מתלבט בין pfsense לבין Openwrt

lior50 · שליחה #1 26/09/2023 19:49

היי
אני מעוניין לקנות חומרה שתתאים לאחת מהמערכות האלו
1)BPI-R3 עבור openwrt
2)Protectli Vault 4 Port - עבור pfsense
https://www.amazon.com/dp/B07G9NHRGQ?ta ... e=ogi&th=1
אני מבין שמבחינת חומרה bpi נותן יותר
כמובן יש הבדל במחיר פי 2 וקצת לטובת pfsense (וזה גם לא חומרה חזקה)
השימוש הוא ביתי קצת מתקדם. את העבודה של ה wifi מבצעות 2 יחידות mesh ככה שהמטרה של החומרה רק לראוטר.
השאלה היא האם ל pfsense יש יתרונות משמועותיים?

elxyzad · שליחה #2 26/09/2023 20:14

אתה מערבב חומרה ותוכנה. למטרות ראוטינג לינוקס וbsd למניהם יתנו לך אותה תוצאה פחות או יותר.
בין x86 לחומרה יעודית כמו bpi-r3 יש הבדל משמעותי, מצד אחד מעבדי x86 חזקים יותר, אבל אתה צריך לטחון את הcpu כל הזמן. בbpi אתה יכול להגיע למקסימום throughout מבלי להשתמש כמעט בcpu.
אצלי יש גרסה מוקשחת של openwrt עם selinux פעיל ו strict policy ואין שימוש כמעט ב cpu, גם על wifi הload שואף ל0.
Wireguard ו openvpn מגיעים ל900mbps.

תגדיר מה אתה מצפה מהחומרה

lior50 · שליחה #3 26/09/2023 20:54

אני אנסה לעשות סדר
בכוונה הצמדתי חומרה לתוכנה כי זו החומרה שבתקציב
יתכן של BPI החומרה מעולה אבל ל PFSENSE החומרה שציינתי פחות חזקה.
אין ספק וקראתי שאנשים מאוד מרוצים מהביצעוים של BPI אבל אני מדבר על היכולות שהתוכנה מביאה איתה מעבר לראוטר בסיסי.
אני מנסה להבין מבחינת פיצרים. האם ברמת השימוש ההבסיסית (קצת מתקדמת) אפשר לצפות לאותם כלים?

elxyzad · שליחה #4 26/09/2023 21:09

26/09/2023 20:54
lior50 כתב: אני אנסה לעשות סדר
בכוונה הצמדתי חומרה לתוכנה כי זו החומרה שבתקציב
יתכן של BPI החומרה מעולה אבל ל PFSENSE החומרה שציינתי פחות חזקה.
אין ספק וקראתי שאנשים מאוד מרוצים מהביצעוים של BPI אבל אני מדבר על היכולות שהתוכנה מביאה איתה מעבר לראוטר בסיסי.
אני מנסה להבין מבחינת פיצרים. האם ברמת השימוש ההבסיסית (קצת מתקדמת) אפשר לצפות לאותם כלים?
...

מעבר לראוטר בסיסי היתרון ברור ללינוקס. הקרנל מלא בפיטשרים ובשימוש נפוץ הרבה יותר מbsd.
תוכנות רגילות לרוב תוכל לקמפל בעצמך

lior50 · שליחה #5 26/09/2023 21:15

2 המערכות מבוססות לינוקס. למה אתה מתכוון?
ואני לא מתכוון לקמפל דברים

שימוש בייתי מתקדם...

elxyzad · שליחה #6 26/09/2023 21:22

26/09/2023 21:15
lior50 כתב: 2 המערכות מבוססות לינוקס. למה אתה מתכוון?
ואני לא מתכוון לקמפל דברים
שימוש בייתי מתקדם...
...

לא, pfsense מבוסס על freeBSD שהיא מערכת הפעלה שלמה עם קרנל משלה. Openwrt מבוסס על לינוקס קרנל.
יש הנחה כזאת שבגלל שהקרנל של freeBSD מצומצם יותר, הוא יותר יציב ומותאם לראוטינג

OMRIJ · שליחה #7 26/09/2023 21:42

עם הפרוטקטלי (או קופסא סינית שתתן לך יותר תמורה לכסף) תוכל לנסות את שניהם ולהחליט מה אתה מעדיף
אני אחרי משחקים החלטתי על OPNsense אבל יש גם OpenWRT מוגדר מוכן להפעלה בלחיצת כפתור

eizen5 · שליחה #8 26/09/2023 21:47

נמחק.

