Netzwerk-Entwurf für sicheres Smart-Home

[hubidoo]

Du kannst auch Fortinet nehmen

= "You-have-to-pay-before-you-can-use"-System => Lizenzen kaufen, Schulungen besuchen, bezahlen, glücklich sein oder eben auch nicht.

[livingpure]

Sophos ist in erster Linie ein "You-have-to-pay-before-you-can-use"-System. Für jedes Feature brauchst du eine kostenpflichtige Lizenz

Blödsinn, für die private Nutzung komplett kostenlos

zu Preisen für Cloud: das kannst du auch nicht so pauschal sagen. Wenn der hausinterne Wartungsaufwand wegfällt, dann kann sich das rentieren. Ist zum Beispiel ein Grund warum einige große Konzerne auf die G Suite von Google gewechselt sind.
Wir zahlen auch viel für KI Rechenleistung bei Amazon. Wahrscheinlich wäre es lokal günstiger, aber wenn die Daten bei uns verloren gehen oder öffentlich werden, ist der Schaden immens, bei Amazon sind die besser gesichert und falls etwas passiert, sind wir aus der Haftung heraus. So pauschal kannst du das also alles nicht sagen.
(und ich bin wahrlich kein Cloud Fan, privat läuft alles lokal)

[hubidoo]

Ich kenne nur OPNsense, habe pfSense nie verwendet. Darf ich fragen was pfBlockerNG genau tut? Wenn es um DNS-basiertes Werbeblocking geht - das kann man mit dem Unbound Plugin auch tun.

Wenn man unbound, pi-hole, DNSBL, geoip blocking/processing, geofencing, inbound/outbound routing/traffic filtering, Netshield, usw., kennt, kann man sich ungefähr vorstellen, was pfBlockerNG macht. Das ist im Prinzip alles in einem unter einer Haube.
Das geht alles sehr einfach und integriert sich vollständig und automatisch in pfSense. Man kann damit schon ziemlich exakt sezieren und reduziert die Angriffsvektoren auf ein Minimum.

[hubidoo]

Das „Original“ ist auch eine Fork und somit genauso wenig original wie OPNsense.

es gibt einige Varianten das in OPNsense nachzubilden, viele bevorzugen dann auch adguard Home oder pi-hole, OPNsense bietet dir außerdem wireguard und das Drumherum ist deutlich sympathischer als bei pfSense. Und ist nicht sowieso eine Sophos noch besser und das schon recht OT?

Finde ich nicht, da pfBlockerNG alles unter einer Haube vereint. Was soll das für ein Vorteil sein, wenn ich verschiedene Tools brauche, wie auf dem Fork?
Wireguard ist ab pfSense 2.5.0 ebenfalls mit an Bord, wer es denn unbedingt braucht.
Ich für meinen Teil benutze lieber ein VPN, welches sich nativ auf den Clients integrieren lässt ohne zusätzliche App/Software.
Was mir auch besser gefällt: Der Stromverbrauch von pfSense@ARM Hardware.

[hubidoo]

Blödsinn, für die private Nutzung komplett kostenlos

zu Preisen für Cloud: das kannst du auch nicht so pauschal sagen. Wenn der hausinterne Wartungsaufwand wegfällt, dann kann sich das rentieren. Ist zum Beispiel ein Grund warum einige große Konzerne auf die G Suite von Google gewechselt sind.
Wir zahlen auch viel für KI Rechenleistung bei Amazon. Wahrscheinlich wäre es lokal günstiger, aber wenn die Daten bei uns verloren gehen oder öffentlich werden, ist der Schaden immens, bei Amazon sind die besser gesichert und falls etwas passiert, sind wir aus der Haftung heraus. So pauschal kannst du das also alles nicht sagen.
(und ich bin wahrlich kein Cloud Fan, privat läuft alles lokal)

Kein Blödsinn: Wir bedienen ausschließlich Business-Kunden. Da ist jedes Feature kostenpflichtig.

Wenn du den outbound Traffic klein hältst, mag das bei AWS funktionieren, aber wehe du brauchst den Traffic, dann wird das teuer.
Es gibt auch Einschränkungen, weswegen manche Projekte mit AWS & Co. nicht funktionieren.
Ich hatte schon einiges damit erlebt.
Dass du aus Sicht der EU-DSGVO aus der Haftung raus bist, wenn Daten bei deinem Unterauftragsverarbeiter verloren gehen, bezweifle ich mal schlicht und einfach.
Die Realität ist, du bist erst mal mitschuldig und wirst ebenfalls mit Bußgeld belegt. Das ist die aktuelle Praxis zur Bußgeldmaximierung, das ist chic und der Staat braucht Geld.

[livingpure]

Ich glaube die wenigsten EFH fallen in die Business Kategorie

danke für die Infos zu pfsense! Ich werd mir nochmal überlegen, ob das bei der nächsten Installation nicht sinnvoller als OPNsense wäre.

[MCsnuffBobbyK]

Ich für meinen Teil benutze lieber ein VPN, welches sich nativ auf den Clients integrieren lässt ohne zusätzliche App/Software.

Das hab ich auch lange gedacht, aber wenn man einmal Wireguard hatte will man da nicht mehr hin...

