Ergebnis 1 bis 16 von 16

Thema: Router

  1. #1
    Kapitänleutnant
    Registriert seit
    17.03.2007
    Beiträge
    1.599


    Standard Router

    Hi,

    ich suche für meinen Serverschrank einen Router.

    Ich tendiere zwischen den Mikrotik RB3011 und einem selbstbau mit Opensense.

    Vorteil Mikrotik: Geringerer Stromverbrauch
    Nachteil: schwieriger zu konfigurieren (ich kenne bisland nur Home-Router)

    Selbstbau Vorteil: Einfacher zu konfigurieren
    Nachteil: höherer Stromverbrauch, ggf teurer


    was meint ihr?
    Spoiler: Anzeigen

  2. Wenn Du diese Anzeige nicht sehen willst, registriere Dich und/oder logge Dich ein.

  3. #2
    l0n
    l0n ist offline
    Bootsmann Avatar von l0n
    Registriert seit
    13.03.2005
    Ort
    Amstetten, nähe Ulm
    Beiträge
    635


    • Systeminfo
      • Motherboard:
      • MSI Bazooka
      • CPU:
      • RyZen 7 1700
      • Systemname:
      • RyZen
      • Kühlung:
      • LuKü
      • Gehäuse:
      • Cooltek Antiphon
      • RAM:
      • 16GB G.Skill Ripjaws
      • Grafik:
      • Radeon RX480-8G
      • Storage:
      • Samsung 850 Evo 500GB + Storage Server
      • Monitor:
      • LG 24EB23
      • Netzwerk:
      • Onboard NIC
      • Sound:
      • AC 97 HD Audio @ HK AVR10
      • Netzteil:
      • Corsair CX550M
      • Betriebssystem:
      • Windows 10 x64 Home
      • Sonstiges:
      • XBOX 360
      • Notebook:
      • Asus UX360UAK
      • Photoequipment:
      • Cam vom Handy
      • Handy:
      • One+ 5T

    Standard

    Wenn du die Anzahl an LAN Ports des RB3011 nicht zwingend brauchst kannst du ja auch mal die APUs von PCEngines in Erwähnung ziehen, x86 Plattform und trotzdem vernünftiger Stromverbauch und mit mini-PCIe auch erweiterungsfähig
    N52B30 on Z6HP26 @ E61


    Zitat Zitat von Nemesys
    ich bin von höhlenmenschen umgeben. kann man die erde resetten oder den server wechseln?

  4. #3
    Kapitänleutnant
    Registriert seit
    17.03.2007
    Beiträge
    1.599
    Themenstarter


    Standard

    Die habe ich mir auch schonmal angeguckt, aber ausgeschlossen:
    - sind teurer als der Mikrotik
    - Nicht Rackmountfähig
    - ich brauche mindestens 4 Ports
    Spoiler: Anzeigen

  5. #4
    Kapitänleutnant Avatar von hominidae
    Registriert seit
    23.10.2011
    Beiträge
    1.876


    Standard

    ...rackmount Router also nur damit es ordentlich aussieht? Ein Mikrotik hex GR3 tut es dann auch mit 5 Ports...einfach ein Einschub/Fachboden in das Rack und gut ist....

  6. #5
    Oberstabsgefreiter Avatar von martingo
    Registriert seit
    17.01.2017
    Beiträge
    455


    Standard

    +1 für einen MikroTik
    "Schwieriger zu konfigurieren" ist natürlich relativ. Ich wüsste aber nicht, was da schwierig sein sollte oder was bei OPNsense deutlich einfacher wäre.
    Eine Grundkonfiguration mit ETH1 als WAN, DHCP Server auf dem Rest usw. kann man sich über QuickSet erzeugen lassen und der Rest sollte nach kurzer Einarbeitung eigentlich kein gravierendes Problem sein.
    Außerdem gibt es ja paar Leute im Forum, die MikroTik schon seit Jahren einsetzen, da gibt es sicher Hilfe, wenn Du Probleme hast.

  7. #6
    Kapitänleutnant
    Registriert seit
    17.03.2007
    Beiträge
    1.599
    Themenstarter


    Standard

    Einschub/Fachboden nimmt zu viel Platz weg, wäre aber zur Not noch möglich.

