Új hozzászólás Aktív témák
-
-
Multibit
nagyúr
Majd rájöttem, h nincs rá szükségem
Az IP blokklisták nálam jó szolgálatot tesznek. A tűzfal log live view nézete egyértelműen mutatja, hogy aktívak. A WAN-ról amúgy is visszapattannak a próbálkozások, de az aktív torrentezés miatt van egy nyitott portom. Jól látszik, hogy sok a feketelistáról blokkolt IP (in/out irányban egyaránt). Igaz, így a state table size (egyidejű aktív session-ök) nálam mindig 3000-3500 körül van, de ez már moderált érték. Korábban ez 8-10 ezerre is felment
A Zenarmor és a NextDNS a DNS/alkalmazás szűréshez, valamint a reklámblokkoláshoz hasznos. A kifele irányú forgalmat is figyelni kell. Unbound DNS bloklistákat már nem használok.[ Szerkesztve ]
-
válasz
Multibit #1095 üzenetére
fain, akkor az megoldódott.
Igen, a Suricata szabályok macerásak, egy szint után írja is, h már policy kell, mert sok a szabály. Ezekhez még jön az Unbound listák... ehh. Majd rájöttem, h nincs rá szükségem, ahogy geoIP blokkolásra sem, nem nekem való (nincs honlap vagy bármi nyilvános stuff, csak az IoT cuccok, de így rém egyszerű a szabály: amit nem kértem, az drop...)Zenarmornál többször kellett az adatbázist resetelni, mert hibás lett. Utána egy darabig jó. De pár fület még így sem tudok használni, mert nem tölt be semmit, csak lefagy (opnsense nem, csak a zen gui). Adguard faék egyszerűsége és átláthatósága után az unbound report vagy a Zenarmor egy katyvasz kicsit.
freddirty: igen, sok a duplázás a listákban. Steven Black is összevont lista, elég alapos. NoTracking is jó, ez is összevont, deduplikált, optimalizált és a dead site-okat kiszedik. Steven Black-hez kellene ilyen, mert marha nagy lista, host-ba kompressed változatot raktam a laptopokra, mert fogta a gyenge vasat.
Multibit: a linkelt oldal is említi a spamhouse drop/edrop lisátát, nekem az a WAN oldalon a tűzfalban működik, Steven Black pedig az unbound-ban. SSH és GUI WAN oldalról letiltva (amúgy is mindent drop-ol onnan). NAS-nak olyan jól konfigoltam a tűzfalát (opnsense mögött van, de nah... köll), hogy nem frissített. Ki gondolta volna, h vannak frissítések, amik csak IPv6-al tölthetők?
Tetszik, amit az oldalukon írnak, kíváncsi lennék, h Steven Black-el mennyi az átfedés, lehetne-e azt is ezzel a szkriptjükkel ide mergelni. Azt azért szeretem, mert vannak kategóriák, jobban alkalmazható, nem csak malware/advert/stb. lista. -
Multibit
nagyúr
válasz
freddirty #1096 üzenetére
Nálam most először történt ilyen furcsaság. Nem tudom miért (nem érték hozzá).
Egyéb blokklistákat használok én is. Az iplists.firehol.org szerint elég nagy átfedés van az népszerűbb blokklisták között. Mert hogy egy-egy ismert blokklista része néhány nagyobb, gyűjtő blokklistának. Ezek mellett még a NextDNS védelmét használom. -
freddirty
senior tag
válasz
Multibit #1093 üzenetére
kicsit különböző architektúrában futtatom a crowdsecet és ott nem történhet ilyen. A szervergépemen a szolgáltatások logjait nézi a crowdsec agent konténer majd összeálít belőle egy privát IP feketelistát. Ezt a listát olvassa az opnsense-en egy WAN rule alias bejegyzése. így ami a listán van az blokkolva lesz. Ergo összeadódik a mások által fekete listára tett IP-k és a saját szolgáltatásaimon próbálkozó botok összessége. Meg persze van egy csomó standard hagyományos IP fekete lista ami be van rakva még aliasnak.
-
Multibit
nagyúr
Közben kiderült, hogy mi okozta a zavart. A Crowdsec blokklistába bekerült a torrent gépem IP címe
Nem tudom, hogy miért, nem tudom hogyan, de miután töröltem, helyreállt a rend (a Crowdsec alias nem egészíthető ki kivételekkel).
Számomra megoldhatatlan feladat volt a Suricata szabályrendszer kezelése. A Zenarmort viszont szeretem. LAN és WG interfészen használom. Informatív, teszi a dolgát. -
válasz
Multibit #1093 üzenetére
Suricata volt egy darabig, de feleslegesnek tartom itthonra, másrészt ez is tele volt error-al, leállt, stb... OPNsense viszonylag friss telepítés, nincs is teleszemetelve...
Unbound statisztikára ki mit használ? Adguard kinézet már megfelelne, a zenarmort nem nagyon tudom megkedvelni.
-
Multibit
nagyúr
OPNsense-t használok. A legutóbbi frissítés (23.1.6) óta a Crowdsec blokkol bizonyos LAN forgalmat, pl. a torrent gépem DNS szerver felé menő kéréseit (router IP:53 port).
A tűzfal live view-ja tele van erre vonatkozó blokkolás log-gal.
