Mastodawn

So, gestern noch den OPNsense Fehler wegbekommen, dass keine Pakete akzeptiert wurden übers WAN Interface. Notiz an mich: Nicht zwei Stunden debuggen, sondern einfach mal neustarten.

Die Lösung ist trotzdem kacke so. Der mPCIe Intel I220 Adapter, den ich beim NUC nutzen wollte anstatt der WiFi-Karte, funktioniert nicht, weil der Slot da wohl nur WiFi akzeptiert.

Dh. ich hab jetzt RealTek internal NIC für LAN und USB RealTek NIC für WAN, was so die bescheuertste Kombi ist für OPNsense...
Router-on-a-Stick will ich nicht machen, ich hätte das schon gerne physisch separiert.

Irgendjemand eine Idee für nen:
- MiniPC / dedicated FW Kram
- der Suricata schafft im IPS mode
- bei Peak 1G WAN (8C/8GB RAM wahrscheinlich), LAN reicht 2.5G
- Bonuspunkte für SATA SSD Port, wenig Leistungsaufnahme (<=15W) und bezahlbar ~200-300€

❓

Alternativen bisher:
- Komische Chinarechner mit zweifelhafter Firmwareunterstütztung und keine Ahnung was da an Power ausreicht (N350?)
- Lenovo m720q (220€) mit PCIe Riser (20€) und Intel PCIe NIC (55€) (295€ total)

#opnsense #homelab #homenetworking

Show thread

Jens 1d ago

@helpsterTee

N150 genügt da meistens schon, kann auch ein N350er sein aber mit RAM und SSD wirds ja gerade teuer. Da die meisten Boxen am Ende aus Taiwan oder China kommen, kann man "komische Kleinhersteller aus China" zwar meiden, aber größere wie Hunnsn und Co sind längst "normal" in dem Game und können durchaus auch positiv raus stechen in Punkto UEFI Updates. Und die Kisten haben dann auch gern 2.5er Intel NICs verbaut. Da gibts einige positive Mentions im Forum bspw. :)

Show thread

Jens 1d ago

@helpsterTee

Größere Namen wie Beelink oder Hunnsn machen da aktuell einiges an Boden gut. Und selbst größere Label wie Thomas Krenn haben Boxen im Angebot die eigentlich gelabelte Chinesen sind.

Aber: gute Alternative sind bspw. gebrauchte Sophos Kisten wie bspw. SG135 Rev 3. Wichtig ist die Rev3 wegen CPU und Co. Die SG135 r3 bspw hat einen Atom C3558 der QAT kann und dicke für Gigabit geroutet ausreicht. Und die gebrauchten Sophos Brickets kann man oft auch recht günstig schießen :)

Show thread

Jens 1d ago

@helpsterTee
IPS mit Gigabit wird aber teuer zu erkaufen mit CPU Performance, da würde ich sehr abraten das einfach aufs WAN zu klatschen oder so. Blocklisten, DNS BLs und Co erstmal von außen, Rest höchstens ausgehend von innen und nur selektiv was man ggf will. Dann sieht die Performance viel entspannter aus und man braucht nicht gleich ne 8c/8GB Riesenkiste mit GHz ohne Ende um die ganzen Entities bei jedem Paket durchzunudeln. :)

Show thread

helpsterTee 1d ago

@JeGr danke für den umfangreichen Zusammenschrieb :)

Jo genau, geht mir bei IPS um kompromittierte Endgeräte / residential proxies, hätte das eh nur auf outgoing gemacht und DNS blocking ist schon auf paranoid eingestellt.

Wenn dafür ein N150 reicht dann schau ich mal, die großen Hersteller hab ich schon gesehen, aber da war die Auswahl etwas erschlagend 😁