[Gelöst] Hardware für eine private OPNsense Firewall

[Snoopy]

Hallo liebes Forum,

es kristallisiert sich langsam heraus, dass ich von IPFire auf OPNsense umsteige. Deswegen möchte ich mich langsam mal um eine mögliche Hardware für einen privaten Einsatz beschäftigen.

Was könnt ihr empfehlen? Was nutzt ihr? ...

Zwingend erforderlich:
- Da ich OPNsense gerne über einen Monitor installieren möchte, wird ein Anschluss (VGA, DVI, HDMI, what ever) für einen Monitor benötigt.
- Es sollte eine stromsparende Hardware sein
- Baugröße nicht „allzu groß“
- Mind. drei LAN-Anschlüsse

Die Firewall soll für ca. 20 Geräte zuständig sein: Mailserver, Webserver, Streamingserver, Laptop, Smartphone, Tablet, PIHole, Diverse VMs über Proxmox-Virtualisierung.

Ebenfalls soll der eigene HTTP-Proxy, Wireguard, Virenscanner zum Einsatz kommen.

Was meint ihr, welche Hardware wird dafür benötigt. Welche ist für meine Kriterien empfehlenswert?

Es wäre super, wenn ihr mir ein paar Produktempfehlungen geben könntet.

Liebe Grüße
Snoopy 

[Patrick M. Hausen]

Viel wichtiger ist: welche Bandbreite hast du?

Ein APU4D4 ist ein nettes sehr stromsparendes Gerät, schafft aber in der Regel kein Gigabit an Internet-Durchsatz ...
Und was meinst Du mit "Monitor"? Was spricht gegen eine serielle Konsole? Gerade die eher sparsamen Teile haben das - ist doch kein Problem, USB-Seriell-Adapter existieren ...

Gruß
Patrick

[Tuxtom007]

Ein APU4D4 ist ein nettes sehr stromsparendes Gerät, ...

Ich würde ein ähnliches System vorschlagen:  IPU-System
Lüfterlos, stromsparend, kompakt und mit mehren LAN-Interfacen, je nach Modell 4 bis 8.
Die meisten Modelle haben HDMI-Anschluss, einige nur VGA, da müsste man vorher mal in die Daten schauen.

Ich habe selber ein IPU882 mit Core i5, der ist für OPNSense selbst am GBit-Anschluss vollkommen oversized, aber das Teil war auch erst für eine andere Anwendung gedacht.

[micneu]

viel wichtiger die fragen warum virenscannen auf der sense.
bin der meinung wenn du die forum suche genutzt hättest das du zu dem thema einiges finden müsstest.
auch das thema hardware wurde mehrfach hier behandelt.

wie die anderen schon gefragt.
- welche bandbreite hast du?

ich persönlich mag ja die APU‘s nicht, bis 50MBit/s ohne VPN kannst du nach meiner meinung die gut einsetzen (ohne virenscanner)

die IPU‘s von nrg-systemas (mit nicht zu alter CPU kannst du gut einsetzen) habe einige systeme bios anfang letzen jahres eingesetzt (core i3 7100U, core i7 7500U baugleich mit einige IPU‘s)


Gesendet von iPad mit Tapatalk Pro

[Tuxtom007]

viel wichtiger die fragen warum virenscannen auf der sense.

Sehe ich jetzt auch keinen wirklich Sinn drin, obwohl bei uns in der Firma auch auf Linux-Server Virenscanner installiert sind.

[Snoopy]

Ach Mennoooo..... Wieso habe ich keine Mähls bekommen.
Vielen Dank für euren Input.   

@pmhausen
So ein APU habe ich jetzt für die IPFire auch schon. Aber wie du sagst, ist das Problem der Durchsatz.
Ich habe von Vodafon einen Tarif mit bis zu 1000 Mbit/s im Download und 50 Mbit/s im Upload. Diese möchte ich natürlich nützen wenn möglich.
Wieso einen Monitor? Ganz ehrlich..... Rein aus Bequemlichkeit.
Ich habe meine APU übner seriell installiert und kenne das auch. Aber ich will einfach einen Monitor anschließen können.

@Tuxtom007
Ja genau sowas wie die IPU. Toller Hinweis.
Gibt es noch ähnlich HW von einem anderen Hersteller?

Wegen Virenscanner: Ich möchte auch den HTTP-Proxy für Browser nutzen und deswegen dachte ich an einen Virenscanner dazu. Quasi scan des HTTP-Verkehrs. Haltet ihr das nicht für sinnvoll?

[Patrick M. Hausen]

Virenscannen im HTTP ist laut meinen Erfahrungen im Enterprise-Umfeld ... schwierig. Der Proxy muss ja jede Datei erst mal komplett laden, prüfen, bevor sie an den Client weitergereicht werden kann. Das führt zu ... Effekten ... beim Aufbau von Webseiten, die die Anwender nicht so toll finden.

