VM vs Appliance - Geschmacksfrage?

[Emma2]

Wahrscheinlich mache ich jetzt "ein Fass auf", aber ich frage trotzdem mal - und zwar im vollen Bewusstein, dass es "die" Lösung vermutlich nicht gibt:

Betreibe ich meine OPNsense lieber als (VirtualBox-)VM, oder kaufe ich besser eine Appliance?

Wenn mein Host ein problem hat, startet auch die OPNsense nicht mehr, das ist mir klar, und deshalb schiele ich auf eine Appliance. Aber wenn ich mich "verkonfiguriere" oder (gibt es das überhaupt?) eine "kaputte Version" installiere, wie kann ich die OPNsense dann wiederbeleben? Bei der VM-Lsöung gehe ich einfach einen Snapshot zurück. geht das auf der Appliance auch? Gibt es dort so etwas wie "Timeshift"?

... und dann zur Praxis: Wenn ich umsteige, kann ich dann "einfach" meine bisherige VM-Konfiguration auf die Appliance bügeln, und es wird laufen? Oder ist die Portierung tückisch?

Vielen Dank für Eure Meinungen! 

[JeGr]

Moin,

> Wahrscheinlich mache ich jetzt "ein Fass auf", aber ich frage trotzdem mal - und zwar im vollen Bewusstein, dass es "die" Lösung vermutlich nicht gibt:

Exakt. Die "beste" Lösung liegt immer im Auge des Betrachters bzw. in der entsprechenden Umgebung. Das kann für jeden abweichen Also Standardantwort der IT: "Es kommt drauf an"

> Wenn mein Host ein problem hat, startet auch die OPNsense nicht mehr, das ist mir klar, und deshalb schiele ich auf eine Appliance. Aber wenn ich mich "verkonfiguriere" oder (gibt es das überhaupt?) eine "kaputte Version" installiere, wie kann ich die OPNsense dann wiederbeleben? Bei der VM-Lsöung gehe ich einfach einen Snapshot zurück. geht das auf der Appliance auch? Gibt es dort so etwas wie "Timeshift"?

Aktuell meine ich - man möge mich korrigieren - dass es so einen Rollback oder Snapshot (zumindest automatisch oder via UI) (noch) nicht gibt. Bei einem Setup mit ZFS könnte man sich das aber durchaus entsprechend zusammenbauen, da ZFS genau das beherrscht via Snapshotting und Boot Environments. Da lohnt es auch mal zum Cousin pfSense zu schielen, die das seit letztem Jahr in der Plus mit drin haben und seit dem März Release diesen Jahres damit das Update Handling umgebaut haben: es wird dann nicht das Live System aktualisiert bei einem Upgrade, sondern erst ein Snapshot mit BE erstellt und dieser dann im Hintergrund aktualisiert. Ist alles fertig, wird einmalig in das neue BE reingebootet und wenn der Bootup sauber durchläuft wird der Snapshot als der neue aktive default bestätigt. Klappt was nicht oder resettet man bootet die Kiste einfach wieder ins alte BE.
Ich vermute aber, dass auf lange Sicht soetwas zumindest mit händischer Checkliste auch in OPNsense angedacht ist und vielleicht dann einen schicken Menüpunkt bekommt, der das dann automatisieren kann.

Ansonsten hast du die Hauptpunkte schon genannt. Setzt du die Firewall auf nen Hypervisor, hast du den kompletten Stack + die HV Hardware + die Netzwerk Geschichte, die potentiell schief gehen kann bis zur Firewall VM. Sprich: die Fehler die passieren können um die Firewall virtuell wegzureißen sind eben ein Vielfaches mehr als bei einer Appliance. Zusätzlich wird dann gern mal vergessen bei nem Hypervisor Update, dass dann kein Internet mehr da ist. Updates wenn Offline werden dann plötzlich schnell schwer. Und wenn man dann noch auf dem "direkte Einwahl"-Zug gesetzt hat mit Modem steht dann nicht mal ein vorgeschalteter Router zur Verfügung an den man sich mal kurz ranhängen kann, um die Sache wieder flott zu bekommen.

Wir haben da im Support schon viel gesehen, was mit HV/VMs zusammenhing. Von HV abgeschossen, Hardware Problem/Unverträglichkeit, Netzwerkkarte als VM bringt keine Performance, dediziertes Durchreichen der NIC macht Ärger, Datastore der VM bricht weg, VM/storage Migration friert die VM ein - dann läuft auch kein Traffic mehr, etc. etc.

