Homelab-Umbau Teil 2: Die Hardware für die Firewall

Die Ausgangsfrage Link zu Überschrift

In Teil 1 stand fest, was ich will: eine dedizierte Firewall, die das Routing übernimmt, damit der Banana Pi R4 zum reinen Switch und Access Point werden kann. Was noch nicht feststand, war die Hardware.

Meine Anforderung klang erstmal einfach. Init7 liefert hier symmetrisch 10 Gbit, und zwar zum selben Preis wie 1 Gbit. Wenn ich schon eine eigene Kiste kaufe, soll die auch davon möglichst viel durchlassen. Dazu wollte ich Deep Packet Inspection ausprobieren — schon allein, weil das in Firmen eingesetzt wird und ich sowas verstehen will.

Bevor ich Geld ausgegeben habe, hab ich im OPNsense-Forum nachgefragt. Das war die beste Entscheidung im ganzen Projekt.

Was ich lernen musste Link zu Überschrift

Die Antworten waren ziemlich einhellig, und sie haben meine Planung umgeworfen.

Routing und Firewalling mit 10 Gbit ist kein Problem. Dafür reicht erstaunlich kleine Hardware. Ein Intel N100 oder N355 schafft das.

IDS/IPS mit 10 Gbit ist ein völlig anderes Thema. Suricata braucht vor allem hohe Single-Core-Leistung, und ein Gerät, das bei grossen Regelsätzen 10 Gbit mit aktivem IDS schafft, liegt im mittleren vierstelligen Bereich. Zenarmor läuft in der Gratisversion sogar nur single-threaded.

Und dann kam das Argument, das mich am meisten überzeugt hat: Der grösste Teil des interessanten Verkehrs ist verschlüsselt. Was eine DPI-Lösung auf Layer 7 davon sieht, ist überschaubar — es sei denn, man bricht TLS auf. Das hiesse aber, jedem Gerät im Netz eine eigene CA unterzuschieben, und spätestens bei Handys und IoT-Kram scheitert das.

Die Empfehlung war stattdessen: saubere Trennung wenig vertrauenswürdiger Geräte, DNS-Blocklisten, IP-Blocklisten, dazu sowas wie CrowdSec. Also genau das, was ohnehin auf meiner Liste stand.

Ein Mitleser hat auch gleich den Folgeeffekt beschrieben: Wer eine 10-Gbit-Firewall hat, will als nächstes einen 10-Gbit-Switch. Und dann sucht man Gegenstellen, die überhaupt so schnell liefern können. Das ist ein Kaninchenbau mit eigener Dynamik.

Was ich gestrichen habe Link zu Überschrift

DPI und IDS als Kaufkriterium. Nicht als Thema — ich will mir das später immer noch anschauen. Aber ich lass nicht die Hardware-Auswahl davon bestimmen, ob ich Suricata bei voller Leitungsgeschwindigkeit fahren kann. Das kostet ein Vielfaches und liefert bei verschlüsseltem Verkehr wenig.

Damit war die teure Appliance vom Tisch, bevor ich sie ernsthaft in Erwägung gezogen hatte.

Was ich trotzdem nicht gemacht habe Link zu Überschrift

Die naheliegende Konsequenz wäre ein kleiner Mini-PC mit N-Serie-CPU und zwei SFP+-Ports gewesen. Gibt es für ein paar hundert Euro, verbraucht wenig Strom, reicht fürs Routing.

Ich hab mich trotzdem dagegen entschieden, und das aus einem einzigen Grund: Ich wollte mir die Option nicht verbauen. Wenn Suricata vor allem Single-Core-Leistung braucht, dann ist die CPU die Stelle, an der man später nicht mehr nachrüsten kann. Ein N355 hätte mich dauerhaft auf “kein IDS” festgelegt. Ein aktueller Desktop-Prozessor lässt mir die Wahl — auch wenn ich sie vielleicht nie nutze.

Dazu kommt: Ein normales Mainboard hat einen normalen PCIe-Slot. Damit kann ich die Netzwerkkarte tauschen, wenn ich später mal was anderes brauche. Bei einem Mini-PC mit verlöteten Ports geht das nicht.