Was den Monitor betrifft finde ich eine serielle Konsole wesentlich bequemer als ersteren. Da kann ich Copy & Paste direkt an der Konsole benutzen. Aber da sind wir wohl einfach unterschiedlicher Meinung.

[Tuxtom007]

Ja genau sowas wie die IPU. Toller Hinweis.
Gibt es noch ähnlich HW von einem anderen Hersteller?

Wegen Virenscanner: Ich möchte auch den HTTP-Proxy für Browser nutzen und deswegen dachte ich an einen Virenscanner dazu. Quasi scan des HTTP-Verkehrs. Haltet ihr das nicht für sinnvoll?

Ja, gibt es, z.b. von Protectli, preislich liegen die höher, waren auch mein Favorit aber damals so gut wie nicht lieferbar.


Virenscan für http-Traffic ist ja ok, aber mittlerweile geht der meiste Traffic über https, wie willst du das da machen ? 
Da müssen die Zertificate ausgetauscht werden, das geht, aber viele Nutzer werden dann böse Fragen stellen, wenn z.b. deren Bankseite auf einmal ein anderes Zertifikat hat.
Das Thema hatten wir bei einem früheren Arbeitgeber, aber aus rechtlichen Gründen wurde es am Ende komplett verworfen. Das ist eine gewaltige Grauzone.

[ChrisChros]

Ja, gibt es, z.b. von Protectli, preislich liegen die höher, waren auch mein Favorit aber damals so gut wie nicht lieferbar.

Die gleichen Geräte bekommt man auch von z.b. Yanling oder XSK auf den asiatischen Shoppingseiten. Habe selbst einen XSK NUC Intel Celeron J3160, allerdings auch nur eine 50 MBit/s Leitung. Bei 1000 Mbit/s könnte es mit dem J3160 schon etwas knapp werden.
Aber zum glück gibt es auch potentere Modelle mit i5 oder i7 CPU.

Bisher kann ich über meinen XSK NUC nichts negatives sagen. Ich konnte sogar das Bios von Protectli aufspielen.

[Patrick M. Hausen]

Virenscan für http-Traffic ist ja ok, aber mittlerweile geht der meiste Traffic über https, wie willst du das da machen?

Im Browser den Proxy konfigurieren ... braucht auch keine Fake-Zertifikate.

[Snoopy]

So jetzt wird die Sache konkret.

Was haltet ihr von folgenden Gerätschaften?
https://www.ipu-system.de/produkte/ipu662.html
oder
https://www.ipu-system.de/produkte/ipu654.html

Beide sollten doch für mein Vorhaben ausreichend sein und noch etwas Luft nach oben haben um etwas zukunftssicher zu sein? Was meint ihr?

Welches würdet ihr bevorzugen? Oder was anderes nehmen?

Schon mal vielen liebn Danke für euren Input. 😊

[Tuxtom007]

Beide sollten doch für mein Vorhaben ausreichend sein und noch etwas Luft nach oben haben um etwas zukunftssicher zu sein? Was meint ihr?

Welches würdet ihr bevorzugen? Oder was anderes nehmen?

Als Vergleich, ich habe einen Core-i5 /  IPU882 auch von der Firma und das Teil langweilt sich die meiste Zeit und ich habe noch den Unifi-Networkcontroller und Adguard drauf laufen, mit 1Bit Kabelinternet.
Aber mir ist es lieber, der langweilt sich anstatt ständig unter Volldampf zu laufen.

Die Lüfterlosen Gehäuse haben leider den Nachteil, genug Kühlleistung für den Normalbetrieb zu haben ( meiner ist Handwarm ) aber unter Volllast werden die schnell recht warm.
Ich werde dem daher demnächst noch einen Lüfter zur Zwangskühlung spendieren, sobald der ins Rack reinkommt.
 

[Snoopy]

So die 662 ist bestellt. Bin gespannt wie ein Flitzekuchen....
Danke@all 😊👍

[Tuxtom007]

So die 662 ist bestellt. Bin gespannt wie ein Flitzekuchen....

Hast du das Rackmodell oder das Tischmodell bestellt ?
Beim Rackmodell würde mich mal die Wärmeentwicklung interessieren, weil das glaube ich keinen Lüfter hat.

Bei meinem gehen teilweilse die CPU-Core Temperaturen immer wieder kurz in den roten Bereich, da muss ich vorm Sommer noch einen Zwangslüfter draufsetzen.

[Snoopy]

Ich habe die Desktopversion bestellt. Mal sehen wie da die Wärmeentwicklung ist.