Software-update: OPNsense 20.1.9

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor 2fa, openvpn, ipsec, carp en captive portal. Daarnaast kan het packetfiltering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben OPNsense 20.1.9 uitgebracht met de volgende aankondiging:

OPNsense 20.1.9 released

20.7-RC1 is already available and the final release of 20.7 is scheduled for July 30. A hotfix release for 20.1.9 will enable the upgrade path some hours after the initial 20.7 announcement is out, but please note that updated 32-bit builds (also known as i386) will no longer be available from this day forward.

Here are the full patch notes:

• system: Windows-friendly Nextcloud configuration backup file timestamp
• firewall: validate if NAT destination contains a port
• firewall: prevent config_read_array() from adding an empty lo0
• network time: NMEA GPS clock messages latitude and longitude parsing fix
• network time: prevent widget PHP warnings if no GPS fix was returned in NMEA message
• mvc: LegacyLinkField not allowed to return null in __toString()
• plugins: os-collectd 1.3
• plugins: os-dyndns 1.22
• plugins: os-telegraf 1.8.1
• plugins: os-theme-rebellion 1.8.6
• plugins: os-tinc fixes switch mode
• plugins: os-wireguard 1.2
• ports: ca_root_nss 3.54
• ports: curl 7.71.1
• ports: dnsmasq 2.82
• ports: monit 5.27.0
• ports: php 7.3.20
• ports: python 3.7.8
• ports: sqlite 3.32.3
• ports: syslog-ng 3.27.1

Versienummer	20.1.9
Releasestatus	Final
Besturingssystemen	Linux
Website	OPNsense
Download	https://opnsense.org/download/
Licentietype	GPL

Reacties (50)

[theduke1989]

wat is beter PFsense of OPNsense ? en waarom is dat zo.

Ik zie wel vaker updates voorbij komen voor OPNsense heb ik het gevoel...

[Rataplan_]

Voor ons is het volgende nog steeds valide:

Rataplan_ in 'downloads: OPNsense 19.7.9'
En Rataplan_ in 'downloads: OPNsense 19.7.9'

Dit maakt opnsense in de praktijk haast onbruikbaar voor ons, en blijven we pfSense aanhouden. Er is met de bouwers van opnSense geen opbouwende discussie mogelijk. Wat zij vinden moet je maar slikken want dat is de waarheid. Dat is hun goed recht, maar ons past het niet.
Een firewall hoeft niet fancy eruit te zien, maar moet functioneel zijn. Daar slaagt pfSense bij ons beter in.

[Reactie gewijzigd door Rataplan_ op 22 juli 2024 16:09]

[TweakMDS]

Helder stuk. Aan de ene kant begrijp ik je statement heel goed en zie ik ook het belang daarvan, en aan de andere kant vind ik het wel goed als er een duidelijke product visie is (*ik ken de details niet) waarbij de maker onder andere administratieve taken van firewalls binnen en buiten scope plaatst.

Ik werk zelf bij een software bedrijf, en je kan je gewoon niet altijd aan iedereen schikken. Waar het bij jullie een opmerkingen veld is, heeft het bij anderen een contact email adres nodig, of een referentie naar een applicatie, of noem maar op. Voor je het weet ben je in een firewall scherm een heel asset management systeem aan het bouwen.
Uiteraard zou je dat wel allemaal in een opmerkingen veld kunnen pleuren, dus het lijkt me een zinnige conclusie die jullie trekken.

[Rataplan_]

