Is the CWWK N355 Soft Router Firewall / NAS Box Worth Your Data? (Review)

DIY router boxes have gained popularity in recent years, especially those coming out of China with various hardware configurations. The CWWK N355-powered firewall appliance is an intriguing option, not just as a high-performance router but also as a potential NAS device. Unlike many reviews that focus on its networking capabilities, this review explores its viability as a compact and efficient NAS solution.

CWWK N355 DIY 10GbE Router/NAS Review – Quick Conclusion

The CWWK N355 is a well-rounded and versatile device that excels in networking, virtualization, and compact NAS applications, thanks to its dual 10GbE SFP+ ports, 2.5GbE LAN, expandable DDR5 RAM, and M.2 NVMe storage support. It is a compelling choice for firewall applications, Proxmox virtualization, and even lightweight NAS or media server setups, offering a balance of performance and connectivity in a compact and durable metal chassis with active cooling. The Alder Lake-N N355 CPU delivers efficient multi-core performance, making it suitable for running multiple services, including Docker containers, VMs, and network security applications. Additionally, its expandable memory and storage options give users flexibility, though its storage implementation is somewhat restrictive due to only one native NVMe slot and a SATA port with no internal mounting space. However, its aging Intel 82599ES 10GbE controller, high idle power consumption of 21-22W, and lack of full-speed PCIe lanes limit its potential for high-performance NAS deployments. While it can handle moderate file-sharing and media streaming workloads, users who require full 10GbE speeds, extensive storage expansion, and power efficiency may find better options in dedicated NAS motherboards with PCIe slots or higher-efficiency processors. Still, for those looking for a compact, high-speed network appliance with strong customization potential, the CWWK N355 remains a solid choice for advanced home labs, small business networking, and hybrid router-NAS setups. As long as users are aware of its networking bottlenecks and storage limitations, it offers impressive versatility and performance at an attractive price point.

BUILD QUALITY - 8/10

HARDWARE - 8/10

PERFORMANCE - 7/10

PRICE - 10/10

VALUE - 10/10

8.6

PROS

High-Speed Networking: Equipped with dual 10GbE SFP+ ports and two 2.5GbE LAN ports, providing excellent connectivity for advanced networking setups.
Expandable Storage: Features two M.2 NVMe slots (one requiring an adapter) and a SATA 3.0 port, allowing for versatile storage configurations.
Efficient Alder Lake-N CPU: The Intel N355 (8C/8T, up to 3.8GHz) offers efficient performance for firewall applications, Proxmox, lightweight NAS, and media servers.
DDR5 Memory Support: Supports up to 48GB DDR5 RAM, enabling smooth multitasking, virtualization, and Docker/containerized environments.
Robust Build and Cooling: Full aluminum chassis acts as a heat sink, with a top-mounted active cooling fan for effective thermal management.
Wide OS Compatibility: Works with Windows 11 Pro, Linux distributions, ESXi, OPNsense, pfSense, OpenWrt, and TrueNAS, making it highly flexible.
Compact and Power-Efficient: Small form factor and 15W TDP CPU make it space-saving and relatively low-power compared to traditional rack-mounted alternatives.

CONS

Aging 10GbE Controller: The Intel 82599ES 10GbE chipset is outdated, limiting maximum network speeds and performance efficiency in high-bandwidth workloads.
Limited SATA Storage Options: While it includes a SATA 3.0 port, there is no internal mounting space for a 2.5-inch drive, requiring external solutions.
Higher Idle Power Draw: Consumes 21-22W at idle, which is higher than dedicated NAS devices, potentially affecting long-term energy costs.

Where to Buy a Product
			VISIT RETAILER ➤
			VISIT RETAILER ➤

The CWWK N355 features a robust industrial design, with an all-metal chassis that acts as a heat sink, efficiently dissipating heat from critical components. The exterior is entirely metal, including the base panel, which features mesh ventilation to enhance airflow. A top-mounted active cooling fan ensures consistent airflow across the CPU and networking components, preventing thermal throttling under sustained workloads.

Internally, copper heat plates are placed over the CPU and 10GbE controllers, allowing for direct heat transfer to the chassis. This cooling system is highly effective, maintaining temperatures within safe limits even under heavy network and storage loads. During testing, the device remained at an average of 50-55°C under full load, with the fan producing minimal noise.

