Forum Ljud, bild och kommunikation Nätverk och uppkoppling Tråd

Wireguard i custom router

1 2 3 4 5 6 7 8
Skriv svar
Permalänk
Medlem ★
●
Skrivet av improwise:

Precis, VPN Policy Routing i OpenWRT underlättar mycket, att den dessutom har stöd för wildcard (subnet) gör inte saken sämre. Mot allt bättre vetande tänkte jag dock se om jag kan få till något liknande i OPNSense (som väl då bör vara samma i pfSense) så fort jag hinner. Dock är jag rätt säker på att pfSense/OPNSense inte verkar stödja wildcards i sin routing vilket gör det hela lite bökigare.

Att routa mot WAN på IP nivå är ju ingen höjdare, speciellt inte för typ NetFlix som kör AWS, då anger man i princip att halva Internet ska hanteras utanför VPN tunneln för att det ska lira rimligtvis och då fallar mycket med idén att ha VPN.

Egentligen skulle jag kunna köra OpenWRT lika väl, även om det är lite trist och tråkigt så är inte min network setup i närheten av nog komplex för att i sig kräva något mer än det. Men tycker det är lite bökigt att underhålla paketuppdateringar osv i OpenWRT samt att jag bli tokig på det här att man vid omstart måste manuellt välja i en lista innan man kommer vidare med boot (som säkert går att konfigurera bort på något sätt men jag lyckades aldrig hitta hur).

Gå till inlägget

Då jag kör pfSense och OpenWRT har jag inte kikat alls på OpenSense. Av ren nyfikenhet ska jag kolla på pfSense möjligheter då:)

Jag gillar verkligen Clavisters lösning där.
Man definerar ett FQDN-objekt som *.netflix.com. Sedan låter man Clavister se alla DNS-förfrågningar som går ut genom den. Varje gång någon frågar efter netflix, så läggs IP adressen till FQDN-objektet. Det objektet kan användas för routing, policys eller vad som helst. Det blir oerhört smidigt (så länge ingen ställer DNS-frågor via HTTPS).
Tyvärr har Clavister varken stöd för OpenVPN eller Wireguard, vilket gör att jag har de andra lösningarna:)

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av improwise:

Precis, VPN Policy Routing i OpenWRT underlättar mycket, att den dessutom har stöd för wildcard (subnet) gör inte saken sämre. Mot allt bättre vetande tänkte jag dock se om jag kan få till något liknande i OPNSense (som väl då bör vara samma i pfSense) så fort jag hinner. Dock är jag rätt säker på att pfSense/OPNSense inte verkar stödja wildcards i sin routing vilket gör det hela lite bökigare.

Att routa mot WAN på IP nivå är ju ingen höjdare, speciellt inte för typ NetFlix som kör AWS, då anger man i princip att halva Internet ska hanteras utanför VPN tunneln för att det ska lira rimligtvis och då fallar mycket med idén att ha VPN.

Egentligen skulle jag kunna köra OpenWRT lika väl, även om det är lite trist och tråkigt så är inte min network setup i närheten av nog komplex för att i sig kräva något mer än det. Men tycker det är lite bökigt att underhålla paketuppdateringar osv i OpenWRT samt att jag bli tokig på det här att man vid omstart måste manuellt välja i en lista innan man kommer vidare med boot (som säkert går att konfigurera bort på något sätt men jag lyckades aldrig hitta hur).

Gå till inlägget

pfSense verkar ha ett sätt att lösa det på. Vet inte hur URLerna ser ut för streamingtjänsterna.
https://docs.netgate.com/pfsense/en/latest/firewall/aliases.h...

Tyvärr ser det inte riktigt ut att fungera något vidare:/

Senast redigerat
Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Talisker00:

pfSense verkar ha ett sätt att lösa det på. Vet inte hur URLerna ser ut för streamingtjänsterna.
https://docs.netgate.com/pfsense/en/latest/firewall/aliases.h...

Tyvärr ser det inte riktigt ut att fungera något vidare:/

Gå till inlägget

Jo, Alias har väl funnit ett tag men vad jag vet stödjer dom inte wildcards/subnet. Vägen för att få till det verkar vara att sätta upp en egen gateway och sen använda den för att med hjälp av Alias routa till ett annat interface. Har dock inte hunnit kolla något på det sen dess tyvärr....

