Software-update: pfSense 2.4.1

Versie 2.4.1 van pfSense is uitgekomen. Dit pakket is gebaseerd op het besturingssysteem FreeBSD en richt zich op router- en firewalltaken. Het is in 2004 begonnen als een afsplitsing van m0n0wall vanwege verschillende visies bij de ontwikkelaars en in de loop van de jaren uitgegroeid tot een router- en firewallpakket dat in zowel kleine als zeer grote omgevingen kan worden ingezet. Voor meer informatie verwijzen we naar deze pagina. De hoogtepunten voor deze uitgave zien er als volgt uit:

Highlights

In case you missed the pfSense 2.4.0 release changes, see the 2.4.0 Release Notes and the previous 2.4.0 Release Highlights post.

pfSense software version 2.4.1 has a brief, but important, list of changes which include:

• Fixes for the set of WPA2 Key Reinstallation Attack issues commonly known as KRACK
• Fixed a VT console race condition panic at boot on VMware platforms (especially ESXi 6.5.0U1) #7925
• Fixed a bsnmpd problem that causes it to use excess CPU and RAM with the hostres module in cases where drives support removable media but have no media inserted #6882
• Fixed an upgrade problem due to FreeBSD 11 removing legacy ada aliases, which caused some older installs to fail when mounting root post-upgrade #7937
• Changed the boot-time fsck process the ensure the disk is mounted read-only before running fsck in preen mode

• Changed the VLAN interface names to use the ‘dotted’ format now utilized by FreeBSD, which is shorter and helps to keep the interface name smaller than the limit (16) This fixes the 4 digit VLAN issues when the NIC name is 6 bytes long. This change was made not only to fix the name length issue, but also to reduce the differences between how FreeBSD uses VLANs and how they are used by pfSense interface functions.

  • These VLAN changes may prevent PPP sessions from working on VLANs in some cases, see #7981
• Fixed setting VLAN Priority in VLAN interface configuration #7748

To see the rest of the changes, and find more detail, see the Release Notes.

Versienummer	2.4.1
Releasestatus	Final
Besturingssystemen	BSD
Website	pfSense
Download	https://www.pfsense.org/download/
Licentietype	GPL

Reacties (28)

[svheel]

Voor iedereen die pfSense achter een glas NTU of DSL bridge bij KPN/XS4ALL/Telfort heeft draaien met PPPoE verbinding over VLAN 6: Niet upgraden naar deze versie!

De change in de een-na-laatste bullet zorgt ervoor dat de PPPoE verbinding over VLAN 6 niet meer werkt (de sub-bullet in de release-notes geeft dit al aan).
Volgens de bug-report (https://redmine.pfsense.org/issues/7981) wordt dit opgelost in versie 2.4.2.

[job_h]

Als iemand dit probleem heeft, de snapshot van 2.4.2 lijkt 2 dagen geleden gefixt te zijn. Zal waarschijnlijk nog wel een week duren voordat die versie echt gereleasd wordt.

https://snapshots.pfsense.org

P.S. Als je nog niet op 2.4.1 zit raad ik aan gewoon rustig te wachten

[Reactie gewijzigd door job_h op 25 juli 2024 21:01]

[ExIT]

Top systeem. Must voor elk thuis-netwerk. Maar...dedicated machine of toch VM?

[WeiserMaster]

Als je thuis nog geen hypervisor hebt draaien, en een machine hebt die alleen pfsense aan kan dan dedicated.
In andere gevallen zou ik zelf een VM aanmaken.
Thuis draai Ik twee instanties van pfSense in failover, op twee hypervisors. Mocht een van de twee offline zijn voor onderhoud of upgrades/updates, is er altijd nog een internetverbinding.

[EverLast2002]

@WeiserMaster:
"Thuis draai Ik twee instanties van pfSense in failover, op twee hypervisors."
Interessant. Hoe heb je dat geconfigureerd dan, met 1 of 2 WAN connecties?

[Reactie gewijzigd door EverLast2002 op 25 juli 2024 21:01]

[Verwijderd]

Je zou het simpelweg al kunnen bewerkstelligen door je internet verbinding (bv. NT1) aan te sluiten op een dedicated hub/switch. Daarna twee routers erachter (active/passive) en je bent klaar.

Hierboven geeft WeiserMaster echter aan dat hij het via VLANs regelt. Iets ingewikkelder maar hetzelfde principe.

