pfBlockerNG Entwicklung / Business Einsatz

Bob.Dig

@slu Da sollte was stehen, wenn Du im pfBlocker ebenfalls den Unbound Python Mode aktivierst. Und dort steht dann wiederum, was es bringt.

slu

@Bob-Dig
ah jetzt habe ich es gefunden.

slu

@Artefakt said in pfBlockerNG Entwicklung / Business Einsatz:

@slu bei DNSBL Category solltest Du UT1 auf jeden Fall aktivieren und im Unterbereich die Dinge anklicken, die interessant sind (evtl. "Malware", "Adult", usw.).

Wenn ich diese UT1 Adult aktiviere kommt dieser Hinweis:

ut1 category [ Adult ] enabled.
*** Large categories selected! Please review DNSBL TLD memory recommendations before continuing ***

Welche Memory Setting ist hier gemeint?
Ist das eine Einstellung oder die Hardware (RAM) generell?

Bob.Dig

@slu said in pfBlockerNG Entwicklung / Business Einsatz:

Welche Memory Setting ist hier gemeint?
Ist das eine Einstellung oder die Hardware (RAM) generell?

Folgendes dürfte gemeint sein, was ich eh nicht aktiv habe. Klar sollte auch sein, je mehr Krams Du aktivierst, um so eher wird es Probleme geben aka nicht Business geeignet.

slu

@Bob-Dig said in pfBlockerNG Entwicklung / Business Einsatz:

Klar sollte auch sein, je mehr Krams Du aktivierst, um so eher wird es Probleme geben aka nicht Business geeignet.

Ja das ist klar, ich versuche mich ranzutasten.

slu

Ich versuche mich gerade an einer weiteren pfSense:

Downloading Blacklist Database(s) [ ut1 (~8.5MB) ] ... Please wait ...
	UT1 ... Failed

Hoffentlich nur ein temporäres Problem, nicht das diese Liste auch noch verschwindet...

sebden

@Artefakt said in pfBlockerNG Entwicklung / Business Einsatz:

@slu bei DNSBL Category solltest Du UT1 auf jeden Fall aktivieren und im Unterbereich die Dinge anklicken, die interessant sind (evtl. "Malware", "Adult", usw.).

Und bei Feeds solltest Du alles nehmen, was irgendwie mit Malware zu tun hat.
Damit fahr ich ganz gut.

Gruß, Arti.

Gibt es in dem Zusammenhang noch andere Empfehlungen/must-haves?

Ich nutze aktuell auf IP-Basis die PRI1 und PRI2, sowie für DNSBL die ADs_Basic von Steven Black.

slu

@slu said in pfBlockerNG Entwicklung / Business Einsatz:

Hoffentlich nur ein temporäres Problem, nicht das diese Liste auch noch verschwindet...

War ein temporäres Problem, über Nacht hat er den Download geschafft.

slu

Irgendwie ist es doof wenn der AD die DNS für die Clients macht und dieser wiederum die pfSense befragt, macht das (wer hat die Alert DNS Anfrage ausgelöst) suchen gar nicht so einfach..

JeGr

@slu said in pfBlockerNG Entwicklung / Business Einsatz:

Irgendwie ist es doof wenn der AD die DNS für die Clients macht und dieser wiederum die pfSense befragt, macht das (wer hat die Alert DNS Anfrage ausgelöst) suchen gar nicht so einfach..

Jup, das ist einer der Nachteile wenn man den Schuldigen sucht. Aber Leute jammern dann wenn man es anders herum konfiguriert, dass man die Clients nicht mehr mit ihrem internen Namen ansprechen kann - daher ist es meist in dieser Konstellation konfiguriert.

slu

@JeGr said in pfBlockerNG Entwicklung / Business Einsatz:

Jup, das ist einer der Nachteile wenn man den Schuldigen sucht.

Hab dann einfach ein tcpdump für port 53 auf dem Samba AD laufen lassen, dann war der Client schnell gefunden :)

slu

Aus irgend einem Grund führt die Kombination pfBlockerNG und "unbound python mode" zu einem dauerhaften schreiben auf die SSD, soweit zumindest meine derzeitige Erkenntnis.

Das ganze hat bei mir zu einer defekten SSD geführt und das andere System welches noch keine zwei Jahre alt ist hat ganz schön gelitten:
https://forum.netgate.com/topic/189689/what-wrote-47-tb-in-two-years-2-7-2

Ist dieses Problem bei euch auch vorhanden?

Edit:
Auf der Konsole mit "top -m" io prüfen.

Ich merke gerade das ich ein ganz schönes durcheinander mit den verschiedenen Post in den unterschiedlichen Topics produziert habe...

Artefakt

@slu Ja, unbound schreibt ständig was....

Hatte noch keinen Defekt damit.

Gruß.

slu

@Artefakt
die Frage ist nur warum er ständig schreiben muss.

Available Spare:                    100%
Available Spare Threshold:          10%
Percentage Used:                    67%
Data Units Read:                    22,535 [11.5 GB]
Data Units Written:                 92,432,066 [47.3 TB]
Host Read Commands:                 4,378,418
Host Write Commands:                4,303,452,653
Controller Busy Time:               42,328
Power Cycles:                       25
Power On Hours:                     13,114

47,3 TB ist sehr viel für eine Firewall, finde ich.
Oder die Ausgabe ist falsch, das kann ich natürlich auch nicht ganz ausschließen.

sebden

Bei top -m io sehe ich zwar selten mal Unbound hochspringen, aber wir prüfe ich denn das gesamte Schreibvolumen pro Festplatte? Ich nutze mehrheitlich UFS und nur vereinzelt für Stichproben mal ZFS bei >=8GB Ram. Unter den "normalen" SMART Infos finde ich leider nichts.

slu

@sebden said in pfBlockerNG Entwicklung / Business Einsatz:

Unter den "normalen" SMART Infos finde ich leider nichts.

Die SMART Infos sehen je nach SSD unterschiedlich aus, kann gut sein das deine SSD gar nichts anzeigt oder die Werte anders sind.

slu

So ich lerne dazu, zfs schreibt auch recht regelmäßig auf die SSD, sieht man aber nur mit dem Schalter -S

top -S -m io -o total

https://man.freebsd.org/cgi/man.cgi?top(1)

fireodo

@slu said in pfBlockerNG Entwicklung / Business Einsatz:

zfs schreibt auch recht regelmäßig auf die SSD

Die Schreibvorgänge auf den Datenträger kann man mit diesem Befehl sehen (hab aber nicht gefunden wie man ihn auf einzelne Prozesse setzen kann):

iostat 5 50 -d ada0 -x

(ada0 ist hier der Datenträger)

sebden

@slu

top -S -m io -o total -> bringt für ca. 1 Sekunde eine Tabelle, die bei mir von clamd angeführt wird mit knapp 50%, gefolgt von zfsker mit 40%. Wäre ein System mit 2.7.2, pfBlockerNG python-mode und ZFS.

edit. nach der 1 Sekunde sieht es wie ein normales top aus, wo sekündlich immer mal was auf den 1. Platz springt, augenscheinlich nichts besonderes.

slu

@sebden said in pfBlockerNG Entwicklung / Business Einsatz:

top -S -m io -o total -> bringt für ca. 1 Sekunde eine Tabelle

Beim starten von top? Das ist bei mir auch so, ich kenne den Grund nicht.

Wenn top das natürlich nicht anzeigen würde weil zu kurz könnte das auch meine TB's erklären und Unbound wäre gar nicht die Ursache.