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av improwise:

Jo, Alias har väl funnit ett tag men vad jag vet stödjer dom inte wildcards/subnet. Vägen för att få till det verkar vara att sätta upp en egen gateway och sen använda den för att med hjälp av Alias routa till ett annat interface. Har dock inte hunnit kolla något på det sen dess tyvärr....

Gå till inlägget

Har satt upp gateway för både Wireguard och för OpenVPN. Sedan använder jag dessa för routing.

Sedan fick jag jobba med TAGS och TAGGED, för att inte trafik via wireguard ska kunna göra en "fallback" till att gå ut via WAN. Detta för att med den inställning jag har i PFSense fungerar det så. (Det finns lite andra settings i hur den ska hantera regler när gateway inte räknas som online).

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Talisker00:

Har satt upp gateway för både Wireguard och för OpenVPN. Sedan använder jag dessa för routing.

Sedan fick jag jobba med TAGS och TAGGED, för att inte trafik via wireguard ska kunna göra en "fallback" till att gå ut via WAN. Detta för att med den inställning jag har i PFSense fungerar det så. (Det finns lite andra settings i hur den ska hantera regler när gateway inte räknas som online).

Gå till inlägget

Menar du i största allmänhet då eller att du fått det att fungera med policybaserad routing för vissa IP-adresser/domäner?

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av improwise:

Menar du i största allmänhet då eller att du fått det att fungera med policybaserad routing för vissa IP-adresser/domäner?

Gå till inlägget

Jo, PBR fungerar för IP adresser, protokoll och då förmodligen domäner också.

I korthet.
Man konfigurerar en gateway för VPNet. På OpenVPN blir det automatiskt rätt gateway, men i Wireguard sätter du samma gateway som det IP du fått av leverantören (som Mullvad).

Sedan skapar du en regel för "source interfacet" som filtrerar på source, destination, protocol, ports osv.
Klicka på "Display advanced". Där väljer du "Gateway" för den regeln. Dvs, om trafiken ska till vissa FQDNs så kan du alltså tvinga dem över den gateway (och därmed interface/VPN) som du vill att den ska gå via.

Under system->advanced->miscllaneous finns en lurig inställning som heter "skip rules when gateway is down". Har man den ikryssad så hoppar man över regeln om gateway är nere. I vissa fall bra då man vill ha redundans, men i andra fall bedrövligt då man kan gå rakt ut utan anonymisering.

Själv lägger jag istället in "NO_WAN_EGRESS" som Tag. Det är egentligen ett fritextfält. Sedan skapar jag en floating rule som säger att om utgående interface är WAN och "NO_WAN_EGRESS" är satt så kastas paketet genom att fältet "Tagged" kollas mot NO_WAN_EGRESS. Jag vill att trafiken BARA ska gå den väg jag vill, inte att det ska finnas en fallback som innebär att det skickas via default gateway om wireguard är nere.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Talisker00:

Jo, PBR fungerar för IP adresser, protokoll och då förmodligen domäner också.

I korthet.
Man konfigurerar en gateway för VPNet. På OpenVPN blir det automatiskt rätt gateway, men i Wireguard sätter du samma gateway som det IP du fått av leverantören (som Mullvad).

Sedan skapar du en regel för "source interfacet" som filtrerar på source, destination, protocol, ports osv.
Klicka på "Display advanced". Där väljer du "Gateway" för den regeln. Dvs, om trafiken ska till vissa FQDNs så kan du alltså tvinga dem över den gateway (och därmed interface/VPN) som du vill att den ska gå via.

Under system->advanced->miscllaneous finns en lurig inställning som heter "skip rules when gateway is down". Har man den ikryssad så hoppar man över regeln om gateway är nere. I vissa fall bra då man vill ha redundans, men i andra fall bedrövligt då man kan gå rakt ut utan anonymisering.

