Επιλογές hardware για Firewall/UTM

**ChriZ** · 01-03-21, 15:49

Καλημέρα σε όλους!
Έχω δει κατά καιρούς διάφορα ποστ με μέλη που ψάχνουν να φτιάξουν ή να αγοράσουν κάποιο έτοιμο σύστημα για χρήση DNS (pihole) είτε για Firewall/UTM (pfsense/opnsense/untangle/sophos/ipfire κλπ).
Σκέφτηκα να ανοίξω αυτό το θέμα γιατί υπάρχουν στην αγορά οικονομικά μεταχειρισμένα έτοιμα συστήματα, τα οποία όμως είναι δύσκολο εως αδύνατο να βρεις τεχνικά χαρακτηριστικά, οπότε η προσωπική εμπειρία/γνώση κάποιων για τα specs τους ίσως φανεί πολύτιμη σε άλλους.
Σημείωση: σκέφτηκα να ανοίξω το θέμα στην κατηγορία hardware, αλλά εφόσον το θέμα αφορά networking είπα τελικά να το κάνω εδώ, αν κάποιος συντονιστής/διαχειριστής το θεωρεί λάθος, παρακαλώ μετακινήστε το εκεί που θεωρείτε ότι πρέπει.

Να ξεκινήσω λοιπόν με λίγο background:
Εδώ και χρόνια χρησιμοποιώ το Sophos UTM και μέχρι πριν κανα χρόνο το είχα εγκατεστημένο σε ένα Dell Desktop (3020SFF αν θυμάμαι καλά - θα κάνω update με το ακριβές μοντέλο). Είχε μια Realtek κάρτα δικτύου και είχε υποδοχή για Low profile PCIE στην οποία είχα βάλει μια κάρτα Intel. CPU Core i3-4130, 8GB Ram & HDD 120GB. Το μηχάνημα είναι πολύ μικρό, σφαίρα για το Sophos με σχεδόν τα πάντα ενεργοποιημένα, αλλά βέβαια η ψόφια ADSL μου δεν το ζόριζε και πολύ. Πιστεύω ότι μέχρι και Fiber 500/500 όμως να είχα ότι δεν θα είχε πρόβλημα. Παρόλο που το μηχανάκι όπως είπα είναι πολύ μικρό σε μέγεθος, πάντα είχα το νου και για κάτι άλλο, ακόμη πιο μικρό ώστε να αλλάξω το Dell με κάτι που θα έμοιαζε κιόλας σαν firewall (γιατί το Dell τελικά είναι μεν μικρό, αλλά δεν παύει να είναι Desktop).
Φυσικά έχω συγκεκριμένα κριτήρια..

Λογική τιμή για home user (€200-€250 max)
Αρκετά ικανό να καλύψει ταχύτητες ίντερνετ τουλάχιστον 100ΜΒps.
Τουλάχιστον 2 κάρτες δικτύου με ισχυρή προτίμηση σε Intel.
Management port ή VGA
Δυνατότητα αναβάθμισης της μνήμης ή τουλάχιστον 4-6GB Ram
Δυνατότητα αναβάθμισης του storage ή τουλάχιστον 30GB δίσκο

Πέρισυ λοιπόν πέτυχα ένα Barracuda F18 στο ebay. (Αν ψάξει κάποιος για το συγκεκριμένο, είναι σχεδόν αδύνατο να βρει τι επεξεργαστή έχει, ούτε αν η μνήμη είναι upgradable). Ο πωλητής έτυχε να του έχει βάλει PFsense και μάλιστα ανάφερε ότι είχε κάνει τη μνήμη upgrade σε 4GB. Από τα screenshots είδα ότι είχε 30GB δίσκο, και CPU Intel Atom C2358. Οπότε προχώρησα στην αγορά του και από πέρισυ το έχω εγκατεστημένο και δουλεύει μαι χαρά. Δεν είναι τόσο σφεντόνα όσο το Dell, αλλά δεν έχει κανένα πρόβλημα μέχρι στιγμής. ενδεικτικά στατιστικά χρήσης τελευταίου μήνα:

Πατήστε στην εικόνα για να τη δείτε σε μεγέθυνση.

Όνομα: Sophos.JPG
Εμφανίσεις: 34
Μέγεθος: 52,6 KB
ID: 225103

Βέβαια πάντα στο πίσω μέρος του μυαλού μου έχω την ύπαρξη του Intel Atom C2000 series bug. Δε νομίζω ότι το πρόβλημα παρουσιάζεται σε όλα τα μηχανήματα, αλλά αυτό δεν σημαίνει ότι αποκλείεται κιόλας. Οπότε έχω πάντα το νου μου.
Υπάρχουν πολλά decommissioned firewalls στο ebay, αλλά το πρόβλημα είναι αυτό που ανέφερα και πριν, ότι δεν μπορείς να ξέρεις τι επεξεργαστή έχουν και αν η μνήμη ή ο δίσκος είναι upgradable. Οπότε όποιος έχει γνώση/πρόσβαση σε κάποιο και μπορεί να μοιραστεί χαρακτηριστικά τους με άλλους, νομίζω ότι θα βοηθούσε αρκετό κόσμο.
Μιλάμε πάντα για μικρού μεγέθους, desktop form factor μηχανήματα με μικρό footprint, αλλά ακόμη και από μεγαλύτερα rack-mount αν ξέρουν κάποιοι, ίσως και αυτό φανεί χρήσιμο (σε λιγότερους ίσως, αλλά και πάλι)
Από την προσωπική μου εμπειρία λοιπόν:

Spoiler:

Τα παραπάνω δεν είναι όλα στην κατηγορία τιμής που ανέφερα παραπάνω (200-250) αλλά τα αναφέρω γιατί αυτή η τιμή είναι δικό μου κριτήριο, όχι κριτήριο για όλους.
Οπότε παιδιά αν θέλετε/μπορείτε/ξέρετε κάποια τέτοια μηχανάκια και μπορείτε, παρακαλώ απαντήστε. Βάζω για copy/paste για να είναι ομοιόμορφα αν κάποιος θέλει να το χρησιμοποιήσει:

<?PHP:


[B]ΝΑΜΕ[/B]
CPU: 
HDD installed/upgradable: 0GB / Yes, Sata
Memory installed/upgradable: 0GB/Yes 
Max memory : 0GB (0 slots)

Επίσης αν κάποιος έχει βρει κάτι και δεν ξέρει τι hardware έχει, με μια ερώτηση εδώ ίσως βρεθεί κάποιος που να μπορεί να απαντήσει..

Off Topic

Spoiler:

**K1m0n** · 01-03-21, 16:40

Φτηνό/αξιόπιστο/διαθέσιμο =apu2/3/4, δεν έχει το καλύτερο perf/$ αλλά δεν χαλάνε.
Φτηνό/αξιόπιστο?/από Κίνα = qotom/yanling και αντίστοιχα, από atom & celeron J μέχρι (mobile) i7 και intel nics (έχουν και σε 1u).
Για σοβαρή δουλειά = supermicro κλπ (intel/dell/hp/etc).
Φτηνά για το σπίτι, και δεν πειράζει αν χαλάσει = όποιο φτηνό sff pc από e-bay + intel nic.

Όλες αυτές οι διανομές είναι linux/bsd x86, oι δυνατοί συνδυασμοί που υποστηρίζονται είναι άπειροι.
Βασικά, αν το υποκείμενο os υποστηρίζει την αρχιτεκτονική και τις nics κατά πάσα πιθανότητα θα παίξει ok.

Το πρόβλημα με τα παλιά firewalls απο e-bay είναι ότι α) έχουν δουλέψει χρόνια 24/7,
και τα πιο μεγάλα δεν είναι passive οπότε ίσως κάποιος δεν τα θέλει να τα ακούει στο σπίτι.
Αν δεν θέλει κανείς να χρησιμοποιήσει το stack του vendor δεν νομίζω να έχει νόημα.
Άσε που μικρό/passive firewall δεκαετίας θάχει κάναν atom 525 μέσα, και σήμερα θάναι λίγος.

Για οικιακή χρήση θάπαιρνα ένα Κινέζικο και θα εβαζα πάνω sophos ή untangle.

