USG Austausch auf OPNsense

[Chuck Norris123]

Hallo,

ich hätte eine Frage, bei der mir hier sicher jemand weiterhelfen kann.
Ich habe einen alten HP Prodesk-Mini-PC mit Core-i5 Gen 7, 512GM SSD und 16GB RAM rumliegen und spiele mit dem Gedanken, meine USG gegen eine auf diesem Rechner installierte OPNsense Firewall auszutauschen.
Zuerst wollte ich mir eigentlich was stromsparenderes bauen, aber das wäre teurer, als gleich eine Protectli Vault Kiste zu kaufen...

Würde das prinzipiell Sinn ergeben, da ich ja die HW bereits hätte und der PC für diese Aufgabe sicherlich ausreichend ist?
Und vor allem welche USB auf Ethernet-Adapter bieten sich da an, da der Mini-PC nur einen Ethernet-Port hat...

Aktuell läuft die USG mit einer fixen WAN-IP im Netz von Magenta Austria.

Dann wollte ich noch wissen, ob es möglich wäre, auf der Kiste dann zusätzlich gleich eine 3CX-Telefonanalge zu betreiben/hosten? - Aktuell läuft diese auf einem Raspberry Pi 4, wobei hier ja vor wenigen Tagen der Support aufgekündigt wurde.
Wäre das möglich diese beiden Systeme auf einem PC parallel laufen zu haben, oder macht das eigentlich keinen Sinn bzw. würde das nicht funktionieren?

Vielleicht hat jemand von euch sowas schon mal gemacht bzw. Erfahrung dazu.
Danke jedenfalls für eure Hilfe im Voraus.

Fg
Chuck

 

[foo_1337]

Mit der HW ist das kein Problem. Der RAM ist auch ausreichend um via bhyve eine VM für 3cx zu betreiben. Das musst du jedoch manuell auf der Shell machen, die Opnsense GUI sieht keine Virtualisierung vor.
Alternativ kannst du auch z.B. Proxmox als Hypervisor nutzen und sowohl Opnsense wie auch 3cx als VM betreiben.

 

[F31v3l]

Kannst doch OPNsense und die Telefonanlage als VM laufen lassen, z.B. über Proxmox als Host.

Rein technisch müsste das sogar mit einem NIC mit VLANs funktionieren.
Alternativ eine entsprechenden USB-LAN-Adapter. Entweder mit Ax88179 oder RTL8153.

 

[madmax2010]

hast du darin in irgend einer Form PCIe? Waere zur Nutzung eienr Netzwerkkarte schon besser..
Bei den USB adaptern: Nimm den der gerade am billigsten ist. Das ist alles keine schwarze Magie mehr, wenn es nicht gerade 10g sein soll

 

[FartyMcFly]

Ich habe vor kurzem den selben Umstieg von USG auf OPNsense gemacht (Protectli). Allerdings habe ich keine Telefonanlage.
Auf jeden Fall ist es möglich einen Hypervisor zu installieren und dann zwei virtuelle Maschinen laufen zu lassen.
Achtung, es gibt wohl Netzwerkkarten (mit Realtek Chip) die Probleme machen können (fehlender Hardware offload).

Details dazu kannst du z.B hier bei Youtube bekommen, das ist gut für den Einstieg.

 

[Chuck Norris123]

Hallo,

für mich stellt sich dann aber noch eine Frage:

Die Telefonanlage müsste ja eigentlich hinter der Firewall stehen, damit sie auch entsprechend geschützt ist.

Wenn ich dies also mit 2 VMs realisieren würde, benötige ich dann 2 oder 3 LAN-Ports? -
Einmal für WAN ist klar, einmal für LAN in mein Netzwerk, da darüber ja das DHCP, Port-Forwarding usw. laufen soll und einen von LAN an meine virtuelle Telefonanlage, damit diese tatsächlich separiert ist?
Oder kann ich dann einen LAN-Anschluss sozusagen zwischen beiden teilen, wobei ein Teil der Uplink für das gesamte System ins Internet und der andere der Uplink von der Telefonanlage ins System und dann ins Inet ist?

Ich hoffe ich konnte halbwegs ausdrücken, was ich meine und bedanke mich für eure Antworten.

Fg
Chuck

 

[foo_1337]

In dem Fall würdest du den LAN Port "teilen" (Bridge). Der WAN Port wird natürlich ausschließlich der opnsense zugewiesen.
Du kannst aber die TK Anlage auch komplett separieren, ein eigenes RFC1918 dafür nutzen und die Zugriffe aus dem LAN auch durch die opnsense routen. Dafür benötigst du dann gar keinen physikalischen Port für die 3cx.

 

[Chuck Norris123]

Ok, damit werde ich mich dann mal beschäftigen müssen. ^^

Das bedeutet aber so viel, dass ich der VM für die 3CX eine fixe IP vergebe und die internen Telefone usw dann über die OPNSense darauf route?
Also die 3CX hat dann keine hardware-mäßige Schnittstelle, sondern ihr wird das sozusagen nur vorgespielt?

Danke für eure Hilfe inzwischen, wenn ich das soweit in Gang habe, könnte ich ja hier etwas dazu schreiben, wie es gelaufen ist und was eher tricky war.

Fg
Chuck

 

[foo_1337]

Jep, du hast dann quasi einen virtuellen Switch auf dem Hypervisor

 

[worldoak]

Windows 10 pro kann die 2x VMs hosten.
1x die Firewall
1x die 3CX

Ich würde aber einen PC nehmen mit Intel Karten. Damit hat man nie Probleme und intern zwischen VM1 und VM2 machst du ein internes Netz mit dem HyperV.