Själv lägger jag istället in "NO_WAN_EGRESS" som Tag. Det är egentligen ett fritextfält. Sedan skapar jag en floating rule som säger att om utgående interface är WAN och "NO_WAN_EGRESS" är satt så kastas paketet genom att fältet "Tagged" kollas mot NO_WAN_EGRESS. Jag vill att trafiken BARA ska gå den väg jag vill, inte att det ska finnas en fallback som innebär att det skickas via default gateway om wireguard är nere.

Gå till inlägget

Tack för genomgången, som vid en snabb genomläsning verkar påminna om någon annan beskrivning som jag läst tidigare. Får testa det så fort jag hinner och dela med mig av mina erfarenheter

Du har inte sett nån möjlighet för att få till stöd för wildcards/subnets?

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av improwise:

Tack för genomgången, som vid en snabb genomläsning verkar påminna om någon annan beskrivning som jag läst tidigare. Får testa det så fort jag hinner och dela med mig av mina erfarenheter

Du har inte sett nån möjlighet för att få till stöd för wildcards/subnets?

Gå till inlägget

Gällande DNS/FQDN är det via alias, men man kan inte sortera på *.netflix.com som man skulle vilja.
Subnets rent IP-mässigt går däremot bra.

Ska man köra med FQDN, så tänk på att dator/klient och brandvägg måste ha samma DNS-servrar. Annars kan många siter som exempelvis Microsofts bli fel, för de svarar med flera IPen lite beroende på vars man frågar ifrån.

Senast redigerat
Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Talisker00:

Gällande DNS/FQDN är det via alias, men man kan inte sortera på *.netflix.com som man skulle vilja.
Subnets rent IP-mässigt går däremot bra.

Ska man köra med FQDN, så tänk på att dator/klient och brandvägg måste ha samma DNS-servrar. Annars kan många siter som exempelvis Microsofts bli fel, för de svarar med flera IPen lite beroende på vars man frågar ifrån.

Gå till inlägget

Problemet med IPs är väl att om man då tex vill "whitelista" Netflix så måste man i princip whitelista hela AWS eftersom dom använder det och då har man i praktiken whitelistat halva Internet. Kan man däremt göra det med FQDN så minskar ju den risken betydligt och man kan fortsätta köra mesta delen av sin trafik via VPN. Det är iaf min teoretiska slutsats även om jag inte hunnnit testa den i praktiken än

Redigera
Citera flera Citera
Permalänk
Medlem ★
●

Tycker OVPN känns lite shaky överlag med WG, ska nog testa dra in en pfSense installation nu när dom väl fått lite ordning på 2.5.0 releasen förhoppningsvis som ju var katastrofal initialt. Är väl samma kodbas men har fått för mig att pfSense har lite annan implementation av just WG.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av improwise:

Tycker OVPN känns lite shaky överlag med WG, ska nog testa dra in en pfSense installation nu när dom väl fått lite ordning på 2.5.0 releasen förhoppningsvis som ju var katastrofal initialt. Är väl samma kodbas men har fått för mig att pfSense har lite annan implementation av just WG.

Gå till inlägget

Vilket fiasko, trodde pfSense hade fixat stödet för WG i 2.5.1 men visar sig att dom istället TAGIT BORT DET. Ironiskt nog så testade jag därför köra OpenVPN för första gången på länge och inser att med en i7:a får man rätt hyfsad fart ändå trots att det är entrådat, bottnar nästan ur mitt 1GB/1GB bredband även med OpenVPN vilket jag inte hade väntat mig.

Senast redigerat
Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av improwise:

Vilket fiasko, trodde pfSense hade fixat stödet för WG i 2.5.1 men visar sig att dom istället TAGIT BORT DET. Ironiskt nog så testade jag därför köra OpenVPN för första gången på länge och inser att med en i7:a får man rätt hyfsad fart ändå trots att det är entrådat, bottnar nästan ur mitt 1GB/1GB bredband även med OpenVPN vilket jag inte hade väntat mig.

Gå till inlägget

Det finns ett repo med i mina ögon väldigt bra stöd. lägger in en guide inorgon.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Talisker00:

Det finns ett repo med i mina ögon väldigt bra stöd. lägger in en guide inorgon.

