OPNsense - darmowy system operacyjny dla routera

[@Lennypl1]

Przypomniały mi się czasy Coyote Linux Brazilfw oraz Fresco startujących z dyskietki.😊

[@lrogalinski]

Warto po instalacji postawić pakiet zenarmor (sensei). Wtedy mamy coś zdecydowanie więcej niż prosty router tylko jeszcze analizę ruchu sieciowego i blokowanie niechcianego ruchu. Natomiast wadą tego typu rozwiązań (w przypadku instalacji na komputerze) jest zużycie prądu które jest odczuwalnie większe niż w przypadku rozwiązań dedykowanych.

[@ukaszs5021]

Bardzo mnie cieszy sprawdzanie alternatywnych systemów

[@matix16]

Dla tych co zastanawiają się co zrobić ze starym kompem to twój film idealnie pokazuje że nadają się właśnie jako baza do postawienia na nich oprogramowania typu firewall. I zamaist wyrzucać na śmietnik to możemy dać drugie życue temu sprzetu. Jako ciekawostka może cię to zainteresuje do kolejnych filmów. Na rynku są też gotowce z większą ilością interfejsów sieciowych np. Protectli tworzone z myślą o postawieniu na nich firewalla czy to w wersji bare-metal czy też na hypervisorze np. Proxmox. A poza tym nie zajmują dużo miejsca bo są minimalnie większe od NUC-ów i są ciche ze względu na zastosowanie pasywnecho chłodzenia - cała obudowa to jeden wielki radiator.

[@piotrh3230]

tyle że takie lenovo kupisz za 300-600 zł a protectli jest znacznie droższe. Ale za to małe, ciche i mało prądu zużywa.

[@krepec_pl]

Materiał w idealnym momencie. Akurat 2 dni temu też zacząłem testować OPNSense i nawet na identycznym Lenovo. Tylko kartę dokupiłem 2,5Gb/s

[@mariuszbrynkiewicz7038]

Dziękuję za film. Tak na odskocznię po pracy :)

[@konikonradowski9773]

Dziękuję za włożoną pracę i fajny materiał.

[@mondelas2000]

Dzięki za film protestuje z ciekawości

[@mariuszbrynkiewicz7038]

Hej, bardzo ciekawy film. Kiedyś używałem Caldera Linux

[@TomaszTrelaPlus]

Często myślałem sobie o takich eksperymentach, ale w praktyce stwierdzałem, że jeszcze mniejsze komputerki są energetycznie bardziej oszczędne, więc do testów wolałem odpalać zrytualizowane na komputerze systemy routerów.

[@KrzysztofKudra]

ciekawy materiał dzieki

[@supra107]

Oprócz wypalania polecam sprawdzić Ventoy. Może nie w 100% kompatybilny z każdym ISO, ale na to 98% kompatybilnych wystarczy skopiować sam plik ISO i można mieć ich kilka na jednym patyczku. :)

[@handlowy1handlowy1]

Zastanawiam się, jak najlepiej zwiększyć poziom bezpieczeństwa sieci domowej i firmowej. Obie lokalizacje mam połączone przez OpenVPN z wykorzystaniem Turris Omnia. Obecnie testuję i uczę się konfiguracji firewalla na Sophosie w sieci domowej. Czy przy przesiadce na pełne rozwiązanie firewallowe lepiej całkowicie zrezygnować z routerów, czy może pozostawić aktualną konfigurację, gdzie router jest przed firewallem? Jakie są Wasze doświadczenia w tej kwestii?

[@grelmedialski2241]

Jakie jeszcze cienkie klienty polecacie do użycia jako routery? Ile ramu powinny mieć i dysku, żeby to spokojnie działało? Ile trzeba mu wsadzić portów ethernet, żeby to miało sens użytkowy, czy zewnętrzny switch załatwia sprawę w domu? czy lepiej w samym routerze dodać?

