Altes Alix 2D13 - soll jetzt auch Kindersicherung machen

sebden

Hallo Allerseits,

mein altes Alix 2d13 macht immer noch treuen Dienst. Aktuell und seit langem mit pfSense "Current Base System 2.3.5_2".

Mit OpenWRT hatte ich so meine Schwierigkeiten. Schöner Content-Filter, aber praktisch ging jedes größere Update in die Hose. IPsec einrichten (Schnittstellen allgemein), im Vergleich zu pf, ein Gräuel.

Ich möchte dem "alten Mann" gerne noch einen brauchbaren Kinderschutz abringen. Der aktuell verwendete pfBlocker ist da leider wenig flexibel. Der kann, soweit ich überblicke, nur alle oder keinen Filtern.

Für einen klassischen Proxy wird es mit 256mb Ram sicher alles zu knapp. Wobei ich da mit der Einrichtung recht vertraut wäre. Dann wäre mein Plan gewesen, diesen per WPAD auszurollen an die Tablets und Handys und erstmal einfach per IP festzumachen, was wohin geht.

Zu allem Überfluss sitzt als "WLAN-Haustechnik" Hardware von AVM dahinter. FB3490 + Repeater. Da geht natürlich kein VLAN und ähnliches schönes um das Netz einfach zu teilen.

Hätte wer eine Idee, was man aus dem Kram noch rausholen kann? Zum Schluss wäre folgendes gut und billig:

Firewall mit IPsec und DNS-over-TLS
Werbe/Tracking Schutz wie jetzt z.B. durch pfBlocker für alle
zusätzlich Kinderschutz durch DNS oder schlanken Proxy oder ähnliches
WLAN HW sollte bleiben (eine FB 3370 läge noch als Backup oder Erweiterung)

Hätte auch keine Angst nochmal Richtung OpenWRT, OPNsense oder andere Derivate zu schauen wenn die mit dem alten 2d13 was anfangen können. Bin für jede Anregung dankbar

JeGr

@sebden Nicht mal OPNsense lockt man mit 256MB RAM noch hinter dem Ofen vor. Das Gerät ist einfach für 2021 heillos veraltet und unterdimensioniert.

noplan

@sebden

wenn du bei alten sachen bleiben willst
APU4D4
4GB RAM reicht auch für ettliches an pfB aus
die restlichen Punkte die du geschrieben hast sowieso (preislich gleich wie die sg1100, allerdings halt altes Design gg)

kannst mir aus neugier erklären wieso -->

Der aktuell verwendete pfBlocker ist da leider wenig flexibel.

wir haben hier ein paar boxen am laufen die da recht sauber in der devel pfB die Kinder vor
ein paar fernhalten (ohne proxy) ... (problem ist eher das da alles in die listen gepackt wird was irgendwann mal irgendwo gefunden wurde & die dinger halt wachsen und wachsen ;)

alternativ ad hardware
nimm netgate hardware
sg1100 / 2100 / 3100

was du halt brauchst

brNP

hec

@noplan
Ich finde die APU4D4 perfekt.
Verwende die selber bei einigen Kunden.

pfSense sollte eine Hardware anbieten wie die APU - da kann ich 2 in 1HE Rackmount packen.
Bei der pfSense gibts das nur für die großen Geräte die ich aber bei den meisten Kunden nicht brauche bzw hoffnungslos überdimensioniert sind.

Klar wenn ich 10G Routen will brauche ich was anderes als die APU aber ich glaube der Durchsatz wird für die meisten noch immer ausreichen.

noplan

@hec

was mich bei der APU nervt
(das das etwas "ältere" Hardware ist, ignorieren wir mal, ist die Kühlung sonst tut das teil was es soll)

wir hier in der alpenRep / ösi land sind im ländlichen bereich ja teilweise noch nicht mal bei 100Mbit am WAN und das packt die APU locker

wir sind hier gerade am pfB bauen auf eine 4d4 (nach dem Motto use all lists you can get)
mal schauen ob man danach noch surfen kann.

ja zugegeben das whitelisten ist immer eine challenge

viragomann

@noplan said in Altes Alix 2D13 - soll jetzt auch Kindersicherung machen:

was mich bei der APU nervt
(das das etwas "ältere" Hardware ist, ignorieren wir mal, ist die Kühlung sonst tut das teil was es soll)

Gibt es damit Probleme?
Eine alte Hardware sehe ich nicht als Nachteil, wenn die Performance passt. Und ich denke, gegenüber einer SG-1100 hat sie da immer noch Vorteile.

wir hier in der alpenRep / ösi land sind im ländlichen bereich ja teilweise noch nicht mal bei 100Mbit am WAN und das packt die APU locker

Dann sollte es auch keine Temperatur-Probleme geben.

wir sind hier gerade am pfB bauen auf eine 4d4 (nach dem Motto use all lists you can get)
mal schauen ob man danach noch surfen kann.

Soweit habe ich das Ding noch nicht getrieben. Aber ich denke, 4 G RAM sollten schon ausreichen.

noplan

@viragomann

wir haben hier teilweise temp über 60 Grad bei den APUs .. das ist der langlebigkeit nicht gerade zweckdienlich

ich hab aktuell keine SG1100 herumliegen
um aktiv einen vergleich zu ziehen
ein paar projekte werden aktuell gerade von der geplanten apu auf eine sg (3100) umgezogen

und ja da rennen einige in ein Argumentationsproblem APU4d4 vs SG3100 wenn sie nur die hardware fakten anschauen (und wir die lizenz / pfsPlus / pfsCE ignorieren)

hec

@noplan
Die Temperatur der APU ist die Kerntemperatur. Das Teil ist auf bis zu 90°C ausgelegt. Da ist noch genug Luft nach oben.
Man kann ja auch einen Lüfter verbauen wird aber nicht wirklich was daran ändern.

viragomann

@noplan
Die Frage wäre für mich, ob es bereits Erfahrungswert zu Ausfällen aufgrund der Temperatur gibt.

Und ja, es ist die Kerntemperatur. Eine Boardtemperatur wird ja meines Wissens nicht gemessen. Die wäre interessant, denn die betrifft ggf. auch Bauteile, die nicht für hohe Temperaturen ausgelegt sind.
Ja, das Gehäuse wird zwar auch außen ziemlich warm, aber was ich gesehen habe, noch weit von 50° entfernt.

hec

@viragomann

In dem Raum ist es nicht gerade kalt.

viragomann

@hec
Hängt natürlich auch davon ab, was die Box gerade zu tun hat.

Von einer APU4C4 kenne ich diese Wert, geringer sind sie nur, wenn sie aus ist.

Mein Mini-PC mit einem Intel i5-4200U, auf dem Linux und darauf meine Heim-pfSense virtualisiert läuft, hat in Ruhe nicht mal 40° und ist auch nur passiv gekühlt.

sebden

@noplan Danke für dein Feedback, bzw. auch an den Rest der Runde. Unflexibel ist der pfBlocker in dem Sinne:

ich kann die Blocklist nur als Ganzes verwerten, alle Klienten -> 1 Blocklist (zumindest wüsste ich nicht wie es anders geht)
ich kann somit nicht 2 Gruppen bilden für Kinder (mehr Sperrungen) und Rest (bisherige Blocklist)
ich kann keinen Klienten an der Blocklist vorbei führen (DNS wechseln ist klar, aber ohne zu viel auf den Kopf zu stellen, komme ich nicht an den Firewall-Regeln vorbei, die nach jedem Update wieder ganz oben stehen)

Ich habe mal gelesen, das man letzten Punkt über einen Einschub in der Unbound Konfiguration beheben kann, aber das schien mir an irgendwelche Zieldomains gebunden zu sein, die man wiederum auch noch extra zu definieren hatte. Da ich mit pfblocker und DNS-over-TLS schon einiges dort drin stehen habe, hatte ich Bedenken, dass zum Schluss nix mehr geht.

Und wichtiger wären fast noch die ersten Punkte. Über einen WPAD-Proxy wäre das ja ziemlich elegant und sogar mit GUI möglich. Wenn Unbound bzw. pfBlocker ihre Listen nach Intern noch unterscheiden könnten (Interface oder in meinem Fall IPs) wäre das natürlich die Lösung!

Zuviel Wind will ich darum auch nicht machen, wenn das alte Alix fertig hat, hat es eben fertig. Die IPsec-Performance hängt aus unbekannten Gründen auch bei schlappen 7-8MBit (AES128-SHA256-DH14), aber auch AES128-GCM war z.B. gleich langsam.

Ich habe noch einen HTPC mit Gigabyte N3050N Mainboard, den ich vielleicht dafür opfern kann. Aber für selbigen fehlt mir dann ebenso der Ersatz Sicher gibt des zum Aspekt der Kindersicherung sogar noch mehr zu bedenken, was vielleicht später erst auffällt. Übertreiben will ich es andereseits auch nicht

Ein Edit noch: Dank größerer CF hätte ich jetzt die Möglichkeiten für z.B. IPfire, OPNSense, Untangle usw. (alle sollen wohl mit Ach und Krach auf dem Alix laufen können), aber helfen wird das kaum oder (sagte @JeGr ja bereits) ? OpenWRT hat einen schönen AdBlocker und mit privoxy einen schlanken non-caching-Proxy, hier schreckt mich aber eher das viele Gehämmer im CLI ab. Wäre hier noch was zu holen, so aus Erfahrung? Das APU.3D4 Board (4 GByte, 3xLAN) finde ich interessant. Für den Preis gibt es aber schon viel Konkurrenz mit Celeron etc.

m0nji

@sebden
einzelne clients am pfBlockerNG vorbeiführen geht über die DNS Resolver Custom Options:

Hier ein Beispiel:

server:
    access-control-view: 192.168.10.17/32 bypass
    access-control-view: 192.168.10.0/24 dnsbl
    access-control-view: 2003:xxxx:yyyy:zzzz::/64 dnsbl
view:
    name: "bypass"
    view-first: yes
view:
    name: "dnsbl"
    view-first: yes

include: /var/unbound/pfb_dnsbl.*conf

Das bedeutet, dass die .17 ohne pfBlocker ins Internet geht. Man muss im gleichen Atemzug aber darunter wieder die Netze angeben, wo pfBlocker greifen soll.
Aber ACHTUNG: nach jedem pfBlocker Package Update bzw. pfSense Update, musst du die Custom Options überprüfen. Aktuell haut das pfBlocker Package nämlich automatisch die "server:" Variable direkt vor den "include" Wert. Zwei mal "Server:" darfs aber nicht geben...

Nur bestimmte Listen für bestimmte Clients anzuwenden wäre ein tolles Feature, ist mir aber auch nicht bekannt wie das funktionieren soll.

JeGr

@sebden said in Altes Alix 2D13 - soll jetzt auch Kindersicherung machen:

ich kann die Blocklist nur als Ganzes verwerten, alle Klienten -> 1 Blocklist (zumindest wüsste ich nicht wie es anders geht)

@m0nji said in Altes Alix 2D13 - soll jetzt auch Kindersicherung machen:

einzelne clients am pfBlockerNG vorbeiführen geht über die DNS Resolver Custom Options:

Was @m0nji schreibt bzgl. DNS Blocklisting, plus: Die IP basierenden Regeln sind natürlich auch pro pro Client/ClientAlias/Gruppe möglich und nutzbar, wenn man keine automagischen Regeln erstellen lässt, sondern diese via Alias umsetzt.

@m0nji said in Altes Alix 2D13 - soll jetzt auch Kindersicherung machen:

Nur bestimmte Listen für bestimmte Clients anzuwenden wäre ein tolles Feature, ist mir aber auch nicht bekannt wie das funktionieren soll.

Das wäre dann IMHO auch eher ein Feature, was Anthony für pfBlocker selbst einbauen müsste.

@sebden said in Altes Alix 2D13 - soll jetzt auch Kindersicherung machen:

Und wichtiger wären fast noch die ersten Punkte. Über einen WPAD-Proxy wäre das ja ziemlich elegant und sogar mit GUI möglich. Wenn Unbound bzw. pfBlocker ihre Listen nach Intern noch unterscheiden könnten (Interface oder in meinem Fall IPs) wäre das natürlich die Lösung!

Es zwingt dich keiner pfBlockerNG-devel zu nutzen :) Ist aber weniger trouble als gleich den kompletten Proxy mit Squid, Squidguard und lightsquid aus der Ecke zu holen und zu konfigurieren :) Was dann BTW noch ressourcenhungriger wäre - gerade im Hinblick auf RAM.

Die IPsec-Performance hängt aus unbekannten Gründen auch bei schlappen 7-8MBit (AES128-SHA256-DH14), aber auch AES128-GCM war z.B. gleich langsam.

Was soll GCM denn bei der uralt-Alix bringen, die nicht einmal AES NI hat? Da kannst du nichts beschleunigen, selbst die APU1 konnte das noch nicht. Erst seit dem (alten) APU2/3/4 Chipsatz geht überhaupt AES-NI. :)

Ein Edit noch: Dank größerer CF hätte ich jetzt die Möglichkeiten für z.B. IPfire, OPNSense, Untangle usw. (alle sollen wohl mit Ach und Krach auf dem Alix laufen können), aber helfen wird das kaum oder (sagte @JeGr ja bereits) ?

Das wäre mir neu, zumindest in Bezug auf OPNsense. Ich hatte da mit einer VM schon Probleme wenn der RAM bei 512MB war. Erst ab 1GB war das überhaupt sinnvoll nutzbar bzw. gab keine Boot Probleme. Mit Blocklisten < 1GB RAM anzufangen ist komplett widersinning, denn egal wie schlank der Kram installiert ist: die Blocklisten sind groß und brauchen Platz. Ob das IP Listen sind oder Domainnamen, das braucht alles RAM. und 256K oder 512K sind da heute einfach zu wenig selbst wenn die Grundinstallation und Routing läuft :)

Das APU.3D4 Board (4 GByte, 3xLAN) finde ich interessant. Für den Preis gibt es aber schon viel Konkurrenz mit Celeron etc.

APU3 ist für *Sense komplett sinnfrei :) Entweder du nimmst eine APU2D4 (3x LAN, 4GB RAM) oder eine APU4 wenn du 4 NICs willst. Die APU3 ist ein Board für Linux gedacht als WiFi/LTE Routing Board. Die zusätzlichen Slots bringen dir in BSD nichts und dann kann man sich den Zauber auch sparen - steht auch genau so in den HW Specs https://pcengines.ch/apu2.htm (Stichwort APU3 - optimized for 3G/LTE Boards). Nicht immer ist: "größere Nummer = neuer = besser".

Und egal welche APU: es ist immer der gleiche alte Chipsatz und die gleiche APU. Die ist inzwischen so in die Jahre gekommen, dass es eben enorm viel Konkurrenz gibt, die nicht enorm viel teurer ist aber wesentlich mehr auf dem Kasten hat. Abgehangene Hardware mag stabil/ganz gut sein, aber wir hängen viel zu oft an steinalter Hardware und wundern uns dann immer dass Software nicht aus dem Knick kommt. Das ist Henne-Ei Problematik. Ja die Kiste hat (endlich) AES-NI - juhu immerhin ;) Und für nen Heim-DSL Anschluß ist sie wahrscheinlich genug. Aber man spielt eben doch rum und entwickelt sich weiter, baut dann doch größer als man kann und kommt dann doch gerne mal an Limits die man hätte gleich vermeiden können.

Persönlich hab ich dazu mit APU1 und 2 einfach viel zu nervige und viele Ausfälle der HW gehabt wenn die Dinger vor Ort wirklich mal heiß geworden sind (wurden halt auch gerne mal in Schaltschränken und Co verbaut und da ist nicht wirklich kühl). Und wenn dann immer mal wieder die Kiste rebootet oder die Grätsche macht, ist man irgendwann genervt ;) Kann also für daheim völlig gut genügen, manchmal macht aber andere HW vielleicht mehr Sinn. Je nach Einsatz :)

Cheers

noplan

@hec

ich hab jetzt mal auf die schnelle nachschau gehalten.

Alles APU4d4 hinter DSL Modems (bridgeMode) c&d sind bereits auf pfS 2.5.1
auf allen mind 2 openVPN tunnels permanent am laufen

box a 49,2
box b 53,2
box c 65,0
box d 68,3

scheinbar überbewerten wir die Temp etwas. (ich muss mal schauen ob das irgendwo reported wird) auch in hinblick wann was gestorben ist.

BoardTemp hab ich noch keine gefunden (hat mich bisher auch nicht interessiert)
Wenn eine Box gestorben ist (die letzten 24Monate 1Stk allerdings aufgrund der verbauten mSata) wird eine neue ausm Schrank genommen last Config drauf und fertig. Ich schau da nicht mehr nach. Einige Sparefroh Kunden haben sich eine Platine als Reserver gekauft weil das Gehäue kann man ja wiederverwenden ;)

Die Ableitung der Wärme an das Gehäuse kann schnell nach hinten los gehen wenn du die Box auch noch auf einen switch ohne lüfter legst (nicht das jetzt da jemand um die Ecke kommt und sagt der Lüfter vom switch kühlt die APU ja eh mit)

Ein Kunde spielt sich gerade mit der Idee einen Lüfter ins / ansgehäuse oder Kühlrippen ans Gehäuse zu packen um die Wärme besser abzuleiten.

Man kommt nicht drum herum zuzugeben es ist "abgehangene hardware" die stabil funktioniert und es gibt auf der Hardware Seite sicher besseres ... ob zum gleichen Preis für die hardware / performance gilt es zu bewerten.

noplan

@jegr said in Altes Alix 2D13 - soll jetzt auch Kindersicherung machen:

Nur bestimmte Listen für bestimmte Clients anzuwenden wäre ein tolles Feature, ist mir aber auch nicht bekannt wie das funktionieren soll.

Nein Nein Nein das willst du nicht wirklich haben, klar ist schön im 1. Moment
wenn IPx die Listen aus PoolY und IPz die Listen aus PoolU und der Rest die Listen aus den anderen Pools bekommt. Viel Spaß bei der Wartung.

Die Anforderung kommt so sicher wie AMEN irgendwann im Gottesdienst, wenn man mit pfB arbeitet. Ich löse es über VLAN, wenn eine Gruppe im Unternehmen keine Einschränkung / Schutz braucht dann hat die auch nix im "default" Netz (LAN) verloren. Oh Wunder ....

wenn das nicht ausreicht knallen wir die IP einfach am pfB vorbei genau so wie
@sebden einzelne clients am pfBlockerNG vorbeiführen geht über die DNS Resolver Custom Options: beschrieben hat.

Aus der Praxis, habe ich mit der Trennung der Devices der Kids, weit weniger Probleme, als alle immer befürchten, denn in dem Moment wo das WLAN nicht mehr allen gehört, kann man auch ein paar andere Features der pfS nutzen die das HomeOffice & HomeSchooling nebeneinander trotz kleinerer WAN Leitung lebenswerter machen. (Ja das das Hardware mindest VLAN fähig bedeutet ist klar aber es funktioniert) Ja Ja Drucker / Alexa Multicast usw. ... alles Sachen die du mit einer enterprise Sollution nicht haben / abdecken willst (oder doch .. masochist)

Was ich nicht verstehe @JeGr wieso verwendet man einen Proxy bei dem ich einen man in the middle auf der box machen muss um es ordentlich hinzubekommen. mit pfB erledig ich diese dinge einfacher und unkoplizierter.

Dazu kann man nix sagen, weils halt stimmt.
Abgehangene Hardware mag stabil/ganz gut sein, aber wir hängen viel zu oft an steinalter Hardware und wundern uns dann immer dass Software nicht aus dem Knick kommt.

Weils ja immer wieder eine spannende Frage ist ...
Wieviel bekomm ich in RAM HDD CPU-Performance NICs und RoutingPerformance für 185 EUR geboten .... bitte um Info. (die netgate hardware lassen wir jetzt außen vor)
Für den Preis gibt es aber schon viel Konkurrenz mit Celeron etc

long story short ...
die ALIX 2D13 in den Ruhestand und mit was neuem das den Anforderungen entspricht ersetzen ... ob das jetzt eine SG3100 oder eine APU4D4 oder eine China i7 Box ist eigentlich völlig egal solange man pfsense verwendet.

hec

@noplan

Ich hab 2 in einem 19" Case mit einem Lüfter mit redundanten PSUs.
Das ist echt massiv das Case. Die Wärmeableitung funktioniert perfekt. Ist leider nicht ganz billig aber dafür habe ich genau das was ich will.

Mir fehlen eben 19" Geräte von pfSense die nicht komplett oversized sind.

JeGr

@hec said in Altes Alix 2D13 - soll jetzt auch Kindersicherung machen:

Mir fehlen eben 19" Geräte von pfSense die nicht komplett oversized sind.

Was ist denn oversized? Also für die SG5100 (was ja ne 1510 ist) gibts nen RackmountKit :) Die anderen Sachen sind eben hauptsächlich SMB Sachen bzw. Home-Appliances und da sieht man eher den Einsatz als Desktop oder Wandmontage. Dass da jemand Racks hat ist selten :)

noplan

@jegr said in Altes Alix 2D13 - soll jetzt auch Kindersicherung machen:

SG5100

feines Teil ... !

Problem ist wirklich wenn du keinen Fachboden ins Rack schreiben willst sonder 1HE verbauen willst ;) .... immer diese Home User und Ihre Instagram Networking stories ;)

noplan

@hec said in Altes Alix 2D13 - soll jetzt auch Kindersicherung machen:

2 in einem 19" Case mit einem Lüfter mit redundanten PSUs.

haste Link ich find immer nur den

Link zum varia store

danke vorab