The cooling implementation makes the CWWK N355 a viable option for extended use in high-performance NAS, virtualization, or firewall applications where thermal efficiency is crucial. Given its mix of powerful networking features, ample connectivity, and storage options, this device has the potential to serve a broader range of applications than just routing. However, evaluating its strengths and weaknesses is crucial before repurposing it for a NAS setup.

One of the standout features of the CWWK N355 is its impressive network connectivity. Equipped with dual 10GbE SFP+ ports and two 2.5GbE i226V LAN ports, it offers significantly more bandwidth than traditional consumer NAS devices.

These high-speed connections enable rapid file transfers, efficient virtualization networking, and multi-user simultaneous access without bottlenecks.

It also includes two M.2 NVMe slots and a SATA 3.0 port, making it highly flexible for storage configurations. This means users can integrate fast NVMe storage while still having the option to include traditional SATA drives for cost-effective capacity expansion.

The aluminum chassis with active cooling enhances its thermal efficiency, ensuring stable operation even under load, a crucial aspect for maintaining performance in continuous 24/7 operation.

The N355 CPU, an Alder Lake-N processor, brings 8 cores and 8 threads, with a base clock of 1.8GHz and a boost up to 3.8GHz. This processor is designed for efficiency while maintaining a respectable level of performance for various workloads.

It also features integrated Intel UHD graphics, which allows it to handle lightweight GPU tasks such as video decoding, remote desktop applications, and low-power graphical processing.

The DDR5 SO-DIMM slot supports up to 48GB RAM, although some listings mention 32GB as the maximum. This expanded memory capacity is particularly beneficial for virtualization, allowing users to run multiple lightweight VMs, containers, and even a Plex media server with modest hardware-accelerated transcoding capabilities.

The combination of efficient CPU performance and expandable RAM makes it versatile, but users should be aware of its limitations when handling resource-intensive applications.

However, storage expansion comes with some challenges. While the device technically supports two M.2 NVMe drives, only one slot is a standard 2280 interface. The second slot requires an adapter, which is included, but adds complexity to installation. This additional requirement may be a concern for users who are less experienced with hardware modifications or prefer simpler plug-and-play configurations.

The SATA drive support is somewhat limited—while the port is available, there is no dedicated internal space for mounting a 2.5-inch drive inside the enclosure, meaning external mounting is necessary. This lack of internal SATA mounting may be a dealbreaker for those who prefer a more integrated and clutter-free build. While external enclosures or adapters could be used to house SATA drives, it introduces additional complexity and potential cable management issues.

Power consumption is another area of concern. Under idle conditions, the device draws 21-22W, which is quite high compared to traditional NAS appliances. Many consumer NAS systems are designed to run efficiently at around 10W to 15W when idle, making this unit significantly more power-hungry when not under load.

Under load, with 10GbE connections active, VMs running, and storage drives in use, power consumption reaches 36W. While this is still within reasonable limits for a device offering high-speed networking and multi-core processing, it is something to consider for users prioritizing energy efficiency. Over time, the additional power draw may add up, especially for those running multiple devices in a home or small business setup. If power efficiency is a critical factor, other lower-power options might be preferable.

Performance-wise, the M.2 NVMe drives achieve read speeds of up to 720MB/s and write speeds of 690MB/s.

While SATA performance peaks at around 200MB/s with a standard HDD. These speeds are respectable but fall short of fully utilizing the available 10GbE networking potential.

While this is acceptable for most home NAS applications, the 82599ES 10GbE controller is a notable bottleneck. It is an older PCIe Gen2 x4-based controller (in this deployment at least), which limits full 10GbE speeds.

In testing, even with dual 10GbE connections active, network transfers maxed out at around 600-700Mbps per link, rather than saturating the full 10GbE bandwidth on each of them.

This suggests that while it is capable of handling high-speed transfers, it is not the ideal choice for users who need to maximize 10GbE connectivity for large-scale data transfers or enterprise workloads.

While the CWWK N355 offers excellent networking and processing power, its relatively aging 10GbE controller, high idle power consumption, and limited internal storage space make it less ideal for an all-purpose NAS. However, it excels as a high-performance firewall/router, Proxmox host, or Plex server for users who can work around these limitations.