[@jedrzejwrotynski9421]

OPNsense obsługuje pluginy i da się rozszerzyć jego działanie o antywirus, czy rozbudowany firewall.

[@marcinwachcinski1096]

Ja pfSense postawiłem na Fijitsu Futro S940 i chodzi to bez zająknięcia. Procek na cpubenchmark o 45% wolniejszy od Twojego ale TDP 10W Jednak pfSense nie pasuje mi i od początku w planach był Sophos XG Home Edition (jako router i Firewall Next Generation) jednak wymaga on legacy BIOS a ten terminal tego nie wspiera. Wymaga również 4-6GB RAM. Kupię RAM (obecnie 4GB a coś na grafikę trzeba przeznaczyć) i spróbuję postawić na terminalu Proxmox a na nim dopiero Sophos. Może taki tandem się sprawdzi

[@FrapsGameplay]

Sophos XG Home bez problemu będzie działał na Proxmoxie. W przypadku J5005 wydajność procka z włączonym HTTPS Inspection kończy się na niecałych 200 Mb/s.

[@marcinwachcinski1096]

@@FrapsGameplay mam łącze 300/100 więc będzie wąskim gardłem...

[@FrapsGameplay]

@@marcinwachcinski1096 koniecznie potrzebujesz inspekcji? Zawsze będzie wymagać najwięcej zasobów + ma zastosowanie raczej jedynie w przypadku komputerów. Po wyłączeniu na łączu 350/40 Mb/s procek dobija do 30%. Wydajniejsze będzie Lenovo M720q, posiada też slot PCI-e (niestety już chłodzone aktywnie).

[@marcinwachcinski1096]

@@FrapsGameplay wczoraj postawiłem Proxmox a na nim Sophos. Będę testował. Zawsze mogę inspekcję wyłączyć jeśli komputerek nie będzie dawał rady

[@munkifunek]

@@marcinwachcinski1096 Jak wypadły testy?

[@ArusHear]

To może testy RouterOS bezpośrednio x86 zainstalowanego na dysku ale z licencją oraz uruchomienie kontenerów np. jakis PiHole czy Adguard, a nie dorzucanie jescze w to hypervisora. Jakbyś chciał to na ali są gotowe router boxy na x86 z 4 lub 6 portami 2.5GbE :) Sam posiadam taki box tylko jakoś długo zbieram się aby coś zainstalować i sie przesiąść

[@zielun7293]

Ile takie boxy kosztują?

[@demanuDJ]

osobiście mam pfSense na terminalu Fujitsu S920 i jestem bardzo zadowolony z funkcjonalności, jednak dla sieci max 2,5Gbit. Ale zastanawia mnie: czemu nie przetestujesz openwrt na x86? Twierdzenie że to system głównie na konsumenckie routery jest bardzo krzywdzące dla OpenWRT, poza tym OpenWRT to linux więc jest ogrom wsparcia dla sprzetu jak i samego oprogramowania

[@TechGlobuz]

Ja te wszystkie testy robię głównie dla siebie, nagrywam i pokazuję przy okazji. OpenWrt już sobie testowałem (co prawda nie na x86) i mam wyrobione zdanie. Jak dla mnie na OpenWRT zrobić można nawet więcej niż na MT, ale konfiguracja jest trudniejsza niż Mikrotika.

[@demanuDJ]

@@TechGlobuz może to też kwestia perspektywy, ja mam małe doświadczenie z RouterOS więc pewnie konfiguracja openwrt byłaby dla mnie prostsza bo używam go na codzień na urządzeniach AP/Switch w domu. OpenWRT x86 miał być docelowo na S920 ale testowałem pfSense jak router/firewall i stwierdziłem że zostaje bo spełnia wszystkie swoje funkcje.

