wie am besten NICs einbinden..?

[der-lolo]

Guten Morgen Community,
mein neues Projekt ist ein alter gaming PC -
für diesen habe ich mir 2 PCIe Netzwerkkarten mit je zwei NICs angeschafft.

Die Node soll an vorderster front meiner Netzwerkinfrastruktur stehen, direkt hinter der fritz.box.
OPNSense soll sich um die Sicherheit kümmern.

Ich habe es nun hinbekommen die "Realtek" karten via PCI pass zur OPNSense hinzuzufügen und die notwendigen Treiber in freeBSD installiert.
Mir stellt sich die frage ob beide Karten oder nur eine bereits an dieser stelle hinzugefügt werden sollen.

Plan wäre zwei NICs für die Verbindung zur Fritz.box zu nutzen ( hierbei überlege ich ob es sinn macht eine an das normale "Lan" der Fritzbox zu hängen und die zweite auf den Gästeanschluss der fritz.box zu verdrahten. ) das konstrukt würde die WAN verbindung darstellen, macht es sinn aus der OPNSense hinaus zwei WANs zu unterscheiden? Ein freies mit Exposed Host oder Portfreigaben und eines über das Fritz Gästenetzwerk für IoT und wirkliche Gäste.

Die OPNSense sollte dann über die andere Karte das "saubere" Netz an den rest der Infrastruktur weiterleiten. Hier kann ich einen Bond ( lagg ) an meinen Unifi switch erstellen und von dort aus weiterverteilen.

Die frage ist ob es Sinn macht die zweite Karte via PCIe an die OPNSense zu geben, oder ob diese beiden NICs vielleicht besser dem Host zugeordnet werden sollen.
Auf dem Host werden noch VMs folgen die zum Teil via WWW dienste und services bereitstellen (DMZ) und zum Teil nur intern verfügbare VMs zur Heimautomatisierung.

Ich denke die VMs des Host wären besser angebunden wenn die NICs auch dem Host zur verfügung stehen, da nicht alles über den switch geschickt werden muss und mancher traffic direkt auf dem Host abgehandelt werden könnte.

Wie würdet Ihr die Netzwerkstruktur aufbauen..?

 

[der-lolo]

Schade, über 70 views aber niemand schreibt und hat eine meinung..?

 

[UdoB]

Wie würdet Ihr die Netzwerkstruktur aufbauen..?

Schade, über 70 views aber niemand schreibt und hat eine meinung..?

Naja, deine Frage ist zu allgemein. Konkrete Fragen bringen eher Antworten.

OpnSense ist sicher eine gute Wahl für einen Neustart. Ich habe mir das mal aufgesetzt weil ich insbesonder CARP haben wollte, das funktioniert gut. Allerdings bin ich noch nicht umgestiegen, weil mir die Migration zu mühselig erscheint. (3000 Zeilen iptables aus 600 Zeilen Shorewall.)


Zu Netzwerkstruktur haben sicher viele eine Meinung, die aber nicht immer einfach zu verallgemeinern ist. Und es gibt sicher hunderte bis tausende Hinweise/Tutorials/Anleitungen "im Netz".

Aber gut, ich beschreibe mal ungefähr, was ich @home habe:

• das LAN der Fritz!Box ist direkt meine DMZ mit Servern (würde ich nicht wieder so machen)
• das WLAN der Fritz!Box verwende ich nicht
• mein lokaler Router hat natürlich ein Bein in der DMZ
• weitere Netze (IOT, Media, Storage, WLAN, Gastnetz, SRV für neuere Server die nicht direkt in der DMZ sein sollen, ADM für Administration , das primäre LAN plus ein oder zwei weitere zum experimentieren) sind dann als separate VLANs realisiert und restriktiv per Paketfilter verbunden

Natürlich müssen die beteiligten physischen Switches VLANs beherrschen.

Das ist keine Empfehlung sondern nur ein unvollständiges Fallbeispiel...!

 

[Dunuin]

Naja, deine Frage ist zu allgemein. Konkrete Fragen bringen eher Antworten.

OpnSense ist sicher eine gute Wahl für einen Neustart. Ich habe mir das mal aufgesetzt weil ich insbesonder CARP haben wollte, das funktioniert gut. Allerdings bin ich noch nicht umgestiegen, weil mir die Migration zu mühselig erscheint. (3000 Zeilen iptables aus 600 Zeilen Shorewall.)


