Neuer Router

[Toby-ch]

Hallo zusammen

Ich bin auf der Suche nach einem neuen Router, momentan nutzte ich einen Synology Router. Dieser bitte jedoch keine Möglichkeit der VLAN Verwaltung, welche ich jedoch nutzten möchte.

Was sollte der Router bieten:

• VLAN Verwaltung und Erstellung
• GB Lan und WAN
• VPN
• Gepflegtes Produkt was Updates betrifft.
• Möglichkeit zur Auflistung welcher client wieviel Traffic generiert und welche Dienste er nutzt...

Zweit ranginge Funktionen:

• Dual WAN

Besten Dank für eure Hilfe.

 

[Lawnmower]

Was für ein Anschluss? Kabel oder DSL? Und wie schnell ist der Anschluss?
Bei Kabel könntest Dir z.B. auch ein eigener Router auf Basis pfSense bauen (als Hardware darunter würde sich z.B. ein Shuttle DS77U eignen der passiv gekühlt, 2 x Gbit Intel LAN hat und für den Dauerbetrieb ausgelegt ist. Die CPU eignet sich sowohl für Gbit WAN als auch als VPN Endpoint und bietet auch CPU beschleuniges AES-NI an.
Oder brauchst Du was fixfertiges?

 

[lodex]

Eine Variante wäre bspw. pfSense auf einem Kleinst-PC wie einem Intel NUC laufen zu lassen.

 

[Raijin]

Und was möchtest du ausgeben? Ist ja nicht zielführend, wenn man jetzt Cisco-Router o.ä. für ein paar Hundert Euro vorschlägt und du nur <100 ausgeben willst.

Als Lowcost-Variante würde ich zB einen EdgeRouter oder einen MikroTik ins Rennen werfen. Einen ER-X bekommt man für ~50€ und auch MikroTik hat einige Modelle im Angebot, die in Frage kämen.

VLANs braucht der Router im übrigen nur, wenn er nicht genug Hardware-Schnittstellen hat. Ein ER-X hat beispielsweise 5 LAN-Ports und kann somit 5 physische Netzwerke verwalten. Ob diese dann in einem Switch via VLAN-ID gesplittet oder gar via Trunk-Port an weitere Switches durchreicht, ist unerheblich solange jedes VLAN einen ungetaggten Uplink zum ER-X bekommt. VLANs müsste man am ER-X nur konfigurieren, wenn es einen einzelnen Uplink vom Switch zum ER-X gäbe, denn dann müssten ja alle Subnetze über ein und dasselbe Kabel gehen (-> VLAN-Tags).

 

[Sparta8]

als Hardware darunter würde sich z.B. ein Shuttle DS77U eignen der passiv gekühlt, 2 x Gbit Intel LAN hat und für den Dauerbetrieb ausgelegt ist. Die CPU eignet sich sowohl für Gbit WAN als auch als VPN Endpoint und bietet auch CPU beschleuniges AES-NI an.
Oder brauchst Du was fixfertiges?

Weißt du zufällig warum der Shuttle 2 COM Ports hat? Wozu braucht man überhaupt welche und dann gleich zwei?

 

[Lawnmower]

Das ist ein System für Präsentations-Bildschirme, Industrie und Kassen wo solche Schnittstellen noch oft vorkommen (vorallem bei Industrie und den Kassen).

 

[Toby-ch]

Eine Variante wäre bspw. pfSense auf einem Kleinst-PC wie einem Intel NUC laufen zu lassen.

Habe ich mir auch überlegt aber die usb 3.0 Lan Adapter sind nicht die schnellsten....
Weiter habe ich ITX boarde nur mit Intel CPU gefunden die zwei LAN Anschlüsse haben.
Die Konfigurationen lagen bei 450 - 500 CHF.

Als Lowcost-Variante würde ich zB einen EdgeRoute

Nja mit dem UBNT USG bin ich nicht glücklich geworden.... sind die besser ? Wie werden die verwaltet auch über einen Controller? Oder ein WebGUI.

Was für ein Anschluss? Kabel oder DSL? Und wie schnell ist der Anschluss?

1x Ein Kabel Modem externe IP ist sichtbar.
Leitung 2 ist ein Swisscom ADSL Modem Router,der Port ist jedoch als DMZ konfiguriert.

Budget nja bei 500 CHF ca. 450€ beginnt die Schmerzgrenze....