[@Atra_Krol]

Witam! Będę budował sieć w domu i po twoim filmie mam zagowstke czy właśnie nie wziąść jako główny router OPNsens ponieważ zalega mi terminal z i5 i resztę w okół czyli mam na myśli CAPy mikrotika i jakiegoś prostego switch żeby to pospinać. Czy lepiej by było kupić jakiegoś mikrotik RB seria i zrobić wszystko na jednym ekosystemie. Pozdrawiam !

[@TechGlobuz]

Jak zwykle odpowiedź brzmi: to zależy. Zależy od tego, czy funkcjonalność OPNsense Ci wystarczy, czy akceptujesz pobór prądu przez terminal (przeciętny RB będzie brał dużo mniej). CAPsMANa zawsze można zrobić na jednym z CAP-ów, więc to nie jest problem.

[@ukaszszastalski7947]

Mimo że używam sophos home xg, to się bardzo nad tym zastanawiam, opnsense zdaję się że linus u siebie używa, a i jeszcze jeden z KZbin'row zmienił sophos na tego opn. Po za tym, jak inne poradniki , są super, przez to mam więcej mikrotikow, noo TP-Link'ów też

[@dardar7445]

Nagraj proszę filmy o OMADA TP-Link i Unifi.

[@TechGlobuz]

Nie mam aktualnie dostępu do tego sprzętu.

[@Atra_Krol]

Widzowie pobawiłem się trochę OPNsense i co powiedzcie na to jak on sam ustawia sobie automatycznie reguły firewall

[@endij13]

Jakie są opcje uruchomienia i licencjonowania routeros'a na x86? Bo rozumiem że CHR jest przeznaczony na VM'y. Jest jakaś licencja, która pozwoli mi na uruchomienie routeros'a na fizycznej maszynie x86?

[@TechGlobuz]

Tak. Są licencje do kupienia u dystrybutorów i na stronie Mikrotika. Jednak nie polecam czystego x86, bo domyślnie widzi tylko do 2GB RAM i sporo kombinacji jest żeby przerobić go na wersję 64 bit. Lepiej iść w CHR.

[@endij13]

@@TechGlobuz A czy w CHR nie traci się na wydajności? Jednak trzeba zastosować VM'a... A więc dwa systemy operacyjne na jednej maszynie.

[@TechGlobuz]

@@endij13 Wszystko zależy od tego jaki sprzęt. Nowsze CPU pozwalają przypisać zasoby bezpośrednio do maszyny wirtualnej i narzut jest minimalny. Sam osobiście wolę mieć osobne pudełko tylko na router, a osobne na wirtualki, bo jak się czymś bawię, to nie odcinam internetu domownikom.

[@endij13]

@@TechGlobuz O to się też właśnie rozchodzi. Cały sprzęt (serwery, router) w jednym urządzeniu może powodować jego większe obciążenie i częstszą awaryjność (np. uszkodzenie dysku, zasilacza), dlatego też osobiście wolałbym mieć router w osobnym urządzeniu. Pytanie zadałem z ciekawości, bo na razie i tak nie mam takiej potrzeby, by mieć tak dużą moc obliczeniową w routerze, ale może kiedyś przy upgrade sieci do 10G się to zmieni.

[@maciejiwanczewski8417]

Napisze to co już pisałem :) Po zakończeniu przemówienia proszę puść kilka sekund muzyczki/czarnego ekranu aby yt automatycznie nie przeskoczył do kolejnego materiału i można było się cofnąć.

[@TechGlobuz]

Ale wiesz, że na YT da się wyłączyć autoodtwarzanie następnego filmu? Jedna z pierwszych rzeczy, które robię w nowej przeglądarce.

