Hello again! Some days ago I talked to a Sophos employee and he founds out that I am the Network Guy and he said that I need to update my recommended hardware for the home edition deployment of the Sophos XG and Sophos UTM Home Edition. Also some of my followers wanted it also, so I took some hours of research to find a good hardware for UTM and also XG use. The UTM supports some Realtek network cards and also a USB NIC compatibility. The XG only supports Intel network cards and won’t start until there are two recognized network interfaces. Since there is only a feature request for XG USB NIC support, we need to add an additional network card in our setup. I think a passive cooled system is a good way to deploy a home firewall system. Since our home internet connection speed reaches 100Mbit per second and beyond, we will need a performant hardware device to route traffic.
I compared many vendors and thought that we give a chance to the ASRock mini ITX mainboard series. The ASRock website makes it easy to compare different mainboard modells. I found the J4105-ITX and the J5005-ITX, both have the same hardware, the only difference is the built-in processor. The ASRock J5005-ITX has the Intel Quad-Core Pentium Silver Processor J5005 (up to 2.8 GHz) processor and the ASRock J4105-ITX has the Intel Quad-Core Processor J4105 (up to 2.5 GHz). So what does this mean? The SG and XG hardware are using of course also Intel CPUs. You can see it in the Sophos SG/XG Series Appliances Technical Specifications datasheet:
So based on this information I compared it with the SG/XG 230 hardware (using Intel Pentium G4400). I found the website UserBenchmark.com to compare CPU benchmarks. The battle between the Intel Pentium G4400 and the J4105-ITX shows, that the CPU are very similiar (only a difference of 7%):
The J5005-ITX mainboard with the Intel Pentium Silver J5005 is only 7% faster but it costs about 45€ more than the J4105-ITX mainboard. So I would recommend the ASRock J4105-ITX mainboard. The original Sophos SG/XG 230 hardware (8GB memory) costs about 1800€ and can easily secure a 100 user company with a firewall throughput of 7Gbit/sec. With all activated security features (Intrusion Prevention, Advanced Threat Protection, Web Protection, Application Control, etc.) you can nearly reach 1GBit/sec. So I think this is a pretty good home hardware ;-)
Hardware recommendation
Self-built system
This recommendations are not tested! Maybe I will order this hardware for proofing or someone of you can proof it.
| Article | Name | Ø Price |
| Mainboard | ASRock J4105-ITX | 99€ |
| Second NIC | Intel EXPI9301CTBLK Gigabit | 29€ |
| Memory | Crucial CT2K4G4SFS824A DDR4 8GB (2x 4GB Kit) | 38€ |
| Hard drive | Crucial BX500 CT120BX500SSD1(Z) 120GB | 19€ |
| Case | SilverStone SST-ML06B | 62€ |
| Power supply | SilverStone SST-ST30SF v 1.0 – SFX Serie, 300W | 50€ |
| PCI express extension cable | glotrends PCI-E Verlängerungskabel 0,6 m UEX101 | 10€ |
| Total: | 307€ |
complete system
I found a similar complete system: Kettop Mi5250L (Intel I5-5200U, 8GB Memory, 128GB SSD, 4 NICs) for 353€ including shipping from Hongkong. The device has four Intel I211-AT network interfaces. I didn’t tested this device, so I give no guaranty that it works with Sophos UTM and/or XG. There is also a cheaper device with four Intel NICs.
| Article | Link | Ø Price includig shipping |
| System with SG/XG 230 performance | Kettop Mi5250L (Intel I5-5200U, 8GB Memory, 128GB SSD, 4 NICs | 353€ |
| System with SG/XG 135 performance | Mi19W-S2 (Intel Celeron J1900, 4GB Memory, 64GB SSD, 4 NICs | 259€ |
Registration, Software Download and Installation
| Sophos UTM | Sophos XG |
| Account registration | Account registration |
| ISO file download | ISO file download |
| Install Sophos UTM from USB Stick | Install Sophos XG from USB Stick |
Feel free to comment the recommendation or ask for further installation help. If you want to support me, buy stuff over my Amazon links or click on an advertisement. Thank you very much!
