Software-update: OPNsense 18.7.5

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor 2fa, openvpn, ipsec, carp en captive portal. Daarnaast kan het packet filtering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben OPNsense 18.7.5 uitgebracht met de volgende aankondiging:

OPNsense 18.7.5 released

Hi folks,

While the HardenedBSD 11.2 adoption is almost finished behind the scenes, this release merely revolves around minor corrections and additions that make your life easier. We are also confident that 18.7.6 finally ships the firewall alias API.

Of worthy mention are also the IPsec phase 1 changes that allow multiple DH groups and hashes to be selected simultaneously to tackle interoperability between different mobile client requirements. Also check out the Nginx plugin which has again extended its utility belt to include limiting, permanent bans, caching and more.

Here are the full patch notes:

• system: add (de)select all option in LDAP importer
• firewall: keep previous content for URL alias on fetch error
• firewall: make schedule icon reflect current schedule state
• firewall: toggle and migration fix for upcoming alias API
• firewall: round-robin limitation is for host alias outbound NAT only
• firewall: resolve network addresses in kernel for static routes bypass option
• firewall: do not clean up visible records when limit was not reached
• firewall: do not hardcode live log pass / block colours
• firewall: add live log direction icons
• firmware: shorten shaper name and assorted cleanups
• firmware: fix upgrade compatibility with FreeBSD 11.2
• firmware: use opnsense-version where appropriate
• firmware: correctly translate GUI buttons
• dnsmasq: use more robust approach to interface binding
• ipsec: more secure phase 1 default settings
• ipsec: support for multiple phase 1 DH groups and hashes
• openvpn: option to match CSO against common_name or login
• unbound: fix usage of the remote control backend calls
• unbound: remove faulty "DHCP" label hint for IPv6 link-local registration option
• web proxy: several corrections for PAC template
• backend: fix CPU hogging when reading on already disconnected streams
• mvc: speed up parsing very large config files
• mvc: add single select constraint
• mvc: add UUID field to the result of addBase
• ui: sidebar UX improvements
• ui: use single guillemets for previous/next page
• plugins: os-acme-client /var MFS awareness
• plugins: os-cicada 1.5
• plugins: os-collectd 1.2 makes hostname override optional
• plugins: os-dyndns 1.10 adds CloudFlare IPv6 support
• plugins: os-net-snmp 1.2 adds write access for users
• plugins: os-nginx 1.2
• plugins: os-ntopng hides interface selection under advanced
• plugins: os-openconnect allows uppercase usernames
• plugins: os-postfix 1.6 adds port field
• plugins: os-telegraf 1.7.0 adds global tags, HAProxy input, prometheus output, fixes logging
• plugins: os-tukan 1.4
• plugins: os-vnstat 1.0
• plugins: os-zerotier fixes status table
• ports: mpd5 upstream MTU fix
• ports: PHP 7.1.23

Stay safe,
Your OPNsense team

Versienummer	18.7.5
Releasestatus	Final
Besturingssystemen	BSD
Website	OPNsense
Download	https://opnsense.org/download/
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (21)

[Wim-Bart]

Waarom zou je OPNsense gebruiken en niet pfSense, Deze laatste werkt namelijk ook zeer goed en is min of meer de standaard. Is er een voordeel om over te stappen?

[renedis]

Ja zeker, ik vind persoonlijk OPNsense een geliktere interface hebben. Daarnaast kan het met meer NIC’s overweg dan PfSense.

Je ziet juist dat meer mensen gaan afstappen van PfSense naar mijn mening. Er komen meer distro’s beschikbaar met dezelfde (of meer) features, dit terwijl PfSense maar weinig innoveert.

[tc-t]

Ja zeker, ik vind persoonlijk OPNsense een geliktere interface hebben.

Dat van die interface ben ik zeker met je eens. pfSense gebruik ik zowel op het werk als privé en ik heb OPNSense een tijdje in een Virtual Machine getest. Niet met het doel om pfSense te vervangen, wel om te zien hoe het eruit zag, wat het deed of niet deed, etc...
De interface viel me inderdaad meteen op.

Daarnaast kan het met meer NIC’s overweg dan PfSense.

Maar hiervan zie ik het voordeel niet echt?

Ik heb een WAN en een LAN-connectie en op die LAN dan verschillende VLANs gedefinieerd.
Waarom heb ik nog meer NICs nodig?

