stephenyeong's blog

由於長期未能解決pfSense 2.0 的PPTP server 問題。所以決定換software.

條件是

• Linux
• UTM
• VMware ready
• SMP multi processor support
• IPSec (Site to  Site VPN返公司)
• PPTP

Wiki 了一會，再用了Google找找。最後選擇了Astaro。
http://www.astaro.com/landingpages/en-worldwide-homeuse

安裝

安裝之前，先在Astaro網頁request了一套home license （後來發現無license也能下載，並且有30日試用）

下載完一個556MB ISO後就準備安裝

在ESXi內，先開一個VM，
CPU : Single socket 2 Core
RAM : 2GB ﹣4GB  (今次開了3GB試試)
HDD : 10GB (無10GB 不肯安裝)
Network : 3xE1000 (LAN,WAN1,WAN2)

再Mount起ISO直接INSTALL。安裝完REBOOT一次就問LAN IP ADDRESS 就完成了。

第一次入WEB界面會有Wizard幫助，問了十個問題左右就完成。

Main Screen 選項分類不太難用，Dashboard 比pfSense 詳細。

Free Home License

進入Management -> Licensing 就能上載伸請來的Free Home License。
Free Home 只是沒有HA 以及限際 50個LAN IP使用，IPS、Antivirus、Anti-spam 提供三年免費更新。

IPSec (Site to Site VPN)

設定上遇到了問題，原來Astaro是不支援Agressive mode IKE，只有Main Mode IKE 可用。沒了Agressive Mode 只好修改公司ROUTER 個設定，用dyndns host name 為peer identity。

PPTP

設定比較簡單，因為預設了IP Address range。只需設定USER就完成。用IPAD測試過可以用。

Speed test – Speedtest.net

由於Astaro有IPS及WEB PROXY，SPEEDTEST.NET只能到200Mbps左右。

Speed test – iperf

但用iperf 返公司電腦 WAN／VPN (BB100)分別有90Mbps及60Mbps

CPU使用方面，
90Mbps NAT時使用了15%
60Mbps IPSec Tunnel 時使用了25%

NAT test, JPerf to Office WAN

VPN test, Jperf to Office LAN through 3DES-SHA1 Tunnel

Speed test – FTP

再測試用filezilla由ftp.cuhk.edu.hk下載檔2個檔案

Fedora-16-x86_64-Live-Desktop.iso (633339904 bytes)
Fedora-16-x86_64-Live-KDE.iso (729808896 bytes)

最後共用了45秒完成。即是1.3GB/45 = 28.8MB/s (~230Mbps)

Speed test – BitTorrent

試用BitTorrent下載幾個大檔案

ubuntu-11.10-server-i386.iso + ubuntu-11.10-server-amd64.iso + ubuntu-11.10-desktop-i386.iso + ubuntu-11.10-desktop-amd64.iso

同時下載4個六百幾MB檔案，尖峰可達12MB/s

預告，下一回寫Performance Tuning.

因為手上的Wireless LAN 卡可以開幾個SSID，所以決定玩多一樣  ﹣Guest Zone。

先在ESXi 內開多一個VMNetwork – Guest 並且設定好Security ﹣Promiscuous Mode＝Accept。

並且在現有的pfSense VM及OpenWrt VM各加多一個e1000 Network Interface 並連接到Guest Zone。

OpenWrt 設定好新增的e1000界面及開多一個Bridge Interface  br-Guest

Wireless 加多一個SSID叫OpenWrtGuest，設定好一個易記的WPA Preshared Key 並開橋接到br-guest。

由於是Guest Zone，使用者不可以進入OpenWrt Web管理界面，所以Interface Protocol設定為Unmanaged

pfSense方面，同樣設定好Interface。IP、DHCP Server、Proxy Server。

最後設定Firewall Rules ，Guest Network 除了不能進入LAN Network、Management界面外，其他Traffic 就Accept。

等了1年零9個月, pfSense 2.0 終於出了正式版。回顧這兩年多, 由試vyatta轉用pfSense、ClearOS最後再轉返pfSense。

pfSense給我的印像是介面最好的Router。

簡潔的Dashboard, 似乎預設的擺位為了Multi WAN + Multi LAN

設定方面，由淺入深。
最基本想做到NAT功能只需設定好LAN和WAN的IP
深入少少可以睇睇Firewall/NAT

有Session Limit (Firewall Maximum States, 預設22,000)、Clear DF bit、Route/NAT 相關設定。

最深入可以去到System Tunables，直接設定Kernel/module parameter (應該沒有機會使用吧)。

報表雖然未有 per firewall policy 的 RRD Graph，但預設的Interface Graph 設計幾有心思.

其他

IPSEC VPN – 可以用Overlapped range，VPN返公司可以用埋公司做Hub-and-Spoke (這個是ClearOS沒有的)
PPTP – 雖然設定怪怪的，但應用上沒有大問題
UPNP – eMule/MSN可以經UPNP開incoming NAT rule, 省了不少時間

自從pfSense轉了用 Bridged GE+WLAN LAN, 每逢Router reboot，Windows 7 就會話網絡位置改變了。 Windows 7 的網絡位置會變回最安全的 Public, 開啟Firewall 並關閉檔案分享。

今日終於下決心解決它。

原來Windows 7 個 Network Location 用 Default Gateway 個MAC Address來認出位置，剛好pfSense個Network Bridge 又會隨機選一個MAC Address。每逢Restart Router, Windows會收到一個全新的Gateway MAC Address。

解決方法就是在pfSense裏設定Bridged LAN interface 用固定的MAC Address。

Finally, pfSense  2.0 router with AP working.

The tweak is, make both WLAN and LAN as opt  interface, bridge them and make bridged interface as LAN

interface to network port assignment

bridge interface members

今日終於有時間做下載測試

用Vuze BT 19.70GB, 9:25開始, 到12:13已完成51.7%.

Broadband: HGC 10M
Router Hardware: 致銘ITX-M4S2GAP w/2GB DDR2, 4GB CF
Router Software: pfSense 2.0 Beta1 snapshot 2009-12-31
Modified: kern.polling.idle_poll=0

Processor Usage, current 5%

Session Table, current 2200 sessions, 25.4 state changes per second

Traffic, current DL 9.59Mbps, UL 5.42Mbps

Vyatta Releases Vyatta Core 6 Alpha

Vyatta 今日推出了VC6的alpha版, 而且一出就是alpha 2.

新增功能有

• Wireless AP (可作為AP的 PCI CARD)
• Traffic Statistics ( Netflow & Sflow )
• 加強 IPSec  連接的相容能力
• 加入了之前訂閱版的功能
  • Firewall enchancements
  • NAT enchancements
  • QoS enhancements
  • IPv6 enhancements
  • Over 200 bug fixes

http://www.vyatta.org/downloads.
VC6 ALPHA (recommended for developers & hackers)
VC6 Alpha – Live CD iso
Date: Nov 12, 2009
Size:159 MB
MD5:e1e05745f36a37995915122f72926786
Download: via HTTP | via BitTorrent
Release Notes

今晚唔知有無時間試呢

最後還是install了kernel 到2.6.30

apt-get install linux-image-2.6.30-1-vyatta-virt
download完後答兩個簡單問題再reboot就update了

新Kernel + r8169 2.3LK確認沒有kernel panic 問題.

終於upgrade了屋企隻router
原來要用 full-upgrade -k -i 才能upgrade

似乎jumboframe packet 會令到隻router kernel dump個問題解決了

利用IPTraf來實時監察router的流量

安裝方法
http://www.vyatta.org/forum/viewtopic.php?t=2947

BT中…