Neuer Ethernet-Router

[rhHeini]

Ich hab in meinem Heimnetz einen Ethernet-Router zwischen der Fritte und meinem Heimnetz. Da werkelt im Moment eine APU2 mit einem fli4l. Das fli4l-Projekt verwende ich seit vielen Jahren, ganz früher mal unter Verwendung eines Sockel7-PCs mit einer ISDN-Karte und der SW auf einer Floppy. Leider ist es jetzt aber tot, eine Weiterentwicklung scheint es nicht mehr zu geben.

Ich denke ich muss mich mal langsam um eine Ersatz-HW und ein neues OS kümmern. Was wäre da ein sinnvoller Ansatz für eine HW? Die weil ständig an nicht viel Leistung fressen sollte. Ich brauch da kein WLAN, zwei LAN-Schnittstellen reichen.

Was das OS angeht bin ich schon ein paar mal über OpenWRT gestolpert. Gibt es sonst noch Alternativen?

Freue mich auf Hinweise. Danke

[uname]

Wofür brauchst du einen Router? Einfach wäre evtl. eine zweite FRITZ!Box. Bei ein LAN und WLAN würde ich wie immer TL-WR802N mit WISP empfehlen.

[MSfree]

Ich denke ich muss mich mal langsam um eine Ersatz-HW und ein neues OS kümmern.

Warum neue Hardware? Das ist doch ein Quad-Core mit 64Bit? OK, VPN über GBit-Leitungen wird mit der APU nicht sehr spaßig aber sonst?

Was wäre da ein sinnvoller Ansatz für eine HW?

Bei mir werkelt seit ein paar Jahren ein Celeron N3450, im Prinzip ist das ein 64Bit Quad-Core Atom. Der ist dermassen übermotorisiert für meine Zwecke, daß der sich praktisch ständig langweilt. Den habe ich mit 3.7W ab Steckdose gemessen. Wenn ich den ersetzen müßte, würde ich etwas in der Richtung N50, N95, N100, oder etwas aus der Cleron N5000-Serie, das sind die Nachfolger meines Celerons. Der Dual-Core N50 würde sogar reichen, wenn der "nur" Router spielen soll.

Ich brauch da kein WLAN, zwei LAN-Schnittstellen reichen.

Ich habe eine Zotac-Kiste, bei der WLAN integriert ist. Das brauche ich zwar auch fast nie. Ich war aber ganz froh, als mal mein Internetzugang versagt hatte, das WLAN mit meinem Smartphone koppeln zu können und so wieder Konnektivität nach aussen hatte. Das ist zwar wirklich reiner Luxus, aber im Falle eines Falles dennoch nützlich.

Was das OS angeht bin ich schon ein paar mal über OpenWRT gestolpert. Gibt es sonst noch Alternativen?

Hier läuft Debian auf dem Router. Ich habe keine graphische Umgebung installiert, so daß das System im Grunde auch mit 1GB RAM swapfrei laufen würde, habe aber einen 4GB-Riegel drin. Wie gesagt, total überdimensioniert.

[schwedenmann]

Hallo


Als OS hätte ich noch das hier anzubieten

https://bsdrp.net/


mfg
schwedenmann

[An50800Ba]

Also APU2 ist doch gut, hat genug Leistung für einen Router. Es sei denn Du machst VPN und willst eine Gigabit-Leitung ausreizen.

OS ziemlich klare Empfehlung für OPNSense (oder pfSense, je nach Geschmack). Ist BSD, aber hat ein hervorragendes Web-Interface. Keine Konsole für 99,9% benötigt.

Wenn man die iptables früher von Linux gewöhnt war, muss man etwas umlernen. Aber sehr leistungsfähig, Wireguard ist vorhanden, und sogar ein SSL HA-Proxy ist damit einfach zu machen

[An50800Ba]

Warum neue Hardware? Das ist doch ein Quad-Core mit 64Bit? OK, VPN über GBit-Leitungen wird mit der APU nicht sehr spaßig aber sonst?

Wobei man dazu schreiben muss dass die APU2 für ihre Leistung relativ viel Strom verbraucht. Dein Celeron bzw. die APU2 Nachfolger sind da sparsamer, aber ob sich um 8W zu sparen eine neue Hardware lohnt ...