Gå till inlägget

Jo, såg det men jag är generellt lite tveksam till att ladda in paket som inte finns i "basplattformen" eller har rejält med backning. Det jag såg hade typ 100 stjärnor på Github. Något har ju uppenbarligen gjort att pfsense kände behovet att kicka ut WG paketet...

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av improwise:

Jo, såg det men jag är generellt lite tveksam till att ladda in paket som inte finns i "basplattformen" eller har rejält med backning. Det jag såg hade typ 100 stjärnor på Github. Något har ju uppenbarligen gjort att pfsense kände behovet att kicka ut WG paketet...

Gå till inlägget

Det man lade in var helt värdelöst. Det fanns tydligen buggar som inte alls borde ha funnits där. Jag tror att pressen blev för stor, så man tog i det där även om det inte var riktigt kvalitetstestat.

Den här däremot: https://github.com/theonemcdonald/pfSense-pkg-WireGuard/relea...
Det verkar vara en stabilare och bättre implementation. Menyalternativen, statusrapporteringen och annat känns mycket mer genomtänkta än den - felaktigt - officiellt släppta.

Nåja, det fungerar väl med OpenVPN också.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Talisker00:

Det man lade in var helt värdelöst. Det fanns tydligen buggar som inte alls borde ha funnits där. Jag tror att pressen blev för stor, så man tog i det där även om det inte var riktigt kvalitetstestat.

Den här däremot: https://github.com/theonemcdonald/pfSense-pkg-WireGuard/relea...
Det verkar vara en stabilare och bättre implementation. Menyalternativen, statusrapporteringen och annat känns mycket mer genomtänkta än den - felaktigt - officiellt släppta.

Nåja, det fungerar väl med OpenVPN också.

Gå till inlägget

Verkade väl som att personen hos Netgate/Pfsense som gjorde implementationen av Wireguard i FreeBSD var en rejält knepig figur, samt att de förlitade sig mer på FreeBSDs kodgranskningsprocess som kvalitetssäkring än vad den processen kunde hantera.
De fick vad jag förstår viss feedback på problem som behövde åtgärdas och efter att de hade åtgärdat dessa tog FreeBSD in koden. Därefter släppte Netgate en Pfsense-version som innehöll denna Wireguard-implementation.

Först senare började Wireguard-folket nysta i djupare problem i den kod som redan tagits in i FreeBSD och det drogs då i nödbromsen vad gäller släppet av FreeBSD 13, där man ryckte ut Wireguard helt.
Där någonstans blev det dessutom rejält dålig stämning och allmän pajkastning när Wireguard-folket inte hade inkluderat Netgate i kommunikationen kring problemen och Netgate då blev tagna på sängen när Wireguard+FreeBSD publikt kommunicerade att det fanns allvarliga problem i Wireguard-implementationen i FreeBSD och att den därför uteblir ur den kommande FreeBSD-versionen. Detta var ju samma kod som redan fanns ute i Pfsense 2.5.0 (vilken senare drogs tillbaka i 2.5.1).

Vad detta tredjepartspaket innehåller verkar vara en vidareutvecklad version av användargränssnittet som Netgate ursprungligen byggde för 2.5.0 + en modul till FreeBSD-kärnan med Wireguard-stöd (vilket på pappret då låter som en direkt motsvarighet till vad Netgate själva inkluderade i Pfsense från början).
Den avsevärda skillnaden är väl att kernelmodulen är baserad den nya versionen som Wireguard-folket jobbar på för FreeBSD (som kanske då inkluderas officiellt i en framtida FreeBSD-version).

Beskrivningen (från https://www.freshports.org/net/wireguard-kmod/ ) är ju dock rätt tydlig med att detta fortfarande inte ska ses som en färdig version:

"Kernel module for FreeBSD to support Wireguard.

At this time this code is new, unvetted, possibly buggy, and should be
considered "experimental". It might contain security issues. We gladly
welcome your testing and bug reports, but do keep in mind that this code
is new, so some caution should be exercised at the moment for using it
in mission critical environments.

