Router (ohne WLAN) fürs Haus

[Jasmin83]

Hi leute,

ich frage jetzt einfach mal hier die Experten, weil ich selber zu keine Entscheidung komme.

Ich suche mal wieder einen neuen Router für mein zu Hause, da ich mit dem jetzigen nicht ganz zufrieden bin.
Aktuell sieht es folgendermaßen aus. Ich habe einen ER-X als Router hinter einem TC4400 Vodafone Gigabitanschluss mit Dual Stack. An dem Router hängen zwei Switches um zahlreiche Doppeldosen hier zu versorgen, sowie ein NAS, div. Airplay Geräte und einiges an Endgeräten.
In allen 3 Stockwerken hängt für WLAN ein AP von Linksys/Belkin LAPAC 2600-C für WLAN. Die Geräte sollen auch bald gegen Wifi6/ E Geräte getauscht werden, aber zu erst möchte ich das Routerproblem lösen.

Also ich benötige einen performanteren Router, ohne WLAN, der ER-X ist ständig an seiner Leistungsgrenze, wenn ich was mit voller Geschwindigkeit aus dem Internet ziehe, außerdem funktioniert das Airplay teilweise gar nicht und ich denke das liegt am Router.

Bereits verwendet hatte ich den Linksys LRT214, bei dem hat IPv6 genau gar nicht richtig funktioniert, jedoch lief Airplay deutlich stabiler und der konnte IPSec Tunnel verwalten, was beim ER-X gar nicht so einfach ist und der RPi als VPN Server auch eher schlecht als recht läuft, das möchte ich auch lieber wieder im Router haben.

Daher ist gesucht: Ein Router, ohne WLAN, mit mehreren (10 reichen schon) IPSec Tunneln, es darf gerne was abseits des Consumerbereichs sein, er sollte stabil laufen, einen leistungsfähigen Prozessor haben und die Gigabit durch die Firewall zulassen können. (Der LRT hatte 900mbit geschafft, ER-X musste erstmal per Console "aufgebohrt" werden, das man an den Bereich kommt).

Ich hab mich natürlich auch schon informiert und mich mal umgeschaut und bin da auf den Cisco RV160 VPN gekommen (ist leider seit 2021 EOS und wird 2026 EOL), evtl. der ER-6P (mit der ER Software kam ich gut aus) oder auch was anderes. Leider gibt der Geizhalsfilter nicht viel her, weil dort nicht bei allen, alle Features gelistet sind.

Perspektivisch, sofern es nicht in annehmbarer Zeit erschwingliche 6E APs gibt, kommt als neuer AP der Unifi U6-Pro bzw LR als Ersatz für die LAPAC2600C. Meine WLAN Geräte haben inwzsichen fast alle Wifi6, weshalb ich da dann bei Gelegenheit auch aufrüsten möchte.

Danke schonmal für die Tipps, sorry für den langen Text, ich hoffe ich hab nichts wichtiges vergessen und bin auf eure Vorschläge gespannt.


-Jasmin

 

[madmax2010]

ich loesche nun alles was ich hier schrieb und sage der da:
https://mikrotik.com/product/rb4011igs_rm#fndtn-testresults
Sollte die naecshten Jahre reichen, kostet wenig und sogar 1 10g Port

 

[kamanu]

Wie tief möchtest du in die Materie einsteigen? Und vor allem wie viel Geld bist du bereit auszugeben?
Finde die OPNSense Boxen durchaus ganz interessant. Kann man natürlich auch auf eigener Hardware laufen lassen, wenn man noch was rumliegen hat.

