Hardware für Firewall im Eigenbau (Was sind Eure Alternativen?)

[moby07]

Hallo zusammen,

ich habe mir für eine Firewall auf Linux-Basis im privaten Einsatz folgende Komponenten zusammengestellt:

1 x SanDisk SSD 64GB, 2.5", SATA 6Gb/s (SDSSDP-064G-G25)
1 x Kingston ValueRAM SO-DIMM 4GB PC3-8500S CL7 (DDR3-1066) (KVR1066D3S7/4G)
1 x Intel D2500CCE bulk, NM10 (PC3-8500U DDR3) (BLKD2500CCE)
1 x Supermicro 502L-200B schwarz, 1HE, 200W
Summe: ca. 230 €

Die Anforderungen waren bzw. sind:
2x LAN
Passiv-Lüfter
geringe Lautstärke/Hitzeentwicklung
niedriger Stromverbrauch

Mit diesem System habe ich relativ gute Erfahrungen gemacht. Habt Ihr vielleicht bessere Alternativen, vor allem was die letzten beiden Anforderungen anbelangt?

Ich bin gespannt auf Eure Lösungen.:-)

 

[azereus]

das passt schon so.
wie lautet der name der fw?

 

[bu1137]

Wie wäre es mit einer noch einfacheren Lösung?

PC Engines Alix http://www.pcengines.ch/
oder einfach zb. ein Netgear WNDR3800 oder sonst was mit OpenWRT drauf.

 

[moby07]

@azereus

Fragst du nach der Linux-Distribution?

@bu1137

Okay, auch eine Möglichkeit. Bei der Leistung jedoch ist es für meinen Geschmack nicht ausreichend.

 

[azereus]

ja. kann dir nur sophos wärmstens empfehlen.
für privatgebrauch bis 50geräte (ja ich glaub 50geräte) kostenlos.

 

[kernel panic]

Find ne 64GB SSD oversized, würde da die kleinste SSD nehmen oder gar ein USB-Stick und dann als Software IPCop oder IPFire (oder wie das hieß).

 

[bu1137]

@moby07: In dem Falle wäre es vielleicht noch gut zu wissen, wieviel Leistung du erwartest.

Mit dem Alix dürften um die 50Mbit drinliegen, bei VPN vielleicht etwa 10Mbit.

Edit: Mit dem Netgear WNDR3800 sollen um die 300-400Mbit drinliegen - wobei ich das fast nicht glauben kann - eigentlich sollte ein Alix Board schneller sein.

http://www.xbitlabs.com/articles/networking/display/netgear-wndr-3800_5.html#sect1

 

[moby07]

@azereus

Ich nehme dafür Debian mit Shorewall.

@haasenfranz

Das stimmt auf dem ersten Blick. Jedoch soll hier kein Flaschenhals entstehen können.

Edit:
@bu1137

Es ist eine 100-Mbit-Leitung ohne VPN.

 

[bu1137]

Flaschenhals bei der SSD? Wie genau soll man das verstehen? Willst du einen Proxy Server laufen haben? Sonst wüsste ich nicht, wozu du mehr/schnellen Speicher brauchst. USB Stick würde ich vielleicht nicht nehmen, aber wohl die kleinste SSD - und heutzutage kann das auch ne 64er sein.

 

[moby07]

Da ist doch eine 64er SSD in der Zusammenstellung drin.:-)

Was ich noch in der Zukunft treibe, will ich mir noch offen lassen.

 

[bu1137]

Ja, ich weiss, damit wollte ich nur sagen: In deiner Wahl der SSD sehe ich nicht das Problem. Verstehe allerdings nicht genau, was du mit Flaschenhals meinst. Auf die Netzwerk Performance hat diese ja keinen Einfluss (ausser eben, Proxy allerhöchstens).

 

[moby07]

Ich meinte bei einem USB-Stick oder einer HDD wäre es ein (kleiner) Flaschenhals, im Verhältnis zur SSD. Bei einem höheren Datenaustausch und mehr als einer Verbindung gleichzeitig ist mir die SSD dank besserer IO-Werte doch lieber. Ein guter USB-Stick kostet ja auch annähernd so viel bzw. muss ihn aufgrund der Größe auch über ein Kabel etwas umständlich in dem Gehäuse befestigen.