WWW: https://git.zx2c4.com/wireguard-freebsd/ "

Visa signatur

Desktop: Ryzen 5800X3D || MSI X570S Edge Max Wifi || Sapphire Pulse RX 7900 XTX || Gskill Trident Z 3600 64GB || Kingston KC3000 2TB || Samsung 970 EVO Plus 2TB || Samsung 960 Pro 1TB || Fractal Torrent || Asus PG42UQ 4K OLED
Proxmox server: Ryzen 5900X || Asrock Rack X570D4I-2T || Kingston 64GB ECC || WD Red SN700 1TB || Blandning av WD Red / Seagate Ironwolf för lagring || Fractal Node 304

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Talisker00:

Det man lade in var helt värdelöst. Det fanns tydligen buggar som inte alls borde ha funnits där. Jag tror att pressen blev för stor, så man tog i det där även om det inte var riktigt kvalitetstestat.

Den här däremot: https://github.com/theonemcdonald/pfSense-pkg-WireGuard/relea...
Det verkar vara en stabilare och bättre implementation. Menyalternativen, statusrapporteringen och annat känns mycket mer genomtänkta än den - felaktigt - officiellt släppta.

Nåja, det fungerar väl med OpenVPN också.

Gå till inlägget

Jo, som jag tror jag skrivit ovan så testade jag med nya WG stödet och det var katastrof, men jag trodde dom hade fixat det nu några månader senare men insåg först när jag väl installerat det att nä

Vad är de uppenbara fördelarna med att köra pfSense över OPNSense 2021 iom att man ändå får WG på köpet i den senare? Kodbasen i stort är väl densamma till stora delar om än annan distro i botten har jag för mig.

OpenVPN var inte riktigt tanken men när jag väl insåg att WG stödet lyste med sin frånvaro testade jag köra in en sån tunnel istället för första gången på iaf ett år och blev förvånad av att jag fick så pass bra prestanda även om väl en router med en I7a är lite mer kraft än den typiska konsumentroutern och jag har rätt få trafikströmmar.

Senast redigerat
Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av evil penguin:

Verkade väl som att personen hos Netgate/Pfsense som gjorde implementationen av Wireguard i FreeBSD var en rejält knepig figur, samt att de förlitade sig mer på FreeBSDs kodgranskningsprocess som kvalitetssäkring än vad den processen kunde hantera.
De fick vad jag förstår viss feedback på problem som behövde åtgärdas och efter att de hade åtgärdat dessa tog FreeBSD in koden. Därefter släppte Netgate en Pfsense-version som innehöll denna Wireguard-implementation.

Först senare började Wireguard-folket nysta i djupare problem i den kod som redan tagits in i FreeBSD och det drogs då i nödbromsen vad gäller släppet av FreeBSD 13, där man ryckte ut Wireguard helt.
Där någonstans blev det dessutom rejält dålig stämning och allmän pajkastning när Wireguard-folket inte hade inkluderat Netgate i kommunikationen kring problemen och Netgate då blev tagna på sängen när Wireguard+FreeBSD publikt kommunicerade att det fanns allvarliga problem i Wireguard-implementationen i FreeBSD och att den därför uteblir ur den kommande FreeBSD-versionen. Detta var ju samma kod som redan fanns ute i Pfsense 2.5.0 (vilken senare drogs tillbaka i 2.5.1).

Vad detta tredjepartspaket innehåller verkar vara en vidareutvecklad version av användargränssnittet som Netgate ursprungligen byggde för 2.5.0 + en modul till FreeBSD-kärnan med Wireguard-stöd (vilket på pappret då låter som en direkt motsvarighet till vad Netgate själva inkluderade i Pfsense från början).
Den avsevärda skillnaden är väl att kernelmodulen är baserad den nya versionen som Wireguard-folket jobbar på för FreeBSD (som kanske då inkluderas officiellt i en framtida FreeBSD-version).

Beskrivningen (från https://www.freshports.org/net/wireguard-kmod/ ) är ju dock rätt tydlig med att detta fortfarande inte ska ses som en färdig version:

"Kernel module for FreeBSD to support Wireguard.

At this time this code is new, unvetted, possibly buggy, and should be
considered "experimental". It might contain security issues. We gladly
welcome your testing and bug reports, but do keep in mind that this code
is new, so some caution should be exercised at the moment for using it
in mission critical environments.