Ti nem futottatok bele ebbe? -
scream
veterán
Az oké, értem én, hogy a switch az OSI layer 2 (MAC) / layer 3 (IP) megy, amíg a hub csak az első, fizikai layeren.
De az is célirány, hogy ha elmegy az adott csomag a routerig (mmint a router interface-en be, majd ki) és onnan a végpont fele, csak nyilván az gyorsabb, ha nem kell megtennie ezt a felesleges kitérőt (főleg, hogy ha más a link sebesség és emiatt downgradelődne a kapcsolat) és egyből a switchről már a célgép fele megy a csomag.
-
Multibit
nagyúr
Viszont tegyük fel megveszek egy 2 portos 1GiB-es eszközt, ott hogy tudok elérni csak a switch segítségével 2.5GiB-et LAN-on?
Úgy, hogy az összes 2.5 Gbps kliensedet a 2.5 Gbps switchre kötöd és azok már 2.5Gbps sebességgel kommunikálnak egymással. Ugyanezt tettem anno, mikor az akkori Mikrotik routerem csak 100 Mbps portokkal bírt, de a klienseim már gigabitesek voltak. Egy gigás switch segített.[ Szerkesztve ]
-
scream
veterán
válasz
Multibit #1085 üzenetére
Elsősorban a LAN része a fontos, netből csak kinézőben van 2Gbps, de az kérdéses még.
Viszont tegyük fel megveszek egy 2 portos 1GiB-es eszközt, ott hogy tudok elérni csak a switch segítségével 2.5GiB-et LAN-on?
Viszont, ha elég a firewall-nak 1GiB-es portok és switch-el megoldható, akkor van itthon az SFF-be való 4 portos NIC - itt megint csak kicsit sajnálnék ~100k-t rákölteni, ha amúgy itthon van eszköz, amivel meg tudnám oldani a dolgot.
-
Multibit
nagyúr
-
scream
veterán
válasz
Multibit #1080 üzenetére
Hát, visszalépni nem szeretnék feltétlen sebességből (ha már vettem 2.5G switch-et meg NAS, meg AP-t. Csak ugye, akkor meg sokkal zsebbenyúlósabb a mutatvány. Ezért gondoltam, hogy ha már úgyis van egy SFF gép (amit amúgy is PVE-vel használok, szervernek), akkor abba egy 4 portos NIC és jó vagyok.
Erősségben teljesen elégedett vagyok a mostani J4125-tel is, nem igazán van ez se kipörgetve. Fontosabb inkább a fogyasztás/teljesítmény mutató, mellette a halk működés, mint a nyers erő.
[ Szerkesztve ]
-
Amíg ellátja a dolgát és elég a teljesítménye nálam addig marad. A cserére max az venne rá, ha fele fogyasztáson kapnék kétszeres teljesítményt gombokért.
Az jogos, hogy nehéz hozzáférni az RJ45-öthöz, ha kártyán van, de én nem nagyon húzogatom ki. Van benne egy 2 portos NIC, egy WAN, egy LAN. A LAN megy egy switchbe.[ Szerkesztve ]
-
scream
veterán
És ezen az Intel i225-tel nincsen gond?
--
Kicsit más téma, ha már felmerült:
Mennyire "para", ha virtualizálom a pfSense-et amúgy? Most egy Ali-s 2.5G-s 4portos J4125-zel szerelt mSATA-s egységem van, amivel összességében elégedett vagyok, kivéve, hogy custom kiskínai BIOS van rajta és az eladónál nincsen hozzá update, a gyártó meg nem válaszol.
Emiatt gondolkoztam el a váltáson - egy HP SFF gép + egy 4 portos NIC bele és akkor a lelkem is nyugodtabb (igaz, COREboot-ot nem hiszem, hogy fel tudok/akarok rakni rá), legalább nem a kínaiakhoz megy az adat
Szerintetek mekkora kockázatot rejt magában így a mostani Ali-s doboz (a kínai fw-vel)? Emiatt a teljes netes forgalmamat nem raknám VPN alá.
Persze elérhető olyan box is, amire rá lehet rakni a coreboot-ot, de többe kerül, mint a már meglévő SFF gép + 4 portos NIC + a meglévő alis box együtt.
-
ha van két szerver, akkor ott az egyiken nem tud elfutkározni?
RPi-n is elfut, szal. ahhoz lehet méretezni szerintem (ezt minimumnak véve). Megfigyelésem szerint (nálam, proxmox alatt) 4 GB ram bőven elég, i5-3470T procit 3-5%-ra "hajcsa", nagyobb csúcsokat nem látni, csak induláskor.
Nálam mondjuk csalk mobilnet van, ki-be nincs durva forgalom, helyi hátó is szerény, ha az Iot motyókat nem számolom.Más: az intrusion-ban láttam, h WAN felől több SSH próbálkozás volt, most drop-ra állítottam a rules-okat. Nem lenne jobb a firewall rules-hoz adni valamit, h WAN felől dobjon el mindent ilyesmit? Valahol listázhatóak a nyitott portok? A 4G modem/Router-ben DMZ-hez adtam az opnsense WAN portot, lehet ott csúsznak át ezek?
