Software-update: OPNsense 18.1.11

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor 2fa, openvpn, ipsec, carp en captive portal. Daarnaast kan het packet filtering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben OPNsense 18.1.11 uitgebracht met de volgende aankondiging:

OPNsense 18.1.11 released

Hi there,
A small update ships several improvements and preparations for the upcoming version 18.7. We are also shipping a patch for the lazy FPU state restore information disclosure.

Here are the full patch notes:

• system: enforce full password policy check for local passwords including TOTP
• system: add RFC 7919 DH parameter files for upcoming 18.7 feature
• system: add 3072-bit RSA key length options to certificates (contributed by Justin Coffman)
• system: move auto-cron jobs to plugin files
• interfaces: refactor reload handling around interfaces_configure()
• interfaces: allow private addresses in 6RD
• interfaces: check existence of "status" (contributed by Tian Yunhao)
• reporting: add NetFlow/Insight database force repair function
• dhcp: update from ISC version 4.3 to 4.4
• importer: allow ZFS import for upcoming 18.7 ZFS installer feature
• importer: allow import from simple MSDOS USB drives
• intrusion detection: add app detect rules (contributed by Michael Muenz)
• rc: suppress message of service not enabled on NetFlow backup
• rc: use exec in /etc/rc and /etc/rc.shutdown hooks
• rc: rework rc.syshook facility to be driven by directories and not suffixes
• unbound: remove defunct unbound_statistics() function
• plugins: os-postfix 1.4 advanced force recipient check (contributed by Michael Muenz)
• plugins: service start corrections for accompanying rc.syshook changes
• src: incorrect TLB shootdown for Xen-based guests
• src: lazy FPU state restore information disclosure
• src: enable usage of locate(1) utility
• ports: isc-dhcp 4.4.1
• ports: php 7.1.19
• ports: unbound 1.7.3

Stay safe,
Your OPNsense team

Versienummer	18.1.11
Releasestatus	Final
Besturingssystemen	BSD
Website	OPNsense
Download	https://opnsense.org/download
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (3)

[terradrone]

Fijn, ze hebben bij de opnsense club niet van die rare fratsen waar 32bit architectuur ineens niet meer ondersteund word of toekomstplannen waar enkel cpu's met aes support worden ondersteund. Velen van ons gebruiken "verouderde" apparatuur (lees repurposed appliances) die prachtig werken en voor de nabije toekomst prima hun taak kunnen volbrengen als firewall. Waar pfsense ooit, als monowall fork, opgezet was om precies dit te doen, zijn ze, nu het eigendom is van netgate, erg ver van het originele ideaal geraakt. Iets waar ze bij opnsense gelukkig niet zo star in zijn.

[dcm360]

Aan de andere kant kan je het ook best een storm in een glas water noemen. x84_64 viert over enkele maanden zijn 15e verjaardag, en AES-NI is sinds 2011 gangbaar in AMD-processoren en was al eerder aan te treffen in die van Intel (waarvan je dan wel weer het juiste model moet vinden. Wat is artificiële marktsegmentatie toch fijn...). Onderhand zwerven er wel voldoende systemen rond die wel aan beide eisen voldoen en hun resterende waarde met name uit de oud-ijzerprijs moeten hebben.

[terradrone]

Beetje eenduidige blik op het verhaal; het is niet zo dat sinds er 64bit cpu's geproduceerd worden er geen 32bit cpu's meer verkocht zijn. Het komt zelfs heden ten dage voor dat 64bit cpu's kunstmatig gelimiteerd worden tot 32bit werking door een 32bit uefi, en dit moeilijk of niet te omzeilen is.

Wat je zegt klopt simpelweg niet; er zijn inderdaad grote hoeveelheden 64bit machines in omloop, maar op het moment dat je zoekt naar een low power, energiezuinige 64bit machine , die ook nog eens aes ondersteund, en je dit in een 1he behuizing wilt hebben, dan kom je bedrogen uit. Het bekende apu bordje met de amd cpu die veel verkocht wordt is een optie echter, wil je daar een nette 1he behuizing omheen hebben dan kost je dit een smak geld.

Aan de andere kant zijn er nog steeds de bekende (beroemde) watchguard firebox-en die fantastisch werken bij vele *sense gebruikers, en waar veel energie door de community in gestoken is om dit te laten werkend; men heeft zelf een bios-mod gemaakt. Dit zijn keurige, mooie 1he appliances die 32bit zijn, low power en geen aes ondersteunen. Voor velen werkt dit prachtig, getuige de grote hoeveelheid ervan die in werking zijn. Dit geld ook zo voor andere repurposed appliances. Dus wat je schetst , een overvloedigheid in 64bit aes enabled machines, is in de praktijk helaas niet het geval.