Uso PFsense da un po' e mi ci trovo bene tutto sommato, però FreeBSD che c'è sotto mi fa un po' storcere il naso (pipponi mentali più che altro) .
La mia domanda è quindi: c'è qualche alternativa decente basata su Linux?
Per ora ho trovato su internet:

  • IPfire
  • Endian Firewall

Ho avuto modo di provare Endian in VM e non mi era sembrato male, però volevo sapere se qualcuno usa qualcuna di queste soluzioni giornalmente sulla sua linea e non semplicemente "in lab", ed eventualmente come ci si trova. Altrimenti altre alternative valide?

    • [cancellato]

    • Modificato

    Giann Dipende da cosa cerchi.
    Per la parte più votata al routing c'è VyOS che è di fatto una shell Juniper-like sopra un Debian. Non ha GUI web di gestione però, solo riga di comando.

    Per l'uso come firewall dovrebbe esserci Sophos (con tutti i suoi distinguo) che a memoria è linux based, e Untangle che ora è stato però comprato da Arista e ho perso il filo di come si chiami e che licenza abbia. Sicuramente a pagamento.

    Altra alternativa tutta da costruire OpenWRT.

    • Giann ha risposto a questo messaggio

      [cancellato] giusto mi sono scordato di dire che deve essere gestibile da GUI e gratuito (e se anche opensource meglio), motivo per cui avevo escluso sophos purtroppo.
      Deve essere compatibile con OpenVPN e supportare decentemente IPv6.

        • [cancellato]

        Giann però FreeBSD che c'è sotto mi fa un po' storcere il naso

        A parte la schizzinosità con l'hardware, qual è il problema? Oltretutto con pfSense/OPNSense è un po' come usare un'appliance - quello che c'è sotto non lo guardi più di tanto.

        C'è vyOS che è basato su Debian ma non ha una UI - devi fare tutto da riga comando. ClearOS fa molte cosa ma dovrebbe avere anche avere le funzioni che cerchi. C'era Untangle ma era stato aquistato da Arista - non so come sia disponibile ora.

        • Giann ha risposto a questo messaggio
          • [cancellato]

          Giann motivo per cui avevo escluso sophos purtroppo.

          La versione home è gratuita. 😉 Non open. ma con licenza free-as-in-beer.

          • Giann ha risposto a questo messaggio

            [cancellato] più che altro BSD mi fa storcere il naso perché lo trovo "più indietro" rispetto a Linux, compatibilità hardware non ho avuto problemi per ora, però ad esempio gestire le PPPoE ancora in single core (correggetemi se sbaglio) (anche se è inutile per ora dato che ho una 100M è un problema non problema per me) e il fatto anche di non essere compatibile con cake ma solo con fq_codel (con cake su WRT mi ci son trovato divinamente, e mi pare di aver capito che può girare sul kernel linux ma non su BSD), mi lasciano un po' di amaro in bocca. Mi da quasi l'idea di qualcosa di inefficiente anche se magari non lo è.

            [cancellato] ah non lo sapevo, allora magari mi faccio una prova su VM

              c'è OpenWRT che gira anche su x86
              ad oggi cosa usi di PFSense, parte router, firewall, vpn, suricata, multi-wan ????

              • Giann ha risposto a questo messaggio

                gio79 router, firewall e OpenVPN , OpenWRT l'ho adorato sui modem router, ma provandolo a installare su x86 mi ha dato un sacco di problemi, infatti poi passai a Pfsense per quello.

                Giann ho usato sophos per un po' di tempo, senza particolari esigenze e mi son trovato abbastanza bene, è ricco di funzionalità ma per il discorso qos & co non so come si comporti

                • Giann ha risposto a questo messaggio

                  nexus adesso me lo provo per bene in VM, dato che PFsense comunque funziona bene e fa il suo non vorrei cambiarlo per un pippone mentale e magari trovarmi con un prodotto peggiore.

                  • gio79 ha risposto a questo messaggio
                  • nexus ha messo mi piace.

                    Giann OpenWRT, PfSense, OPNSense o altro... alla fine installi, configuri e poi lo "dimentichi" lì, tanto funziona 😄

                    • Giann ha risposto a questo messaggio

                      gio79 assolutamente, ho una macchina che è li solo per quello, però WRT su x86 era instabile purtroppo, PFsense invece si lo metti li e a parte una strana instabilità con fq_codel e tanti torrent, e la mia stupidità (mentre facevo le prove per il Firewall ho fatto fare a Pfsense da server PPPoE e quando poi ho avviato un trasferimento è esploso tutto😂), va bene.

