Dotaz: OpenBSD firewall VPN hardware

[mipam007]

Zdravím!

vybírám hardware pro VPN firewall, který bude obsluhovat 5 uživatelů, přičemž počet uživatelů by se neměl do jednoho až dvou let přehoupnout přes 10 uživatelů. Hledám nějaké non-vendor-lock řešení.

Hlavními parametry,
1) nízká spotřeba
2) 2x 1Gbps ethernet
3) OpenBSD podporované

Našel jsem např. tyto hotové krabice:

http://www.calyptix.com/portfolio/ae1200/
http://www.applianceshop.eu/index.php/firewalls/opnwall/desktop-editions/opnwall-m0n0wall-appliance.html
http://soekris.com/products/net4501-1.html

Jsou to zahraniční e-shopy, rád bych to pořídil z ČR. Nemusí to být hotové řešení, možné poskládat.

Např. http://www.lan-shop.cz/supermicro-mbd-x9sbaa-f-o-x9sbaa-f-159032 nevypadá špatně, ale
a) je to OpenBSD podporované?
b) je to dostatečně výkonné?
c) fakt drahé!

Potřeboval bych se nějak odrazit. Nemáte někdo tipy jak to řešíte?

---

---

Odpovědi

[NN]

2xGbps je pro 10 lidi fakt podminka.. co nejaky routerboard, alix etc.

[iji]

EdgeRouter (cz eshop)?

[mipam007]

Toto vypadá úplně suprově. Díky moc za tip!

Nemáte někdo zkušenost s tím, že byste tam rvali právě OpenBSD?

[mipam007]

Osobne ne, nicmene dle tohoto vlakna OpenBSD funuje. Ubiquiti si nedela hlavu s tim, jaky OS na jejich hardware bezi a nehaze zbytecne klacky pod nohy (EdgeOS je konec koncu upraveny Debian).

[mipam007]

díky moc za rady!

[mipam007]

jak na potvoru maji vypadek :)

Connection closed by remote server

You tried to access the address http://www.i4wifi.cz/, which is currently unavailable.

[mipam007]

díky, na Alixy jsem koukal, ale nenašel jsem je právě nikde u nás.

[iji]

Aspa

[mipam007]

hej začínám být vyhledávací lůzr :( díky moc chlapi!

[Ondrej 'SanTiago' Zajicek]

Alix ma pro VPN vyhodu v tom, ze ma (v Linuxu podporovany) hardwarovy akcelerator AES (ale jen 128bit klice), ma jen 100 Mbps rozhrani, ale tech 100 Mbps v pohode uroutuje.

EdgeRouter ma udajne taky hw akceleraci AES, ale asi zatim neni podporovana. Ma (podporovanou s dodavanym jadrem) hardwarovou akceleraci routovani, s kterou uroutuje ten 1 Gbps, pokud ale chces firewall, tak ji musis vypnout a normalne uroutuje cca 600 Mbps.

Jinak pro vykonne VPN by byla dobra nejaka deska s Via C3, tamni akcelerace AES je vyborna, ale nevim, zda delaji nejake s 2x gigabit ethernetem (a jsou drazsi).

[kolaCZek]

Juniper..?

[mipam007]

mno, tolik peněz nemám :) a navíc, tam je pod kapotou FreeBSD a né OpenBSD :)

[Andrej]

Pro OpenBSD by člověk musel sehnat jednoprocesor, protože ta hromada hnoje nic jiného nepodporuje. V případě SMP totiž používá Giant Lock. O dostatečném výkonu tedy nemá smysl uvažovat — s OpenBSD bude každý současný hardware nevyužitý. Kromě toho je OpenBSD známé nedostatečným zabezpečením, které se do 21. století příliš nehodí.

Ač otázka takovou variantu nepřipouští, když už to musí být něco z rodiny *BSD, já osobně bych volil FreeBSD (a vybíral hardware podle něj, což dává nesrovnatelně víc možností). FreeBSD je systém o mnoho řádů vhodnější pro každý účel, který prý má údajně splnit OpenBSD. (A pak toho umí ještě spoustu navíc.)