-
Multibit
nagyúr
Itt igazából az a kérdés, hogy nálad mit jelent, meddig terjed a picit izmosabbat igény? Számomra router célra megfelelnének az Intel N5105, J6412, N6005 CPU-val szerelt “hűtőborda házas” mini PC-k. Nekem még nem hiányoznak a multigigabites NIC-ekkel szerelt kütyük. Ha ilyen tervem lesz, az előbb a LAN gyorsítását érinti majd. mSATA SSD-s készüléket már nem vennék. A megfelelő SSD kiválasztása kísérletezést igényelhet.
-
Multibit
nagyúr
válasz
Multibit #1071 üzenetére
Néhány Aliexpress link és idézet:
[link] "Then seller confirmed computer can run 365 days 24 hours 7 days without shutdown. But it has overheat problems, it auto shutdown after use in couple hours."
[link] "With i7 processor, it gets a little hot in he 70 degree F range. Definitely put a slimline fan - a 80x80 15mm fan is perfect.. that brings the temperature down to around 35."
[link] "the device is working great but its get very hot, can be touch from the outside, you could get burn"
[link] "Disappointed. Power supply died after a few days and the temperature of the router is really too hot (>65 C)"
[link] "Running OPNSense with ZenArmor. Great perfomance - no problem with handling 1Gbps fiber. The only downside is that is running a little bit hot under load - would recommend strap a silent fan on top of it." -
Multibit
nagyúr
... de szeretnék valami picit izmosabbat. Lehetőleg hasonló méretű, de passzív hűtésű és alacsony fogyasztású hardver kéne
Ugye tudod, hogy ezek az igények egymással szemben dolgoznak. Kicsi is legyen, passzív is legyen, alacsony fogyasztású legyen, de izmos is legyen
Az Aliexpressen is olvasható néhány customer review, ami túlmelegedésről, termál stabilitási problémákról szól.
Nálam pl. mSATA és M.2 SATA háttértár melegedése okozott stabilitási problémát. Pro kategóriás (MLC NAND-os) 2.5"-os SSD-vel kellett ezeket kiváltanom. Egy i5 8250U CPU-val szerelt kütyüt cseréltem J4125-ösre. Gyengébb, de nekem elég a teljesítménye.
Szóval, ha tényleg nagy teljesítményre vágysz, inkább válassz nagy, hangos, sokat fogyasztó asztali PC-t, vagy szervert, amit routernek konfigurálsz. A kicsi, cuki, fanless mini PC-k ilyen-olyan módon kompromisszumra kényszerítenek. -
Flight
csendes tag
Sziasztok. PFSense/OPNsense futtatásra milyen hardvert ajánlanátok? Eddig egy HP T620 Plusról ment, de szeretnék valami picit izmosabbat. Lehetőleg hasonló méretű, de passzív hűtésű és alacsony fogyasztású hardver kéne.
Előre is köszi. -
scream
veterán
Tud esetleg valaki 2.5G-s, 4 portos PCIe NIC-t, ami pf/OPNSense alatt rendben látszik és megbízhatóan megy? Tudom, hogy nem túl népszerű a 2.5G, viszont Cat6e kábelezés van és nem szeretnék újrakábelezni optika miatt - plusz akkor új csatlakozók, stb...
10G-s 4 portos RJ45-s NIC-t, ami tud 2.5G-t meg nem igazán találtam.
-
Routered gondolom most is van, addig az oszt IP-t a népnek.
Nem kell hostnak külön port, telepítéskor lesz egy bridge, ha azt rendeled a VM-ekhez is, akkor kb. ennyi, mindenki mindent lát. Ne a WAN portod legyen az, arra figyelj.Ha NAS is lenne, akkor VM-hez könnyebb HDD-t átadni, mint konténerhez. Ha formázod és proxmox adja a tárhelyet a konténernek az más, azzal nincs gond. Én nem akartam 2 db ext4 vinyót mentegetni, formázni... majd egyszer, lehet...
-
Puro
aktív tag
Van egy cisco vxc6215-öm még itt aprón vettem, nas feladatokat lát el, azon fut egy minimal debian desktop nélkül, két 3,5" 1 terrás hdd van rárakva, samba, qbittorrent meg egy ftp. Ezért gondoltam a proxmoxot, hogy jó volna vele kiváltani a ciscot, mert mára már nem egy erőgép meg így kevesebb a helyfoglalás is.
-
Puro
aktív tag
Sziasztok.
Nekem még mindig nem tiszta, hogy a proxmox host gép miről kap ip címet, amíg az opnsense nincs felrakva. Rendelnék kínából ezt az intel n5105 procis nucot. Azon 2db port lefoglalva a WAN-ra, 1LAN switchbe. Marad 1 port, ami maga a host gépnek kell? Csak akkor a host gép nem ugyan azon a hálózaton lesz, mint az opnsense és így nem érhető el asztali gépről nem? -
-
válasz
gery2123 #1059 üzenetére
szép. Akkor nem a pluginek voltak.
Memory leak-ről olvastam, de az korábbi kiadásban volt.
Mennyi az ajánlott ram? 10 GB-t adtam neki, mert ki tudja, de ha kevesebbel beéri -saját dash szerint 4 Gb fölé nem nagyon láttam menni- akkor inkább 6-ra redukálnám.
Fura is volt, h 2 GB rpi-n ezek rohangálnak... -
Ki, milyen pluginokat használ?
Mi mennyire ver oda a CPU/RAM usage-nak?DNSMasq vagy Unbound?