Users interested in setting up an advanced home lab or small business server might find this device appealing due to its networking flexibility, processing capability, and virtualization potential. While it lacks native software optimization found in dedicated NAS brands, those comfortable with manual setup and open-source NAS software will find it a capable and adaptable device.

For those seeking a dedicated NAS solution with full 10GbE performance, an ITX motherboard with PCIe 3.0 slots and dedicated storage expansion might be a better alternative. Such options would provide greater flexibility for storage expansion, more efficient networking solutions, and overall better optimization for NAS workloads. But if you’re looking for a compact, all-in-one networking and storage device, the CWWK N355 is an impressive contender.

Just be mindful of the legacy components and potential bottlenecks before making your final decision. With the right configuration and expectations, it can serve as a cost-effective and powerful addition to a home lab or small business network setup.

Join Inner Circle

Want to follow specific category? Also Read...NEW UniFi NAS - What Comes NexNEW UniFi NAS - What Comes NexBest DIY NAS CPU+Mobo CombosBest MATX NAS MobosUnifi NAS on YouTubeUniFi NASUniFi ReviewsBuy UGREEN NAS on B&HUGREEN ReviewsUGREEN NAS Subscribe You can also follow specific search terms:

This description contains links to Amazon. These links will take you to some of the products mentioned in today's content. As an Amazon Associate, I earn from qualifying purchases. Visit the NASCompares Deal Finder to find the best place to buy this device in your region, based on Service, Support and Reputation - Just Search for your NAS Drive in the Box Below

Need Advice on Data Storage from an Expert?

TRY CHAT

If you like this service, please consider supporting us. We use affiliate links on the blog allowing NAScompares information and advice service to be free of charge to you.Anything you purchase on the day you click on our links will generate a small commission which isused to run the website. Here is a link for Amazon and B&H.You can also get me a Ko-fi or old school Paypal. Thanks!To find out more about how to support this advice service check HEREIf you need to fix or configure a NAS, check Fiver Have you thought about helping others with your knowledge? Find Instructions Here  

Or support us by using our affiliate links on Amazon UK and Amazon US

    

 

WE LOVE COFFEE

Avec ce tutoriel, apprenez à réinitialiser un firewall Fortinet FortiGate dans sa configuration d'usine grâce à quelques manipulations simples.

The post Pare-feu FortiGate : comment restaurer la configuration d’usine ? first appeared on IT-Connect.

Vous avez oublié le mot de passe administrateur de votre firewall Fortinet ? Découvrez comment forcer le changement du mot de passe de FortiOS sur FortiGate.

The post Pare-feu FortiGate : mot de passe administrateur perdu, comment le réinitialiser ? first appeared on IT-Connect.

Apprenez à créer un lab Fortinet grâce à l'utilisation de l'émulateur GNS3 et de l'image FortiGate VM qui permet de disposer d'un pare-feu.

The post GNS3 : comment créer un pare-feu FortiGate VM ? first appeared on IT-Connect.

Sur l’année 2024, l’ANSSI a observé une hausse des attaques exploitant des vulnérabilités sur des équipements exposés en ligne, notamment des pare-feux et passerelles VPN utilisés pour sécuriser les accès distants aux SI. Plusieurs milliers d’équipements ont été compromis en France, et des dizaines d’incidents liés à ces failles ont été traités, confirmant l’intérêt des […]

Depuis plusieurs années j'utilise un routeur Netgear R8000 avec le firmware FreshTomato, un fork du défunt TomatoUSB. Et j'ai eu envie de bloquer les scans de sites publiques comme Shodan ou Censys.

Mais soyons clair : cela n'augmentera la sécurité et ne diminuera pas le risque de scans/attaques depuis l'extérieur (ce que pourrait faire un fail2ban).

Cela évite quelques scripts kiddies en cas de grosses vulnérabilités, et puis c'était un petit challenge technique.

Fonctionnement

Nous allons injecter des règles dans iptables pour bloquer des listes d'IP v4 publiques correspondant à celles des scanners comme Shodan ou Censys.

Pour rappel, iptables permet de configurer des règles côté utilisateur afin qu'elles soient injectées dans netfilter côté noyau Linux.