OMRIJ · שליחה #9 26/09/2023 21:57

בעיקר הממשק, שהוא הרבה יותר נוח (גם מpfSense)
לא צריך להתקין 100 חבילות בשביל כל מה שאתה רוצה
אבל אם רוצים אפשר לעשות הכל בOpenWRT
לopenwrt יש יתרון בנושא הPPPOE, אבל לא מספיק משמעותי
ובחומרה שלי (שהיא overkill מטורף...) אין סיבה לא ללכת על מערכת מלאה. אין לי צורך לעשות טוויקים בשביל לקבל מהירות מלאה (גם עם OpenVPN/WireGuard ו IPS וכו')

DanielGR · שליחה #10 26/09/2023 21:59

מבחינת ביצועים, PPPOE ב-FreeBSD הוא Single threaded, מה שיכול להוות צוואר בקבוק, בלינוקס זה לא כך. לכן עבור אותם ביצועים צריך מעבד עם ביצועי Single thread טובים יותר ב-FreeBSD .
חפש על FreeBSD PPPoe bottleneck

OMRIJ · שליחה #11 26/09/2023 22:04

זה כבר לא ממש המצב
אפשר לחלק את העומס בין ליבות
עדיין יש יתרון לOpenWRT
אבל די קטן
https://forum.opnsense.org/index.php?to ... #msg116941

https://docs.netgate.com/pfsense/en/lat ... queue-nics

OMRIJ · שליחה #12 26/09/2023 22:19

במחשבה שניה, אני לא יודע איך זה יהיה עם סלרון...

DanielGR · שליחה #13 26/09/2023 23:48

26/09/2023 22:04
OMRIJ כתב: זה כבר לא ממש המצב
אפשר לחלק את העומס בין ליבות
עדיין יש יתרון לOpenWRT
אבל די קטן
https://forum.opnsense.org/index.php?to ... #msg116941

https://docs.netgate.com/pfsense/en/lat ... queue-nics
...

מעניין. הדף הוא מ-2021, ובכל זאת הרבה מתוצאות החיפוש לגבי בעיות ביצועים הן מ-2022/2023. אני תוהה עד כמה זה בשל, או שצריך tweaking כדי שיעבוד היטב.

הדיון מתקשר גם להשוואה לא רק של פונקציית הניתוב והפיירוול אלא לינוקס מול FreeBSD. תמיכת החומרה של FreeBSD יותר מצומצמת ופחות עדכנית, אבל אם הולכים על חומרה נתמכת מראש זו לא בעיה. בקיצור - לא חד משמעי

elxyzad · שליחה #14 27/09/2023 7:12

מה שהוא שלח מתייחס להוספת תמיכה בטיפול ביותר מ queue אחד במקביל, אבל לא תמיד החומרה תאפשר שימוש ביותר מqueue אחד ואלה התלונות שאתה רואה לרוב. (חוץ מאלה שלא הגדירו כמו שצריך)
זאת הבעיה כשאין חומרה יעודית, אתה תלוי בטחינת cpu.

itfan · שליחה #15 27/09/2023 16:54

דיון מעניין. במקרה יצא לי לשחק לאחרונה עם pfSense (גרסה CE 2.7.0) מול OpenWrt (גרסה 22.03.5) ע"ג "מחשבון" עם מעבד Celeron N5100 וארבעה כרטיסי Intel i226-V מהסוג שניתן לראות בקישור הבא:
https://www.aliexpress.com/item/1005004302428997.html
היות וכרטיסי Intel i226-V לא נתמכים ע"י גרסאות ישנות יותר של pfSense CE, לא הייתה לי אפשרות לבדוק גרסאות ישנות כאלה ע"ג הציוד המדובר.

