מעבר (אולי) ל pfSense

PCingAddict · שליחה #1 09/08/2022 15:17

נפלו לידי שני מחשבים קטנים (i3, 4 RAM), חשבתי להשמיש אחד מהם כראוטר pfSense.
היום אני עם dd-wrt על 1900ACS, מחובר לקו 1g סימטרי, מותקן openvpn על שרת (מחשב נפרד) לצורך גלישה דרך הבית כשצריך.

כדאי? סתם אוברקיל? יש יתרונות מובהקים למעבר ל pfSense או שהראוטרים הטובים היום (נניח ואשדרג) נותנים מענה?
הבנתי שלא ניתן להתקין כ docker וכנראה שלא אוכל להתקין שום דבר בנוסף, כלומר - המחשב יהיה אך ורק ראוטר ולא מעבר. נכון?

תודה לעוזרים

eizen5 · שליחה #2 09/08/2022 15:46

נמחק.

sigamore · שליחה #3 09/08/2022 16:24

09/08/2022 15:17
PCingAddict כתב: נפלו לידי שני מחשבים קטנים (i3, 4 RAM), חשבתי להשמיש אחד מהם כראוטר pfSense.
היום אני עם dd-wrt על 1900ACS, מחובר לקו 1g סימטרי, מותקן openvpn על שרת (מחשב נפרד) לצורך גלישה דרך הבית כשצריך.

כדאי? סתם אוברקיל? יש יתרונות מובהקים למעבר ל pfSense או שהראוטרים הטובים היום (נניח ואשדרג) נותנים מענה?
הבנתי שלא ניתן להתקין כ docker וכנראה שלא אוכל להתקין שום דבר בנוסף, כלומר - המחשב יהיה אך ורק ראוטר ולא מעבר. נכון?

תודה לעוזרים
...

ממליץ בחום

אני עם נתב כזה מזה 5 שנים (DIY - מבוסס AMD בהשקעה של כ 800 שקל אם אני לא טועה ) שלדעתי מעולם לא עלה מעבר להילוך שני

מריץ 3 חיבורי VPN ועוד שלל תופינים וכאמור העסק עף!
המינוס היחידי הוא מן הסתם עלות החשמל (במקרה שלי PSU צנוע ביותר) -- לי אישית זה לא ממש מזיז אבל כמובן לשיקולך.
שני דגשים אם תחליט ללכת על הפרוייקט -
--- תשקיע בכרטיס רשת טוב (מבוסס אינטל כמובן) רצוי 4 פורטים (על כל הרחבה שלא תבוא...) - נשמע יקר ? כרטיסים כאלו נמכרים לפי "משקל" ב eBay

--- אל תשבור את הראש עם נושאי WiFi ברמת נתב ה pfSense ! נתב -> סוויצ' -> AP ... וזהו ..

zovirax · שליחה #4 09/08/2022 17:18

גם אני עם pfsense כבר שנים.
יתרונות:
pfBlocker
Dynamic DNS
Telegraf לאפשר לסטטיסטיקה ב Grafana
Wake-on-lan
iperf

כל מה שתרצה עם package manager

naorbh · שליחה #5 09/08/2022 18:41

מומלץ מאוד
אבל כמו שנאמר מדובר בראוטר שהוא יותר firewall, אין לו יכולות WIFI וגם אם תקנה איזה מודול זה לא יעבוד טוב, אז צריך AP חיצוני שיחובר אליו
אם אין לך סוויץ מנוהל אז אתה צריך שני כרטיסי רשת פיזיים במחשב, אחד לLAN אחד לWAN
ומהLAN סוויץ כלשהו או ראוטר שתהפוך לAP ואז תחבר את שאר המכשירים אליו בכבלים.

מבחינת התקנה זה או על מחשב ייעודי לו, או שאפשר על VM אבל זה למתקדמים יותר, אם יש לך ידע וכוח לנסות לך על זה.
מבחינת משאבים הוא לא חזיר וגם מחשב "חלש" יעבוד אחלה.
ממליץ מאוד על wireguard בשביל "VPN" לרשת

PCingAddict · שליחה #6 09/08/2022 20:20

תודה!
גם היום אני עם ap נפרד ל WiFi, לא משתמש בזה של הראוטר.
חשבתי לקנו
כרטיס 2.5g עם 2 יציאות או יותר. באמת ראיתי המון ב eBay.
יש המלצות למשהו ספציפי? אני צריך low profile.

