Ich suche einen Kleincomputer ala RP4 etc... mit 2x GBit Lan Ports als OpnSense / Router Lösung. Ram wäre ein wenig wichtig und sollte schon um die 2-4GB liegen, eventuell sogar etwas mit SODIMM?! Preislich wäre ich gerne so im Rahmen von 50-100€.
Hat jemand eine Idee, WO ich da mal nach WAS Ausschau halten kann? Einen ganzen Rechner wollte ich dafür eigentlich nicht abstellen, und so Micro-PCs haben entweder nur eine NIC und leider meist keine Möglichkeit ein Low- Profil Karte einzubauen. Und nein: LAN über USB ist keine Option.
Vielleicht hat ja auch jemand was passendes zu Hause liegen, was er verkaufen kann?
Danke Harry für den Link und das Board - sowas habe ich gesucht. Leider ist OpnSense nur für x86-64 Boards, der Cortex-A53 ist leider ArmV8. Damit scheidet ja leider auch jeder weitere Cortex SoC (auch der ein Raspi Derivat) aus - gar nicht bedacht. :-/
Aber dazu muss man dann schon bedenken dass das System dann ein paar Watt mehr frisst. Ich hab 5W im idle gemessen über 24h unter Debian 12 ohne PCIe (nur interne SSD und 4GB SODIMM) mit einem 19V Netzteil von einem Lenovo Laptop.
Daher war meine Lösung dann auch ein ausrangierter Dell E7470, denn der verbraucht im 24h Durchschnitt nur 3,5W, hat quasi eine eingebaute USV, Monitor und Tastatur für die Einrichtung bis man remote drauf kommt, hat viel mehr Leistung (16GB Ram, 1TB SSD, i5-6200) als meine bisherige Lösung mit Pi oder S920 und im Docker läuft ein PiHole oder eine OPN/PFSense auch einwandfrei. Einzig hat der nur eine Netzwerkkarte, ich brauch aber nicht mehr als 1Gbit und wenn ich will bilde ich Netzsegmentierung mit VLANs ab.
Je nachdem worauf man Wert legt ist IMHO auch der blick auf refurbished Laptops nicht uninteressant wegen der Energieeffizienz und weil Akku und Monitor/Tastatur dabei sind. Ist halt nciht so Sexy wie ein dedizierter Microserver... aber mir reichts...
Der Futro 920 klingt wirklich interessant - ich habe 3 Kinder, da spielen die 2 Watt mehr nicht wirklich eine große Rolle mehr :-D
Gbit reicht mir auch völlig zu, eine Sun LP-Quad-Port Nic habe ich noch. Nur der Riser macht mir gerade etwas Kopfzerbrechen. Normalerweise dürfte da auch ein normaler flexibler Riser gehen, die Karte kann ja verschraubt werden.
Die Riser werden ja teurer gehandelt als der 920 selber.
Vermutlich nicht ganz Deine Preisklasse, aber mein pcengines apu board bedient seit knapp 10 Jahren schon meinen 100MBit Internet-Zugang mit pfSense und zuletzt OPNsense. Im Zweifel auch ein Blick auf dedn Gebrauchtmarkt.
https://www.apu-board.de/
Mit ein wenig VLAN-Magie und so einem Switch macht man aus 1 NIC 4 NICs
Wenn man nicht vorhat, die beiden benötigten 1Gbps-Ports auszureizen,
ja, ansonsten baut man sich damit einen Flaschenhals.
Außerdem verlässt man sich darauf, dass der Switch wirklich die VLANs sauber voneinander trennt und ein Angreifer dass nicht doch irgendwie aufgeknackt bekommt und damit dann vom einen Segment ins andere kommunizieren kann.
Man verlässt sich also auf eine saubere Implementation auf dem Switch. Der Switch-IC selbst ist meist nicht so das Problem. Aber bei solchen Billigdingern ist die Management-Software oft sehr schwach was die Sicherheit angeht. Und für die Interpretation von komplexeren Paketen (z.B. DHCP, LLDP, IGMP,...) werden die Pakete in den meisten Fällen nicht vom Switch-IC, sondern vom Managementprozessor verarbeitet. Und genau da kann ein Angreifer ansetzen.
Wenn es also um eine Firewall und das Trennen von Netzwerksegmenten als Teil der Sicherheitsstrategie geht, dann würde ich schon auf separate Netzwerkkarten und nicht auf mit solchen Billigswitchen realisierte VLANs setzen.
Die genannten APU-Boards gibt es. Aber nur noch gebraucht und in Restbeständen, Hersteller PC-Enginges hat den Betrieb eingestellt. Und im Vergleich zu aktuellen x86-Boards sind die teilweise schon seehr langsam.
Ich würde daher eher nach etwas auf Basis eines Intel N100 schauen.
Eine Variante wäre ein "kompletter" Mini-PC:
https://de.aliexpress.com/item/1005007036843065.html
Der kommt aber nur mit einem Netzwerkport. Also ist etwas Bastelei nötig: m.2 SSD entfernen und durch ein m.2 M-key auf PCIe Adapter ersetzen und dort dann eine Netzwerkkarte reinstecken. Storage dann auf SATA-SSD. Erfordert natürlich etwas Gehäusebastelei.
Die andere Variante wäre ein Mini-ITX-Board das bereits einen PCIe-Slot für ne Netzwerkkarte vorgesehen hat. Z.B. sowas:
https://www.asrock.com/mb/Intel/N100DC-ITX/index.de.asp
Da bräuchtest Du dann natürlich noch ein passendes Gehäuse außenrum.
Als Netzwerkkarte gibt es günstige 4-Port Karten mit Realtek-Chips. Z.B. die hier wird unter verschiedenen Markennamen angeboten, OEM ist Sunweit:
http://www.sunweit.com/page8?product_id=314
Es gibt sie von Delock etwas überteuert unter der Nr. 89025. Du findest sie aber sicher auch irgendwo anders, z.B. über die Bildersuche. Nur so als Anhaltspunkt gibt es sie in China in kleinen Mengen für ca. 15 EUR.
Danke für den Hinweis, dass PCEngines nicht mehr produziert. Habe bislang zwar noch ein älteres Board als Fallback liegen, habe mich aber trotzdem mal umgesehen.
Bin dann über die hier gestolpert:
https://eu.protectli.com/product-comparison/
Hier gibt es ungefähr das gleiche in der gleichen Preisklasse und zahlreiche System auch mit Openboot.
Liegt zwar auch noch über dem Preisrahmen des TO, aber vielleicht hat ja noch jemand eine günstigere Quelle für derartige Boards?
Wie die Vorposter schon angemerkt haben, für einen Firewall sind dedizierte Ports Pflicht. Die meisten billig-Switches lassen sich durch heftige Last (Packet-Storm/Broadcast-Storm) austricksen, dann kippt die VLAN-Trennung und die Funktionsweise wird zum reinen Hub. Zudem teilen sich VLANs die physikalische Bandbreite des FW-Ports.
Die meisten billig-Switches lassen sich durch heftige Last
(Packet-Storm/Broadcast-Storm) austricksen, dann kippt die VLAN-Trennung
und die Funktionsweise wird zum reinen Hub.
Dass bei überlaufender Address Table kein richtiges Switching mehr möglich ist, ist klar, aber normale port-based VLANs sollten auch dann noch funktionieren.