Blokkoló listák... mennyit, melyiket?
Megannyi kérdés...Alapból felraktam sok plugint, amire nincs szükségem valószínűleg, bekapcsoltam egy halom szűrést... és 9 GB körül volt a ram használat proxmox szerint, 3 GB opnsense szerint. Letakarítva 6 GB pve / 2,5 GB opnsense szerint, (qemu aktív, ki téved akkor?)
Zenarmort is leszedtem, de ezt visszarakom, ha nem változik a dolog.
+custom filtert is raktam unboundhoz, a többit szűkítettem, de valószínűleg a "gyári" filtereket elengedem, steven black + no trackingintrusion detect van bekapcsolva... esetleg ez használ sok ramot?
Amiket kipróbálnék, várom rá a véleményeket:
- HA: ez fent van, HA oldalon még várja, h felrakjam
- OS-cache: webserver cache, fent van, üzemel. szvsz ez nem kellene ramot egyen
- adguard home: hááát, standalone bukott, ha nem tudom cron alá behúzni a listák frissítését, akkor esetleg...
- clamAV
- maltrail
- speedtestKöszönöm!
-
És jelentem siker.
Az egész művelet kártya cserével 5-6 perc volt.
Végül hagytam az xml szerkesztést, direktben monitoron billentyűvel beállítottam az új LAN és WAN interfészt, utána a webes felületen pontosítottam a port továbbításokat és minden működik rendben.
Szóval már csak ki kell találnom mit csinálok egy I340-T4 kártyával. -
válasz
Multibit #1055 üzenetére
Köszi a gyors választ.
Intelről Intelre váltok, szerintem ezzel nem lesz gond, a rendszer up to date.
Monitorra lesz kötve, kap billenyűt.
Persze most összeszedek minden infót, mert amig piszkálom, addig nem lesz net a lakásban.
A konfigot lementettem.Az assigments-ben ilyen igb0-3 a portok jelzése, ezt kell árírnom majd, mert ezt már megtaláltam az xml-ben.
Illetve lehet, hogy probléma, hogy jelenleg a LAN az három port bridge-be kötve.[ Szerkesztve ]
-
Multibit
nagyúr
Csinálj egy konfig mentést! Használd konzolról, vagy monitorról az eszközt és derítsd ki, hogy mi az új portok fizikai neve! Az új nevekre írd át a konfig xml-ben az összes fizikai port hivatkozást és töltsd vissza a módosított xml-t. Ha van támogatás az új NIC-hez a kernelben, nincs más dolgod.
-
Sziasztok,
Egy gyors kérdésem lenne.
Van egy belakott OPNSense, benne egy 4 portos NIC, amiből csak két portot használok, egy WAN, 1 LAN, ami switchbe van kötve.
Kaptam most egy 2 portos kártyát, gondoltam kicserélem.
Mennyire problémérá számíthatok?
Gondolom monitorra kéne kötni és úgy újra beállítani a portokat.
Ez után minden eddig beállított port továbbításom megmarad, vagy ezek is el fognak szállni?
A segítséget előre is köszönöm. -
Sziasztok!
opnsense kérdéseknek szerintem ennél jobb helyet nem találok
A jelenlegi konfig:
- Huawei 4G modem + router kombó, 3 LAN + 1 WAN/LAN port, wifi
- asztali gép, 1 LAN
- szerver gép: Proxmox+virtuális gépek, 3 db LAN, ebből 2 db opnsense-nek adva (WAN+LAN)
- Tenda router: házat wifivel látja el, AP-ként üzemel.A tervem az volt, hogy a huawei modemként üzemelne, onnan opnsense, egy switch és abból Tenda router a wifis cuccoknak, + az asztali gép.
Hasonló setup volt már, akkor a Tenda volt a router, egy külön kis router volt az IoT dolgoknak. Ez bukó, a kis router túl kicsi volt...Huawei router belső antennát kivezettem, így eléri a napelemet is a jel, szal. erre szükség lenne. Amit nem teszteltem még, h rejtett SSID-vel, DHCP nélkül (a routerben fix IP-n van az inverter USB dongle) tud-e csatlakozni...
A másik feladat a családnak egy adblock beüzemelés, ami a gépeken a host fájlos verziót váltaná. Adguard home nálam elvérzett, pi hole előtt még opnsense+unbound-al próbálkozom.
A modem után az opnsense lenne a következő eszköz, DHCP-vel, a megadott gateway és dns szerver is az opnsense lenne a kliensekben. force DNS működne-e a fenti kiépítésben? Így -a napelemen kívül- minden IS ezen keresztül történne, ha jól gondolom.
Korábban a Tendával a hasonló kialakításnál más alhálózaton volt a modem és a router. De jelenleg egy alhálózaton kellene lenniük, mert az inverterből is szeretnék adatokhoz jutni.
Ez mennyire működőképes?Köszönöm a javaslatokat
-
tobi''
tag
válasz
csinturi #1050 üzenetére
Üdv!
