Router Eigenbau

[Blaycet]

Hallo liebes CB Forum,

da ich mein Internetvertrag nun auf 200Mbits hoch gestuft habe, benötige ich einen neuen Router(Der alte ist für die Geschwindigkeit nicht geeignet) und würde mir gern selbst einen zusammenbauen sowie konfigurieren.

Derzeit nutze ich hinter dem Modem(läuft im Bridged-Modus) vom ISP einen Asus Router und ein Fritzbox Repeater.
Der neue Router soll nur Lan können und einen oder später auch zwei Access Points über PoE versorgen.
Meine Idee zum Aufbau des Netzwerks ist wie folgt.

Modem->Router(Eigenbau)->Switch(PoE)->Access Points

Mein Problem ist ein sparsames Mainboard mit 2 Gb-Lan Ports zu finden und die Hardware Zusammenstellung im Allgemeinen.
Ich würde mich freuen wenn mir jemand ein paar Beispiele oder auch Verbesserungsvorschläge geben könnte.
Preis sollte maximal 200€ sein, zur not aber auch mehr

Mfg Blaycet

 

[riff-raff]

Welchen Formfaktor hast du dir vorgestellt? 19" Rack, ATX, ITX, eine kleinen Barebone? Was brauchst du an CPU-Power/RAM? Welches OS willst du nutzen? Wie schauts mit laufenden Kosten aka Stromverbrauch aus? Was willst du nebst Routing ggf noch mit der Kiste machen? Warum überhaupt eigenbau und kein fertiger Router?

 

[Blaycet]

@riff

Formfaktor sowie Lautstärke spielt keine Rolle da es im Keller steht. Performance sollte für das Routen und dazugehörige Dienste(zb. VPN, DHCP, ?VLAN?) reichen. Der Stromverbrauch sollte so niedrig wie möglich sein und als OS wird Linux benutzt. Grund für den Eigenbau ist hauptsächlich Interesse und den Wunsch etwas zu experimentieren und tiefer in die Materie einzusteigen.

 

[deveth0]

Insbesondere da der Router quasi dein einziger Schutz nach außen ist, würde ich da nicht rum experimentierte und anfangen, von Hand eine Firewall o.ä. hoch zu ziehen. Da dann lieber direkt eine passende Distribution wie Ipfire.
Bei mir läuft ein Athlon 5350 mit einem msi Board und zusätzlicher Intel GBit Karte seit langem einwandfrei. Ist aber für die meisten Dinge Overkill.
Es gibt ein sehr gutes Forum von den IPFire Leuten, da werden auch viele Hardware Konfigurationen vorgestellt.

Ansonsten hast du noch PoE als Anforderung:
Da dann einfach einen passenden Switch raussuchen oder noch besser einen PoE injector, dann kannst du einen billigen Switch nehmen und gut ist.

 

[Minimax83]

Hallo,

Modem->Router(Eigenbau)->Switch(PoE)->Access Points

Ich bin mir nicht sicher, wie groß das Sicherheitsrisiko wäre, aber eventuell könntest du sogar alle genannten Dinge in einen Gerät zu vereinen? (Außer eventuell das Modem, da es vermutlich keine aktuellen Karten für PCIe gibt). Wie weit entfernt sollen denn die einzelnen Teile stehen etc.

 

[Novocain]

Ich fand den Artikel sehr interessant und plane sowas ähnliches, jedoch lieber mit WLAN integriert einfach weil ich mir mehrere Geräte ersparen will. In dem Artikel bin ich auch über Routerboard gestolpert und hab mich da mal ein bissel umgesehen - sau billig (natürlich je nach Anspruch!) die Dinger und die lassen auch was an Tempo durch und sind sehr sparsam im Stromverbrauch. Konfigurierbar bis der Arzt kommt etc....


Artikel: http://arstechnica.com/gadgets/2016/01/numbers-dont-lie-its-time-to-build-your-own-router/

Routerboard Geräte: https://routerboard.com/

 

[riff-raff]

Banana Pi Router-board, lies dich mal zur verfügbaren Software ein.

Bei i686/X64 findest du bei Supermicro sehr gute Boards, allerdings sind da 200 Euro nicht ausreichend. Da hast du dann aber meist auch 4 oder mehr Gbit-LAN-Ports.

Bei klassischen Boards mit 2 Gbit-LAN Anschlüssenhast du massig Auswahl: Klick Me

Ich hab hier explizit Boards mit SoC oder verlöteter CPU ausgewählt. Empfehlenswert wäre ggf. ein DC/DC-Anschluss für 12V/19V Notebooknetzteil, da effizienter oder eine PicoPSU. Dazu eine kleine SSD, eine DOM (Disk On Module) oder SLC-USB-Stick als Medium.

 

[Blaycet]

@deveth0

Kann man Firewall und Router ohne Probleme auf einem System laufen lassen? Hatte vor das Hardware mäßig zu trennen. Bei Ipfire werd ich mich mal umschauen. Danke für den Tipp.

 

[xvaranx]

Welche OS stehen zur Verfügung und welche Treiber werden für die Hardware des Routers unterstützt?