 

[Raijin]

Das USG ist hardwaremäßig ein EdgeRouter-Lite, hat aber eine komplett andere GUI, eben den Unifi-Controller. Die EdgeRouter sind da eher die semiprofessionelle Schiene ohne UniFi dafür aber mit eigener GUI. USG würde ich eher in die Ecke der advanced Homerouter stecken, während die ERs durchaus auch einem IT-Admin gerecht werden können.

 

[Lawnmower]

Eine weitere Option wäre ein APU2 auf Basis der Firma PC Engines (CH Firma in Glattbrugg), da ist ein AMD Jaguar SOC verbaut https://pcengines.ch/apu2.htm
Mit allem drum und dran (RAM, mSATA, Gehäuse, Netzteil) bist bei 150 CHF. Und dann pfSense oder sowas draufhauen. Hatte sowas jahrelang im Einsatz, lief ohne Probleme (war aber zu lahm für 1 Gbit/s WAN)
Den Shuttle kriegst mit 4 GB RAM und 64 GB SSD auch für 300 - 350 CHF (mit dem Celeron, reicht völlig als Firewall + VPN Endpoint).
Bei beiden Systemen ist nix USB3 Adapter, alles direkt auf dem Board.

 

[Toby-ch]

Ich sehe die Tendenz geht zu PFsens bzw. Opensens.
Welche konfiguriert brauche ich da, CPU und Ram die Webseite ist ja da sehr sparsam:
1.6 GHZ Multi Core und 4 GB ram.
Ich tendiere zu einem i3 oder ist das bereits over Powert?
Wien kompatibel ist PFsens eigentlich gegenüber von Lan Karten:

Delock PCI-Express Netzwerkkarte, 1Gbps (PCI Express 2.0)

ASUS XG-C100C 10GB

edimax EN-9320TX-E: 10Gbps Netzwerkkarte

Ich tendiere zu einem Shuttle der Cube Serie:
Shuttle SH170R6

Shuttle SZ170R8

Wie funktioniert das ganze mit den update unter PFsens was ist der unterschieden Zwetschen PFsens. Und Opensens und welche ist besser? (Für mein Vorhaben )
Brauche ich beim Edge Router das UNMS™ (Ubiquiti® Network Management System) oder ist das nicht nötig, und ich kann alles über das WebGUI erledigen.

 

[Raijin]

UNMS ist nur zur Verwaltung größerer Bestände. Die EdgeRouter haben eine eigene GUI, wie jeder 08/15 Router auch.

pfSense und Co ist auf einem Mini-PC natürlich performanter als ein EdgeRouter. Beim normalen Routing, Firewall und dergleichen schlägt das im privaten Umfeld nicht zu Buche, aber bei VPN kann sich das natürlich mehr oder weniger stark auswirken. Ein EdgeRouter kommt zB mit OpenVPN so auf ~30 Mbit/s oder so und via IPsec irgendwo zwischen 60 und 100 Mbit/s. Allerdings ist die Hardware dann natürlich auch entsprechend günstiger als ein Setup mit pfSense und zB nem i3 wie du ihn dir wünschst..

 

[Lawnmower]

Wichtig ist wohl dass Intel NICs verbaut sind - mit Realtek scheints bei pfSense manchmal oder überhaupt Probleme zu geben (habs aber nicht getestet, hat aber mal jemand hier im Forum geschrieben).
i3 ist overpowered für ein bisschen Firewall, da reicht bereits eine Atom CPU. Falls eben noch VPN dazukommt ist eine CPU mit AES-NI wichtig - mit dem Celeron im Shuttle da sind problemlos ein paar 100 Mbit/s drin.
Hätte eigentlich alles hier (Anbindung 1 Gbit, im Büro auch), ich müsste mal testen wie schnell die Client Anbindung mit einem OpenVPN ist. Wenn ich mal die Zeit dazu finde...

 

[lodex]

Habe ich mir auch überlegt aber die usb 3.0 Lan Adapter sind nicht die schnellsten....
Weiter habe ich ITX boarde nur mit Intel CPU gefunden die zwei LAN Anschlüsse haben.
Die Konfigurationen lagen bei 450 - 500 CHF.

Es wird zwar Leute hier geben, die mich für diesen Kommentar gerne steinigen würden, aber ein LAN Port reicht im Prinzip vollkommen aus. Du kannst auf den LAN Port mehrere VLANs definieren und dann so viele Netze darauf legen, wie du möchtest. Funktioniert einwandfrei. Wenn du nicht gerade dauerhaft viel Traffic routen musst, gibt es hier auch keine Leistungseinbußen. Ein halbwegs aktueller NUC routet hier auch noch mit knapp 1GBit/s.

