Deciso DEC2687 - OPNsense Firewall Appliance Testbericht¶
~Jochen~ ~Demmer~^[Jochen Demmer der Autor ]
Der niederländische Firewall-Hersteller Deciso hat neue Einstiegs-Firewall-Appliances auf den Markt gebracht. Diese Geräte kommen vorinstalliert mit der Business-Edition ihres sehr beliebten OPNsense. Ein Jahres-Abonnement ist inklusive und enthält unter anderem 20% Rabatt auf das Basis-Support-Paket sowie weitere nützliche Ergänzungen. Werfen wir einen näheren Blick auf die DEC2687, die im Wesentlichen die Rackmount-Version dessen ist, was sie für den sogenannten Desktop-Markt anbieten, die DEC677 und DEC697. Für die Benchmarks wurde das OS auf Version 24.4.2 von August 2024 aktualisiert. Diese Geräte als Einstiegsmodelle zu bezeichnen liegt daran, dass man sie mit den besser ausgestatteten Modellen vergleicht. Diese enthalten superschnelle CPUs, mehr Speicher und verfügen zudem über SFP+- oder gar SFP28-Schnittstellen für anspruchsvolle Szenarien in Rechenzentren und Unternehmensumgebungen. ^[DEC4200 Serie]^[DEC3800 Serie]
Hier sind Decisos ehemalige und aktuelle Einstiegs-Appliances. | | Desktop | Rackmount | | - | - | - | | Ehemalig | DEC675/DEC695 | DEC2685 | | Aktuell | DEC677/DEC697 | DEC2687 |
Dieser Bericht dreht sich um die DEC2687, den Nachfolger des Desktop-Modells, das ich 2022 getestet habe, der DEC695. Die CPU wurde leicht aufgewertet und läuft jetzt mit 1,8 GHz statt 1,6 GHz. Die Ethernet-Chipsätze wurden von Intel I211 (1G) auf Intel I226-V (2.5G) ausgetauscht. In der Broschüre wird eine stolze bis zu 50%-ige Geschwindigkeitssteigerung versprochen. Deciso veröffentlicht Netzwerk-Benchmark-Ergebnisse in seinen Broschüren. Wir werden sehen, ob diese Versprechen gehalten werden können.
Ein wichtiger Unterschied zwischen den Desktop- und den Rack-Versionen ist, dass letztere einen Lüfter zur aktiven Kühlung verwenden. In meinem – zugegebenermaßen – recht rudimentären Audio-Testaufbau mit dem Standard-iPhone-13-Mikrofon habe ich die Lautstärke gemessen. Sie lag im Durchschnitt bei etwa 41 dB. Neben der nackten Zahl möchte ich meinen persönlichen Eindruck schildern. Ich würde nicht gerne täglich im selben Raum wie dieses Gerät sitzen wollen. Man hält definitiv mehrere Stunden direkt daneben aus, was ich während meiner Tests und Schreibarbeiten getan habe. Dennoch würde ich dringend raten: Wenn Sie sich in einer ruhigeren Büro-Umgebung befinden, wählen Sie eine Desktop-Version ;-)
Dies wurde im Leerlauf des Geräts gemessen. Bei CPU-intensiven Aufgaben wird es jedoch nicht lauter. Vermutlich reicht die Standard-Lüfterdrehzahl für jede Arbeitslast völlig aus. Wie aus den Ergebnissen zum Stromverbrauch unten ersichtlich wird, mag das der Grund sein. Da es kein echtes BIOS-/UEFI-Menü gibt, glaube ich nicht, dass die Lüftereinstellungen angepasst werden können. In OPNsense gab es jedenfalls keine entsprechenden Einstellungen.
Hardware im Detail¶
Beide Firewall-Generationen verwenden das sogenannte Netboard A8. Mein frisch angeliefertes Exemplar trug die Revisionsnummer R2.1. Im Gegensatz zur DEC695 versuchte die DEC2687 nicht, auf jeder einzelnen Schnittstelle über PXE zu booten. Dadurch verkürzte sich die Bootzeit um 10+ Sekunden. Für mich die wichtigste Frage ist: Wie performt das neue Gerät in der Praxis, insbesondere im Vergleich zu seinem Vorgänger? Zeigen wir die technischen Spezifikationen nebeneinander. Hier sind die wichtigsten Specs aus den offiziellen Broschüren extrahiert.
