Ersatz für meinen WRT54G

[ioe]

Hallo Leute.

Ich habe mein neues Netzwerk schon seit einem Jahr erfolgreich und reibungslos in Betrieb (hier nachzulesen wem's interessiert).

Der ganze Traffic läuft über meinen WRT54G... Nur schwächelt dieser mit der Zeit schon ziemlich, da wir fast einen halben Terrabyte pro Monat an Traffic haben.


Auf dem WRT54 läuft DD-WRT und er ist 10% übertaktet.. Dennoch ist die Auslastung immer sehr hoch (die GUI ladet fast nicht mehr)

Nun spiele ich mit dem Gedanken mir einen eigenen Router zu bauen (hab gerade das Video von Linus Tech Tips angeschaut ).

Ich würde gerne eine Diskussion starten was preis/leistungstechnisch und von der usability am sinnvollsten wäre.

Wieder einen Router kaufen und DD-WRT flashen (aber welchen?)
Oder ein doch ein kleines NUC/ITX Mainboard mit opnsense, PfSense order ähnliches?

Die Anforderungen sind:

Hardware:

• Mind. 3 Gig lan ports (1 für WAN und mind. 2 LAN Ports für einen isolierten Internet Zugriff)
• Genug Leistung natürlich
• es wird kein WLAN benötigt
• natürlich soll das Konstrukt mehrere Jahre durchgehend laufen (also Robustheit und Energie Effizienz)

Software:

• PPPOE!
• eine WEB GUI
• Firewall
• Port Isolation (also die Kommunikation zwischen den Lan Ports verhindern, ich habe ja zwei Netzwerke zuhause...)
• Routing + DHCP-Server
• Logging

​

Bis jetzt tendiere ich zu DD-WRT auf einen ASUS Router (hab da nur gute erfahrungen gemacht).

Was meint Ihr?
Und weis jemand ob/wann DD-WRT auf dem WRT1900AC kommt?

greetz

 

[Raijin]

Wenn du dich mit Netzwerken auskennst, bieten sich MikroTik, EdgeRouter oder eben pfSense förmlich an.

Ich setze privat und auch beruflich zB den EdgeRouter ER-Lite3 von Ubiquiti ein. 3 Interfaces, knapp 100€. Man muss jedoch für einige Funktionen (zB OpenVPN) auf die Kommandozeile gehen, weil die GUI nicht alle Funktionen abbildet. Zu bedenken gebe ich aber, dass diese Geräte in der Regel komplett nackt daherkommen - bis auf eine IP an eth0. Keine Firewall, kein Routing, kein NAT, kein gar nichts. Das muss man alles selbst konfigurieren. Wizards und/oder Konfigurationen aus der Community helfen zwar, aber man sollte schon etwas Ahnung von der Materie haben. Die Zielgruppe ist eben deutlich anders als bei AVM und Co. Die Geräte richten sich an versierte Nutzer, die sich mit Netzwerken auskennen.

 

[ioe]

Ich denke für mein use case szenario reichen meine Kenntnisse in Terminal basierter Router/Switch konfiguration aus.

Aber den ER-Lite3 werde ich mir definitiv nähre ansehen.

ist die Kommandozeile nur via diesen dedizierten Port zu erreichen oder gibt es ein Webinterface wie beim DD-WRT dafür?

 

[Raijin]

Es gibt auch ein Webinterface. Für normales Routing, Firewall und NAT ist die auch ausreichend. OpenVPN fehlt zB in der GUI, das muss man über die Kommandozeile machen. Im Heimbereich sind die Firewall-Regeln ja meist eh recht überschaubar. Kein Zugriff von außen, Zugriff von LAN1 auf LAN2 nur für zB das NAS, etc. Das ist recht übersichtlich einzustellen, wenn man die Terminologie von Netzwerken kennt und genau weiß welche Regeln man erstellen möchte/muss. Ich musste bisher nur auf die Kommandozeile zurückgreifen, weil ich einige Skripte einbauen musste. Das ist aber schon relativ speziell und wird daheim wohl eher selten der Fall sein.