MrYair · שליחה #7 09/08/2022 21:24

היה לי PFSENSE 12 שנה
פיירוול פשוט פצצה,וניסיתי גם אחרים כמו מיקרוטיק סופוס וכ''ו.
בסוף נשארתי עם PFSENSE.

ה PFSENSE לא יודע לעבוד עם כרטיסי WIFI למיניהם
אז אתה חייב איזה AP וסוויטץ',אם יש לך מקום וארון תקשורת
זה אחלה של פתרון.

מישהו שאני מכיר ביקש שאני יעזור לו להרים PFSENSE לעסק.
כי לקנות פיירוול קנייני כמו פורטיגייט ביחד עם רישוי מגיע לאלפי שקלים.
הלך הביא שרת פיצה DELL יחסית חדש שמתי כרטיס רשת SFP
כרטיס רשת RJ45 התקנתי PFSENSE על רייד 5 שהיה לשרת
וואלה קו סימטרי של 500 ובערך 70-80 חיבורי STS השרת לא מצליח לעבור
את ה 10-15 אחוז עבודה של מעבד תחת עומס.
ויש עוד כי 10 משתמשי VPN שמתחברים לשרת.

יש מלא תוספים שאפשר להוריד ולהגדיר
המומלצים זה PFBLOCKER SURICATA רק בישביל להגדיר את SURICATA
צריך לדעת אחרת אהת עלול לנעול את העצמך בחוץ

silverbullet · שליחה #8 10/08/2022 2:17

יש לי כבר שנה PGSENSE על מחשב דור 4 והוא רץ פצצה.

מבחינת טופולוגיית רשת:

כרטיס רשת ONBOARD משמש לטובת חיבור ה-WAN ל-מודם.
כרטיס רשת נוסף לטובת VLANS של המחשב הבייתי והשרת (TURENAS)
כרטיס רשת נוסף לטובת VLANS של מוצרי האלחוט שלי (מתגי בית חכמים, שואב אבק רובוטי, מזגנים,טלוויזיות ומובייל - לכל קטגורייה ה-VLAN שלה).

הכל עובר דרך מתג מנוהל. בעבר היה לי גם שרת PRTG שאיתו הייתו דוגם את ניצול רוחב הפס ופרוטוקול SFLOW שמציג את "השיחות" בין היעדים והמקור, אך ביטלתי אותו באופן זמני. אל המתג גם מחובר AP של חברת ARUBA שרכשתי בזמנו מ-KSP.

מה שכן חסר לי כיום, זה זמן להתעסק עם PFSENSE כדי למצות את הפוטנציאל האדיר של המערכת הזו. כרגע לא מותקן שום דבר בנוסף חוץ מהתוכנה וחוקה בסיסית.

מומלץ למי שבאמת אוהב להתעסק, כדאי לצפות בסרטוני הדרכה.

PCingAddict · שליחה #9 10/08/2022 8:41

כנראה שגם אצטרך להחליף את המתגים הנוכחיים למנוהלים. מתחיל להיות סיפור יקר

חשבתי להחליף את ה AP האלחוטי הנוכחי באחד שתומך POE ואז לקנות מתגים מתאימים.

תודה לכולם על העצות, אשמח ללינקים לקניה של כרטיסים או חומרות אחרות.

sigamore · שליחה #10 10/08/2022 10:14

10/08/2022 8:41
PCingAddict כתב: כנראה שגם אצטרך להחליף את המתגים הנוכחיים למנוהלים. מתחיל להיות סיפור יקר
חשבתי להחליף את ה AP האלחוטי הנוכחי באחד שתומך POE ואז לקנות מתגים מתאימים.

תודה לכולם על העצות, אשמח ללינקים לקניה של כרטיסים או חומרות אחרות.
...