Én elértem mindent mivel a kliens gépem egyszerre tudott csatlakozni (két hálókártya végett) a thome eszközéhez és a tűzfalhoz is (nyilván a thome és a pfsense külön hálón, külön címmel kell hogy legyen). Ha thome hálóval raktad fel, akkor proxmox alatt a PVE-NETWORK résznél a VMBR0 alatt a thome által kiosztott címet látod. Ennek a mac címét meg tudod nézni a thome eszköze alatt, majd átdugva a pfsense tűzfal hálójára tudsz kiosztani a mac címnek egy fix címet, amit aztán (egy újabb átdugás után) átírsz VMBR0 alatt (cím/cidr, a gateway pedig a pfsense elérhetősége), katt apply configuration, majd (megint átdugva a kábelt) böngészőben megadod ezt az új címet a portjával és ezután el kellene érned a proxmox és a pfsense felületét is.
Én is átírtam így, hogy minden a tűzfal után legyen, majd a thome eszközén lezártam a tűzfalat minden irányban. A telekom nálam PPPoE és bekapcsoltam a PPPoE passthru-t, ha netre van szükségem a thome hálóján át, hamar rá tudok állni. -
csinturi
tag
Az egész így néz ki: szerveren van a proxmox alatta fut 3 vm, köztük a pfsense, kliens egy windowsos kis gép. Thome router dhpcben, pfsense pppoe-ban. Ha a kis gépet kötöm össze a thome-os routerrel, akkor elérem a proxmox felületét, a vm-eket, kivéve a pfsensét.
Net van a kliensen.
Ha a klienset kötöm össze a szerverrel, akkor a proxmoxot nem érem el, se a vm-eket, csak a pfsensét.
Net van a klienesen.
Biztos valami bagatel dolgot nem csinálok meg, vagy csinálok amit nem kéne. a cél az, hogy a klienset összekötöm a szerverrel, akkor elérjem a proxmoxot.[ Szerkesztve ]
-
válasz
csinturi #1047 üzenetére
Nem pfsense, hanem általános hálózati hibakereséssel kezdenék:
Első körben a kiosztott, foglalt IP címek között néznék körül, hogy a keresett gép kapott-e és ha igen mit kapott. Ha kapott, akkor azon el tudod érni, ha nem kapott, akkor kéne kideríteni, hogy miért nem kapott? A VM Hostnak nem volt beállítva fix IP?[ Szerkesztve ]
-
csinturi
tag
Üdv!
Alaplamon 4db lan port található. Pfsense pppoe módban, 1 wan, 3 lan. A 3 lan-ból ezerrel jön a net. Az egyikre rákötöttem egy régebbi routert, hogy wifi is legyen . Az is ok.
A problémám, nem érem el a proxmox felületét, és a rajta lávő virtuális gépeket sem. Előzőleg a szolgáltatói routerem volt pppoe módban, és úgy konfiguráltam a proxmoxot. Aztán áttettem
dhcp-be, a pfsensét ppp-be. Net ok, vm nem ok. Mit kellene állítanom a pfsensében, hogy visszakapjam a vm-eket? -
Puro
aktív tag
Sziasztok.
Engem is érdekel ez a házi router téma, lenne is hozzá egy alap vasam amiben P55 chipset van és a Lynnfield (2009. 3. negyedév) időkből az i7 860. Ezt valahogy passzív hűteném a csend miatt. Nektek mi a tapasztalt cpu terén, a gigabites natolást hogy bírják a régebbi cpu-k? Nálam 2x 1gbit wan-t kellene natolni (2 ISP jön be), majd azt lanba tolni 2gbittel. Ehhez keresek még jelenleg quad portos hálókártyát vagy dupla portos is megfelel, az egyik 2x 1gbit wannak + a másik 1x 2,5gbit lannak. Az alaplapon van 2db PCIE 2.0 x1 slot az 500MB/s tehát elég sávszél lenne még a quad portos kártyának is egy slot elméletileg, összesen 400MB mozogna rajta. -
Melorin
addikt
Egy BIOS frissítés megoldotta a dolgot
-
Melorin
addikt
Egyébként elképzelhető, hogy egy 2 magos proci 800MHz-en PPPoE kapcsolaton 900Mbit-es sebességgel tölt le fq_codel limiterrel, és közben csak 5-6% a proci terhelése? Nekem az a gyanúm, hogy csak a kijelzés rossz, nem gondolom, hogy ilyen sebességre képes lenne egy 800Mhz-es proci.
[ Szerkesztve ]
-
scream
veterán
válasz
Melorin #1038 üzenetére
Hm. Gépen UEFI beállításokat lehet exportálni? Mert akkor lehet kellene csinálni magadnak egy snapshotot a mostani beállításokkal róla, majd nyomni egy resetet és megnézi úgy, hogy mit mutat a pfSense - akkor kiderül, hogy most BIOS beállítás kérdése vagy valahol máshol megy el a dolog. Aztán a lementett beállításokat visszatölteni - hogy ne kelljen mindent megjegyezni/kézzel visszaállítgatni.
[ Szerkesztve ]
-
scream
veterán
-
Melorin
addikt
Tapasztalt már valaki olyat, hogy a CPU órajele nem mozdul meg terhelés hatására sem?
Azt írja, hogy 800MHz jelenleg, az alap órajele a procinak 3900MHz. De bármit csinálok a hálózaton, nem ugrik feljebb 800-nál. Kipróbáltam, hogy mi történik ha kikapcsolom a power saving-et az advanced settingsben, de ugyanígy viselkedik. -
freddirty
senior tag
válasz
Henrico #1021 üzenetére
nincs, a dns alapú reklámblokkolók (pihole, dns listák, stb) nem jók a youtube reklámszűrésre.
