Hardwaresuche: VPN Router, Access Point

[s0k0]

Hallo Zusammen!

Ich bin gerade dabei mein Heimnetzwerk etwas zu modernisieren und bin dazu auf der Suche nach einem VPN Router.

Ausgangslage ist, dass ich eine 50 mbit Leitung (10 mbit up) habe die auf der Hybridbasis funktioniert ( Festnetz + LTE ).
Leider ist das Modem nicht sehr konfigurationsfgreudig, sodass mir nichts anderes übrig blieb als meinen derzeitigen Router ( TP-Link Archer C7 mit LEDE/OpenWRT ) mittels DMZ zu verbinden (alternative wäre DoppelNAT, aber das ist komplizierter und bringt keine Vorteile - aber darum geht es hier auch nicht ).

Am C7 hängt physisch ein PC und ein NAS, der Rest ist per WLAN verbunden.

Auf dem C7 laufen ein paar simple Dinge wie DNScrypt, eigene DDNS config etc. bis jetzt nichts aufwendiges.

Ich möchte aber für die Zukunft jetzt zwei Dinge die mehr rechenleistung brauchen umsetzen:

1. Blackhole (damit möchte ich direkt am Accesspoint schon mal Werbung und Tracking blockieren (das wird nicht so viel Rechenleistung benötigen).
2. VPN Client. Und zwar möchte ich (fast den gesammten Traffic) über einen noch auszusuchenden VPN Anbieter routen.

Für zweiteren Punkt wäre wohl ein Prozessor der nativ AES256 unterstützt sinnvoll. Ich glaube zwar gelesen zu haben, dass moderne ARM-Dualcore-Prozessoren wie sie in vielen neuen Top-Consumer-Routern verbaut werden für 50 mbit ausreichend Leistung haben, aber ich bin mir da erstens nicht sicher und zweitens möchte ich zukunftssicher in Hardware investieren.

Als zusätzliche Anforderung kommt hinzu, dass ich gewisse Clients sporadisch nicht über das VPN routen möchte und diese auch nicht das Blackhole (via DNS umgesetzt) verwenden sollen, da ich beruflich bedingt manchmal gezwungen bin mir Werbung oder Tracking anzusehen. Das sollte aber mit der Hardware nichts zu tun haben - sondern ist eine Anfroderung an die Firmware / das BS.

Ebenfalls möchte ich das Logging etwas erweitern, aber kein packet sniffing oder ähnliches - also nicht zu sehr Ressourcen-Fressend.

Um das umzusetzen gibt es jetzt ja verschiedenste Möglichkeiten.
Von professionellem Netzwerkequipment bis hin zum Eigenbau. Ich bin daher schlicht etwas überfordert die beste/passende Lösung für mich zu finden.

Budget wären 0 - max. 500,- (aber auch gerne darunter).

Vielleicht habt Ihr eine Idee oder Ansatz?

Herzlichen Dank!

 

[Raijin]

Wenn du einerseits "alle" Geräte via VPN schicken willst, andererseits aber auch einzelne Geräte direkt über den Internet-Provider, hast du zwei Möglichkeiten:

1) Zwei Gateways im Netzwerk.
Der Internet-Router bekommt die IP .1 und der VPN-Router bekommt die .2. Nun kann einerseits der DHCP-Server so eingestellt, dass er standardmäßig eben alle via VPN ins Internet schickt oder ungefiltert über den Internet-Router. Geräte, die explizit nicht über das Standard-Gateway des DHCP-Servers gehen sollen, bekommen ein manuelles Gateway verpasst, den jeweilig anderen Router. Am PC könnte man für spontane Wechsel des Gateways eine simple Batch-Datei auf dem Desktop doppelt anklicken, die dann jeweils das Gateway umstellt.

2) Zentrales Gateway mit PBR.
Wenn alle Geräte hinter einem zentralen Router bzw. Gateway sein sollen, muss dieses Gateway individuell entscheiden können welches Gerät über welche Verbindung ins www geschickt wird, VPN oder eben Internet-Provider. Normalerweise wird stets nach Ziel-IP geroutet und es macht demnach keinen Unterschied welches Gerät ins Internet will, es wird lediglich das Ziel untersucht. Mit PBR (Policy Based Routing) hingegen kann man den Spieß umdrehen und beispielsweise nach der Quell-IP routen. So könnte man dem Gateway also beibringen, dass die Geräte A/C/F via VPN geleitet werden, während die Geräte B/D/E über den Internet-Provider gehen. Oder man könnte beispielsweise auch nach dem Port routen und so zB normales Surfen unabhängig vom Gerät stets über VPN schicken, während man zB die Ports einer Spielkonsole immer ungefiltert ins Netz schickt.


Prinzipiell würde ich eher zu Variante 1 raten, weil sie einfacher zu handhaben ist. Das Gateway ist schnell umgestellt und man braucht keine besonderen Kenntnisse dazu. Auch ist die Hardware relativ unkritisch, da abgesehen von der VPN-Funktionalität keine weiteren Funktionen des VPN-Gateways benötigt werden. Prinzipiell kann dies also auch ein 08/15 Router sein, sofern er für das VPN schnell genug ist.
Bei Variante 2 benötigt man allerdings ein gewisses KnowHow und vor allem ein Gateway, das mit PBR umgehen kann. Ein Linux, o.ä. ist hier also als Betriebssystem also fast schon Pflicht. Windows eignet sich hierzu im übrigen in keinster Weise, weil Windows kein PBR kann, auch nicht Windows Server. Ein alter Laptop, o.ä. taugt daher nur mit Linux für diesen Zweck.


Was die Hardware angeht kommt es auch ein bischen darauf an was für ein VPN du nutzen willst. OpenVPN ist beispielsweise sehr CPU-lastig und läuft auf ARM CPUs eher mäßig. Auf einem 08/15 Router mit OpenWRT, DD-WRT, etc. oder auch auf einem Raspberry PI, o.ä. läuft OpenVPN daher oftmals nur mit <10 Mbit/s. Der aktuelle PI ist ein bischen schneller, aber 50 Mbit/s wirst du damit nicht mal ansatzweise erreichen. Neben OpenVPN gibt es dann noch IPsec. Aufgrund einer anderen Struktur lässt sich IPsec im Gegensatz zu OpenVPN deutlich besser auf Crypto-Hardware auslagern. Mit IPsec (und Crypto-Chip) können daher selbst CPU-mäßig eher schwache Geräte durchaus respektable VPN-Geschwindigkeiten erreichen. Beispiel EdgeRouter (ERLite @ ~100€ oder ER-X @ ~50€) von Ubiquiti. OpenVPN schaffen die Kisten vielleicht mit 15 Mbit/s oder so. IPsec hingegen läuft mit 60+ Mbit/s. Einige Nutzer sprechen gar von 100+ Mbit/s. Heißt: Wenn du einen VPN-Anbieter mit IPsec hast, dann kann auch ein schwächeres VPN-Gateway mit Crypto-Chip zum Einsatz kommen. Nutzt du dagegen OpenVPN, würde ich schon eher in Richtung Intel NUC, o.ä. gehen und dort beispielsweise pfSense einrichten.