Deciso DEC695 - OPNsense Firewall Appliance Testbericht¶

Die DEC695 ist das größere von zwei Modellen der DEC600-Serie ^[Shop DEC675/DEC695 Deciso]. Sie darf nicht mit der ersten 600er-Serie, der DEC670 und DEC690, verwechselt werden. Die neuen Modelle sind kleiner und leistungsfähiger. Sie kommen im kleinen Formfaktor, die Zielgruppe ist also wahrscheinlich der Privatbereich und SOHO. Die physischen Abmessungen betragen 22 mm x 185 mm x 134 mm Höhe x Breite x Tiefe. Exakt dieselbe Hardware ist auch im 19"-Rack-Format erhältlich. Diese Modelle heißen dann DEC2675 und DEC2685 ^[Shop DEC2675/DEC2685 Deciso]. Ich biete zwei verschiedene Videos an, ein Teardown ^[YouTube-Video Deciso DEC695 Teardown] und einen Testbericht (folgt noch).

Hardware-Details¶

Die DEC695 ist in puncto Appearance und Größe gewissermaßen ähnlich zum kürzlich getesteten DEC740 ^[DEC740 Testbericht]. Mir gefällt das solide Design und die Verarbeitung des komplett metallischen Gehäuses sehr. Vier Gummifüße auf der Unterseite und Deckelschrauben halten das Gehäuse fest zusammen. Eine Schraube versteckt sich hinter der Garantie-Void-Sticker. Das Mainboard nennt sich Netboard A8. Die AMD-CPU ist ein GX-420MC SOC, eine CPU der zweiten G-Serie. Die beliebten PC-Engines APU4 verwenden ebenfalls diese Serie, aber eine langsamere Variante, nämlich den GX-412TC. Der GX-420MC ist auf 1,6 GHz heruntergetaktet, normalerweise läuft er auf 2,0 GHz. Deciso hat sich für diesen Schritt entschieden, um die Energieeffizienz zu optimieren. Es gibt keinerlei bewegliche Teile, das Gerät bleibt also jederzeit absolut lautlos.

sysctl hw.model hw.machine hw.ncpu
hw.model: AMD GX-420MC SOC                               
hw.machine: amd64
hw.ncpu: 4

grep -i cpu /var/run/dmesg.boot
CPU: AMD GX-420MC SOC                                (1597.08-MHz K8-class CPU)
FreeBSD/SMP: Multiprocessor System Detected: 4 CPUs
cpu0: <ACPI CPU> on acpi0
hwpstate0: <Cool`n'Quiet 2.0> on cpu0

Die DEC(2)600-Serie verwendet Coreboot ^[Coreboot eine Open Source Firmware]. Das finde ich sehr gut, da es das Gerät vertrauenswürdiger macht. Zukünftige Coreboot-Versionen können vom Benutzer aktualisiert werden, allerdings erscheinen diese nach Aussage von Deciso nicht sehr häufig. Es gibt keine üblichen BIOS/UEFI-Menüs zum Ändern von Einstellungen, aber es gibt einige integrierte Funktionen wie Memtest. Leider versucht das Gerät immer, PXE auf allen vier Schnittstellen zu booten, was die Bootzeit um eine Kleinigkeit verlängert. Da die Bootzeit aber wirklich gut ist, fällt das nicht allzu sehr ins Gewicht.

Betriebssystem¶

Natürlich kommt das Gerät mit OPNsense Business Edition ^[OPNsense Business Edition] vorinstalliert, aber ich wollte sehen, ob auch andere Betriebssysteme booten. Es stellte sich heraus, dass das Booten von Debian Linux ^[Debian Linux Homepage] ebenso funktionierte wie OpenWrt ^[OpenWrt Homepage]. Andere x86-kompatible Betriebssysteme habe ich nicht probiert, aber man kann erwarten, dass sie funktionieren. Falls Sie beispielsweise Ihr OPNsense lieber virtualisieren möchten. In seltenen Fällen kann das sinnvoll sein. Um Debian zu booten, verwendete ich folgende Sequenz:

• Gerät einschalten mit angeschlossenem Debian-Installer-USB-Stick
• help
• F4
• install console=ttyS0,115200n8 vga=F00

Der Debian-Installer empfahl, vga=F00 durch gfxpayload=text zu ersetzen, was ich aber nicht ausprobiert habe.

Wenn Sie sich entschließen, OPNsense nach Erhalt Ihres Geräts neu zu installieren, rät Deciso zu einem Konfigurations-Backup, da es mit optimierten Einstellungen für die Hardware ausgeliefert wird.

