Netgate
Netgate er selskapet bak brannmurplattformen pfSense, og selger dedikerte brannmur-appliances som 1100, 2100, 4200, 6100 og 8200. Boksene har ikke innebygd WiFi – de kombineres med et aksesspunkt. Grunnoppsettet tar under en time: WAN, LAN, DHCP og brannmurregler. Legg til VLAN-er for segmentering og VPN for fjerntilgang – alt via nettleser.
Netgate-brannmurer og annet nettverksutstyr ligger under nettverk – testet og på lager i Norge.
Netgate er det amerikanske selskapet som utvikler og eier pfSense – en av verdens mest brukte brannmurplattformer. I tillegg til programvaren selger Netgate ferdige brannmur- og VPN-appliances: dedikert maskinvare med pfSense Plus forhåndsinstallert. For en SMB betyr det enterprise-brannmur med VLAN, VPN, IDS/IPS og trafikkstyring – uten årlige lisenskostnader per bruker.
Hva er Netgate?
Netgate står bak både programvaren og maskinvaren. pfSense er en FreeBSD-basert brannmurplattform, og den finnes i to varianter: pfSense CE (Community Edition, gratis og åpen kildekode) og pfSense Plus (kommersiell, inkludert på Netgate-maskinvare). Plus-versjonen får oppdateringer oftere og har noen ekstra ytelsesoptimaliseringer (som OpenVPN DCO for raskere VPN).
En brannmur er førstelinjeforsvaret mellom bedriftsnettverket og internett. Netgate-appliances er bygget for akkurat denne jobben: lavt strømforbruk, ingen bevegelige deler på de mindre modellene, og maskinvare som er testet mot programvaren den kjører.
Hvorfor pfSense
pfSense gir deg funksjoner som ellers krever dyre enterprise-brannmurer. Stateful brannmur, NAT, DHCP, DNS, VPN (WireGuard, OpenVPN, IPsec), VLAN og IDS/IPS – alt i én boks. Grensesnittet er nettleserbasert, så du trenger ikke lære CLI for daglig drift.
Netgate-modellene
Netgate tilbyr brannmur- og VPN-apparater i flere størrelser. Den nåværende serien går fra lille Netgate 1100 til toppmodellen 8300. Tallene under er omtrentlige – reell gjennomstrømming avhenger av pakkestørrelser, regelsett og om IDS/IPS og VPN er aktivert:
| Modell | Ytelsesklasse og porter (ca.) | Passer til |
|---|---|---|
| Netgate 1100 | Gigabit-klasse, 3× 1GbE | Hjemmekontor, mikrobedrift |
| Netgate 2100 | ca. 0,9 Gbps brannmur / ca. 120 Mbps IPsec, 5× 1GbE | Små kontor, opptil ~15 brukere |
| Netgate 4200 | Multi-gigabit brannmur, 4× 2,5GbE | SMB, 15–50 brukere, VPN og IDS/IPS |
| Netgate 6100 | Multi-gigabit brannmur, 10G SFP+-porter | Større SMB med 10GbE-nettverk |
| Netgate 7100 (XG-7100) | ca. 6,8 Gbps brannmur / ca. 1,3 Gbps IPsec, 8× 1GbE switch + 2× 10G SFP+ | Større SMB, 10GbE – fås brukt hos Axentra |
| Netgate 8200 | Blant de kraftigste i serien, 10G SFP+-porter | Krevende miljøer, mange VPN-brukere |
Eldre modeller som SG-3100 (ca. 2,4 Gbps brannmur) og SG-4100 (ca. 4,1 Gbps brannmur, ca. 960 Mbps IPsec) er utgått av produksjon, men dukker jevnlig opp i bruktmarkedet og gjør fortsatt god jobb i små nettverk.
Velg en modell med minst dobbelt så mye brannmur-throughput som internettlinjen din. IDS/IPS (Suricata) og VPN reduserer effektiv throughput med 30–60 % avhengig av regelsett. En 500 Mbps-linje med VPN og IDS bør ha Netgate 4200-klassen eller bedre.
Netgate og WiFi
Et vanlig spørsmål: har Netgate-boksene trådløst? Svaret er nei – Netgate-appliancene leveres uten innebygd WiFi. De er rene brannmurer/rutere, og det er et bevisst designvalg: radiodelen er det leddet som eldes raskest og som gjør mest for plassering i bygget.
