Fragen rund um Netzwerkaufbau für Umstieg auf OPNsense

[Lacki90]

Hallo zusammen,

ich beschäftige mich seit einiger Zeit intensiver mit dem Thema Homeserver, Netzwerk und Selbsthosting und möchte mein aktuelles Setup nun schrittweise auf ein sauber getrenntes und flexibleres Netzwerk umstellen.

Aktuell nutze ich noch eine FRITZ!Box 7530 AX an einem 250 Mbit/s DSL-Anschluss von congstar. Die Fritzbox funktioniert zwar zuverlässig, stößt für meine aktuellen Bastel- und Lernziele aber zunehmend an ihre Grenzen.
Daher plane ich, künftig einen eigenen Router / Firewall auf Basis von OPNsense einzusetzen.

Geplante Router-Hardware:​

Für OPNsense habe ich mir bereits folgende Hardware besorgt:

• Dell Optiplex 3060 SFF
• Intel i5 8500
• 16 GB RAM
• 256 GB SSD

Der Optiplex soll perspektivisch ausschließlich als Router / Firewall betrieben werden.
Zusätzlich plane ich darauf später noch:

• AdGuard / DNS-Blocking
• VPNs (z. B. WireGuard oder OpenVPN für Remote-Zugriff)
  

Geplante Netzwerkstruktur:​

Das Netzwerk möchte ich nach und nach sauber neu aufbauen:

• OPNsense als zentrale Firewall / Router
• Managed Switch (VLAN-fähig, auch wenn VLANs erst später kommen sollen)
• Separater Access Point, da ein Großteil meiner Geräte per WLAN angebunden ist
• VLANs zunächst noch nicht aktiv, sollen aber im Nachgang sauber integriert werden

Konkrete Fragen an euch:​

1. DSL-Anschluss & Modem
   Ich nutze aktuell einen DSL 250 Anschluss von congstar.
   
   
   • Gibt es an dieser Stelle bei der Kombination DSL → Modem → OPNsense etwas Besonderes zu beachten?
   • Kann ich grundsätzlich jedes kompatible DSL-Modem verwenden oder gibt es Einschränkungen (PPPoE, Vectoring, Supervectoring etc.)?
   • Ich bin auf DrayTek-Modelle gestoßen – habt ihr konkrete Empfehlungen (eventuell auch andere Anbieter), die stromsparend, stabil und langzeiterprobt sind?
     
2. SSD-Größe im Optiplex
   Reichen 256 GB SSD für OPNsense inklusive:
   
   
   • Logs
   • AdGuard
   • VPNs
   • eventueller Plugins
     langfristig aus, oder würdet ihr größerplanen?
     
3. NICs (Netzwerkkarten)
   Der Optiplex benötigt mindestens eine zusätzliche Netzwerkkarte.
   Ich habe mir einige Dual-Port-NICs mit 1 Gbit/s angeschaut – aus meiner Sicht sollte das für meinen Anschluss aktuell ausreichend sein.
   
   
   • Welche Chipsätze / Modelle nutzt ihr oder könnt ihr empfehlen?
   • Seht ihr einen echten Mehrwert in 2,5 Gbit/s oder 10 Gbit/s für ein Setup dieser Art oder ist 1Gbit/s ausreichend?
     
4. Access Point
   Ich plane einen dedizierten Access Point einzusetzen.
   
   
   • Habt ihr Empfehlungen im Bereich Preis / Leistung / Stabilität?
   • TP-Link (Omada) habe ich aktuell im Blick, bin aber offen für Alternativen.
     
5. Allgemeine Hinweise & Best Practices
   
   
   • Gibt es typische Anfängerfehler bei OPNsense, die ich vermeiden sollte?
   • Dinge, die man beim Umstieg von einer Fritzbox gern übersieht?
   • Hardware-Fallen oder Konfigurationsentscheidungen, die ihr rückblickend anders treffen würdet?

Ich freue mich über eure Erfahrungen, Empfehlungen und auch gern über konstruktive Kritik an meinem geplanten Setup.

Vielen Dank im Vorfeld für eure Vorschläge

 

[h00bi]

1: draytek ist top. Günstiger ist ein gebrauchter Speedport smart 3 o.ä. die haben einen echten Modem Modus und du hast gleich einen Backup Router.

Für 250Mbit/s muss es natürlich ein supervectoring Modem sein. War das ne ernstgemeinte Frage?

2: 256GB reicht locker, aber denk auch an Backups, die noch irgendwo hin kopiert werden sollten. Da reicht auch ein 32-64GB USB Stick oder per SSH auf deinen Home Server.

3: 1Gbit/s reicht für 250er DSL locker. Kannst auch einfach eine 10€ pcie nic rein packen und die onboard LAN verwenden. Brauchst keine Dual Karten.