האמת היא שהופתעתי מאוד לטובה מביצועי חייגן ה-PPPoE בגרסה הנ"ל של pfSense. הוא "סחב" מהירות רשת של 2.5G אפילו כשביטלתי ב-BIOS את הטורבו ונעלתי את המעבד לתדירות של 1.1 ג’יגהרץ (זוהי התדירות הרשמית של המעבד הנ"ל; עם טורבו הוא מגיע ל-2.8 ג’יגהרץ) וזאת עם קונפיגורציית ברירת המחדל שאתה הוא הגיע (לא שיניתי שום tunables). כמובן שגם חייגן ה-PPPoE ב-OpenWrt "סחב" את המהירות הזו עם אותה קונפיגורציית BIOS בלי בעיות (ועם פחות עומס על המעבד), אבל שם זה היה צפוי מבחינתי.

מצד שני, התאכזבתי מאוד ממה שנראה כמו היעדר תמיכה של pfSense הנ"ל ב- Power Management. במצב שבו טורבו ו-Speedstep מאופשרים, pfSense החזיק את תדירות המעבד מעל 2 ג’יגהרץ (גם במצב של אפס עומס). הפעלה של PowerD, ושינוי אופציות של PowerD, לא השפיעו בשום צורה. לשם השוואה, עם אותה קונפיגורציית BIOS (שהיא גם ברירת המחדל) ואפס עומס, Windows 11 החזיקה את תדירות המעבד על 800 מגהרץ (שזו תדירות המינימום הרשמית של המעבד) ו-OpenWrt החזיקה את תדירות המעבד סביב 600 מגהרץ. כצפוי, ההבדלים האלה גרמו לכך שעם הרצת pfSense הורגשה התחממות משמעותית של המחשב לעומת הרצת OpenWrt. בשבילי, זה מספיק כדי "לפסול" את pfSense ע"ג הציוד הזה.

בסיכום, מבחינתי האישית, אין פה באמת תחרות: OpenWrt עדיפה בביצועים, בתמיכה בחומרה ובמגוון העצום של מה שזמין בה להתקנה. אני מתרשם ש-pfSense מהווה אולי אופציה טובה להרצת Snort או Suricata ואולי גם אי אלו דברים קונקרטיים אחרים שצורכים הרבה משאבי חישוב בפני עצמם, אבל לשימוש כללי בתור נתב? אני במחנה של OpenWrt.

elxyzad · שליחה #16 27/09/2023 17:39

הטיעון בעד bsd הוא היציבות לכאורה. מכיוון שכל העולם בנוי על לינוקס, הקרנל מנופח לעומת הקרנל של bsd שלא משתמשים בו לשום דבר כמעט ולכן הקוד יותר נקי.
אני חושב שזה לא נכון ועם קונפיגורציה נכונה הקרנל של לינוקס נקי ויעיל. ב openwrt הקרנל מינימלי מראש.
חוץ מזה מערכות הsense למניהן מגיעות עם יותר אפשרויות ב default לעומת openwrt שצריך להתקין חבילות נוספות לבד

OMRIJ · שליחה #17 27/09/2023 17:58

אצלי ספציפית OPNsense רץ על גבי proxmox
לא רואה בעיה עם מהירות השעון (יורדת ועולה באופן תקין)
לגבי חבילות תוספות, לopenwrt יתרון אדיר
השאלה היא אם המקום של כל התוספות האלו הוא בפיירוול שלך
אני אישית מעדיף אותם בlxc נפרד

elxyzad · שליחה #18 27/09/2023 18:26

27/09/2023 17:58
OMRIJ כתב: אצלי ספציפית OPNsense רץ על גבי proxmox
לא רואה בעיה עם מהירות השעון (יורדת ועולה באופן תקין)
לגבי חבילות תוספות, לopenwrt יתרון אדיר
השאלה היא אם המקום של כל התוספות האלו הוא בפיירוול שלך
אני אישית מעדיף אותם בlxc נפרד
...

במקרה שלך הsense לא משנה כי הproxmox מנהל את השעון

OMRIJ · שליחה #19 27/09/2023 18:28

ברור, רק מסביר שבקלות הבעיה לא קיימת (ואין לי סיבה להתקין bare metal על קופסה עם 20 ת'רדים ו 32 ג'יגה זכרון

)

elxyzad · שליחה #20 27/09/2023 18:47

27/09/2023 18:28
OMRIJ כתב: ברור, רק מסביר שבקלות הבעיה לא קיימת (ואין לי סיבה להתקין bare metal על קופסה עם 20 ת'רדים ו 32 ג'יגה זכרון )
...

נכון, אפשר לפתור את זה בקלות, רק צריך חומרה חזקה שעולה הרבה כסף