ESXi虚拟机体验SOPHOS和OPNSense防火墙~

coolbo

leonqin 发表于 2024-2-15 10:25
多谢。大唐的工控机应该算是可以的吧。
第1个那种我在小黄鱼看到了，感觉外观可以的，符合我的审美，但就 ...

C3558是一个非常不错的cpu，大厂都会用这款CPU，比如pfsense官方硬件6100，路由器NAS专用cpu，如果是C3558R就好了，后来出的才有QAT支持，如果追求新可以上C5315。

另外带宽问题，千兆足够用了下行没必要追求太高，也没必要为了多出那一点上垃圾2.5，如果是300M对等网络我就非常知足了

leonqin

coolbo 发表于 2024-2-15 10:31
C3558是一个非常不错的cpu，大厂都会用这款CPU，比如pfsense官方硬件6100，路由器NAS专用cpu，如果是C355 ...

确实也是，我目前500M宽带用得很足够了，估计也不太会很快升级千兆，我这边广西电信资费太高，千兆贵了很多，没啥升级动力和需求。

nn1122

coolbo 发表于 2024-2-15 10:31
C3558是一个非常不错的cpu，大厂都会用这款CPU，比如pfsense官方硬件6100，路由器NAS专用cpu，如果是C355 ...

非也，以后千兆宽带是越来越普及，2000M宽带也逐渐开放，2.5G刚好能满足需求，而很多地区的联通和移动的上行能开到200M以上了，当然最近在严打上传流量超标

coolbo

nn1122 发表于 2024-2-15 11:19
非也，以后千兆宽带是越来越普及，2000M宽带也逐渐开放，2.5G刚好能满足需求，而很多地区的联通和移动的 ...

2000M下行有啥用，我500M宽带挂PT下行长期空闲，上行30M长期满载

无聊的五月

要玩防火墙，直接买H3C 华为的，这小众的有啥好玩的

coolbo

无聊的五月 发表于 2024-2-15 12:09
要玩防火墙，直接买H3C 华为的，这小众的有啥好玩的

太小众没啥可玩的，要玩就玩paloalto或者 fortigate

leonqin

无聊的五月 发表于 2024-2-15 12:09
要玩防火墙，直接买H3C 华为的，这小众的有啥好玩的

H3C和华为的都是五大三粗的款，没啥中意的。我现在用的FortiGate就很小巧，和我的TP8口2.5G交换机叠在一起很般配。

leonqin

nn1122 发表于 2024-2-15 11:19
非也，以后千兆宽带是越来越普及，2000M宽带也逐渐开放，2.5G刚好能满足需求，而很多地区的联通和移动的 ...

主要还是看资费，现在经济形势不好，宽带费每个月能少点是一点啦。广西电信宽带死贵烂贵，我反正是暂时不打算升千兆了。

summerq

防火墙的cpu选择在国外基本上都是低频多核，因为功耗性能比是很重要的因素。c3558跑千兆路由还可以，防火墙就不够。j4125就够了，我以前发过贴。
网上还有一种说法，是说由于现代网站都是https了，因此在路由器里添加防火墙的作用越来越低，趋势是在客户端上添加防火墙。

nn1122

coolbo 发表于 2024-2-15 11:53
2000M下行有啥用，我500M宽带挂PT下行长期空闲，上行30M长期满载

用处就是下磁力链或者云盘大文件时间会更短，比如我下一个新版本win11的ISO来部署系统，一分钟不到就搞定下载，我已经非常习惯这种体验了，只能说你玩得东西不够多

nn1122

summerq 发表于 2024-2-15 12:30
防火墙的cpu选择在国外基本上都是低频多核，因为功耗性能比是很重要的因素。c3558跑千兆路由还可以，防火墙 ...

后半部分说法完全不是一个搞技术的人说的，防火墙的主要功能是控制数据包的进出，不限于80/443端口，不限于TCP和UDP协议等等

pdvc

coolbo 发表于 2024-2-15 11:53
2000M下行有啥用，我500M宽带挂PT下行长期空闲，上行30M长期满载

新种抢线都靠下行啊，下行太小抢不过别人的。还有千兆的上行可以到125M。

pdvc

nn1122 发表于 2024-2-15 13:15
后半部分说法完全不是一个搞技术的人说的，防火墙的主要功能是控制数据包的进出，不限于80/443端口，不限 ...

看起来都是当NAT路由用的，正常是路由器>防火墙>交换机。

家用的PPPOE开销太大，用CPU并不太合适

leonqin

summerq 发表于 2024-2-15 12:30
防火墙的cpu选择在国外基本上都是低频多核，因为功耗性能比是很重要的因素。c3558跑千兆路由还可以，防火墙 ...

受教了~刚注意到层主你是网络设备大佬啊。我刚刚在看国伟的R86S，N5100，3*2.5G网口那款。感觉用来做主路由应该够战几年了。

nn1122

pdvc 发表于 2024-2-15 13:19
看起来都是当NAT路由用的，正常是路由器>防火墙>交换机。

家用的PPPOE开销太大，用CPU并不太合适  ...

现在新一代防火墙都是路由和防火墙二合一了，同时作为一个NAT网关进行地址转换，当然以后纯IPv6组网的话NAT网关可能会消失掉，pppoe也会被IPOE（DHCP）等没有开销的协议所替代

pdvc

nn1122 发表于 2024-2-15 13:30
现在新一代防火墙都是路由和防火墙二合一了，同时作为一个NAT网关进行地址转换，当然以后纯IPv6组网的话N ...