Von der Performance her ist der ERLite als Router super, weil er einen dedizierten Routing-Chip hat. Das heißt die CPU langweilt sich die meiste Zeit bzw. es sind noch mehr als genug Ressourcen für die GUI übrig.


Die Kommandozeile kann man wahlweise über die GUI (da is ne Toolbox inkl. SSH-Terminal), per SSH-Login aus dem Netzwerk oder eben über ein Cisco-Konsolenkabel (serieller Port -> RJ45) aufrufen. Ich spiele recht häufig mit der Kiste, weil ich im Büro diverse Konfigurationen teste. Da ist so ein serielles Kabel Gold wert, weil man ja zT auch IPs an den Ports ändert oder man sperrt sich durch falsche Firewallregeln selbst aus ^^.

In der Community von Ubiquiti gibt es zahlreiche vorgefertigte Konfigurationsdateien für bestimmte Szenarien (zB WAN, LAN1, DMZ, o.ä.). Zur Not ist die Community auch sehr hilfreich und auch die Entwickler sind im Forum unterwegs(!). Die aktuelle Firmware bietet auch 2 oder 3 Wizards zum Konfigurieren. Da ich aber zum einen noch mit der vorletzten FW fahre (never change a running system) und die Kiste zu Fuß konfiguriere, kann ich zu den Wizards nichts sagen.

 

[ioe]

Danke, sehr Hilfreich!

Ich werde mich noch ein bisschen über die neuen ASUS Router und DD-WRT erkundigen, aber ich denke ich habe meine Wahl getroffen.

So wie es scheint, fällt die Idee einen dedizierten PC/Router zu bauen flach

 

[Raijin]

Der EdgeRouter-X ist noch ne Ecke günstiger. Liegt irgendwo bei ~60€. Ist von der Hardware wohl etwas schwächer als der ERLite-3, aber im Heimbereich wird das vermutlich 0 auffallen.

Prinzipiell ist OpenWRT bzw. DD-WRT aber nicht viel anders als EdgeOS. Alle basieren auf Linux und bieten so ziemlich alle Funktionen, die man sich denken kann. Es kann bei den alternativen Firmwares eben nur passieren, dass ganz bestimmte Dinge mit der Router-Hardware eben doch nicht funktionieren. Mein alter TP-Link 1043 hat beispielsweise bei OpenWRT Probleme mit dem WAN-Port. Das ist hardwarebedingt (steht auch so in den Docs bei OpenWRT), aber ich nutze den WAN-Port nicht. Dennoch ist das ein Kompatibilitäts- oder Funktionsproblem, das bei "echten" Routern mit passender Firmware eben nicht auftritt.


Schau dir sonst auch mal die pfSense mit Alix-Board an. Die sind zwar etwas teurer als EdgeRouter, aber hier im Forum hat pfSense einen recht guten Ruf. Getestet habe ich es selbst noch nicht, daher kann ich keine explizite Empfehlung aussprechen.

 

[ioe]

Stimmt ja. Wie gesagt der kleine Linksys schafft die Load ja gerade noch so... Somit dürfte der EdgeRouter-X mehr als ausreichend sein.

im Shop von pfSense sind ja geräte drin die passen würden.. jedoch schlicht und einfach zu overpowered sind (SG-2440)

Ich denke dass es der EdgeRouter-X wird.

Ein Alix PC wäre auch noch eine Option.. aber ich denke dass Preis/Leistungstechnisch doch der EdgeRouter um längen besser ist.

 

[Raijin]

Joa, also wie gesagt, rein vom Routing kann man solche semiprofessionellen Router eigentlich nicht überfordern - zumindest nicht im privaten Umfeld. In einem Unternehmen mit ein paar Hundert Arbeitsplätzen, etc. wäre so ne kleine Kiste unter Umständen etwas unterdimensioniert Wobei Ubiquiti ja explizit mit so einem Einsatzumfeld im Video auf der Homepage wirbt. hehe..