WWW: https://git.zx2c4.com/wireguard-freebsd/ "

Gå till inlägget

Kul att nån mer deltar i diskussionen, ett tag kändes det mest som PM mellan mig och @Talisker00

Jo, över lag verkar det ju vara mkt drama med Netgate, fighten med OPNSense verkar inte heller varit något föredöme. Sen kan man väl iof ha viss förståelse för att det är knepigt att kombinera open source med ett företag, förr eller senare ska ju nån ändå få lön osv. Dessa strider bidrar även till att jag känner mig lite obekväm med att chansa på olika paket hit och dit då jag inte riktigt har tid nog att hänga med i svängarna och att jag normalt jobbar mer med utvecklign och liknande snarare än "nätverk".

Vad finns det för bra open source till pfSense/OPNSense? IPFire verkade tveksam om dom hade WG stöd, Monowall (har jag för mig det heter) är väl dött numera. Faktum är att OpenWRT inte alls är så pjåkigt, även om det känns lite ålderstiget i gränssnittet och så. Grymt stabilt när jag körde det, först ut med WG stöd och dessutom policybaserad routing enligt diskussionen ovan med stöd för wildcards osv.

Senast redigerat
Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av improwise:

Kul att nån mer deltar i diskussionen, ett tag kändes det mest som PM mellan mig och @Talisker00

Jo, över lag verkar det ju vara mkt drama med Netgate, fighten med OPNSense verkar inte heller varit något föredöme. Sen kan man väl iof ha viss förståelse för att det är knepigt att kombinera open source med ett företag, förr eller senare ska ju nån ändå få lön osv. Dessa strider bidrar även till att jag känner mig lite obekväm med att chansa på olika paket hit och dit då jag inte riktigt har tid nog att hänga med i svängarna och att jag normalt jobbar mer med utvecklign och liknande snarare än "nätverk".

Vad finns det för bra open source till pfSense/OPNSense? IPFire verkade tveksam om dom hade WG stöd, Monowall (har jag för mig det heter) är väl dött numera. Faktum är att OpenWRT inte alls är så pjåkigt, även om det känns lite ålderstiget i gränssnittet och så. Grymt stabilt när jag körde det, först ut med WG stöd och dessutom policybaserad routing enligt diskussionen ovan med stöd för wildcards osv.

Gå till inlägget

Alternativ menar du?
Ja, det är lite knepigt. Personligen kör jag Pfsense trots allt; gillar principiellt Opnsense bättre men utifrån mina preferenser upplever jag gränssnittet som tydligt sämre, tyvärr. Och ingen av dessa *sense har något vettigt CLI, vilken är vad som allra främst får mig att fortsätta att snegla åt andra håll.

VyOS känns intressant att titta närmare på, har dock inte själv hoppat på det tåget på riktigt så jag kan inte säga så mycket mer än att jag tycker det ser intressant ut.
Det är en fortsättning på Vyatta-projektet, så om man t.ex. är bekant med CLI-delen av mjukvaran i Ubiquitis Edgerouter-serie så har ju detta samma grund.

Visa signatur

Desktop: Ryzen 5800X3D || MSI X570S Edge Max Wifi || Sapphire Pulse RX 7900 XTX || Gskill Trident Z 3600 64GB || Kingston KC3000 2TB || Samsung 970 EVO Plus 2TB || Samsung 960 Pro 1TB || Fractal Torrent || Asus PG42UQ 4K OLED
Proxmox server: Ryzen 5900X || Asrock Rack X570D4I-2T || Kingston 64GB ECC || WD Red SN700 1TB || Blandning av WD Red / Seagate Ironwolf för lagring || Fractal Node 304

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av evil penguin:

Alternativ menar du?
Ja, det är lite knepigt. Personligen kör jag Pfsense trots allt; gillar principiellt Opnsense bättre men utifrån mina preferenser upplever jag gränssnittet som tydligt sämre, tyvärr. Och ingen av dessa *sense har något vettigt CLI, vilken är vad som allra främst får mig att fortsätta att snegla åt andra håll.

VyOS känns intressant att titta närmare på, har dock inte själv hoppat på det tåget på riktigt så jag kan inte säga så mycket mer än att jag tycker det ser intressant ut.
Det är en fortsättning på Vyatta-projektet, så om man t.ex. är bekant med CLI-delen av mjukvaran i Ubiquitis Edgerouter-serie så har ju detta samma grund.

