Utilisation d'un routeur perso

[clement_e]

il me plait bien celui-là

https://www.ui.com/edgemax/edgerouter-x/

si tu dis qu'il fonctionne bien avec K-Net, je rajoute un éméteur wifi et roule
et il fait VPN pour que je puisse me connecter à distance à la maison?

Merci !

[halesk2k]

Depuis la 1.10.9 il gère les IP DHCP en /32 correctement donc normalement, pas de soucis. https://community.ubnt.com/t5/EdgeMAX-Updates-Blog/EdgeMAX-EdgeRouter-software-release-v1-10-9/ba-p/2701956

Attention a ne pas passer le firmware en 2.x.x, il est complètement buggé.

Sinon côté perf le ER-X sait gérer du gigabit mais il est vraiment au max de ce qu'il peut faire. Attention par contre a la conf, entre autre pour la partie VPN et pour s'amuser un peu, il va falloir passer par la ligne de commande.

Comme je l'ai mis au dessus, je n'ai pas testé les perf en IPv6. Bon vu qu'il n'a pas d'accélération hardware, ça devrait être comme l'ipv4.

[Hugues]

En ipv4 il route 1gbos c'est sûre mais peut être pas dans les deux sens. Et je crois qu'en gigabit on est au max de sa capacité, donc si y a d'autre fonctionnalité a côté , bah ça risque de
limiter. C'est pour ça que je conseil l'ERL ou le RB4011, voire le RB3011 (que je n'ai jamais teste. Hugues devait me faire un retour d'expérience mais je l'ai jamais vu )

Attention :

L'ERX c'est moins bien qu'un ERL :
- Le CPU est bien moins puissant, et il a des accélérateurs (qui ne sont pas vraiment des ASIC au sens propre du terme)
- Il route moins de PPS. Alors avec des gros paquets ça ne se voit pas à 1G, mais avec des petits paquets c'est flagrant.

Chez Mikrotik, le 4011 est incroyable mais hors de prix, un 3011 c'est très bien.

[Schmultruc]

Avez-vous pensé à la gamme des routeurs ASUS ?
Je ne sais pas s'ils sont compatibles avec le réseau Covage, mais mon RT-AC68U fonctionne parfaitement sur Rosace.
Il possède pas mal de fonctions, dont le Wifi et extensible en AiMesh. Le VPN est également disponible.

[halesk2k]

En ipv4 il route 1gbos c'est sûre mais peut être pas dans les deux sens. Et je crois qu'en gigabit on est au max de sa capacité, donc si y a d'autre fonctionnalité a côté , bah ça risque de
limiter. C'est pour ça que je conseil l'ERL ou le RB4011, voire le RB3011 (que je n'ai jamais teste. Hugues devait me faire un retour d'expérience mais je l'ai jamais vu )

Attention :

L'ERX c'est moins bien qu'un ERL :
- Le CPU est bien moins puissant, et il a des accélérateurs (qui ne sont pas vraiment des ASIC au sens propre du terme)
- Il route moins de PPS. Alors avec des gros paquets ça ne se voit pas à 1G, mais avec des petits paquets c'est flagrant.

Chez Mikrotik, le 4011 est incroyable mais hors de prix, un 3011 c'est très bien.

En vrai, c'est un peu plus compliqué que ça, en vrac:
- Ce n'est pas très important, mais l'ERL est bien plus vieux que l'ER-X.

- L'ERL a un CPU de moule asthmatique, mais il a des ASICs qui s'occupent de la partie routage. Ce qui implique qu'il est capable de router 1MPPS (1 Million de Paquets Par Seconde) sans que le CPU ne soit impacté.
Par contre ça implique que le reste n'est pas accéléré. Par exemple, il atteint péniblement les 130 Mb/s en IPSec en ASE128/SHA1, et avec un autre algo, c'est la cata.
Coté interface, l'ERL a 3 vrais interface réseau connecté directement au CPU, ça en fait donc un très bon routeur.
Clairement, en désactivant l'offload hardware (autrement dit, en désactivant l'utilisation des ASIC de routage), ce routeur est incapable de router 1 Gb/s de traffic. Mais on s'en fou, car il n'y a aucun interêt à le désactiver.