Die Teile Link zu Überschrift

Gesamtpreis für die Neuteile: CHF 481.45. Dazu kam eine gebrauchte Netzwerkkarte für rund 45 Euro und eine SSD, die ich noch hatte.

Das SFP-Modul für die Glasfaser musste ich nicht kaufen — das steckte vorher im R4 und ist einfach umgezogen. Der Port am R4, an dem es sass, hängt jetzt per DAC-Kabel an der OPNsense.

Warum eine uralte Netzwerkkarte Link zu Überschrift

Die X520-DA2 basiert auf dem Intel 82599. Der Chip ist Baujahr 2009. Man bekommt die Karten gebraucht für 40 bis 50 Euro, während aktuelle 10-Gbit-Karten ein Vielfaches kosten.

Das ist kein Kompromiss, sondern der eigentlich richtige Zug. Bei OPNsense zählt Treiberreife mehr als Chipgeneration. Der ix-Treiber für den 82599 ist seit Ewigkeiten im FreeBSD-Basissystem und entsprechend abgehangen. Bei mir hiessen die Interfaces nach der Installation ix0 und ix1, und es lief auf Anhieb — kein Tunable, keine Nacharbeit.

Das ist nicht selbstverständlich. Dell-gebrandete X520-Karten prüfen teilweise die Hersteller-ID des gesteckten Moduls und verweigern fremde Optiken oder DAC-Kabel. Falls dir das passiert: Unter FreeBSD lässt sich die Prüfung mit hw.ix.unsupported_sfp="1" in der /boot/loader.conf abschalten. Ich hatte Glück und brauchte das nicht — aber ich hätte es vorher wissen wollen.

Was dabei rauskommt Link zu Überschrift

Gemessen mit iperf3 über acht parallele Streams von der Workstation zur Firewall:

[SUM]   0.00-35.21  sec  38.0 GBytes  9.27 Gbits/sec  1053   sender

9,27 Gbit/s. Bei 10 Gbit brutto sind nach Ethernet- und TCP-Overhead rund 9,4 das theoretische Maximum — die Firewall ist also nicht der Engpass. Dabei zieht die Kiste 90 Watt und bleibt unhörbar.

Ein Hinweis zur Methode: Acht parallele Streams sind Absicht. Ein einzelner TCP-Stream hängt an einem CPU-Kern und misst eher den Einzelkern als die Maschine. Wer 10-Gbit-Zahlen sieht, sollte immer fragen, wie gemessen wurde.

Was ich anders machen würde Link zu Überschrift

Das Netzteil. Gemessen mit einem Zwischenstecker: gut 50 Watt im Leerlauf, rund 90 Watt unter Volllast (mit -25 im Curve Optimizer). Ein 650-Watt-Netzteil läuft damit dauerhaft am unteren Ende seiner Effizienzkurve. Kleiner wäre sinnvoller gewesen — nur gibt es die RMe-Serie nicht unter 650 Watt, und mit der Serie hab ich gute Erfahrungen. Wer den Verbrauch ernst nimmt, sollte hier breiter suchen als ich.

Kein ECC. Das Board kann es nicht, und das war mir beim Kauf klar. Für eine Firewall zu Hause halte ich das für vertretbar; die Alternative wäre eine Server-Plattform zum mehrfachen Preis gewesen. In einer Firma würde ich anders entscheiden.

Das Gehäuse ist überdimensioniert. Das Node 304 hat sechs Laufwerksplätze, von denen ich einen nutze. Ich mag das Gehäuse, aber eine Firewall braucht es nicht.

Was ich richtig gemacht habe Link zu Überschrift

Gefragt, bevor ich bestellt habe. Ohne den Thread hätte ich vermutlich eine deutlich teurere Appliance gekauft — für eine Funktion, die ich bei verschlüsseltem Verkehr kaum genutzt hätte.

Nächster Schritt Link zu Überschrift

Im nächsten Teil kommt der eigentlich unangenehme Part: Die Hardware steht, aber das Netz läuft ja weiter. Wie schiebt man eine Firewall zwischen Anschluss und Router, ohne dabei alles lahmzulegen — und was macht man, wenn man sich dabei selbst aussperrt.

Teil einer Serie über den Umbau meines Heimnetzes. Stand: August 2026. Fragen, Korrekturen und eigene Erfahrungen gerne in die Kommentare.