano-Installation mit Cache (Cache in einer RAM-Disk). Siehe dazu hier: https://forum.opnsense.org/index.php?topic=4227.0

Wenn die HW-Voraussetzungen vorhanden sind und die Die paar Euro für einen SSD nicht umbringen würde ich aber heutzutage auf eine Vollinstallation von OPNSense mit SSD setzen! Selbst eine 16 GB SSD reicht aus um alle Features der OPNSense nutzen zu können.
SSD ist einfach die Zukunft!

Gruß
Dirk

[astronach]

Hi Monstermania,

danke für die schnelle Antwort.

Hm, also prinzipiell seh ich das mit der SSD genauso, der Plan war, das ich meine alte SSD (128GB) in kürze aus meinem Hauptsystem durch eine größere SSD ersetzen möchte. 128GB für ne FW ist wahrscheinlich der totale Overkill, aber dann brauch ich nicht extra eine kleine SSD anschaffen.
So lange wollte ich das ganze halt mit ner SD Card überbrücken und da der Zotac 4GB Ram hat und nicht cachen muss hielt ich das für ne akzeptable Übergangslösung und dann kann man gleich üben wie die Backup&Restore Prozedur ist :-).

gruss,
Astronach

[Oxygen61]

Hey hey,

bei meiner Kiste sind 200 GB verbaut und die Firewall verbraucht 1%..... soviel zum Thema Overkill
Ansonsten SSD > SD Karte. Das merkt man auch schon allein anhand der Anzahl der Beiträge hier bezüglich SD Problemen.

Möchte einen Transparenten Proxy einrichten

Siehe hier: https://docs.opnsense.org/manual/how-tos/proxytransparent.html
Caching dann halt einfach nicht aktivieren wenn du nicht willst.

Mal ne Frage nebenbei.... Woher hast du ne Fritzbox die als Modem laufen kann?
Oder nutzt du die als zweiten Router nach der Firewall?
Hatte vor paar Wochen erst mit dem Fritzbox Support geschrieben und die meinten, dass es keine Router mehr gibt die nur als Modem funktionieren können.
Hast du da noch ne alte Kiste rumzustehen?

Schöne Grüße
Oxy

[astronach]

Hi Oxygen,

naja, ist ne FritzBox 6590 Cablerouter die halt von KabelDeutschland kommt.
Technisch gesehen ist das ein Modem mit Router Funktion.

Ob es noch FritzBox oder ander Modem oder Router gibt die sich quasi per ISDN/Analog einwählen können weiss ich so nicht, aber ich bin mir sicher das es das auch noch gibt, wahrscheinlich aber zu horrenden Preisen.

Die FritzBox ist das Erste Gerät in meinem Netzwerk, danach dann die FW und dann der Switch. Der AC hängt jetzt noch an der FB aber das wird sich jetzt auch ändern, ich hatte den momentan noch nicht hinter der FW Versteckt.

Ich hoffe ich konnte deine Frage korrekt beantworten, oder hab ich deine Frage missverstanden?

gruss,
Astronach

[Oxygen61]

Hey astronach,

alles perfekt danke für deine Antwort, nur würde mich es interessieren, ob man die "Routerfunktion" von der Fritzbox quasi ausschalten könnte um doppel-NAT zu vermeiden. Der Support angestellte von AVM meinte mal das ginge bei den neueren Geräten nicht mehr, deswegen ging ich davon aus du besitzt noch ein älteres.

Vielen Dank

Schöne Grüße
Oxy

[astronach]

Hi,

hm, also, in meiner Box geht das nicht, aber angeblich soll die FritzBox 6360 können.
--EDIT Falscher link kopiert--

Andererseits hab ich gelesen das man mittels
http://fritz.box/internet/lanbridges.lua da ran kommen soll, geht bei mir gerad nich, die KD Firmware ist so dermaßen kastriert das eigentlich alle erweiterten Funktionen weg sind, auch das Paketcapturing.

Aber im moment kann ich mit dem Doppel NAT leben.

gruss,
Astronach

[Oxygen61]

Hey astronach,

alles klar!
Danke dir trotzdem vielmals. Ich werde mal sehen, was ich am Ende nun nehme für mein Modem.
Bin da noch super unschlüssig. :/
Die Fritzbox 6360 schau ich mir aber mal an.

Schöne Grüße
Oxy

[monstermania]

@astronach
Sorry, aber das ZOTAC CI323 scheint ein massives Problem mit den Netzwerktreibern unter  FreeBSD zu haben. https://forum.opnsense.org/index.php?topic=4183.0
Das Problem tritt wohl immer unter Last auf (>100 Mbit).

Auch im pfsense-Forum wird davon berichtet. 
Offenbar ist das ZOTAC CI323 Nano keine gute Wahl 

Gruß
Dirk

[astronach]

Hallo Monstermania,


hm, bisher kann ich nicht von einem solchen Problem berichten. Meine OPNsense läuft seit 2 Tagen und bisher ist mir kein Zusammenbruch der Nic untergekommen.

Jetzt hab ich aber auch keine permanente 100Mbit Auslastung oder ähnliches.

Spasseshalber hab ich den Test gemacht den der andere TO erwähnt hat. Meine Zotac hat ein 10GB File mit 110Mbit gezogen auf LAN und WAN Seite (20GB Gesamttraffic) was in etwa den Werten entspricht mit der der TO seine Zotac ins Aus schiesst. Das war bei mir nicht der Fall.

Auf der anderen Seite, ich verwende die Zotac privat, also werde ich wahrscheinlich nie oder sehr selten mit dem Problem konfrontiert sein, damit kann ich leben.

Ich mein, die Zotac ist eben ein ThinClient und keine FW Hardware. Wenn ich eine Firewall brauche im Unternehmensumfeld, dann sollte ich auch entsprechend Hardware anschaffen. Wenn man jetzt irgendwie eine Filiale mit 2 Mitarbeitern mit ins Netz aufnehmen muss, dann kann man vielleicht drüber nachdenken die Zotac her zu nehmen, aber eigentlich ist es doch so, man stellt sich keine Consumergrade Hardware in seinen 24/7/365 Serverraum ohne mit Probleme zu rechnen.

Für mich ist die Zotac ein guter Mittelweg im Privatem Umfeld (bisher).

gruss,
Astronach