4: Ubiquiti Unifi

5: WAN seitige VLAN Config zum Beispiel. Congstar ist vermutlich VLAN7.
Zudem prüfen ob das Modem VLAN setzt oder die OPNsense. Beides geht nicht, ohne geht auch nicht.

Was Fritzbox Umsteiger gerne vergessen: Festnetztelefonie

 

[rezzler]

Das Netzwerk möchte ich nach und nach sauber neu aufbauen:

• OPNsense als zentrale Firewall / Router
• Managed Switch (VLAN-fähig, auch wenn VLANs erst später kommen sollen)
• Separater Access Point, da ein Großteil meiner Geräte per WLAN angebunden ist

Plane einen AP mit Multi-SSID/VLAN-Unterstützung ein.

• Kann ich grundsätzlich jedes kompatible DSL-Modem verwenden oder gibt es Einschränkungen (PPPoE, Vectoring, Supervectoring etc.)?

PPPoE interessiert das Modem nicht. Für 250 MBit/s ist SuperVectoring nötig.

• Ich bin auf DrayTek-Modelle gestoßen – habt ihr konkrete Empfehlungen (eventuell auch andere Anbieter), die stromsparend, stabil und langzeiterprobt sind?

Die Auswahl ist bei denen ja eher begrenzt und recht teuer sind sie auch.

• Seht ihr einen echten Mehrwert in 2,5 Gbit/s oder 10 Gbit/s für ein Setup dieser Art oder ist 1Gbit/s ausreichend?

2,5G wären langsam nett, zumal dein Router dann ja wohl auch zwischen den VLANs hin und her routen darf, also sowohl Daten empfangen als auch (im anderen VLAN) senden muss

• Dinge, die man beim Umstieg von einer Fritzbox gern übersieht?

Telefonie geregelt?

 

[RealQuality]

Hallo @Lacki90

Ich habe das ganze Thema bereits einmal durchgespielt mit fast den selben Anforderungen.

Schau dir mein Thread mal an

Um auf deine Punkte einzugehen..

2. Die 256 GB reichen vollkommen. Ich würde aber auf einen China Router setzen oder ähnliches
Ich habe einen von CWWK funktioniert einwandfrei.

3. Plane lieber mit 2,5 G oder sogar 10 G SFP+
Vorallem wenn ein NAS kommt mit Daten verschieben etc.

4. Bin ebenfalls für Omada, habe den klaren Vergleich zwischen Unifi und Omada und würde als Privatkunde immer bei Omada bleiben.


5. Ja, es zu schnell angehen und die Telefonie vergessen.
Die Fritzbox würde super für die Telefonie funktionieren.

Wichtig sind immer Backups zwischen einzelnen Schritten, zum bsp. nach dem Einrichten der VPN Verbindung oder ähnliches.

 

[RockNLol]

Den Rest haben andere bereits geschrieben, bzgl. 3. möchte ich aber ergänzen, dass Verkehr von einem VLAN ins andere immer über die opnsense geht. Da gerät man mit 1Gbit relativ schnell an seine Grenzen, sobald man da Dateien herum schiebt.

 

[JumpingCat]

Gibt es typische Anfängerfehler bei OPNsense, die ich vermeiden sollte?

• Nicht mit der Konsole umgehen können
• Swap-Partition/File wird auch gern vergessen

Was irgendwie fehlt in der ganzen Aufzählung: Du willst OpnSense nativ installieren oder noch ein z.B. Proxmox dazwischen hängen?

Reichen 256 GB SSD für OPNsense inklusive:

Da reicht auch 8GB oder weniger.

Hardware-Fallen oder Konfigurationsentscheidungen, die ihr rückblickend anders treffen würdet?

• Schlechte Netzwerkkarten oder SATA/NVME auf dem Mainboard vermeiden
• HW-Beschleunigung ist oft fehlerhaft, also meiden
• Nimm keine uralte CPU wenn du noch VPN / etc machen willst
• Zu wenig RAM oder zu wenige CPU Kerne falls du IDS machen willst

 

[norKoeri]

DSL-Modem

Den Thread/Post dazu haben wir hier …

WLAN-Access-Point

Den Thread/Post dazu haben wir hier …

Wobei Du bei einem WLAN-Punkt gar keinen verwaltbaren brauchst und quasi alles nehmen kannst. Ich würde eher zu Zyxel raten, weil Du dort ein Standalone-Interface über Web-Oberfläche hast, also ganz easy. Und einer der wenigen Hersteller ist, bei dem die Web-Oberfläche vom Funktionsumfang gleich mächtig (bzw. noch mächtiger ist als) die anderen Verwaltungsoberflächen.

Wenn es unbedingt TP-Link sein muss, dann in Deinem Fall lieber kein Omada, also z. B. den WA1801.

