Software-update: OPNsense 20.1.5

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor 2fa, openvpn, ipsec, carp en captive portal. Daarnaast kan het packetfiltering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben eerder OPNsense 20.1.5 uitgebracht met de volgende aankondiging:

System:

• support configuration for SSH HostKeyAlgorithms, KexAlgorithms, Ciphers and MACs
• simplify validations in gateway monitor settings

Interfaces:

• mark VXLAN and loopback devices as configurable
• validation typo caused failure to communicate unassignable targets
• netstat tree view GUI and API
• use libxo to extract ARP data

Firewall:

• checkbox selection ignores visibility setting
• add network group type to combine aliases cleanly
• IPv6 essential icmpv6 allow for ::
• new shaper statistics GUI and API
• support filter log messages with PID

Reporting:

• when flow times are not returned stick to receive timestamp

OpenVPN:

• use multihome when selecting "any" interface with UDP

Unbound:

• create shared startup script for background task

Mvc:

• also store "" field value as initial state to prevent empty fields as being marked as changed
• firewall source NAT ranges support in plugins
• keep options in static set for PortField
• support interface targets without addresses
• add "migration_prefix" attribute to model
• catch ArgumentCountError
• skip empty gateway artefact

Plugins:

• os-acme-client 1.31
• os-firewall 1.0 API supplemental package
• os-haproxy 2.22
• os-unbound-plus 1.1
• os-wol 2.3 adds case insensitive matching in widget (contributed by Gauss23)

Ports:

• ca_root_nss 3.51.1
• dnsmasq 2.81
• krb5 1.18.1
• openvpn 2.4.9
• php 7.2.30
• py-certifi 2020.4.5.1
• strongswan 5.8.4

Versienummer	20.1.5
Releasestatus	Final
Besturingssystemen	BSD
Website	Fabrikant
Download	https://opnsense.org/download/
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (23)

Ik gebruik op dit moment pfSense, is dit wellicht een beter alternatief?

Er is geen goed pfblockerNG alternatief in OPNsense, dus dat weer houdt mij om OPNsense te proberen.

Waarin zit de limitatie van pfblockerNG icm met OPNsense?
Ik gebruik niet direct de DNS backlists, maar ik gebruik pfblockerNG om landen te blockeren voor bepaalde services. Is dat wel gewoon mogelijk?

Ja dat kan, dat kan met GeoIP aliassen in the firewall sectie.

Ik had altijd het idee dat op OPNsense er geen pfblockerNG blocker alternatief was. Het was wel mogelijk om van blocklijsten wat te blokkeren maar veel meer niet. Daarom nooit overgestapt naar OPNsense.

In pfblockerNG gebruik ik bijvoorbeeld:
- Landen blokeren op basis van IP of ASN.
- Verschillende standaard blocklijsten aan of uit te zetten
- Custom blocklijst.
- Alle lijsten worden periodiek geupdate
- De pfblockerNG DEV versie heeft ook een uitgebreide rapportage.

Ik weet wat de opties nu zijn, nooit echt een vergelijking gevonden.

Wel vond ik net het volgende mogelijk beperkte alternatief:
https://github.com/alectrocute/UnboundBL

os-unbound-plus 1.1 plugin voegt blacklists toe (voorgedefinieerd en custom) aan de Unbound DNS service. Is dat wat je zoekt?

Mogelijk is dat samen met os-unbound-plus 1.1 een goed alternatief.

Maar voorlopig ga ik het niet testen, gezien Pfsense nu stabiel draait. Laatst heeft pfblockerNG DEV er wel voor gezorgd dat mijn pfsense back geen geheugen meer over had (unbound cach was vol gelopen). Dan kun je PFSense gui niet meer openen en er is geen internet.

Ik denk dat die link die jij stuurt over UnboundBL (met de tekst van Unbound Plus) achterhaald is door Unbound Plus.

De laatste versie is van maart 2019 en Unbound Plus is van gister ofzo.
Als ik zo de features van UnboundBL bekijk kan Unbound Plus hetzelfde / beter.

Ik had met pfSense heel veel last van instabiliteit op mijn setup, met OPNsense heb ik nergens last van, draait al ruim een jaar als een zonnetje als firewall+dns+OpenVPN provider.

Met wat voor systeem had je veel last van instabiliteit met pfSense?
Iets met een Realtek NIC?

Ah nee, een dual Intel 82576NS NIC met SR-IOV.

Edit: als VM in Hyper-V, voor de volledigheid.

[Reactie gewijzigd door JapyDooge op 24 april 2020 20:00]

Voor ons geldt nog steeds onderstaande:
Rataplan_ in 'downloads: OPNsense 19.7.9'

Raar dat ze die mogelijk weggehaald hebben. En kennelijk nog steeds niet terug gehaald hebben. Wat zou het voordeel zijn om die mogelijkheid weg te halen?

Hun argument was dat het iets met de api te maken had. En dat je maar een alias moet maken voor elke entry, die alias een naam geven en dan alles nesten. Maar door dat je niet kunt doorklikken op een geneste alias, of zelfs mouse over hebben ze niet, is dat ontzettend frustrerend om mee te werken.
Omdat de firewall werking zelf lood om oud ijzer is (want pf) zijn wij dus bij pfSense gebleven omdat dat voor ons veel beter te beheren blijkt. Het ziet er niet fancy uit, maar dat is van geen enkel belang voor een firewall in mijn ogen.