 

[Jasmin83]

@madmax2010
oh cool, ja Mikrotic stand auf meiner Liste, aber der GH Filter ist halt im Router Bereich nur halb brauchbar und der wäre ja sogar auch Preislich innerhalb meiner Schmerzgrenze. Die Testresults sahen auf dem ersten Blick auch ansprechend aus

 

[madmax2010]

Mikrotik Produkte sind absolut nice, aber ich bekomme immer schlechte Laune wenn ich eins suchen muss.. Diese namen. Diese Filter auf der Website. "Ne, danke, wir verkaufen auch so genug" - Da ist ja selbst cisco intuitiver, ey..
(ja, ich weiss, dass es ein leicht zu merkendes Dokument zum Thema Produktbenennung gibt
https://wiki.mikrotik.com/wiki/Manual:Product_Naming - ich weigere mich, dass auswendg zu lernen und mecker lieber)

 

[Jasmin83]

@kamanu
Das hatte ich bewusst erstmal offen gelassen, wobei 700€ doch ein wenig zu viel des Guten wären. Ich sag mal so, wenn es gut ist darf es gern mal kosten, wenn es dafür auch einen passenden Mehrwert für mich liefert. Viel mehr als 300€ müsste ich mir aber dann noch genau überlegen, ob es dann noch sinnvoll ist.

Ergänzung (2. August 2022)

@madmax2010

Genau das, wenn da nicht jemand ist, der sich ein bißchen auskennt mit deren Produkten und vielleicht was gutes im Einsatz hat oder damit arbeitet, ist es schwer was brauchbares zu finden, von Mikrotik hab ich auch viel gutes gehört und semiprofessionelle Geräte bzw Small Business Geräte sind mir am Ende auch lieber als reines Consumer zeugs, das dann doch hier und da beschränkt ist.

 

[Hannibal Smith]

@madmax2010

Hätte sogar den hier empfohlen
https://mikrotik.com/product/rb5009ug_s_in#fndtn-specifications
Preislich gleich, dafür mit Marvel ASIC und 7,5G Durchsatz bei 25 IP Filtern.
L3 HW Offload (also Routing via ASIC) gibts wohl erst bei preislich höheren.
Hier ist aber auch zu beachten, dass L3 HW Offload aktuell auch nur IPv4 unicast beinhaltet. Alles andere ist wie bisher rein via CPU

Im Support & Download Bereich gibts immer ganz praktische Blockdiagramme bzgl. der Anbindung der Ports an ASIC & CPU

 

[madmax2010]

hier stand mist

 

[Hannibal Smith]

Edit: der von @madmax2010 genannte hat wohl IPSec HW Offload, weiß gerade nicht ob das viel bringt/ausmacht, dafür sind jeweils 5 1G Ports nur mit 2,5G an die CPU angebunden

 

[Jasmin83]

Ich versuch gleich mal eine vergleichsliste zu machen. Die sehen bisher jedenfalls auf den ersten Blick genau danach aus, was ich in etwa brauche/suche.

 

[madmax2010]

ok, dann stand oben doch kein mist
Dachte ich habe da doch was gefunden und v ersuchte zu verstehen was du mit L3 offloading meinst (weil, ipsec ist ja auch layer 3 und ipsec ist ja irgendwie schon unicast - kann also schon irgendwie gemeint sein)
Aber ja, scheint keins zu haben.
Kann aber auch teil des SoC sein. Bei Via gab es beispielsweise Padlock. Das hat mal eben 1Gbit/s AES gemacht, als ein intel CPU kaum 2 Mbits schaffte. Aber da sehe ich nichts zu in der Doku.

 

[Hannibal Smith]

L3 Offloading hätte der hier z.b um mal zu übertreiben, also einen ASIC der sich ums Routing kümmert
https://mikrotik.com/product/ccr2216_1g_12xs_2xq
Aber wie gesagt aktuell nur sehr rudimentär und wohl bisher auch nur in dem Gerät.
Mal schaun wann IPv4 Multicast und v6 allgemein in L3 kommen

Ergänzung (2. August 2022)

Mal schaun ob ich nen IPSec test finde

Okay also das finde ich in den Release Notes für Router OS 7.1
support for Layer 3 hardware acceleration on all CRS3xx devices;
wobei das gerade OT wird.

Habe eben mal nachgeschaut und nen Thread gefunden, laut dem das RB5009 wohl noch kein IPSec in HW kann, war aber ursprünglich in ROS 7.1rc3 hinzugefügt.
Also wäre der MikroTik von ganz oben wohl doch die bessere Wahl

 

[Jasmin83]

Danke für die Einschätzung, ab einem gewissen Punkt bin ich bei eurem Fachgespräch ausgestiegen
Jedenfalls um diese Uhrzeit. Ich guck mir den o.g. Mikrotik von @madmax2010 morgen mal genauer an und dann wird es das Projekt für nach dem Urlaub

 

[Hannibal Smith]

Dann hast du das wichtigste mitgenommen. Sry bin etwas OT geworden.

