Dotaz: router, FTP server, firewall

[Halis]

Ahoj, chtěl bych si domů na experimentování a jako náhradu routeru nějaký server na:

• FTP server/SAMBA share
• print server
• firewall, proxy
• router "s pokrocilou spravou pripojeni" (rychlostni limity pro jednotlive IP v zavislosti na denni dobe)
• 1x WAN
• Wifi b/g
• 4x LAN

Do oka mi padlo nejake takovehle HP a nebo takovou desku pro desktop. Chtel bych ale vyuzit 1TB disk 3.5" SATA co mam doma. Zaroven bych se chtel drzet pomerne nizke spotreby a ceny do/kolem 7 000 Kč

Odpovědi

[frr]

Serverový hardware do obýváku? Tímhle laciným humorem se obvykle častujeme, když vymetáme ze skladu nějaké staré hlučné žravé 19" ležáky Nejste tak trochu provokatér?

Počítejte se mnou: 1 kWh = 4 Kč. 1 W trvalé spotřeby, to je 8,76 kWh za rok, to je 35 Kč.

Dual-Xeonový server libovolné generace může mít trvalý klidový odběr řekněme 100W.
Úsporný desktop se "stolním" procesorem řekněme 40-50W.
Atomová deska řekněme 15W, s roztočeným 3.5" harddiskem 25W.
Nějaká Via nebo Geode se vejde do 10W (holý motherboard).
Vortex86DX (i486DX@800MHz, 256 MB RAM) žere s vypnutou grafikou asi 2-3W.
Taky se dají koupit WiFi routery, na kterých běhá OpenWRT (napadá mě ASUS WL500GP nebo D-Link DIR-300), které mají vlastní spotřebu cca 5W, pětiportový VLANový switch, WiFi a USB. Ale to je MIPS hardware a má málo RAMky, přímo na tom stroji toho asi moc nezkompilujete.

Čtyřportovou síťovku (nebo dvě dvouportové) pořídíte potenciálně dost draho. Nestačil by dovnitř malý switch za pár stovek? Dají se taky koupit "firewallové" motherbardy SuperMicro, které mají 4 gigabity onboard (cokoli-LN4) - ale to je entry-level serverový hardware. Levné domácí WiFi routříky mívají vestavěný 5portový switch s hardwarovou podporou VLAN - těch 5 portů bývá nakonfigurováno jako 4x LAN + 1x WAN, ale pod OpenWRT není problém to překonfigurovat na samostatné VLANy, pro každý port jedna.

WiFi do desktopu znamená pořídit redukci do PCI slotu - ale ono je prašť jako uhoď, jestli koupit levnou desktopovou desku a WiFi redukci, nebo nějaký mini-motherboardík (relativně dražší) s MiniPCI onboard. Nebo WiFi do USB, ale tam bych se trochu bál v Linuxu. Pro Linux bych jako WiFi adaptér doporučil nějakou MiniPCI kartičku s čipsetem Atheros, třeba Mikrotik R52. +pigtail +anténu.

Vortex86DX SoC nemá SATA port - ale má IDE. Pokud chcete připojit SATA disk, dalo by se to zpřevodovat aktivním převodníčkem "SATA disk => IDE port". Průchodnost to má slušnou, jenom Vám převodník trochu zkazí spotřebu toho Vortexu - ale pořád je to sranda ve srovnání s 3.5" diskem. 256 MB RAM by na text-mode Linux mělo být dostatečné - možná dokonce s přehledem dostatečné. Může Vám trochu kazit radost, že v dnešní době asi jediná "velká" distribuce, která má instalačky kompatibilní s i486, je Debian - všechny ostatní stolní distra už běžně vyžadují i686. Navíc má Vortex omezenou "periferní rozšiřitelnost". Dají se koupit nějaké průmyslové boardíky, ale jsou relativně drahé, hlavně když se začnete rozvášňovat třeba s MiniPCI (přes PCI/104 redukci, a lepší board s PCI104) nebo s počtem Ethernetů. 2-3 Ethernety onboard se dají pořídit. Taky se s tímhle procesorem dělají nějaká "kancelářská" mini-PCčka, ale tam je zase problém s rozšiřitelností, což je dáno rozměry: jako disk tuším jenom CF karta (uvnitř je i 44pin IDE konektor), jenom jeden ethernet, zato v některých modelech onboard MiniPCI slot.

