OPNsense Hardware

[cardinal]

Mahlzeit Community,

ich möchte meinen USG mit einer OPNsense austauschen.
Ich bin mir bezüglich der Hardware jedoch nicht so sicher und hätte da gerne eure fachkundigen Meinungen zu

Kurz zu meinem Netzwerk:
Momentan 100/40 Internetverbindung, in ~2 Jahren soll wohl Gigabit kommen (voraussichtlich upgrade ich dann). Das Gerät möchte ich also mit dem Blick in die Zukunft kaufen, das heißt es sollte eine 1000/200 Verbindung schaffen.
Zusätzlich zur normalen Firewall/Routing Tätigkeit möchte ich Sensei und Suricata (IPS/IDS) laufen lassen. Ggf., mehr wenn alles läuft ;P

Ich habe es auf zwei Auswhlmöglichkeiten zur Hardware eingschränkt:

1. Shuttle DH410 (2x Intel NIC)
   • Pentium Gold G6400 - 58 TDP
   • 8GB Ram
   • 128 M.2
2. Gigabyte Brix BSi3-1115G4 (2x Intel NIC, 1 davon 2,5G)
   • i3-1115G4 - 28 TDP
   • 8GB Ram
   • 128M.2

Ram und M.2 fliegen noch bei mir rum und können in beiden Systemen verbaut werden. Ich tendiere eher zum Gigabyte-Build (sollte wohl auch stromsparender sein) bin mir aber nicht sicher ob beide Prozessoren eine Gigabit Leitung mit Sensei und Suricata packen.

Danke fürs lesen, ich würde mich über eure Meinungen freuen

 

[Lawnmower]

Problemlos - habe bei mir ein Celeron 3865U drin - der kommt nicht mal ins schwitzen mit 1 Gbit/s. Für VPN kann er AES-NI nativ.
Habe bei mir den Shuttle genommen weil der für 24/7 Betrieb bei Kassen und Anzeigemonitore ausgelegt ist (also wirds bei mir sowiso kein Problem sein), 2 Intel NICs drin hat (bei Realtek gabs zumindestens früher Probleme mit pfSense und Co), ein robustes Metallgehäuse verwendet wird und passiv gekühlt ist.

Denke für deinen Fall sollte es ein bisschen mehr als ein Celeron sein, der i3 im Brix sollte da aber gut reichen.

 

[cardinal]

Danke für die Info
Hast du bei dir Sensei und/oder Suricata aktiviert? Soweit ich das richtig gelesen habe soll das nicht unbedingt wenig Leistung fordern.

 

[Lawnmower]

Nein, habe ich nicht. Kann nur für die Erfahrung mit der nativen Firewall Leistung in Verbund mit 1 Gbit/s sprechen.

 

[PERKELE]

Ich nutze die OPNSense mit einem Pentium 4600G und 8 GB RAM, suricata und clamav sowie diverse Wireguard VPN Verbindungen, das Teil hat selbst bei starker Netzwerkauslastung (500 MBit/s down und 75 MBit/s Up) langeweile.

Lass dich von der TDP nicht abschrecken, messe bestenfalls direkt an der Steckdose den Verbrauch, meine FW hat rund 20 Watt im Idle und 35 Watt unter "Volllast" verbaut ist ebenfalls eine 120GB Sata SSD.

P.S.: Das Netzteil ist von BQ System Power mit 300W.

 

[leetxyz]

Wie sieht dein Budget aus?
Wie kommt dein Internet aktuell und in Zukunft rein? (Telefonkabel? Coaxkabel? Glasfaser/SFP?)

Ich habe hier eine IPU-662 und eine IPU-672 (von https://www.ipu-system.de/ im Einsatz (Gigabit, Site2Site-Wireguard, kein IPS-/IDS). Haben mit einer 120er SSD und 8GB RAM problemlos genügend Performance.

 

[cardinal]

@leetxyz
~400€ so darum, denke ich. Mehr sollte es nicht werden.

Laut PassMark soll der 1115G4 wohl "besser" sein:
i3-1115G4
G6400

Irgendwie kommt mir das aber komisch vor. Die Hardware von Protectli setzt ebenfalls auf "sparsame" U-Varianten der letzten Intel-Generationen.

 

[brot123]

Ich klinke mich hier mal ein, ich habe aktuell noch eine Dream Machine Pro, aber irgendwie wirkt die unausgereift. Das war für mich ein Fehlkauf. Aktuell würde ich gerne die verkaufen und mir eine Unvr holen damit ich meine Unifi Kameras weiter betreiben kann. Wir bekommen auch Glasfaser in 2 Monaten

Nun stellt sich die Frage, ist OPNsense stabil und "relativ" einfach zu bedienen. Ich bin ehrlich, hab keine Lust ne ganze Woche mit nem Netzwerk einrichten zu verbringen.
Anderherum soll es auch keine Fritte mehr geben. Gäb es sonst noch Alternativen?

Euch nen schönen Sonntag

 

[Raijin]

Nun stellt sich die Frage, ist OPNsense stabil und "relativ" einfach zu bedienen. Ich bin ehrlich, hab keine Lust ne ganze Woche mit nem Netzwerk einrichten zu verbringen.
Anderherum soll es auch keine Fritte mehr geben. Gäb es sonst noch Alternativen?

Das liegt im Auge des Betrachters. OPNsense ist ein Firewall-OS, das funktionell so ziemlich alles abdeckt was es in der Themenwelt Netzwerke gibt. Stabil ist es, keine Frage, aber durch den schieren Funktionsumfang wird auch ein gewisses KnowHow vorausgesetzt. "Einfach zu bedienen" ist es ebenfalls, wenn man weiß was man wie bedienen kann/soll/muss. Fehlt dieses Wissen, wird es schwierig, weil man auch viel kaputtkonfigurieren kann. Einmal das falsche Tutorial nachgeklickt und schon hat man sich aus der Kiste ausgesperrt.

Alternativen zu OPNsense sind natürlich die ursprüngliche Basis pfSense, aber auch Sophos UTM, IPFire, oder OpenWRT und DD-WRT. Wenn dir aber der Aufwand für solch ein System zu hoch ist, dann bist du mit einem 08/15 Consumer-Router besser beraten, da dieser alles vollautomatisch mit Wizards erledigt, ohne dass du dich mit der Zu-Fuß-Konfiguration einer Firewall beschäftigen musst.

 

[brot123]

Ich glaube ich werd das mal auf meinen Nuc testen um zu sehen ob ich das hinbekomme. Danke schonmal