pfSense und PiHole auf Protectli V1410 mit Proxmox virtualisieren?

[dima82]

Guten Morgen zusammen,

ich hoffe, ich bin in diesem Unterforum korrekt. Es geht um eine Netzwerk-Virtualisierungs-Geschichte

Ich habe im Keller nur relative wenig Platz, weswegen meine gesamte gesamte Netzwerkinfra in einem 10" 12 HE Serverschank von HMF läuft (jedes zweite Fach ist frei).
Nun habe ich mir vor ein paar Monaten einen Protectli V1410 geholt und lasse darauf pfSense als Router / FW laufen. Vorher habe ich die FW-/Routerfunktionen von meinerm DrayTek Vigor 130 genutzt und DHCP / DNS von PiHole (auf RPi 4) genutzt.
Meine Idee war nun zusätzlich auf das FreeBSD der pfSense PiHole zu installieren. Leider habe ich mich vorab nicht gut genug informiert und musste feststellen, dass PiHole nicht auf FreeBSD läuft. Vielleicht mit irgenwelchen extrem aufwendigen Workarounds, aber as möchte ich mir nicht antun.

Also laufen bei mir gerade zwei dedizierte Geräte mit folgender SW: pfSense + PiHole (nur als DNS + Blocking).
Auf Grund des Platzmangels und vor allem wegen Mangel der Steckdosen, wird der RPi über einen USB-Port der Protectli V1410 mit Strom versorgt. Soweit so gut. Es läuft alles und ich bin eigentlich zufrieden. Beide Geräte erzeugen aber Wärme.

Nun hat mich mein Kollege auf die Idee gebracht: Auf die Protectli V1410 Proxmox zu installieren und pfSense und PiHole virtuell darauf laufen zu lassen. Die pysikalischen Ports kann man angeblich direkt von Proxmox an die VM durchreichen.
Haltet ihr das für sinnvoll?

An folenden Ideen bin ich nicht interessiert, weil schon gedanklich durchgespielt oder sogar getestet:
- AdGuard Home anstatt PiHole verwenden
- pfBlocker-NG direkt in phSense verwenden.

 

[AliManali]

Sicher geht das ja. Wenn Du vSwitches nimmst, statt die NICs durchzureichen, hast Du halt einen Angriffsvektor mehr. Hatte mehrere Firewalls virtuell getestet, sowohl mit ESXi als auch unter Proxmox. Bei ESXi war die Performance deutlich besser, warum auch immer. Und direkt auf Blech war die Leistung nochmal deutlich besser.

Hatte pfsense, opnsense und Sophos getestet. Mit der opnsense hatte ich den besten Durchsatz. Sophos ging recht gut im Downstream. Bin aber jetzt im Produktivbereich bei der opnsense ohne IDS und so ein Gedöhns gelandet. Habe allerdings eine 10 Gbit Anbindung, und wird auch alles mögliche intern geroutet.

 

[dima82]

Sorry, ich kann mit "vSwitches" gerade noch nichts anfangen
Die Ports direkt an die pfSense VM durchreichen wäre aber vermutlich die performanteste Variante, oder?
Die PiHole VM benötigt keinen direkten Zugriff auf die Ports, die Kommunikation zwischen PiHole und pfSense würde über IP/port laufen, oder?!
Sorry, wenn die Fragen profan sind, hab noch nicht so viel Erfahrung mit Virtualisierung...

 

[AliManali]

Also, wenn Du die Sense direkt ans offene Netz hängst, bietet es sich an, zumindest den WAN Adapter an die Sense durchzureichen. Dann sieht Proxmox die betreffende NIC gar nicht mehr.

Bei Proxmox nennt sich vSwitch "LinuxBridge". Kannst Du für Dein/Deine lokalen Netze nutzen, und auch den PiHole da dran hängen.