Gå till inlägget

Ja, precis, alternativ föll bort. Håller med om OPNSense, jag finner mig ständigt fladdra runt i gränssnittet för att hitta saker och ting. Av någon anledning blir jag aldrig bekväm med brandväggsreglerna och NAT routing i *sense, tycker mig ständigt behöva göra trial and error för att få till det.

VyOS ser lite intressant ut, sen gäller det bar att det inte är för tungt i defaultinstallation, med för mycket features som är aktiva från start som sen gärna förbli det och ökar attackytan.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●

Jag kör gratisversionen av pfSense och sedan OpenWRT för WG/OpenVPN. Då jag har Clavister för wildcard-routing själv så har jag inte lagt väldigt mycket tid på det, men däremot har jag haft tanken att kunna hjälpa polare med en lösnig där en eller ett par burkar går ut krypterat medan speldator och PS4 går direkt ut på internet. Därför känns det aktuellt för mig att leka lite.
(Alltså source routing är viktigt för mig, men däremot inte baserat på destination/FQDNs för det löser jag på annat sätt).

Jag är rätt nyfiken av mig och om någon har ett annat/bättre förslag på routermjukvara så kan jag dra igång någonting i vmWare och testa. Jag kan även testa throughput, latency och packetloss på ett hyggligt sätt.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Talisker00:

Jag kör gratisversionen av pfSense och sedan OpenWRT för WG/OpenVPN. Då jag har Clavister för wildcard-routing själv så har jag inte lagt väldigt mycket tid på det, men däremot har jag haft tanken att kunna hjälpa polare med en lösnig där en eller ett par burkar går ut krypterat medan speldator och PS4 går direkt ut på internet. Därför känns det aktuellt för mig att leka lite.
(Alltså source routing är viktigt för mig, men däremot inte baserat på destination/FQDNs för det löser jag på annat sätt).

Jag är rätt nyfiken av mig och om någon har ett annat/bättre förslag på routermjukvara så kan jag dra igång någonting i vmWare och testa. Jag kan även testa throughput, latency och packetloss på ett hyggligt sätt.

Gå till inlägget

OpenWRT är väl fortfarande bäst på Wifi har jag för mig. Jag har dock gjort det lite enkelt för mig och satt *Sense mot WAN/VPN och sen bara gjort om "trådlösa routern" till AP. Har dock inte riktigt så komplicerade behov eller riktigt haft tid att vara allt för kreativ. För jobb VPN får man ändå anpassa sig till vad kunden har vilket brukar innebära mjukvaru VPN...

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av improwise:

OpenWRT är väl fortfarande bäst på Wifi har jag för mig. Jag har dock gjort det lite enkelt för mig och satt *Sense mot WAN/VPN och sen bara gjort om "trådlösa routern" till AP. Har dock inte riktigt så komplicerade behov eller riktigt haft tid att vara allt för kreativ. För jobb VPN får man ändå anpassa sig till vad kunden har vilket brukar innebära mjukvaru VPN...

Gå till inlägget

Sätter inte upp lika mycket VPN för kunde längre, men det är IKEv2 som gäller numera. Både för klient VPN och för LAN2LAN.
WG och OpenVPN känns mer för anonymisering än för företagslösningar. Dessutom har många kommersiella brandväggar IPSec-acceleringskort, så jag kan via min Clavister köra 1Gbps IPSec-krypterat.
Dock får jag inte röra min dator eller jobbets egna brandvägg sjukt nog:)

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Talisker00:

Sätter inte upp lika mycket VPN för kunde längre, men det är IKEv2 som gäller numera. Både för klient VPN och för LAN2LAN.
WG och OpenVPN känns mer för anonymisering än för företagslösningar. Dessutom har många kommersiella brandväggar IPSec-acceleringskort, så jag kan via min Clavister köra 1Gbps IPSec-krypterat.
Dock får jag inte röra min dator eller jobbets egna brandvägg sjukt nog:)

Gå till inlägget

Jo, tänkte mer på att iaf jag inte har något behov av att konfigurera jobbrelaterade VPNs och liknande i mitt eget hemnätverk nu när man mest jobbar på distans utan det är vilken klient dom nu kör som gäller. Så har inte för egen del det behovet i min "routerprogramvara".

