Archiv der Kategorie: Netzwerk

OPNsense an einem Hybrid7-Anschluss

Netzwerk, ,

Bei Hybrid7 handelt es sich um ein symmetrisches Gigabit-Glasfaser-Angebot von Init7. Im Gegensatz zu Fiber7 (auch von Init7), bei welchem die Faser direkt auf einen Init7-Switch führt, muss Init7 hier auf die BBCS Plattform von Swisscom zurückgreifen. Für den Nutzer bedeutet dies, dass die Adressierung der WAN-Schnittstelle nicht per DHCP, sondern via PPPoE in Verbindung mit Radius erfolgt. Als wäre dies nicht schon genug, muss der ganze WAN-Verkehr zusätzlich auch noch mit der VLAN-ID 11 getaggt werden.

Folgende Handgriffe sind dafür nötig:

<Ergänzung von Luca Poltera>

Super Anleitung Danke.

Einzig der Schritt, dass als erstes der Anschluss über VLAN10 (DHCP) einmalig (bei der Swisscom) aktiviert werden muss, ist nicht enthalten.

Dies ist natürlich nur bei NEUEN INIT7 Anschlüssen der Fall, bei bereits aktivierten, fällt diese Schritt weg und deine Anleitung ist „korrekt“.

Schritt 1 VLAN10 -> DHCP ->Fiber Anschluss aktivieren
Schritt2 VLAN 11 -> PPPoE -> Internet …

</Ergänzung>

VLAN-Tagging

Das VLAN-Tagging kann grundsätzlich an zwei Orten erfolgen: Direkt auf der Firewall, oder auf einem zwischengeschaltetem Switch, bzw. Medienkonverter. In meinem Fall erledigt dies ein der Firewall vorgeschalteter Cisco-Switch mit folgender Portkonfiguration:

interface GigabitEthernet0/12
 description Hybrid7
 switchport trunk allowed vlan 11
 switchport trunk native vlan 99
 switchport mode trunk
 spanning-tree portfast edge

Soll OPNsense das Tagging übernehmen, so ist hierfür ein VLAN-Subinterface auf der WAN-Schnittstelle zu erstellen und anschliessend zuzuweisen:

WAN-Schnittstelle

General configuration

PPPoE configuration

DHCPv6 Client configuration

Send Options

ia-na 0, ia-pd 0

Abschluss

Nach erfolgter Konfiguration müsste der WAN-Schnittstelle anschliessend eine IPv4- sowie eine IPv6-Adresse zugeteilt worden sein:

Hat dies geklappt, können anschliessend den lokalen Netzen nach Lust und Laune IPv6-Netze aus dem riesigen /48-Prefix (= 65000 x /64-Netze!) zugeteilt werden.

OSPF(v3) über Wireguard auf OPNsense

Netzwerk, , ,

Wer OSPF und/oder OSPFv3 über einen Wireguard VPN-Tunnel betreiben will, sollte unbedingt folgende Punkte beachten:

Wireguard

  • Local
    • Advanced Mode
      • check
    • Tunneladressen
      • 10.0.0.1/30
      • fd00::1/126
      • fe80::1/64 (Zwingend für OSPFv3!)
    • Disable Routes
      • uncheck
    • Gateway
      • 10.0.0.2
  • Endpoints
    • Allowed IPs
      • 0.0.0.0/0
      • ::/0

Interfaces

Jedem Wireguard-Tunnel muss ein Interface zugewiesen werden, welches anschliessend zu aktivieren ist:

OSPF(v3)

  • Network Type
    • Point-to-point Network

Ergebnis

Nach erfolgter Konfiguration sollte man mit folgendem Ergebnis belohnt werden:

Firewall 2019

Hardware, Netzwerk, , , , ,

Hardware

  • Gehäuse
  • Mainboard
  • Arbeitsspeicher
    • 32GB Kingston DDR4-2133Mhz ECC-Registered [KVR21R15D4/16]
    • 16GB ECC DDR4-2400 [Kingston KTD-PE424S8/8G]
  • Storage
    • 512GB PCIe-SSD [PLEXTOR PX-512M8PeG]
    • 120GB M.2-SSD [WD Green 3D NAND]

Software

  • OPNsense 22.1

Updates

  • 05.01.22 Austausch Board, SSD, RAM, Lüfter, OS
Firewall -2022-1
Firewall -2022-2
Firewall -2022-3
  • 05.09.19 Initiales Setup

IPSec-Throughput: ZBOX CI323 nano

Netzwerk, , , , , ,

Aufgrund des unbefriedigenden IPSec-Throughputs der APU2-Boards, suchte ich nach einer preisgünstigen Alternative welche mind. 100Mbps packt. Diese wurde mit der ZBOX CI323 nano gefunden. Unter Laborbedingungen konnten 110Mbps gemessen werden. Wie schaut es aber unter Praxisbedingungen, bzw. installiert an meinem Backupstandort aus?

ZBOX CI323 nano

  • Internetanbindung: Kabelinternet 150/10Mbps
  • Betriebssystem: pfSense 2.3.1_1
  • IPSec: IKEv2, AES256, SHA256
  • CPU-Type:
Intel(R) Celeron(R) CPU N3150 @ 1.60GHz
4 CPUs: 1 package(s) x 4 core(s)
  • Crypto-Support OpenVPN:
[2.3.1-RELEASE][admin@talweg18-router]/root: /usr/bin/openssl engine
(cryptodev) BSD cryptodev engine
(rsax) RSAX engine support
(rdrand) Intel RDRAND engine
(dynamic) Dynamic engine loading support
  • Hardware crypto:
AES-CBC,AES-XTS,AES-GCM,AES-ICM
  • IPerf-Messungen:

Wie man an der folgenden Messung sieht, hat die Latenz einen entscheidenden Einfluss auf den maximal möglichen Durchsatz einer Verbindung:

struband@struband-monitoring:~$ iperf3 -c talweg18-router -i 1 -V
iperf 3.0.7
- - - - - - - - - - - - - - - - - - - - - - - - -
Test Complete. Summary Results:
[ ID] Interval Transfer Bandwidth Retr
[ 4] 0.00-10.00 sec 28.0 MBytes 23.5 Mbits/sec 30 sender
[ 4] 0.00-10.00 sec 27.3 MBytes 22.9 Mbits/sec receiver
CPU Utilization: local/sender 0.5% (0.1%u/0.4%s), remote/receiver 0.5% (0.0%u/0.4%s)

Eine Messung der gleichen Verbindung mit 8 Streams:

struband@struband-monitoring:~$ iperf3 -c talweg18-router -i 1 -V -P 8
iperf 3.0.7
- - - - - - - - - - - - - - - - - - - - - - - - -
Test Complete. Summary Results:
[ ID] Interval Transfer Bandwidth Retr
[SUM] 0.00-10.00 sec 110 MBytes 92.4 Mbits/sec 234 sender
[SUM] 0.00-10.00 sec 108 MBytes 90.5 Mbits/sec receiver
CPU Utilization: local/sender 1.6% (0.3%u/1.3%s), remote/receiver 18.0% (0.5%u/17.5%s)

In der Praxis sind mit der ZBOX CI323 nano somit ~90Mbps (>10MBps) erzielbar -ein für mich akzeptabler Wert.