opnsense vs pfsense

Melandir

Una domanda per chi li conosce:
Quali sono i punti di forza di uno o dell'altro, e quale scegliereste o avete scelto per voi e perchè?
Possono essere installati su macchine virtuali?
Mi interessano dei pareri motivati, ho in mente un particolare accrocchio all in one che vorrei fare per casa e sto prendendo informazioni.
L'idea sarebbe di farlo girare su una macchina virtuale con alla base un C3758, inizialmente su connessione a 2.5Gig per poi evolvere sulle 10Gig in futuro. Secondo voi regge quelle velocità con il PPPoE e VPN Wireguard?

levay18778

Melandir

https://opnsense.org/opnsense-com/

Basta per scegliere opnsense?

[cancellato]

Melandir

OPNSense può avere qualche funzionalità in più, pfSense è meglio documentato ed è più facile trovare supporto. Con pfSense Community sui C3xx8 non c'è il supporto attivo per Intel QAT, se ti serve. Poi per il resto visto che la base di router/firewall è quella le prestazioni sono simili.

Melandir Possono essere installati su macchine virtuali?

Si - in certe situazioni è meglio avere le schede di rete configurate in passthrough diretto. Dipende dov'è posizionato (nel network), cosa deve fare e che livello di sicurezza deve avere. Le prestazioni possono risentirne, se non ha sufficiente tempo di CPU dedicato.

Melandir

[cancellato]
La mia idea sarebbe di procurarmi un QNAP QGD-1602P installare nella parte NAS una macchina virtuale OPNsense o Pfsense ed usarla come router/firewall se risesco a fare passthrough di alcune porte dedicate.
L'interconnessione interna tra il NAS e lo switch è gia a 10Gbit simmetrico quindi sarei a posto.
In un altra Vm installo il controller TP-Link Omada e controllerei gli AP.
Mancherebbe Plex, ma quello lavora anche in un container.
Ho solo l'incognita che funzioni tutto, soprattutto la parte router/firewall non avendo idea se supporta la dedica di alcune porte ad una sola VM.

Melandir

Ci guarderò, per entrambi sarà necessario un po’ di studio e prove prima di poter mettere in produzione il router

mark129

Melandir Ho solo l'incognita che funzioni tutto

Io avrei pure l'incognita di mettere router, firewall, NAS, hypervisor e switch PoE tutti sullo stesso Atom, sia pure da 1500 euro.
Per carità, bell'apparecchio, seducente, ma a partire da certe cifre io farei tutto separato, se non altro perché se si rompesse quello, perdi tutta l'infrastruttura.

[cancellato]

Melandir

Se vuoi virtualizzare una infrastruttura del genere, fallo con un hypervisor serio, specialmente se vuoi raggiungere prestazioni elevate - non su uno switch che vuol fare anche da virtualizzatore. Non so che software usi il QNap, ma io andrei su qualcosa che mi garantisce il totale controllo della macchina.

Poi dipende che prestazioni ti attendi e che vuoi avere in modo sostenuto - dipende poi che carico hanno le altre VM

Io preferisco non avere il firewall perimetrale assieme ad altre macchine, come semplice misura di "difesa in profondità" - ma capisco chi vuole risparmiare sul numero di dispositivi accesi. Preferisco anche poter rimpiazzare lo switch indipendentemente dal router e da altri dispositivi, se necessario.

Melandir

mark129 Io avrei pure l'incognita di mettere router, firewall, NAS, hypervisor e switch PoE tutti sullo stesso Atom, sia pure da 1500 euro.

Posso capire molto bene questa paura, ma per la mia esperienza lavorativa su apparecchi non di basso costo il tasso di guastabilità è molto basso. I problemi o li hai subito oppure funzionano per anni senza intoppi. La mia idea è ottimizzare la spesa, lo spazio ed il consumo di corrente, ovviamente farò backup dei dati e delle configurazioni. I miei attuali router e switch non li butto, li tengo per una catastrofica emergenza.

mircolino

mark129 Io avrei pure l'incognita di mettere router, firewall, NAS, hypervisor e switch PoE tutti sullo stesso Atom

Concordo al 100%. Queste sono architetture che funzionano meglio sulla carta che in pratica. In teoria, se tutto funziona, e' una figata. In pratica, quando mai tutto funziona?

IMHO tutti i servizi essenziali (routing, firewall, DNS, DHCP etc.) andrebbero tenuti separati.

Qualsiasi problema sull'host o su una delle altre VM che richieda un reboot/servicing dell'host e ti va giù tutto.
Senza contare che l'hypervisor stesso, spesso ha bisogno di questi servizi, e se la VM di op/pfsense e' giù si crea un deadlock da cui non ne esci facilmente.

Melandir

mircolino Senza contare che l'hypervisor stesso, spesso ha bisogno di questi servizi, e se la VM di op/pfsense e' giù si crea un deadlock da cui non ne esci facilmente.

Grazie per la nota, a questo avevo pensato poco, l’hypervisor diventa troppo dipendente dalla VM sopra di esso, con una difficile via di uscita, dovrò avere pronta una soluzione nel caso.
Per quanto riguarda l’apparato, lo switch e la parte NAS/VM sono completamente separate, condividono solo lo chassis e l’alimentatore null’altro.