[WeiserMaster]

Een WAN connectie, privé abonnement bij XS4ALL.
De exposed host verwijst naar de CARP IP op de WAN interface van de pfSense routers.
De verbinding tussen de FritzBox van XS4ALL wordt geregeld met een Switch, de FritzBox is op een untagged interface. De untagged interface van de FritzBox is getagged op de WAN interface van de routers.
Verder heb ik niet met failover switches o.i.d. aan de kant van de FritzBox gewerkt, dat gedeelte is erg simpel.

[ExIT]

En welke Hypervisor draai jij? Onder welk OS?

Je draait de VM dus op een dedicated machine? Die machine maakt zelf ook verbinding dóór de pfSense VM(s)?

[WeiserMaster]

Voor de overstap op een actuele Proxmox versie heb ik ESXi van 5.5e3 t.m. 6.5 gedraaid.
Ja, het zijn geen mooie rackservers, gewoon een paar whiteboxes met onderdelen bijelkaar gegooid. Zolang het maar werkt
Ja, de hypervisor maakt ook verbinding door de pfSense router.
Vroeger had ik daarvoor een dedicated WAN en LAN poorten en vSwitches, ondertussen werk ik helemaal met VLANs.
Maakt de failover tussen de routers en hypervisors een stuk makkelijker

[Bierkameel]

Ik heb het een tijd in een VM gedraaid, werkte perfect maar nu toch maar overgestapt op een MikroTik RB3011, qua firewall en routing genoeg leuke opties.

[GEi]

Amen. Dedicated machine. Mocht er iets stuk gaan dan kan de router binnen een kwartiertje worden vervangen (de router van de ISP staat standby onderin de meterkast). Update naar 2.4.0 ging overigens zonder problemen. Op enig moment was het wel lang stil, maar een refresh (F5) liet het nieuwe inlogscherm zien.

[EverLast2002]

@GEi:
Diezelfde ISP router kan toch ook als reserve worden gebruikt wanneer je hypervisor machine defect zou gaan...ik snap je punt niet.

[GEi]

Ik heb thuis het liefst dedicated machines omdat ik bij een defect niet alles in één keer kwijt ben. Wanneer ik bv een HP microserver inricht als router, filestorage, DNS server en wellicht nog meer, en er gebeurt wat met de HP, dan ben je gelijk erg onthand. Dan helpt een ISP router je wellicht nog het internet op, maar kan je nog steeds bij je files e.d. Daarom dat ik graag aparte apparaten gebruik.

[EverLast2002]

Ik snap waar je op doelt. Maar dan zou je voor nog veel meer diensten aparte machines moeten inzetten, dat is toch niet haalbaar? En qua uitval en storingen is RAID (in NAS en server) met daarnaast je backups toch ook een oplossing.

[GEi]

Voor de meeste toepassingen heb ik aparte machientjes. Als ik helemaal alleen was geweest, dan had ik vast het één en ander gevirtualiseerd. Maar met meer personen in het huishouden die allemaal hun verwachtingen hebben bij het beschikbaar zijn van (steeds meer) digitale diensten, ben ik zaken uit elkaar gaan trekken. Is ook leuk voor de hobby . Qua stroomverbruik een nadeel, daarom dat ik bij vervanging wel steeds kritischer wordt op de opgenomen vermogens.

Je noemt als voorbeeld 'RAID'. Ik heb het volgende meegemaakt: Na een tijdje mij hard te hebben gemaakt voor een backup oplossing voor de 'fileserver' (QNAP NAS) het maar laten liggen; eega zag wel de kosten, niet de lusten. Tot het moederbord van de QNAP de geest gaf en zij niet bij haar scriptie kon. Blijkt dat het bestandsformaat in de QNAP iets met ext3 is... Uiteindelijk tijdelijk de documenten beschikbaar kunnen maken, een backup-oplossing mogen aanschaffen en na een x-weken de QNAP weer in gebruik kunnen nemen. Geloof mij, hoop gedoe, en dat alleen nog maar voor de bestanden waar je mee werkt en de digitale administratie. Onder aan de streep: liever separate machientjes.

[i-chat]

ik wil niet weten wat jouw strooprekening per jaar doet, als je voor elke dienst een eigen pc inricht, dan zit je al snel op een watt of 200 en een half rack aan meuk. om over de kabelspaghetti maar niet te beginnen.

wat is er mis met consolidatie in een hypervisor. je zegt dat als ie dan stuk gaat, heb je niets meer, ik zeg, dan verplaats ik de belangrijkste vms naar een backup machine (bijv de vorrige server die nog in de kast stond). en ben ik met een minuut of 5 a 10 weer up-and-running. als je echt panisch bent dan laat je die backup machine zelfs in hybernate staan met alle data gerepliceerd en ben je 1-wake-on-lan verwijderd van een werkend netwerk. dagelijks even je backup machine wakker maken, je data repliceren en het ding weer 'uit' zetten.