Je ziet juist dat meer mensen gaan afstappen van PfSense naar mijn mening. Er komen meer distro’s beschikbaar met dezelfde (of meer) features, dit terwijl PfSense maar weinig innoveert.

De kans bestaat dat ik bij een nieuwe installatie OPNSense zou kiezen ipv pfSense, maar voorlopig zie ik weinig reden om van een bestaande en goed werkende pfSense over te stappen. Dat overweeg ik pas als er een feature is die ik nodig heb en pfSense niet ondersteunt en OPNSense wel.

[Reactie gewijzigd door tc-t op 25 juli 2024 00:13]

[Jerie]

Ik heb een WAN en een LAN-connectie en op die LAN dan verschillende VLANs gedefinieerd.
Waarom heb ik nog meer NICs nodig?

Bijvoorbeeld omdat je een DMZ op een 3 leg perimeter wilt. Niet iedereen gebruikt een back-to-back firewall. Een andere reden kan zijn omdat je een redundante failover wilt met een ander netwerk.

Verder ondersteunt OPNsense veel meer hardware waaronder x86-32, en het bedrijf erachter is ook prettiger IMO.

[Vorkie]

32Bits ondersteuning is leuk, maar de reden waarom Netgate deze heeft laten vallen is toch wel duidelijk? Enerzijds, oude devices missen vaak security updates of hebben security flaws die niet meer opgelost worden en anderzijds, development kosten, je moet toch 32Bits onderhouden... het tweede is dus een kostenkeuze, het eerste is een beleidskeuze vanuit beveiligingsoogpunt.

Verder de verplichting van AES-NI, ook daar valt wat van te vinden, maar met al die opkomende VPN tunnels tegenwoordig, steeds meer SSL etc.. is dit gewoon een logische keuze, anders krijg je bijvoorbeeld topics met:
"HELP Ik heb 6 VPN tunnels op xSense en ik haal maar 1KB/s!!! Stom product!", maar bedenk dit ook zakelijk, wanneer je dus appliances van ze koopt.

Eigen verhaal van Netgate, dat het net iets anders ligt als hierboven: https://www.netgate.com/blog/more-on-aes-ni.html

Ik blijf nu bij PFSense, omdat ik PFBlockerNG gebruik om tracking, countryblocker etc.. in te richten, wat nog niet helemaal fijn loopt bij OPNsense.

En al met al, ze ontlopen elkaar helemaal niet, werken beide prettig.

Grappig topic:
https://www.reddit.com/r/...ly_make_pfsense_a_closed/

[Reactie gewijzigd door Vorkie op 25 juli 2024 00:13]

[Jerie]

x86-32 bedoel je. Wat voor flaws heeft een oude x86-32 firewall precies?

PFBlockerNG ken ik niet. Ik haalde destijds publieke adblock of hosts lijstjes en converteerde die naar PF rules.

Verder kun je een betere performance krijgen door gewoonweg WireGuard of IPsec te gebruiken ipv OpenVPN.

[renedis]

Wat @RobinF zegt inderdaad. OPNsense kan met meerdere merken NICs overweg. Met name de Broadcoms icm Dell iDrac.

[tc-t]

OK, op die manier.
Ik interpreteerde "meer NICs" als louter een hoeveelheid, en niet als: ondersteunt meer fabrikanten, drivers, ...

Da's interessant om te weten. Voor mij persoonlijk niet zo'n punt momenteel aangezien we pfSense als Virtual Machine in ESXi gebruiken.

[RobinF]

Ik neem aan dat er wordt bedoeld dat OPNSense ook met minder bekende NICs overweg kan. E.g. OPNsense ondersteund NIC X van fabrikant Y waar PFSense dat niet doet.

[derx666]

Ik draai op dit moment pfSense op een oud 32bit atom doosje met 3 RT nicjes die belabberde throughput geven, dus net een nieuwe minipc gehaald met wat snellere (en modernere) hardware, incl 4 intel nicjes onboard.
Ik was ook benieuwd naar OPNsense vanwege de geliktere interface, maar ik mis bij sommige dingen toch configuratieopties die ik in pfSense wel heb. oa de let's encrypt package is beperkter configureerbaar dan in pfSense. De verdere achtergrond/gedoe tussen beide kampen hou ik me niet mee bezig, dat zoeken ze onderling maar uit. Kwa performance zit er ook geen verschil in, het is net wat je zelf fijner vindt. Voor mij is dat op dit moment pfSense, maar iemand anders heeft wellicht een voorkeur voor OPNsense.

