OpenWRT vs den Rest der Welt

[DFFVB]

Guten Morgen,

ich frage mich gerade, da eine neue OpenWRT Version veröffentlicht wurde, wer sollte aus welchen Gründen noch wirklich darauf setzen? Was kann das besser als ein pfsense / OPNsense oder gar ein Sophos XG? einzige Punkt den ich mir vorstellen könnte - es ist ggf etwas ressourcenschonender...

 

[airwave]

Läuft auf jedem Gerät.

Access Point? Klatsch openwrt drauf.
router? klatsch openwrt drauf.

pfsense läuft nicht auf jedem gerät, ich bau mir gerade selbst n potenten 10G pfsense router, habe aktuell aber selbst noch einen linksys wrt 1900ACS im einsatz mit dd-wrt drauf.

was z.b. bei dd-wrt schön ist: Out of the box funktioniert usb tethering vom iphone via usb als "5G modem" und mit wenig aufwand hast ein "multi-wan" system gebaut (heir fällt DSL oft aus, deswegen hab ich in dd-wrt jetzt multiwan eingerichtet mit DSL + thetering leitung vom iphone.

das (tethering) ist in pfsense schon mehr aufwand (treiber, usb config, etc.) was in dd-wrt zwei klicks sind.

 

[b1nb4sh]

Die Frage lautet wie immer, was willst du haben?
Verschiedene Hardware und trotzdem dasselbe OS? Gibt es nur via OpenWRT.
UCI ist schon verdammt schön und OpenWRT baut gerade den Support für Switches aus. Habe in meinem Homelab gerade einen Zyxel GS1900-8HPv2 mit OpenWRT laufen und muss sagen, dass Ding kann nun auch L3 Features.
Natürlich muss man Abstrichen machen, aber die Probleme werden immer weniger. Mittlerweile funktioniert das POE Budget auch und die Problemelösungen mit LACP sind in Arbeit.

 

[Marco01_809]

Die bedienen doch völlig unterschiedliche Anforderungen bzw. Nutzergruppen...
pfsense/OPNsense laufen nur auf x86_64 CPUs mit Minimum 1/2GB RAM und 8/4 GB Flash. Also richtige Computer bzw. Server.
OpenWRT ist eine Alternativfirmware für consumer router mit MIPS und ARM-CPUs ab 8MB flash und 64MB RAM und unterstützt über 1100 verschiedene Geräte ...
Die Frage ist also eher, wer hat überhaupt ein low-power x86_64 Gerät mit mehreren Ethernet-Ports rumliegen um pfsense/OPNsense einzusetzen bzw. wie hoch sind die Anschaffungskosten dafür? Geräte die von OpenWRT unterstützt werden kriegt man Neu schon für 40€ und da hast du dann Router, Switch und Access Point in einem Gerät.

 

[Wertzius]

OpenWRT läuft eben auch auf alten Rotern, Reiseroutern oder 4G Routern und deckt somit auch einfach andere Anwendungszwecke ab.

 

[AAS]

Guten Morgen,

ich frage mich gerade, da eine neue OpenWRT Version veröffentlicht wurde, wer sollte aus welchen Gründen noch wirklich darauf setzen? Was kann das besser als ein pfsense / OPNsense oder gar ein Sophos XG? einzige Punkt den ich mir vorstellen könnte - es ist ggf etwas ressourcenschonender...

Ich nutze alle genannten 3 Firewalls.
OpenWRT läuft in der Wohnung auf einem ARM basierten Netgear Router, dieser schafft bei minimalem Stromverbrauch +100 MBits per SSL VPN: Hat WLAN integriert, ist ein Docker Host auf welchem Home Assistant läuft inkl. angebunden ZigBee Stick. Der Switch ist VLAN fähig und und und.
Und das bei minimalen Stromverbrauch.

Die Sophos XG läuft in meinem mini Datacenter aka Hobby Raum, wo ich mehr Anforderungen habe und Power brauche. (i5 9400, 8GB RAM, 10GBE Netzwerkkarte)

Die pfsense Nutze ich gerne als virtuelle Firewall, wenn ich etwas nachstellen will oder für Übungszwecke.

 

[hildefeuer]

Klar doch läuft open Wrt auf vielen Routern. An Glasfaseranschlüssen ist es trotzdem unbrauchbar inkompatibel. Das trifft für Deutsche Glasfaser und Nothern Access zu.

 

[Marco01_809]

An Glasfaseranschlüssen ist es trotzdem unbrauchbar inkompatibel. Das trifft für Deutsche Glasfaser und Nothern Access zu.

