izbor routera za filtriranje sadržaja

[jp_rv]

Autor xlr

Pitanjce za vas sto vrtite opnsense. Gledano sa aspekta backupa i cim lakseg restorea u slucaju problema, da li biste preporucili:

1) opnsense bare metal instalaciju
ili
2) virtualizaciju opnsensea u proxmoxu

Hardver na kojem ce se to vrtiti je N100 kineska skatula sa 4 porta, klasika.

Solucija 2) mi je poznatija, koristim proxmox na drugom serveru, imam slozen i proxmox backup server, vrlo lako backupiram, restoram i snapshotam...
Doduse ne znam (jos) sto moze poci po zlu kod virtualiziranja rutera/fw-a? Znam da cu gore vrtiti samo opnsense i jednu instancu dns-a, vjerojatno pihole u drugom vm-u/lxc-u. Sekundarni dns/pihole ce se vrtiti na drugom odvojenom hardveru.

Solucija 1) mi je (jos) vrlo nepoznata. Ne znam koliko se dobro opnsense moze backupirati, je li u backupu ukljuceno apsolutno sve za brz i lak restore, kakav je restore proces itd. Razlog zasto mi je nepoznato je sto mi hardver jos nije stigao. Zato i pitam ovo prije nego krenem upucavati sate i dane u setup

kao prvo trošit n100 kutijicu za SAMO to me boli srce čitat, mašina koja može svašta a ti ju koristiš ko ruterić od 50e.

tako da ja bi to izvirtualizirao da bih mogao još toga vrtit gore. nije da ćeš držat firmu od 500 ljudi gore, držat ćeš ča, kućnu mrežicu sa 4 mobitela i 2 laptopa? bemte u ozbiljnost mreže.

ja se poigrah sa sophosom i to se vrti u virtualci, ne sviđa mi se kako radi pa ga držim živog samo za mobitele (sophos+adguard). dok kompovi idu samo kroz adguard, sophos previše toga blokira randomly za normalno surfanje netom. neda mi niti skinut neke programe sa ofišl legit stranica. ali za blokirat govna po mobitelima mislim da će bit ok

[xlr]

Autor Blagus

...A da iz bilo kojeg razloga padne VM, Proxmox ti ništa ne pomaže u situaciji gdje nemaš mreže, a ona ti treba da bi došao do Proxmoxove konzole i firewalla...

Ovo je skroz na mjestu recept za fubar situaciju. Biti će na UPS-u, ali svejedno...
Recimo pukne VM, ne radi opnsense, kako onda pristupam toj mašini? Može li switch u toj priči biti pametan pa samostalno rutati promet između pc-a i routera? Zapravo uopće nisam o ovome razmišljao jer kao i većina uzimamo rutere zdravo za gotovo i sve je ok dok dhcp server radi i možeš pristupiti ruteru. Definitivno trebam proučiti ovo.

Autor Blagus

OPNsense kod backupa napravi xml sa apsolutno svim postavkama, uključujući usere i čak i log tko je i kad zadnje promijenio neki rule na firewallu. To importaš u drugu instalaciju (ne mora čak niti biti nova/čista) i nakon reboota sve radi po starom. Dodatno možeš uključiti i RRD u backup pa čak i statistika preživi reinstall. Izgubiš jedino ono što radiš kroz command line - recimo ako tjunaš performanse kroz sysctl, ali to bi isto ionako trebao raditi kroz web sučelje.

Super, tnx za info! Da li jednako dobro može backupirati i pluginove ili ovisi od plugina do plugina?
Znači po tebi to je solidno za dignuti mrežu, barem onaj najbitniji osnovni dio, u slučaju da nešto prdne.

Autor Blagus

Pi-hole ti je višak kad imaš blokiranje na OPNsenseu s Unbound DNS-om koji isto ima liste (Blocklist.site, AdAway, AdGuard), iznimke, whiteliste itd.