[Wim-Bart]

Zelf draai ik pfSense op een i3 met AES-NI en 4 x 1 Gbps poortjes (alibaba doosje met pasieve koeling).
(https://www.alibaba.com/p...-4-Intel_60529353782.html)

Dus voldoende interfaces en AEX-NI wat behoorlijk wat in Snelheid scheelt en straks zelfs verplicht is met pfSense. Overigens ook zonder problemen een VLAN overheen te doen wat ik nu heb naar mijn 2 x DD-WRT access points (een prive VLAN/management VLAN en een gasten VLAN).

[derx666]

Grappig, ik heb de "nieuwere" versie daarvan via aliexpress gekocht: https://www.aliexpress.co...042311.0.0.69844c4dwMfZNE

Heeft volgens de specs een i3 5005u ipv 4005u, maar kreeg hem met een 5015u (die is 100mhz sneller). Ik ben hem nog in aan het richten (te weinig tijd), maar tot nu toe bevalt ie prima. Lekker snel in ieder geval. Heb wel een andere MiniPCI ssd erin gezet die ik nog had liggen van Transcend. Die leek me iets betrouwbaarder dan die van het merk Houdoor (of iets dergelijks ) die erin zat.

Deze haalt iig wel near linespeed via iperf (955mbit) tov van mijn oude atom met realteks die nog geen 350mbit meer haalt. Ik vermoed dat er iets raars aan de hand is, want in het begin was die niet zo traag. Als m'n nieuwe draait gooi ik m'n oude leeg en ga ik er eens wat mee testen.

[ThirstyThursten]

Even voortbordurend op de vraag van TheDuke.. Ik ken het systeem al en heb het gebruikt, althans heb PfSense ooit gebruikt, maar hoe gebruiken jullie dit?
Ik ben namelijk opzoek naar een oplossing met dit systeem, wil minstens 4 poorten kunnen gebruiken, ik heb networkcards met 4 poorten.
Maar de energie/electriciteit..
Hoe gebruiken jullie dit, met wat voor hardware zonder dat het ernstig veel stroom kost?

[tc-t]

Ik gebruik het zelf (pfSense in dit geval, maar dat zou met OPNSense niet anders zijn) als Virtual Machine in een bestaande ESXi-server.

Die ESXi heb ik toch al nodig, dus wat dat betreft zijn er voor mij geen bijkomende kosten kwa energie/electriciteit.

[Wim-Bart]

Ik had pfSense op ESX. Maar wilde ESX gewoonweg niet op Internet hangen. Een kleine BUG en de boel ligt open. Vandaar dat ik een doosje zoals https://www.alibaba.com/p...-4-Intel_60529353782.html heb staan.

[wolver1ne]

https://teklager.se/en/

[theduke1989]

Kan dit op een bestaande OS als Windows geïnstalleerd worden?

Of moet je hier echt een aparte machine voor aan hebben staan.

[DrPoncho]

Kan op Windows als je gebruikt maakt van virtualisatie, bv hyperv (zit gratis in w10pro) of het opensource virtualbox.

[Peran]

Gaat zeer goed. Ik heb het een half jaar als firewall gebruikt op W530 met 3G, wifi en LAN. Erg onder de indruk.

EDIT: Ik heb pfSense gebruikt

[Reactie gewijzigd door Peran op 25 juli 2024 00:13]

[hello123456]

Van deze versie is al een hotfix release uitgekomen in de vorm van OPNsense 18.7.5_1.

[thutex]

heb em ook al binnen
ik heb een hele tijd terug (toen het nog heel erg boe-geroep was tussen de 2 kampen) reeds opnsense geinstalleerd.
had pfsense en opnsense naast elkaar draaien en ik kon toch echt vlotter werken met opnsense.
het doet ook perfect wat ik wil, en qua interface is die sinds deze release alweer wat mooier gemaakt
(het oog wil ook wat, he)

verder heb ik ook het idee dat opnsense meer/vlugger/"gewaagder"? inoveert dan pfsense,
en op de meeste issues reageren ze ook gewoon vrij snel (zo hebben we sinds ik het aanhaalde ook een richting-icoontje in de live log van de firewall)