56 Responses
Hi all,
I can personally recommend just buying a barebone fanless product and add memory and SSD yourself. I have installed about 10 Qotom Q355G4 barebones with UTM and also XG.
There is a comprehensive guide here:
https://shred086.wordpress.com/2017/11/22/installing-sophos-xg-on-a-qotom-q355g4/
Hi Jan,
yeah I think this would be the easiest way, the complete system from “Kettop” is the same hardware https://amzn.to/2GpWlrj and they have also the Intel network chip I211-AT.
Hallo Michel,
leider ist der Artikel zur Zeit bei Amazon nicht lieferbar. Hast du evtl. noch eine andere Quelle wo ich diese bzw. gleichwertige HW kaufen kann?
Hoffe das Amazon bald wieder etwas auf Lager hat!
Danke für dein tollen Blog.
Gruss Norman
Hi Norman,
wenn man “Mini PC Desktop i5-5200u” sucht, findet man weitere Modelle, achte hier auf Dual Netzwerkkarten und Intel Netzwerkkarten. Keine Gewähr bei den Geräten :-D
Danke.
This one is working for me since 1 year without problems on UTM:
https://www.aliexpress.com/store/product/Intel-Core-i3-Dual-Core-Pfsense-mini-computer-4-Intel-Gigabit-Firewall-Router-Support-Aes-ni/2131173_32953950610.html
My 150 Mbit/s line is not stressing the cpu, usually it sits around 4% load.
Hi Michel
i like the “Kettop”, seams to bee a good hardware (performance/price). Does the XG Home support 4 LAN-Ports (1 WAN + 3 LAN) or do i need a smart switch to segment LAN?
Hi Martin,
yes you can use all four ports to segment LAN.
I think you will need more ports for your devices ;-) so you can use a vlan-tag-supported switch. I always recommend the Netgear GS108E-300PES https://amzn.to/33tdPwZ with 5, 8, 16 or 24 ports. The device has a web management interface.
Hi, super Blog. Habe viele informative Beiträge gelesen. Nun hätte ich eine Frage. Wollte meinen SG 105 auf 8GB RAM hochrüsten. Wenn ich einen passenden 8GB Speicher einsetze, die Firewall (UTM 9.6) bootet nicht. Wie gesagt der Speicher ist geprüft uns passt von der Spezifikation her. Gibt`s da einen Trick?
Gruß Pezo
Hey Michel,
kann es sein, dass du bei dem “Self Build System” die zweite Netzwerkkarte vergessen hast?
Ich kann nur ein ETH Anschluss darauf erkennen!?
Danke.
Gruss Norman
Oh mein Gott du hast Recht… tut mir Leid habe die zweite NIC in die Tabelle gepackt. Sorry!
Moin moin,
wichtige Information. Ich hab hier das Asrock J4105-ITX. Dieses Board hat kein Legancy Boot. Und ich habe bisher nix gefunden um die Sophos UTM Software mittels UEFI zu installieren.
Gruß
Kai
Guten Morgen Kai,
oh nein :( hast du eventuell eine Alternative die ich hier eintragen könnte?
Ich fürchte da wirds auch keine Alternative geben, weil alle neuen Intel Boards ab der Gemini Platform kein Legacy Boot mehr unterstützen. Also eher nach was Älterem Ausschau halten.
Huhu, ich hab jetzt lange gesucht.. nix wirklich gefunden was quasi “aktuell” Veraltet ist. Hab jetzt erstmal pfSENSE drauf geschmissen. Wenn ich Langeweile hab setz ich nen Debian mit Proxmox drauf und hau die Sophos in eine VM :-)
Gruß Kai
Dennoch muss ich sagen ist die Hardware-Empfehlung nicht schlecht. Vom Verbrauch her ist der PC echt fluffig. Allerdings ist das Raisercable… bissl über. Man kann die LAN Karte von Intel auch einfach so einbauen :D
Moin Michel, habe mir direkt bei kettop einen Mini pc bestellt (kommt dann aus Korea, hoffe das Teil kommt überhaupt an!).