Zu Netzwerkstruktur haben sicher viele eine Meinung, die aber nicht immer einfach zu verallgemeinern ist. Und es gibt sicher hunderte bis tausende Hinweise/Tutorials/Anleitungen "im Netz".

Aber gut, ich beschreibe mal ungefähr, was ich @home habe:

• das LAN der Fritz!Box ist direkt meine DMZ mit Servern (würde ich nicht wieder so machen)
• das WLAN der Fritz!Box verwende ich nicht
• mein lokaler Router hat natürlich ein Bein in der DMZ
• weitere Netze (IOT, Media, Storage, WLAN, Gastnetz, SRV für neuere Server die nicht direkt in der DMZ sein sollen, ADM für Administration , das primäre LAN plus ein oder zwei weitere zum experimentieren) sind dann als separate VLANs realisiert und restriktiv per Paketfilter verbunden

Natürlich müssen die beteiligten physischen Switches VLANs beherrschen.

Das ist keine Empfehlung sondern nur ein unvollständiges Fallbeispiel...!

Bei mir ähnlich, nur dass da die DMZs auch über die OPNsense laufen.

Also die Fritzbox geht online und fungiert als erste Firewall. WLAN ist bei der deaktiviert (wäre ja auch doof weil auf der "WAN"-Seite von der OPNsense).
DECT für Festnetz läuft weiter über die Fritzbox.
Die Fritzbox port-forwardet dann an die virtulle IP meiner OPNsenses. Die beiden OPNsenses laufen als VMs auf verschiedenen PVE Hosts und nutzen failover über pfsync/CARP. Die OPNsenses sind also redundant und die Fritzbox leitet alles an die jenige OPNsense weiter, welche gerade Master ist.
Das Heimnetz ist dann in diverse VLANs geteilt (Management, LAN, IoT, Gast, DMZ, ...) zwischen denen die OPNsenses dann routen. Als WifiAP nutze ich dann einen mit OpenWRT geflashten Router der in den verschiedensten VLANs hängt und eine SSID je VLAN bereitstellt. So komme ich dann über einen AP in 6 verschiedene isolierte Subnetze. OpenWRT nutzt keinen eigenen DHCP-Server sondern leitet die Wifi-Clients an die OPNsense weiter, dass die von dieser ihre IPs gekommen und diese als Gateway/DNS nutzen.
DHCP, DNS, Wireguard läuft dann über die OPNsenses. Die OPNsense leitet DNS an eine virtuielle IP von zwei redundanten Piholes weiter die sich über gravity-sync und keepalived synchron halten und für failover sorgen und dann DynDNS und rekursives DNS über Unbound lösen.

Recht komplex aber bin ich voll zufrieden mit. Sehr praktisch, dass man auch mal einen PVE Server mit OPNsense und Pihole drauf für ein Kernel Update neustarten kann, ohne dass da ein Download, Offsite Backup oder die Multiplayer-Session abreißt.
Und wenn mir mal ein PVE Server abraucht, dann bin ich wenigstens nicht gleich 1 oder 2 Wochen offline.
Schöner wäre natürlich komplette Redundanz, aber alle NICs und managed Switches doppelt und zwei Internetzugänge wäre viel zu kostspielig fürs Homelab.
Aber wenn die Fritzbox mal ausfällt bekomme ich am selben Tag noch im Servicecenter vom ISP eine neue ausgehändigt. Wenn der Switch ausfällt wäre es schon unschöner, da ich dann erst einen neuen bestellen müsste, aber die sind ja sehr robust und meiner hat auch keinen Lüfter der verscheißen könnte. Und wenn der neue Switch ankommt müsste ich nur mein Backup der Konfigdatei einspielen, gelabelte Kabel umstecken und es wäre sofort wieder nutzbar.
So ein PVE Server ist da ja viel anfälliger für Probleme dessen Lösung auch viel schwieriger wäre.
Bezüglich Internet muss man dann beten, dass da kein Bauarbeiter mal das Glasfaserkabel kappt...

 

[UdoB]

Bei mir ähnlich

Schöner wäre natürlich komplette Redundanz

Ja.
Aber @Homelab muss auch irgendwann mal Schluß sein, mit Aufwand treiben. Von der Gesamtdauer meiner realen Ausfälle "des Internets" geht der weitaus größte Anteil zu Lasten meines bundesweit agierenden Providers. Dagegen komme ich nicht an; einen redundaten Uplink per Mobilfunk will ich mir nicht leisten. Und von meinen nicht-redundanten Switches ist noch nie einer ausgefallen...