[GEi]

Moeten het ook niet erger laten lijken dan het is hoor . Heb de diensten op één na allemaal heel economisch ingericht: Raspberry Pi is favoriet, verder twee keer een apparaat dat ooit een router was. We hebben geen vaste pc's meer in huis; allemaal laptops. Verder alles netjes afgewerkt in de meterkast in een 4U hoge wandbeugel. Zit overigens wel op het spoor om het rek met 4U uit te breiden mbv een paar profielen; kan er nog meer netjes afgewerkt worden.

[rob12424]

https://nl.m.wikipedia.org/wiki/Ext3
Grappig dat je ext3 niet kent. Draai je alleen Windows of Mac (Apple)
Naast BSD (Unix) ?

Ext is het bestandsysteem wat de meeste Linuxen hebben. Als je wilt besparen op energiekosten is het ook nog een mogelijkheid om daar naar te gaan kijken

Vraagje in het algemeen update pfsense automatisch? Want ik zie erg vaak updates voorbij komen?

[GEi]

We praten al weer over heel wat jaartjes terug... En ben inderdaad groot geworden met MS-DOS en verschillende Windows versie. 'Vroegûh' op de MBO waren we wel een beetje aan het pielen met Slackware enzo, maar Linux is tot een jaar of drie / vier terug redelijk buiten mijn scope gebleven (liep ook te vaak tegen niet-ondersteunde hardware aan). De RPi heeft daar verandering in gebracht, ben er nu wel meer in thuis.
pfSense update niet uit zich zelf. Op het dashboard geeft pfSense wel aan of er een update beschikbaar is. Meestal kijk ik eerst naar de inhoud van de wijzigingen, beoordeel de urgentie in mijn persoonlijke situatie en pas een update al dan niet (snel) toe.

[EverLast2002]

Daarom heb ik aan mijn NAS weer een externe USB disk gekoppeld (die na de wekelijkse backupjob weer afkoppelt) met daarop de backup van de backup. Want een NAS kan idd ook defect gaan, of met crypto virussen etc.

[latka]

Draai het zowel dedicated (Alix) of op een VM (nu op een Synology met Virtual Machine manager). Merk geen verschil in routing speed maar wel in gemak: een headless Alix is leuk tot het niet werkt en je nulmodemkabel kwijt is.

[Raven]

"een headless Alix is leuk tot het niet werkt en je nulmodemkabel kwijt is."

Toen ik pfSense Embedded nog op mijn router-pc had staan had ik die kabel ook nodig, omdat er op het scherm geen interface was. Nou kon ik de kabel wel vinden, maar geen pc met seriële poort. Heb uiteindelijk een 386-era laptop voor dat doel van iemand overgenomen

[EverLast2002]

ik gebruik een verloopkabeltje van serieel naar USB....werkt prima.

[Raven]

Die heb ik inmiddels ook, maar die was toen nergens op voorraad, dan maar een antieke laptop

[EverLast2002]

Mijn pc-engines router is weer vervangen door een VM. Up- en download snelheden werden amper gehaald, kwam uit op een derde van de werkelijke snelheid.

[Reactie gewijzigd door EverLast2002 op 25 juli 2024 21:01]

[cruger]

Mooie software dat Pfsense.
En als je er snort op zet dan, kom je er achter dat een goede firewall heel zinvol is.
Ik kan bevestigen dat de verbinding niet meer werkt na de upgrade van 2.4.0 naar 2.4.1 met glasvezel en PPPoE.
De upgrade van 2.3.4 naar 2.4 was ook al een beetje moeizaam met PPPoE.
(Ik vind dat hele PPPoE over een vlan gewoon ruk, 1 klein duwtje en het werkt niet meer.)

[WeiserMaster]

Kijk ook naar Suricata, die is multithreaded, en herkent ook op applicatienieau. Oude Flash player versies bijv. kunnen geblokkeert worden.
Of dat handig is voor de thuisgebruiker is een ander verhaalt, maar door de eerste weken met alleen maar false positives moet je toch heen.. Dan kan je ook die regels gelijk aan zetten

[Uberprutser]

Ik draai het al jaren als VM met en fatsoenlijke Intel NIC.
Latency en jitter zijn minimaal als ik het vergelijk met mijn kabel / ADSL direct.