pfSense Usergroup #001 - 2020-09-11 - 16:30

NOCling

Was ich gerade feststellen muss, der pfBlockerNG in der Dev Version hat die RAM Auslastung verdoppelt.
Das schon ein echt krasser Unterschied obwohl der Tabel Count kleiner geworden ist.

Liegt das nur am Reporting mit schön Bunt?

Jetzt ist der Ram vom SG-1100 mit 78% schon ganz schön voll geworden, beim SG-3100 ist der von 24% auf 46% hoch.

noplan

@NOCling

Gleiche Anzahl an feeds drin?

Und ich weiß jetzt auch wieso ich Devel nutz
wegen der custom block page wenn der User wohin will wo er ned darf

JeGr

@noplan said in pfSense UserGroup (1. Meet vorbei):

wegen der custom block page wenn der User wohin will wo er ned darf

Funktioniert die überhaupt sinnvoll? Bei HTTPS denke ich nicht -> immer mehr nutzt HTTPS da sinnvoll -> immer weniger sinnvolle Nutzung?

NOCling

Da wird vermutlich der Mehrverbrauch her kommen, ich war wohl ein wenig zu lange im Feed Shop einkaufen.

Jetzt ist die kleine bei 73-75% RAM Auslastung, das sollte ok sein, den hat man ja schließlich auch um ihm zu verwenden.
So lange die kleine damit auskommt und nicht Swaped ist alles gut.

noplan

@JeGr

Bei DNSBL und TLD blocks funktioniert super
Anpassen mit Möglichkeit zur one Klick Meldung an Admin war nervig aber rennt gut

JeGr

@noplan said in pfSense UserGroup (1. Meet vorbei):

Bei DNSBL und TLD blocks funktioniert super
Anpassen mit Möglichkeit zur one Klick Meldung an Admin war nervig aber rennt gut

OK aber wie? Macht für mich gerade keinen Sinn dass es funktioniert, oder hast du da noch was angepasst? Warum ich da Problem mit der Logik habe:

du blacklistest baddomain.tld
Client ruft https://baddomain.tld auf
pfBNG liefert jetzt (wenn du die Fehlerseite aktiv hast) die IP der Sense aus
Client landet auf dem Miniwebserver der Sense und versucht httpS://baddomain.tld zu rufen

Woher soll der Webserver jetzt das SSL Zert für baddomain.tld haben? Und wenn ers nicht hat, wird ja immer eine Zertifikatswarnung kommen? Oder wie hast du das gelöst?

Davon abgesehen habe ich wegen besserer/schnellerer Verarbeitung gerade bei Ad/Malware Blocking das "logging" abgeschaltet, womit dann 0.0.0.0 zurückgeliefert wird, was direkt in NXDOMAIN bzw. NXERROR resultiert und einfach nix lädt. Gerade bei geblockten Seiten-Inlays oder Popups lädt die Seite dadurch schneller als Umleitungen.

Interessiert mich aber wie das ohne SSL Error gehen soll?

noplan

@JeGr
OK ich geh testen / Doku machen

JeGr

@noplan Ich frag doch blos

NOCling

Ok wieder alles gut, den Hacken bei TLD sollte man der kleine Kiste nicht setzen, dann passt es auch wieder vom RAM her, jetzt ist das SG-1100 wieder bei 50% rum.

@noplan
Kann mir nur Vorstellen das es mit einem Proxy inkl. Zertifikat und MITM Proxy funktioniert, der dann das passende Zertifikat selber ausstellt.
Sonst rennst du immer in die Warnung.

JeGr

Das bringt pfblocker aber eigentlich nicht mit deshalb wundere ich mich ja

JeGr

Oh und weil wirs u.a. von solchen Themen auch hatten:

https://www.bbc.com/news/technology-54142567
(holy fuck - really? UK Chipgigant wird von trumpischem US Grafikladen für 40Mia gefressen?? Sieht da noch jemand ganz böse Omen in Bezug auf US Abhängigkeiten?)
https://t.co/coAymteldg
(Naja Express ist zwar BILD Niveau aber wenns nur teilweise stimmt heißt das auch die Klinik hat sich die Hacker + Cryptolocker Kombi eingefangen)
https://netzpolitik.org/2020/datenschutzkonferenz-deutsche-verwaltung-nutzt-microsoft-produkte-nicht-rechtskonform/
(aber hey immerhin Microsoft ist ja ... oh wait!)

JeGr

BTW:

@noplan Samma, das wusste ich ja gar nicht!
https://twitter.com/AmerIndependent/status/1305849370328403969

Ihr habt in Österreich explodierende Bäume? Und die ganzen Baumstädte? Dammich warum sagt denn das niemand? Da wär ja Gefahrenzulage angebracht!

In other News (weil wirs von Citrix hatten):

https://twitter.com/HonkHase/status/1305844487193853953
https://www.hisolutions.com/detail/ransomware-angriffe-als-folge-von-shitrix

Und wegen der Klinik bzw. den Kommunen:
https://twitter.com/HonkHase/status/1305882755549605891

Schlimm. Vor allem dass es totgeschwiegen wird statt endlich mal das Thema anzugehen.

noplan

@JeGr

ich komm noch immer nicht dazu

ich setz mir jetzt einen reminder auf die ToDo List !

aber kurz zusammengefasst funkt das bisher
so egal ob http oder https
wenn domain (ergo DNSBL) auf blocklist dann kommst auf die custom page

das php gefriemel ist dann nervig
wenn der user per klick sagen soll das man es freischaltet und begründen muss.

to be continued;)

noplan

@JeGr

biiiiiiiiiiiiiiiiiiiiiiiiiiiiiiittttttttttttttttttttttteeeeeeeeeeeeeeeeeeeeeeeeeee

OIDA !!!!!!

ich komm seit gestern aus der saga nimma raus

erklärt aber auch wieso bei uns noch Industrie Kunden mit ADSL angbunden sind (1Mbit up ;)

JeGr

https://streaming.media.ccc.de/divoc_ptt/relive/226?s=09

ab 46:30 gern Mal dem HonkHasen zuhören. Shitrix, Cisco, F5, Fortigate, Pulse (ehem. JuniperVPN), etc etc

NOCling

War mal interessant das aus der andere Perspektive zu hören.
Mal ein schönes Konzept schreiben kann ja auch Spaß machen, aber man braucht dafür auch mal Ruhe und aktuell ist die bei uns jedenfalls nicht vorhanden.

Wie sieht es bei euch aus, wir sind aktuell jedenfalls extrem Projekt getrieben unterwegs.

NOCling

Was den PfblockerNG angeht, da ist die Dev Version ein richtiger Ressourcenfresser im vergleich zur Stabel.

Habe jetzt alle Listen die ich in der Dev hatte, in der Stable geladen und mein SG-3100 ist bei 20% Ram, beim SG-1100 sind es 50%, als die Hälfte.

Deny: 103384
DNSBL: 331997

Das kleine hat für den ersten Chron zwar ca. 10Min benötigt, aber das läuft nur auf einem Kern und auch nur 1 mal in der Nacht, damit sollte das kein Problem darstellen.

Vor allem ist mir beim Dev augefallen, das Nice durchgehende mit 25% CPU Last dabei war, das ist jetzt wieder bei 0,x%.
Habt ihr da mal Vergleiche angestellt?

noplan

@NOCling

nix verglichen da ich unbedingt diese custom info page gebraucht habe
CPU und RAM sind somt fastegal geworden .... da die adult site listen aber immer größer werden wird es für kleine bretter (APU) ein richtiges Problem

noplan

Weil wir hier in den Waldstädten ja nix mitbekommen

Gibt's schon an neuen Termin f nächste Meeting...

Grüße aus der Alpenrepublik

JeGr

Ja diese explodierenden Bäume sind so laut...

nee gab noch keinen neuen, bin leider momentan krank aber sobald ich wieder Licht sehe, mach ich nen neuen Termin aus :)