Pokud byste na tom stroji chtěl častěji kompilovat jádro nebo tak něco, tak je Vortex přece jenom slabý, Via taky nic moc. Atom je lepší. Pokud na tom fakt budete chtít běžně pracovat, můžete se zkusit poohlédnout po Core2Duo E7000 series (E7200 - E7600) - hlavně nižší modely mají vynikající spotřebu. Optimální deska k nim je něco s i3x nebo i4x series (LGA775) - starší desky s i965 a i945 mívají nekompatibilní BIOS, i915 je hardwarově nekompatibilní.

U počítače "domů" Vás nemusí nějak moc trápit rozměry - nebojte se nějakého mini/miditoweru, hlavně si dejte záležet, ať má tiché větráky. 8cm větráky bývají na hraně s hlučností, lepší jsou 12cm nízkootáčkové (které ve 2U těžko potkáte). 8cm větráky v tradičním 19"/2U serveru řvou jako kráva.

A co to nějak zkombinovat? Malý WiFi router s OpenWRT jako firewall (ASUS WL500GP nebo D-Link DIR-300) a vedle nějaké miniaturní PC jako server? Tím by se Vám zásadně snížila náročnost na modularitu oproti jedinému počítači, který musí umět všecko...

[Halis]

Serverový hardware do obýváku?...Nejste tak trochu provokatér?

Popravdě se serverovým HW nemám žádné zkušenosti, což je také důvod proč jsem se obrátil na odborníky vašeho kalibru (no offense).

Vortex86DX (i486DX@800MHz, 256 MB RAM) žere s vypnutou grafikou asi 2-3W.

Tuhle architekturu neznám, a kvůli její atypičnosti z ní mám trochu strach.

Taky se dají koupit WiFi routery, na kterých běhá OpenWRT

O ASUSu WL500 už sem taky přemýšlel, ale těch disků pro file server bych chtěl postupem času více, a neumím si představit jak je dostatečně rychle připojit k routeru. Pokud bych tedy zvlášť pro file server nakupoval další stroj.

Nestačil by dovnitř malý switch za pár stovek?

Doufám že by stačil. Nevím přesně jakým způsobem probíhá řízení přenosové rychlosti, resp. jestli jde řídit i provoz pro zařízení za switchem.

WiFi do desktopu...

Wifi do PCI je otázka pár stovek, pokud se nemýlím.

Může Vám trochu kazit radost, že v dnešní době asi jediná "velká" distribuce, která má instalačky kompatibilní s i486, je Debian

Stejně bych tam nejraději viděl Debian stable

Navíc má Vortex omezenou "periferní rozšiřitelnost".

O důvod míň proč se směrovat do Vortexu

Pokud byste na tom stroji chtěl častěji kompilovat jádro nebo tak něco...

Nehodlám. Chci to nakonfigurovat, a "100 let na to nešahat"

Pokud na tom fakt budete chtít běžně pracovat...

Nebudu. Jen služby popsané na začátku, možná další přibudou, ale na práci mám jiný stroj.

U počítače "domů" Vás nemusí nějak moc trápit rozměry - nebojte se nějakého mini/miditoweru

Nebojím. Viděl bych to na CA CoolerMaster Elite 333 ať neletí do bazaru po prvním případném upgradu.

A co to nějak zkombinovat? Malý WiFi router s OpenWRT jako firewall a vedle nějaké miniaturní PC jako server?

S OpenWRT bych si nějak moc nechtěl zahrávat. Gentoo jsem sice nainstaloval a nastavil s KDE na NTB k obrazu svému, ale OpenWRT bude asi jiná liga.

...Asi bych to viděl na VIA nebo Atom v desktopové case se switchem a Wifi do PCI. Nebo spíš... sečteno podtrženo mi to tak nějak vychází.

[AsciiWolf]

S OpenWRT bych si nějak moc nechtěl zahrávat. Gentoo jsem sice nainstaloval a nastavil s KDE na NTB k obrazu svému, ale OpenWRT bude asi jiná liga.