Meine UTM soll gegen eine XG ersetzt werden und meine derzeitige Hardware macht schon länger zicken und hat nur zwei NiCs, usb zu nic wird ja seitens XG nicht unterstützt…
Lasse alle wissen wie die Hardware ist, wenn die Kiste rennt ;-)
Kann es sein, dass man die Kettop Mini PC nur noch direkt bestellen kann? Ansonsten steht bei den Händlern derzeit nicht verfügbar. Gibt es ggf. anderen Alternativen für Komplettsysteme oder dann doch lieber Komponenten zusammenstecken?
https://www.aliexpress.com/item/32953950610.html
den habe ich seit knapp 2 Jahren im Einsatz, ohne probleme.
Hallo Zusammen
Habe auf einem Filtlet 2 die UTM-Home installiert (Konfiguration steht noch aus)
https://www.minidis.de/fitlet2
@andre – die kettops gibt es entweder über eher unbekannte Händler aus dem europäischen Ausland, habe daher direkt vom Händler aus Korea bestellt. Kontakt mit kettop bisher top! Haben für mich im Nachgang die Lieferadresse noch einmal angepasst – super Support! Teil hängt bisher noch in der Post, ist aber schon in Europa ;-)
Gebe wie gesagt Feedback, sobald ich das Ding aufgesetzt habe.
In virtualisierten Systemen hat man laut Sophos Performance Einbußen, da die Treiber ja virtuell umgesetzt sind. Habe selbst keine großen Erfahrungen was die Hone Version angeht, habe gehört, dass sowohl utm unter proxmox gut läuft!
Hallo Luca,
ich habe die Kettops jetzt bei mir im Einsatz und kann sagen es läuft tadellos.
Musste aber auch ca. 3xWochen auf die LIeferung warten.
@Michel: Ich habe zwei AP’s von Sophos(AP55 und AP55C) und habe sie für MESH konfiguriert. Wenn ich dann den “sekundären” AP vom Netzwerk trenne kann er sich nicht mehr verbinden. Er sollte doch ohne Netzwerk sich beim “Root AP” melden und verbinden. Hast du eine Idee?
Danke.
Gruss Norman
Mit den AP’s hat sich erledigt. Nachdem in den Access Point gelöscht und wieder neu aufgenommen hatte funktioniert es.
Gruss Norman
Hi Norman, ansonsten kann man auch Access Points auf ein default Image flashen: https://community.sophos.com/kb/en-us/135236
Hi Norman!
Das klingt super, bei mir läuft der kleine Kettop auch einwandfrei :)
Ich spare mir mein review hier in einem Kommentar. Wer mag, kann mich gerne anschreiben!
Hallo Norman
Hallo Luca
Ich gehe davon aus, dass ihr die Kettop-Produkte mit Sophos XG betreibt.
Ist dem so ?
Ich würde ungern einen Haufen Euronen umsonst investieren.
Hallo Sebastian,
ja – ich betreibe auf meiner Kettop Hardware eine Sophos XG.
Hast du Fragen hierzu, schreib mich gern privat an.
Luca
Hallo Luca
Vielen Dank für deine Antwort.
Dann bestelle ich mir mal so ein Kistchen..
Beste Grüsse
Sebastian
Hi, ich habe eine kleine Frage und hoffe du hast eine Idee. Ich habe die Tage HW und SW erneuert und nun einen J1900 und XG installiert. Leider ist der VPN SSL Durchsatz echt schlecht. von meiner 100 Mbit VDSL Leitung merke ich nichts. Die alte HW (D2500CC) und UTM konnte meinen komplette Upload nutzen. Kann es sein, dass die XG nicht wirklich gut läuft?
Eigentlich sollte eine XG von der Logik her (alles in einer Firewall-Regel; nicht mehr jedes Paket durch alle möglichen Filter) schneller sein. Hast du mal eine Regel an erster Stelle gesetzt ohne aktivierten Webfilter und ohne Intrusion Prevention?