[mipam007]

Odkazy (včetně toho populistického) znám, i přes to děkuji za doporučení a odpověď. Velmi jsem ocenil, jak zde lidi rychle reagují, a hlavně k věci.

OpenBSD projekt produkuje spoustu kvalitního kódu: OpenSSH, OpenBGPD, OpenNTPD, OpenCVS, OpenSMTPD, OpenIKED, který má své využití, alespoň pro značnou, a poučenou část světa. Proto mně stojí za to, se mu věnovat a vybudovat na OpenBSD infrastrukturu ... i když podle některých osvícenců, již nepatří do tohoto světa :)

Zvláště pak, možnost stavět infrastrukturu, na základě opravdu svobodného softwaru, pod licencí BSD, je pro mně cennou zkušeností.

[Andrej]

Jaká škoda, že v té naší naší hektické době máme takový nedostatek vhodných (jednoprocesorových) strojů pro OpenBSD... Lepšího hardware je pro OpenBSD poněkud škoda.

Projekt OpenBSD v širším slova smyslu jistě přinesl spoustu dobrého kódu. S tím souhlasím. Ovšem nic to nemění na faktu, že operační systém OpenBSD stojí za houby. Budovat síťovou infrastrukturu na něčem, čemu ani neběží routing a firewall vícevláknově, či na něčem, co se nezmůže na RBAC, mi opravdu připadá jako z jiného světa.

Musím ale souhlasit v jedné věci: OpenBSD pro mě bylo vždy zdrojem nesmírně cenných zkušeností. Člověk tam vidí, jak až moc špatný může být operační systém, a o to víc si pak váží jiných open-source projektů, které dělají věci dobře. (A které, pravda, s oblibou používají například to OpenSSH. Jen neusnuly v éře jednoprocesorů a všemocného roota.)

[mipam007]

Člověk, který zcela záměrně mlží, tvrdí něco, co není zcela pravdou, je populistou a demagogem. Popřípadě je ještě možnost, že je to úplný ignorant. Přečtěte si proto o podpoře SMP v OpenBSD - né všechny HW platformy jsou podporovány - to asi žádným OS - ale OpenBSD rozhodně patří mezi ty, co SMP podporujou.

Pokaždé, když šáhnu na nástroj z dílny OpenBSD, je za a) plně zdokmunetovaný v manuálových stránkách, včetně všech parametrů, a za b) funguje. Pomocí příkazu IFCONFIG(8) nastavím veškerou síť, včetně té bezdrátové. Nemusím používat ani ifconfig, ani ip, ani iw{cosik}, stačí mi jen ifconfig. Je možné virtualizovat routovací tabulku/rdomains - a nemusím kupovat JunOS nabo iOS.

Instalace operačního systému je za za 10 minut hotová, včetně webového serveru, přes bgpd, až po ospfd, ftpd, spamd, nebo X serveru pokud si jej člověk mezerníčkem při instalaci ráčí zakliknout. Upgrade na novou verzi s mergem konfiguračních souborů je i se stažením z FTP za 20 min. hotov. Bez jediných chyb.

RBAC? Co SYSTRACE(1)? Co si myslíte o AUTHPF(8)? OpenBSD přináší dobrý a kvalitní kód, žádné prasácké komentáře uvnitř kernelu, žádné hnusy z lenosti nebo z nedbalosti nebo proto, že se nestíhá.

NetBSD frčí na 49 HW platformách. Microsoft má pod palcem všecky hry a největší softwarové giganty jako je SAP, BMC, Oracle se svým Hyperionem a já nevím co eště. Vypovídá to o kvalitě? Myslím, že ne.

[Andrej]

OpenBSD má v kernelu Giant Lock. Tečka. Jistě běží na SMP systémech. Ano, procesy, které jsou zrovna náhodou v user mode, tam poběží na více procesorech paralelně. Nicméně Giant Lock tam prostě je. Takže OpenBSD nemá podporu pro SMP, která by jakkoliv byť jen vzdáleně odpovídala dnešním standardům.