- D'un autre coté, l'ER-X à un CPU beaucoup plus puissant mais n'a pas d'ASICs, donc le CPU sera utilisé pour router les paquets et pour tout le reste. Le routeur a été conçu de tel sorte qu'il soit suffisant pour être capable de router 1 Gb/s de traffic avec son CPU, à condition que les paquets fassent 1400~1500o (octets). Egalement, comme le CPU est plus puissant, il est capable de chiffer/déchiffer 250 Mb/s de traffic en IPSec en AES128, AES256, SHA1, SH256...
Aussi, L'ER-X à un switch intégré (contrairement à l'ERL)
Et pour finir, l'ER-X peut être alimenté en POE passif (24v) sur le port eth0. Et dans ce cas la, il peut meme alimenté lui même un autre équipement en POE passif (24v) sur ton port eth4, comme par exemple un UAP-AC-Lite. En gros ca fait un cablage comme ca:
220V + ONT => [Injecteur POE] => [ERL eth0 | ERL eth4] => [Point d'accès wifi], ca peut être pratique dans certain cas.

Par rapport à ton besoin:
1/ Dans la vrai vie, sur un connexion grand public, tu ne fera jamais 1 Gb/s de traffic avec des petits paquets (<1400o), donc pas de problème coté débit.
2/ Comme tu veux faire du VPN, la puissance brut du CPU est un paramètre important.
3/ Le switch intégré peut être pratique suivant ton installation.

Donc pour ton besoin, je dirais que l'ER-X est plus adapté.

Maintenant sans justification pour ton besoin, l'ERL est quand même un très bel objet pour le prix auquel on le trouve Avoir un routeur, avec des vrais interfaces, avec des ASIC, qui gère 1MPPS à la maison, c'est trop la classe. Mais la c'est mon âme de geekos qui parle.

N'hésite pas si tu as d'autres question, j'ai déjà testé et martyrisé ces deux routeurs J'ai prété mon ER-X, mais j'ai mon ERL à coté si tu as besoin que je fasse un test d'une fonction en particulier.

[Hugues]

- L'ERL a un CPU de moule asthmatique, mais il a des ASICs qui s'occupent de la partie routage. Ce qui implique qu'il est capable de router 1MPPS (1 Million de Paquets Par Seconde) sans que le CPU ne soit impacté.

- D'un autre coté, l'ER-X à un CPU beaucoup plus puissant mais n'a pas d'ASICs, donc le CPU sera utilisé pour router les paquets et pour tout le reste. Le routeur a été conçu de tel sorte qu'il soit suffisant pour être capable de router 1 Gb/s de traffic avec son CPU, à condition que les paquets fassent 1400~1500o (octets). Egalement, comme le CPU est plus puissant, il est capable de chiffer/déchiffer 250 Mb/s de traffic en IPSec en AES128, AES256, SHA1, SH256...

Non, j'insiste !

L'achi mmips de l'ERL fait qu'il a plus de patate qu'un ERX sur les fonctions annexes au routage/réseau et accessoirement, il a plus de flash, plus de ram... plus de tout quoi.

L'ERX a des accélérateurs (qui ne sont toujours pas des ASIC) : https://help.ubnt.com/hc/en-us/articles/115006567467-EdgeRouter-Hardware-Offloading

D'ailleurs les deux gèrent l'accélération IPSEC en Hw, donc je t'invite a réessayer tes benchs

[halesk2k]

- L'ERL a un CPU de moule asthmatique, mais il a des ASICs qui s'occupent de la partie routage. Ce qui implique qu'il est capable de router 1MPPS (1 Million de Paquets Par Seconde) sans que le CPU ne soit impacté.

- D'un autre coté, l'ER-X à un CPU beaucoup plus puissant mais n'a pas d'ASICs, donc le CPU sera utilisé pour router les paquets et pour tout le reste. Le routeur a été conçu de tel sorte qu'il soit suffisant pour être capable de router 1 Gb/s de traffic avec son CPU, à condition que les paquets fassent 1400~1500o (octets). Egalement, comme le CPU est plus puissant, il est capable de chiffer/déchiffer 250 Mb/s de traffic en IPSec en AES128, AES256, SHA1, SH256...

Non, j'insiste !

L'achi mmips de l'ERL fait qu'il a plus de patate qu'un ERX sur les fonctions annexes au routage/réseau et accessoirement, il a plus de flash, plus de ram... plus de tout quoi.

L'ERX a des accélérateurs (qui ne sont toujours pas des ASIC) : https://help.ubnt.com/hc/en-us/articles/115006567467-EdgeRouter-Hardware-Offloading

D'ailleurs les deux gèrent l'accélération IPSEC en Hw, donc je t'invite a réessayer tes benchs

Bah moi aussi j'insiste. Je te le dis en toute amicalité, comme pour le thread sur le Hex S, t'es pénible à ne pas vérifier ce que tu dis et à toujours me contredire, mais j'aime bien le débat

1/ Déjà, c'est pas du mmips, mais du mips. Pour info, le mmips, c'est de la merde, c'est du mips castré, tu vas en trouver dans les Mikrotik à 15€
2/ Le CPU de l'ER-X est aussi sous architecture MIPS. La différence, c'est que c'est du MIPS64 sur l'ERL, mais bon, avec un OS 32bits, et des paquets de 1500o, 32...64 ça change pas grand chose.
3/ Il est sortie plus de 2 ans après l'ERL. Pour info, le CPU du ERL date de 2007, c'est vraiment un vieux CPU. Il a beau être bien équilibré pour l'utilisation dans un routeur, c'est quand même un vieux truc.
4/ Le CPU de l'ER-X est cadencé à 880Mhz, avec 2 core / 4 thread. Là où l'ERL n'a que 2 cores @ 500 Mhz
5/ La RAM, on s'en fou. Pour faire routeur + 1 lien VPN, 64 Mo de RAM aurait suffit.

Le ER-X sait gérer 250KPPS, ce qui est suffisant pour une connexion grand public. Tu le sais déjà, mais je le dis pour les autres. Avec des paquets de 1500o, il suffit de 80KPPS pour saturer 1 Gb/s. Donc on peut même descendre la MTU à 500, il tiendrait encore le 1 Gb/s.

Le truc que je ne sais pas par contre, c'est quel est le débit du lien interne entre le switch et le CPU, de mémoire, il est à 1,25 Gb/s. Ce qui implique, si je ne me trompe pas, que le routeur ne saurait pas gérer un envoi et une réception d'1Gb/s simultanément. Mais toujours pareil, sur une connexion GP, OSEF, du moment qu'il tient le DL ou l'UL en giga, ca suffit.

Les tests de perfs, je les ais déjà fait y a déjà pas mal de temps. Et ils correspondent à peu prêt à ce qui est fait ici: https://www.simonmott.co.uk/2018/08/ubiquiti-edgerouter-ipsec-performance/. De mémoire, je montais à 13Mo/s avec une conf ultra basique en IPSec sur l'ERL et à plus de 20Mo/s sur l'ER-X. Les deux tiennent le 1 Gb/s en natif avec un iperf (mtu à 1500)

Concernant l'accélération IPSec, c'est du pipo, c'est juste que les CPUs "modernes" ont des instructions CPU sachant calculer de l'AES. Et c'est d'ailleurs du fait que le ERL soit vieux, qu'il ne sait pas "accélérer" autre chose que de l'AES128 avec ses vieilles optimisation, là où le ER-X sait aussi gérer de l'AES256 grâce a son CPU plus récent.

Alors qu'on soit clair, en routage pur en tant que CE devant un transit, pour tenir une full view BGP pour pas cher, l'ERL est juste un bijoux d'optimisation. Mais pour un routeur sur une ligne fibre 1gb/s grand public pour DL des fichiers ou du torrent à 1Gb/s et monter des VPNs, l'ER-X est clairement plus adapté, je pense. En plus, il coûte la moitié du prix de l'ERL et il a un switch bien pratique.

Volontiers, je ferais les tests quand j'aurai récupéré mon ER-X. Mais j'attends ton review sur le RB3011 que tu m'avais promis

[Hugues]

Bah moi aussi j'insiste. Je te le dis en toute amicalité, comme pour le thread sur le Hex S, t'es pénible à ne pas vérifier ce que tu dis et à toujours me contredire, mais j'aime bien le débat

Et pourtant je me renseigne, justement !