 

[Jasmin83]

Ich danke euch für die Ausführungen, jetzt warte ich nur noch auf die Verfügbarkeit von dem RouterBoard und werds mir dann holen.
@madmax2010
@Hannibal Smith

 

[Bob.Dig]

@Jasmin83 Und die zig IPSec-Tunnel müssen sein?

 

[Jasmin83]

naja 10 wären schon geschickt, auch wenn erstmal 3-5 reichen würden. 1 wäre in jedem Falle zu wenig, soviel steht fest und bei zwei hab ich keine Reserve mehr.

Ich nutz z.b. gern auch mal Wifi Call im Ausland über VPN und bin gleichzeitig mit dem Laptop verbunden.

 

[Bob.Dig]

Für VPNs kann man aber auch Wireguard nutzen... ich selbst mag die pfSense, aber "Bastellust" betreffend eines Routers sollte damit schon vorhanden sein. IPsec nutze ich gar nicht, kann daher auch nichts dazu sagen.

 

[Jasmin83]

Problem ist, ich hab nicht ständig zeit mich darum zu kümmern, das es läuft, es muss erstmal OOB laufen. Wenn ich ständig basteln wollen würde, behalte ich mein ER-X bzw was stärkeres in der Richtung und lass VPN auf dem RPi laufen. Ich krieg dann halt das kotzen, wenn ich unterwegs bin und irgendwas ausfällt, also der RPi abkackt oder der Router ärger macht und ich dann von außen nicht drauf komme. Das war beim LRT sehr angenehm, ist mit dem jetzigen Setup halt oft einfach nur noch nervig.

Außerdem kann ich IPsec direkt am iPhone und Mac einrichten, ohne zusätzprogramme und es läuft dann auch einfach.

 

[Raijin]

Ja, der ER-X kann leider nur 1 Gbit/s kombiniert routen, also Up+Down. Im Regelfall merkt man davon nicht viel, aber wenn man wirklich 100%ige Gigabit-Performance erwartet und auch nur ein paar wenige byte/s in die jeweils andere Richtung fließen, geht das natürlich von der kombinierten Bandbreite ab und man bekommt keine vollen 1 Gbit/s mehr.

Die konsequente Alternative wäre der ER-4, der da deutlich performanter ist. Problem: Wie so ziemlich alles von Ubiquiti ist dieser aktuell nur schwierig zu bekommen. Aber du kennst dich bereits mit der GUI aus und könntest sogar die Konfiguration portieren (zuvor muss man nur die Ports in der Datei anpassen).

MikroTik ist immer eine gute Alternative, weil man auch da fortgeschrittene Router zum günstigen Preis bekommt. Ich persönlich mag jedoch die GUI nicht, aber das ist Ansichts- und Gewohnheitssache.

Mit pfSense, OPNsense oder anderen Firewall-OS auf entsprechender Hardware geht's natürlich auch. Dabei kommt es einzig und allein darauf an auf welcher Hardware (oder ggfs VM-Host) man das laufen lässt. Von einem Billig-Mini-PC (zB im mini-ITX-Format) bis hin zur dicken Kiste mit allerhand Performance für zB 10 Gbit/s ist alles drin.
Protecli bietet beispielsweise diverse Modelle an, die direkt mit OPNsense ausgeliefert werden. Zugegeben, nicht ganz günstig, da man baugleiche Geräte bei ebay und Co günstiger bekommt, aber das soll auch nur als Beispiel dienen.


1 Gbit/s routen ist auch gar nicht mal so das Problem (mal von der Kombi-Geschichte des ER-X abgesehen). Schwierig wird es dann, wenn man erweiterte Funktionen wie zB DPI einschaltet. Dabei guckt sich der Router effektiv jedes Paket im Detail an, daher der Name Deep Packet Inspection, DPI. Sowas schluckt viel Performance und erfordert entsprechend fähige Hardware.