[jayem0]

Wenn man unbound, pi-hole, DNSBL, geoip blocking/processing, geofencing, inbound/outbound routing/traffic filtering, Netshield, usw., kennt, kann man sich ungefähr vorstellen, was pfBlockerNG macht. Das ist im Prinzip alles in einem unter einer Haube.
Das geht alles sehr einfach und integriert sich vollständig und automatisch in pfSense. Man kann damit schon ziemlich exakt sezieren und reduziert die Angriffsvektoren auf ein Minimum.

Ich habe demnächst hier sowieso noch eine weitere Appliance zu installieren ... ich glaube ich setze die mal auf pfSense auf und probiere es einfach mal aus. Wie würdest du die Einrichtungszeit bei OPNsense vs. pfSense bei gleichem Nutzen (Firewall auf 4 Interfaces, Unbound, Adblock, IPS/IDS, GeoIP Blocking) vergleichen? Ist eines schneller einzurichten als das andere? pfSense erschien mir auf den ersten Blick irgendwie fummeliger als OPNsense - liegt vielleicht auch an der UI.

Siehst du einen Vorteil von piHole ggü. Unbound mit Blacklists? Ich habe keinen gefunden. Habe ich etwas übersehen?

[hubidoo]

Ich habe demnächst hier sowieso noch eine weitere Appliance zu installieren ... ich glaube ich setze die mal auf pfSense auf und probiere es einfach mal aus. Wie würdest du die Einrichtungszeit bei OPNsense vs. pfSense bei gleichem Nutzen (Firewall auf 4 Interfaces, Unbound, Adblock, IPS/IDS, GeoIP Blocking) vergleichen? Ist eines schneller einzurichten als das andere? pfSense erschien mir auf den ersten Blick irgendwie fummeliger als OPNsense - liegt vielleicht auch an der UI.

Siehst du einen Vorteil von piHole ggü. Unbound mit Blacklists? Ich habe keinen gefunden. Habe ich etwas übersehen?

Zehn Minuten?
Das setzt man ja nicht komplett manuell auf. Ich nehme dafür ein Template und mache einen Restore. Anschließend ändere ich lediglich die Diffs/Deltas.
Demnächst werde ich mir ankucken, wie das mit den Ansible-Modulen für pfSense klappt, die aktuell verfügbar sind.

[Lennox]

Kann man machen, wenn man a) nichts zu verlieren hat und b) zu viel Geld übrig hat.
Wir sprechen uns wieder, wenn die Preise so nach oben geschraubt wurden, dass du wieder zurück möchtest.
On-Premise ist immer noch die günstigste und sicherste Lösung.

Dem ist leider nicht so..., hatte geschäftlich leider schon 2 Totalausfälle wegen solchen sog. Experten wie hier vertreten...

Gschaite Dummschwätzer gibt es leider viel zu viele auf der Baustelle und Welt

[hubidoo]

Dem ist leider nicht so..., hatte geschäftlich leider schon 2 Totalausfälle wegen solchen sog. Experten wie hier vertreten...

Gschaite Dummschwätzer gibt es leider viel zu viele auf der Baustelle und Welt

Die Rahmenbedingungen hast du nicht genannt.
Z.B. wie hoch war das Budget, welche Komponenten wurden eingesetzt, usw.?

Oft scheitert es daran, dass IT nichts kosten soll und dann werden eben auch mal "Fachleute" nach Preis ausgesucht.
Hauptsache, sie haben schon mal erfolgreich ein Office unter Windows installiert.

Dafür gibt es aber kein Mitleid, im Gegenteil.

[McKenna]

Bei der Sophos XG Home Edition läuft der Open Vpn Server nicht richtig bei mir. Auch hab ich das starke Gefühl dass der in der free ordentlich abgespeckt hat.. hab und hatte ich mit UTM anders in Errinnerung.

Deswegen musste ich die Sophos mit einem OpenVPN Server im Netzwerk erweitern...Wireguard ist dagegen ein Kinderspiel!! Und ich hab es nicht fertig gebracht Open VPN zu installieren - da die Einrichtung sehr viel Wissen braucht... Try and Error... Gott sei Dank die fertigen Images...

Wenn ich mal Zeit habe werde ich mir mal Untangle ansehen oder mich entscheiden Geld in die Sophos zu investieren.

[uzi10]

Ich glaub solche IT Leute gibts in meiner Firma 😂😂😂😂

[hubidoo]

Bei der Sophos XG Home Edition läuft der Open Vpn Server nicht richtig bei mir. Auch hab ich das starke Gefühl dass der in der free ordentlich abgespeckt hat.. hab und hatte ich mit UTM anders in Errinnerung.

Deswegen musste ich die Sophos mit einem OpenVPN Server im Netzwerk erweitern...Wireguard ist dagegen ein Kinderspiel!! Und ich hab es nicht fertig gebracht Open VPN zu installieren - da die Einrichtung sehr viel Wissen braucht... Try and Error... Gott sei Dank die fertigen Images...

Wenn ich mal Zeit habe werde ich mir mal Untangle ansehen oder mich entscheiden Geld in die Sophos zu investieren.

OpenVPN braucht halt erst mal entsprechende Zertifikate, dann ist es aber eigentlich völlig easy.
Hatte jahrelang eigengestrickte Lösungen unter Linux laufen, bis ich zu pfSense gewechselt bin.
Entweder selbst machen oder pfSense ankucken. Danach möchtest du kein Sophos mehr.
Die Dokus für die pfSense sind auch hervorragend.

[uzi10]

Opensense oder pfsense? Was ist jetzt besser??