 

[Toby-ch]

Es wird zwar Leute hier geben, die mich für diesen Kommentar gerne steinigen würden, aber ein LAN Port reicht im Prinzip vollkommen aus. Du kannst auf den LAN Port mehrere VLANs definieren und dann so viele Netze darauf legen, wie du möchtest. Funktioniert einwandfrei.

Steinigen sicherlich, nicht aber eine Frage habe ich, wie stelle ich das an das sowohl LAN und WAN über den selben Anschluss laufen?
VPN frage:
Mental informiere ich über den EDgE Router, der ist sicherlich nicht schlecht..
Wie ist das bei OPEN VP kann ich da den kompletten Traffic über VPN laufen lassen und auf das Lan zugreifen.
Momentan nutze ich IPSec ich denke das gibt es für PFsens nicht ?

 

[lodex]

Der WAN Port ist dann eben auch ein virtueller mit eigener VLAN ID. Ein eventuelles Modem ist an den Switch angeschlossen, an dem das entsprechende VLAN im Access Mode ausgekoppelt wird.

Bzgl. VPN: Wie der Traffic geroutet wird, ist rein von der mitgegebenen Routing Tabelle abhängig. pfSense unterstützt OpenVPN und IPSec.

 

[Raijin]

Man kann durchaus mit einem einzigen LAN-Port und einigen VLANs routen. In der Regel bietet sich das an, wenn man ein Gerät, das lediglich über eine einzige LAN-Schnittstelle verfügt, als Router verwenden möchte - oder wenn rein baulich nur ein einzelner Uplink zum Router möglich ist und man eben nicht x Kabel für x Hardware-Schnittstellen nutzen kann. Bei viel Traffic zwischen den VLANs kann so ein Setup natürlich zum Flaschenhals werden, aber das wird im privaten Umfeld eher selten auffallen.

Wenn man aber eh Hardware anschafft, ist zumindest ein zweiter LAN-Port nicht das Problem. Das haben viele Geräte bereits ab Werk, sogar einige Mainstream-Mainboards für den PC.

Bezüglich VPN empfehle ich bei einem EdgeRouter IPsec, weil sich dies architekturbedingt besser auf externe Hardware* auslagern lässt (=Crypto-HW), während OpenVPN diesbezüglich komplexer ist und somit vorwiegend die CPU selbst belastet. Das führt eben dazu, dass IPsec auf einem ER mit 60-100 Mbit/s läuft, während OpenVPN eher bei <30 Mbit/s liegt. Darüber hinaus lässt sich IPsec komfortabel über die GUI einrichten, aber OpenVPN muss über die Kommandozeile eingerichtet werden. Auch das ist kein Beinbruch, aber es zeigt erneut die Präferenz für IPsec.

Was bei VPN wie wohin geroutet wird, entscheidet die Konfiguration. Primär natürlich die Routing-Tabelle, aber je nach Konfiguration des VPNs wird diese bei Verbindungsaufbau automatisch angepasst - zB das Standard-Gateway.


* Externe Hardware bezieht sich dabei auf extern aus Sicht der CPU, also einem zusätzlichen Chip auf demselben Board.

 

[Toby-ch]

So ich grabe den einmal wieder aus, ich habe mir einen Kompletten Router gekauft, den Punkt Dual WAN habe ich versenkt, funktioniert bei einem Modem dahinter zu 99% nicht.

Ich habe den gekauft: LANCOM 1781EW+

Sollte total schlecht sein wäre ich froh dies zu wissen dann geht er wieder zurück

 

[gaym0r]

Darf ich fragen warum du jetzt plötzlich 500€ für einen Lancom Router ausgibst? Das Ding ist sicherlich nicht komplett verkehrt, aber mit einem Selbstbau pfSense/OPNsense hättest du vermutlich ein besseres und zukunftsichereres System gehabt.

 

[Toby-ch]

@gaym0r
Nicht zukunft sicher? Warum also bis zu 5 Jahre Update erwarte ich für ein Profi Gerät.
Die HW kosten wären gleich hoch gewesen für einen Mini pc aus den USA Import...
Selbstbau = überzeugt sein und einmal einlesen etc. Wenn es nicht geht = 3Tage basteln etc.
Kann natürlich auch einen. Out of the Box Router killen aber da ist das Risiko gering