אין צורך (בהכרח) לעבור למתגים מנוהלים !!! ... שוב -- אם תסביר בקווים כלליים מה התוכנית / הפרישה המיועדת יהיה קל יותר להמליץ.
בנושא הכרטיס --
1. https://www.ebay.com/itm/142005102278?e ... SwG4Zdcf73
2. https://www.ebay.com/itm/185207970709?h ... SwUORgogPs
** שים לב שכרטיס 2 תומך ב 10GB ... אישית לי אין נסיון עם הכרטיסים האלו

PCingAddict · שליחה #11 10/08/2022 10:21

תודה על הלינקים.
כרטיס 10G יודע לתת 1/2.5/10? כלומר - אם הראוטר הנוכחי שלי יתן 2.5, אני אקבל 2.5, או שמדובר על 1 או 10 ולכן אקבל את הנמוך מביניהם?

הרעיון הכללי - ראוטר > מתג > WiFi, בדיוק כמו שיש היום. חשבתי לעבור למנוהלים בשביל לקבל יותר שליטה על הרשת, אבל זה באמת לא הכרחי.
כרגע המכשירים בבית תומכים במקסימום 1G כך שאין צורך בשדרוג של המתגים עבורם, אבל יש תכנון לעבור ל WiFi6 או 6E אם אמצא דיל טוב, כך שאוכל להנות ממהירות פנימית גבוהה מ 1G באלחוט.
בנוסף, אם אשדרג את הציוד אוכל להיות בטוח שאין לי חסמים ברשת הפנימית בשביל לקבל את מלוא רוחב הפס (1G) שיש לי החוצה.

sys_admin · שליחה #12 10/08/2022 10:30

09/08/2022 20:20
PCingAddict כתב: תודה!
גם היום אני עם ap נפרד ל WiFi, לא משתמש בזה של הראוטר.
חשבתי לקנו
כרטיס 2.5g עם 2 יציאות או יותר. באמת ראיתי המון ב eBay.
יש המלצות למשהו ספציפי? אני צריך low profile.
...

אם רוצים מכשיר הכי פשוט וזול לצורך של שימוש ב pfSense ברשת ביתית, אז יש ים של מכשירים סינים מורכבים ב ALIEXPRESS, שמתאימים לכל צורך. למשל יש מכשיר כזה:

שכולל 4 כרטיסי רשת של 2.5GB של INTEL ומעבד N6005, שעד כמה שהוא חלש בקני מידע של היום, אבל עדיין הוא יהיה יותר חזק מהמעבד I3 מדור שמונה או לפני זה. גם מכשיר כזה עם זיכרון של 16GB ועם NVME של 256GB יעלה פחות מ 1300 ש''ח עם משלוח לישראל.

sigamore · שליחה #13 10/08/2022 10:51

10/08/2022 10:30
sys_admin כתב: אם רוצים מכשיר הכי פשוט וזול לצורך של שימוש ב pfSense ברשת ביתית, אז יש ים של מכשירים סינים מורכבים ב ALIEXPRESS, שמתאימים לכל צורך. למשל יש מכשיר כזה:
שכולל 4 כרטיסי רשת של 2.5GB של INTEL ומעבד N6005, שעד כמה שהוא חלש בקני מידע של היום, אבל עדיין הוא יהיה יותר חזק מהמעבד I3 מדור שמונה או לפני זה. גם מכשיר כזה עם זיכרון של 16GB ועם NVME של 256GB יעלה פחות מ 1300 ש''ח עם משלוח לישראל.
...

מסכים לגמרי !! אמנם יורדת פה חדוות ה DIY אבל הפתרון אלגנטי ושלם.
העניין הוא שיש ברשותו כבר חומרה זמינה ואז למעשה הדבר היחיד שצריך להוסיך הוא כרטיס רשת טוב .. דילמה

PCingAddict · שליחה #14 10/08/2022 10:57

10/08/2022 10:30
sys_admin כתב: אם רוצים מכשיר הכי פשוט וזול לצורך של שימוש ב pfSense ברשת ביתית, אז יש ים של מכשירים סינים מורכבים ב ALIEXPRESS, שמתאימים לכל צורך. למשל יש מכשיר כזה:
שכולל 4 כרטיסי רשת של 2.5GB של INTEL ומעבד N6005, שעד כמה שהוא חלש בקני מידע של היום, אבל עדיין הוא יהיה יותר חזק מהמעבד I3 מדור שמונה או לפני זה. גם מכשיר כזה עם זיכרון של 16GB ועם NVME של 256GB יעלה פחות מ 1300 ש''ח עם משלוח לישראל.
...

