DIY Firewall - Ersatz für PC Engines

oder virtualisieren wenn sowieso was anderes läuft.

Zitat aus einem Post von Rogaahl

@COLOSSUS
Das Setup wird/ist komplett Overkill und ich werde das ganze bis auf bursts nie auslasten. Aber meinst du wirklich, dass es bei heutigen CPUs noch ein Problem darstellt? Oder gehts um Latenzen? Was ich so gesehen habe, unterstützen die meisten Karten auch gewisse offload tasks wie TSO, RSS und GRO. Ich habe allerdings keine Erfahrung damit und es würde mich interessieren, wenn du da mehr Insights hast.
Leider ist L3 absolut erforderlich, über SFP würde ich dann Switches dran hängen.

Bei den von mir gemeinten Offloading-Mechanismen geht es darum, die Frames (bzw. bei L3 halt Datagramme) aus dem Datapath nicht in den Hauptspeicher und von dort in die CPU des Hosts bringen zu muessen. Solche, die deiner 4-Port-NIC (oder dein "Smart" Switch mit 48 Ports) direkt erlauben, z. B. gewisse VLAN-(Routing-)Entscheidungen von sich aus zu treffen: "Wenn ein untagged Frame an Port 3 ankommt, dann kriegt das einen Tag mit VLAN ID 1337", oder "Port 7 ist Trunk Port fuer VLAN IDs 69, 420 und 1337" - dann wird das Frame entsprechend dieser Policies durch einen ASIC behandelt/veraendert/weitergeschupft, ohne dass die Host-CPU jemals eine Kopie der Daten des Frames gesehen hat. Daher kommt die hohe Geschwindigkeit von Switches, und deswegen kommt diese Hardware (die heute oft einfach ein x86 GNU/Linux PC fuer die Control Plane mit angeflanschtem programmierbarem Switch ist) mit vglw. wenig Strom und CPU-Leistung aus. In manchen Geraeten kann man auch komplexere Logik als das oben skizzierte Layer2-Zeug auf den "Switch"(/Router)-ASIC offloaden, mit entsprechenden Vor- und Nachteilen. Ein Nachteil ist z. B. dass du auf einer Linux-Box einen derart "rein in Hardware" abgewickelten Frame-Fluss nicht mehr mit den von netfilter angebotenen Funktionen beharken kannst, und auch sowas wie Traffic-Accounting/Statistiken auf dem Interface verlieren kannst.

Ich hab kuerzlich eine L2-transparente 10Gbps+ Wireguard-Appliance gebaut (und dem Steuerzahler damit sechsstellig Euro sparen geholfen ), und war ueberrascht davon, wie viel CPU-Performance bei diesen Paket- und damit Interrupt-Raten notwendig ist, wenn man die L2-Frames nicht einfach nur von Interface A nach Interface B bridgt. Wenn man es sich genauer ueberlegt, was alles zu tun ist, ist das aber irgendwo auch nur logisch

um dem thread noch etwas sinnvolles zum Thema hinzuzufügen, welche barebones im bereich 150€ sind aktuell empfehlenswert? hab über reddit den hier gefunden:
https://de.aliexpress.com/item/1005004822965821.html
oder der?
https://de.aliexpress.com/item/1005005593329224.html

ist der n100 was Effizienz/Stromverbrauch betrifft grad King oder besser einen anderen nehmen?
würde nur um die normalen opnsense Sachn gehen wie wireguard,pihole,traffic shapping, vielleicht reverse proxy, AV

ok, na ist eh ned wirklich aktuell bei mir nur weil ich letztens mal mit jemand gesprochen hatte und aktuell keine konkrete empfehlung geben konnte bzw. generell was router betrifft (auch openwrt). passt dann merk ich mir einfach topton n100.

willst daheim wirklich eine desktop cpu 24/7 rennen haben nur für die FW?

Außerdem gibts dazu irgendwelche Erfahrungswerte?... manchmal haben die china boards seltsame Einschränkungen was das BIOS betrifft usw. usf.

edit: der Lüfter schaut mir außerdem nach einem Blower aus, wolltest du ned was leises?

k das wusste ich ned mit den 5 und 10w das kommt mir arg wenig vor. Vor allem bei einem i9?

Lüfter tauschen ja schon, aber bei 1HE auch ned einfach was gscheites zu finden... ich bezweifle dass es bei einem blower mit runterregeln getan ist die funtkionieren ja mit statischem Druck der durch die hohe geschwindigkeit aufgebaut wird, im gegensatz zu axialen die vom luftdurchsatz leben

hast du irgendwelche reviews dazu gelesen oder kaufst du die Katze im Sack? tbh ich würd bei 800€ über aliexpress generell mal länger überlegen

edit: soll nicht zu negativ klingen, wenn alles aufgeht durchaus eine interessante Sache wie das performt usw.

Zitat aus einem Post von Viper780

Unter 20W idleness würde mich extrem wundern.
Sogar 50W wenn das Netzwerk aktiv ist und mit minimaler Last würde ich bei sowas für einen guten Wert halten.

Was hast du damit vor? Dank vlan tu ich mir schwer einen echten Vorteil von soviel Ports zusehen anstelle von einer kleineren Firewall und einem L2 switch

Ich meinte rein die CPU. Ich mache einfach komplett getrennte Netzwerke, wo ich strikte regelt, definiere, wer über was wohin darf.

Zitat aus einem Post von davebastard

hast du irgendwelche reviews dazu gelesen oder kaufst du die Katze im Sack? tbh ich würd bei 800€ über aliexpress generell mal länger überlegen

Ein bisschen habe ich inzwischen gelesen, viel findet man aber leider nicht. No risk no fun.

Habe ein Angebot für einen 8x 2,5 Ethernet und 8!x SFP+ gefunden um 324€ incl. Versand. Weniger als bei uns die meisten n100/305 kosten.. bzgl. ECC habe ich leider nichts gefunden.

https://www.alibaba.com/product-det...1220865801.html

Werde ich einmal bestellen.