Hardware iPFire

[TECC]

Hallo CB,

für ein Heimnetzwerk wird Hardware für eine IPFire Firewall benötigt. 4 - 6 Ethernet Ports würden reichen.
W-LAN Antenne(n) für Smartphones wäre auch von Vorteil. Ansonsten 1Gbit LAN Ethernet für diverse PCs/anderweitige Geräte.
Backup wird gemacht, aber keine großen Aktionen.

Eine grundsätzliche Frage: Worin unterscheiden sich diese Fertig-Firewall-Lösungen zu herkömlichen Mini-PCs, wenn man von den mehreren Ethernet Ports absieht? Oder könnte man hier auch einen Mini-PC nehmen und eine Netzwerkkarte mit mehr Ports einbauen?
Zumindest sind die Anforderungen rel. human laut https://wiki.ipfire.org/hardware Wichtig wäre natürlich auch de Verbrauch, da das Gerät durchweg läuft.

Habe schonmal hier was gefunden, wobei ich nicht genau weiß was hier für den Einsatzzweck ausreicht https://www.alix-board.de/

Preislich darf es ruhig 200-300€ werden. Viel Speicher (SSD) wird darauf nicht benötigt, was anscheinend Preislich am meisten ausmacht.

Danke.

 

[wbjc2007]

Nun, Du kannst für jedes Netz eine eigene Schnittstelle nehmen. Damit erzeugst Du einen massiven Platzbedarf für die FW-Hardware. Du könntest aber auch einen PC nehmen und und darin 2 LAN-Schnittstellen verbauen (ich schlage hier Intel-Netzwerk-Chips vor, Realtek ist nicht immer so gut supported).
Eine der Schnittstellen ist für WAN und die andere für das LAN bzw. die LANs.
Und da drauf legst Du die unterschiedlichen Netze als VLANs drauf. Und dann besorgst Du Dir einen Switch der mit VLANs umgehen kann und benutzt den sozusagen als Breakout-Box.
Und dann kannst Du quasi an jeden Port des Switches jedes Netz drauflegen, und dann steckst Du da an was Du brauchst, z.B. WLAN APs. Und dann ist es egal wenn Du noch ein Netz brauchst - enlegen, am Port ausgeben, fertig! Keine weiteren Kosten!
Wenn Du nur ein kleines Netz hast in dem sich der Traffic auf's Surfen beschränkt, kannst Du einen xbeliebigen Mini-PC nehmen. Unterschiede gibt's da en masse. Garantierte Kompatibilitäten, maßgeschneiderte Betriebssysteme, Support durch den Hersteller usw.
Für Dich sollte das keine Rolle spielen - Du installierst ja eh alles selber.

 

[Nizakh]

NRG-Systems bietet mit den IPU Systemen eigentlich genau das an was du brauchst:
https://www.ipu-system.de/

 

[DonConto]

Und da drauf legst Du die unterschiedlichen Netze als VLANs drauf.

IPFire kann out of the box keine VLANs.

@Xnfi01 Eine gute Anlaufstelle ist das IPFire Forum. Die Alix Boards werden gerne genommen. Im Grunde geht aber auch jeder Wald und Wiesen PC mit mind. 2 Ethernet Ports. Ob Intel oder Realtek ist egal, die gänigen Chips werden unterstützt. Punkten können die Alix Board mit den vielen Schnittstellen (wobei IP Fire nur 3 out of the box unterstützt, plus WLAN natürlich) und mit dem geringen Stromverbrauch. Die Performance reicht in den meisten Fällen aus. Eng wird es wenn du zB IDS oder Proxy mit Filtern etc aktivierst. Da kommt es dann darauf an was du an Durchsatz erwartest.

 

[konkretor]

@DonConto

https://blog.ipfire.org/post/ipfire-2-23-core-update-132-released

Hier steht aber etwas anderes zum Thema VLAN

 

[Schwabe66]

IPFire kann out of the box keine VLANs.

Wäre für mich direkt ein Grund eine andere Lösung in Betracht zu ziehen, wenn sowas einfaches nicht abgedeckt werden kann macht das ganze Produkt keinen Sinn.

 

[DonConto]

https://blog.ipfire.org/post/ipfire-2-23-core-update-132-released
Hier steht aber etwas anderes zum Thema VLAN

OK, dann hat sich da letztes Jahr etwas getan. Ist mir entgangen. Die fehlende VLAN Unterstützung war nämlich für mich mit ein Grund von IPFire auf OPNSense zu wechseln.

 

[mr.w0lf]

Als Alternative könnte man PFSense oder Sophos XG Home benutzen, die lassen sich auch auf herkömmlichen PCs entweder virtualisiert oder direkt auf der Hardware betreiben.

 

[TECC]

EDIT: War jemand schneller

Also dass ipFire kein VLAN kann, wäre mir neu, wird es doch hier z.B. erwähnt.
https://wiki.ipfire.org/configuration/network/zoneconf

 

[wbjc2007]

IPFire KANN VLANs!