WLAN: Habt ihr Empfehlungen im Bereich Preis / Leistung / Stabilität?

Wäre ein eigener Thread wert, also ob Du

• in einer Wohnung oder Haus lebst
• Single bist oder Anhang hast
• Decken- oder Wand-Montage

und so weiter. Die nächste Frage wäre, ob wirklich ein WLAN-Punkt ausreicht. Das sind dann Themen wie

• Geschwindigkeit (Durchsatz)
• Abdeckung (Signalstärke) und
• Spatial-Streams.

Der Zyxel NWA220AX wäre ein guter Start, Dank AX5400. Der hat zwar nur zwei Funkmodule, aber Du kannst das 6-GHz-Frequenzband so ausprobieren. Und wenn es sich lohnt, dann einfach einen Zweiten für das 5-GHz-Frequenzband kaufen. Aktuell in Amazon einen Kundenrückläufer. Die Tage in Kleinanzeigen.de war ein Gebraucht-Gerät.

WLAN: Bastel- und Lernziele […] Habt ihr Empfehlungen im Bereich Preis / Leistung / Stabilität?

Fraglich, ob Du nicht hier besser auch auf Open-Source setzt, also einen WLAN-Punkt mit Unterstützung für OpenWrt. Diese fertigen Büchsen haben wahnsinnige Einschränkungen und Software-Bugs. Leider hat auch OpenWrt an vielen Stellen im wahrsten Sinne des Wortes schwachsinnige Voreinstellungen, aber dort kann man das wenigstens selbst reparieren.

 

[Lacki90]

1: draytek ist top. Günstiger ist ein gebrauchter Speedport smart 3 o.ä. die haben einen echten Modem Modus und du hast gleich einen Backup Router.

Danke für den Vorschlag. Ich werde eine 7530AX als Ersatzgerät bei Seite legen.

Für 250Mbit/s muss es natürlich ein supervectoring Modem sein. War das ne ernstgemeinte Frage?

Sorry, das Ganze war etwas unglücklich formuliert.. Ich hatte es so formuliert, um anhand der Rückmeldungen die Spezifikationen abzugleichen und eventuell fehlende zu ergänzen.

2: 256GB reicht locker, aber denk auch an Backups, die noch irgendwo hin kopiert werden sollten. Da reicht auch ein 32-64GB USB Stick oder per SSH auf deinen Home Server.

Danke für den Hinweis, hatte tatsächlich den Punkt Backup nicht im Auge.

3: 1Gbit/s reicht für 250er DSL locker. Kannst auch einfach eine 10€ pcie nic rein packen und die onboard LAN verwenden. Brauchst keine Dual Karten.

Ich hatte auch leider nur den Punkt beachtet, dass viele Modems "nur" 1Gbit/s können. Aber wenn mein Traffic im internen Netz bleibt, machen 2,5Gbit/s wirklich mehr sinn.

5: WAN seitige VLAN Config zum Beispiel. Congstar ist vermutlich VLAN7.
Zudem prüfen ob das Modem VLAN setzt oder die OPNsense. Beides geht nicht, ohne geht auch nicht.

Super Hinweis, hatte ich so auch nicht bedacht. Danke dir

2,5G wären langsam nett, zumal dein Router dann ja wohl auch zwischen den VLANs hin und her routen darf, also sowohl Daten empfangen als auch (im anderen VLAN) senden muss

Danke für den Punkt, hatte ich tatsächlich nicht auf dem Schirm. Hast du bestimmte Produktempfehlungen zu den Punkten, die du beantwortet hast?

Schau dir mein Thread mal an

Danke für deine Produktvorschläge und deine Ratschläge
Ich glaube, dass ich eher beim Optiplex bleibe, da ich immer öfters höhere, dass die Chinamaschinen recht schnell abrauchen. Vorallem soll der Verbrauch auch nicht so ideal sein. Kannst du das eventuell bestätigen bzw. widerlegen?

Was irgendwie fehlt in der ganzen Aufzählung: Du willst OpnSense nativ installieren oder noch ein z.B. Proxmox dazwischen hängen?

Top Punkt. Ich wollte es nativ installieren, da man alles notwendige wie VPN-Software etc. auch auf die OPNsense im Nachgang bekommt. Dann hätte ich auch weniger Software, wodurch wieder andere Probleme entstehen könnten.

• HW-Beschleunigung ist oft fehlerhaft, also meiden
• Nimm keine uralte CPU wenn du noch VPN / etc machen willst

Danke für die Punkte. HW-Beschleunigung habe ich jetzt auch auf dem Schirm

Den Thread/Post dazu haben wir hier …
Den Thread/Post dazu haben wir hier …

Wobei Du bei einem WLAN-Punkt gar keinen verwaltbaren brauchst und quasi alles nehmen kannst. Ich würde eher zu Zyxel raten, weil Du dort ein Standalone-Interface über Web-Oberfläche hast, also ganz easy. Und einer der wenigen Hersteller ist, bei dem die Web-Oberfläche vom Funktionsumfang gleich mächtig (bzw. noch mächtiger ist als) die anderen Verwaltungsoberflächen.