    Ist der GR3 denn OpenVPN-fähig? DMZ möglich? Ich habe eine No-Ip DDNS. Kann ich die damit nutzen?
    Inwiefern ist für mich VLAN-Routingkapazität notwendig? Das ist doch AFAIK für den Datenaustausch zwischen VLANs erforderlich, oder? Da die VLANs nicht miteinander kommunizieren sollen bzw WENN sie es sollen, sind das keine großen Datenmengen.

    Wie muss ich denn da konfigurieren und Kabel legen, damit ich sagen wir mal zwei Ports auf dem SWITCH in eine VLAN/DMZ packe, die zwar ins Internet geht aber absolut keine Verbindung mit anderen Geräten im LAN hat (ausser DNS-Server, da könnte ich aber zur not auch einen eigenen virtualisieren auf dem selben Port).
    Geändert von MisterY (16.04.18 um 13:12 Uhr)
    Spoiler: Anzeigen

  8. #7
    Oberstabsgefreiter Avatar von martingo
    Registriert seit
    17.01.2017
    Beiträge
    455


    Standard

    Ist alles ohne weiteres mit jedem der beiden Geräte möglich. RouterOS ist auf jedem Gerät gleich. Der RB3011 ist halt deutlich potenter.
    Auch wenn ich dir die Konfiguration nun vorbeten könnte, würde ich Dir ans Herz legen, mal einen Blick in die Tutorial Reihe der Pascom Brüder zu werfen. Bin da vor einigen Wochen mal bei einem fortgeschritteneren Thema drüber gestolpert und finde die zwei zwar etwas schräg, aber sie erklären gut
    Und Du kannst so einen Blick auf die Art der Konfiguration werfen und schauen, ob Dir RouterOS und Winbox liegen.
    Außerdem ist die Lernkurve deutlich größer wenn man sich die Konfig selbst erarbeitet:
    MikroTik Tutorials - YouTube

  9. #8
    Kapitänleutnant
    Registriert seit
    17.03.2007
    Beiträge
    1.599
    Themenstarter


    Standard

    Danke dir, werde mir die Jungs mal anschauen.

    Ist nur die Frage, ob sich so ein RB3011 für mich lohnt? Wie gesagt ist der meiste Traffic innerhalb des LANs und da geht das meiste eh über die beiden SFP+-Ports des CSS326. Sieht natürlich geiler aus, aber wie gesagt, weiß ich nicht ob sich der Aufpreis von 100€ lohnt oder ob ich die lieber in einen weiteren Server investiere (will Windows-VMs separieren und nicht auf meinem Daily-Server laufen lassen).
    Spoiler: Anzeigen

  10. #9
    Oberstabsgefreiter Avatar von martingo
    Registriert seit
    17.01.2017
    Beiträge
    455


    Standard

    Um ehrlich zu sein: ich kann Dir auch keine Gründe für den Kauf des RB3011 liefern
    Ich habe schon oft den RB2011UiAS-RM eingesetzt und der ist nochmal schwächer als der hEX. Der hEX ist einfach zu billig, anders kann ich es echt nicht sagen. Und wenn er Dir irgendwann mal zu klein wird, findet er auch gut Alternativverwendung.

  11. #10
    Kapitänleutnant
    Registriert seit
    17.03.2007
    Beiträge
    1.599
    Themenstarter


    Standard

    Ich werde dann mal den kleinen besorgen. Danke euch beiden
    Hast du "The Dude" im Einsatz?
    Spoiler: Anzeigen

  12. #11
    Oberstabsgefreiter Avatar von martingo
    Registriert seit
    17.01.2017
    Beiträge
    455


    Standard

    Ne, wollte es mal für die Firma testen, habe ich aber noch nicht.

  13. #12
    Kapitänleutnant
    Registriert seit
    17.03.2007
    Beiträge
    1.599
    Themenstarter


    Standard

    Hast du Erfarhungen mit reverse proxies auf dem Mikrotik? Ich habe wie erwähnt mehrere Webserver, die ich gerne mit unterschiedlichen Domains ansprechen würde (über HTTPS). ich habe zwar das hier gefunden: Multiple Web Servers - MikroTik Wiki aber da steht nichts bezüglich https

    oder soll ich squid versuchen?
    Geändert von MisterY (17.04.18 um 13:14 Uhr)
    Spoiler: Anzeigen

  14. #13
    Oberstabsgefreiter Avatar von martingo
    Registriert seit
    17.01.2017
    Beiträge
    455


    Standard

    Also, einen Reverse Proxy implementiert RouterOS nicht. Auch der Webcaching Proxy ist eher rudimentärer Natur. Wie in Deinem Link bereits steht, funktioniert ein transparenter Web Proxy nur mit http, aber nicht mit https.
    Ein NAT Regel wird ab dem ersten Paket aktiv, das ist das TCP/SYN Paket und enthält auch bei SNI noch keine Angaben über die Domain. SNI mittels Layer7 Regeln kannst Du für die NAT Klassifizierung also auch noch nicht verwenden.