[@maciejiwanczewski8417]

@@TechGlobuzOczywiście wiem i mam to wyłączone. Na TV takie nagłe zakończenie materiału jest czasami uciążliwe, bez wchodzenia w szczegóły :)

[@maciejiwanczewski8417]

@@TechGlobuz uszczegóławiając, u mnie na TV jest tak, że zaraz po zakończeniu filmu jest proponowany kolejny (ale nie autoodtwarzany) i już nie mogę wrócić do tego który obejrzałem. Jednocześnie obejrzany znika z rekomendacji ponieważ... został obejrzany :)

[@arivaldarivald3212]

@@maciejiwanczewski8417 Niezależnie od TV, nigdy nie używam jego funkcjonalności "smart TV". Nie dość że ograniczone i słabo konfigurowalne, to jeszcze po kilku latach często przestaje coś działać, a update od producenta już dawno nie ma. IMO lepiej użyć osobnego komputerka, albo Android TV od zaufanego producenta (chińskie tanie Android TV mają sporo oprogramowanie szpiegowskiego).

[@michalwojtass1769]

szkoda że nie wgłębiłeś się w funkcjonalność najwazniejszą dla której ludzi używają pfsensa (wiec i opensensa) czyli firewall. Ten w MT jest niezbyt intuicyjny a przy większej ilości reguł ma problem wydajnością (podobno ?) Swoją drogą czy masz na kanale film o konfiguracji firewalla w MT - z jakimś sensownym na początek zestawem reguł (kilka tutków które obejrzałem pokazują tylko absolutne podstawy )

[@TechGlobuz]

Wbrew pozorom domyślna konfiguracja firewalla z quickseta jest bardzo dobra i bezpieczna. Film o firewallu będzie, ale to będzie długi film, albo nawet 2 częściowy, bo temat jest długi.

[@Dariusz000]

bierzesz vyos do testów, a na problem z cięciem ruchu vpn to jest obfsproxy

[@mariuszbrynkiewicz7038]

Moi drodzy, wiem, że to niebezpieczne i głupie, ale... Do sieci LAN podłączam router Asus i udostępniam na nim dysk USB. W LAN działa pod asusem. Otwieram port na nim i na routerze na FreBSD udostępniam go raz jako port i nie działa, drugim razem jako DMZ i też nie działa w internecie. BSD dobrze działa. Na web nmap widać otwarty port. Asus nie udostępnia. Więc zrobiłem tak. Asusa zaadresowalem tak aby był w puli sieci lokalnej 10.0.0.1 - 254. I tym razem na BSD udostępniłem go prosto w necie. I znowu na LAN działa, w necie nie :( teraz zamiast routera Asus podłączyłem mikro NAS cisco (na dwa porty USB) zaadresowałem jak Asusa i działa w necie. (Pomijając bezpieczeństwo) ale działa. Czym więc różni się serwer samba na routerze Asus od malutkiego urzadzaonka udostępniającego dysk w LAN tylko że udostępnionego w internecie?

[@PanRomekPL]

witam

[@jacekpatka]

Oto dość wydaje mi się prosta konfiguracja dual wan kzbin.info/www/bejne/fYDQqGiMfM6VeNksi=YTaaCUuXXeqGWvNK Choć pewnie Tobie chodzi o coś więcej.

[@TechGlobuz]

Sam zrobiłem jakiś czas temu film o dual WAN na Mikrotiku. Stosowałem naprawdę różne rozwiązania do tego i to pokazane w moim filmie mi się najbardziej sprawdza. Nie mniej jednak ustawienie dual WAN na OPNsense wydaje się banalnie proste w porównaniu do Mikrotika.

[@XR5PL]

OS=Linuks a OPNsense=dystrybucja linuksa

[@TechGlobuz]

OPNsense bazuje na feeBSD. Rodzina Unixa, ale nie Linux.

[@XR5PL]

@@TechGlobuz przepraszam myslalem ze linuksie. Dzieki za sprostowanie.

[@maciejlechpaczkowski8717]

IPfire.

[@SzymonSuchodoła]

dla mnie za dużo Pana prowadzącego zamiast gadać mógłby pokazać co i jak konfiguruje ... dla mnie film nie musi być krótki ....

