OPNsense VM - Wie route ich Unraid durch's LAN richtig

[W0nderW0lf]

Moin moin,

 

ich bin recht neu bei Unraid und hatte bisher noch keine wirklich gute Hypervisor Erfahrung im punkto Netzwerk config. Ich versuche von meiner alten China Hardware mit einer J1900 CPU, auf die VM umzusteigen. Grund hierfür ist der schwache durchsatz wo ich nicht mal 35MB/s von meiner Glasfaser durch bekomme..

Ich habe meine VM zum laufen bekommen. Ich habe auch einen PCIe 4 Port LAN Adapter der auch von Unraid erkannt wird.  Jedenfalls frage ich mich wie ich das am besten manage das das Dashboard nur über LAN seitens OPNsense angebunden ist.

Was ich nicht so ganz verstanden habe ist, wie ich Unraid und zukünftige Container wie Plex und Co durch OPNsense schleife. Reicht es einfach alle Interfaces im Bridge mode zu haben, oder muss ich noch was beachten?

Wie sind so die Erfahrungswerte im Punkto durchsatz, proxy und IDS/IPS?

Hab nen Dell Optiplex 5080 zu Unraid umfunktioniert und der ist mit nem guten i5 gen10 und 40GB Ram ausgestattet.

Irgendwelche Tipps?

(Bitte keine Tipps im Bezug auf andere Hardware kaufen) Ich hab kein Geld für mehr Server und Co. Wollte eine All-In-One Solution. Muss auch keinen mörder speed haben.

Danke vorab!

[Ford Prefect]

In einer VM machst Du eigentlich das Gleiche, wie bei einer physischen Hardware auch.

Wenn Du eine 4-Port Karte hast, nimmst Du 1 (WAN - den auf *jeden* Fall duchreichen), 2 (LAN) oder 3 (LAN2/VLANs) Ports für die opensense und einen oder 2 Ports (sollte ja noch ein interner NIC da sein, dann als Bond) für die unraid bridge (LAN/VLAN).

Dann alles über den echten Switch, wie bisher verkabeln.

 

Allerdings muss die Kiste dafür vt-d/IOMMU unterstützen....das betrifft CPU und MB-Chipsatz....ob das der Dell kann, weiss ich nicht.

 

LAN-Seitig könntest Du auch mit virtuellen NICs in der opnsense arbeiten.

Allerdings die Frage, was das bringen soll....IPS/IDS arbeitet auf WAN Seite, NAT auch....wenn Du kein WAN >1Gbps hast, bringt Dir eine schneller Anbindung nach innen nix, ausser CPU zu fressen (weil virtuelle NICs). Evtl, beim Einsatz von VLANs und Inter-VLAN Routing wäre das von Vorteil....aber eben nur dann.

Da kannst Du aber eben auch später ran.

Ich würde erstmal nur die VM bauen und die Verkabelung sozusagen physisch vornehmen, mit durchgeriechten NICs in der VM.

Edited September 20, 2021 by Ford Prefect

[W0nderW0lf]

Hi und danke erstmal für deine Hilfe!

VT-D kann der auf jeden fall, sonst würde ich das Vorhaben in die Tonne kloppen. ^^
Zu meinem Setup:
Ich habe 5 NIC's
bond0 fault-tolerance (active-backup), mtu 1500
eth0 1000 Mbps, full duplex, mtu 1500 <-- Mobo
eth1 1000 Mbps, full duplex, mtu 1500 <-- Intel PCI-e
eth2 interface down <-- Intel PCIe (Wollte ich später enablen
eth3 interface down <-- Intel PCIe
eth4 interface down <-- Intel PCIe
lo loopback

Unraid eth0 = (bond=y, bond mode=active-backup(1), members of bond0=eth0, bridging=y)
WAN OPNsense eth1 = (bond=n, Bridge=y, members br1=eth1, ipv4 assignment=none)
eth2-4 = (bridge=y)

Was ich nicht so ganz verstehe, ist das Network Model bei den NIC VM configs. Da stehen zur Auswahl virtio und virtio-net. Wo ist da der Unterschied?
Bzgl. IPS/IDS... IPS arbeitet auf WAN seite und IDS ist auf LAN Seite.
Insgesamt kann man bei Unraid sehr viel einstellen, was ich toll finde, weil das andere hypervisor auch können, aber da ist das problem.. man sieht den wald vor lauter bäumen nicht. ^^
Ich habe bereits eine config auf dem alten China gerät die ich gerne importieren würde. Ich bin mir nur unsicher, ob das so mit den NIC's auch klappen wird. Habe bereits meine Rules die auf NICHT VLAN ausgelegt sind. Ich kann die Netzwerkkarte leider nicht exklusiv als PCI slot zuweisen, aber dadurch das es ein Intel NIC ist, sollte es die CPU auf jeden Fall entlasten.