Das habe ich versucht, leider ohne erfolg. mehr als 400-700KB schaffe ich nicht über den Tunnel. Dabei zeigt mir psmon für von nicht mehr als 10-20% an. Ansonsten ist der J1900 schon ok für meine Internetleitung würde ich sagen. Ach ja, schau mal nach HUNSN auf Amazon. Vielleicht was für deine Seite =)
Gruß
Cool HUNSN sieht top aus, im Grunde genommen ist es wahrscheinlich alles aus einer einzigen Fabrik und die Händler nennen es einfach nur um :D
auch mal Unterschied TCP und UDP getestet? Du musst in der lokalen ovpn Datei noch beim Ziel auf tcp oder udp ändern.
Hi,
ich hab es grad getestet. TCP 500-700KB UDP 1300-1900KB Eine klare Steigerung. Beim Speedtest steigt die CPU Last laut PSMON auf bis zu 60% bei sslvpn. Finde das schon sehr viel. Das hat UTM aus meiner Sicht besser geschafft. Werde aber wohl wieder auf TCP stellen, da es im Urlaub oder freien WLAN’s weniger “Probleme” macht. Hast du evtl noch eine Idee?
Gruß
Hi Robert,
UDP ist generell besser. Du kommunizierst ja via TCP und wenn das noch mal via TCP “umtunnelt” wird, wird es natürlich sehr langsam :)
teste bitte mal IPsec VPN bzw. “Sophos Connect” die neue XG-VPN Möglichkeit. Testest du mit “iperf”? https://iperf.fr/iperf-download.php#windows
auf dem “server” startest du eine commandline und startest dann iperf3 -s
und auf dem Client iperf3 -c IP-ADRESSE
Hallo zusammen, ich möchte nun nach gut 6 Jahren mit der Konfiguration (Intel BLKD2500CCE Sockel BGA (mini-ITX, Intel NM10, 2x DDR3 SO-DIMM, PC3-8500S, max 4GB) ein Upgrad durchführen.
Der ASROCK J5005 sieht für mich dafür am besten aus. Nun zu meiner Frage: “Ist es möglich die SSD samt der bestehenden Sophos UTM Installation in die neue Hülle mit dem J5005 zu übernehmen, also ohne Neuinstallation/Konfiguration?
Danke und Gruß
Ich würde es dir nicht empfehlen. Einfach ein Backup der Konfiguration machen, die neue Maschine sauber neu installieren und dann das Backup einspielen. Hat bei mir gut geklappt.
Danke für deine Antwort :).
Also werde ich neuinstallieren per USB Stick und dann die Konfiguration der alten übernehmen.
Funktioniert das einfach so? Weil sich im Prinzip ja die gesamte Hardware verändert inkl. der beiden Netzwerkadapter von Intel zu Realtek.
Grüße
Hi Theo,
die Zuordnung der eth-Interfaces “könnte” nicht mehr passen. Am besten schaust du welches Interface auf die lokale LAN IP dann reagiert, Alternativ geht das Ändern auch mit der Anleitung https://networkguy.de/changing-network-interfaces-in-sophos-utm/
Ok wegen Realteak musst du noch mal schauen, gib mal Bescheid ob die gefunden werden im System. UTM geht mit Realtek Karten besser um als XG. Bei XG ist direkt “adios” mit Realtek :)
Ich kann die Kansung Firewalls empfehlen. Haben 4 x Intel I211-AT Gigabit LAN und eine recht kraftvolle i5 CPU, dabei sind sie passiv gekühlt. Läuft bei mir seit 2 Jahren fehlerfrei.
https://www.aliexpress.com/item/32859103215.html
Vielen Danke für deinen Hinweis, ich habe schon mit dem Gedanken gespielt gleich eine XG aufzubauen, das werde ich nun nicht tun.
Es bleibt dabei, ich werde parallel die Neue UTM installieren und wenn die Konfig sich nicht importieren lässt, dann werde ich diese halt manuell neu konfigurieren.
Danke und Grüße
Hi zusammen,
zuerst vielen Dank, Michel, für den super informativen Blog.