Inwiefern? Bei Telekom scheint es keinen Unterschied zu VDSL bei der Konfiguration zu geben: https://gist.github.com/madduci/8b8637b922e433d617261373220be44c
Und im Forum wird behauptet Deutsche Glasfaser geht einwandfrei mit OpenWRT-Standardeinstellungen: https://forum.openwrt.org/t/germany-setting-up-wan-with-isp-deutsche-glasfaser/103675

 

[till69]

OpenWRT ist ein Schweizer Taschenmesser, Node-Red auf dem einem Router ist schon recht cool.

 

[DFFVB]

Danke euch für die Rückmeldungen.

Wenn ich das mal zusammenfasse ist der Tenor, dass OpenWRT auf deutlich mehr Hardware läuft (eben weil ressourcenschonender). Wenn wir mal aber auf Feature-parität schauen, wie sieht es dann aus?

Mein Gedankengang ist wie folgt:

Ich habe einen Standard-Router - dessen Funktionalität reicht mir nicht, also rüste ich auf, klar kann OpenWRT deutlich mehr als die mesiten Heim-Router - ABER wenn ich schon aufrüste, warum, dann nicht gleich eine der genannten? Insbesondere mit Hinblick auf Sicherheitsfeatures (IPS / IDS). Und mit Hinblick auf die Hardware, ja klar läuft OpenWRTR auf viel Hardware, leider aber auch oft alte Hardware, und wenig neues, was wirklich leistungsstark ist....

 

[b1nb4sh]

Du kannst auch OpenWRT auf x86 Hardware laufen lassen, so ist es nicht. In OpenWRT musst du halt vieles selber umsetzen, da ist OpnSense, was gerade ZenArmor angeht, viel einfacher.
Wie viel Zeit bist du bereit in ein Projekt zu stecken? Natürlich wird dein Wissensgewinn enorm sein

 

[hildefeuer]

Fakt ist das open WRT bei Northern Access nicht funzt bei einem im April 22 geschalteten Anschluss. Einwahl via pppoe Benutzername Pwd funzt mit v19 nicht. Neuere Versionen scheiden ja vielfach aus, weil WLAN nicht funzt.

 

[Marco01_809]

ABER wenn ich schon aufrüste, warum, dann nicht gleich eine der genannten?

Wie gesagt, Frage des Budgets und/oder bereits vorhandener Hardware. Ich selbst bevorzuge es mit Linux-Systemen zu arbeiten da ich davon eh jede Menge betreibe.

Und mit Hinblick auf die Hardware, ja klar läuft OpenWRTR auf viel Hardware, leider aber auch oft alte Hardware, und wenig neues, was wirklich leistungsstark ist....

Da OpenWRT auch x86 anbietet und damit theoretisch auch auf allen Geräten läuft die OPNsense und pfsense unterstützen zieht das Argument irgendwie nicht... Aber klar, dann kann man auch gleich ein auf leistungstärkeres OS gehen.

Fakt ist das open WRT bei Northern Access nicht funzt bei einem im April 22 geschalteten Anschluss. Einwahl via pppoe Benutztername Pwd funzt mit v19 nicht.

Ja und funktioniert es denn mit irgendeinem anderem System oder verstößt der Anbieter hier einfach gegen die Routerfreiheit? Zudem natürlich Unsinn mit einer Version zu versuchen die fast 3 Jahre älter als dein Internetanschluss ist und schon länger keine Sicherheitsupdates mehr bekommt...

Neuere Versionen scheiden ja vielfach aus, weil WLAN nicht funzt.

Das ist mir neu. Bei der schieren Anzahl an Geräten die OpenWRT unterstützt können sie natürlich nicht jedes von Hand testen.. da muss man dann schonmal einen Bug einreichen oder sich an die populäreren Geräte halten.

 

[Bob.Dig]

Denke eher, OpenWrt ist zu aller erst ein Router und keine dedizierte Firewall. pfSense ist beides, braucht aber deutlich mehr Ressourcen. Kann man daher nicht wirklich vergleichen.

Regeln, wie ich sie in der pfSense-GUI erstellen kann, auf OpenWrt zu erstellen, ist vermutlich gar nicht möglich oder ungleich schwieriger zu bewerkstelligen.

Ich nutze die OpenWrt-VMs als einzelne WG-Clients für die pfSense, weil mein VPN-Anbieter die Sense nicht mag.

 

[Marco01_809]

@Bob.Dig Also da geht schon einiges, mit der GUI erreich ich auf den ersten Blick alles was ich mit netfilter (ehemals iptables) so anstellen wollen würde und das sind ja zweifellos mächtige Werkzeuge.