Blbost. Pokud jste zvládl nainstalovat Gentoo, nastavit OpenWRT by pro Vás měla být hračka.

[Halis]

OpenWRT by znamenalo nějaký Wifi router, a k tomu se AFAIK blbě připojují 3,5" SATA disky

Jinak bych do toho asi šel.

[frr]

Souhlas. Hrotit to přes nějaký převodník USB/SATA je kravinimum, peníze navíc, průchodnost disku stejnak naprd, navíc řešit extra napájecí zdroj pro ten disk, stejně ty APčka mají málo RAMky a MIPS CPU apod. Na filtrování IP je to fajn, o moc víc na tom zařídit nejde. (Jasně: mailserver, printserver, NAS... ale s externím diskem a omezenou sadou fičur.)
Měl jsem spíš na mysli kombinaci WiFi routeru (na něm OpenWRT) a druhé maličké mašiny, která by fungovala čistě jako server, stačila by jí jediná síťovka. Osobně jsem OpenWRT instaloval asi 3x (WhiteRussian/Kamikaze), pokaždé na nějakém ASUSu, pokaždé jsem měl "staženou" že tu krabičku bricknu (naštěstí v klidu). Takže proti gustu... = jestli to dokážete dostat všecko do jednoho počítače, tak nic proti
Taky jsem si už vyrobil několik firewallů na různých PCčkách - a asi nejvíc času mi vždycky zabralo skriptování IPtables. Mám nějakou základní kostru, kterou ale vždycky rozvinu nebo sestříhám pro konkrétní instalaci. V tom je při výrobě firewallu nejvíc "sádla". A je dost jedno, jestli je vespod x86 PC a nějaké "dospělé" distro, nebo nějaké APčko s MIPSem a OpenWRT. A spousta profíků by mi v dnešní době řekla: proč smolíš rukama IPtables, kup si Mikrotik HW+SW a máš po starostech.

[Halis]

Proti "dělbě práce" mezi OpenWRT-router a server mám jediný argument. Bojím se že by cena (pořizovací + řekněme 4 roky provozní) byla větší než u one-machine-show.

[Halis]

... i když jak se tak dívám tak když snížím požadavky na server, dostanu se najednou o 30 % z ceny níž. Takže nakonec to vidím na:

• Asus WL-520gC
• Intel Mount Olive N10
• zdroj asi nějaký fortron
• ...

[frr]

Hele zrovna 520gC patrně není od přírody v OpenWRT podporován, přinejmenším ne v binárních buildech. V nějakém fóru na CZC je odkaz na něčí vlastní build dd-wrt, ale netuším, jestli ten link je ještě živý, jak s licencí DD-WRT apod. ASUS WL520gU podporovaný je (v OpenWRT vanilce). Záleží rozhodně na písmenkách za číslem a bohužel leckdy i na "revizi hardwaru". Klasický hardware pro OpenWRT býval Linksys WRT54GL nebo ASUS WL500G Deluxe nebo Premium. V tom seznamu podporovaného hardwaru je i pár jiných značek, které se k nám dováží (D-Link, TP-Link aj.). Bohužel dlouhodobě ve vanilkovém OpenWRT chybí třeba Ovislink/Wistron, bůhví proč. Někdo (Molekula Dlabač) tady v ČR svého času vydával binární buildy pro Ovislink(AirLive)/Wistron(AirCa) ale tuším už se odmlčel. Možná to souvisí s tím, že odkaz na jeho build OpenWRT se objevil na oficiálním webu technické podpory Ovislinku Fakt je, že Vás to netrápí, protože snad žádný Ovis neobsahuje VLANový switch.

[Halis]

D-Link DIR-300? ten vypadá jako podporovanej, a zároveň by byl i levněji než ten ASUS...

[frr]

Papírově vidím to samé co Vy, fyzicky jsem ho sice držel minulý týden v ruce, ale OpenWRT jsem na něm nezkoušel. Přečtěte si instrukce, jestli to dáte, a pak už mohu jenom držet palce

[frr]

což je také důvod proč jsem se obrátil na odborníky vašeho kalibru (no offense).