1/ Déjà, c'est pas du mmips, mais du mips. Pour info, le mmips, c'est de la merde, c'est du mips castré, tu vas en trouver dans les Mikrotik à 15€

My bad, trop l'habitude des rb2011 et autres trucs du genre qui sont en mmips

2/ Le CPU de l'ER-X est aussi sous architecture MIPS. La différence, c'est que c'est du MIPS64 sur l'ERL, mais bon, avec un OS 32bits, et des paquets de 1500o, 32...64 ça change pas grand chose.

Certes, pour moi MT ne faisait que de l'ARM (et ça aurait été franchement tout à leur honneur)

3/ Il est sortie plus de 2 ans après l'ERL. Pour info, le CPU du ERL date de 2007, c'est vraiment un vieux CPU. Il a beau être bien équilibré pour l'utilisation dans un routeur, c'est quand même un vieux truc.

Ouais enfin ça ne veut pas dire grand chose ça...

4/ Le CPU de l'ER-X est cadencé à 880Mhz, avec 2 core / 4 thread. Là où l'ERL n'a que 2 cores @ 500 Mhz

Tout se joue sur les accélérateurs hardware, ce ne sont pas les mêmes, j'ai pas les block diagrams des CPU mais vu l'implem soft ca semble assez équivoque
un MIPS (et un ARM aussi d'ailleurs) ça ne vaut rien en routage sans accélérateur

5/ La RAM, on s'en fou. Pour faire routeur + 1 lien VPN, 64 Mo de RAM aurait suffit.

Pas si tu veux utiliser la stack Debian. Et le vrai souci c'est la flash, ca complique les MAJ et empèche la bidouille. Ce n'est pas pour rien que les bidouilleurs jouent avec des ERL, plus de place.

Le ER-X sait gérer 250KPPS, ce qui est suffisant pour une connexion grand public. Tu le sais déjà, mais je le dis pour les autres. Avec des paquets de 1500o, il suffit de 80KPPS pour saturer 1 Gb/s. Donc on peut même descendre la MTU à 500, il tiendrait encore le 1 Gb/s.

Certes 250kpps c'est bien, mais ça pose deux soucis :

Quelqu'un peut dégommer ta connexion juste en envoyant des petits paquets avec une FTTH. C'est quand même con
En usage normal, tu as beaucoup de petits paquets qui transitent (rien que DNS et RTP), donc compter sur les perfs avec des gros paquets, ça me gêne. Oui c'est de l'enculage de mouches sur une FTTH, mais bon on a largement passé ce cap

Le truc que je ne sais pas par contre, c'est quel est le débit du lien interne entre le switch et le CPU, de mémoire, il est à 1,25 Gb/s. Ce qui implique, si je ne me trompe pas, que le routeur ne saurait pas gérer un envoi et une réception d'1Gb/s simultanément. Mais toujours pareil, sur une connexion GP, OSEF, du moment qu'il tient le DL ou l'UL en giga, ca suffit.

Ben de toute façon avec 250kpps tu seras limité assez vite si tu veux faire du symétrique.

Les tests de perfs, je les ais déjà fait y a déjà pas mal de temps. Et ils correspondent à peu prêt à ce qui est fait ici: https://www.simonmott.co.uk/2018/08/ubiquiti-edgerouter-ipsec-performance/. De mémoire, je montais à 13Mo/s avec une conf ultra basique en IPSec sur l'ERL et à plus de 20Mo/s sur l'ER-X. Les deux tiennent le 1 Gb/s en natif avec un iperf (mtu à 1500)

Concernant l'accélération IPSec, c'est du pipo, c'est juste que les CPUs "modernes" ont des instructions CPU sachant calculer de l'AES. Et c'est d'ailleurs du fait que le ERL soit vieux, qu'il ne sait pas "accélérer" autre chose que de l'AES128 avec ses vieilles optimisation, là où le ER-X sait aussi gérer de l'AES256 grâce a son CPU plus récent.

