Software-update: OPNsense 20.1.4

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor 2fa, openvpn, ipsec, carp en captive portal. Daarnaast kan het packetfiltering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben eerder OPNsense 20.1.4 uitgebracht met de volgende aankondiging:

system:

• add missing strtolower() in LDAP sync response
• fix /var/run/legacy_log socket creation race with Syslog-ng
• add info button to display privilege / ACL endpoints
• make IPsec tap tunables overwriteable

firewall:

• floating means either all interfaces or more than one selected
• simplify group maintenance by only applying them on filter reload

interfaces:

• use primary IPv6 and support VIP tracking
• multiple changes in radvd.conf setup (contributed by maurice-w)

dhcp:

• fix DDNS support in DHCPv6 (contributed by Wagner Sartori Junior)

firmware:

• mirror opnsense.ieji.de renamed to opn.sense.nz

openvpn:

• improve openvpn_port_used() logic

unbound:

• minor cleanup in /api/unbound/diagnostics/stats endpoint
• remove 192.0.0.0/24 from rebinding prevention list (contributed by maurice-w)

mvc:

• simplify reload of captive portal, cron, IDS, alias, loopback, VXLAN, web proxy, routes, syslog and shaper
• limit dropdown size to 10 is none specified
• support inheritance of the ArrayField type
• synchronize backup timestamps with revisions
• fixed width for timestamp column in logging
• init errorMessage to prevent crash reports

shell:

• use interfaces_primary_address6() for correct IPv6 display
• append a newline in pluginctl -g mode

plugins:

• os-acme-client 1.30[1]
• os-bind 1.13[2]
• os-freeradius 1.9.6[3]
• os-haproxy 2.21[4]
• os-maltrail 1.5[5]
• os-nginx 1.19[6]
• os-nut 1.7[7]
• os-postfix 1.14[8]
• os-tayga 1.0 (contributed by Michael Muenz)
• os-telegraf 1.7.7[9]
• os-unbound-plus 1.0 (contributed by Michael Muenz and Petr Kejval)

lang:

• multiple updates to supported languages
• new Turkish translation (contributed by Aydin Yakar)

src:

• work around PCI devices which return all zeros for reads of existing MSI-X table VCTRL registers
• fix incorrect checksum calculations with IPv6 extension headers[10]
• fix TCP IPv6 SYN cache kernel information disclosure[11]
• fix insufficient oce(4) ioctl(2) privilege checking[12]
• fix incorrect user-controlled pointer use in epair[13]
• fix kernel memory disclosure with nested jails[14]

ports:

• curl 7.69.1[15]
• krb5 1.18[16]
• openssh 8.2p1[17]
• openssl 1.1.1f[18]
• perl 5.30.2[19]
• php 7.2.29[20]
• python 3.7.7[21]
• strongswan 5.8.3[22]
• sudo 1.8.31p1[23]

Versienummer	20.1.4
Releasestatus	Final
Besturingssystemen	BSD
Website	OPNsense
Download	https://opnsense.org/download/
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (12)

Misschien toch langzamerhand tijd om m'n 19.7.10_1-doos te gaan upgraden, alleen ben ik blij bang dat m'n OpenVPN config enzo stuk zullen gaan..

[Reactie gewijzigd door JapyDooge op 10 april 2020 23:00]

Blij dat je OpenVPN config stuk gaat??

Ik denk dat je bang bedoelt maar wees niet bang. Ik kom ook van v18 naar v19 naar nu v20.1.4 in de loop van tijd en alle upgrades hebben me nooit in de steek gelaten. Het werkte gewoon.
Ik heb ook een uitgebreide OpenVPN config met tunnels als client maar ook als server. Alles blijft netjes zonder aanpassingen doordraaien.

Ik hoop voor jou ook. Succes.

[Reactie gewijzigd door XfadeR op 10 april 2020 21:44]

Euh bang ja lol En thanks da's erg fijn. Ik maak sowieso van te voren wel een snapshot

Oe, een acme client? Toch maar eens proberen.

Even een tip: sinds deze release is unbound-plus beschikbaar, waarmee je DNSBL binnen unbound kunt doen (zo'n Pi-hole achtig iets). Voorheen moest je dan bind installeren, maar dit werkt veel eleganter.

Heb je daar toevallig een goede how-to voor gevonden? Mijn Google-Fu laat mij in de steek...

bedankt voor de tip
- edit: na het activeren en toevoegen van Unbound-plus kom ik met geen enkele pc meer op internet... ik had pi-hole draaien en heb die uitgezet en alles via opnsense laten lopen. Helaas.

[Reactie gewijzigd door EverLast2002 op 13 april 2020 15:29]

Het stelt niets voor eigenlijk, als je Unbound al als je DNS-server gebruikt. Je installeert de unbound-plus plugin, en dan krijg je een extra submenu waarin je bepaalde blacklists kunt activeren.

Dit is de oude setup waarbij alle requests vanuit unbound doorgestuurd worden naar bind:
https://docs.opnsense.org/manual/how-tos/bind.html
Maar goed, dat heb je hiermee dus niet meer nodig.

Je installeert unbound-plus via system -> firmware -> plugins -> os-unbound-plus.

Page refresh en onder services -> unbound DNS -> blacklist kan je uit de dropdown alles aanvinken. Persoonlijk heb ik https://dbl.oisd.nl toegevoegd onder "URLs of Blacklists". Dit is een prima toevoeging op de genoemde DNSBL lijsten (vooral gericht op Amerikaanse gebruikers) waar OISD vanuit Nederland komt.

hmm sinds de update van 20.1.2 naar 20.1.4 is mijn pluginlijst leeg en van alles staat nu uit
gelukkig geen productie firewall morgen maar eens kijken wat er mis is

Nu je het zegt, bij mij was mijn Release Type versprongen, na de upgrade stond hij ineens op 'Development' i.p.v. 'Production'. Misschien goed om even na te kijken.

heb hem maar even uit gezet vrouw heeft andere plannen voor vandaag