还有其他人在企业中使用 OpenBSD 作为路由器吗？你在什么硬件上运行它？

Question

我们在每个位置都有一个 OpenBSD 路由器，目前在 4U 服务器机箱中的通用“自制”PC 硬件上运行。由于可靠性问题和空间考虑，我们正在考虑将它们升级到一些适当的服务器级硬件，并提供支持等。

这些盒子用作每个站点的路由器、网关和防火墙。在这一点上，我们非常熟悉 OpenBSD 和 Pf，因此对于从系统转移到其他东西（例如专用 Cisco 硬件）犹豫不决。

我目前正在考虑将系统移至某些 HP DL 系列 1U 机器（型号尚未确定）。我很想知道其他人是否在他们的业务中使用这样的设置，或者已经迁移到或离开了。

Answer 1

我们专门运行 OpenBSD 路由器/防火墙来为 FogBugz On Demand 提供服务。除非您是中转角色，并且需要专用硬件和集成软件可以提供的极高 pps 吞吐量，否则基于可靠硬件的 OpenBSD 将是一个更易于管理、可扩展和经济的解决方案。

将 OpenBSD 与 IOS 或 JUNOS 进行比较（以我的经验）：

好处

缺点

只要您不是在讨论类似 ISP 的环境中的骨干路由器或与专用网络连接接口的边缘路由器，OpenBSD 就可以了。

硬件

对您的路由器性能而言，最重要的是您的 NIC。如果您的 NIC 为接收到的每个数据包而中断，那么在中等负载下，快速 CPU 很快就会不堪重负。寻找至少支持中断缓解/合并的千兆网卡。我在 Broadcom (bge, bnx) 和 Intel (em) 驱动程序方面很幸运。

CPU 速度比专用硬件更重要，但不必担心。任何现代服务器级 CPU 都会在出现任何压力之前处理大量流量。

为自己准备一个不错的 CPU（多核目前还没有多大帮助，所以看看原始 GHz）、良好的 ECC RAM、可靠的硬盘驱动器和坚固的机箱。然后将所有内容加倍并将两个节点作为主动/被动 CARP 集群运行。由于 4.5 的 pfsync 升级，您可以运行 active/active，但我还没有测试过。

我的路由器在 1U 双节点配置中与我们的负载平衡器并排运行。每个节点有：

自部署以来，它们一直坚如磐石。关于这一切对于我们的流量负载来说都是过大的，但我已经测试了 800Mbps 以上的吞吐量（网卡受限，CPU 大部分时间处于空闲状态）。我们大量使用 VLAN，因此这些路由器也必须处理大量内部流量。

电源效率非常好，因为每个 1U 机箱都有一个 700W PSU 为两个节点供电。我们已经通过多个机箱分配了路由器和平衡器，因此我们可以丢失整个机箱并进行几乎无缝的故障转移（感谢 pfsync 和 CARP）。

操作系统

其他一些人提到使用 Linux 或 FreeBSD 而不是 OpenBSD。我的大多数服务器都是 FreeBSD，但我更喜欢 OpenBSD 路由器，原因如下：

比 Linux 和 FreeBSD 更注重安全性和稳定性
任何开源操作系统的最佳文档
他们的创新集中在这种类型的实现上（参见 pfsync、ftp-proxy、carp、vlan management、ipsec、sasync、ifstated、pflogd 等——所有这些都包含在 base 中）
FreeBSD 的 pf 端口落后于多个版本
pf 比 iptables、ipchains、ipfw 或 ipf 更优雅和易于管理
更精简的设置/安装过程

也就是说，如果您非常熟悉 Linux 或 FreeBSD 并且没有时间投资，那么选择其中之一可能是一个更好的主意。

Answer 2

pfsense是一款出色的基于 FreeBSD 的防火墙，其功能非常丰富，易于设置，并且拥有活跃的社区和支持选项。有几个人在论坛中活跃的商业/生产情况下使用它。我在家里使用它并在工作中推动它，它是一个非常好的组合替代品。他们甚至有一个 VM 映像可供下载以进行测试！