Grundlagen
Welche Hardware braucht OPNsense?
OPNsense läuft auf fast allem, was vier Netzwerkbuchsen hat. Die Frage ist nicht, ob es läuft, sondern ob es unter Last noch die volle Leitung schafft. Diese vier Angaben entscheiden darüber.
Der Prozessor richtet sich nach der Leitung
Solange die Firewall nur Pakete weiterreicht, langweilt sich jeder Prozessor. Anstrengend wird es, sobald sie zusätzlich filtert, protokolliert, VPN-Verbindungen verschlüsselt oder den Verkehr mitliest. Als Faustregel für die Auswahl:
| Prozessor | Typischer Einsatz | Anschluss |
|---|---|---|
| Pentium J3710, Celeron J4125 | Haushalt mit wenigen Geräten, einfache Regeln | bis etwa 500 Mbit |
| Celeron J6412, J6413, N5105 | Gigabit-Anschluss, VPN für ein paar Nutzer | 1 Gbit, ohne Reserve |
| N100, N150 | Gigabit und mehr, VPN, Protokollierung, Reserve | 1 Gbit und mehr |
| Core i3, i5, i7 | mehrere Standorte, Verkehrsanalyse, viele Regeln | mehrere Gbit |
Für die kleinste Klasse gibt es dazu eine Käuferaussage: Ein Nutzer berichtet, dass er mit einem J3710 auf 500 bis 600 Mbit kommt und ein volles Gigabit nicht erreicht. Die Spalte rechts ist eine Einordnung anhand der Herstellerangaben zum Durchsatz, keine eigene Messung. Wie weit ein Gerät wirklich kommt, hängt an der Zahl der Regeln, an eingeschalteter Protokollierung und daran, ob Dienste wie eine Verkehrsanalyse mitlaufen.
AES-NI: heute kein Ausschlusskriterium mehr
AES-NI ist eine Erweiterung im Prozessor, die Verschlüsselung in Hardware erledigt. Für VPN-Verbindungen macht das den Unterschied zwischen ein paar Dutzend und mehreren hundert Megabit. In älteren Anleitungen steht, AES-NI sei Pflicht. Das betraf pfSense: Netgate hatte die Pflicht 2017 für Version 2.5 angekündigt und im März 2019 wieder zurückgenommen. OPNsense hat AES-NI nie vorausgesetzt.
Praktisch ist die Frage erledigt: Alle hier vorgestellten Geräte bringen AES-NI mit, die Hersteller nennen es ausdrücklich in den Datenblättern. Wer ein gebrauchtes Gerät kauft, sollte es aber prüfen, denn bei sehr alten Atom-Prozessoren fehlt es.
Arbeitsspeicher und SSD
OPNsense selbst kommt mit wenig aus. Sobald aber Zusatzdienste dazukommen, wächst der Bedarf schnell:
| Einsatz | RAM | SSD |
|---|---|---|
| Nur Firewall und DHCP | 4 GB | 64 GB |
| Dazu VPN, Werbefilter, Protokolle | 8 GB | 128 GB |
| Dazu Verkehrsanalyse mit Regelsätzen | 16 GB | 256 GB |
Wichtig ist die SSD, nicht ihre Größe: Eine Firewall schreibt ständig Protokolle. USB-Sticks und SD-Karten vertragen das schlecht und fallen früher aus. Eine SSD hält deutlich mehr Schreibvorgänge aus, unbegrenzt ist aber auch sie nicht.
Achte auf das Wort „Barebone“
Viele Angebote enthalten weder Arbeitsspeicher noch SSD. Das steht im Titel, aber ganz hinten. Seit die Speicherpreise gestiegen sind, kostet allein ein 8-GB-Riegel zwischen 130 und 220 Euro. Das fertig bestückte Gerät ist deshalb derzeit meist günstiger, die Rechnung steht unter Barebone oder fertig bestückt.
Wie viele Netzwerkanschlüsse?
Zwei reichen technisch: einer zum Internet, einer ins Heimnetz. Vier sind der Normalfall, weil damit ein getrenntes Gäste- oder Kameranetz möglich ist, ohne dass ein verwalteter Switch nötig wird. Sechs Anschlüsse lohnen sich, wenn mehrere Bereiche wirklich physisch getrennt bleiben sollen.
Wichtiger als die Zahl ist der Netzwerkchip. In den aktuellen Geräten steckt fast immer der Intel i226-V mit 2,5 Gbit, in älteren der i225 oder i211. Die Intel-Chips gelten unter BSD-Systemen als die unkomplizierte Wahl, und OPNsense setzt auf FreeBSD auf. Zu den frühen Ausgaben von i225 und i226 gibt es allerdings viele Berichte über abreißende Verbindungen; aktuelle Ausgaben und aktuelle Treiber gelten als unauffällig.
Wer nur einen Gigabit-Anschluss hat, braucht keine 2,5-Gbit-Buchsen. Sie schaden aber nicht, und der Aufpreis ist bei neuen Geräten gering.
Und wenn es leise sein soll?
Alle Geräte in dieser Klasse sind lüfterlos, das Gehäuse selbst ist der Kühlkörper. Das macht sie für Wohnraum und Flur brauchbar, verlangt aber etwas Luft ringsum. Hersteller weisen darauf hin, dass die Geräte im Dauerbetrieb warm werden, das ist normal.
Wie viel Strom das über das Jahr kostet, steht unter Stromverbrauch. Wer wissen will, ob eine eigene Appliance überhaupt nötig ist, liest Appliance oder Router.