Ich habe eine Zotac-Kiste, bei der WLAN integriert ist. Das brauche ich zwar auch fast nie. Ich war aber ganz froh, als mal mein Internetzugang versagt hatte, das WLAN mit meinem Smartphone koppeln zu können und so wieder Konnektivität nach aussen hatte. Das ist zwar wirklich reiner Luxus, aber im Falle eines Falles dennoch nützlich.

Gebe ich Dir recht, WLAN ist heute meiner Meinung nach unverzichtbar. Nicht nur für das Smartphone, auch diverse andere Dinge von Haushaltsgeräten über SmartHome Sachen haben das gerne.

Allerdings finde ich persönlich aus dem Blickwinkel meines früheren Jobs (IT-Security) ein PCI-WLAN auf dem Router mit Debian sehr, sehr suboptimal. Wenn einen Sicherheit gar nicht interessiert, sicher eine einfache Lösung, aber...

a) das WLAN strahlt sicher aus deinem Haus hinaus
b) ein PCI-WLAN-Adapter hat eine hardcodierte Low-Level-Firmware auf dem Chip, einen black-box blob den der Kernel in den Higher-Level Prozessor im Wifi-Chip lädt, und schließlich multiple Ebenen an Kernel-Code um die Funktionalität herzustellen... es gibt da fast nix was noch eine größere Angriffsfläche hat als Wifi und bequem von außen erreichbar ist. Gibt doch auch oft genug Probleme wo der Wifi-Treiber hängt/abstürzt/KernelTrace produziert als Beispiel
c) seit Snowden wissen wir, dass deshalb logischerweise Wifi der Standard-Weg ist, um Windows oder Linux Rechner seitens der NSA und Konsorten zu kompromittieren. Möchtest Du das dann direkt auf dem Router/Firewall passieren lassen?

Viel besser ist es, da einen 30€ LAN-WIFI Adapter (z.B. von Mikrotik) zu verwenden. Der entkoppelt diese Riesenangriffsfläche vom Router.

Im Falle eines APU2 als Router mit (OPN|pf)sense kann man super-bequem Ethernet-Port1 als WAN, Port2 als LAN und Port3 als DMZ konfigurieren. An Port3 hängt man dann den Wifi Adapter, und verbietet jeglichen Zugriff auf alles und schaltet nur die speziellen Geräte (z.B. Smartphone) frei, von denen mal will, dass sie ins Internet (aber nicht in das lokale Netz z.B.) dürfen. Schwupps, schon hat man eine Riesenangriffsfläche weniger. Wenn der Mikrotik gehackt würde, könnte der Angreifer im allerschlimmsten Fall aufs Internet zugreifen, nicht auf das lokale Netz, andere Rechner darin oder noch viel kritischer auf die ganzen IoT Geräte die gefährdet sind. Man kann sogar in der pfSense den Zugriff auf das vor dem Router hängenden DSL- oder Fiber-Modem sperren vom Wifi aus.

Nur als kleiner Hinweis wenn man sich schon die Mühe macht einen (sicheren, das ist ja wohl die Intention) Router zu betreiben.

[MSfree]

a) das WLAN strahlt sicher aus deinem Haus hinaus
...
c) seit Snowden wissen wir, dass deshalb logischerweise Wifi der Standard-Weg ist, um Windows oder Linux Rechner seitens der NSA und Konsorten zu kompromittieren. Möchtest Du das dann direkt auf dem Router/Firewall passieren lassen?

Dein Angriffsszenario ist unpraktikabel. Die Reichweite eines WLANs ist schlicht nicht ausreichend, um darüber Angriffe zu fahren. Bereits auf dem Gehweg vor meinem Haus habe ich kaum noch Empfang und ständige Verbindungsabbrüche. Der potentielle Angreifer müßte also schon sehr nah ran an das Objekt der Begierde. Da ist ein Angriff über das Internet bequem vom Pentagon aus sehr viel unauffälliger als der NSA-Surveillance-VAN vorm Haus.

Viel besser ist es, da einen 30€ LAN-WIFI Adapter (z.B. von Mikrotik) zu verwenden. Der entkoppelt diese Riesenangriffsfläche vom Router.

Nein, das nützt gar nichts.

Ein per Firewall verrammelter WLAN-Zugang ist sinnlos. Man will ja schließlich auch mit dem Laptop über WLAN auf das NAS im Haus zugreifen, also muß man doch wieder alles mögliche aufmachen, so daß man auch gleich die PCI-WLAN-Karte nehmen kann, die man übrigens auch über Firewall dicht machen könnte.