Tehát a TV beépíett yt lejátszóján lesz mindig reklám amíg nem fizetsz a googlenak. Alternatív megoldások vannak csak, amik külső forrásból tesznek jelet a tv-dre, Pl hekkelt chromecast vagy valamilyen android boxon youtube (re)vanced.
Én speciel egy android boxon használok revanced appot ha tv-n szeretnék yt-ot nézni. Nem feltétlenül a pénz miatt, hanem mert azt látom nagyon rossz irányba megy a google és ezt én nem kívánom még támogatni is. -
Henrico
tag
opnsense - látom, már kérdezte egy kolléga korábban a reklámszűrés lehetőségét. Számítógép, android pipa arról az oldalról, de pl egy 2016-os samsung TV-n hogyan lehetne segíteni, amin tizen rendszer van? Nem alternatívákra gondolok, hanem konkrétan a TV-t szeretném használni youtubra, de lehetőleg reklámrengeteg nélkül. Van rá megoldás?
-
inf3rno
nagyúr
válasz
freddirty #1019 üzenetére
Félreérted. Vannak a vállalkozásomhoz kapcsolódó üzleti titkok a gépen. Abban mondjuk igazad van, hogy kockázat arányos védelem kell, és általában ez okozza a feszültséget, hogy minél szigorúbb a védelem, annál használtatatlanabb a rendszer. Majd agyalok rajta, hogy mi legyen.
-
freddirty
senior tag
válasz
inf3rno #1018 üzenetére
Hú hát informatikában nincs olyan szerintem hogy mit szabad vagy nem szabad mindig az adott környezetben kell döntést hozni hogy mi a legjobb a kockázatokat figyelembe véve. Egy céges környezetben a vpn szerverek általában a default gway-nek magukat állíttatják be a kliens géppel, hogy minden forgalmat a céges hálón keresztül toljon át. Ebben a környezetben a céges policy ami mindent visz, látni akarják a teljes forgalmat elemezni, tiltani, óvni a céges érdekeket adatokat, az alkalmazott érdekei magasról le vannak ejtve. Otthoni környezetben más a szitu ott csak a te érdeked számít. Nincs elég sávszél, hogy kiszolgáld a távoli vpn gépek netes igényeit? No problem te vagy a local god azt teszel amit akarsz, akkor menjen csak a lokális szerverelérés a vpnen. Mit vesztesz? Némi privacy max. De persze van annyi 3rd party vpn megoldás dunát lehet rekeszteni belőlük. Nem kell feltétlenül a sajátod használni majd ha lesz gigabit net otthon akkor átállsz arra.
-
inf3rno
nagyúr
válasz
freddirty #1014 üzenetére
"Ezt fel lehet konfigurálni úgy mintha a lokális hálózaton lógnál, akár az internetelérést is át lehet forceolni rajtuk, ami mondjuk hasznos ha el szeretnéd fedni publikus wifin a forgalmadat."
Ez az, amivel kapcsolatban nem tudom mit csináljak. Nekünk azt oktatták, hogy csak úgy szabad VPN-t használni, hogy a teljes net forgalmad is átmegy rajta. Nem teljesen világos, de valami ilyesmi lehet a háttérben, hogy ne kapcsoljuk össze egy nem megfelelően védett internet kapcsolattal a teljes céges hálózatot. A másik oldalról viszont csak 25 Mbps a feltöltésem a mostani otthoni nettel, ami édes kevés, ha azon keresztül akarok dolgozni úgy, hogy elérem a szervert is. Egyelőre még agyalok, hogy mi legyen. Elvileg nem sokára jön a Telekom optikával a faluba, aztán tudok venni normális 1000/1000 netet majd. A másik opció, hogy átrakom a gépet a barátnőmhöz. Ott viszont a fizikai biztonsága nem garantált. Amit még sokszor hallok, hogyha megszakad valamiért a VPN kapcsolat, akkor automatikusan vissza szokott állni a rendszer a helyi internet kapcsolatra, és simán megy titkosítatlanul az adatforgalom anélkül, hogy tudnál róla. Volt, aki külföldön megszopta így, mert VPN-en keresztül akart torrentezni, aztán rászólt a szolgáltató a tulajra utána.
-
freddirty
senior tag
válasz
inf3rno #1015 üzenetére
A rollback nagyon egyszerű. Nálam egy külön j6413-as aliexpress célgépen van a proxmox és vmben az opnsense. Proxmoxal scheduleban vagy alkalomszerűen készítek mentést az opnsense gépről (a main server nfs megosztására ha kell). Bármi van akkor abból vissza lehet állni. De van alkalmazásszintű configbackup is a pfsenseben, de azt elég ha csak piszkáltad, ami egy idő után úgyis ritka esemény lesz ha már működik minden ahogy szeretnéd. A proxmoxot magát én nem frissítem. 25+ év után ITban és otthoni hobbiként azt tudom mondani, hogy ami nem romlott el azt nem csesztetjük, kivéve ha látok tényleges biztonsági okot. Pl net felé expozált szolgáltatások. Nyilván enterprise szinten ez már nem áll meg.