 

[snaxilian]

Wenn es ein kleiner Router mit IPCop, IPFire, PFSense etc sein soll, schau dir mal die APUs von PCEngines an. Alternativ bietet auch Mikrotik Routerboards an, auf denen o.g. Systeme (und damit vermutlich auch jedes andere BSD & Linux) laufen.

Willst du mehr Performance, schau dir mal von Zotac die zbox ci323 an. 2x GBit + WLAN, gibts auch als Nano Version (ohne 2,5" Sata Slot) und als Plus Modell, dann inkl. RAM und SSD afaik. Kostenpunkt je nach Modell 150-250 € grob überschlagen.

Ansonsten wenn Stromverbrauch & Lautstärke egal ist, hol dir nen gebrauchten Server, bspw. von Servershop24 oder wie die heißen oder bastel dir selbst etwas zusammen. Die Mini ITX Boards von SuperMicro mit aufgelöteter CPU von Intel haben idR 2-6 GBit NICs. Einfach bei dem Preisvergleich deiner Wahl mal Mainboards mit CPU anschauen und ein bisschen vergleichen.

So oder so: Ich würde auf jeden Fall darauf achten, dass die CPU AES-NI beherrscht, wenn du VPN damit nutzen willst.

Bzgl. APs fürs WLAN: Ubiquity UAP AC, gibts einzeln oder im 3er Set. Preislich nicht die günstigsten aber rockstable, werden auch eher im Businessbereich eingesetzt wobei eher zur (besseren?) Mittelklasse gehörig. Ein PoE Switch von selber Firma wäre optional möglich, dann brauchst du nicht mit den Injektoren zu arbeiten.

Je nach deinem technischen Wissen kannst auch einen VLAN-fähigen Switch nehmen, dann kannst du auf allen APs ein Gastnetz einrichten und dies von deinem privaten Netz trennen. Aber das erfordert schon ein wenig mehr Kenntnis in dem Bereich.

 

[Novocain]

Sorry hier ist der richtige Artikel
http://arstechnica.com/gadgets/2016/04/the-ars-guide-to-building-a-linux-router-from-scratch/

Da wird auch ein Atom mit Dual Core genutzt gibts bei Amazon z.b. (Versand aus HK!)
https://www.amazon.de/Fanless-Baytrail-Qotom-Q190G4-Ethernet-Computer/dp/B01H01HBKS/

 

[Blaycet]

@riff BananaPi ist nichts für mich. Die klassischen Boards sagen mir da schon eher zu. Supermicro ist mir etwas zu teuer.

@Snaxilian Die zbox ci323 sieht sehr interessant aus, die werde ich mir mal näher anschauen. Die APs von Ubiquity hab ich bereits in der engeren Auswahl.

Am Anfang hat ich die Boards von Pc Engines im blick nur leider senden die nicht nach Deutschland. Weiß da vlt jemand wo man die sonst noch bestellen kann? Sind die Boards von Pc Engines AES-NI kompatibel?

Kann man neben der Distro zum Routen, sophos utm firewall laufen lassen? Oder braucht man dafür ein extra Gerät?

 

[snaxilian]

@Novocian: Die Box aus China sieht interessant aus, gerade das 4-NIC-Design reizt mich... Muss ich mal Benchmarks suchen, was die CPU kann bzgl VPN Durchsatz. Danke auf jeden Fall für den Tipp.

@Balycet:
1. Es gibt mehrere Händler, die PC Engines hier vertreiben, einer ist bspw. varia-store.com. Die haben auch die apu2c2 wenn du nur 2 anstatt 4 GB Ram benötigst. Es gibt die Boards auch einzeln dort afaik aber man braucht ja so oder so nen Case, Netzteil usw.
Weitere Händler liefert Google. Musst mal ein bisschen recherchieren, ich meine aber im Heise-Forum zur News vom Release von pfsense 2.3 gibt's ne Diskussion zu diesen und ähnlichen Boards und wo diese zu kaufen sind.

2. AES Kompatiblität: Hast du versucht, es mal selbst herauszufinden? Kleiner Tipp: http://pcengines.ch/apu2.htm, dann STRG+F -> aes... Aber ist vermutlich einfacher, andere zu fragen.

3. Sophos UTM Home (die kostenlose Version für Privatleute) ist OS und Applikation in einem, ist daher nicht auf gleicher Hardware lauffähig außer du fängst an auf deinem Router nen Hypervisor zu installieren, da rein die Sophos und dann mit haufenweise virtuellen interfaces aber das ist Overkill und nicht trivial einzurichten.
Ob man jetzt pfsense, opnsense, ipcop, ipfire, endian sophos oder eine der anderen Lösungen nimmt ist persönliche Geschmackssache. Ich persönlich bin kein Freund von Sophos und mag deren Oberfläche nicht, linux-basierte Firewalllösungen sind gute Paket-basierte Firewalls aber ich mag SPI-Firewalls lieber bzw Paket + SPI lieber und nutze daher pfsense aber wie gesagt das ist persönliche Geschmacksserie. Ich würde auch nicht unbedingt Router & Firewall trennen im SoHo Bereich, diese Art der Trennung hast du idR erst bei großen Unternehmen aber die arbeiten dann auch eher mit Palo Alto, Juniper, Fortinet oder CheckPoint.