Men VyOS känns intressant att testa beroende på vilket VPN stöd det har. Wireguard är väl fortfarande få som använder professionellt skulle jag tro, precis som du är inne på.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av improwise:

Jo, tänkte mer på att iaf jag inte har något behov av att konfigurera jobbrelaterade VPNs och liknande i mitt eget hemnätverk nu när man mest jobbar på distans utan det är vilken klient dom nu kör som gäller. Så har inte för egen del det behovet i min "routerprogramvara".

Men VyOS känns intressant att testa beroende på vilket VPN stöd det har. Wireguard är väl fortfarande få som använder professionellt skulle jag tro, precis som du är inne på.

Gå till inlägget

Det känns som en ren routerprogramvara och jag hittar inget stöd för wifi eller för att stoppa in det i konsumentbredbandsroutrar. Sedan hittade jag ingen dokumentation av WireGuard heller.

Har därmed ingen direkt nytta av den, men jag kan övertygas om att testa "bara för att".

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Talisker00:

Det känns som en ren routerprogramvara och jag hittar inget stöd för wifi eller för att stoppa in det i konsumentbredbandsroutrar. Sedan hittade jag ingen dokumentation av WireGuard heller.

Har därmed ingen direkt nytta av den, men jag kan övertygas om att testa "bara för att".

Gå till inlägget

Såg att WG finns med här men hittade det inte heller i dokumentationen:

https://vyos.io/use-cases/vpn-gateway/

WiFi bryter jag gärna ut ur routern och bara köra en AP för det men kanske inte optimalt för alla konfigurationer.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av improwise:

Såg att WG finns med här men hittade det inte heller i dokumentationen:

https://vyos.io/use-cases/vpn-gateway/

WiFi bryter jag gärna ut ur routern och bara köra en AP för det men kanske inte optimalt för alla konfigurationer.

Gå till inlägget

Mmm, har tre "routrar" och ingen av dessa har wifi-stöd. Dock tänker jag på polare med mindre lägenheter och mindre budget. Då är det smidigt med allt-i-ett, även om jag själv inte skulle välja en sådan lösning.

Drog in Wireguard 0.1.2 nu och det gick bra.
I och med att min Clavister sitter "innanför" pfSense när det gäller trafiken, så är jag mindre orolig för att det ska finnas buggar som öppnar för trafik innåt.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●

Det börjar närma sig nu:
https://github.com/theonemcdonald/pfSense-pkg-WireGuard/relea...
v0.1.2_3 (Candidate release for Netgate PR)

WireGuard Project Report

Redigera
Citera flera Citera
Permalänk
Medlem
●

Fundera på en https://www.aliexpress.com/item/1005002592374240.html?spm=a2g...

10th gen i5.

lång leveranstid dock.

Något annat förslag på strömsnål i5 för openwrt/pfsense/opensense.
wirteguard/openvpn. ska gärna klara runt 1gb.
?

Behöver egentligen bara en vpnrouter som fungerar som edgerouter.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●

Någon som vet om det finns någon mjukvara likt Vilfo som är användarvänligt med att enbart installera och sen finns ett bra GUI med split-tunneling?

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av SamAJ:

Fundera på en https://www.aliexpress.com/item/1005002592374240.html?spm=a2g...

10th gen i5.

lång leveranstid dock.

Något annat förslag på strömsnål i5 för openwrt/pfsense/opensense.
wirteguard/openvpn. ska gärna klara runt 1gb.
?

Behöver egentligen bara en vpnrouter som fungerar som edgerouter.

Gå till inlägget

Gissar att du redan hittade dom på de två månader som var sen ditt inlägg men iaf

https://teklager.se/en/

Redigera
Citera flera Citera
1 2 3 4 5 6 7 8
Skriv svar
Senaste nyheterna
Hårdvara
Mjukvara
Övrigt
Nytt i forumet
Datorkomponenter
System
Ljud, bild och kommunikation
Spel och mjukvara