Solange das alles im Homelab ist, muss man da einfach abwägen, ob der "alles in einer Box, spare mir Geräte" Ansatz an der Stelle mit den ganzen möglichen Problemen über dem "ich muss noch ne zweite Box bezahlen" Aspekt steht. Wie gesagt - das ist dann einfach Abwägung und ggf. auch Family/sonstige Teilnehmer mit Problem. Ich bin froh über meine TestVMs, aber würde meine HW Boxen nicht hergeben wollen

> ... und dann zur Praxis: Wenn ich umsteige, kann ich dann "einfach" meine bisherige VM-Konfiguration auf die Appliance bügeln, und es wird laufen? Oder ist die Portierung tückisch?

Prinzipiell ja. Die Konfiguration noch fix angepasst und das XML umgeschrieben von den alten HW/VM Interfaces zu den neuen der neuen Box, aber wenn man sich da einen kleinen Plan macht, geht das problemlos. Sichern, umschreiben, in neue Box reinladen, fertig.

Cheers
\jens

[mooh]

Als ich anfing, habe ich OPNsense in einer Proxmox VM laufen gehabt. Da kann man sich ohne großen Aufwand mal alles ansehen und testen wie man zurecht kommt. Neue virtuelle Interfaces und Netzwerke sind sind schnell gemacht und so kann man auch komplexe Sachen testen.

Für die Produktion ist das aber gar nichts. An meine VMs und deren Server will ich gerade dann rankommen, wenn alles schief geht. Da kann ich keine VM gebrauchen, die gerade nicht funktioniert und dadurch den Zugriff übers Netz verhindert. Etwas simples wie ein VM-Serverneustart legt das Netzwerk lahm und man kann nur hoffen, das Alles wieder wie gewohnt hochkommt. Bei großen Servern kann das schon mal 5 minuten dauern. Man kann ja nicht mal über IPMI Interfaces dem Fortschritt zusehen. Ja, für diese Situationen gibt es Lösungen, aber dafür braucht es Hardware und dann kann ich auch gleich ne dedizierte Routerhardware hinstellen.

Dedizierte Hardware hat weiterhin den Vorteil, dass der Router ausfallen kann, ohne dass gleich alle Clients im selben Netz ihre Serververbindung verlieren. Umgekehrt verlieren nicht alle Nutzer das Netzwerk, wenn der VM Serveradmin mal dicke Finger hat.

In Sachen Zuverlässigkeit liest man hier immer wieder von Problemen, insbesondere mit Proxmox, also KVM/QEMU. Während ich selbst nie diese Probleme hatte, sind die Standardlösungen, wie PCIe Geräte durchreichen, nicht hilfreich, weil man dann die Fähigkeit zur (live-)Migration der VMs auf andere Server verliert und damit einen wesentlichen Vorteil von Virtualisierung.

Also: Zum Lernen auf jeden Fall, für die Produktion niemals.

[Tuxtom007]

OPNSense unter Proxmox - ja nutze ich auch, aber ausschliesslich als meine Spielumgebung.

Ich habe eine Abneigung dagegen, ne Firewall, die mein Netzwerk schützen soll, mitten in meine Netzwerk auf einen Virtualisierungsserver zu packen, wo auf dem Netzwerkinterface das nackte Internet ungeschützt anliegt.
( Fritzbox im BridgeModus )

Daher nur auf einer eigenen Hardware ( in meinem Fall MiniPC  )

[trixter]

Eine Virtual Box ist prima, wenn man mal fix etwas ausprobieren möchte.
Für den Betrieb aber ungeeignet, weil die Maschinen nicht von sich aus starten, zb. Stromausfall etc.

Virtuelle Systeme haben einige Vorteile: ich bin nicht von einem Hw Hersteller abhängig.
Oder kann freier entscheiden.
Meine OS Server haben 25GBit/s Anschlüsse, die bekomme ich nicht mit den Standard-Boxen.
Auch die Anzahl der Interfaces ist virtuell praktisch beliebig. On Hw natürlich begrenzt.

Dazu Snapshots und echtes Backup der VM alles unabhängig und automatisch, auf jedes Medium das ich will.

[Monviech (Cedrik)]

Wegen Snapshots auf Appliances mit ZFS, bald:

https://github.com/opnsense/core/pull/7749

[Emma2]

Wegen Snapshots auf Appliances mit ZFS, bald:

https://github.com/opnsense/core/pull/7749

Was ist "ZFS"?