 

[bu1137]

Da sind wir wieder am Punkt, den ich nicht verstehe. Wie gesagt: Die SSD/Platte/wasauchimmer hat auf den Netzwerk-Verkehr keinerlei Einfluss. Ob eine oder 100 Verbindungen, das spielt keinerlei Rolle - das ganze spielt sich ausschliesslich im RAM/CPU/Netzwerkkarte ab.

 

[moby07]

Nunja, die SSD wird anhand ihren Netzwerk-Regeln schon betrachtet, auch wenn vieles im RAM abläuft. Die Vorteile liegen natürlich auch in der Lautstärke und der geringen Wärmeentwicklung.
Das jedoch 100 Verbindungen darüber so glatt laufen, kann ich nicht unterschreiben. So eine Firewall im Realeinsatz kommt je nach Uhrzeit bei 25 Usern auch an ihre Grenzen.

 

[bu1137]

Die Netzwerkregeln werden lediglich am Anfang von der SSD in den Speicher geladen. Von da an läuft ALLES im Kernel (CPU/RAM) ab.

25 User sollten eigentlich keinerlei Problem darstellen. Oder benutzt du layer7 matching?

Wie gesagt, ob du eine 64GB SSD einsetzt oder nicht, ist mir schnuppe - aber wenn es dir um die Netzwerk Performance geht, musst du anderswo ansetzen.

 

[moby07]

Die Stateful Inspection in Shorewall benötigt einfach die Ressourcen.

 

[dasTTS]

Wie bu1137 schon sagte ist die SSD zwar nicht überflüssig, aber hilft nicht bei der Leistungssteigerung. Wenn du nur ein paar iptables Regeln aufstellen und Pakete inspizieren willst solltest du dir Gedanken über einen leistungsstärkeren OpenWRT/DDWRT Router machen, ansonsten wird sich dein Server zu Tode langweilen.

 

[bu1137]

Die Shorewall ist nichts anderes als eine Linux Firewall, wie du ja selber weisst. Du kannst gerne darauf beharren, aber, glaub mir, deine Annahme ist falsch.

 

[moby07]

@dasTTS
Du hast Recht, dass sich die Firewall wohl die meiste Zeit zu Tode langeweilen wird. Aber das gilt auch für eine 100-Mbit-Leitung, die dann auch nur sporadisch, aber dann im Falle gebraucht wird.

Bei der Administration auf mehrere Firewalls sind gleiche Hardware-Bestückungen schon ganz praktisch. Für meinen Geschmack will ich die SSD gegenüber einer HDD nicht missen wollen, auch wenn sie nur im Hintergrund loggt und Status-Nachrichten verschickt. Es soll einfach schnell und reibungslos funktionieren. Von der Stabilität einer solchen Maschine ganz zu schweigen.

Edit:
@bu1137
Wie gesagt, das ganze was im Hintergrund (Logging usw.) passiert ist mir auf einer SSD performanter. Das jeder Zugang egal ob geschäftlich oder privat angegriffen wird, ist sicher dir auch nichts Neues und muss verarbeitet werden.

 

[bu1137]

Wie ich ja schon mehrfach geschrieben habe, habe ich gegen die SSD überhaupt nichts einzuwenden. Aber wenn du dir davon einen Performancegewinn im Netzwerk, auch mit haufenweise Logging, erhoffst, dann fürchte ich, wirst du enttäuscht. Wenn du da ein Problem hast, dann solltest du dich ev. nach einer stärkeren CPU umsehen (nicht, dass ich das auch nur im geringsten für nötig halten würde.

Achja: Bist du sicher, dass das Supermicro gehäuse für das Intel Mainboard passt? Die sind normalerweise auf supermicro boards zugeschnitten (ATX Blende).

Es gibt sonst übrigens auch Supermicro Gehäuse mit den Anschlüssen vorne: http://www.supermicro.com/products/chassis/1U/503/SC503L-200.cfm

Aber dafür brauchst du definitiv auch ein supermicro board (teurer). Und so wie ich das sehe, bei dem von dir ausgesuchten ebenfalls.