Nunja, das WLAN in meinem Router ist schlilcht immer aus. Außer halt dann, wenn der kabelgebundene Internetzugang ausfällt und ich dann den Router mit dem Smartphone tethere, was vielleicht einmal im Jahrzehnt passiert.

[An50800Ba]

Dein Angriffsszenario ist unpraktikabel.

Leider kein Szenario sondern harte, nachgewiesene Realität

https://www.eff.org/files/2014/01/06/20 ... atalog.pdf
Seite 14

8 Kilometer mit Peilantenne

Ich glaube ich schrieb dass das mal mein Beruf war.

Viel besser ist es, da einen 30€ LAN-WIFI Adapter (z.B. von Mikrotik) zu verwenden. Der entkoppelt diese Riesenangriffsfläche vom Router.

Nein, das nützt gar nichts.

Ein per Firewall verrammelter WLAN-Zugang ist sinnlos. Man will ja schließlich auch mit dem Laptop über WLAN auf das NAS im Haus zugreifen, also muß man doch wieder alles mögliche aufmachen, so daß man auch gleich die PCI-WLAN-Karte nehmen kann, die man übrigens auch über Firewall dicht machen könnte.

Auch hier:

Ein per Firewall verrammelter WLAN-Zugang ist die gängige Best Practice und wird so landein landaus bei den meisten Unternehmen und anderen Netzen, wo auf Sicherheit geachtet wird, praktiziert. Wenn man die Sicherheit noch mehr verbessern will, nutzt man Wireguard, was es sowohl für Linux Desktop als auch für Android mit super-einfacher Bedienung gibt, und lässt nur über Wireguard die authentifizierten Geräte ins lokale Netz. Dann hat man sogar 100% Sicherheit gegen das Exploitieren vom Wifi-Access-Gerät.

Und selbst wenn man das nicht macht: es ist ein Riesen Unterschied, ob ein Angreifer den zentralen Router, durch den aller Verkehr geht, und der Gigabyte-Weise Speicher und Rechenpower hat, exploitiert, oder einen ESP32 basierenden Mini-AP, der im KB Bereich beschreibaren Speicher hat, und durch den nur die Wlan Geräte gehen, und der außerdem (im Fall vom cAP von Mikrotik) millionenfach an kritischen Stellen verwendet wird und ständig automatische Sicherheitsupdates bekommt, und dann nochmal vor einer Firewall hängt.

[reox]

Ich hab auch eine APU2 und die tut sehr gut. Wie gesagt, Gigabit Routing schafft die nicht, aber 600MBit sollten drin sein.
Ein ODROID wäre vllt ganz interessant, zumal sie auch SATA / M.2 haben.

Wieso nicht eigentlich ein Vanilla Debian als OS?


Hab gerade mal die Shopliste von PCEngines durchgeschaut - da gibts ja einige gar nicht mehr. Auch Tronico (wo ich den damals bestellt hatte) hat zugesperrt. Auf einem Französischen Shop wird als Replacement der "Broachlink Noah" angepriesen: https://www.rack-matrix.com/fr/produits ... hlink.html
Schaut auf den ersten Blick tatsächlich nach einem sinnvollen Ersatz aus: https://www.broachlink.com/product/c18.html Hat die jemand im Einsatz?

[rhHeini]

Danke für die Antworten.

Also nochmal: WLAN brauch ich im Heimnetz nicht. Das auf der Fritte ist normalerweise aus, hab kein smartes Phone das das dauernd braucht. Bei Bedarf liefert das dann die Fritte, z.B. wenn Besuch im Hause ist. Über die Fritte gibt es auch einen Gastzugang. Den hab ich im Homeoffice für meine Firmenlaptop genutzt, jetzt als Rentner liegt der meistens brach, es sei denn eines meiner Kinder auf Besuch braucht einen Internetzugang. Smarthomezeugs gibt es bei mir auch nicht, bin da ganz Oldschool.