No v mém případě by to sedlo i se skrytým ostnem ironie

[Vortex86DX (i486DX@800MHz, 256 MB RAM)]: Tuhle architekturu neznám, a kvůli její atypičnosti z ní mám trochu strach.

[slovíčkaření]: architektura / instrukční sada CPU je klasická x86 na úrovni 486DX tj. včetně matematického koprocesoru (existuje i varianta SX = bez FPU). Kód zkompilovaný pro i386 na tom samozřejmě běží. Má to normální BIOS = po všech stránkách klasické PCčko.[/slovíčkaření] Ale souhlasím, že je to stroj spíš do průmyslu (díky spotřebě) a mimo tuto oblast zaujme spíš kutily/znalce/pamětníky. Sice fungl nové železo, ale má to on-chip jenom IDE (dnes reálně používané spíš pro ATA Flash) nikoli SATA. COM porty, LPT a GPIO nevyužijete. Oproti starým 486tkám to má USB 2.0, DDR RAM a mnohem vyšší takt. Škoda že nemá IO-APIC. On-chip IDE řadič funguje jak v klasickém "generickém" režimu, tak v nějakém svém "nativním" (zná ho Linuxový ovladač ite821x). On-chip r6040 10/100 Ethernet má taky ovladač ve vanilce (a nezjistil jsem, že by byl s něčím zpětně kompatibilní). Tento SoC bývá kombinován s grafikou SiS/XGI z9s (dedicated 32MB RAM).

[malý switch za pár stovek] Doufám že by stačil. Nevím přesně jakým způsobem probíhá řízení přenosové rychlosti, resp. jestli jde řídit i provoz pro zařízení za switchem.

Jako že individuální traffic shaping pro jednotlivé stroje ve vnitřní síti?
Rozdíl mezi switchovanou a routovanou vnitřní sítí je ten, že na switchované síti si jednotlivé stanice můžou navzájem posílat provoz, aniž by se musely doprošovat routeru (a jeho filtrů), můžou fixlovat cizí MAC adresu apod.
Taky jsem tuším viděl nějaký malý, asi 8portový VLANový switch. Pomocí téhle věcičky můžete mít jednotlivé porty switche namapované na router jako VLANové subinterfejsy (virtuální LANku klidně extra pro každý počítač ve vnitřní síti). Navzájem pak stanice na sebe přímo nevidí, jenom se samozřejmě dělí o pásmo fyzického Eth portu na routeru. Ale úzkým hrdlem beztak bývá router nebo uplink, ne kapacita fyzického portu.

[WiFi do desktopu...] Wifi do PCI je otázka pár stovek, pokud se nemýlím.

To jo, jenom pozor na použitý čip. Pro Linux doporučuji Atheros. Určitě ne Via nebo Realtek, nevím jak Ralink nebo Prism. Další věc je, že možná budete hledat WiFi spíš do PCI-e (nebo Mini-PCIe).

...Asi bych to viděl na VIA nebo Atom v desktopové case se switchem a Wifi do PCI.

Už jste narazil na SuperMicro. Ono těch desek na výběr je víc. Atomové boardy SuperMicro se vyznačují tím, že i nové Atomy (D4xx/D5xx) jsou kombinovány s "desktopovým" ICH, takže mají velký počet USB a SATA portů. On ten ICH9(R) ale taky něco sežere - čili co do spotřeby to není možná o moc lepší, než starší Atomová platforma N270+i945GSE. Je trochu trapné, že dvě síťovky jsou k mání jenom v kombinaci s "R" variantou ICH9, která bude ještě trochu víc papat. Aspoň že jsou ty nové Atomy výkonnější. Další trapná věc je, že ty novější boardy už nemají PCI, jenom PCI-e (viz WiFi). Staré boardy s i945 mají PCI slot - a ventilátor na procesoru (fuj). Nějaké boardy jsou k vidění taky u Intelu a dalších kancelářských výrobců, ale pokud vím, nikdo další to nepojal jako malý server (nikdo kromě Supermicra a pár obskurních "průmyslových" výrobců), takže ty boardy většinou mají jenom jednu síťovku a malý počet SATA portů.