Je ne touche pas à IPSEC donc j'ai pas grand chose a dire, juste que la doc dit expréssément que l'ERL sait faire de l'AES256 en offload.
Btw vu que l'offload IPSEC est tout frais a ma connaissance, ca ne coute rien d'essayer

Alors qu'on soit clair, en routage pur en tant que CE devant un transit, pour tenir une full view BGP pour pas cher, l'ERL est juste un bijoux d'optimisation. Mais pour un routeur sur une ligne fibre 1gb/s grand public pour DL des fichiers ou du torrent à 1Gb/s et monter des VPNs, l'ER-X est clairement plus adapté, je pense. En plus, il coûte la moitié du prix de l'ERL et il a un switch bien pratique.

Une fullview sur un ERL le fait crasher, mauvaise idée. Il faut un ER-8 mini pour tenir autant de routes.
(bon et tu ne mets pas un CE devant un transit mais plutôt un pe d'edge mais spa le sujet)

Pour avoir eu les deux (je les ai toujours dans un placard mais plus l'utilité), c'est des routeurs sympa, je dis pas, mais pas destinés à la même chose.
Je continuerais a recommander de l'ERL à ceux qui veulent de l'Ubiquiti, ça me semble plus fiable, stable et sa capa de routage te laisse de la marge pour jouer avec les features annexes, genre le DPI, le GRE, etc...

Volontiers, je ferais les tests quand j'aurai récupéré mon ER-X. Mais j'attends ton review sur le RB3011 que tu m'avais promis

Je ne me souviens même plus de quoi il en était, mais j'ai galéré pour avoir un débit correct sur les 3011, visiblement le NAT est mal foutu et quand tu as beaucoup de connexions, il ne suit plus. Vu que tous mes pe svc étaient des 3011, débit de merde partout.

Maintenant j'ai remplacé ça par une stack CCR avec un 1016 pour le nat, un 1036 pour le tunneling, et de l'autre coté un 4011 sans NAT pour la collecte. Ben ça marche au poil.

[halesk2k]

ça me fait plaisir que t'ai pris le temps de répondre. J'ai dis de la merde sur l'aes256, c'est le sha256 qui n'est pas offload, ca m'apprendra à me baser sur ma mémoire au lieu de revérifier.

Je suis d'accord avec tout ce que tu dis sur l'ERL et l'ER-X techniquement. Pour la full view, j'ai pas testé moi même, n'ayant rien pour me la fournir et ayant la flemme d'en simuler une, mais j'avais vu des thread sur le net avec des gens qui tenait 2 full view sur un ERL, depuis le temps, je me disais qu'on pouvait au moins en tenir 1, elle est peut être trop grosse maintenant. bref,...

Pour le choix ER-X vs ERL, si c'est pour monter une architecture basique 1 LAN,  1 WAN, 1 VPN, pour une utilisation "normal" d'Internet, je pense que l'ER-X est mieux adapté. De plus il a un Switch, du POE passif, a un plus petit form factor, et coûte 2 fois moins cher. Pour mettre a la maison, mon avis est que ça suffit largement.

Après si c'est pour avoir un routeur qui fait du routage inter VLAN, qui va devoir supporter un traffic symétrique 1 GB/s, sur lequel on veut s'amuser, l'ERL est je pense, mieux adapté. L'ERL, c'est ce que j'ai eu pendant des années devant ma Freebox a l'époque et au début de k-net et j'ai jamais eu le moindre problème ou plantage. Et pourtant, il faisait du routage, nat, DHCP, ipsec, openvpn, GRE, filtrage, ... C'est un super boîtier.

Après, y a encore la solution de Schmultruc qui propose un routeur Asus, c'est du plug and play (attention tjs au IP en /32). Après je n'ai jamais toucher ce genre de matos.

Merci pour ton retour sur le 3011, du coup j'ai bien fait de prendre un 4011 Le 4011 est une tuerie en terme de perf, et j'adhère vraiment a la CLI de Mikrotik beaucoup plus lite que celle d'Ubiquiti.
Un bémol juste sur l'openvpn, Mikrotik persiste avec son implémentation a chier au lieu d'intégrer le vrai soft.

Bon il est clairement overkill pour ma connexion, mais au moins, je me pose pas de question.