    Grundsätzlich ist ein Reverseproxy deutlich über dem, was ein Router leistet. Er muss die SSL Verbindung terminieren und dann neue Verbindungen zu den im Hintergrund stehenden Servern aufbauen.
    Die Frage ist: Betreibst Du mehrere Webserver daheim, die öffentlich (für jeden) zugänglich sein sollen?
    Ab da beginnt dann Fallunterscheidung. Einen Reverseproxy brauchst Du nur dann:
    - wenn für alle Webserver https auf dem gleichen Port betrieben werden muss
    - wenn weniger öffentliche IPs zur Verfügung stehen, als Webserver auf unterschiedlichen VMs gehostet werden. Nachdem Du von no-ip sprichst, hast Du vermutlich nur eine (wechselnde) Public IP. Solange nun der gleiche Webserver nur mehrere VirtualHosts bedient, kann der Webserver anhand von SNI unterscheiden und den passenden vHost ansprechen.
    - es Dir nicht ausreicht, alle bis auf einen per VPN zu erreichen

    Gehen wir nun davon aus, dass alle drei Kriterien erfüllt sind und Du einen Reverseproxy brauchst. Dann solltest Du eine separate VM für den Reverseproxy aufmachen mit einem System Deiner Wahl. Hier wird die SSL Verbindung dann terminiert und der jeweils passende Webserver angesprochen. Möglichkeiten gibt es dafür viele, unter anderem Apache usw.


    Noch zu obigen Fragen:
    - no-ip ist nicht nativ in MikroTik implementiert. Mikrotik stellt aber selbst kostenfrei einen DynDNS Dienst zur Verfügung. Adresse ist dann halt abcdefgh.sn.mynetname.net. Du kannst auf diese DynDNS Adresse aber einen CNAME Deiner regulären Domain legen (zb. home.mistery.de), dann musst Du Dir den nicht merken. Alternativ gibt es diverse Fertigscripte, um no-ip zu nutzen, z.B. No-IP DNSdynamic update - MikroTik
    - VLAN Routingkapazität: Ein VLAN ist nicht anderes, als ein virtuelles Ethernet Interface. Insofern spricht man von Routingkapazität, das beinhaltet alle Interfaces. Diese Routingkapazität ist begrenzt. Solange aber nicht geroutet werden muss (weil der Traffic im gleichen Subnetz erfolgt) spielt diese keine Rolle. Wenn sich der Haupttraffic nur zwischen den beiden SFP+ Ports abspielt, erreicht dieser Traffic eh nie den Router.
    - DNS: einen DNS Caching Proxy stellt RouterOS bereit
    - DMZ: Eine Funktion "DMZ" gibt es bei MikroTik nicht, sofern das ein Router bietet, ist es nur eine Vorkonfiguration unterschiedlicher Regeln. Abbilden kannst Du eine DMZ problemlos mit RouterOS. Das ist ja nichts anderes als Firewallregeln zwischen den Interfaces oder Subnetzen
    - Verkabelung zwischen Switch und Router: Im großen und ganzen würdest Du ein Kabel zwischen Router und Switch legen (theoretisch könntest Du mittels LinkAggregation auch mehrere legen, aber logisch bleibt es eines). Deine zwei DMZ Server legst Du in ein VLAN (entweder auf dem Virtualisierungshost oder Du taggst auf dem Switch die beiden untagged ankommenden Ports). Weitere Ports können weitere VLANs bedeuten. Die Verbindung zwischen Router und Switch ist Dein VLAN Trunk. Auf dem Router Interface legst Du nun die ankommenden VLANs an und kannst ab dort auf Interface- und/oder Adressbereich-Ebene weiter filtern. Bedenke nur, dass unterschiedliche VLANs gemäß best-practice auch unterschiedliche Subnetze bedeuten. Sobald Du also ohne statische Routen von einem Subnetz aufs andere zugreifst, kommt die Routingkapzität von oben wieder ins Spiel.
    - dass ein 1HE Fachboden mit einem Mini Router (hEX) Dir zu viel Platz wegnimmt, ist unlogisch. Ein RB2011/RB3011 blockiert eine volle HE. Der hEX lässt weiteren Platz für anderen Kram auf dem Fachboden. Darin, dass diese Fachboden mit Einzelgeräte nicht "schön" sind, stimme ich Dir zu.

