Dotaz: rPI4 jako OpenVPN server místo Atom-based ITX serveru?

[PetebLazar]

rPi4 +/-

+ pořizovací cena (rPi4, AC/DC, uSDHC, chladič) <2000Kč

+ Raspbian (Buster)

+ levné záložní boot medium (x00Kč)

+ výkon v AES-256-GCM (OpenVPN iperf3/FTP cca 120Mbps .. testy v rámci LAN), openssl speed AES-256-CBC cca 65Mbps,

+ přítomnost watchdogu

+ spotřeba: v idle 3W+, v zátěži OpenVPN 4,5W (proti stávajícímu řešení úspora cca 25W tj. 365x24x20=200kWh/rok tj. zhruba 600Kč/rok .. návratnost 3 roky)

- OpenVPN over TPC na hraničním Mikrotiku není přijatelnou alternativou

+/- bezpečnost: připojení OpenVPN klientů jsou akceptována jen z vybraných veřejných IP adres

? jaké jsou Vaše zkušenosti s dlouhodobým během a stabilitou rPi řešení, případně další úskalí ARMv8 platformy

Odpovědi

Pokud máš jako hraniční router Mikrotik, tak bych se vybodnul na OpenVPN a místo toho rozchodil ipsec ikev2. Pro to máš podporu na všech platformách a je to obecně rychlejší, než OpenVPN. A v takovém případě nebude RPi žrát nic.

[PetebLazar]

To je další možnost. Můj Mikrotik snad pro IPSec dokonce disponuje HW akceleraci šifrování, ale když jsem to dříve zkoumal tak mi to proti OpenVPN nepříšlo zas až tak široce podporované a na vlastnosti konektivity nenáročné (klienty mám Android, Windows, Linux, MacOS). Patrně část předsudků vůci IPSec jde asi neoprávněně na vrub historické zkušenosti s Nortel Contivity 1000. Řešením to sice funkčním, ale na podmínky náročnějším.

Výkon není zas až tak klíčový, typicky jde o RDP/SSH a příležitostný přenos souborů.

OpenVPN má jednodušší konfiguraci. Ale ipsec ikev2 je dostupné na všech tvých klientech a především pak na tom Mikrotiku, který už máš. Konfigurace je ze začátku poněkud složitější, ale na strongswan.org najdeš skvělou dokumentaci. Podle mě je nejlepší vyzkoušet nejdřív server na linuxu. A teprve poté, až to pochopíš a vyzkoušíš, tak konfigurovat na Mikrotiku. Ten je přeci jenom poněkud svůj, i když tu dokumentaci má taky dobrou, ale Strongswan to není.

[Max]

Pro dlouhodobý provoz je nutná co nejnižší teplota. Osobně jsem teď kupoval 3ks RPi4 a opět jsem k němu pořídil slušný pasiv, co dělá i krabičku. Mají tam i podobný chladič s 2x malým větrákem, ale do toho bych nešel. Ty větráčky brzo odejdou a né zrovna tiše. Takže tento velký pasiv + když chci chladit víc, tak to něčím větším ofoukávat (osobně plánuji na 5V piny připojit nějaký 60x60 větráček jen jako šolíchátko a dostat se s teplotou pod 45 stupňů).
U jednoho RPi mám konstantně 54 stupňů, ať dělám, co dělám (TV, nebo přehrávání h.264 / h.265, nebo standby) a to je 4GiB verze. Teď jsem koupil 1GiB verzi a se stejným chladičem mám asi 47 stupňů. Takže buď 1Gib verze míň hřeje, nebo se mi na ní podařilo nasadit ten chladič mnohem lépe. Na závěry je ještě brzo.

Jinak souhlasím, pokud máš Mikrotik jako router, je RPi zbytečnost. Další věcí je, že OpenVPN je opravdu celkem out. Na dnešní poměry má proti třeba tomu IKEv2 spoustu nevýhod. Chybí výkon, chybí MOBIKE, chybí always on, není dostupné pro moc architektur atd. Takže pokud si s něčím chceš hrát, tak doporučuji IKEv2 a né OpenVPN.
Zdar Max

[PetebLazar]

Stejný chladič na rPi4/4GB používám, v idle teplota cca 44°C (zhruba +20°C proti okolí). V Blenderu (BMW27_CPU) to myslím klidně atakuje 70°C (vcgencmd measure_temp).

Tak tomu IKEv2 tedy dám ještě šanci, člověk se má stále učit něčemu novému.

[Bedna]

Jen k tomu MOBIKE, OpenVPN už nějakou dobu podporuje multihoming na obou stranách a ještě líp než MOBIKE, jde například out of box load balancing nebo používat jednosměrné spojení. Viz parametr float.

[PetebLazar]

Na OpenVPN mi právě vyhovuje, že projde prakticky čímkoli (snáší forwardy atpd). Není ten IKEv2 citlivý na NAT (nevyžaduje to podporu NAT Traversal po cestě)?

[Max]

IKEv2 má podporu NAT přímo v RFC. A podpora zařízení po cestě není třeba snad ani u IKEv1, pokud se použije NATT. Samozřejmě v obou případech je potřeba mít povoleno UDP500 a UDP4500.
Zdar Max

[Jirka]

Když jsme u toho topení, mám 4GB verzi, koupenou hlavně kvůli tý paměti (ramdisk), nezkoušel to někdo podtaktovat? Na bateriovej provoz by se nějaká úspora celkem hodila.

[Max]

Údajně pokud není CPU vytížený, měl by jít dolu sám a nemělo by docházet ke zbytečné spotřebě. Ale osobně jsem to ještě nezkoušel proměřovat. Zatím jsem ve fázi, že všechno rozjíždím, osahávám si, testuji atd.
Zdar Max

[PetebLazar]

Zkoušel jsem snižovat minimální takt arm na 250MHz (z 600MHz výchozích) a na idle spotřebě se to prakticky neprojevilo. Naopak údajně příliš nízké minimum může vést k častějšímu boostování (min. freq. je i při minimální zátěži nedostatečná a CPU se nutí do vyšších taktů).

Idle spotřeba rPi4 asi nebude jen o samotném SoC, ale i o dalších obvodech.

Například vliv rozlišení:

V idle v LAN 1Gbps s připojeným LCD 768p60 a USB wireless dongly KB/MS na zdroji naměřeno 2,9W.

V idle v LAN 1Gbps s připojeným LCD 1080p60 a USB wireless dongly KB/MS na zdroji naměřeno 3W.

V idle v LAN 1Gbps s připojeným LCD 2160p60 a USB wireless dongly KB/MS na zdroji naměřeno 3,5W.

[Jendа]

- OpenVPN over TPC na hraničním Mikrotiku není přijatelnou alternativou

Nainstalovat na Mikrotik OpenWRT, profit.