Standardoppsettet er derfor Netgate-brannmur + ett eller flere dedikerte aksesspunkter (Ubiquiti, Aruba, Ruckus og lignende) koblet til switchen. Det gir bedre dekning enn en alt-i-ett-boks, og du kan knytte hvert SSID til sitt eget VLAN – ett trådløst nett for ansatte og ett for gjester, med brannmurregler imellom. Hvordan du segmenterer slik er tema for VLAN-guiden.
Grunnoppsett steg for steg
Første oppstart med en ny Netgate-appliance:
1. Koble til fysisk. WAN-porten går til ISP-modemet (eller ONT). LAN-porten går til switchen eller direkte til en PC for første konfigurasjon.
2. Åpne webgrensesnittet. Koble en PC til LAN-porten og gå til https://192.168.1.1. Standard brukernavn er admin, passord pfsense. Endre passordet umiddelbart.
3. Kjør veiviseren. pfSense viser en oppsettveiviser ved første innlogging. Sett tidssone, WAN-type (DHCP fra ISP er vanligst), LAN-subnett og nytt admin-passord.
4. Sjekk WAN-tilkobling. Under Diagnostics > Ping, ping en ekstern adresse (f.eks. 1.1.1.1). Fungerer det, er WAN oppe.
5. Konfigurer DNS. Under System > General Setup kan du sette egne DNS-servere (f.eks. 1.1.1.1 og 9.9.9.9) eller la pfSense bruke ISP-ens servere automatisk via DHCP.
6. Oppdater firmware. Under System > Update, sjekk om det finnes en nyere versjon og installer den før du konfigurerer videre.
VLAN-oppsett
VLAN-er lar deg segmentere nettverket uten ekstra maskinvare. Du trenger en managed switch med 802.1Q-støtte koblet til pfSense via en trunk-port – se VLAN for nybegynnere for hele konseptet.
På pfSense:
- Gå til Interfaces > Assignments > VLANs. Opprett VLAN-er med ønsket ID (f.eks. 10 for administrasjon, 20 for servere, 30 for klienter).
- Velg LAN-porten som parent interface for alle VLAN-ene.
- Under Interfaces > Assignments, tilordne hvert VLAN til et nytt grensesnitt (OPT1, OPT2, osv.).
- Aktiver hvert grensesnitt, sett IP-adresse (f.eks. 192.168.10.1/24, 192.168.20.1/24).
- Aktiver DHCP-server per VLAN under Services > DHCP Server.
- Legg til brannmurregler per VLAN under Firewall > Rules.
På switchen: Sett porten mot pfSense som trunk (tagged for alle VLAN-er). Sett portene mot klienter som access-porter med riktig VLAN-ID.
VPN for fjerntilgang
pfSense støtter tre VPN-protokoller:
WireGuard (offisiell tilleggspakke i pfSense) er raskest og enklest å sette opp. Bruker nøkkelpar (public/private key) i stedet for sertifikater. Ideelt for fjerntilgang fra bærbare og mobiler. WireGuard-ytelsen er best på Intel-baserte modeller (4200, 6100, 7100) – ARM-baserte modeller som 1100 og 2100 har mer begrenset WireGuard-throughput.
OpenVPN er mest fleksibelt og har lang track record. Støtter både UDP og TCP, fungerer gjennom de fleste brannmurer. pfSense Plus har OpenVPN DCO som kan doble throughput.
IPsec er industristandard for site-to-site VPN mellom to lokasjoner. Drar nytte av maskinvareakselerasjon (AES-NI, QuickAssist) på Intel-baserte Netgate-modeller – 7100 gir over 1 Gbps IPsec.
Nyttige pakker
pfSense har et pakkesystem (System > Package Manager) med tilleggsmoduler:
pfBlockerNG blokkerer reklame, skadelige IP-adresser og phishing-domener på DNS-nivå. Fungerer som en nettverksdekkende annonseblokkerer uten å installere noe på klientene.
Suricata (IDS/IPS) overvåker nettverkstrafikken for inntrenging og kan blokkere mistenkelig trafikk i sanntid. Krever mer CPU – Netgate 4200-klassen eller bedre anbefales for fullt regelsett (ET Open). Mindre modeller håndterer Suricata med et redusert regelsett, men kan oppleve ytelsestap under høy trafikk.