Ich wollte mal nach eurer Meinung fragen, da ich mir ebenfalls einen Kettop (Mi5005L 5Th Gen Intel Core I3-5005U) gekauft habe. 8GB Ram und 120gb ssd von Crucial rein gebaut. Der PC benötigt in den meisten Fällen ewig bis er startet.
Wenn er das überhaupt macht. Nach dem Einschalten verharrt er meistens in dem Zustand, dass die Power led kurz leuchtet, wieder aus geht und wieder von vorne beginnt.
Die LEDs des Netzwerkports sind gegensätzlich aktiv (WoL). Der Monitor verbleibt im Standby. Irgendwann startet er dann ab und zu mal und bootet. Wenn er bootet, ist die UTM ansprechbar für einen bestimmten Zeitraum. Zwischen wenigen Minuten und Stunden rebootet die UTM unvermittelt mit lustigen Fehlermeldungen in der Konsole:
…
Code: Bad RIP value
…
BUG: unable to handle kernel paging request at fffff…
…
Oops: 0010 [#2] SMP
Habt ihr ähnliche Probleme? Oder läuft der PC einfach nur wie er soll?
Danke und Grüße
Marc
Hallo Marc,
es geht um eine SG UTM, richtig? Ich hatte mit meinem Kettop auch so einige Startschwierigkeiten…
Hast du mal probiert das System neu aufzusetzen, wie verhält es sich dann?
Hi Luca,
richtig – es geht um die SG nicht die XG.
Ich habe die Kiste inzwischen zurück gegeben.
Alle möglichen versuche die Kiste zum Laufen zu bekommen, sind gescheitert.
Zusammen mit dem Support wurde einiges getestet: RAM unterschiedlicher Hersteller, HDD und SSD.
BIOS update, geholfen hat nichts davon. Die SG habe ich in der Zeit bestimmt 20-30x frisch installiert, auch mit unterschiedlichen BIOS Einstellungen.
Die XG lief etwas robuster und stieg nicht direkt aus, aber mit der Vorgeschichte, lieber nicht als produktives System zumal mich die XG nicht so richtig überzeugen will. Testhalber mal OPNSense drauf gemacht, verhielt sich ähnlich wie mit der XG. Nur die SG wollte einfach nicht fliegen.
Achja, wer bis hierhin gelesen hat, darf auch die Lösung des Problems bzw. den Workarround erfahren ;-)
Die Kiste lief mit einem belegten RAM slot mit 4 GB problemlos, jedoch nicht mit 8 GB.
Wen’s interessiert: Ich hab mich auf ein Experiment eingelassen und mir eine Zotac Zbox CI329 geholt. Trotz dem großteil der Meinungen im I-Net, da Realtek NICs und nur ein Intel N4100. Ich bin damit sehr zufrieden; die CPU langweilt sich und hat ab und an peaks bis ca 15%. Aktiv sind: FW, WAF, IPS, ATP, Web Protection. Zudem genehmigt sich Zbox ca. 10W weniger von der Steckdose als der Kettop.
VG
Hi Marc, also mit der Zotac Zbox CI329 geht eine XG?
Hallo zusammen,
hat jemand noch eine Hardware-Empfehlung die potent, aktuell und sparsam ist und auf jeden Fall funktioniert. Der Asrock 5005 funktioniert leider nicht.
Intel NUC mit ESXi. Läuft bei mir als Home Version im Cluster. Die NICs habe ich einfach virtuell hinzugefügt mit VLAN Tag.
Hey Michel,
Ich habe eine SG135 mit Home Lizenz am Start.
Kann ich die HD einfach auf eine SSD clonen und diese dann so ohne weiteres einbauen?
Mache mir Sorgen das irgendwann die Platte abraucht und dann ist es dunkel Daheim.
Gruss
Hallo Fretschge,
dass kann ich dir außen stehgreif leider nicht so genau sagen.
Du kannst es mit dem klonen probieren. Aber du solltest vorher unter Verwaltung/Backups ein aktuelles Backup anlegen und herunterladen. Sollte das Klonen nicht funktionieren, kannst du die UTM mit der neuen SSD immer noch neu installieren und das gezogenen Backup wieder einspielen. Achte nur darauf, dass die neu installierte UTM den gleichen oder einen neueren Update stand hat wie die Version von deinem Backup.