Ce tutoriel fonctionne avec FreshTomato et potentiellement tous les forks qui s'en rapprochent.

ipset est une extension d'iptables qui permet de gérer des ensembles d’adresses IP, contrairement aux chaînes iptables classiques. IPset facilite la création de listes d'adresses autorisées et/ou bloquées.

L'idée est donc de stocker une liste d'adresses IP dans un fichier texte pour ensuite le parser et injecter ces IP pour les bloquer depuis internet (chaine INPUT) :

# shodan:
64.226.86.0/24
64.227.90.0/24
64.227.107.0/24
# censys:
162.142.125.0/24
167.94.138.0/24
# etc...

La génération de ce fichier sera abordée dans un autre article afin de ne pas surcharger celui-ci.

En attendant voici la liste contenant les IP/réseaux de shodan et censys ici :

télécharger le fichier blocklist shodan/censys

Merci Arthur pour les listes

Pré-requis

Vous aurez besoin d'un espace de stockage persistant : clé USB ou partition /jffs. Dans mon cas j'utilise une clé USB.

Nous devons activer des modules de filtrage spécifiques dans le noyau, au démarrage du routeur.

Depuis un terminal SSH, saisissez :

modprobe -a ip_set xt_set ip_set_hash_ip ip_set_hash_net
ipset create shodan hash:net

La 1ʳᵉ ligne active les modules de filtrage par IP et par réseau (subnet) dans le noyau Linux du routeur FreshTomato.

La 2ᵉ ligne créé un ipset nommé "shodan" que nous alimenterons ensuite par un script à partir de la blocklist fournie avant les pré-requis.

Important : si vous perdez la connexion SSH c'est qu'un des modules est manquant (voir section "bugs possibles").

Pour rendre ce paramétrage persistant, allez dans Administration > Scripts puis coller les 2 lignes que vous avez saisies manuellement :

Comment manipuler un ipset ?

Voici quelques commandes de base pour comprendre ce que fera le script et éventuellement le déboguer.

Affiche le contenu de l'ipset "shodan" :

ipset list shodan

Vider le contenu de l'ipset "shodan" (sans le supprimer) :

ipset flush shodan

Supprimer l'ipset "shodan" (ne doit plus être utilisé par netfilter pour que cela fonctionne) :

ipset destroy shodan

Lier l'ipset à une chaine iptables (INPUT)

Pour bloquer tout ce qui correspond à l'ipset "shodan" dans iptables (chaine INPUT) :

iptables -I INPUT -m set --match-set shodan src -j DROP

L'option "-I" permet d'insérer la règle en début de chaine en décalant les règles existantes vers le bas.

Pourquoi? parce que iptables fonctionne dans cet ordre : la première règle évaluée et qui correspond s'applique au détriment de la suite. Au contraire si nous voulions ajouter la règle en fin de chaine c'est l'option "-A" que nous aurions du utiliser, comme "append".

Ajout du script d'init

Lorsque le service "firewall" démarre il va lire la configuration web, nous devons donc préciser l'utilisation de l'ipset "shodan" en blocage.

Allez dans Administration > Scripts > Firewall puis coller :

iptables -I INPUT -m set --match-set shodan src -j DROP

Sauvegardez en cliquant sur le bouton "save".

Pourquoi ne pas appeler ici le script inject_blocklist_to_iptables.sh ? On s'affranchit de potentielles problématiques de montage/corruption de la clé USB et on évite un souci un crash au démarrage du routeur. On appellera ce script dans la partie "Wan Up".

Peupler l'ipset avec adresses IP et sous-réseaux

Afin de comprendre ce que l'on fait, voici un exemple.

Imaginons que nous voulons ajouter l'IP 12.34.56.78 et le réseau 137.184.13.0/24 dans l'ipset "shodan" pour les bloquer.

Nous saisissons en SSH :

ipset -! add shodan "12.34.56.78"
ipset -! add shodan "137.184.13.0/24"

La syntaxe "-!" correspond à l'option "-exist", ce qui évite d'avoir une erreur si l'adresse/réseau ajouté est déjà présent dans l'ipset concerné.

Il est aussi possible de préciser une ip au format CIDR (ex: 12.34.56.78/32) :

ipset -! add shodan "12.34.56.78/32"

La prise en compte est immédiate.

