알리애서 CPU j1900, RAM 4G 제품을 구매할 예정입니다.
pfsense 방화벽 용도로 쓸 예정이고, 추가로 suricata와 ntop 그리고 가능하다면 openvpn까지 사용할 예정입니다.
위 사양으로 저 4개의 서비스 돌리는데 무리없을까요?
그리고 pfsense 구축 시 AES-NI? 기능이란게 필요하다는 말이 있던데 J1900은 AES-NI를 지원하지 않는다고 하더군요...
pfsense사용시 AES-NI 기능이 꼭 필요한가요?그리고 이게 어떤 기능인지도 궁금합니다...
zmzmzmz
WAN 프리징이 날 수도 있습니다. 이거나오면 고생합니다.
관련 구글 검색 : pfsense suricata ips freezing 그냥 참고만 해보세요.
aes-ni 는 지원하지 않아도 설치되고 잘 굴러갑니다.
IPS는 룰셋 갯수/종류에 달려있지만 꽤나 로드가 큽니다
j1900으로는 1Gbps 속도로 IPS 돌리는거 무리입니다
했는데 현실은 2.5에서 해당 기능을 제외 하기로 했답니다.
참고 : https://forum.netgate.com/topic/141699/pfsense-2-5-0-will-not-require-aes-ni/2
방화벽 장비로 잘 사용하고 있습니다.
혹시 몰라 동일한 사양으로 예비 장비 pfsense 설치해서 설정파일 백업 후 업로드 해보니 동일하게 작동됩니다.
이 성능에서 평균 램 사용량 4Gb, 버스트시 (1Gbps 다 사용할때) 8Gb 사용하고 CPU 는 평균 11%, 버스트시 80% 정도까지 올라갑니다.
1. Suricata inline ips 모드로 실행할 시 이 성능으로도 1Gbps 다 안 뽑힙니다. 오만상 튜닝해도 500Mbps 가 한계입니다. 거기다 램을 수십기가씩 사용합니다. 저는 포기하고 Legacy Mode 로 운용하고 있습니다.
2. inline ips 모드 말고 Legacy Mode 로 사용할 시 위와 같은 문제는 없습니다. 그런데 Suricata 가 오탐이 많이 발생하니 몇달 정도는 모니터링 해 주세요.
3. Legacy Mode 로 운용하더라도 램을 좀 먹고 (최대 5Gb), 가끔 CPU 사용량이 치솟습니다. j1900이 잘 버틸지는... 글쎄요.
4. ntop 에다가 인터페이스 10개 이상 등록하면 상당히 불안정해집니다. 13개 이상 등록하면 십분마다 ntop 이 뻗는 기괴한 경우도 생깁니다.
5. OpenVPN 은 별 문제 없이 잘 돌아갑니다. 그런데 가끔 VPN 연결이 끊어지고 재연결도 안되는 경우가 생깁니다. 이럴때는 서비스에서 수동으로 VPN 을 죽이고 다시 켜준 다음 게이트웨이 다시 설정하면 정상적으로 됩니다.
j1900 으로는 Suricata 말고는 다 될 것 같습니다.