Demnächst könnte hier statt Kupfer auch ein Glasfaseranschluss einziehen. Wenn die neue HW etwas schneller ist und mit deutlich mehr als den gegenwärtigen ~ 7000 MBit/s zurecht kommt solls mir recht sein.
Und: ich bin vorsichtig. Ich habe vor neue HW zu kaufen und die APU erst mal nicht anzufassen bis ich das neue Gerät eingerichtet habe. Beim fli4l hab ich langjährige Routine und Aufzeichnungen, ich weiss mir da zu helfen wenns mal klemmt. Bei neuer SW muss ich mich erst mal einarbeiten.

Hab mir die Broachlink-Seite mal angesehen. Bin da etwas skeptisch ob ich das will.

[reox]

7000 Mbit?

Also mit dem brauchst du dringend neue Hardware...

[heisenberg]

Vielleicht einen hiervon:

https://mikrotik.com/products/group/ethernet-routers

Mikrotik / RouterOS ist allerdings kein Open Source. Es gibt Modelle mit 1 x SFP (bis zu 2.5 GBit, L009UiGS-RM, 119 US-$) oder mit 1 x SFP+ (bis zu 25 GBit, RB4011iGS+RM 219 US-$) Die Handhabung finde ich angenehm - ist aber von den Leistungsmerkmalen eher ein Profigerät, d. h. sehr umfangreiche Konfigurationsmöglichkeiten. Konfiguration per SSH, Web oder mit deren Tool. Ein paar größere Modelle haben wir bei uns im RZ stehen.

Man kann sich auch für eine kostenfreie, zeitlich unbefristete, aber manchen Einschränkungen unterworfene Trial-Lizenz registrieren. Dann kann man das RouterOS auf einen PC installieren und ausprobieren.

[QT]

Gibt es sonst noch Alternativen?

Als Hardware ein Sophos aus Kleinanzeigen (bis 100€) und dann OPNsense installieren.

[heisenberg]

Nachtrag

Das Mikrotik RouterOS ist im Vergleich zu Linux zwar ein eigenes, anderes Betriebssystem. Die Ausrichtung ist aber komplett auf die Router-Funktionalität. Dementsprechend ist es von der Komplexität insgesamt deutlich geringer als ein Linux mit seinen tausenden möglicher, installierbarer Pakete. Es ist grob gesagt ein hierarchischer Konfigurationsspeicher.

Was ich an dem System nachteillig finde ist, dass man kein tcpdump und nmap hat. Paket Sniffer gibt es, aber eben nicht tcpdump. Für mich scheint das eine geeignete, preisgünstige Empfehlung für Dich, wenn Du wirklich 10G oder gar mehr haben willst.

Hier auch nochmal ein Selbstbastel 10G-Router-System für OPNSense /pfSense:

https://www.youtube.com/watch?v=XUN4gCs ... nel=AGTech

[rhHeini]

7000 Mbit? 8O

Also mit dem brauchst du dringend neue Hardware... :mrgreen:

Typo, Fehler meinerseits. Ich hab so einen Telekom 50-Tarif, die Fritte sagt 61,7 Mbit/s, der Download läuft mit ~ 7MB/s.

Damit komm ich gut aus.

[heisenberg]

Na wenn 10G wegfällt ist es einfacher.

Vor kurzem kam da der OpenWRT One raus: Open Source Hardware:
https://www.heise.de/news/Dieser-100-Eu ... 17118.html

Das ist vermutlich sehr streßfrei, hat viel Speicher zum Software installieren und ist zu 100% kompatibel mit der neuesten OpenWRT-Version.

Ansonsten habe ich gerade mal bzgl. der Mikrotiks geschaut. Da kann man auch OpenWRT installieren. Wie wäre es mit so einem:
https://mikrotik.com/product/RB941-2nD

Den gibt's für 30 €. Der hat auch gleich 5 GBit Ports. Dafür aber deutlich weniger Speicher zum installieren von Software im Vergleiche zum OpenWRT One. OpenWRT muss man da halt selbst drauffrickeln. Anleitung gibt's auf der OpenWRT-Webseite:
https://openwrt.org/toh/mikrotik/rb750_r2

[rhHeini]

Ansonsten habe ich gerade mal bzgl. der Mikrotiks geschaut. Da kann man auch OpenWRT installieren. Wie wäre es mit so einem:
https://mikrotik.com/product/RB941-2nD

Den gibt's für 30 €. Der hat auch gleich 5 GBit Ports.

Ich find da im Datenblatt nur 100er-Ports. Wenn dann soll der GBit unterstützen.