[W0nderW0lf]

Update:
Also ich hab die VM jetzt zum Laufen bekommen. Hab auch alles einrichten können, also auch meine Config von der alten Kiste importiert.
Für alle die mal das gleiche ausprobieren:

Da die Config auch die NIC Bezeichnung (Bsp. Igb0) speichert, erkennt OPNsense nach dem Neustart keines der virtuellen Interfaces. Dazu muss man sich über VNC in der VM anmelden und Option 1 machen (Assign Interfaces)
Da bekommt man dann alle Interfaces zur Auswahl.

[Ford Prefect]

4 hours ago, W0nderW0lf said:

Hi und danke erstmal für deine Hilfe!

VT-D kann der auf jeden fall, sonst würde ich das Vorhaben in die Tonne kloppen. ^^

 

...unten schreibst Du aber, dass das nicht geht. .da würde ich mal Zeit investieren. 

 

4 hours ago, W0nderW0lf said:

Zu meinem Setup:
Ich habe 5 NIC's
bond0 fault-tolerance (active-backup), mtu 1500
eth0 1000 Mbps, full duplex, mtu 1500 <-- Mobo
eth1 1000 Mbps, full duplex, mtu 1500 <-- Intel PCI-e
eth2 interface down <-- Intel PCIe (Wollte ich später enablen
eth3 interface down <-- Intel PCIe
eth4 interface down <-- Intel PCIe
lo loopback

Unraid eth0 = (bond=y, bond mode=active-backup(1), members of bond0=eth0, bridging=y)
WAN OPNsense eth1 = (bond=n, Bridge=y, members br1=eth1, ipv4 assignment=none)
eth2-4 = (bridge=y)

 

...da passt was nicht, bond mit active Backup braucht mehr als ein interface als member 

 

4 hours ago, W0nderW0lf said:

Was ich nicht so ganz verstehe, ist das Network Model bei den NIC VM configs. Da stehen zur Auswahl virtio und virtio-net. Wo ist da der Unterschied?

...da hatten wir erst vor kurzem einen thread hier...virtio ist um einiges schneller, bis zur CPUBandbreite...kann aber auch Probleme geben. . 

 

4 hours ago, W0nderW0lf said:

Ich kann die Netzwerkkarte leider nicht exklusiv als PCI slot zuweisen.

...also kein vt-d/IOMMU aktiviert??

 

4 hours ago, W0nderW0lf said:

aber dadurch das es ein Intel NIC ist, sollte es die CPU auf jeden Fall entlasten.

Nein, eigentlich nicht. Was Du meinst ist evtl. SRV-IO, aber das ist was ganz anderes.

[W0nderW0lf]

Quote

...unten schreibst Du aber, dass das nicht geht. .da würde ich mal Zeit investieren. 

Quote

...also kein vt-d/IOMMU aktiviert??

Dann hast du meinen Eröffnungspost falsch verstanden. Ich habe wortwörtlich geschrieben, "Ich habe meine VM zum laufen bekommen."

Ohne VT-D wäre eine VM auch nicht möglich.

 

Quote

...da passt was nicht, bond mit active Backup braucht mehr als ein interface als member

War Standardmäßig so aktiv. Ich habs deaktiviert, da ich mein Setup etwas überarbeitet habe.

 

Quote

...da hatten wir erst vor kurzem einen thread hier...virtio ist um einiges schneller, bis zur CPUBandbreite...kann aber auch Probleme geben. . 

Ich habe es mal umgestellt. Hab noch keinen Speedtest gemacht, aber es ist jetzt schon deutlich performanter als mit meiner alten Hardware.

 

Quote

Nein, eigentlich nicht. Was Du meinst ist evtl. SRV-IO, aber das ist was ganz anderes.

Danke für den Hinweis.

[Ford Prefect]

Ohne VT-D wäre eine VM auch nicht möglich.

Natürlich gehen VMs auch ohne VT-D. Es gibt mehrere Virtualisierungs-Unterstützungs Layer in der Hardware.
Für VMs "reicht" VT-X, aber um Hardware "roh", ohne Emulation an eine VM durchzureichen braucht es zusätzlich noch VT-D.

Ich finde die Nutzung, insbesondere auch des WAN, auf einem virtuellen NIC als unsicher. Es gibt Router-Lösungen, deren Lizenz den Support auf virtueller Hardware komplett ausschließen.
Als Router zwischen Web-Applikationen, Micro-Services oder einer Kybernetik Farm ist das was Anderes, aber da drumherum ist immer noch eine Hardware Firewall zur externen Welt.



Gesendet von meinem SM-G780G mit Tapatalk