 

[M-X]

Von USB LAN Karten würde ich abstand nehmen, die machen bei OPNsense oft probleme wenn etwas last drauf kommt. Auch würde ich OPNsense selber nicht als VM host nutzen. Lieber OPNsense als VM auf einem Proxmox oder XCP-NG host.

 

[h00bi]

Da es ja ein komplettes frisches system ist und du die alten Hosts ja noch zur Verfügung hast, ist proxmox hier sicher eine gute Alternative, auch wenn du damit noch keine Erfahrung haben solltest.

Um eine Backup Lösung solltest du dir dann noch Gedanken machen wenn mehrere VMs drauf laufen. Also sowohl proxmox Backup als auch evtl. einen 0815 Ersatzrouter/Ersatzhost bei Hardwareausfall.

Was für einen Internetanschluss hast du bei Magenta Austria? VDSL Business?

 

[WhiteHelix]

Proxmox kann ich auch nur empfehlen, hab ich bei mir vor kurzem ähnlich umgesetzt. Auch ein i5 7.Gen mit 16GB RAM, darauf OPNsense (zum spielen auch noch ne Sophos XG Home) und Home Assistant. Formfaktor-Bedingt konnte ich allerdings nur auf eine USB-NIC setzen, da habe ich eine mit AX88772A genommen, läuft unter OPNsense absolut problemlos.

Der 3CX verpasst du wie schon geschrieben wurde einfach ne virtuelle NIC, die würde ich je nach Endgeräte-Anzahl nicht mal unbedingt separieren. Wenn das ganze vorher auf nem Raspi lief, kann da ja eigentlich nicht viel drauf sein. Das haben wir auch erst gemacht wenn entweder die IT Lust drauf hatte, oder wir entsprechend viele Geräte hatten. Für ne Hand voll macht das eher weniger Sinn, generiert nur mehr Aufwand. Ich geh eh mal davon aus das wir von Zuhause sprechen? Wobei ich da selbst bei Small Business schauen würde, wenn du die 3CX in ein VLAN packst müssen das auch die Switche etc. wieder können.

 

[Chuck Norris123]

Hallo,

nachdem ich nun mal ein wenig Zeit hatte, wollte ich das Thema endlich mal angehen.
Ich habe die Firewall nun direkt auf einen HP ProDesk 600 G3 Mini installiert, da ich für die anderen Probleme eine Synology NAS anschaffen werde. (Entweder die DS920+ oder ich warte ob da noch was neues kommt mit 4 Bays.)
Darauf kann dann die 3CX und ein Unifi-Controller laufen, dann braucht die Firewall nur Firewall sein und gut ist.
Ein Problem habe ich aber, wobei ich nicht weis ob ich das so easy in den Griff kriege:
Für die Erstkonfiguration habe ich nun mal die Opnsense mit dem integrierten Ethernet-Controller in mein normales Netzwerk gehängt. Dieser ist als WAN konfiguriert und scheint tadellos zu funktionieren.
Als LAN habe ich einen Ugreen USB-LAN-Adapter verwendet, wobei dieser immer nur kurz nach einem Reboot funktioniert bzw. am Bildschirm alle paar Sekunden den Status zwischen Up und Down wechselt.
Würde das soviel bedeuten, als das der nicht kompatibel ist, oder kann ich das irgendwie lösen?

Wenn er nicht kompatibel wäre, ist mir aufgefallen, das der Prodesk eine integrierte M.2 WLAN-Karte hat. Gibt es dafür eventuell einen funktionierenden LAN-Adapter welchen ich anstelle dieser montieren könnte?
Oder wäre es einfacher z.B. den AX88772A (Wobei ich da keinen genauen bzw. nur einen FastEthernet-Adapter finde?!) wie von WhiteHelix beschrieben zu nehmen?

Danke für eure Hilfe dazu.

Fg

 

[foo_1337]

Welcher Chipsatz ist das? Also wie heißt das Interface (daraus ist dann der Chipsatz ersichtlich)?

 

[Chuck Norris123]

Hallo,

ich habe das jetzt mal an und wieder abgesteckt und ich denke der Fehler liegt damit auf der Hand.
Der Adapter verwendet den ASIX AX88179A, welcher anscheinend nicht mit OpnSense funktioniert.
Hätte jemand vielleicht eine Empfehlung zu einem Adapter der tatsächlich läuft?
Das mit dem M.2 kann ich wahrscheinlich vergessen, da die Bestands-WLAN Karte eine A+E Key hat und ich weder mit A+E noch mit E-Key was passendes finde, das nicht auf Realtek basiert. (Oder extrem billig als no Brand aus China kommt.) - Was ja anscheinend auch problematisch ist?

Fg

 

[WhiteHelix]

Also der AX88772 läuft bei mir problemlos. Schwierigkeiten hatte ich nur mit nem Realtek USB Adapter, da hatte ich auch andauernd Ausfälle am WAN. So ca. alle 5 Minuten

 

[b1nb4sh]

@WhiteHelix
Habe diesen hier im Einsatz. Für mich war das Alugehäuse wichtig, da der alte AX88772 so warm wurde und immer wieder mal einen Reset auslöste.
Ansonsten funktioniert der USB-Ethernet Adapter ohne Probleme unter OpnSense als VM.

 

[Chuck Norris123]

Hallo, genau der neue UGREEN mit USB 3 ist es aber, der bei mir leider nicht funktioniert. Ich habe mir jetzt den von UGREEN mit dem AX88772 bestellt und probiere den mal.
Vielleicht läuft der ja zumindest 99% stabil.

Fg

 

[M-X]

Ich will ja nicht sagen ich habs gesagt, aber ich habs halt gesagt. Wenn du eh alles neu gemacht hast, warum auf Krüppellösungen wie USB Ethernet setzen ?