Netzwerk-Benchmarks¶

Ich führte mehrere verschiedene Benchmarks entweder mit iperf3 ^[iperf3 Network Benchmark Homepage] oder T-Rex v2.98 ^[T-Rex Network Benchmark von Cisco Homepage] durch, um festzustellen, wie viel Leistung dieses nette Gerät liefert. Während aller Tests lag der Stromverbrauch nie höher als 13 Watt, was überraschend niedrig ist. Gleichzeitig wurde der Kühlkörper nur lauwarm, aber niemals heiß.

Maximaler Durchsatz¶

Um den gesamten Durchsatz des Geräts zu testen, verwendete ich folgenden Aufbau. Das Testgerät ^[DUT Definition] hat 4 Gigabit-Ethernet-Schnittstellen. Die Schnittstellen igb2 und igb3 sind mit Server Nr. 1 verbunden, der zwei dedizierte 10G-Ports hat. Port igb0 ist mit einem Desktop-System verbunden, während igb1 mit Server Nr. 2 verbunden ist. Alle Ports laufen auf 1G.

T-Rex-basierte Benchmarks¶

T-Rex ist eine hochperformande Benchmark-Suite von Cisco. Sie kann sehr hohe Traffic-Raten generieren und zahlreiche Hosts emulieren. Für diese Tests verwendete ich Server Nr. 1 mit zwei mit dem DUT verbundenen Schnittstellen. Die Firewall routet schlicht zwischen den von T-Rex emulierten Hosts, wobei der Paketfilter auf „allow all" gestellt ist. Diese Tests können eine Einschätzung darüber geben, wie sie in realen Situationen performen werden.

Imix 64 Byte 1 GBit/s für 100 Sek.¶

Dies emuliert typischen Internet-Traffic wie HTTP, E-Mail und anderes.

./t-rex-64 -f cap2/imix_64_100k.yaml -c 8 -m 200 -d 100 -l 10

Simple HTTP 1 GBit/s für 100 Sek.¶

Dies emuliert HTTP-Traffic mit hoher Rate.

./t-rex-64 -f cap2/http_simple.yaml -c 4 -m 100 -d 100 -l 1000

Stromverbrauch¶

Auch diesmal liefert Deciso sehr leistungsfähige Hardware und verbraucht dabei sehr wenig Strom. Besonders in aktuellen Zeiten, in denen Effizienz immer wichtiger wird, eine sehr angenehme Überraschung. Diese Geräte laufen typischerweise 24/7 und die Kosten für elektrischen Strom steigen kontinuierlich. Deciso gibt den typischen Stromverbrauch mit rund 12 W an ^[Shop DEC675/DEC695 Deciso], was ich als sehr präzise bestätigen kann.

Hier sind meine Messwerte: | Zustand | Verbrauch | | ----- | ------------| | Booten | 10-12 W | | Idle | 8 W | | Durchsatz-Benchmarks | 11-13 W |

Fazit¶

Deciso liefert erneut ein gut verarbeitetes Metallgehäuse mit nicht nur kleinem physischem, sondern auch ökologischem Fußabdruck. Die gewählte Hardware ist Spitzenklasse mit dedizierten Intel-Chips für die Netzwerkports und einer stromsparenden, passiv gekühlten AMD-CPU. Obwohl sie sehr wenig Strom zieht, kann sie ordentliche Leistung für Zuhause oder kleine Unternehmen und sogar im Rechenzentrum liefern. Gleichzeitig bietet sie Ihnen wesentlich mehr Vertrauenswürdigkeit, da OPNsense Open Source ist und Coreboot verwendet wird. Der Preis wirkt auf den ersten Blick etwas hoch, aber da es sich um hochwertige Firewall-Hardware handelt, halte ich ihn für gerechtfertigt. Wenn Sie mehr Leistung benötigen, empfehle ich einen Blick auf die DEC(2)700-Serie ^[Shop DEC2675/DEC2685 Deciso], die schnellere CPUs und zweimal 10G SFP+-Ports bieten. Das treibt den Preis ein wenig in die Höhe, aber angesichts des nahezu identischen Stromverbrauchs scheint es das bessere Deal zu sein. Für High-End-Performance-Firewalls bietet Deciso die auf AMD Epyc basierenden DEC(3)800-Serie Firewalls an. ^[Shop DEC840 Deciso] ^[Shop DEC3840 Deciso] ^[Shop DEC840 Deciso] ^[Shop DEC3850 Deciso] ^[Shop DEC3860 Deciso]