2x 10gbit RJ45 PC als Firewall

[Nighthawk_]

Hallo zusammen,

Ich suche ein Mainboard das folgendes unterstützt, entweder direkt oder ueber Erweiterungskarten.

6-8 cores (12-16 threads) low TDP, integrated GPU
2x PCIe 2/3/4/5 x4 fuer je eine 10gbe RJ45 Karte oder direkt auf dem Mainboard

Mit diesen Parameter moeglichst wenig Stromverbrauch und damit so leise wie moeglich, jedoch nicht fanless.

Das Ganze wird eine IPfire Firewall an einer symmetrischen 10gbe Leitung betreiben.

Bin fuer Vorschlaege sehr dankbar.

Selber bin ich auf Supermicro X10SDV-7TP4F-O gestossen, aber ist ziemlich teuer und schwer zu bekommen...

 

[IBISXI]

Du kannst einen Ryzen 5600G oder 5700G nehmen, Board nach Wahl.

Und eine Dual Intel 10GBe Karte.

Serverhardware macht für einen Router wenig Sinn oder?
(Da wenig komplex und supereinfach zu portieren)

Falls Du ECC willst, Ryzen Pro:
https://geizhals.at/amd-ryzen-7-pro-5750ge-100-000000257-a2536559.html

 

[Nighthawk_]

Serverhardware macht für einen Router wenig Sinn oder?

Ich moechte einfach moeglichst wenig Ärger haben. Das System sollte nicht zu teuer werden, aber wenn alles stimmt gebe ich dennoch gerne bissl mehr aus. Moechte einfach nicht basteln.

 

[madmax2010]

10SDV-7TP4F-O gestossen,

nicht teuer. aber steinalt. Keine kurz-vor-end-of-life Hardware kaufen ;(

Du kannst einen Ryzen 5600G oder 5700G nehmen, Board nach Wahl.

je nachdem was die FW tut ists fraglich ob die CPU 10 Gbit/s schafft

darum erstmal: welche anforderungen werden an die firewall gestellt?

 

[dvor]

2x PCIe 2/3/4/5 x4 fuer je eine 10gbe RJ45 Karte

Gibt es für die Einschränkung einen Grund? Eine PCIe Karte mit 2 10er-NICs ist nicht erwünscht? PCIe3 x 4 hat genug Bandbreite für 2 Schnittstellen.

 

[Nighthawk_]

darum erstmal: welche anforderungen werden an die firewall gestellt?

Fair. Privat Bereich. Nix wildes. OpenVPN ist wohl das Anspruchsvollste da nicht gut mit mit Cores skaliert...

 

[IBISXI]

Ich moechte einfach moeglichst wenig Ärger haben

Wo soll es da Ärger geben?
Auf dem Board steckt eine CPU, Speicher und eine Netzwerkkarte.

 

[Nighthawk_]

Gibt es für die Einschränkung einen Grund? Eine PCIe Karte mit 2 10er-NICs ist nicht erwünscht? PCIe3 x 4 hat genug Bandbreite für 2 Schnittstellen.

Nicht wirklich. Ich hab nur kurz auf Kosten und Verfügbarkeit geguckt und da waren die Dual NICs nicht wirklich verfügbar...

 

[IBISXI]

Würde Wireguard anstatt OpenVPN empfehlen, ist schneller und viel sparsamer.

Ergänzung (7. September 2022)

Dual NICs nicht wirklich verfügbar...

RJ45?

 

[wern001]

So Intel-Serverkarten übernehmen viele TCP-IP Funktionen. Bei günstigen Karten wird das per Treiber an die CPU weitergegeben und je höher die Bandbreite desto mehr CPU-Last nur für die Netzerkkarten.

 

[Nighthawk_]

Wo soll es da Ärger geben?
Auf dem Board steckt eine CPU, Speicher und eine Netzwerkkarte.

Weiss nicht, hab nicht genug Zeit um ein System komplett abzustimmen. Braucht ja inzwischen nen Doktortitel um noch durch zu blicken..RAM Timings blabla. Daher meine Frage an die Profis hier.

Würde Wireguard anstatt OpenVPN empfehlen, ist schneller und viel sparsamer.

Geht leider nicht da IPfire sich bis jetzt standhaft weigert das zu implementieren.

 

[madmax2010]

RJ45?

wuerde ich bei 10g nicht hoffen..

Dual NICs nicht wirklich verfügbar...

vorsicht. 10g hardware ist heutzutage noch wackelig. Wenn du selber bauen willst, nimm halt eine x710-t2 oder so

aber ganz ehrlich: kauf dir sowas hier. Hat ne firewall, hat hardwarebeschleunigung fuer ipsec. Wuerde mich wundern, wenn du mit einem high-end Xeon zum 5-Stellgigen Preis die Performance bekommst
https://mikrotik.com/product/ccr2004_16g_2splus#fndtn-testresults

Geht leider nicht da IPfire sich bis jetzt standhaft weigert das zu implementieren.

das ist bei ipfire drin
das ist seit Jahren im kernel


wenn du wirklich 10 gbits, bei immernoch unbekannten weitern anforderungen, durch eine firewall jagen willst und in allen Situationen 10g voll erreichen willst, wird der Spass 5 Stellig kosten.

 

[Nighthawk_]

wuerde ich bei 10g nicht hoffen..

Weshalb nicht? Habe Cat 7 Kabel.

Mikrotek sieht ok aus, aber ich will meine IPfire Loesung.

 

[madmax2010]

Weshalb nicht? Habe Cat 7 Kabel.

Cat. 5 Reicht im Heimnetz für 10. Glasfaser ist halt billiger. Sowohl die Transciever als auch die Kabel und alle Hardware aussen herum. Via kupfer brauchst du fast 10x mehr Strom

 

[IBISXI]

Dual NICs sind tatsächlich schlecht zu bekommen.

evtl. Quad?
https://geizhals.at/intel-x710-t4l-x710t4l-a2380989.html?hloc=eu&nocookie=1

Weiss nicht, hab nicht genug Zeit um ein System komplett abzustimmen.

B550 Brett, CPU drauf, Speicher rauf, XMP laden oder nicht, fertig.

 

[Nighthawk_]

das ist bei ipfire drin
das ist seit jahren im kernel

Show me please ohne selber was rum zu basteln

https://community.ipfire.org/t/wireguard-now-that-ipfire-is-on-kernel-5-10/6571/17

Ergänzung (7. September 2022)

Cat. 5 Reicht im Heimnetz für 10. Glasfaser ist halt billiger. Sowohl die Transciever als auch die Kabel und alle Hardware aussen herum. Via kupfer brauchst du fast 10x mehr Strom

Ja, verstehe ich. War aber in der Mietwohnung nicht anders sinnvoll machbar. Recht hast natürlich trotzdem.

 

[IBISXI]

Glasfaser ist halt billiger.

Ja, nicht nur die Anschaffung, auch der Energieverbrauch.

 

[Nighthawk_]

evtl. Quad?
https://geizhals.at/intel-x710-t4l-x710t4l-a2380989.html?hloc=eu&nocookie=

Daher meine Initiale Idee mit den 2 Einzel NICs, da die fuer wenig geld hinterher geschmissen bekommst und nicht 750 Euro ausgeben musst...

 

[wern001]

wuerde ich bei 10g nicht hoffen..


vorsicht. 10g hardware ist heutzutage noch wackelig. Wenn du selber bauen willst, nimm halt eine x710-t2 oder so

aber ganz ehrlich: kauf dir sowas hier. Hat ne firewall, hat hardwarebeschleunigung fuer ipsec. Wuerde mich wundern, wenn du mit einem high-end Xeon zum 5-Stellgigen Preis die Performance bekommst
https://mikrotik.com/product/ccr2004_16g_2splus#fndtn-testresults

Ich hab ein Supermicro X10DRI-T mit 2x E5-2667 V4 und 2x 10G LAN RJ45 Onboard und das rennt super stabieeeeel

 

[madmax2010]

Tatsache.. DIe haben aktiv das wg modul raus geworfen.
Andere Distri gefällig?

ich will meine IPfire Loesung.

gut, dann sag uns ein budget oberhalb von 10.000 Euro oder exakte Anforderungen an die hardware.
wie viele pakete pro sekunde bei welcher mtu.
10 gbit/s wirst du mit openvpn und x86 vergessen können. AES-NI hat seine Limits..

Ich hab ein Supermicro X10DRI mit 2x E5-2667 V4 und 2x 10G LAN und das rennt super stabieeeeel

jo ist geil - oben ging ich noch von im Unternehmen aus. Privat ist das sogar OK.

Andererseits nutzt er eine gehärtete Distri, aber dann ein Board nehmen, dass relativ bald EOL ist, führt das ganze doch ad absurdum.