                      • [cancellato]

                      Giann , però ad esempio gestire le PPPoE ancora in single core (correggetemi se sbaglio)

                      In realtà quella è solo la configurazione di default che dipende dall'hashing hardware dei pacchetti che fanno le schede di rete per smistarle nelle loro code. C'è un meccanismo in base al quale i pacchetti vengono smistati sulle code della scheda dei in base all'hash che è fatto all'header IP (v4 o v6) dei pacchetti. Quando c'è il frame PPP fra Ethernet e IP, l'hash hardware non funziona e i pacchetti finiscono tutti nella stessa coda.

                      Di default (net.isr.dispatch=direct), FreeBSD processa tutto il pacchetto in un singolo interrupt - in questo modo siccome un singolo core è associato ad una specifica coda, l'interrupt finisce chiamare sempre lo stesso core. Impostando net.isr.dispatch=deferred l'interrupt si limita a prelevare il pacchetto e lo mette poi in una coda dalla quale possono prelevare tutti i core per completare l'elaborazione. Se non c'è PPPoE di mezzo è più efficiente il primo meccanismo, se c'è PPPoE conviene abilitare il secondo, se un core non ce la fa a starci dietro.

                      Giann perché lo trovo "più indietro" rispetto a Linux,

                      Sono tutte e due fimasti fermi indietro di 50 anni, ma questo è un altro discorso... il problema è che nessuno ormai osa più scrivere un OS moderno che non abbia un design vecchio di decenni.

                      Giann on essere compatibile con cake ma solo con fq_codel

                      Prima di fasciarsi la testa però è utile fare delle misure quantitative per vedere se il problema c'è sul serio nel tuo caso e quindi richiede una soluzione o il bufferbloat non avviene.

                        [cancellato] Prima di fasciarsi la testa però è utile fare delle misure quantitative per vedere se il problema c'è sul serio nel tuo caso e quindi richiede una soluzione o il bufferbloat non avviene.

                        Con FQ_codel diventa A+, però in alcuni casi crasha e ho notato che in console spuntano dei flowset_busy.
                        Mentre all'epoca col timhub e la ansuel con cake 0 problemi. E dovrebbe anche essere più efficiente lato cpu.
                        Che quella del mio thinclient AMD GX217GA fa schifo ma una 100M se la tiene su, e avendo anche AES-NI magari qualcosa per la VPN riesce a farla.
                        Poi il giorno che arriva la FTTH o che mi stufo del thinclient ho già pronto un optiplex con un i5 3a gen.

                          • [cancellato]

                          Giann

                          C'era un bug segnalato anni fa ma non sono mai state riportate informazioni utili ad una diagnosi (https://redmine.pfsense.org/issues/5383). Può essere che dipenda da qualche configurazioni specifica.

                          • Giann ha risposto a questo messaggio

                            [cancellato] no fq_codel crasha solo se avvio troppi torrent quindi immagino magari sia per via del numero di connessioni?
                            Anche perché poi se non ho alcun torrent va bene.

                              • [cancellato]

                              Giann

                              Vabbé, allora te la cerchi 😜

                              Scherzi a parte, non dovrebbe comunque crashare - se ci sono troppe connessioni non può fare miracoli e ci saranno dati nei buffer, ma non deve crashare. Stai usando ALTQ o altro? Con che schede di rete?

                              • Giann ha risposto a questo messaggio

                                [cancellato] Vabbé, allora te la cerchi 😜

                                Ah quello sempre 😂

                                [cancellato] Scherzi a parte, non dovrebbe comunque crashare - se ci sono troppe connessioni non può fare miracoli e ci saranno dati nei buffer, ma non deve crashare. Stai usando ALTQ o altro? Con che schede di rete?

                                No l'ho impostato nei limiter e mi pare direttamente come fq_codel e codelq, la scheda di rete per la WAN è una intel 82574 e per la LAN una realtek non ricordo il modello .

                                  • [cancellato]

                                  Giann

                                  Bisognerebbe provare con una configurazione diversa e vedere se non crasha. Poi Realtek e pfSense/BSD non vanno molto d'accordo con traffico elevato - ma dipende dal modello della scheda e dalla versione del driver.

                                  • Giann ha risposto a questo messaggio

                                    [cancellato] eh lo so, anche pee questo mi piacerebbe magari provare un'alternativa basata su Linux (che anche loro non è che vadano molto d'accordo con realtek però è già migliore la situazione), infatti quando ho preso la scheda di rete aggiuntiva ho cercato la Intel e trovai questa che non mi ha mai dato un problema e messa per la LAN. Peccato solo che minipcie con 2 slot ce ne sono poche e costano uno sproposito altrimenti avrei usato la Intel per entrambe.

                                    Informativa privacy - Informativa cookie - Termini e condizioni - Regolamento - Disclaimer - 🏳️‍🌈
                                    P.I. IT16712091004 - info@fibraclick.it

                                    ♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile