Стоит ли использовать USG-PRO-4 или USG для входящего соединения на 1 Гбит?

Стоит ли использовать USG-PRO-4 или USG для входящего соединения на 1 Гбит?, UniFi Network

bmilovich1

Guest

26.10.2018 22:35:00

Собираюсь переезжать, и в новом месте будет интернет с пропускной способностью 1 Гбит от Comcast. Сейчас у меня стоит Unifi Security Gateway (USG), но не уверен, не лучше ли взять USG-PRO-4? Судя по тому, что я читаю на сайте Xfinity, кажется, мне понадобится трансивер. У обычного USG его точно нет, а у USG-PRO-4 есть SFP-порты.

В таком случае, если взять USG-PRO-4, могу ли я обойти Comcast-модем и сразу подключить его к USG-PRO-4? А потом уже по SFP подключить к моему коммутатору Ubiquiti? Я правильно думаю или ошибаюсь?

mexicanjesus Guest	#2 13.11.2018 04:20:00 У меня слишком большой трафик для моей скорости, чтобы пропускная способность так сильно резалась.

bmilovich1

Guest

13.11.2018 04:24:00

Вот и всё. Я выберу USG, а перед ним поставлю pfsense. Конечно, это может показаться излишним, но не хочу жертвовать скоростью из-за IDS/IPS, при этом хочу иметь этот уровень защиты. Очевидно, что xg-8 — самый простой вариант, если хочешь собрать всё в одной экосистеме, но цена уж слишком кусачая. В любом случае спасибо за советы, буду брать USG-Pro, возможно даже pro-4.

mexicanjesus Guest	#4 13.11.2018 19:25:00 Я часто перезагружаю свои устройства, поэтому мои показатели немного не совпадают.

mexicanjesus Guest	#5 13.11.2018 19:22:00 Два фаервола? У меня такой же модем, но он работает в режиме pass through через мой USG, и у меня случаются потери пакетов, но ничего серьёзного, вроде падения скорости нет.

bclothier

Guest

13.11.2018 19:12:00

Я выбрал USG, а перед ним поставлю pfSense. Вот моя текущая схема: Arris BGW210-700 (то есть AT&T) → pfSense → USG Pro 4 → [Другие компоненты UniFi]. В моём варианте pfSense — это граничное устройство, напрямую подключённое к интернету. Оно обеспечивает работу файрвола, фильтрацию DNS (через pfBlockerNG) и корпоративный IDS/IPS (через Suricata). UniFi не предлагает таких модулей, как pfBlockerNG, а их IDS/IPS сильно уступает по уровню Suricata или Snort. Так что, если вы ищете защиту от внешних угроз, по моему мнению, pfSense — лучший вариант.

USG Pro 4 у меня — внутреннее устройство, которое помогает управлять локальной сетью через контроллер UniFi. В этом плане USG Pro 4 для меня лучше pfSense: он обеспечивает DPI и великолепно визуализирует собранные данные. Кроме того, через очень удобный графический интерфейс я могу напрямую управлять внутренними устройствами (компьютерами, серверами, принтерами, IoT и так далее).

Кому-то может не понравиться такая схема из-за возможной тройной NAT. Но я перевёл Arris BGW210-700 в режим passthrough, и pfSense получил IP-адрес от Arris. Таким образом, по факту у меня двойной NAT. Однако учтите, что «passthrough» на любых потребительских шлюзах от AT&T — это не настоящий режим моста, поэтому двойной NAT с AT&T — не совсем обычный двойной NAT.

При этом мои пинги к внешним DNS-серверам (например, к 1.1.1.1 и 1.0.0.1 от Cloudflare) обычно не превышают 3 мс. Задержка никак не отличается, если подключать устройства напрямую к Arris BGW210-700. Значит, и pfSense, и USG Pro 4 не влияют негативно на скорость. Мой тариф на 300 Мбит/с, при этом я получаю примерно 375 Мбит/с на загрузку и 240-270 Мбит/с на отдачу. Эта скорость не меняется, если обходить pfSense и USG Pro 4 и подключаться напрямую к Arris BGW210-700.

Пониженная скорость отдачи, по-видимому, связана с режимом passthrough на Arris BGW210-700. Если подключить ноутбук напрямую к Arris, результаты примерно те же. Но если запускать тест скорости внутри самого Arris BGW210-700, то скорость как загрузки, так и отдачи — примерно 375 Мбит/с. Интересно, сталкивался ли кто-то с таким же поведением.

slooffmaster Guest	#7 13.11.2018 16:05:00 @mexicanjesus Всегда можно добавить немного усилий😉 Это на линии 500/500 с использованием USG-4P без IDS/IPS:

togstown

Guest

13.11.2018 15:27:00

Имейте в виду, что pfsense, который обрабатывает IPS/IDS на пропускной способности линии, требует достаточно мощного оборудования. Всё, что слабее небольшого серверного процессора с 4 ядрами, не справится. Насколько мне известно, Netgate XG-7100 подойдёт, но стоит он около 1000 долларов (что всё равно вдвое дешевле USG-XG-8).

mexicanjesus Guest	#9 13.11.2018 04:18:00 Я? Нет. У меня включён DPI, но только и всего. Похоже, что только usg-xg-8 сможет справиться с гигабитом при включённом DPI.

bmilovich1 Guest	#10 13.11.2018 04:15:00 Но ты же не используешь IDS/IPS, правда?

mexicanjesus

Guest

#11

13.11.2018 03:19:00

USG с тех пор, как мы сделали апгрейд. Очень хотелось бы вообще обойти шлюз от att, но не знаю. Сейчас он в режиме «прозрачного моста», но чувствую, что он ещё на что-то способен. Лол, USG будет вполне хватать для 1 Гбит. В документах написано, что он потянет что-то вроде трёх... или типа того. Нам нравится наш.

bmilovich1 Guest	#12 13.11.2018 02:06:00 Извиняюсь за столь долгий ответ (был на операции на ноге, долго отходил). Я изучаю скорости IPS/IDS на PFSense, потому что это кажется интересным вариантом. Кстати, кто-нибудь знает, какие модели способны обрабатывать полный гигабит? И правильно ли я понимаю, что для PFSense лицензии не нужны?

Читают тему (гостей: 1)