-
inf3rno
nagyúr
válasz
freddirty #1014 üzenetére
Ja ilyesmire gondoltam csomagszűrés alatt: [link] [link] De még valszeg lesz benne más is. Ez az egyik szakmám, aztán kell a gyakorlás.
Max a képeket osztanám meg velük, csak amíg nem képesek tudatosan netezni, aztán bármikor összenyomkodhatnak egy vírust a gépre, addig nem szívesen engedem a szerver közelébe őket.
A pfsense és a hypervisor frissítése érdekes nekem. Részben a kieső net a gond, mert mi van, ha frissítés után úgy dönt, hogy még letölt valamit? Másik részben meg az, hogy van e egyáltalán rollback lehetőség, ha valami elcsesződött... Te ezt hogyan oldottad meg?
[ Szerkesztve ]
-
freddirty
senior tag
válasz
inf3rno #1013 üzenetére
A távoli elérésre wireguard vagy openvpn szolgáltatást kellene felraknod a pfsensre és a kapcsolódni szánt kliensekre. Ezt fel lehet konfigurálni úgy mintha a lokális hálózaton lógnál, akár az internetelérést is át lehet forceolni rajtuk, ami mondjuk hasznos ha el szeretnéd fedni publikus wifin a forgalmadat. Nekem is így megy, openvpn-en lóg a hétvégi ház hálózata, wireguardon csatlakoznak a mobil eszközök.
Nekem is hasonló setup van itthon mint ami az első hozzászólásban írtál, 1-2 plusz tanács:
- A családot nem feltétlenül kell teljesen leválasztani, lehetnek jó és hasznos szolgáltatások a szervereden nekik is. Pl Pihole ami reklámot/nem kívánatos domaint-t szűr, vagy egy security onion ami intrusion detectionként a forgalmukat elemezve gyanús dolgokra mutathat rá mondjuk rosszindulatú fertőzésre/forgalomra (ez mondjuk már kicsit enterprise ízű szolgáltatás).
Egy szerveren a homelab szolgáltatásai és a router azért nem annyira klafa. Fogsz mókolni újraindítgatni, frissíteni nem lesz 100% az internetelérés ami akkor is fájhat ha csak te ill. a szolgáltatásaid használják. Én külön kisebb alacsony fogyasztású eszközre szervezném ki a pfsense-t hasonlóan mint egy routert, aminek a tárhelyét megosztva akár backupja is lehet a main szervernek ha valami nagyobb leállás lenne.
(A felhőt én annyira nem látom alternatívának otthonra. Egy otthoni szerver méretű gép bekerülési költsége a felhőben elég gyorsan eléri a beruházás költségét és utána már negatívba fordul. 32GB RAM, 4-8 mag, videogyorsítás transzkódoláshoz, kamera feed feldolgozáshoz. A felhő inkább enterprise szolgáltatáskupac amivel megspórolhatják a cégek az onprem üzemeltetéséhez szükséges népek bérét, meg még persze sok minden mást. De hát ebben az esetben te vagy a rendszergazda :) -
inf3rno
nagyúr
válasz
Melorin #1012 üzenetére
Semmi gond, végülis elvezetett a megoldáshoz a javaslatod, mert vendég hálóra kerülnek, aztán kész. Elvileg a CB levisz addig, ameddig kell, a mostani AP is szinte ugyanott van, és hasonló a wifi erőssége, talán egy picit jobb. Szóval ez a része megoldódott. Akkor tulképp egy extra tűzfalat kell csak feltennem gondolom meg valahogy továbbosztani a netet az összes hálózati kártyán. Gondolom ezek viszonylag alap dolgok, úgyhogy meg tudom oldani a manual olvasgatásával vagy tutorialok nézegetésével.
A másik részére még mindig várok tippet, hogy hogyan lenne jó. Volt ilyen vad ötletem, hogy berakok minden webszolgáltatást, samba szervert külön containerbe, aztán VPN szerverre úgy kötöm rá, mintha mindegyik egy-egy külön számítógépen futna. Mindegyik kap külön helyi domain nevet, saját aláírású SSL-t, stb. Elég elborult, de tetszik az ötlet, hogy triplán virtuális magánhálózatot hozok létre. A másik lehetőség, hogy egy IP és minden külön portra kerül. Talán az SSH tunnel erre egyszerűbb, bár egyikkel sem foglalkoztam még behatóbban.
-
Melorin
addikt
válasz
inf3rno #1011 üzenetére
Jaj, bocsi, azzal a boxxal tényleg nem lehetett ezt megcsinálni elvileg, én is bridge módban használtam. Amikor olyanom volt (az ezelőtti) akkor pfsense-n belül oldottam meg, hogy az egyik lan port függetlenítve volt az én hálozatomtól, csak netet szolgáltatott. Arra kötöttem az AP-t a családnak.
A másik LAN volt az "enyém" amire minden jóságot ráhúztam pfsense-ben. -
inf3rno
nagyúr
válasz
Melorin #1009 üzenetére
Átnéztem a szolgáltatói cucc menüjét, annyi van benne, hogy modem mode, ami gondolom bridge mode-ot jelent. Ez ilyen fehér UPC connect box, amit a Voda vett át pár éve. Szóval valszeg nem megoldható vele. Viszont van vendég háló, és nekik elég a wifi, úgyhogy arra gondoltam, hogy átrakom vendég hálóra őket, nekem meg jó lesz a normál. Talán ez részben megoldja a szegmentálás problémáját.
