hallo,

monowall setzt aber jetzt auch auf freebsd 6 und mit ihm bekomme ich nach wie vor keine 100% CPU last, sondern nur ~40%.
Ich habe pfsense eben nochmal getestet, die wiki Einstellungen voll übernommen und polling aktiviert.
Das einzigste was dabei raus gekommen ist, ist dass mit aktiven polling ich nun durch die wiki Optimierung wieder einen vollen Speed von 16 Mbit habe, allerdings auch wieder eine CPU Last von 100%.
Bei polling ohne wiki war die CDU Last soweit ich mich erinnere bei 50-60% aber nur noch ein Speed von 10-11 Mbit drin.
Bei der 100% CPU last, kann ja selbst putty und SSH–>top nichts mehr auslesen, weil pfsense so ausgelastet ist, dass sie nichts mehr sendet.
Ob es nun noch dazu kommt das pfsense noch rebootet, weiß ich nicht und werde ich auch nicht weiter testen, weil die 100% CPU Last alleine, für mich schon nicht akzeptabel sind, dass kann nicht gut sein, ich möchte nicht wissen, wie groß die Paketverluste bei 100% CPU sind, womit auch der etwas geringer Speed der pfsense zu erklären wäre, nämlich ~15,3 Mbit gegenüber ~16,7 bei monowall.

Zum Snapshot. Wo soll das liegen? Das wird es wohl nicht sein
http://www.pfsense.com/~sullrich/1.0.1-SNAPSHOT-12-22-2006/

Das wird wohl die HDD Version sein, denn flashe ich mit physdiskwrite das fullupdate, ist meine CF danach nicht bootfähig, meldet mir wrap.
Nehme ich pfSense.img.gz wird es unter Firmware update im Webmenü nicht genommen und benenne es um in embedded.img.gz wird es genommen, aber es gibt eine Warnmeldung, dass crc nicht passt und ob ich wirklich will.
Ich sage ja pfsense sagt "ok ich spiele das jetzt ein und muss neu booten."
Die sense bootet und nach dem reboot ist nach wie vor die Version
1.0.1
built on Sun Oct 29 01:45:08 UTC 2006

vorhanden.

Weiter oben hast du geschrieben, dass bei deaktivierter Firewall die CPU last nicht so hoch sein soll.
Wo lässt die sich zu Testzwecken deaktivieren?
Unter advanced-->Disable Firewall habe ich deaktiviert und da ging dann gar nichts mehr.
Ich konnte zwar einwählen aber das Inet war nicht erreichbar.

Edit:
ich stelle gerade fest, dass mit der Wiki Optimierung die CPU ständig auf 100% hängt, auch wenn nichts gesaugt wird.

Naja, die Timeline ist mir schon klar.
Leider komme ich nicht damit klar, zB den changelog einer bestimmten Version zu finden. Und darin sieht man doch am besten, was sich seit der letzten Version geändert hat.

jahonix

Das nenn ich doch mal ein blödes Problem…
Aber gut, dann weiß ich wenigstens, worans liegt...

Danke!

Gruß

??? ??? ???

Merkwürdig, das !

und haste mal per SCP versucht, das Snort-Verzeichnis zu löschen ?
Das liegt unter /usr/local/pkg (Dateien mit snort*)

?

Es sollten soweit ich weiß gar keine Rules by default aktiviert sein (zumindest war das noch so als ich Snort das letzte mal am Laufen hatte). Es macht auch kaum Sinn defaultmäßig Regeln vorzugeben, da es von der Netzwerknutzung abhängt, was man überhaupt blocken will. Z.B. kann es ja durchaus vorkommen, daß man P2P-Traffic erlauben will, da wäre eine default gesetzte P2P-Block-Regel doch ärgerlich, oder?

also ich habe eine lösung gefunden. ist zwar etwas naja, aber es geht so prima. ich habe in die /etc/rc fast ganz unten:

route delete default
route delete 192.168.23.0
route add -net 192.168.23.0 -netmask 255.255.255.0 -interface rl1
route add -net 0.0.0.0 -netmask 0.0.0.0 -gateway 192.168.23.8

reingesetzt, und siehe da es rennt.

gruss merl

Ich hab die auf nem PII 350 mit 265 MB Ram laufen. Müsste eigentlich reichen. Ich hatte das ganze auch schon auf ner 500 Mhz Schleuder laufen, das war auch nicht gerade schnell..

Gruß tpf

hallo !

wenn es ein servicevertrag geben würde …....
tcha sowas war hier bisher immer zu teuer.

ich werde wohl um eine kostenpflichtige umstellung nicht drumkommen. das letzte wort hat da aber der chef. ich kann ihm nur die fakten auf den tisch legen. Danke trotzdem für die hilfe

Die embedded Version hat die Ausgabe auf der COM1, sobald er angefangen hat den Kernel zu booten. Du brauchst ein Nullmodemkabel und ein Terminalprogramm.

Das TauVPN behandelt einen etwas speziellen Fall. In Deinem Fall kommst Du ja von einer nicht vorhersehbaren IP, aher mußt Du das mit der mobile Client option machen.

Hallo !

ja das mit https war mir schon klar. ich hab das auch so gemacht, dass jetzt https nur über ein WAN geht. das seltsame ist, dass es über WAN wunderbar geht und über OPT1 es einfach laufend fehler gibt. ich glaube aber, das hier nicht pfSense schuld ist, sondern der router der davor geschaltet ist. das teste ich heute noch aus. wäre ja kein problem wenn nicht die funktionierende leitung die wäre, die ständig ausfällt ;-)

das mit den stats in der 2.0 klingt fantastisch. das ist genau das, was ich gesucht habe. steht denn schon ein termin fest wann die in etwa kommt?

Danke nochmal für die hilfe.

Großartig!  ;D

Was willst Du mit dem VLAN machen? Unter Umständen brauchst Du dieses Feature gar nicht und musst es demnach auch gar nicht konfigurieren.

Ja, ist eigentlich mit jeder Art VPN das gleiche. Du brauchst ein konfliktfreies Routing.

Ist mir lieber so als ein ellenlanger "pissing in the dark" thread  ;D

PPTP ist TCP port 1723 und zusätzlich das GRE Protokol: http://de.wikipedia.org/wiki/PPTP
Da Deine pfSense in einem Firmennetzwerk steht und da vmtl. einen privaten IP-Bereich am WAN hat solltest Du auch "block private IPs" unter interfaces>wan ausschalten.

Kommt auf den Durchsatz an, den Du an allen WANs brauchst. Die CPU- und RAM-Last unter status>system ist ein guter Anhaltspunkt.

Komisch, ich hatte gerade heute Besuch von einem Handelspartner in unserem Büro, der sich mit seinem Cisco IPSEC Client an seiner Firmen PIX angemeldet hat. Hat sogar mit unserer Lastverteilung (MultiWAN) funktioniert. Wir benutzen auch für Fernwartungszwecke IPSEC hinter unserer pfSense ohne Probleme. auf der pfSense selbst sind auch noch 3 IPSEC Tunnel zu anderen Lokationen terminiert.

Ok!
Danke!

MfG tpf