 

[DonConto]

Hab mir das mal angeschaut. Die Unterstützung ist aber sehr rudimentär. Kein Vergleich zu OPNSense oder pfSense. Also ja, IPFire kann VLANs, aber nur sehr limitiert. Wem das reicht, bitte. Mir wäre das zuwenig.

Aus der Wiki:

Please note that:

• Due to backwards compatibility reasons, you can't assign more than one VLAN to a zone
• One NIC can't be accessed natively by more than one zone
• You can't use the same VLAN tag more than once per NIC
• A NIC that is assigned to RED can't be accessed by any other zone if RED is in PPP mode

 

[TECC]

Bitte nicht vergessen:
Es geht hier nicht um große Netzwerke, sondern um ein Heimnetzwerk das abgesichert werden soll.

Ob jetzt IPFIre, OPNSense oder pfSense wäre erstmal egal. Ich denke auf einer entsprechend performanten Hardware sollten ja alle laufen...

 

[DonConto]

Es geht hier nicht um große Netzwerke, sondern um ein kleines Heimnetzwerk das abgesichert werden soll.

Ja das ist mir klar. Trotzdem muss man sich anschauen was man benötigt und was das Produkt kann. Ob klein oder groß ist egal.

 

[TECC]

Ja das ist mir klar. Trotzdem muss man sich anschauen was man benötigt und was das Produkt kann. Ob klein oder groß ist egal.

Stimme ich dir zu, nur wie erwähnt sollte dass bei der/einer entsprechenden Hardware keine Rolle spielen, denn um genau das geht es hier ja, um die Hardware Ob es am Ende doch OPNSense oder pfSense wird, kann gut sein. Ich hatte nur IPFire genommen, da ich dies kenne. Installiert werden können ja alle dann auf der Hardware.

 

[wbjc2007]

Also wenn ich mir so ein kleines Netzwerk anschaue, dann mach ich halt für jedes Netzwerksegment eine eigene Zone - und dann passt das doch.
Auf Anhieb fällt mir jetzt kein Grund ein, warum ich in einer Zone mehrere VLANs bräuchte...

Ergänzung (8. Oktober 2020)

Und ein bisschen Firewall kann jeder einigermaßen aktuelle Prozessor. Mindestens 2, wenn Du ganz sicher gehen willst 4 Kerne, und fertig! Aber um die auszulasten muß schon echt was passieren auf der Firewall - und da rede ich von Gbit-Traffic oder mehr, mit Deep Packet Inspection allem drum und dran. Aber ich nehme an sowas brauchst Du nicht. Weil dann wirds eh schon wieder eine ganz andere Kategorie!

Stimme ich dir zu, nur wie erwähnt, spielt das bei der entsprechenden Hardware keine Rolle, denn um genau das geht es hier ja, um die Hardware

 

[TECC]

Also wenn ich mir so ein kleines Netzwerk anschaue, dann mach ich halt für jedes Netzwerksegment eine eigene Zone - und dann passt das doch.

Das war der Plan - ja. Ich dachte da an folgendes https://wiki.ipfire.org/installation/step5

 

[DonConto]

Alleine schon "One NIC can't be accessed natively by more than one zone" wäre für MICH (!) ein K.O. Würden sie VLANs vollumfänglich unterstützen könnte man so nämlich eine Hardware nehmen, die alle Zonen, per VLAN getrennt, über nur ein Interface abwickelt. Das vergrößert die Hardwareauswahl massiv wenn man nicht mit USB LAN Adaptern spielen will.

Ich will hier niemanden zu irgendeinem System überreden. Ich weise lediglich darauf hin, dass es Limitierungen gibt. "KANN VLAN" rufen ist halt nur die halbe Wahrkeit. Das was jetzt per GUI geht, konnte IPFire früher auch schon - nur musste man das eben über Configfiles konfigurieren.

 

[wbjc2007]

Ooops! Richtig!

Alleine schon "One NIC can't be accessed natively by more than one zone" wäre für MICH (!) ein K.O. Würden sie VLANs vollumfänglich unterstützen könnte man so nämlich eine Hardware nehmen, die alle Zonen, per VLAN getrennt, über nur ein Interface abwickelt.

 

[TECC]

Alleine schon "One NIC can't be accessed natively by more than one zone" wäre für MICH (!) ein K.O. Würden sie VLANs vollumfänglich unterstützen könnte man so nämlich eine Hardware nehmen, die alle Zonen, per VLAN getrennt, über nur ein Interface abwickelt. Das vergrößert die Hardwareauswahl massiv wenn man nicht mit USB LAN Adaptern spielen will.

Ich will hier niemanden zu irgendeinem System überreden. Ich weise lediglich darauf hin, dass es Limitierungen gibt. "KANN VLAN" rufen ist halt nur die halbe Wahrkeit. Das was jetzt per GUI geht, konnte IPFire früher auch schon - nur musste man das eben über Configfiles konfigurieren.

Danke für deinen Hinweis.
Es sollte schon eine Hardware sein, die im Fall der Fälle mit "allem" klar kommt. Wie sieht es mit https://www.ipu-system.de/ aus?

 

[wbjc2007]

Die Hardware kommt in jedem Fall damit klar. In dem Fall geht's um die FW-Software!