 

[Gohst]

Du könntest einen kompakten PC mit mehreren Netzwerkkarten verwenden und eine Sophos UTM mit Firewall und Routing aufbauen.

So wird dein ganzer Netztraffic auf Viren gescannt und hast all die Funktionen die bereits da waren.
Ich finde die Idee sehr interessant, das Produkt ist sehr professionell und für den Home-Einsatz gratis.

Infos:
https://www.sophos.com/de-de/products/free-tools/sophos-utm-home-edition.aspx
Was eine UTM genau ist:
https://de.wikipedia.org/wiki/Unified_Threat_Management

Diese Lösung kann noch viel mehr als ein reines pfsense, ipfire, vyOs, DD-WRT, OpenWRT System.
Ein Mainboard mit integrierter CPU (z.B Celeron J1900 oder AMD A4-5000) reicht längstens dazu und braucht keine 25W.

Alternativ kannst du etwa die selben Resultate mit pfsense inkl. Add-Ons wie HAVP (Proxy mit ClamAV) erreichen.

Ich finds interessant da du somit alle deine Geräte im Netzwerk grundsätzlich schützen kannst.
Plattform unabhängig.

Wenn dir die Lösung zu Overkill ist, viele aktuelle Router können DD-WRT und haben sehr potente Hardware. Jedoch braucht Routing und eine Hand voll Firewall Regeln kaum CPU Leistung.

Daher eben meine Vorschlag warum nicht eine UTM aufbauen?

 

[ioe]

Das UTM ist auch ein interessanter Ansatz (das wird dann mal bei meinem eigenen Haus zum Einsatz kommen ). Jedoch ist hier die Hardware vergleichsweise teuer (und auch ein bisschen redundant, da mein Zyxel schon einige aufgaben übernimmt). Ich denke ich werde mit der dedizierten Hardware, die Raijin vorgeschlagen hat, fahren.

Ich hab ja schon einen router mit DD-WRT, nur hat dieser schon einen Bart und wartet auf die Pension. Das Problem bei DD-WRT ist, dass so ziemlich alle Router auch WLAN haben. Und das brauch ich nicht (10 cm weiter steht ja mein Zyxel UAG4100).

 

[Raijin]

UTM ist ne feine Sache, das stimmt. Das lohnt sich meiner Meinung nach aber nur, wenn man einen passenden (=stromsparenden) PC rumstehen hat und/oder neben dem Routing auch noch weitere Serverdienste nutzen will (wie zB der erwähnte Virenscan o.ä.). Wenn man sich noch nen PC dazu kaufen muss, ist man mit allem drum und dran auch wieder bei 200-300€ (Board, RAM, NICs, Gehäuse, Netzteil, etc). Preislich steht das also tendenziell eher in Konkurrenz zu pfSense als zu den EdgeRoutern (o.ä.).

Man sollte aber in jedem Fall davon absehen, aus einem betagten PC einen Router zu bauen. Technisch gesehen funktioniert das zwar und ist mit einem nackten Linux oder einer entsprechenden Router-Distribution in der Anschaffung kostenlos, aber die Energiekosten können zum Teil horrend sein. Je nachdem wie alt die Hardware ist - die Leistung is unwichtig, weil jede Popel-CPU der letzten Jahre genug Leistung hat - verbraucht die Kiste zum Teil doppelt so viel (oder mehr) als ein aktueller Celeron wie von Gohst empfohlen.

Wie dem auch sei, es gibt für jedes Szenario eine passende Lösung mit entsprechendem Leistungsumfang und Preis.

 

[ioe]

Das war auch mein Gedanke, einen alten Pc hätte ich noch zuhause herumliegen.
Neben den Stromkosten kommt noch dazu dass der jederzeit abschmieren könnte und man sich sowieso noch eine NIC kaufen müsste, die fast gleich teuer ist, wie der Edge Router.


Theoretisch könnte ich bei meinem Switch V-Lans erstellen, getrunkt auf meinen RaspberryPi fahren und dem das Routing überlassen^^ Aber ich trenne die Netze lieber physisch

ps: nicer avatar Gohst