Zeker niet, daarom zeg ik ook dat het hun goed recht is. Maar er is destijds een feature weggehaald die er wel was (dat is altijd lastig uit te leggen), waardoor de aliassen ineens als een stuk sourcecode zonder documentatie is. En dat moet je als developer dan wel kunnen snappen hoe handig dat is
Persoonlijk vind ik de GUI zoals gezegd van totaal ondergeschikt belang. En ja, die van OPNsense ziet er leuker uit, maar die van pfSense is in mijn ogen beter. Basale zaken als dubbelklikken op een rule missen in OPNSense, geen mouseover bij de aliassen (of andere items) waardoor je je echt de pleures zoekt als je 500 aliassen hebt. En die gemigreerd naar OPNSense, waarbij ik dan alles als eigen alias heb aan moeten maken met bijbehorende description, en dan alles weer nesten, dat werden er 2000+.
De reden had iets te maken met de API om tegen OPNSense aan de kunnen praten. Wij hebben die functionaliteit vooralsnog niet nodig, een hoop mensen blijkbaar wel. Wat me echter aan die discussie vooral tegenstond is de manier waarop de heren (twee met name) reageren op mijns inziens valide vragen van potientiele klanten. 'Nee, en het komt niet terug, staat het je niet aan ga je maar ergens anders huilen'. Redelijk letterlijk. Als ik een van mijn medewerkers in mijn bedirjf dat OOIT tegen een klant of potentiele klant hoor zeggen, stamp ik hem gelijk eruit, zonder dat 'ie de dorpel raakt.

Maar het is modder om blubber. PFSense en OPNSense hebben beide rare uitlatingen gedaan, elkaars websites gekaapt, NAZI vergelijkingen zijn er geweest, ze zijn allebei niet heilig, en bij geen van de twee is (of was althans) enige vorm van fatsoen jegens elkaar te bespeuren.

Vooralsnog zijn wij erg content met pfSense, in een HA setup, vooralsnog onder Hyper-V. Het wordt hoog tijd voor pfSense 2.5, maar de focus is verlegt naar TNSR. pfSense lijkt op een zijspoor te zijn geraakt, en dat betekent mogelijk dat we in de toekomst naar een andere firewall gaan moeten mocht pfSense echt tever gaan achterlopen. OPNSense gaat het hier niet worden. Die heren krijgen geen cent van me

[johnkeates]

Waarom zet je je IP lijsten in de interface? Is dat niet een stuk praktischer in netbox te beheren en dan via een text url dynamisch in de firewall te cachen?

OPNSense zit in NL, je kan ze gewoon opbellen en die feature in laten bouwen als je UI mist. Ik zou pfSense in elk geval nooit meer gebruiken, NetGate heeft het behoorlijk verpest.

[Jack Flushell]

Dat alias gebeuren is inderdaad een minpunt. Voor mijn thuisnetwerk valt het nog mee en kan ik ermee leven, het is alleen wat onoverzichtelijker. Ik vind de UI van OPNSense verder veel duidelijker en ze zijn vaak wat eerder met nieuwe features dan pfSense. Daarom voor mij OPNSense.

[DarkJack]

OPNsense heeft elke maand minor updates en elk half jaar een major update, dus ja die gaan veel sneller vooruit dan pfSense en ik moet zeggen sinds 20.1 versie is OPNsense best wel lekker.

Ik heb zowel pfSense als OPNsense gebruikt en ben sinds kort overgestapt op OPNsense. Mijn primaire reden is vooral dat IPv6 features veel beter werken in OPNsense dan pfSense. Daar was het echt "it just works" terwijl ik in pfSense toch hier en daar echt wel moest tanden trekken om het in orde te krijgen.

Het snel itereren van OPNsense vind ik voor thuisgebruik best wel goed, maakt dat ze zeer snel kunnen bijbenen en snel dingen kunnen fixen.

Het is ook Open Source, dus als je zelf technisch kundig genoeg bent kan je eventuele issues ook gewoon zelf fixen en mergen, of zelfs nieuwe features toevoegen. Je kan ook gewoon in de source code gaan lezen hoe een bepaalde functionaliteit achterliggend werkt.

Een van de grotere deltas in functionaliteit tussen OPNsense en pfSense, namelijk pfBlockerNG, is vanaf 20.7 ook weggewerkt. GeoIP blocking kon OPNsense al natively, en DNSBL wordt nu ook native toegevoegd aan de unbound DNS resolver features in 20.7.

IPS/IDS is in beide pakketten gebaseerd op Suricata, dus daar ook niet echt een verschil.

[johnkeates]

Ik vind vooral de manier waarop je patches kan aandragen in OPNSense prettiger. Ik had een patch voor de Unbound configuratie schrijver gemaakt zodat je van stub-zones naar authorative zones kan schakelen voor overrides. Dat spul was in een paar min klaar en zat er een paar dagen later bij de release in.

