Hardware für Anbindung Aussenstelle?

Hallo Dirk,

danke für die Rückmeldung.

Die Zentrale hat aktuell 100Mbit symetrisch, die Aussenstelle 400 (down) / 25 Mbit (up).
In der Zentrale läuft zZt. noch eine APU (?), muss ich aber noch genauer schauen. (habe es "geerbt", da ich dort erst seit Ende verg. Jahres arbeite …)
Wird aber wahrscheinlich auch noch ersetzt werden (müssen).

Mir geht es jetzt nicht um die Zentrale, ich will jetzt nur direkt für die Aussenstelle dafür sorgen, das wir auch zukünftig gut aufgestellt sind, da wir dort noch nichts haben.
Die Firewall in der Zentrale steht aber auch schon auf der Liste ...

Es sollte in der Aussenstelle möglich sein, aktuell vll. 20-25MBit (?) via OpenVPN nutzen zu können. In den nächsten Jahren 50MBit oder gar mehr.
Die Anbindung der Aussenstelle werden wir auch nochmals durchleuchten, da wir auch dort wahrscheinlich noch Änderungen machen werden.
Aktuell ist noch alles in der Planungsphase ...

Gruß Sebastian

JeGr

@sanches: die genannte Hardware könnte das problemlos umsetzen. Wir haben die 7525 bspw. bei Kunden mit 100-200MBit synchron laufen.

monstermania

Aha,
na damit kommt man doch schon weiter! :)
Ich bin kein großer Freund davon 'Leistung' auf Vorrat zu kaufen (im Gegensatz zu Jens) 8). Bei 100/100Mbit in der Zentrale ist die ohnehin Euer Bottenleck. Mehr wie 100 Mbit sind da ja ohnehin nicht drin. Wenn Ihr in der Zentrale jetzt kurzfristig nicht die Anbindung aufstocken wollt, würde eine APU2C4 für den Außenstandort durchaus ausreichen.

Wichtig wäre natürlich zu klären, was Ihr genau für eine APU in der Zentrale am Laufen habt! Wenn es sich nur um eine APU(1) handelt gibt es keine Verschlüsselungsunterstützung seitens der CPU (AES-NI). Dann macht VPN nicht viel Spaß! Sollte sich ja recht einfach klären lassen, da dass ja im pfsense-Dashboard angezeigt wird
Also erstmal genau prüfen, was für HW am Start ist.

Gruß
Dirk

JeGr

Ach Mist, hab Glasfaser = Gigabit gelesen statt 100MBit/s. OK dann täte es ne Nummer kleiner auch. ABER - und da bin ich eben aus Erfahrung macht Schlau mit Firmen inzwischen weiter ;) - auf "Vorrat" ist nicht so verkehrt, denn oft genug sind solche Teile bei Firmen eben 3-5 Jahre in der Abschreibung und müssen so lange herhalten. Und wir sehen, wie sich Bandbreiten und Nutzung entwickeln. Plötzlich will man doch das neue AppID Filtering nutzen und die CPU reicht nicht mehr um 100MBit/s sym. gleichzeitig noch zu verschlüsseln (o.ä.), daher würde ich nie auf "jetzt Stand" kalkulieren, sondern in Betracht ziehen, was sich die nächsten Jahre noch tut bzw. wo man hin will.

Und 100MBit/s sym. sind jetzt auch nicht viel, Angebote mit mehr gibts schon und da muss nur Gigabit Glasfaser kommen, dann wäre es plötzlich total schön, wenn die Kiste auch 400MBit wenigstens in eine Richtung verschlüsseln kann - und dann macht das Ganze plötzlich nen Sprung von ~20-25 auf 200-400 :D

Wenn da in der Zentrale aber noch ne APU werkelt - wirklich bitte prüfen! - dann wäre die eh schon ziemlich unterdimensioniert für alles außer Routing bei 100 symmetrisch. Das ist dann schon unteres Ende der Nahrungskette! Da würde ich eher überlegen die ggf. erst mal in die Außenstelle zu packen und mir ne 7525 o.ä. ins Haupthaus zu holen. :)

Danke nochmals für euren Input.

D.h. ihr würdest sagen das die SG-3100 ausreichen sollte? Oder die APU2C4?

Der Glasfaseranschluss in der Zentrale hat zZt. nur einen Tarif mit einer 100MBit Leitung.
Wenn wir mehr brauchen, kann problemlos auf 1000MBit hochgestuft werden.
Ist aber derzeitig nicht geplant, jedoch haben wir uns gerade durch diese Option für die Zukunft für diesen Anschluss entschieden.

@Dirk:
Folgendes finde ich im Dashboard:

2.3.3-RELEASE (amd64)
nanobsd (4g)
pfsense0 / da0s1(rw)
AMD G-T40E Processor 2 CPUs: 1 package(s) x 2 core(s)

Gruß Sebastian

monstermania

Ok,
dann habt Ihr in der Zentrale nur eine PC-Engnes APU (kein AES-NI). Für VPN nicht gut geeignet, da recht langsam und eine hohe CPU-Last weil eben ohne AES-NI. Noch dazu Nano-Installation!
Mit der Nano-Installation ist mit der pfsense 2.3 Schluss. pfsense 2.4 ist nur mit mit einer Vollinstallation möglich. Das bedingt i.d.R. auch eine SSD.
Insofern würde ich dann doch überlegen, die Hardware komplett zu erneuern. Evtl. macht (übergangsweise) auch der Vorschlag von Jens Sinn. Zumindest wenn das Budget eher schmal bemessen ist.
Wenn es günstig sein soll, würde ich mir 2 APU2C4 Kits holen (mit SSD). Dann kannst Du auch gleich die pfsense 2.4.x installieren. Eine komplettes APU2C4-Kit bekommst Du für ~ 200€.

Zur SG-3100 kann ich keine Aussagen treffen, da ich noch keine hatte! Mußt mal schauen, ob Du Erfahrungsberichte zur VPN-Performance einer SG-3100 findest. Ob das aber günstiger wird als eine APU2C4 glaube ich nicht. Vorteil wäre hier natürlich der pfsense-Gold-Support für 1 Jahr den es bei Kauf der SG-3100 gibt.

Gruß
Dirk

JeGr

Ob das aber günstiger wird als eine APU2C4 glaube ich nicht.

Nein ist es nicht.

Ich würde mir bei der Konstellation aber dringend überlegen - OK natürlich abhängig vom Budget - ob ich in der Zentrale mit eine 7525 hinstelle - gerade wegen Upgrade auf größere Geschwindigkeiten noch mehr Reserven - und in der Außenstelle eine 1020 (oder wenn Kosten klein sein müssen eben das APU2C4 Bundle). Aber gerade in Punkto Zuverlässigkeit bei Firmen sind uns die beiden bislang wesentlich positiver aufgefallen als die APUs. Was bitte genauso zu verstehen ist - unser subjektiver Stand. Aber ich empfehle inzwischen gerade für sensible Einsatzorte keine APUs mehr, auch wenns mir selbst weh tut. Sind uns einfach schon im Verhältnis zu viele ausgefallen. von 1010, 1020 oder 7525ern noch gar keine bis heute. Lediglich eine 1010er ist bislang gestorben an Überspannung. Das hätte aber jeden getötet ;)

Grüße

hornetx11

@monstermania:

Ok,
dann habt Ihr in der Zentrale nur eine PC-Engnes APU (kein AES-NI). Für VPN nicht gut geeignet, da recht langsam und eine hohe CPU-Last weil eben ohne AES-NI. Noch dazu Nano-Installation!
Mit der Nano-Installation ist mit der pfsense 2.3 Schluss. pfsense 2.4 ist nur mit mit einer Vollinstallation möglich. Das bedingt i.d.R. auch eine SSD.

Moin,

das ist eine altes Alix Board mit einem AMD G-T40E Prozessor.
Dies ist vor allem ein 32Bit Prozessor und wird ab Versin 2.4 nicht mehr unterstützt.

Hornetx11

JeGr

Aus aktuellem Anlaß nochmals:

ALIX != APU. Die Aussage oben war schon korrekt, es IST eine alte APU(1).
-> https://www.pcengines.ch/apu.htm

Bitte ggf. nachlesen, ALIX und APUs werden hier leider immer wild durcheinander gewürfelt und auch wenn die APU1 das inzwischen gleiche Schicksal teilt, was EOL angeht, ist sie dennoch für andere Anwendungen durchaus noch eine ganz annehmbare Plattform. Die ALIX ist hingegen schon seit Jahren mehr als überholt und lief auf einer alten Geode LX CPU mit ~500MHz
-> https://www.pcengines.ch/alix.htm

hornetx11

Sorry mein Fehler

HornetX11

JeGr

Kein Problem, ich wollte nur weiteren ALIX APU sonstwas Verwechslungen nochmal vorbeugen ;)

Hallo an alle,

vielen Dank für eure Infos und euren Input.
Ich werde nun mal die 1020 anfragen und im Laufe des Jahres auch mal die "alte" Firewall in der Zentrale angehen.

Gruß Sebastian