Aaaa tako je, da, taj dio sam skroz previdio. Ima i NPM, svakako budem probao.

Autor jp_rv

kao prvo trošit n100 kutijicu za SAMO to me boli srce čitat, mašina koja može svašta a ti ju koristiš ko ruterić od 50e.

tako da ja bi to izvirtualizirao da bih mogao još toga vrtit gore. nije da ćeš držat firmu od 500 ljudi gore, držat ćeš ča, kućnu mrežicu sa 4 mobitela i 2 laptopa? bemte u ozbiljnost mreže.

Pa realno, nulti plan je bio virtualizirati sve te stvari vezane uz mrežu i samo uz mrežu, ali ne želim miješati mrežu i ostalo. Za ostalo imam drugi server. Na ovom se NE želim igrati. Čekaj da čuješ koliko ram-a sam mu uzeo

[Blagus]

Plugine nemam ali koliko vidim, u backup zapisuje listu instaliranih i trebao bi nakon restorea ili ih instalirati automatski ili ponuditi instalaciju na jedan klik.

Switch ništa ne ruta. U situaciji da padne FW i trebaš do Proxmoxa, dolaziš do njega po IP adresi iz istog subneta, ništa egzotično.

Na kraju, mislim da ti nema bitne funkcionalne razlike za slučaj kućne mreže. Proxmox ti s jedne strane olakšava remote pristup (web konzola umjesto uštekavanja monitora), s druge strane to je još jedan sloj za održavanje. Ja sam za svoju produkciju (koja je daleko ozbiljnija od kućne mreže) zaključio da mi je bitniji direktan pristup hardveru - ionako bih radio passthrough PCIe mrežne - i jedan Proxmox manje za održavanje.

[xlr]

Hvala ti na komentarima, bez sumnje pomazu! 👍

[xlr]

Sad kad sam malo istestirao škatulu, mogu napisati par dojmova:

- opnsense ce biti u vm-u svakako, a nic-ovi ce biti bridgeani, ako nista drugo onda sad u startu dok ucim. Mozda probam radi fore backupirati config i restorati ga na bare metal, samo da vidim sto ce biti. Ali svidja mi se kako sve radi virtualizirano. Najveci pros za virtualizaciju je sto mogu s lakocom restorati snapshotove, klonirati vm ako zelim pripremiti slican, a razliciti setup (pripremam setupove za HT optiku na udaljenoj lokaciji za par razlicitih scenarija). Fizicki passthru nic-ova ima za downside gubitak opcije snapshotova i to mi se sad bas i ne svidja.

- istestirao sam proxmox defaultnu sdn mrezu i kako tocno radi. Ako vm padne, proxmoxu se lako pristupa preko dediciranog eth porta na skatuli - dovoljan je jedan eth kabel i npr usb-eth adapter pa spojim lap/komp na njega. Nisam nikad koristio proxmox u offline modu pa nisam razumio kako to sve moze raditi...

- n100 masina je overkill za ovo, ali to nije nista novo. Grije se u pm da je ne mozes drzati duze od 10 sekundi (idle je 42 C, nekakav ozbiljan load u benchovima je oko 70 C). Nije do paste/nasjedanja, idle je dobar, valjda je samo aluminij zasicen toplinom i pita za vent. Kad upalim klimu u prostoru, idle temp skoci za 2-4 C.

- definitivno cu probati ubaciti unutra ssd umjesto nvme-a. Nvme je grijalica za sebe, oko 49 C.

[Nikky]

Pa nađi 'ladniji NVMe ...

[xlr]

Ne znam moze li hladnije od ovog gen3 low speed intela (7600p). Siguran sam da se dobrim dijelom grije samo od ambijentalne temp. Ne znam zasto ti pasivni caseovi nemaju nekakve rupice po sebi.

[Nikky]

A da, više se grije od okoline.
Novije takve škatule znaju imati proreze da bar nekako prolazi zrak a neke čak imaju opciju tankog venta.