**ChriZ** · 01-03-21, 17:52

Καλησπέρα φίλε μου
Συμφωνώ με αυτά που λες, σε κάθε περίπτωση είναι λίγο πολύ γνωστά τα μηχανάκια που αναφέρεις
Ο σκοπός του θέματος είναι γνώσεις κάποιων σχετικά με συγκεκριμένα μηχανάκια, όμως
Όσον αφορά στα παλιά firewalls που δουλεύαν χρόνια 24/7, να σου πω την αλήθεια:
1. Αυτή είναι η δουλειά τους.
2. Στη συντριπτική τους πλειοψηφία δουλεύουν σε ελεγχόμενα περιβάλλοντα (κλιματιζόμενα, με φίλτρα αέρα κλπ) που σίγουρα είναι καλύτερα από μια desktop χρήση οποιουδήποτε desktop, ενώ κάποια μπορεί να ήταν cold spares για χρόνια
3. Για το cooling γι'αυτο είπα για μινι PC με μικρό footprint - τα rack mounted δεν είναι για σπίτι... έχω 2 - εδώ και 4 χρόνια - decommissioned checkpoint 4400, αλλά πέρα ότι είναι πλέον αρκετά παλιά, δεν είναι για "σπίτι"
4. Αν κάποιος ξέρει τα χαρακτηριστικά κάποιων από αυτά τα παλιά firewall είναι plus - για παράδειγμα το barracuda το είχα πάρει €70 συν μεταφορικά από Ιταλία. Τώρα αν αυτό ήταν σε ένα μικρό computer room κλιματιζόμενο ή ήταν cold spare για μια μικρή εταιρία δεν το ξέρω. Πάντως ήταν σε πολύ καλή κατάσταση και του έβαλα και έναν 40άρη Noctua μέσα για ψύξη επειδή το εχω σε κλειστό ντουλάπι. Συνολικά λοιπόν 70+35 μεταφορικά και ανεμιστήρας, άρα 105 ευρώ για c2358 με 4 Intel πορτες, 4GB Ram και 30GB δίσκο. δεν το λες άσκημο. Τέτοιες περιπτώσεις εννοώ..

**K1m0n** · 01-03-21, 18:14

Σε κάποια asa/sophos/juniper/zyxel που είχα χρειαστεί specs με λίγο google-fu τα βρήκα,
συνήθως είναι κρυμμένα για το κοινό και διαθέσιμα για τους συνεργάτες/resellers.
Θυμάμαι είχε ένα σχετικό thread το παλιό forum του pfsense με πολλές πληροφορίες για x86 firewall appliances,
(και την ενδεχόμενη καταλληλότητα τους για χρήση με pf) αλλά έτσι όπως είναι η κατάσταση με το pf δεν ξέρω αν είναι διαθέσιμο πλέον.

**ChriZ** · 01-03-21, 20:58

Ναι αυτό ακριβώς είναι το πρόβλημα..
Και μπορεί κάποιος να βρει κάτι σε πολύ καλή τιμή γιατί ο πολύς κόσμος δεν ξέρει ότι αυτό που είναι π.χ. σε ένα auction στο eBay μπορεί να το χρησιμοποιήσει οποτε τα αγνοουν.
Έτσι είχα πάρει εγώ το f18, σε auction δεν ενδιαφερόταν κανεις.
Στο συγκεκριμένο βέβαια ο πωλητής ανέφερε το pfsense και την παραπάνω ram, οπότε ίσως και να είχα φανεί τυχερός (ή μπορεί να φταίει το ότι ο πωλητής ήταν Ιταλία και καμια φορά το ebay φέρνει κουλα αποτελέσματα και μπορεί ανάλογα το που είσαι να μην εμφανίζονται κάποια.)
Π.χ τωρα τέτοιο με κάτω από 250 δε βρίσκεις...
Υπάρχουν όμως και περιπτώσεις που βρίσκω μηχανάκια που είναι οκ από cpu αλλα δεν έχουν πολύ ram, και αν δεν είσαι σίγουρος ότι δεν την έχουν soldered (ποτε δεν ξέρεις η κάθε barracuda π.χ. τι απαιτήσεις έχει απο τους ΟΕΜ κατασκευαστές ώστε να ωθεί πελάτες σε μεγαλύτερο μοντέλο με τέτοια τρικ) δεν μπορείς να το ρισκάρεις
Και εν πάση περιπτώσει, δεν είναι λίγες οι φορές που βρίσκω κάτι καλό και μέχρι να ξετρυπωσω τα specs (επειδή τα κρύβουν όπως ανέφερες και συ) τελειώνει το bidding ...
Ένα αλλο παράδειγμα ειναι το L-50 που ανέφερα στο 1ο ποστ τα έβρισκες πριν λίγο καιρό με 25-30 ευρώ στο eBay. Μπορει να μην είναι x86 για sophos, untangle, pfsense κλπ, αλλα με το openwrt σκοτώνει και φυσικά απο θέμα ποιότητας κατασκευής δεν εχει καμια σχέση με τα ρουτερ των 50-60 ευρώ που βρίσκεις για openwrt στο εμπόριο.

**macro** · 02-03-21, 10:51

Δοκιμαστε και αυτο και κατα πασα πιθανοτητα θα μεινετε εκει, οσων αφορα το software.