 

[Bob.Dig]

Also da geht schon einiges, mit der GUI erreich ich auf den ersten Blick alles

Aber es erfordert einiges mehr an Einarbeitung und wenn ich so gucke, dass ich in pfSense 24 verschieden Interface mit individuellen aber auch übergreifenden Regeln habe, dann will ich das glaube ich nicht in OpenWrt nachbauen.
Und falls doch, weiß ich jetzt, wen ich fragen werde. 😉

 

[b1nb4sh]

Aber es erfordert einige mehr an Einarbeitung und wenn ich so gucke, dass ich in pfSense 24 verschieden Interface habe mit individuellen aber auch übergreifenden Relgen , dann will ich das glaube ich nicht in OpenWrt nachbauen.

Du meinst hier eher die Floating Rules oder einfach ein Interface Group ? Bei OpenWrt macht man das eher mit ipset.
OpenWRT Wiki

Man kann hier richtig gut erkennen, dass beide Systeme andere Ansätze haben...

 

[Bob.Dig]

Du meinst hier eher die Floating Rules oder einfach ein Interface Group ?

Beides. Und ich mache grundsätzlich nur GUI, deswegen bleibe ich bei der Sense.

 

[linuxnutzer]

gerade einen Zyxel GS1900-8HPv2 mit OpenWRT laufen und muss sagen, dass Ding kann nun auch L3 Features.

Hab 3 GS1900, aber noch nicht in Verwendung. Funktioniert L3 nicht auch mit der Stock-FW? WIe hast du geflasht? Ich habe bis jetzt nur die Zyxel-Updates gefflahst, komme aus diversen Gründen seit längerer Zeit nicht dazu das Netzwerk neu zu konzeptionieren.

https://git.openwrt.org/?p=openwrt/openwrt.git;a=commit;h=e6ba970b6ef2289a2a4d3dd6c0c158ee8d10160f

Connect serial, power up the switch, interrupt U-boot by hitting the space bar, and enable the network

Das ist jedenfalls nicht so einfach wie ein File mit der Stock-FW zu flashen. Ich will immer erst dann umstellen, wenn ich mit der Stock-FW an Grenzen stoße.

UCI ist schon verdammt schön

Ich komme manchmal mit LUCI gar nicht klar, aber mit einem Editor die entsprechende Datei zu verändern, hat schon was, wenn man mehrere gleiche Geräte hat. Verbinden via ssh, die Gerät vom anderen Gerät ein wenig anpassen und fertig.

Läuft auf jedem Gerät.

Meinst du jetzt Openwrt? Das wäre ganz sicher falsch. Wenn man nach einem aktuell neu kaufbarem Gerät sucht, ist es gar nicht so einfach eines zu finden wenn man bestimmte Vorstellungen, speziell beim Chip, hat. Ich versuche seit Jahren immer was zu kaufen, wo man auch Openwrt flashen kann und das ohne große Klimmzüge. TFTP ist für mich die Grenze des akzeptablen, aufschrauben und mit einer seriellen Konsole rumspielen ist mir in der Regel zuviel, ich glaube, das kann einem eventuell beim GS1900 passieren, bin nicht aktuell, ob da die Probleme mittlerweile behoben sind.

https://openwrt.org/toh/buyerguide

https://openwrt.org/toh/start

Letztlich finde ich es ziemlich schwierig ein Gerät mit den gewünschten Features zu finden, das aktuell erhältlich und auch preislich interessant ist.

Was kann das besser als ein pfsense

Das kann ich nicht beantworten, aber wenn man einen wireless bridged Router braucht, dann scheitert man in der Regel mit der Stock-FW. Deswegen bin ich dafür auf Openwrt schon vor 10 Jahren umgestiegen. Und wenn nach einem Update der Stock-FW das Gerät nicht mehr brauchbar ist, dann ist man auch froh Openwrt flashen zu können. Vgl https://www.computerbase.de/forum/t...ter-repeater-etc.2101481/page-3#post-27324371

Ich gebe aber gerne zu, dass es mit Openwrt schwierig werden kann, vor allem, wenn man nur Halbwissen hat und das nie im Detail gelernt hat.

Vorteil bei openwrt ist, dass auch sehr alte Geräte unterstützt werden und die Sicherheitslücken behoben werden, wo es der Hersteller schon längst aufgegeben hat.

 

[b1nb4sh]

@linuxnutzer
OpenWRT Wiki
Der Switch hat ein Dual Firmware Layout, daher Achtung: 16 MB in Summe, aber aufgeteilt auf 2x8MB (Part 1 / Part 2).
Mit fw_setenv die Bootpartition setzen, ansonsten bis wieder in der Zyxel Firmware.

Wegen UCI, das ist eine Übungssache. Es hat bei mir auch eine Weile gedauert, aber am besten du konfigurierst dir mal einen AP uci only. Da bekommst du dafür ein Gefühl und zur Not, kannst dir auch eine laufende Config via uci show bzw uci show <sub> z.b uci show network anzeigen lassen