HAProxy er en reverse proxy og lastbalanserer. Nyttig hvis du kjører flere webtjenester bak én offentlig IP-adresse.
Brukt Netgate 7100 fra Axentra
Netgate 7100 (XG-7100) er spesielt interessant brukt: en 1U-appliance med Intel Atom C3558, innebygd 8-ports gigabit-switch og to 10G SFP+-porter. Den innebygde switchen betyr at et lite kontor kan klare seg uten separat switch, og SFP+-portene gjør den klar for 10GbE mot serverrom – med DAC-kabel eller fiber, som forklart i kabelguiden.
Med ca. 6,8 Gbps brannmur-throughput og ca. 1,3 Gbps IPsec har den godt med takhøyde for norske fiberlinjer, VPN og VLAN-segmentering i én boks. Axentra fører brukt Netgate 7100 sammen med annet nettverksutstyr – be gjerne om et tilbud på ønsket oppsett via kontaktsiden.
Ofte stilte spørsmål
Kan jeg kjøre pfSense på egen maskinvare?
Ja, pfSense CE kjører på de fleste x86-maskiner med to eller flere nettverksporter. En gammel PC med Intel NIC fungerer. Netgate-appliances gir deg pfSense Plus, dedikert maskinvare og støtte – men det er ikke et krav.
Har Netgate-boksene innebygd WiFi?
Nei. Netgate-appliancene er rene brannmurer/rutere uten trådløs radio. Kombiner dem med ett eller flere dedikerte aksesspunkter – det gir bedre dekning, og du kan knytte SSID-er til ulike VLAN-er.
Hva er forskjellen på pfSense og OPNsense?
OPNsense er en fork av pfSense fra 2015. Begge er FreeBSD-baserte. OPNsense har et mer moderne grensesnitt og raskere oppdateringssyklus. pfSense har større brukerbase og mer dokumentasjon. Begge fungerer godt for SMB.
Hvor mange VLAN-er kan pfSense håndtere?
Teknisk opptil 4 094 (IEEE 802.1Q-standarden). I praksis begrenses det av ytelse – en mellomklassemodell håndterer 10–20 VLAN-er uten problemer. De fleste SMB-er trenger 3–5.
Trenger jeg Netgate-maskinvare for pfSense?
Nei. pfSense CE er gratis og kjører på standard x86-maskinvare. Netgate-appliances gir deg pfSense Plus, testet maskinvare og profesjonell støtte. For en bedrift som vil ha stabilitet og support er Netgate verdt merkostnaden.
Hva skjer hvis Netgate-boksen feiler?
pfSense støtter konfigurasjon-backup (Diagnostics > Backup & Restore). Eksporter konfigurasjonen regelmessig. Ved maskinvarefeil kan du gjenopprette på en ny boks på minutter.
Kan pfSense erstatte en Ubiquiti-gateway?
Ja, og den gir deg langt mer kontroll. Ubiquiti USG/UDM er enklere å sette opp, men har begrenset brannmur- og VPN-funksjonalitet. pfSense er mer kraftig, men krever noe mer konfigurasjon.
Kan jeg kjøre pfSense Plus på egen maskinvare?
Tidligere tilbød Netgate en gratis Home/Lab-lisens for pfSense Plus på egen maskinvare. Den er fjernet. I dag krever pfSense Plus Netgate-maskinvare eller et Netgate TAC-abonnement. Vil du kjøre på egen maskinvare uten kostnad, er pfSense CE eller OPNsense alternativene.
Er WireGuard sikkert nok for bedriftsbruk?
Ja. WireGuard er innebygd i Linux-kjernen fra versjon 5.6, har gjennomgått formell sikkerhetsrevisjon og bruker moderne kryptografi (ChaCha20, Curve25519). Den har færre kodelinjer enn OpenVPN, noe som reduserer angrepsflaten.
Neste steg
Start med grunnoppsettet: WAN, LAN, DNS og oppdater firmware. Når det fungerer, legg til VLAN-er for å skille servere fra klienter og gjester. Sett opp WireGuard-VPN for fjerntilgang. Til slutt: installer pfBlockerNG for DNS-basert annonseblokkering og vurder Suricata hvis sikkerhet er en prioritet.
Usikker på hva du trenger?
Få en konkret pris på en konfigurasjon som passer ditt behov – vi svarer samme dag på hverdager.
Få tilbud