Kijk eens terug bij de afgelopen nieuwe versies - deze vraag wordt vaker gesteld.

Mijn mening is: ben je tevreden met pfSense, lekker blijven gebruiken. Heb je je bedenkingen of frustraties bij pfSense, werp eens een blik op opnSense. Zelf ben ik een aantal jaar geleden overgestapt omdat me een aantal dingen niet bevielen aan pfSense, en ik ben nu tevreden opnSense gebruiker.

Ben paar weken geleden overgestapt van Pfsense naar Opnsense en ben nog wat zaken aan het leren/instellen. Of je wilt overstappen ligt echt aan je doel. Ik wilde gebruik gaan maken van Wireguard en ook actueel zijn met nieuwe plugins. Bij Pfsense loopt dat voor geen meter en dat begon me te storen.

Als je gewend bent aan de GUI van Pfsense dan is het aanpassen aan de Opnsense. Het is mooier, maar ik vind het niet altijd sneller te vinden. Komt ook doordat het menu aan de linkerkant zit in plaats van aan de bovenkant.
Zoals hieronder ook gezegd, geen pfblockerNG, maar dat vond ik toch vaak maar lastig configureren of traag werken. Dus met een eigen pi-hole of Adguard ben je er ook. En volgens Mr.Aargh hieronder zit er nu ook een soort ingebakken pi-hole. Dat heb ik zelf nog niet geprobeerd, maar zou mooi zijn.

Wat ik wel mis is documentatie, hij is er wel maar matig. De wereld van pfsense is nog steeds de grootste en zo ben ik van de week bezig geweest met het instellen van HAproxy en dan moet ik het eigenlijk doen van wat halve forumposts en pfsense tutorials. Dat zal allemaal nog wel verder uitbreiden, maar is soms wel storend als je met lastige materie bezig bent.

opnSense GUI is prettiger (mening)
Sinds ze unbound-plus hebben heb je een ingebakken pi-hole setup waar je de DNS blocklists zo in kan stoppen.
Features zoals Wireguard zitten nu er ook standaard in.

En het is allemaal weer "open-source"

ik zit in het proces van inzetten van pfSense of OPNsense thuis. Beiden producten heb ik geinstalleerd maar ik vind de pfSense GUI intuitiever.
Ik heb nog geen beslissing genomen over welk product ik wil gebruiken. Sinds gisteren OPNsense devel geinstalleerd, maar ik kan de unbound-plus opties voor DNS dus niet vinden daar. Wat ik las is dat ze het juist in BIND gezet hadden. Is dit een verandering in 20.1.7 of doe ik iets niet (goed)?

Hier afkomstig van pfSense, vond die eerst ook intuïtiever, maar nu ik opnsense gewend ben is dat ook erg prettig. Voor unbound-plus moet je een plugin installeren als ik het goed had.

Edit: Zojuist de update doorgevoerd en merk dat een reboot niet nodig is

[Reactie gewijzigd door henkNL op 24 april 2020 12:50]

ah, plugin reeds installed. Tnx. Opnieuw ingelogd in de console maar nog steeds geen DNSBL opties.
Ik snap dat dit niet het GoT forum is, maar mocht je nog een suggestie hebben hoor ik het graag. Anders stoei ik vanavond verder en check ik verder op GoT.

EDIT: nvm, optie zit onder "Blacklist".

[Reactie gewijzigd door Razwer op 24 april 2020 12:08]

Ik vind de gui van pfSense juist stukken beter. Hij ziet er niet zo fancy uit maar dat boeit me niet voor een firewall. In pfSense kan ik bv dubbelklikken op een rule of alias om hem te editten, seperator lines toevoegen en belangrijker: per item binnen een alias een description geven. Bij OpnSense willen ze graag dat je van élk alias item waar je een description bij wil, een eigen alias aanmaakt. Maar je kan in de aliassen niét doorklikken naar een onderliggende geneste alias. Erg omslachtig.

in wat grotere omgevingen blijft pfSense in mijn ogen de way to go. Maar ieder zn mening.

Zie ook Rataplan_ in 'downloads: OPNsense 19.7.9'

[Reactie gewijzigd door Rataplan_ op 24 april 2020 14:57]

heerlijk stuk software wat ik mijn digitale voordeur geheel toevertrouw. komende van een Ubiquiti USG pro en heb tot op heden geen enkele spijt ervan.
update is overigens zonder een reboot
(ik hoor nogal vaak van de US youtubers dat de vele updates van OPNsense een dikke minpunt is tegenover PFsense, ik heb er geen probleem mee maar ben dan ook maar een simpele 1 pers. huishouden...)

Ben onlangs overgestapt van pfsense naar opnsense. Ik vind gui prettiger en frisser aanvoelen.

De reden voor de overstap is dat ik geen vertrouwen heb in netgate.

Het enige wat ik mis is configuratie via de cli maar dat was in pfsense ook noet