USB install: https://networkguy.de/install-sophos-xg-from-usb-stick/
Achte bei der ISO darauf, dass die für die Hardware UTM ist. Falls du es neu installieren musst.
Grüße
Phillip
Hoppla,
falscher Link für USB install. Einmal der richtige https://networkguy.de/install-sophos-utm-from-usb-stick/
Hallo zusammen
hat schon jemand die V18 XG Version mit nur 4Gb betrieben? Läuft die so noch stabil?
Gruss patric
Hallo zusammen,
hab mir gerade den passiv gekühlten SuperMicro Server (SuperServer E302-9D) bestellt.
Hab lange überlegt was der richtige Weg ist aber dies erschien mir am sinnvollsten.
Die Kiste hat 4x 1G Kupfer, 2x 10G Kupfer, 2x 10G SFP+ (alles mit Intel NICs)
Sollte eigentlich fürs Homelab reichen.
Bin gespannt ob alles klappt und berichte euch wieder…
Viele Grüße
Andy
Hi Andy, wie läuft die XG auf der Supermicro Hardware? Habe Gigabit Wan und brauche was performantes
Hi Christopher,
hab die Hardware erst vor kurzem bekommen. XG ist drauf, wie hier schon erwähnt wurde muss Legacy Boot aktiviert werden. Die Kiste ist relativ groß und wird ziemlich heiss, weil nur passiv gekühlt.
Ich werde die Tage mal ein paar Performance Tests machen und nochmal berichten.
Überlege aber auch gerade ob ein ESX nicht sinnvoller ist, wegen Flexibilität (XG und SG)…
Andy
Super freu mich drauf. Glaube wenn man grad einsteigt lohnt sich die XG mehr (sofern es Sophos sein soll) da wird die Entwicklungspower reingesteckt und das ist die Zukunft.
Freue mich auf deinen performancebericht. Will mein Gigabit-Wan ja weiterhin ordentlich nutzen können
Als kleinen Zwischenbericht kann ich bereits mitteilen: Die XG Software-Appliance direkt auf den SuperMicro-Hardware zu installieren ist vermutlich nicht ganz optimal. Es werden nicht alle Netzwerkadapter erkannt. Besser (und flexibler) ist die Lösung den Server als Hypervisor (in meinem Fall VMware 7.0 Update 2) zu betreiben. Hier stehen alle Netzwerkkarten ohne Anpassungen zur Verfügung. Aktuell bin ich am schauen wie ich es regle damit 2 möglichst performante Geräte durch die Firewall kommunizieren – um einen Aussagekräftigen Test zu liefern. In ein paar Tagen mehr dazu.
Hey Shortfred,
tut mir leid dass ich mich so lange nicht gemeldet habe. Leider hatte ich ein bisschen mit der Hardware zu kämpfen. Anfangs hatte ich den vSphere 7 Update 2 auf Samsung 980 Pro installiert. Anfangs funktionierte das aber irgendwann flog die NVME im laufenden Betrieb raus und beim Boot-Vorgang wurden S.M.A.R.T Fehler angezeigt. Also hatte ich die Platte reklamiert aber die Ersatzfestplatte zeigt das gleiche Verhalten. Jetzt habe ich Proxmox am laufen und hab dort die XG-Firewall aufgesetzt.
Bisher bekomme ich die XG nicht ausgelastet. Aktuell ballere ich mit 2 Hosts (á 2.5 Gigabit USB Adapter), einem Notebook mit Gigabit und einer QNAP NAS auf einen Host, der per 10G Glasfaser angesteckt ist. Der Test wird mit iPerf3 durchgeführt und die Auslastung am 10G Host ist 3,1 GBit/s dauerhaft. Die XG ist mit 4 Kernen im Schnitt bei ~ 20%.
Reicht dir das so oder interessieren dich auch noch andere Tests?
PS: Der Traffic ist nur intern geroutet und es wird kein NAT oder SSL-Scan durchgeführt
Viele Grüße
Andy