[Emma2]

Eine Virtual Box ist prima, wenn man mal fix etwas ausprobieren möchte.
Für den Betrieb aber ungeeignet
[...]
Dazu Snapshots und echtes Backup der VM alles unabhängig und automatisch, auf jedes Medium das ich will.

Jetzt verstehe ich aber nicht, was Du favorisierst? VBox ist ungeeignet - bietet aber flexiblere Möglichkeiten?

[Emma2]

das XML umgeschrieben von den alten HW/VM Interfaces zu den neuen der neuen Box

Die Änderung der Interfaces ist klar, aber mit der XML habe ich (noch) Probleme, ich kann bisher alles nur über die (Web-)GUI machen. Gibt es irgendwo eine schöne Stelle zum Nachlesen, wie man die OPNsense "direkt" mit Hilfe der Konfigurationsdatei bearbeitet?

[Emma2]

Auf alle Fälle sage ich schon jetzt: "Vielen Dank für Eure Meinungen!" Genau solche Argumente wollte ich haben und tendiere nun auch eher zum Kauf einer Appliance (bzw. zwei davon).

Sollte man dann die Dinger hier kaufen? Für mich reicht wahrscheinlich die "kleinste", also DEC677. Wobei ich zugebe, gar nicht richtig zu verstehen, was der Unterschied bei der DEC697 ist? Wozu ist der "größere" oder "andere" Speicher gut? Was sind die dort genannten "Disk Writes"? Wenn ich z.B. meinen DHCP- und DNS-Server dort laufen lassen will (sind aktuell virtuelle Ubuntus))?

Ich nehme an, dass man mit einer solchen "speziellen" Appliance einfacher und vielleicht auch besser fährt als mit selbst zusammengestellter Hardware?

Vielleicht sage ich einfach, was ich brauche:

Ich habe die OPNsense zur Zeit als Firewall, und sie stellt auch die Telekom-Einwahl her, d.h. mein Zyxel ist nur DSL-Modem? Oder wäre es "besser", wenn das Zyxel sich einwählt, und man die OPNsense dort nur anstöpselt? (OT: Ich gebe zu, dass das historisch gewachsen ist, denn ganz früher hatten wir den unsäglichen MS-TMG laufen, und der konnte keinen Tunnel bauen, wenn er nicht selbst auch die Einwahl vornahm - jetzt sind wir MS-frei, könnten das also ändern.)

Zusätzlich muss ich einen Tunnel zwischen meinen beiden Standorten aufbauen (aktuell IPSec, ich habe aber verstanden, dass ich den auf OpenVPN umstellen soll) und die xterne EInwahl ermöglichen (ist jetzt schon OpenVPN).

Wenn das möglich ist, würde ich mittelfristig dort auch meinen DNS- und DHCP-Server laufen lassen wollen (oder gehören die von der Philosophie her nicht auf die Firewall?). Und wie wäre es mit einem späteren LDAP (oder gehört der erst recht nicht dorthin?)?

Bitte nicht böse sein über die vielen Fragen - oder sollte ich dafür einen neuen Thread aufmachen?

[cadzen]

Eine Virtual Box ist prima, wenn man mal fix etwas ausprobieren möchte.
Für den Betrieb aber ungeeignet
[...]
Dazu Snapshots und echtes Backup der VM alles unabhängig und automatisch, auf jedes Medium das ich will.

Jetzt verstehe ich aber nicht, was Du favorisierst? VBox ist ungeeignet - bietet aber flexiblere Möglichkeiten?

Moin,

VirtualBox ist eher was um "Desktop-OS" zu virtualisieren. Für 24/7 Einsatz auf Servern ist eher so was wie Proxmox VE geeignet.
Meine OPNsense läuft seit Jahren als VM unter PVE. Würde ich für privat immer wieder so machen.

[Emma2]

Würde ich für privat immer wieder so machen.

Mir geht es schon um mein Firmennetz.

[cadzen]

Würde ich für privat immer wieder so machen.

Mir geht es schon um mein Firmennetz.

Dann +1 für dedizierte Hardware.

[Emma2]

Ja, ok, davon bin ich ja wie schon geschrieben mittlerweile überzeugt. Deshalb habe ich ja meinen Folgefragen-Katalog gepostet ;-)

[Monviech (Cedrik)]

Ich benutze für daheim im Homeoffice eine DEC740 mit Zyxel vmg3006-d70a als Modem. Das Internet ist zu 99.99% stabil. Und wenn nicht ist der DSLAM der Telekom manchmal schuld.