Mrtt

mircolino
Il problema che si possa porre potrebbe essere l'efficienza in termini prestazionali dell'architettura, viste le necessità di chi le deve adottare.
Minimizzare consumi e spazi è ciò che cerca chi ha scelto la soluzione, separare tutto sicuramente aumenta il numero degli apparati e per assurdo anche il numero delle cose che possono rompersi, solo con hardware e configurazioni che prevedano un HA (PDU distinte, alimentatori sotto UPS e non, doppi controllore per accesso a dati/rete, multipath per il raggiungimento delle destinazioni, rete magliata, hypervisor clusterizzati, raid con hot spare, etc) puoi aumentare il numero dei dispositivi diminuendo le possibilità di fault, ma non si parla di sistemi casalinghi, costano e soprattutto consumano e prendono spazio.

Per quanto riguarda la dipendenza dell'hypervisor dalla VM, può svincolarsi dal DHCP con ip statico, dal DNS impostando direttamente quello di forward (risolverà di default indirizzi esterni), l'unica cosa che potrebbe servirgli è una VPN per raggiungerlo dall'esterno e per fare questo deve avere un router che possa implementare il servizio, per il resto non vedo problemi.

GusEdgestream

mircolino IMHO tutti i servizi essenziali (routing, firewall, DNS, DHCP etc.) andrebbero tenuti separati.

esatto!

Stratificare tutto su un NAS casalingo/soho e' follia come pure tenere sti servizi in un mono virtualizzatore. Si bello fico, ma hai la rete ferma tot 5/10 minuti ogni settimana per aggiornamenti. Senza contare i down di durata imprecisata se un aggiornamento rompe configurazioni.
In ambito enterprise queste configurazioni con le VM si fanno, ma ci sono cluster di hypervisor in HA per non avere down e VM con servizi replicati, non un mono hardware di NAS!

Viviamo in un mondo che bisogna aggiornare alla svelta per tanti motivi, gia' ogni 2/3 settimane ci sono aggiornamenti di firmware per il NAS, poi aggiornamenti lato virtualizzatore e pure gli aggiornamenti della VM e quelli dell'appliance firewall che si usa. Senza contare che un reboot del NAS ti porta un down di circa 7/8 minuti piu' tuttoi l resto che si avvia solo quando il NAS e' up.

Melandir

[cancellato]
Allora, lo switch e il nas sono di fatto due dispositivi separati e vengono gestiti separatamente, condividono solo lo chassis e l’alimentatore, il sistema di virtualizzazione è quello di Qnap, per cui non lo conosco molto bene.
Mi terrò un router di riserva in cavo di problemi alle VM.
Le VM che intendo mettere sono quella del firewall con con wire guard e del controller TP link, nel container plex, e devo capire cosa fare con il nas delle telecamere se virtualizzarlo oppure prenderlo separato.

[cancellato]

Melandir il sistema di virtualizzazione è quello di Qnap, per cui non lo conosco molto bene.

Nemmeno io, sarà basato su qualche sistema open source, poi dipende dal livello di accesso che hanno lasciato, e con che frequenza lo aggiornano.

Melandir devo capire cosa fare con il nas delle telecamere se virtualizzarlo oppure prenderlo separato.

In genere questi hanno a bisogno di dischi per scrittura continua - mentre un NAS normale può avere cicli di scrittura parecchio inferiori a quelli di lettura. Quel sistema non mi pare abbia gran spazio per i dischi, può non essere una buona idea usare gli stessi dischi per dati a "lunga conservazione" e quelli delle telecamere che possono anche essere cancellati dopo qualche settimana.

Tieni presente un'altra cosa - se sono telecamere di sicurezza, non vuoi che ti rubino o ti danneggino il sistema con le registrazioni in caso di intrusione. Il DVR di un sistema di sicurezza, dovrebbe essere a sua volta in un posto sufficientemente sicuro.

Melandir

[cancellato]
L’apparato non regge dischi da nvr avendo slot da 2.5” e nvme, servirebbe collegare l’espansione del nas con i dischi da 3.5”.
Come precauzione anche le telecamere hanno le schede di memoria incorporate.

[cancellato]

Melandir

Occhio che se le telecamere scrivono in continuazione su un disco SSD non fatto per scritture frequenti (ce ne sono per sistemi di fascia alta, es. log database, ma a prezzi non proprio popolari), per di più magari su una partizione dedicata, rischi che abbiano vita breve. E se ci sono altri dati sul disco può essere un problema.

Melandir

GusEdgestream
La configurazione finale non è ancora definita, prima devo mettere le mani sull’apparato e testarlo, sicuramente non lo metto in produzione senza avere un idea di come funziona. Detto questo avrò sicuramente un piano di riserva in caso di problemi prolungati.

Informativa privacy - Informativa cookie - Termini e condizioni - Regolamento - Disclaimer - 🏳️‍🌈 🇵🇸
P.I. IT16712091004 - info@fibraclick.it

♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile