[Hardware] APU.2 von PCEngines Infos

JeGr

Re-read: OpenVPN 2.4 - ich sprach nicht von pfSense 2.4, die nicht umsonst noch nicht im Release Stadium ist. Der Punkt ist, dass AES-GCM jetzt verfügbar ist und damit auch AES-NI wesentlich mehr/sinnvoller genutzt wird als bei AES-CBC. Ergo profitieren auch kleinere Systeme davon.

athurdent

[2.4.0-BETA][root@pfsense]/root: uname -a
FreeBSD pfsense 11.0-RELEASE-p7 FreeBSD 11.0-RELEASE-p7 #27 6317ca7fc42(RELENG_2_4): Sat Feb 11 00:57:51 CST 2017

[2.4.0-BETA][root@pfsense]/root: openvpn --version
OpenVPN 2.4.0 amd64-portbld-freebsd11.0 [SSL (OpenSSL)] [LZO] [LZ4] [MH/RECVDA] [AEAD] built on Dec 30 2016

OpenVPN 2.4.0

JeGr

SEUFZ
Nochmal: Ich rede schlicht von OpenVPN 2.4. NICHT von OpenVPN 2.4 in pfSense 2.4 BETA(!) was noch durchaus seine Probleme hat. Was war daran so schwer zu verstehen? Der restliche Punkt bleibt bestehen. AEAD ist vorhanden, wie du richtig zeigst, der Rest muss sich eben einspielen, bis die Bugs und Implementierungsprobleme raus sind. Nichts desto trotz: die APU2 WIRD von OpenVPN 2.4 in pfSense 2.4+ profitieren. Mehr als sie es jetzt tut.

Ist das jetzt so schwer zuzugeben dass man da ewig dran rumoxidieren muss? :o

jahonix

@no_Legend:

… garnicht so falsch.

Doch so falsch, das "garnicht"!
Denn "garnicht" wird gar nicht zusammengeschrieben. 8)

athurdent

@JeGr:

die APU2 WIRD von OpenVPN 2.4 in pfSense 2.4+ profitieren. Mehr als sie es jetzt tut.

Ist das jetzt so schwer zuzugeben dass man da ewig dran rumoxidieren muss? :o

Nun, ich habe nie etwas anderes behauptet. Re-read: "AES-NI hilft nicht soviel". Nicht "überhaupt nicht".

Dass es bei einem C2758 nicht besonders viel bringt, liegt wahrscheinlich am Tun/Tap Overhead ( https://www.reddit.com/r/PFSENSE/comments/5l45jk/openvpn_240_is_now_available_on_pfsense_24/dbuzo85/ ), den man eher mit hoher Single-Thread-Performance ausgleichen kann.
Und ggf. daran, dass AES-NI bei kleineren Intel CPUs nicht so kräftig ist ( https://www.heise.de/ct/hotline/Was-bringt-ein-Prozessor-mit-AES-NI-3010518.html ). Ob dies auch auf die APU CPU zutrifft, kann ich natürlich nicht sagen, vielleicht ist das da unterschiedlich. Wäre zu wünschen.

Im ersten Link schreibt "jemand", dass ggf. Netmap Unterstützung für OpenVPN etwas bringen würde. Da besteht also tatsächlich vielleicht Hoffnung, OpenVPN mit kleineren CPUs auf andere Art und Weise etwas performanter zu bekommen.

Meine Empfehlung bleibt also weiterhin, sich nicht zuviel Hoffnung machen, dass AES-NI "den" Performance Schub für OpenVPN bringt. Wenn ich Unrecht habe, bin ich übrigens der Erste der sich freut.

Tobi

Das wurde wenn ich nicht alles ganz falsch verstanden habe für mich bedeuten, das ich doch eher mit einem Intel J1900 besser dran wäre als mit dem APU2 Board, da der Intel doppelt so schnell getaktet ist und damit auf jedem Fall schon mal besser die Daten zwischen einzelnen Interfaces/ VLANS schaufeln kann und bei VPN könnte er auch durch die höhere Taktung es "fast" ausgleichen was der AMD durch AES-NI an Vorteil in dem Bereich hat (u.U abhängig von eingesetzter VPN Lösung).

Richtig oder doch totaler Müll was ich geschrieben habe?

athurdent

Naja, wie gesagt, je nach darunterliegender Hardware Deiner Virtualisierungsplattform würde vielleicht ein Wechsel weg von Xen bereits reichen :)

Ich hab weder APU noch J1900, daher kann ich Dir das nicht beantworten. Anhaltspunkte:
Mein C2758 macht was OpenVPN angeht bei ca. 200MBit (unter Laborbedingungen) Schluss, egal ob mit pfSense 2.3.x oder 2.4x Beta. Laborbedingungen bekommst Du eh nicht, je nach Latenzen, Peerings und Paketgrössenanpassungen auf dem Weg geht da immer etwas verloren.

Wenn ich das richtig sehe, sollten bei Deiner aktuellen Internetanbindung 100MBit möglich sein, damit Du VPN komplett auslasten könntest? Daran solltest Du Dich dann orientieren.

Hier wird über OpenVPN Geschwindigkeiten vom APU diskutiert: https://forum.pfsense.org/index.php?topic=106444.msg677630#msg677630
Zum J1900 hab ich auf die Schnelle nichts gefunden. Edit: Doch noch was gefunden: https://forum.pfsense.org/index.php?topic=115673.msg674739#msg674739

IPsec dürfte mit AES-NI Unterstützung um Einiges schneller sein, aber ist halt störungsanfälliger und so manche Billig-Router-Firewall hat damit vielleicht auch Probleme…

Tobi

Hallo,

ich werde also mit dem APU2C4 probieren wie weit ich damit komme. Das Paket wird wohl morgen da sein.
Da habe ich 3 Fragen auf die ich nicht wirklich eine Antwort gefunden habe

muss man bei jedem Board BIOS Update machen oder doch nicht? Aus dem PDF von PC Engines wurde ich sagen, nein denn die Doku ist scheinbar neuer als BIOS auf der Seite
wieso wird für Install von pfSense "kopieren auf TinyCore Stick und dann mit dd enpacken auf die Platte" gesprochen? Kann man nicht direkt mit pfSense Stick booten und auf die mSSD Installieren?
wie kriege ich die Zuordnung pfSense Interfaces zu Buchsen auf der Platine ohne Experimente?

no_Legend

zu 1. Du musst schauen welche BIOS Version drauf ist.
Bei mir war die Aktuelle Drauf.
zu 2. Das Image Laden auf USB Bootabel entpacken, kommt auf den verwendeten Rechner welche Vorgehensweise geht.
zu 3. Die Zuordnung musst du selbst raus finden. Geht nicht anderster.
Ich habe von der LED Seite gehen folgende zu geornder: LINK = LAN / MITTE = OPT1 / RECHTS = WAN
Da man dass per Konsole ganz einfach ändern kann ist das kein großes Problem.
Welche Interfacenamen es genau sind, kann ich dir nach Arbeit kurz schicken.

Hast du denn auch einen RS232 Anschluss am PC?
Wenn nicht brauchst du zwingend einen RS232 USB Adapter, Nullmodemkabel/Nullmodemadapter.

Tobi

Hast du denn auch einen RS232 Anschluss am PC?
Wenn nicht brauchst du zwingend einen RS232 USB Adapter, Nullmodemkabel/Nullmodemadapter.

So direkt habe ich es nicht. Nutze seit Jahren für Haussteuerung USB/RS232 Adapter.

Was mir so ein wenig Sorgen macht - um die Bootreihenfolge zu ändern muss man F10 drücken. Wie schickt man über Putty (Windows) oder Screen (OSX) Funktionstasten?

mrpink

Ganz einfach, indem du im aktiven Putty Fenster bzw. Screen Terminal die F10 Taste drückst. :)

Tobi

Waas :o das ist viel zu einfach.

no_Legend

Hat jemand einen Link zu einem Selbstgebautem 19" 1HE Rack?
Ich bin am überlegen ob ich mir noch eine weiter NIC einbaue.

Allerdings eins kaufen wollte ich jetzt nicht, finde die Preise schon ein wenig überzogen.

jahonix

@no_Legend:

Hat jemand einen Link zu einem Selbstgebautem 19" 1HE Rack?

Wozu braucht man da einen Link und was soll da gezeigt werden, was nicht sowieso schon offensichtlich ist?
19" 1HE Gehäuse kann man blanko kaufen, die Löcher für die Anschlüsse dort einfräsen, Platine (und Netzteil) einschrauben und los.
Generation Y braucht dazu jetzt erst eine Anleitung, vielleicht noch als Video? Wo ist bloß die Kreativleistung geblieben…

magicteddy

Meinst Du mit Y PfostenTV 8)

-teddy

jahonix

Du hast auch gar keine Ahnung, oder :D
https://de.wikipedia.org/wiki/Generation_Y

Wobei es YT und Y! auch irgendwie treffen, genauso wie das Y-Kabel von Kopfhörern. Weniger treffsicher bist Du mit Yohlkopf. :P

Tobi

Weitere NIC ist ein guter Stichwort.
Ich habe mir bei Reichelt diese Karte bestellt https://www.reichelt.de/Netzwerkkarten/DELOCK-95239/3/index.html?ACTION=3&LA=446&ARTICLE=179718&GROUPID=5822&artnr=DELOCK+95239&SEARCH=DELOCK%2B95239

Funktionieren tut sie nicht :( und da ich BSD nicht wirklich kenne - musste ich die Karte auch wenn sie nicht unterstützt wird bei pciconf -lv sehen? In der Liste taucht nichts mit Realtek und das macht mich etwas stutzig ob sie vielleicht einfach defekt ist.

jahonix

Lt. den FreeBSD Hardware Release Notes werden mit den re(4) Treibern folgende Chipsätze unterstützt:

The re(4) driver supports RealTek RTL8139C+, RTL8169, RTL816xS, RTL811xS, RTL8168, RTL810xE and RTL8111 based Fast Ethernet and Gigabit Ethernet adapters.

Im Gegensatz zum RTL810xE sehe ich dort keinen RTL8111E. Ich kann jedoch nicht bewerten, ob das jetzt relevant ist oder nicht (wir beide haben von FreeBSD scheinbar gleichviel Ahnung ;-)

Tobi

Ja das habe ich auch gesehen. Google meint dass es wohl irgendwelche Patche gibt.
Ich schicke die Karte erst mal zurück als defekt. Unter Linux wird auch nichts auf dem PCI Bus angezeigt und spätestens hier musste die Karte zu sehen sein.

Schade, denn damit verzögert sich meine Installation :(

magicteddy

@jahonix:

Du hast auch gar keine Ahnung, oder :D
https://de.wikipedia.org/wiki/Generation_Y

Danke, nein, davon hatte ich echt keine Ahnung, liegt wohl daran das es wir eine Lücke in der Familie haben, Boomer, Generation X und Generation Z können wir bedienen …
aber davon weiß ich auch erst seit eben ???

-teddy