[Filip Jirsák]

Záleží, na co přesně to chcete. Ale nestačilo by nějaké datové úložiště (NAS)?

[Halis]

AFAIK NAS neumí firewall, proxy, router, print server,...

[Filip Jirsák]

Většinou v nich bude nějaký Linux, takže záleží na tom, jak moc je přístupný. FTP server nebo print server umí spousta NASů už z výroby, no a pokud se dostanete na roota, tak iptables tam nejspíš taky budou a iproute2 určitě.

[otasomil]

Kupte si za 1000,- nejaky motherboard, zdroj a dejte to do case kterou sezenete ve sbernem dvore pripadne nekde u popelnic.

Serverovy hardware a jeste pomerne stary a rozezrany ... to snad nemuzete myslet vazne. Vite co to spotrebuje el. a kolik stoji 1 kWh ???

[Halis]

Co se tyce spotreby serveroveho HW, nemam o tom ani paru. Na druhou stranu bych (uz kvuli zminene spotrebe, a treba i kvuli dalsi rozsiritelnosti) do toho radeji vrazil trosku vic, nez abych si za rok prochazel tim samym.

[Jimmy]

Nedávno jsme si v práci změřili spotřebu několika starších pracovních stanic. Stanice s 2x Intel Xeon 3.06 GHz, 2x disk SCSI 15000ot/min a 3D grafická karta Quadro, tedy až na grafiku stejná konfigurace jako odkazovaný server HP, měla běžnou spotřebu nad 300W, která pouze občas klesla ke 260W. Ten server tedy bude mít běžnou spotřebu 150-200W. Jako topení na zimu to není špatné, ale jako domácí server je to nesmysl, pokud nemáte ČEZ jako sponzora.

Kupte si switch a nějakou desku s dvoujádrovým Atomem a pokud možno dvěma síťovkama na desce a bude to stroj na hraní s naprosto dostatečným výkonem pro domácí použití aniž by spotřeba byla nějak veliká.

[Halis]

Máte na mysli něco jako Supermicro X7SLA-H? Co ty síťovky? Poslední dobou se dost flamuje Realtek vs. Intel ...

[Jimmy]

Proč ne. Na můj vkus je sice ta odkazovaná deska na domácí použití trochu drahá, ale já ji platit nebudu. Na druhou stranu má vše co si do domácího serveru/routeru/atd. člověk může přát. Dvoujádrový Atom, 2 síťovky, 4x SATA, 2x PCI-E, 1xPCI, tedy vše co by mohlo být potřeba, takže cena asi odpovídá.

Realteky bych na domácím serveru moc neřešil. Předpokládám, že nemáte linku do internetu o rychlosti 1 Gb, takže omezení rychlosti do internetu při mnoha malých packetech nehrozí. Do vnitřní sítě se při plné rychlosti zase budou používat prakticky jen velké packety, takže omezení rychlosti také moc nehrozí.

Ono stejně ve interní síti záleží jednak na obou koncích, tedy nejen na serveru ale i na stanici a především na použitém protokolu. Např. můj domácí server je postaven na VIA C7 1,5GHz s síťovkou Marvell. Přes FTP dává až 900Mbps. Přes sambu maximálně 350Mbps. A když jsem měl ještě Athlon 2500+ s realthekem v PCI, tak jsem přes sambu dosáhl jen 140 Mbps. I v práci, kde máme pořádné diskové pole se přes SMB nedostanu přes 450Mbps.

Ještě se angažuji v síti Pilsfree. Na routerech kde teče trvale několik set Mbps a routuje, natuje a Quosuje se tam používáme karty Intel, protože přes dané hlavní routery běží několik set nebo i několik tisíc lidí a tak si nemůžeme dovolit zbytečné výpadky či problémy. V takovém případě je Intel sázka na jistotu, která se vyplatí. Pro doma je IMHO pořizování kvalitních ale i drahých síťovek Intel vyhazování peněz, protože popisované rychlosti platí když mám server sám pro sebe. Stačí ale na serveru pustit DC klienta a pár lidí tahající rychlostí do několika jednotek MB/s pošlou rychlost do kytek, protože úzkým místem se v té chvíli stanou disky.