-
Melorin
addikt
válasz
inf3rno #1005 üzenetére
Én úgy csináltam, hogy a pppoe passthrough-ot engedélyeztem a szolgáltatói modemen, majd
- az egyik LAN portjára dugtam a pfsense WAN-t, ami pppoe-n kapcsolódik a netre. Ezen vannak az én készülékeim.
- A modem egy másik LAN portjára pedig egy AP, annak lan portjain csüng a család. Így nekik marad a "gyári" net, ami akkor is működik ha valamit elbabrálok a pfsense-n -
noorbertt
őstag
válasz
inf3rno #1007 üzenetére
Kétszer is neki futottam de a hw része nekem ködös a configod.
Amúgy amit szeretnél az működne pfsense segítségével minden további nélkül. Ha a hw adott (elegendő port és ap) akkor VM és onnantól mehet a játék.
Mivel le akarsz szakadni a fő hálózatról, így én inkább nem erőltetném a port forwardingot, mert ha valaki pl reseteli vagy babralja a szolgáltatóit, akkor esélyes hogy más ip-t kapsz és máris borul a szolgáltatások amikre használnád.
Inkább nézz körül a Cloudflare tunnel vonalon, egyre több a tutorial hozzá és kb semmi az egész. 1db domain kell hozzá és annyi.Amúgy én most mentem át OpenWrt vonalra egy rpi4-el. Idaig elég jó és jobban le tudom kezelni az otthoni lte netet.
https://www.waveform.com/tools/bufferbloat Teszten A és A+ eredményeim vannak, *sense alatt C volt a legjobb.
[ Szerkesztve ]
-
inf3rno
nagyúr
Van egy olyan helyzet itthon, hogy szeretnék egy saját hálózatot kialakítani pfsense-el. Van szolgáltatói router (Vodafone, NAT, DHCP), meg AP-k rákötve, amit a többiek használnak, én ettől szeretnék függetlenedni. Max egy port forwardingot állítanék be rajta, meg egy kábelt rádugnék, de kb. ennyi. Nem akarok fájl megosztást, vagy semmi ilyesmit a többiek gépeivel.
A saját szerver gépen van gigabites rezes kapcsolat, ac wifi kártya és optikai hálózati kártya. Azt szeretném, hogy az én gépeim innen kapják a netet. A gigabitesen jöjjön be a net a szolgáltatói eszköz felől, az optikain és wifin legyen tovább osztva. A lényeg, hogy tudjak csomagokat szűrni, saját tűzfal beállításokat alkalmazni legalább a saját gépeimre.
A másik, amit szeretnék, hogyha utazok, akkor a laptoppal és a telefonnal elérjem az itthoni szerver szolgáltatásait, pl. fájl megosztás, webszolgáltatások. Azt viszont nem szeretném, hogy valaki direktben elérjen SMB vagy HTTP szervert a netről, inkább csak valamilyen titkosított tunneling megoldáson keresztül. A gépek között direktbe nem szeretnék fájl megosztást vagy ilyesmi, csak a szerveren keresztül, szóval a többi gép vagy a teljes saját hálózat távoli elérését nem szeretném, mert felesleges és csak plusz sebezhetőséget rejt. Azt sem szeretném, ami a tipikus VPN-en van, hogyha rácsatlakozok, akkor a VPN szerver internetjét használom, és minden adatforgalmam átmegy rajta, mert elég gagyi az itthoni uploadom.Egyelőre feltettem egy type1 hypervisort a szerverre, aztán agyalok, hogy mi legyen. Tudtok valami iránymutatást adni, hogy hogyan tudom vagy érdemes elérni a fenti célokat? Leginkább a hálózati része nem világos.
[ Szerkesztve ]
-
gery2123
őstag
válasz
Melorin #1003 üzenetére
Egyenlőre nincs rögzítve. Mivel nincs mozgatva így nem lötyög
Amigy rendeltem AliExpress 1500-ért egyet mikor megvettem a kártyát.De a [link] marketplace is van jó áron, annyi hogy ez a régebbi verzió. Elég meleg tud lenni ha nincs ventillator ahogy olvastam.
[ Szerkesztve ]
-
inf3rno
nagyúr
Én azt nem értem, hogy 2Gbps-hez minek PCIE Gen3 x4 foglalat, amikor x1 simán elvisz 8Gbps-t. Nézegettem már régebben, mert az egyik gépbe kellett volna legalább egy kettes, de nevetséges áron vannak, és túl sok lane-t foglalnak le. Gyorsabban találok valami gyors optikait, mint ilyet, vagy jó eséllyel hamisba futok bele.
Új hozzászólás Aktív témák
- Nvidia GPU-k jövője - amit tudni vélünk
- Házimozi belépő szinten
- NVIDIA GeForce RTX 5080 / 5090 (GB203 / 202)
- Poco X6 Pro - ötös alá
- VR topik (Oculus Rift, stb.)
- PROHARDVER! feedback: bugok, problémák, ötletek
- TV OKOSÍTÓ (smart stick) eszközzel kapcsolatos segítségkérés
- Azonnali játékos kérdések órája
- Napok óta legyőzhetetlen a 32 GB-os új Radeon pletykája
- Soundbar, soundplate, hangprojektor
- További aktív témák...