  15. #14
    Kapitänleutnant
    Registriert seit
    17.03.2007
    Beiträge
    1.599
    Themenstarter


    Standard

    Hi,
    danke dir für die Ausführung, wenn ich den Mikrotik habe, werde ich das versuchen und höchstwahrscheinlich mit weiteren Fragen kommen.

    Ich habe wie gesagt aktuell zwei Webserver:
    - Nextcloud (nur für mich, aktuell wird ein externer Port auf den internen 443 weitergeleitet, bleibt aber aus bequemlichkeit öffentlich, da ich nicht immer ne VPN-Verbindung aufbauen kann/möchte) (Domain A)
    - Wordpress (öffentlich) (Domain B)

    Die anderen Geschichten werden per VPN zugegriffen.


    einen reverseproxy wollte ich nutzen, da hier nur dieser ins Internet gehen muss. Ist aber kein Muss.

    was macht der DNS-Caching-Proxy? Ich habe wie gesagt eigene DNS-Server, die ich nutzen möchte.

    Kannst du mir das mit CNAME näher erläutern?
    Spoiler: Anzeigen

  16. #15
    Oberstabsgefreiter Avatar von martingo
    Registriert seit
    17.01.2017
    Beiträge
    455


    Standard

    Meiner Meinung nach ist ein schlecht konfigurierter Reverse-Proxy ein größeres Sicherheitsrisiko als öffentlich erreichbare Webserver.
    Wenn Du weiterhin zwei Ports nutzen kannst, würde ich das so beibehalten.

    Dass Du einen eigenen DNS Server betreiben willst, hatte ich so nicht verstanden. Sah das als Alternative, falls MikroTik keinen DNS Server bieten kann.
    Naja, RouterOS hat halt einen kleinen DNS Server integriert, der aber kein Resolver ist. Er fragt selbst bei einem anderen DNS an und kann Domains cachen, sowie statische (lokale) Einträge verwalten. Musst Du natürlich nicht nutzen und kannst Du auch abschalten.

    Ein CNAME ist nicht anderes als ein Alias, der im Nameserver für die Domain zu hinterlegen ist. Früher hatte ich z.b. den DDNS Service von AVM genutzt. Aber dhcj35533457915.myfritzbox.com oder so kann sich ja kein Mensch merken.
    Also CNAME home.martin.de auf dhcj35533457915.myfritzbox.com, dann muss ich mir nur noch home.martin.de merken und nutze nur im Hintergrund den DDNS Service mit kryptischer Domain.

  17. #16
    Kapitänleutnant Avatar von hominidae
    Registriert seit
    23.10.2011
    Beiträge
    1.876


    Standard

    Zitat Zitat von MisterY Beitrag anzeigen
    Einschub/Fachboden nimmt zu viel Platz weg, wäre aber zur Not noch möglich.

    Ist der GR3 denn OpenVPN-fähig? DMZ möglich? Ich habe eine No-Ip DDNS. Kann ich die damit nutzen?
    Inwiefern ist für mich VLAN-Routingkapazität notwendig? Das ist doch AFAIK für den Datenaustausch zwischen VLANs erforderlich, oder? Da die VLANs nicht miteinander kommunizieren sollen bzw WENN sie es sollen, sind das keine großen Datenmengen.

    Wie muss ich denn da konfigurieren und Kabel legen, damit ich sagen wir mal zwei Ports auf dem SWITCH in eine VLAN/DMZ packe, die zwar ins Internet geht aber absolut keine Verbindung mit anderen Geräten im LAN hat (ausser DNS-Server, da könnte ich aber zur not auch einen eigenen virtualisieren auf dem selben Port).
    ...sorry, war etwas offline diese Woche...

    ...vielleicht noch als Anmerkung, dass der Mikrotik/RouterOS OpenVPN kann, aber nicht vollständig...kein TLS-Auth und nur TCP.
    Der kann als Standard IPSec oder SSL für VPNs...

Berechtigungen

  • Neue Themen erstellen: Nein
  • Themen beantworten: Nein
  • Anhänge hochladen: Nein
  • Beiträge bearbeiten: Nein
  •