Ich hab mal bei Reichelt gegraben. Der kleinst mit 2 GB-Ports wäre dieser:
https://www.reichelt.de/de/de/shop/prod ... 30n-373236
Ist natürlich ein Bröckchen wenn ich da Speicher und SSD extra löhnen muss.

Und um das nochmals herauszustellen: ich brauch und will kein WLAN am Ethernetrouter. Da kommt höchstens noch ein Pihole drauf.

[heisenberg]

Ansonsten habe ich gerade mal bzgl. der Mikrotiks geschaut. Da kann man auch OpenWRT installieren. Wie wäre es mit so einem:
https://mikrotik.com/product/RB941-2nD

Den gibt's für 30 €. Der hat auch gleich 5 GBit Ports.

Ich find da im Datenblatt nur 100er-Ports. Wenn dann soll der GBit unterstützen.

Mein Fehler. Es gibt mit dem Formfaktor welche mit 100 Mbit und andere mit 1 GBit. Die mit 1 GBit sind teuerer. Manche von denen haben auch noch einen SD-Karten-Slot. Hier immer die OpenWRT-Hardware-Kompatibilitätsliste prüfen! [1]

Hier ist mal eine Produktliste mit ausschließlich Geräten mit 1 GBit Ports:

Mikrotik Router mit 1 GBit Interfaces

... und wie geschrieben: Die Mikrotiks haben wenig Festspeicher. Das ist für mich schon ein Schwachpunkt, wenn man da sehr beschränkt ist bzgl. der Kapazität für Softwareinstallationen. Aber ich habe in meinem Büro noch einen Netgear WNDR3700v3. Der hat nochmal die Hälfte von dem Speicher (8 MB). Ich bin da mitunter an die Grenze gestossen. Aber der ist immer noch im Einsatz.

[1] https://openwrt.org/toh/start

[heisenberg]

Und wenn Du kein WLAN möchtest, wieso dann nicht einfach ausschalten? Alleine deswegen die Auswahl auf 1 % aller OpenWRT-Router-Modelle einschränken?

[uname]

@rhHeini
Ich habe den Thread noch einmal gelesen. Kannst du mal schreiben, warum du überhaupt einen Router hinter deiner FRITZ!Box brauchst? Zur Verteilung könntest du dir vielleicht auch einfach einen Switch kaufen.

[rhHeini]

Nach der APU kommt bereits ein Switch mit dem ich das Netzwerk im Haus verteile.

Warum ich das so mache? Ich hab mein Netzwerk seit ISDN-Zeiten mit dem fli4l so aufgebaut gehabt, und will einen Router in eigener Hand hinter den kommerziellen laufen haben.

[QT]

Warum ich das so mache? Ich hab mein Netzwerk seit ISDN-Zeiten mit dem fli4l so aufgebaut gehabt, und will einen Router in eigener Hand hinter den kommerziellen laufen haben.

Und warum den "kommerziellen" überhaupt davor betreiben? Lass den doch einfach weg

[heisenberg]

Und warum den "kommerziellen" überhaupt davor betreiben? Lass den doch einfach weg

Und wie kommen die Nicht-Ethernetsignale dann ins LAN? (xDSL? Kabel-Internet?)

[QT]

Und wie kommen die Nicht-Ethernetsignale dann ins LAN? (xDSL? Kabel-Internet?)

Durch Nutzung eines Modems. Das nutzen die "kommerziellen" ja auch. Ist halt eingebaut und nicht sichtbar, aber man kann auch ohne deren Routerteil leben und das mMn sogar viel besser. Aber das wird Geschmacksache sein. Jedenfalls muss man keine Routerkaskade bauen, wenn man das nicht möchte.

[uname]

Warum ich das so mache? Ich hab mein Netzwerk seit ISDN-Zeiten mit dem fli4l so aufgebaut gehabt, und will einen Router in eigener Hand hinter den kommerziellen laufen haben.

Wirklich sinnvoll erscheint mir das nur, wenn man viele vertrauliche interne LAN-Kommunikationen wie z. B. NAS hat. Internetkommunikationen laufen sowieso über den Standard-Router. Und mit einem Switch im LAN kann man meiner Meinung nach das interne Risiko minimieren. Der Standard-Router sollte die Datenpakete zwischen den LAN-Geräten gar nicht sehen.