| DEC695 | DEC2687 | |
|---|---|---|
| CPU | AMD GX-420MC SOC (x86_64) | AMD GX-420MC SOC (x86_64) |
| CPU-Kerne | 4 | 4 |
| CPU-Takt | 1,6 GHz | 1,8 GHz |
| RAM | 8 GB DDR3 | 8 GB DDR3 |
| Ethernet 1 G | 4 | - |
| Ethernet 2.5G | - | 4 |
| Firewall-Durchsatz | 3,3 Gbps | 5 Gbps |
| Firewall Pakete/s | 275 kpps | 420 kpps |
| Port-zu-Port-Durchsatz | 900 Mbps | 2300 Mbps |
| Firewall Port-zu-Port pps | 75 kpps | 195 kpps |
| Firewall-Latenz | 200 µs | 125 µs |
| IPSec-VPN-Durchsatz | 600 Mbps | 600 Mbps |
Deciso hat sich für eine höhere Taktrate als bisher entschieden. Wird der Stromverbrauch proportional dazu steigen? Während die DEC695 mit 1,6 GHz taktet, läuft das aktuelle Modell mit 1,8 GHz.
# Weitere detaillierte Informationen von der Kommandozeile
sysctl hw.model hw.machine hw.ncpu
hw.model: AMD GX-420MC SOC
hw.machine: amd64
hw.ncpu: 4
grep -i cpu /var/run/dmesg.boot
CPU: AMD GX-420MC SOC (1597.10-MHz K8-class CPU)
FreeBSD/SMP: Multiprocessor System Detected: 4 CPUs
cpu0: <ACPI CPU> on acpi0
hwpstate0: <Cool`n'Quiet 2.0> on cpu0
Das offizielle TDP des Prozessors beträgt 17,5 W. Bedenken Sie, wir betrachten exakt dieselbe CPU in beiden Firewall-Appliances, nur unterschiedlich konfiguriert.
TDP ist keine Zahl, die direkt mit dem Stromverbrauch verknüpft ist, sondern mit der Frage, wie viel thermische Energie abgeführt werden muss.
Wir werden sehen, ob eine höhere Taktrate eine bessere Leistung bringt (siehe unten). Natürlich haben sich die Netzwerkgeschwindigkeiten durch die 2.5G-Schnittstellen erhöht, die die alten 1G-Ports ersetzen. Der Markt scheint sich noch im Übergang zu 2.5G zu befinden. Unterstützende Switches sind noch etwas rar. In diesem Bericht konzentrieren wir uns jedoch mehr auf die schwerer zu messenden Unterschiede der Geräte, nämlich: Rechenleistung. Die Menge, wie viele Pakete/Sessions das Gerät bewältigen kann, ist um eine recht große Spanne gestiegen. Die Firewall-Latenz wird ebenfalls ihren Beitrag dazu leisten, wie schnell sich die Firewall für ihre Nutzer anfühlt. Die Spezifikationen geben denselben IPSec-Durchsatz (600 Mbps) für beide Gerätegenerationen an.
Die Desktop-Versionen kommen mit externen 12V-Netzteilen, während das getestete Rackmount-Gerät ein eingebautes 12V-Netteil hat. Wieder verwenden sie ein Meanwell-Netzteil, das einen guten Ruf genießt.
Vorne befinden sich vier 2.5G Twisted-Pair-Ports, jeder verbunden mit einem eigenen Intel-I226-V-Chip. Ich hätte gerne zumindest einen SFP-Port gesehen, um Glasfaser nutzen zu können. Immer mehr Internet-UpLinks werden in Zukunft über Glasfaser realisiert. Ebenfalls vorne gibt es einen USB3-TypeA-Port sowie einen Mini-USB-Port, der als serieller Anschluss dient, Kabel inklusive. Hinten befinden sich die IEC-Strombuchse (Kabel ebenfalls inklusive), eine Erdungsklemme, ein physischer Netzschalter und der Lüfteraustritt. Aufgrund des geringen Stromverbrauchs dauert es nach dem Abziehen des Stromkabels einige Zeit, bis die Kondensatoren entladen sind. Deshalb wird empfohlen, das Gerät 60 Sekunden vom Strom getrennt zu lassen (siehe Aufkleber auf der Rückseite).