 

[Novocain]

@snaxilian
Guck dir mal die arstechnica Links von mir an. Demnächst kommt noch nen weiterer Artikel von denen zu dem Thema evtl gibts da was zum VPN Output. Die Boxen von der Firma wurden explizit genannt. Denke die wissen schon wieso, ob sich das "nur" aufs Routing oder auch aufs VPNen bezieht kann ich so leider nicht sagen.

 

[Raijin]

Du willst einen Router-Eigenbau "zum Experimentieren"? What?!?!? Hast du Erfahrung im Bereich Netzwerk/Internet? Ich rede nicht von "hab mal ein Tutorial auf youtube gesehen", sondern davon ob du sowas schon jetzt ohne Hilfe von außen aus dem Stegreif kannst. Wenn nicht, rate ich dringendst davon ab, mit sowas rumzuspielen, weil es sich genau danach anhört... Sonst bist du ganz schnell der nächste Kandidat für das Botnetz von Hackergruppe xy...

Es gibt zahlreiche semiprofessionelle Router/Firewallsysteme. Es besteht absolut kein Grund dazu, das Rad neu zu erfinden. Zumal Routing bzw Firewall deutlich komplexer sind als ein .. .. Rad...

MikroTik, Ubiquiti, etc. Dort gibt es dann Configs und Wizards, mit denen man eine einigermaßen gute Startkonfiguration geliefert bekommt. Wenn, dann solltest du sowas nehmen und maximal für den Server dahinter einen Eigenbau (zB als NAS, o.ä.). Allerhöchstens ein PC mit pfSense oder einem vergleichbaren für diesen Zweck vorgesehen Betriebssystem sollte als dedizierter Eigenbau-Router verwendet werden. Von Hand aus einem nackten Linux halte ich für grob fahrlässig.

 

[Blaycet]

@snaxilian Varia-store kannte ich schon trotzdem danke
Das mit dem AES-NI hab ich wohl auf der Seite überlesen aber nun gut zu wissen.
Ich werde dann wohl zu PFSense oder IPfire greifen weil mit virtuellen Interfaces usw. hab ich noch nicht soviel Erfahrung.

@Raijin Ja auch zum Experimentieren. Ich mache momentan eine Ausbildung zum FISI und da in der Berufsschule leider nicht viel Wissen vermittelt wird, versuch ich halt soviel wie möglich zuhause zu machen und mich zu bilden. Dieses Projekt ist da genau das richtige für mich. Die Risiken einer falschen Konfiguration sind mir bewusst.

Ich schwanke nun zwischen pcengines und Zbox. Eine der beiden wird in den nächsten Tagen bestellt.
Ich danke allen für die Tipps/Vorschläge.

 

[Raijin]

Man kann mit Routing, etc auch im LAN trocken experimentieren. Zumindest solange bis man sich in das Thema eingearbeitet hat. Ein Chirurg übt auch nicht am offenen Herzen, weil in der Uni fast nur Theorie vermittelt wird.

Dein Eifer in allen Ehren, aber überlege dir gut ob du gleich ins kalte Wasser springen willst. Letztendlich wäre es mir egal, wenn zB nur deine Daten im worst case flöten gehen. Aber mit ihren Botnetzen legen anonymous und Co regelmäßig das PSN XboxLive und diverse andere Dienste lahm - und das hat eben auch Auswirkungen auf den Rest der Welt. Ich will nicht den Teufel an die Wand malen, aber ich habe beruflich zu oft mit vermeintlichen IT-Admins zu tun, die keine Ahnung von IP-Adressen und Subnetzmasken haben. Das jagt mir jedes Mal einen kalten Schauer über den Rücken, dass solche Leute für IT-Sicherheit zuständig sind.....

Daher nochmal: Bau dir daheim ein kleines Netzwerk auf und übe damit. Einen Ubiquiti EdgeRouter-X bekommt man zB für knappe 50€. Das ist ein vollwertiger Router und eignet sich perfekt, um Netzwerke kennenzulernen und zu üben.

 

[Blaycet]

@Raijin Ich werde es mir nochmal durch den Kopf gehen lassen. Kann ja auch erstmal trocken üben und es später dann integrieren.

 

[error]

Ich rege an dieser Stelle mal den CCNA (Study Guide)oder Vergleichbares an

Ansonsten frag doch einfach auf Arbeit nach, ob du dort Eqipment zum experimentieren bekommst. So kannst du dich austoben und hast erfahrene Kollegen an deiner Seite, die dich beraten und dir helfen können.

Alternativ machst du mit einem EdgeRouter nichts falsch. Und nur zum Experimentieren ist dein Setup doch etwas teuer.

 

[Blaycet]

@error
Vielen Dank für den Link. Werde ich mir auf jedenfall anschauen. Auf der Arbeit ist mir dies leider nicht möglich. Zumindest momentan nicht. Aber ich werde mir dort sicher ein paar Tipps holen.