Wenn es unbedingt TP-Link sein muss, dann in Deinem Fall lieber kein Omada, also z. B. den WA1801.
Wäre ein eigener Thread wert, also ob Du

• in einer Wohnung oder Haus lebst
• Single bist oder Anhang hast
• Decken- oder Wand-Montage

und so weiter. Die nächste Frage wäre, ob wirklich ein WLAN-Punkt ausreicht. Das sind dann Themen wie

• Geschwindigkeit (Durchsatz)
• Abdeckung (Signalstärke) und
• Spatial-Streams.

Der Zyxel NWA220AX wäre ein guter Start, Dank AX5400. Der hat zwar nur zwei Funkmodule, aber Du kannst das 6-GHz-Frequenzband so ausprobieren. Und wenn es sich lohnt, dann einfach einen Zweiten für das 5-GHz-Frequenzband kaufen. Aktuell in Amazon einen Kundenrückläufer . Die Tage in Kleinanzeigen.de war ein Gebraucht-Gerät.
Fraglich, ob Du nicht hier besser auch auf Open-Source setzt, also einen WLAN-Punkt mit Unterstützung für OpenWrt. Diese fertigen Büchsen haben wahnsinnige Einschränkungen und Software-Bugs. Leider hat auch OpenWrt an vielen Stellen im wahrsten Sinne des Wortes schwachsinnige Voreinstellungen, aber dort kann man das wenigstens selbst reparieren.

Danke für alle Punkte. Zyxel hatte ich tatsächlich weiter hinten geparkt als Option, aber nehme ich mit in die Liste der Optionen auf. Danke
Ich wollte es tatsächlich bewusst etwas simpler halten, aber die genannten Punkte sind wirklich wichtig, daher:

-Aktuell wohnen wir in einer 60qm Wohnung, aber wollten demnächst in eine neue mit ca. 80qm+ umziehen, daher wäre es eigentlich auch ganz schön, wenn man die AP ohne Probleme erweitern und zusammen managen könnte.asadas
-Sind zwei Personen
-Deckenmontage hatte ich gar nicht auf dem Schirm. Wäre eventuell eine Überlegung Wert. Kann man bei den PoE-APs mit stärkeren Verlusten rechnen? Falls nein, wäre der Ansatz sogar eleganter für mich.



Als Info für alle: Wir nutzen kein Telefon, weshalb der Punkt wegfällt

 

[rezzler]

Danke für den Punkt, hatte ich tatsächlich nicht auf dem Schirm. Hast du bestimmte Produktempfehlungen zu den Punkten, die du beantwortet hast?

Nein, überhaupt nicht. Multi-SSID kommt eher im geschäftlichen Bereich vor, da bin ich raus. 2,5G lässt sich per PCIe günstig nachrüsten oder halt bei neueren Rechnern schon on Board.

-Deckenmontage hatte ich gar nicht auf dem Schirm. Wäre eventuell eine Überlegung Wert. Kann man bei den PoE-APs mit stärkeren Verlusten rechnen? Falls nein, wäre der Ansatz sogar eleganter für mich.

Verluste von was? Die Geschwindigkeit übers Kabel ist identisch zu Geräten ohne PoE und die restliche Technik ja auch.

 

[RealQuality]

Danke für deine Produktvorschläge und deine Ratschläge
Ich glaube, dass ich eher beim Optiplex bleibe, da ich immer öfters höhere, dass die Chinamaschinen recht schnell abrauchen. Vorallem soll der Verbrauch auch nicht so ideal sein. Kannst du das eventuell bestätigen bzw. widerlegen?

Absolut keine Probleme!
Habe insgesamt 3 Stück verbaut (Arbeit, einem guten Kollegen und mir)
Meiner ist von 2021 und er läuft

Stromverbrauch schwankend im idle zwischen 10-13 Watt, kommt am Ende aber auf die Netzwerklast an, bzw. was das Teil alles filtern soll
Wenn du mit CrowdSec oder Q-Feed, IDS/IPS Adguard etc. aktivierst wird das Ding auch schon arbeiten müssen.

Selbstverständlich kannst du bei deinem Optiplex bleiben, ich würde nur direkt auf 2,5G oder sogar 10G gehen.
Braucht das Teil nicht schon im idle 20-25 Watt?

EDIT: Habe ein Post im OPNsense Forum gefunden manche betreiben die mit 12 Watt im Betrieb. Ich glaube das schafft der Optiplex nicht.