Was ich an Deciso wirklich schätze, ist, dass sie ihre Bauteile nicht auf das Mainboard löten. Die Anzahl der Hersteller, die dies tun, nimmt leider zu. Im Defektfall würde die Reparatur des Geräts andernfalls darin bestehen, das gesamte Mainboard auszutauschen, was Unsinn ist. So wie Deciso es macht, muss nur das defekte Teil ersetzt werden. Es mag verlockend erscheinen, diese Teile selbst auszutauschen, z.B. eine größere SSD oder mehr RAM einzubauen. Beachten Sie jedoch, dass die Garantie erlischt, wenn Sie das Gehäuse selbst öffnen. Das Boardlayout wirkt auf mich sehr aufgeräumt. Die Gesamtverarbeitungsqualität des Gehäuses ist sehr gut.
Die DEC(2)600-Serie verwendet Coreboot ^[Coreboot eine Open Source Firmware]. Das gefällt mir sehr, da es das Gerät vertrauenswürdiger macht. Das ist tatsächlich eine wirklich große Sache, wie ich finde. Man möchte eine vertrauenswürdige Plattform für das Gerät, das dafür gedacht ist, bösen Traffic zu filtern. Ich kenne nicht sehr viele Hersteller, die ebenfalls eine offene Firmware wie Libreboot oder Coreboot liefern. Es gibt pc-engines, aber leider fehlt ihnen 2024 ein einigermaßen performantes Gerät.
Coreboot-Versionen können vom Benutzer aktualisiert werden. Die aktuellsten Firmware-Releases finden Sie hier.
Es gibt keine üblichen BIOS/UEFI-Menüs zum Ändern von Einstellungen, aber es gibt einige integrierte Funktionen wie Memtest. Im Gegensatz zu seinem Vorgänger versuchen die neuen 600er-Serie Firewalls nicht mehr, PXE auf jeder einzelnen Schnittstelle auszuführen. Das verbessert die Bootzeit erheblich.
Betriebssystem¶
OPNsense hat sich zu einer bedeutenden Firewall-Lösung auf dem Markt entwickelt. Wir können froh sein, dass es Open-Source-Lösungen wie OPNsense gibt. Es gibt eine sehr aktive Community rund um dieses Projekt. OPNsense ist von sehr hoher Qualität. Probleme, die ich finde, sind sehr selten, Upgrades erscheinen regelmäßig inklusive Bug- und Sicherheitsfixes sowie neuer Funktionen. Die Menge an unterstützten Features ist so umfangreich, dass Leute von der Anzahl der Szenarien, die eine Deciso-Firewall bewältigen kann, überwältigt zu sein scheinen. Damit Sie ein paar Schlagwörter lesen können:
- Intrusion Detection / Intrusion Prevention (Suricata)
- Next Gen Firewall Plugin (Zenarmor)
- Monitoring-Integrationen wie Zabbix-Agent
- Monitoring Metrics Exporter (Prometheus)
- Captive Portal
- Systemweite Zwei-Faktor-Authentifizierung
- AES-NI-Unterstützung
Für bestimmte Kundenkreise ist es eine sehr gefragte Funktion, eine Art Failover zu haben. OPNsense kann das. Es nutzt CARP, das dem weiter bekannten VRRP ähnelt. Zusammen mit eingebauten Synchronisationsmechanismen für States und Konfiguration bietet es Ihnen Hochverfügbarkeit (HA), selbst wenn eines Ihrer zwei Geräte ausfällt oder in Wartung ist. Zur Minimierung von Ausfallzeiten ist dies eine entscheidende Geschäftsfunktion.
Zur Integration von OPNsense in DevOps-Umgebungen gibt es eine Ansible-OPNsense-Rolle. ^[Ansible OPNsense Rolle]. Siehe auch meine kommenden golem.de-Artikel über Ansible und die Open-Source-Community im Allgemeinen. Das Basis-OS von OPNsense ist FreeBSD, das allgemein beliebt für Netzwerkausrüstung ist. Es ist ein sehr solides und ausgereiftes OS mit einem bewährten TCP/IP-Stack. Auch hier setzt Deciso auf die x86-CPU-Architektur. Ich habe nicht versucht, andere Betriebssysteme zu booten, erwarte aber, dass sie ebenfalls funktionieren. In der Vergangenheit war ich erfolgreich damit, auf einer DEC740 Debian oder Proxmox zu installieren, und ich habe sogar VyOS auf einer DEC695 erfolgreich gebootet. Während BSD-Systeme bis heute eine zuverlässige Grundlage nicht nur für hohe Netzwerklasten bieten, sind sie deutlich weniger bekannt als Linux. Das Filtern von Paketen erfolgt im Kern über pf, eine sehr robuste und gut performierende Paketfilter-Software, die aus dem OpenBSD-Projekt stammt.
