Värdig ersättare till Ubiquiti Edgerouter POE?

Vilka funktioner är du ute efter? Finns andra Ubiquiti Edgerouter att köpa om du är nöjd med din

https://www.dustinhome.se/group/hardvara/natverk/routrar-och-...

Hmm.

pfsense
Mikrotik
Zyxel

Många förespråkar pfsense men har inte själv kört det, Mikrotik kör jag fast det funkar sådär, egentligen för avancerat för det jag använder den till. Zyxel är inte så bra vad gäller prestanda dock har det blivit bättre med de nyare brandväggarna för att man stoppat in bättre CPU men ganska dyrt.

Finns inte så mycket alternativ kvar för routers längre känns det som. Antigen är det budget eller lite mer gaming-router, eller så är det grymt dyra enterprise grejer.

Ska Ubiquiti helt sluta med routers ? Jag antar dom tänkt att dessa funktioner ska flytta in i andra prylar dom säljer eller ?

Vad har du för budget och behov?

Jag kör en gammal Qotom-maskin (J1900, 4 nätverksportar, kör Debian, ca 2000 kr när jag köpte den) sedan rätt länge och det är noll problem med prestanda för mitt hemmanät. Går den sönder kommer jag nog gå på en Mikrotik-enhet.

För några andra nätverk jag sköter tycker jag ER-X är brutalt bra för pengarna, givet att en uppdaterar den, slår på hårdvaru-offload osv. Det är inget magiskt, men för en enklare regeluppsättning hanterar den gigabit utan problem.

Mikrotik's blev hackade eftersom användare stänger av brandväggen och kör med default-lösenord.

En router är en dator, om vi ska vara petiga. Och den typen av maskin jag pratar om är en färdig burk i ett litet chassi, bara att plugga in sladdar och installera lämpligt operativsystem. x86 kommer springa varv runt det mesta andra du kan köpa som färdiga produkter. Installera OpenWRT och så är det klart.

Det är i många fall exakt samma chipset som används i Ubiquiti och Mikrotiks produkter. Ubiquiti är inte ett någon high-end-serie, utan väldigt enkla grejer men med ett fint UI som många uppskattar (inkl mig).

Jag har själv känt mig lite förvirrad om vilka produkter jag skulle gå med när jag behövde sätta upp nya nätverk sist, och just nu verkar det inte finnas så mycket rimligt annat än en ER-X för inga pengar, motsvarande Mikrotik eller att bygga en x86-burk med pfsense/opnsense eller motsvarande.

Netgates grejer är rätt modigt prissatta men det är säkert bra. Jag undviker Netgate/pfsense efter en hel serie ruttna beslut de gjort som företag.

Jag delade upp mitt nätverk i flera zoner (iot, tjänster, klienter…) och slapp hairpin. För en del tjänster kör jag en reverse proxy på min router, sådär som en inte ska.

Om du vill ha en liten men kraftfull router så tycker jag Mikrotiks rellativt nya RB5009UG+S+IN verkar intressant.
https://mikrotik.com/product/rb5009ug_s_in#fndtn-specificatio...

Ja Mikrotiks routrar är rätt trevliga och fantastiskt bra om man vill lära sig routing från grunden då man kan göra så otroligt mycket med konfigurationen i dessa.

Själv har jag blivit lite bekväm av mig och har gått över helt till att använda mig utav Fortinet:s brandväggar. Har precis uppgraderat mig från en gammal 30E till en 40F vilket krävde lite pyssel i och med att Fortinet tog bort stödet för Hairpin NAT i och med FortiOS 7, vilket tvingade mig att konfigurera upp split-DNS i min interna hosting, så då passade jag på att växla över till central SNAT när jag ändå var i språnget.

Nja, inget skiljer när det gäller hackerattacker. Så länge man uppdaterar systemen och inte använder default-lösen så är det inga problem.
https://www.opencve.io/cve?cvss=&search=mikrotik

Sen är mikrotik tekniskt överlägsna edgerouter på alla sätt. Men jag skulle nog bara rekommendera dem ifall man är villig att verkligen lära sig och söka efter instruktioner/information om hur man gör olika saker.
De klarar allt inom routing, men firewalling är bristfälligt.

Men har du haft en edgerouter innan och kört det mesta genom cli:t så är det väl inte såå långt steg över, bara annan syntax.

Frågan är väl ifall du vill ha bara en router eller en router+fw?

Nja, det som edgeroutern har är ju en vanlig ACL-"firewall" eller vad man nu ska kalla dem. Det kan mikrotik också. Mikrotik kan även L7 om man vill, men allt är manuellt. Sen är inte UI:t så intuitivt i allmänhet, det är "gjort för ingenjörer". Det är det jag menar är bristfälligt.

Jag tycker att en brandvägg ska ha lite NGFW-stöd, att den ska klara mer än L4. Men det är min åsikt.

Mikrotik hEX eller hEX PoE kanske du borde titta på, kostar knappt ngt och är ruskigt bra och stabila.

hEX

hEX PoE

Själv kör jag med RB4011iGS+RM

Board Name RB4011iGS+RM
Uptime 321 days 18:55:13

ACL/L4 = Regler med IP & Portar.
L7 = Innehåll, DNS-namn, osv.

"hackarattacken mot Mikrotik" handla somsagt om miljontals användare som aktivt öppnat för management utåt, samt aldrig uppdaterat. En Cisco eller UBNT hade blivit ägd lika snabbt.

Ahhh såg att hEX PoE är bristvara, my bad.
Annars kan jag slå ett slag för RB4 / 5 serien, alternativt Edgerouter 6P.

Jag kör nginx som reverse proxy, nginx är en webbserver. Syftet med det är att fånga alla webbanrop redan på brandväggen, som sedan skickar dessa anrop vidare till lämpliga system internt. Går jag sedan in på samma adress från mitt hemmanät hamnar jag rätt utan strul. Jag kan även lätt skaffa TLS-certifikat för mina webbsidor med letsencrypt.

Exempelvis har jag en RSS-läsare som jag använder dagligen som jag vill komma åt när jag är ute på vift eller så.

Reverse proxy används när man vill exponera fler än en intern webbtjänst på insidan på port 80/443 på samma IP-adress, exempelvis egen hemsida och en Bitwarden-instans. Utan reverse proxy så måste du ha individuella publika IP-adresser per tjänst, alternativt använda dig av ej standardiserade portar vilket gör det svårare att nå dem.
Senaste kända sårbarhet som framdagats på dessa är daterad 2018, så det är 4 år sedan. Sårbarheten i det fallet låg i Winbox fjärradministrationsgränssnittet som då gick att missbruka så du fick ut databasen med användarna på routern som du då kunde använda för att logga in som vanligt och göra ändringar. Oavsett märke så ska man alltid begränsa eventuell exponerad fjärradministration, de som hade gjort detta var aldrig sårbar där 2018 trots mjukvarubuggen.
https://blog.mikrotik.com/security/winbox-vulnerability.html