[Ondrej 'SanTiago' Zajicek]

Je možné virtualizovat routovací tabulku/rdomains - a nemusím kupovat JunOS nabo iOS.

BTW, tohle Linux umi odedavna (a ma to podstatne pruznejsi nez OpenBSD).

[tukan]

To je zase matení lidi co o problematice vůbec nic netuší. Uvedený dokument o SMP je na platformu SGI(ostatní platformy dokument nebere v úvahu), což si troufnu odhadnout příliš lidí zde diskutujících nemá.

Zabezpečení je celek a ten odkaz zase pouze uvádí věci z jednoho úhlu a technologie. Věci se dají dělat jinak a i fungují. Je velmi úsměvné tvrdit o OpenBSD, že je nedostatečně zabezpečeno. Ověřování kódu je u tohoto projektu velmi striktní a proto se některé vymoženosti dostávají do -current trochu později. Kdyby se takhle pečlivě vyvíjelo jidne, tak by bylo mnohem bezpečněji na poli OS.

[mipam007]

Jen bych doplnil, že "bezpečnostní" technologie jako je SELinux, RBAC, podporované NSA, mně dost zneklidňují.

[tukan]

Ještě mě napadlo, že bych měl citovat pro release 5.2 - (November 1, 2012) "in this release is the replacement of the user-level uthreads by kernel-level rthreads, allowing multithreaded programs to utilize multiple CPUs/cores."

Takže doporučuji více číst a méně psát na fóra.

[mipam007]

mám pocit, že Andrej (a další příznivci jednoho jediného OS), už stejně neslyší... fičí totiž ve svém rychlíku zvaném Linux.

[Andrej]

Nevím, kdo je tady příznivcem jednoho jediného OS... Z těch asi čtyř, které znám podrobněji (a ano, Linux je jedním z nich), ani jeden nemá Giant Lock. No, vlastně s OpenBSD jsem se taky kdysi musel podrobněji seznámit, ale to by jeden zvracel.

[Andrej]

A já doporučuji přečíst si (několikrát), co je to Giant Lock a teprve poté psát jakékoliv příspěvky na toto téma.

OpenBSD samozřejmě podporuje a využívá SMP, dokud procesy běží v user-space. (A nikde jsem ani půlkou slova netvrdil opak.) Na druhé straně má ovšem Giant Lock, tj. v podstatě nemá vícevláknový kernel. Tedy cokoliv, co intenzivně využívá systémová volání (například síť, že ano...), prostě není škálovatelné. Takže od určitého throughputu a počtu síťových karet (velmi malého) se prostě OpenBSD nehodí ani jako router.

Že OpenBSD před releasem 5.2 nepodporovalo ani běh vícevláknového programu na více procesorech (tj. SMP fungovalo jen na úrovni celých procesů) a že se jejich kernel z těchto sraček vyhrabal až v roce 2012, to jsem nevěděl. Fujtajbl! Něco až tak špatného bych vůbec nečekal. Vždy jsem měl za to, že alespoň user space na OpenBSD běží na více procesorech, dokud nepotřebuje nějaký syscall.

Ať je to jakkoliv, změna v 5.2 nesouvisí s Giant Lockem v kernelu. V user-space se využívá SMP, ale většina syscallů (a možná nejen syscallů) prostě zamkne celý kernel.

[tukan]

Máte pravdu, že jsem se poněkud odchýlil od tématu a udal jsem vícevláknové rozšíření místo k tématu Giant Lock a OpenBSD.

Nic no nemění na faktu, že odkaz na dokument, který jste tu dával je OpenBSD/sgi (k tomu jste se nějak zapoměl vyjádřit). Jak jsem již psal OpenBSD klade důraz na kvalitu kódu a proto se změny implementují pomaleji.

Abychom věc uvedli na pravou míru. Linuxový vývojáři odstraňoval BKL roky a myslím, že to dotáhli v na konci roku 2011 nebo na začátku 2012 (lze určitě jednoduše dohledat). Do té doby byl linux zajisté naprosto nepoužitelný .)

Windows, na ty přece nemůžeme zapomenout .), odstraňují BKL až ve windows 7 (ty vycházejí na konci roku 2009).

Nejlépe je na tom asi FreeBSD, které v průběhu roku 2006 odstraňuje s velké části BKL. (jestli si dobře pamatuji bylo to FreeBSD 5).

Proč to tady rozepisuji tak podrobně? Z Vašeho černobílého vnímání světa by vyplývalo, že systémy co neodstraní BKL jsou nepoužitelné. To samozřejmně není pravda - jsem celkem jist, že ještě spousty serverů mají systémy s BKL. Pouze, jak správně píšete není škálovatelné pokud systémové volání obsadí procesor. Spousty volání je přeci i nesystémových a ty již škálovatelné jsou.

Snažil jsem se dohledat BKL na OpenBSD pro všechny platformy a není to vůbec jednoduché - nenašel jsem rozumný link. Jedinou informaci co jsem v současnosti našel je, že OpenBSD 5.1 mělo ještě BKL a na odstranění BKL se postupně pracuje.

Každopáně zpět k zadání celého tohoto vlákna: " vybírám hardware pro VPN firewall, který bude obsluhovat 5 uživatelů, přičemž počet uživatelů by se neměl do jednoho až dvou let přehoupnout přes 10 uživatelů. Hledám nějaké non-vendor-lock řešení. "

Opravdu se domníváte, že VPN firewall pro 5-10 uživatelů způsobí naprosté zahlcení rozumně nadimenzovaného systému požadavky díky BKL? Domnívám se, že nikoliv.

[ES]

Jaky bude pres tu VPN charakter provozu?

Takova pekna konfigurace na par (i vic) pobocek a jednu centralu kde jsou vsechny systemy:

Pobocky ALIX.2D13 http://wifi.aspa.cz/alix-2d13-lx800-256-mb-3-lan-1-minipci-usb-rtc-battery-z100246/

IPSEC (aes-128-cbc) pres akceleraci v GEODE jede 30-35M

Centrala http://www.supermicro.com/products/system/1u/5017/sys-5017c-lf.cfm

a to zvladne plnou rychlost sitovek.

[mipam007]

Nejde o nic velkého. Jeden Windows server/5 RDP uživatelů. Na serveru bude spuštěn účetní program. Chcu zkusit OpenIKED - nemám doposud zkušenost, ale mám zatím dost času.

[ES]

OpenIKED jsem zatim neskousel takze s nim skusenosti nemam. Na mobilni uzivatele (vetsinou OSX iOS) pouzivam npppd a L2TP/ipsec. RDP taky nepouzivam takze nevim "kolik to zere" ale pocitam ze vic jak 1Mbit na uzivatele to nebude a na to odkazovany ALIX staci v pohode, nebo to supermikro delaji i slabsi. Obecne servrovy HW nema problem a jede jak ma. Desktopovy dela problemy na UEFI, grafikach a pod.

[mipam007]

Díky moc za informace.

Já zatím bojuju z OpenLDAP a FreeRadiusem, který bude dostupný na jiném PC. Docela jsem se zasekal s TLS/SSL právě na LDAPu. Jestli máte nějakou radu na co si dát pozor s npppd(8) a L2TP (pokud mi nevyjde OpenIKED), budu moc rád.

[tukan]

Neuvedl jsem žádné citace, tak to napravuji: "Firstly, despite the recent development for support of multiple processors in the OpenBSD kernel, it still largely operates as if were running on a single processor system. On a SMP system only one processor is able to be running the kernel at any point in time, a semantic which is enforced by a Big Giant Lock. There are portions of the kernel which are not protected by the Big Giant Lock, but they are not relevant to this discussion. The network stack and therefore pfsync still run under the Big Giant Lock."

Pro více doporučuji čtení: http://undeadly.org/cgi?action=article&sid=20090222155558 (již docela fousatý příspěvek, takže předpokládám, značný posun v před)

[mipam007]

výborné počtení... na téma kampromisů, řekl bych né jen ve světě počítačů.

marc.info/?l=openbsd-misc&m=135275891129568&w=2