CPU-Benchmarks¶
Traditionell verwende ich für alle meine Berichte OpenSSL-basierte Benchmarks. Man sieht, wie beide Communities, OPNsense sowie OpenWrt, von OpenSSL 1 zu OpenSSL 3 übergehen. Generell gesagt werden alle Benchmark-Ergebnisse beim Wechsel von Version 1 auf 3 schlechter. Betrachten Sie das als Randnotiz. Die Ergebnisse hier wurden alle mit OpenSSL 3 genommen, sie sind also perfekt vergleichbar.
Ergebnisse in Bytes, mit Ausnahme der RSA/DSA-Benchmarks.
Einige DES-Werte fehlen, weil sie unter OpenWrt gemessen wurden, das DES in dieser Version nicht unterstützt. Die Ergebnisse vergleiche ich mit der DEC695 als Referenz.
Das Arbeiten mit Hashes und verschiedenen Szenarien kryptografischer Aufgaben ist anspruchsvoll für eine CPU und gibt uns eine Vorstellung davon, wie leistungsfähig ein Prozessor ist. Leider können wir noch keine Netzwerk-Benchmarks liefern. Ich werde versuchen, später noch Ergebnisse nachzureichen. Der Leistungszuwachs gegenüber der DEC695 ist sicher messbar und liegt innerhalb der erwarteten Spanne. Es ist ein ordentliches Upgrade für die DEC(2)6xx-Serie Firewalls.
Single-Threaded:
Multi-Threaded (4):
Single-Threaded:
Multi-Threaded (4):
Single-Threaded:
Multi-Threaded (4):
Single-Threaded:
Multi-Threaded (4):
Stromverbrauch¶
Deciso hat in der Vergangenheit gezeigt, dass sie wirklich auf Effizienz achten. Alle Geräte, die ich bisher getestet habe, waren in Sachen Leistungsaufnahme überlegen. Dieses Gerät bildet da keine Ausnahme. Im Vergleich zur zuvor getesteten DEC695 ist der Stromverbrauch minimal gestiegen, aber unter Berücksichtigung des Leistungszuwachses sind das wirklich gute Werte. Im Datenblatt geben sie einen typischen Stromverbrauch von rund 13 W an, was ich sehr gut bestätigen kann. Im Leerlauf liegt er meist etwas darunter, bei Volllast kann er aber auch bis zu 15 W erreichen. Das ist erstaunlich, denn die Angaben im offiziellen Datenblatt sind ziemlich realistisch.
Hier sind meine Messwerte: | Zustand | Verbrauch | | ----- | ------------| | Booten | 11-13 W | | Idle | ~10 W | | Durchsatz-Benchmarks | ? W | | 4-Kern OpenSSL-Benchmark | ~ 15 W |
Fazit¶
Es gibt einen messbaren Leistungszuwachs, der mit der höheren Taktrate einhergeht. Das stärkere Argument für die neue Serie sind jedoch die neuen 2.5G-Ethernet-Schnittstellen. Während der Leistungszuwachs bei den Benchmarks eher bei 10% und darunter liegt, wird der Gewinn durch die neuen Schnittstellen enorm größer ausfallen.
Ich glaube, dass diese Art von Firewall eine hervorragende Wahl für kleinere Unternehmen ist, die ein vertrauenswürdiges, genügsames Gerät mit einer ordentlichen Portion Leistung für kleinere Arbeitsgruppen suchen. Mit OPNsense bekennen Sie sich zur Unterstützung eines feinen Open-Source-Projekts. Anstatt komplizierter Feature-Sets wie bei einer Sophos oder ähnlichem können Sie einfach hiermit gehen und das volle Paket zu einem niedrigeren Preis erhalten. Für einen privaten Nutzer könnte dieses Gerät etwas zu teuer sein, da es deutlich günstigere Wettbewerber gibt, die auf ARM und OpenWrt setzen. Andererseits ist OpenWrt schwer mit etwas wie OPNsense zu vergleichen, da sie keine Unterstützung für HA-Umgebungen (High Availability) bieten und es auch kein offizielles Support-Produkt gibt. Gerade in Arbeitsbereichen, in denen Sie sich auf Ihre Lösung verlassen müssen, ist es eine wirklich gute Wahl. Für anspruchsvollere Szenarien bietet Deciso ebenfalls großartige Produkte an.