Maintenant que vous avez compris le principe nous allons utiliser le script que j'ai écrit, qui va lire les IP/réseaux à bloquer puis injecter le tout dans iptables.

Le script

télécharger inject_blocklist_to_iptables.sh

Lancez-le d'abord à la main (adaptez le chemin suivant l'emplacement sur la clé USB/JFFS) :

/tmp/mnt/CLEUSB/scripts/iptables/block_shodan_censys/inject_blocklist_to_iptables.sh

Le script va injecter la liste des IP à bloquer dans iptables, tout seul comme un grand. Si tout fonctionne nous allons pouvoir le rendre persistant :

Allez dans Administration > Scripts > Firewall :

Dans mon cas avec mon chemin cela donne :

/bin/sh /tmp/mnt/CLEUSB/scripts/iptables/block_shodan_censys/inject_blocklist_to_iptables.sh

Sauvegardez en cliquant sur le bouton "save".

A chaque fois que votre routeur va (re)trouver l'accès à internet le script s'exécutera. Si ce n'est pas suffisant pour vous ajouter une exécution au moment de votre choix dans le planificateur via Administration > Scheduler.

Toutes les 24h semble être une bonne idée, tout cela dépend si votre fichier de liste d'IP est régulièrement mis à jour ou non.

Voir les règles iptables actives

Pour afficher toutes les règles de la chaine INPUT :

iptables -S INPUT

Pour afficher toutes les règles avec le nombre de paquets qui ont matché sur chaque règle :

iptables --list --numeric --verbose --line-numbers

Ou la version courte :

iptables -L -n -v --line-numbers

Bugs possibles

S'il vous manque un des modules noyau j'ai constaté que le routeur part en utilisation CPU proche de 100% et coupe la connexion SSH ouverte dans laquelle vous aurez saisi la commande pour créer l'ipset. C'est pourquoi je vous conseille d'activer les modules à la main en SSH avant de les rendre persistant par script dans l'interface web (pour éviter le plantage du routeur au démarrage...).

Pour redémarrer le service firewall :

service firewall restart

Attention : cette commande va recharger uniquement la configuration depuis votre interface web tomato ainsi que les scripts. Tout ce que vous aurez saisi en SSH devra être de nouveau saisi pour que ce soit actif.

N'hésitez pas à jeter un œil côté logs (Status > Logs) car le script écrira ses erreurs et informations si vous avez besoin de vérifier des choses. Sous condition que vos logs ne tournent pas trop vite, ou bien que vous ayez activer la journalisation sur une clé USB.

Conclusion

Voilà un tutoriel qui pourra servir de base pour d'autres usages. Je n'ai pas parlé d'IPv6 mais c'est à tout à fait possible moyennant un peu d'adaptation.

J'ai pris le temps d'expliquer comment tout ça fonctionne, en plus de la fourniture du script. N'hésitez pas à me faire un retour ou poser vos questions si vous en avez.

J'ai regroupé shodan et censys dans le même ipset, parce que c'est plus simple ainsi. Mais vous pouvez faire autant d'ipset qu'il vous en plaira, pensez à dupliquer la dernière ligne du script avec votre fichier *.list

Gardez en tête que si vous déclarez des subnet entiers dans un ipset de type "hash:ip" iptables va convertir les subnets en IP donc ça se remplira très vite. C'est la raison pour laquelle je suis parti sur les subnets.

Enfin, par défaut la limite est fixée à 65536 lignes dans chaque ipset. Pour augmenter cette valeur il faudra spécifier l'option maxelem. Mais attention à ne pas surcharger votre routeur !

Sources utiles :

• Script d'inspiration (github)
• manuels : ipset (voir "inet6" pour ipv6)
• How to block Shodan scanners (ipfire)
• Utiliser ipset sur Linux (malekal)
• iptables / netfilter (youtube)
• Bloquer des pays entiers : github, reddit
• Adaptation ipv6 et nombre d'éléments maximum (65536)
• Autre exemple qui peut servir...

abonnez-vous par email

Article original écrit par Mr Xhark publié sur Blogmotion le 13/01/2025 | Un commentaire |
Attention : l'intégralité de ce billet est protégée par la licence Creative Commons