Tee-se-itse: Rautapalomuurit (pfSense, Sophos UTM..) (Mitä käytätte ja miksi juuri se vaihtoehto?)

Gobi sanoi:
Esim. tästä:

https://www.backmarket.fi/fi-fi/p/h...-gb/47e5f648-2967-4d00-9ff6-0650f7932168?l=10

i5-6500 riittää helposti OPNSense/pfSense käyttöön ja tuohon saa matalan 4-porttisen verkkokortin kiinni.
Napsauta laajentaaksesi...
Mulla on tuommonen ja sit toinen vähän vanhempi i5 olisko ollu jotain 4000 sarjaa. En millään muista oliko HP vai Dell mutta tommosia pikkusia SER-koneita.
ja löytyy 2x niihin menevää realtekin verkkokorttia, nehän on vähän ongelmallisia kuulemma mutta toisessa ajelin pfsenseä joskus ja ei mitään ongelmaa, vaihdoin vaan tohon sophosiin kun oli äänetön ja pienempi + tarvin koneen proxmox viritykseen.
 
Pfsense 25.11 Plus versioon julkaistu System_Patches 2.2.25. En tiedä onko tuota muihin versiohin.
1765641942097.png
 
Sophos Firewallin versio 22 on julkaistu:

Home Edition on edelleen ilmainen. Sophos on ollut kerrassaan huoleton kotimuurina: Oma edellinen asennus on toiminut vuodesta 2018 tähän päivään asti ilman ensimmäistäkään uudelleenasennusta Fitlet 2:lla. Vain versiopäivityksiä on tehty yhtä nappulaa käyttöliittymästä klikkailemalla muutaman kerran vuodessa. V22 vaatii suuremmat osiot ja siksi sen joutuu asentamaan kokonaan uudelleen (vaihdan samalla alustan Fitlet 3:een). Asetukset saa tietysti siirrettyä vanhasta palauttamalla varmistuksen.

Sophos Firewall v22:n tärkein uusi juttu kotikäyttäjälle on se, että muurin Linux Kernel on vihdoin uusittu jotakuinkin ajantasaiseen versioon ja verkkokorttien tuki on parantunut olennaisesti. Intelin 2.5 Gbps verkkokortit toimivat nyt suoraan - aikaisemmin piti kikkailla tekemällä muuri virtuaaliseksi esim. Proxmoxin päälle.
 
Viimeksi muokattu:
Vaihteeksi Openwrt kokemuksia. Alustana siis Nanopi R5C. Noin parivuotta tullut tällä nyt täyteen ja yhtään palomuurin aiheuttamaa katkoa ei ole tullut vastaan. Päivitin nyt lopulta 24-sarjalaiseen. Openwrt päivitys sujuu nykyään parillakin metodilla, itse suosin Firmware selectorin custon paketin tekoa. Tuossahan siis Openwrt serveri kääntää halutulla pakettilistalla olevan flash imagen. Näin päivitypaketti on tallessa jos tulee uudelleenasennustarvetta ja siinä on sisällä valmiiksi kaikki tarvittava. Päivitys menee tuolla myös simppelisti, eli asetukset säilyy ja kaikki toiminnot on valmiiksi asennettuna.

Oma kuituyhteys päivittyi gigaiseksi kun tuli hyvä tarjous. Samalla pääsi eroon SQM-Cake:sta koska oma lähiverkko on myös gigainen. Ajoin myös nopeustestit R5C:llä ja sen CPU loppuu SQM-Cake kanssa noin 800M nopeuteen. Joten R5C:tä ei voi suositella jos joutuu Cake:a ajamaan. Kuitu näyttää tarjoavan ruuhkatta tuon giagaisen yhteyden ja bufferbloat testi antaa ilman Cake:a yhteydelle A+:san.

Eli jos etsii virtapihiä peruspalomuuria johon saa wireguardin yms. niin R5C on ok. SQM kanssa soveltuu 500M yhteyksiin saakka. Tämä siis toimii 5W usb-c laturilla eikä vaadi aktiivista jäähdytystä.

edit:
Pitäisi aina lukea ohjeita, Openwrt 24 sarjassa on parempi tuki verkkorajapinnan monisäikeistykselle. Kun laittoi packet steering: all CPUs asetuksen päälle niin nyt SQM cake riittää gigaiselle kuidulle:
1765704848025.png
 
Viimeksi muokattu:
vesas sanoi:
Vaihteeksi Openwrt kokemuksia. Alustana siis Nanopi R5C.
Napsauta laajentaaksesi...