Pour les tests de débit en routage natif uni et bidirectionnel , avec ou sans VPN, je fais ça quand je récupère mon ER-X !

[clement_e]

Whaou vous m'avez tué avec vos messages... Je suis un newbie dans tout ses trucs là 

En gros je passe d'une freebox mini avec son serveur assez simple de config pour le vpn
pour mon réseau, j'ai tout mes équipements sont sur un switch et un cpl qui descend le signal vers la TV et la chaine hifi.

à l'étage au cul du switch j'ai 2 nas, une alarme, un cisco sip et c'est tout.

Après pour ce qui est du débit, je vais passer de 4meg à la fibre. Honnêtement pour synchroniser mon exchange je crois pas que 1g soit nécessaire, quoi qu'il en soit celà fonctionnera bien mieux que today.
Le VPN, c'est pas mal pour accéder à mes dossiers à distance, c'est tout.

Si le ERX suffit et est simple de paramétrage, impec

[halesk2k]

Whaou vous m'avez tué avec vos messages... Je suis un newbie dans tout ses trucs là 

En gros je passe d'une freebox mini avec son serveur assez simple de config pour le vpn
pour mon réseau, j'ai tout mes équipements sont sur un switch et un cpl qui descend le signal vers la TV et la chaine hifi.

à l'étage au cul du switch j'ai 2 nas, une alarme, un cisco sip et c'est tout.

Après pour ce qui est du débit, je vais passer de 4meg à la fibre. Honnêtement pour synchroniser mon exchange je crois pas que 1g soit nécessaire, quoi qu'il en soit celà fonctionnera bien mieux que today.
Le VPN, c'est pas mal pour accéder à mes dossiers à distance, c'est tout.

Si le ERX suffit et est simple de paramétrage, impec

Simple de paramétrage, ça dépend de ce que tu sais faire, mais c'est pas une case à cocher dans l'interface graphique.

Voilà la documentation pour faire du L2TP avec un Windows 10 apr exemple.

https://help.ubnt.com/hc/en-us/articles/204950294-EdgeRouter-L2TP-IPsec-VPN-Server

La documentation pour OpenVPN:
https://help.ubnt.com/hc/en-us/articles/115015971688-EdgeRouter-OpenVPN-Server

[PicouzeMan]

Après, y a encore la solution de Schmultruc qui propose un routeur Asus, c'est du plug and play (attention tjs au IP en /32). Après je n'ai jamais toucher ce genre de matos.

C'est très certainement moins performant que mikrotik pour le même prix mais c'est plus orienté grand public, pas besoin d'être un geek averti ou du métier pour configurer un ASUS.

[halesk2k]

Après, y a encore la solution de Schmultruc qui propose un routeur Asus, c'est du plug and play (attention tjs au IP en /32). Après je n'ai jamais toucher ce genre de matos.

C'est très certainement moins performant que mikrotik pour le même prix mais c'est plus orienté grand public, pas besoin d'être un geek averti ou du métier pour configurer un ASUS.

Tout a fait, c'est pour ça que j'ai mis les liens vers la config ubiquiti pour montrer que c'est pas simple

[clement_e]

Commandé 

je vais le tester sur ma freebox, comme ca quand Knet arrivera juste un cable à changer 

PS : je risque de te demander 2-3 truc (ou pas mais comme ca tu seras pas surpris.... )

[Hugues]

Merci pour ton retour sur le 3011, du coup j'ai bien fait de prendre un 4011 Le 4011 est une tuerie en terme de perf, et j'adhère vraiment a la CLI de Mikrotik beaucoup plus lite que celle d'Ubiquiti.
Un bémol juste sur l'openvpn, Mikrotik persiste avec son implémentation a chier au lieu d'intégrer le vrai soft.

RouterOS v7 est passé en phase de beta interne, donc sur un malentendu, ils auront repatché OpenVPN, le souci de l'implem actuelle est lié au vieux kernel, de mémoire...

Le truc bizarre avec la CLI Mikrotik, c'est qu'elle est complètement a l'envers par rapport à de l'IOS, je l'utilise, mais sans plus

L'API par contre, c'est du bonheur !