נראה מדהים!
צריך ללכת על מוכר מסויים או שכולם אותו דבר?

Batnun · שליחה #15 10/08/2022 11:48

אבל למה pfSense ולא OPNSense?...

OPNSense יותר טוב, מבוסס על הגירסה האחרונה של FreeBSD, עם ממשק משתמש מעודכן ומודרני ומתעדכן בתדירות גבוהה בהרבה.
עברתי לפני יותר משנה מ-pfSense ל-OPNsense ואני מאוד מרוצה (בשניהם ההתקנה הייתה על חומרה יעודית מאותה חברה של תוכנת הפיירוול).

https://opnsense.org

Batnun

.

sys_admin · שליחה #16 10/08/2022 11:57

10/08/2022 10:57
PCingAddict כתב: נראה מדהים!
צריך ללכת על מוכר מסויים או שכולם אותו דבר?
...

אפשר ללכת על כל מוכר שיש לו את מוצר. רק צריך לבחור את הרכיבי חומרה המדוברים. למשל כאן:
https://www.aliexpress.com/item/1005003 ... -recommend

PCingAddict · שליחה #17 10/08/2022 11:59

@Batnun סיקרנת, בודק. תודה!
@sys_admin מצויין, תודה.

zovirax · שליחה #18 10/08/2022 14:53

@Batnunמה הכוונה ? רכשת מהם Appliance?
בעבר חשבתי על המעבר, האיש הזה הוריד אותי מזה

Batnun · שליחה #19 10/08/2022 19:13

10/08/2022 14:53
zovirax כתב: @Batnunמה הכוונה ? רכשת מהם Appliance?
בעבר חשבתי על המעבר, האיש הזה הוריד אותי מזה
...

רכשתי מ-pfSense את ה-SG-5100, השתמשתי בו כשנתיים, ולפני קצת יותר משנה רכשתי מ-OPNSense את ה-DEC850. כמובן שאת שניהם ניתן להתקין על חומרה גנרית. OPNSense עשוי לתמוך ביותר סוגי חומרה (למשל כרטיסי רשת קוית או אלחוטית) כיוון שהוא מבוסס על הגירסה האחרונה של FreeBSD, גירסה 13.1, כש-pfSense עדיין מבוסס על גירסה 12.3.

הבחור הזה קצת משוחד... יש לו עשרות רבות של סרטונים על pfSense - למעשה זה עיקר הערוץ שלו. לא אתפלא אם הוא גם מקבל מהם תשלום כלשהו על קידום מכירות. תבדוק בתגובות לסרטון הזה כמה מהמגיבים עברו ל-OPNSense.

בנוסף, pfSense ידועים במשחק המלוכלך שלהם, למשל:
https://opnsense.org/opnsense-com

הם גם עשו פדיחה רצינית ביותר עם גירסה שלהם ל-WireGuard על FreeBSD/pfSense (ואחרי החשיפה כמובן ירדו מזה):
https://arstechnica.com/gadgets/2021/03 ... close-call

OPNSense הוא fork של pfSense, שגם הוא למעשה fork של m0n0wall הזכור לטובה. המפתח מאחורי m0n0wall ממליץ על OPNSense:
https://docs.opnsense.org/relations/m0n0wall.html

Batnun

.

zovirax · שליחה #20 11/08/2022 0:26

אוף...
עכשיו צריך לעבור ל OPNSense

אצלי אגב בחומרה שמבוססת מעבד J1900 Celeron
יש בעיות ביצועים, משהו שקשור ל PPPoE WAN
לא זוכר במדויק.
מעניין אם יפתר ב OPNSense, או שזה מגבלות החומרה