[@TechGlobuz]

Film nie miał być tutorialem z konfiguracji OPNsense, ale bardziej opisem moich wrażeń z użytkowania i testów. OPNsense nie ma funkcjonalności mi niezbędnej i nie zamierzam dalej wgłębiać się w ten system dla routerów.

[@ukasz8540]

testowałem opnsense - szybko uciekłem do pfsense.

[@TechGlobuz]

Jakie różnice sprawiły, że uciekłeś do pfSense? Ja głównie spotkałem się z opiniami, że OPNsense lepsze.

[@AdrianuX1985]

OPNsense jest bardziej aktualny, ponieważ developerzy pfsense lecą w jajo ze społecznością.

[@ukasz8540]

@@TechGlobuz to było dobre dwa lata temu - nie pamiętam dokładnie z czym miałem problem, ale konfiguracja się sypała - wszystko robione zgodnie z dokumentacją i miałem problemy - konsultowałem nawet ze społecznością. na pfsense już dwa lata działa wszystko. jak odszukam wątki, to podeślę info.

[@starredyak]

Nigdy opnsense/pfsense, tylko Sophos.

[@TechGlobuz]

Dlaczego?

[@starredyak]

@@TechGlobuz inspekcja SSL, IDS z prawdziwego zdarzenia i można się w domu uczyć zarządzania NGFW

[@matix16]

Sophos Firewall Home Edition ma pełną funkcjonalność co XG no i jest za darmo. Używam u siebie od 2 miesięcy i jestem w pełni zadowolony. Natomiast sam film ciekawy i wrzucę u siebie na testową maszynkę aby zobaczyć co się z czym je jeżeli chodzi o OPNsense

[@mirek8181]

@@starredyak czyli nadal nie wiemy dlaczego "nigdy opnsense/pfsense", to że jest IDS i inspekcja SSL nie rozwiązuje podniesionej opinii bo IDS jest w obu wymienionych systemach a chociażby w OPNsense można doinstalować plugin Zenarmor (Sensei), który to oprócz skanowania TLS/SSL realizuje znacznie więcej funkcji.

[@ukaszszastalski7947]

Jakoś od dłuższego czasu mam sophos xg , dość przyjemnie się używa, oonsense chcę z ciekawości postawić, w sophos wszystko z automatu jest, w opnsense nie wiem czy plaginy jak się do instaluje żeby inspekcję miały to nie trzeba już płatnych ich mieć żeby to wykrywało, ale nie sprawdzałem więc nie wiem. Kolejny test to jak sobie poradzi z kartami 10gb bo się sieć rozrosła i do pierwszego switcha wypadało by agregację nawet takiej karty zrobić. Jednak gdzieś opinie widziałem i się też ku temu skłaniam że do użytku nowego tak silne filtrowanie wszystkiego i blokowanie nie jest potrzebne

[@miza9665]

Nie OpenBSD, tylko FreeBSD. OPNsense, czyta się tak jak angielskie słowo OPEN - po prostu twórcy celowo zrobili literówkę w nazwie.

[@TechGlobuz]

Tak FreeBSD. Skąd informacja, że czyta się celowo niepoprawnie?

[@miza9665]

@@TechGlobuz Kilka lat temu na YT oglądałem szkolenie organizowane przez nich, w którym prowadzący na wstępie wyjaśnił pochodzenie nazwy i wymowę oraz przez cały czas mówił "ołpen sens".

[@DarkXeen]

Ja ze swojej strony dodam, ze w przypadku kart realtek, opnsene moze miec dziwne zrywanie lacza. Trzeba doistalowac plugin os-realtek-re.

[@TechGlobuz]

U siebie tego nie zaobserwowałem, ale ja w sumie robiłem dość krótkie testy. Ogólnie to produkcyjnie trzeba stosować minimum Intela, choć i tutaj potrafią być problemy np. (nie)sławne karty 2.5 Gbit.

[@DarkXeen]

@@TechGlobuz u mnie pojawilo sie to dopiero po jakims czasie.