**ChriZ** · 02-03-21, 11:31

Έχω ακούσει ότι είναι καλό... Βέβαια για τους home user υποθέτω εννοείς το community edition.
Δεν μπορώ να βρω τι διαφορές έχει το express από το κανονικό
Και βλέπω ότι η τελευταία έκδοση του express είναι από τον Οκτώβριο του '14 ??? (!!!)

**BillyVan** · 02-03-21, 12:04

Αρχικό μήνυμα από ChriZ

Έχω ακούσει ότι είναι καλό... Βέβαια για τους home user υποθέτω εννοείς το community edition.
Δεν μπορώ να βρω τι διαφορές έχει το express από το κανονικό
Και βλέπω ότι η τελευταία έκδοση του express είναι από τον Οκτώβριο του '14 ??? (!!!)

Βγαζουν sp

Ειναι στο 5 τωρα απ τον Ιουλιο του 2020 αν δεν κανω λαθος.

**ChriZ** · 03-03-21, 15:34

Βρήκα καποια ακόμα specs για sophos aplliances:
Η μνήμη δεν μπορώ να πω με σιγουριά αν είναι upgradable
Τα 2 τελευταία κατά πάσα πιθανότητα ναι
Το max memory είναι το max που υποστηρίζει ο επεξεργαστής

Spoiler:

**K1m0n** · 03-03-21, 15:47

Αρχικό μήνυμα από ChriZ

Βρήκα καποια ακόμα specs για sophos aplliances:
Η μνήμη δεν μπορώ να πω με σιγουριά αν είναι upgradable
Τα 2 τελευταία κατά πάσα πιθανότητα ναι
Το max memory είναι το max που υποστηρίζει ο επεξεργαστής

Spoiler:

Τα sophos, παλαιότερα (επί εποχών UTM) είχαν ένα work-around
που επέτρεπε να εγκατασταθεί/ενεργοποιηθεί η home/free έκδοση του sophos στα appliances.
Και αυτά είχαν εγγυημένη συμβατότητα με το image του UTM.
Δεν ξέρω αν ισχύει ακόμα σήμερα, αλλά θα γράφουν τα σχετικά στο forum τους.
Πέραν αυτού, όλα αυτά τα μικρά (1.x) ίσως πέσουν μικρά σε χρήστη 200-άρας ή ftth,
με όλα τα features του sophos (ή του όποιου αντίστοιχου firewall) on.
Το (max) throughput που δίνουν με μεγάλα γράμματα είναι για routing + βασικό firewalling.
Αν θέλει κανείς επιπλέον και snort και vpn και ssl inspection και av, τα νούμερα αλλάζουν (πολύ).

Βασικά, αν θέλει κανείς να δει τι γίνεται στην πραγματικότητα,
πρέπει να βρεί το sizing guide του x vendor που έχει σχετικούς πίνακες.

**ChriZ** · 03-03-21, 16:23

Περιορισμό δε νομίζω πως είχε ποτέ.
Η εγκατάσταση, σε περίπτωση που είχες appliance δεν σε άφηνε κανονικά να βάλεις το home license, αλλά μπορούσες να πειράξεις κάποια αρχεία μέσω ssh για να το δεχτεί.
Αλλά σε κάθε περίπτωση με το iso μπορείς να κάνεις εγκατάσταση οπουδήποτε
Το μόνο που χάνεις είναι ότι αν βάλεις το iso του software appliance σε 1U+ appliance με LCD δεν δουλεύει η LCD
Τα 115,125,135 νομίζω ότι δεν έχουν θέμα με 100άρα
Τα μικρότερα νομίζω είναι μια χαρά για 100άρα αλλά με pfsense που είναι λίγο πιο ελεφρύ σε νορμάλ συνθήκες
Τώρα για untangle/ipfire κλπ δεν ξέρω τι απαιτήσεις έχουν..