不太建议用防火墙的路由功能，都是用CPU跑的，效能低，延迟抖动大，尤其是家用还有PPPOE那种开销大的协议。

家用如果有防火墙需求，还不如直接放在终端上跑，家用终端现在CPU能力很过剩了。我感觉家用环境，一般用用路由器和NAS上自带的防火墙功能足够了，毕竟也没有一堆服务器。

至于未来，可能连防火墙都不用了，都ipv6了😂

summerq

nn1122 发表于 2024-2-15 13:30
现在新一代防火墙都是路由和防火墙二合一了，同时作为一个NAT网关进行地址转换，当然以后纯IPv6组网的话N ...

防火墙核心是对加密数据包进行解密，再过滤内容。这样本质上就是一种中间人攻击。防火墙的瓶颈是加密解密的速度。这也是为什么商业防火墙都有asic来做加速。家用软防火墙受制于加解密速度，吞吐量不能做到很高，譬如10g就遥不可及，因此我才说未来软防火墙的作用越来越低。至于nat，pppoe等，就像你说的一样，终究是要被ipv6淘汰掉的。

coolbo

nn1122 发表于 2024-2-15 13:10
用处就是下磁力链或者云盘大文件时间会更短，比如我下一个新版本win11的ISO来部署系统，一分钟不到就搞定 ...

一个破windows有啥可玩的，才5GB大小而已，500M宽带也是1分钟就下完了，我下的pt都是TB级别的大包

coolbo

pdvc 发表于 2024-2-15 13:17
新种抢线都靠下行啊，下行太小抢不过别人的。还有千兆的上行可以到125M。 ...

30M小水管长期满载，5天刷2TB还行，不需要抢

coolbo

summerq 发表于 2024-2-15 12:30
防火墙的cpu选择在国外基本上都是低频多核，因为功耗性能比是很重要的因素。c3558跑千兆路由还可以，防火墙 ...

防火墙做客户端主要是因为客户端不能一直在防火墙下面工作还会放入不安全的网络环境下使用，所以配合客户端才能实现全面防护，所有流量都从本地隧道经过增加一层过滤

pdvc

coolbo 发表于 2024-2-15 14:09
30M小水管长期满载，5天刷2TB还行，不需要抢

好吧，你这上行带宽太小了

pdvc

summerq 发表于 2024-2-15 13:47
防火墙核心是对加密数据包进行解密，再过滤内容。这样本质上就是一种中间人攻击。防火墙的瓶颈是加密解密 ...

家用防火墙基本都是伪需求，家庭环境没那么多服务器和应用需要分级防护的。都是当路由器来跑NAT和PPPOE用，这样就还不如上个硬路由负责NAT/PPPOE，有offload，延迟抖动和TCP重传率都会降低不少。至于防火墙，还不如跑在终端设备上，搭配HIPS还能准确识别应用，效率更高

nn1122

coolbo 发表于 2024-2-15 14:08
一个破windows有啥可玩的，才5GB大小而已，500M宽带也是1分钟就下完了，我下的pt都是TB级别的大包 ...

还破windows，那我说下载一个linux或者Mac OS，还破吗？很多时候，高速带宽能节省不少时间，看来你的格局只能是PT这个应用了，最近严打还好吗

nn1122

pdvc 发表于 2024-2-15 13:46
不太建议用防火墙的路由功能，都是用CPU跑的，效能低，延迟抖动大，尤其是家用还有PPPOE那种开销大的协议 ...

你这个认知是很危险的，IPv6=人人有公网，在网络安全方面，防火墙始终是一道坚固的大门

coolbo

nn1122 发表于 2024-2-15 17:49
还破windows，那我说下载一个linux或者Mac OS，还破吗？很多时候，高速带宽能节省不少时间，看来你的格局 ...

TB级别的下载，家用场景除了PT外真想不到其他有啥可下载的了，如果说下十几二十几G的游戏，500M确实区别不大，这还得是你能慢速下载，很多资源限制根本达不到满速，高带宽家用就是PT能提供

nn1122

summerq 发表于 2024-2-15 13:47
防火墙核心是对加密数据包进行解密，再过滤内容。这样本质上就是一种中间人攻击。防火墙的瓶颈是加密解密 ...

说法很片面，是对所有数据包的分析控制，即使解密加密数据包，也需要防火墙上加载相应的根证书才行，SSL证书也不仅应用于web应用层，还有其他应用如部署SSL威皮恩等等应用。性能方面，涉及到加解密的话，只能是商业防火墙，像pfsense/opnsense也有自己的商业硬件防火墙产品

summerq

nn1122 发表于 2024-2-15 18:05
说法很片面，是对所有数据包的分析控制，即使解密加密数据包，也需要防火墙上加载相应的根证书才行，SSL ...

其实加解密这块 我还尝试过。ipsec加密用了qat 8970，ipsrc能跑满10g，但是这么多年下来，最终我还是选择买了硬路由，不用防火墙就完事了。

helleon

SOPHOS 我在E3-1230上跑着都吃力，给的4G内存

nn1122

coolbo 发表于 2024-2-15 17:57
TB级别的下载，家用场景除了PT外真想不到其他有啥可下载的了，如果说下十几二十几G的游戏，500M确实区别 ...

下载游戏，像steam平台/xbox/PS，千兆宽带基本能跑满，这个就很有意义。付费的网盘或者迅雷，多任务直接干满千兆宽带，总之玩得层面广，高带宽就很有意义

leonqin

helleon 发表于 2024-2-15 18:13
SOPHOS 我在E3-1230上跑着都吃力，给的4G内存

E3-1230也是很老的平台了。。我16年那时开始用联想的M93P，就是E3-1275L V2的，到了20年左右就感觉不太行了，就送给朋友了。