Kysymys @vesas tai muut jotka Nanopi:ta käyttää: jos tuollaisen haluaa, mistä kannattaa ostaa? friendlyelec.com näyttää ainakin myyvän Suomeen, hintaa ilmeisesti tulisi luokkaa 100 dollaria + verot. Saako jostain halvemmalla, ja onko Euroopassa Suomeen toimittavaa verkkokauppaa?
 
ristokoo sanoi:
Kysymys @vesas tai muut jotka Nanopi:ta käyttää: jos tuollaisen haluaa, mistä kannattaa ostaa? friendlyelec.com näyttää ainakin myyvän Suomeen, hintaa ilmeisesti tulisi luokkaa 100 dollaria + verot. Saako jostain halvemmalla, ja onko Euroopassa Suomeen toimittavaa verkkokauppaa?
Napsauta laajentaaksesi...
Aikoinaan kun katselin niin omani ostin Aliexpressin kautta, heillä oli halvin posti ja jokin tarjouskuponki. Friendlyelec oma verkkokauppa oli vaihtoehto mutta heillä oli kalliimmat postit. Eli kannattaa vertailla eri jälleenmyyjiä. Ali:n ja muutaman muun verkkokaupan tuotteet tulee valmiiksi tullattuna ja verot maksettuna, eli kannattaa tuokin osuus tarkasta.
 
NanoPI:n laitteista pitää sitten huomata että sitä myydään eri kokoonpanoilla, eli on saatavilla kotelolla, ilman koteloa, wifi optiolla ja parilla eri muistimäärällä. Jos Openwrt:tä tuohon R5C:hen aikoo niin sekä 2G että 4G ram on taatusti riittävä, tuosta loppuu ensin CPU teho kuin muisti.
 
user9999 sanoi:
Pfsense System_Patches 2.2.26 julkaistu pfSense Plus 25.11, pfSense Plus 25.07.1 ja pfSense CE 2.8.1 versioihin.

Security Advisory: Potential remote command execution via DNSSL router advertisement messages

On December 16, 2025, FreeBSD® published a security advisory for a remote command execution vulnerability in rtsold.
www.netgate.com www.netgate.com
Napsauta laajentaaksesi...
CE:ssä oli tosiaan päivitys tullut tuohon, mutta verso muuttui .24 -> .25. Kyseessä siis CE 2.8.1.

Mites muilla CE:n käyttäjillä? Mikä versio teillä on tuosta System_Patches-paketista kun se on täysin päivitetty?
 
Pistän tän erikseen kun kyseessä eri asia:

Acme-client pfSensessä on näköjään siirtynyt käyttämään DoH-palvelimia resolvaukseen kun Let's Encrypt-certtiä asetetaan/uusitaan, joka aiheutti itselle ongelmia kun olen blokannut pfBlockerNG:ssä kaikki tunnetut DoH/DoT/DoQ-serverit, jonka vuoksi certin uusinta epäonnistui. Tuota käytöstä ei pysty, ainakaan versiossa 1.0.3, muuttamaan GUI:sta (tai no pystyy, mutta epäselvällä tavalla), mutta ongelma ratkesi kasvattamalla DNS-Sleep-arvon 180:n sekuntiin. Tuon vinkin sain ChatGPT:ltä ja se perusteli sitä näin:

✅ Ratkaisu 2: Ohita DoH täysin nostamalla DNS Sleep​


Toimii usein Cloudflaren kanssa.

ACME Certificate:
  • DNS Sleep: 180
Tällöin:
  • TXT lisätään
  • acme.sh ei jää jumiin DoH-tarkistukseen
  • LE tarkistaa itse TXT:n
⚠️ Ei 100 % varma kaikissa verkoissa, mutta usein riittävä.
Napsauta laajentaaksesi...
Tuli vastaan tälläinen ketju aiheesta: ACME renewal timeout and "No doh"

Jos nyt oikein ymmärsin, niin tuon DNS Sleep-arvon voisi myös pistää lyhyemmäksikin ja tuon arvon lisäys ottaa tuon DoH-tarkistuksen pois käytöstä?
 
Kirjaudu tai rekisteröidy kirjoittaaksesi tänne.

Uutiset

Uutisia lyhyesti

Uusimmat viestit

Statistiikka

Viestiketjuista
295 475
Viestejä
5 044 594
Jäsenet
80 904
Uusin jäsen
K2bizza

Hinta.fi

Back
Ylös Bottom