**BlueChris** · 04-03-21, 09:03

Η δικιά μου εμπειρία είναι απο το untangle. Εχω μεγαλο licence στη δουλεια για 50 συσκευες και τη home εκδοση για το σπιτι. Γενικα δοκιμασα το untangle πριν 5-6 χρονια στο σπιτι αφου ειχα περασει απο τα παντα λογο QoS. Ηταν το μονο τοτε που ειχε το καλυτερο QoS σε μια γραμμη 12mbit που ειχα σπιτι.
Το συστηνω ανεπιφυλακτα και προσφατα το εβαλα στον κολλητό μου πανω σε ενα τετοιο.
https://shop.alfanet.gr/desktop-pcs-...i3-4th-gen.htm
Το πηρε γύρω στα 150€ αν θυμαμαι καλα και πανω εβαλα 16gb ram και εναν 120αρι ssd. Με esxi σηκωσα 3 vm , ενα untangle me 5gb ram ενα pihole και ενα freepbx. Βασικα και 8gb φτανουν.
2η καρτα δικτυου δεν χρειαζεται. Παιρνεις ενα dlink ή οποιοδήποτε παιδικο switch με vlan και τελος.
Τωρα αλλαξε κατι στο untangle home. Μεχρι πριν λιγο καιρό με 50€ το χρονο ειχες τα παντα στο untangle αλλα πλεον με τα 50€ εχουν βγαλει εξω το wan balance, το wan failover και το νεο τους thread prevention(υπερβολικο που στη δουλεια και σπιτι ακομα παλευω να το ρυθμισω γιατι κοβει τα παντα). Στο φιλο πηρα το απλο licence. Το μεγαλο licence κανει πλεον 150€ αλλα δεν αξιζει να δωσεις τοσα.

Δουλευει σε 100/10 γραμμή μια χαρα και το μηχανημα καίει και ελαχιστο ρευμα που είναι κατι σημαντικο για μενα.

**ChriZ** · 04-03-21, 10:45

Αυτά τα tiny είναι πολύ καλά, όντως.
Υπάρχουν και μερικά που έχουν δυνατότητα για μια pcie κάρτα, οπότε είναι και πιο απλά τα πράματα.

**kiriakk** · 07-03-21, 12:13

επειδή ήθελα συγκεκριμένα specs όσον αοφορά NICs και δεν έβρισκα Ελλάδα,
είχα αγοράσει από εδώ

https://www.picopc.co/products/netwo...e-servers.html

ένα κουτάκι με 4 θύρες LAN, με Intel Atom, πριν 3 περίπου χρόνια για 200 περίπου ευρώ,
έβαλα και 8 gb RAM και ένα SSD 128

και το έχω από τότε με Sophos XG, δεν κάνω βαριά χρήση, home user πιο πολύ από φαγούρα + κάποια πράματα που χρειάζομαι όπως VPN server, adblock, monitoring κλπ

τα λεφτά που έδωσα παραπάνω σε hardware πιστεύω τα γλίτωσα από ρεύμα,
καίει μετρημένα γύρω στα 6 W
και επίσης είναι fanless οπότε τελείως αθόρυβο

παίζω και με την ιδέα να μεταβώ σε open source όπως OPNsense, αλλά για την ώρα το XG τα κάνει σχεδόν όλα και πολύ εύκολα

**BlueChris** · 07-03-21, 17:09

Αρχικό μήνυμα από kiriakk

επειδή ήθελα συγκεκριμένα specs όσον αοφορά NICs και δεν έβρισκα Ελλάδα,
είχα αγοράσει από εδώ

https://www.picopc.co/products/netwo...e-servers.html

ένα κουτάκι με 4 θύρες LAN, με Intel Atom, πριν 3 περίπου χρόνια για 200 περίπου ευρώ,
έβαλα και 8 gb RAM και ένα SSD 128

και το έχω από τότε με Sophos XG, δεν κάνω βαριά χρήση, home user πιο πολύ από φαγούρα + κάποια πράματα που χρειάζομαι όπως VPN server, adblock, monitoring κλπ

τα λεφτά που έδωσα παραπάνω σε hardware πιστεύω τα γλίτωσα από ρεύμα,
καίει μετρημένα γύρω στα 6 W
και επίσης είναι fanless οπότε τελείως αθόρυβο

παίζω και με την ιδέα να μεταβώ σε open source όπως OPNsense, αλλά για την ώρα το XG τα κάνει σχεδόν όλα και πολύ εύκολα

Πόσο πληρώνεις για αυτό? Ή έχεις την free έκδοση?
Θέλω να το κατεβάσω να το δοκιμάσω σε vm σε καποια φάση γιατί το untangle home το πήγαν από 50€ που τα είχε όλα σε 50€ χωρίς το wan balance, wan failover και wireshark και 150€ το full. Οκ όσο ανανεώνω το παλιό μου licence, αιώνια 50 θα πληρώνω αλλά θέλω να βάλω σε 2-3 σημεία και το σκέφτομαι.

Θέμα: Επιλογές hardware για Firewall/UTM

Bookmarks

Bookmarks

Δικαιώματα - Επιλογές