[Verwijderd]

OPNsense heeft een logischere interface. PFsense heeft nog wat meer plugins.

Voor beide kun je commerciële support krijgen.

Wat mij betreft zijn het beide technisch goede firewalls die echter bar weinig inzicht geven.

[StefanBfB]

die echter bar weinig inzicht geven

Elaborate please?

[Verwijderd]

Tenzij je logging centraal verzameld naar een centraal systeem zie je niet precies wat er gebeurt in je netwerk en al helemaal geen trends.

Bij een commerciële firewall als Fortinet of Checkpoint heb je dat wel. Dan zie je dus dat het aantal aanvallen vanaf netwerk range X toeneemt en kun je actie ondernemen. Bij PF en OPNsense moet je dat zelf aggregeren en uitpluizen.

[johnkeates]

Je kan toch ntop aanzetten en gebruiken? Zit gewoon in de package lijst.

[Verwijderd]

Dat geeft ook geen hoog over beeld maar gewoon statistieken m.b.t. je netwerkverkeer.

Dat is toch echt anders dan een wekelijkse rapportage die aangeeft dat er plots heel veel hackpogingen uit Iran komen die gebruik willen maken van exploit X.

Op het gebied van management rapportages lopen deze firewalls gewoon ver achter. Dat interesseert de gemiddelde techneut niet. Die wil bits en bytes zien.

In een Enterprise kun je daar eigen tooling voor inzetten, maar iets kleinere bedrijven zullen dat toch missen.

[johnkeates]

Maar dat heeft toch niks met firewalling te maken, firewalling is regels op basis van ingress/egress. Waar jij hebt over hebt is threat intel en IDS/IPS. En dat zit er ook gewoon in.

Daarnaast zijn wekelijkse rapportages echt de meest nutteloze onzin ooit. Wat heb je er aan om dat soort 'wekelijkse' troep te zien? Waar je wat aan hebt is acute problemen en nieuwe detecties, en dan het liefste realtime of op korte termijn.

De techneut is een lekkere vage term waar je ook niks aan hebt. En enterprise betekent ook niet veel, behalve 2x zo duur en half zo goed.

[Verwijderd]

Precies deze instelling is waarom open source firewalls niet een veel grotere gebruikersgroep hebben.

Als jij denkt dat poortjes blokkeren en wat ids genoeg is voor je security Dan kun je echt nog even aan de studie.

[johnkeates]

Ik denk dat je geen idee hebt wie ik ben, wat ik doe, wat ik gebruik, waar ik ervaring mee heb, en waar open source firewalls op gericht zijn.

Aan je woordgebruik te zien denk je dat een firewall een integrated security appliance hoort te zijn ofzo.

[Reactie gewijzigd door johnkeates op 22 juli 2024 16:09]

[Zjemm]

Ik snap @Verwijderd Mecallie wel.

Heb veel opensource firewalls getest, en allemaal heel leuk in de basis. Firewalling doen ze allemaal prima.
Maar al ruime tijd is dat niet meer dan basic.

Je hebt veel meer aan applicatie herkenning zoals Fortinet of palo alto dat doet. En ja zeker wel zijn trends en dergelijke inzichten van groot belang. Niet voor niets zetten veel firewall verdorren in op cloud achtige oplossingen die alle firewall data verzameld en daar intelligentie op toepassen om zo nog meer/tijdiger in te kunnen ingrijpen bij bepaalde gebeurtenissen op je netwerk.

met opensource moet je dat allemaal zelf bouwen, kan vast wel....

[job_h]

Indien je interesse hebt in meer inzicht, in combinatie met OPNsense, kun je eens naar Sensei kijken: https://docs.opnsense.org/vendor/sunnyvalley/sensei.html
https://www.sunnyvalley.io/sensei/

[Verwijderd]

Ik ga dat eens bekijken, interessant!

[AmritxDhillon]

Er zijn meerdere verschillen.
Ik heb lang PFSense gebruikt tot ik gek werd van het zoeken van instellingen en ik vond de interface (Web GUI) ook zwaar verouderd. Ik gebruik OPNSense nu al ongeveer één jaar en ik ben echt super tevreden.

Je hebt met OPNSense een frissere WEB GUI, je kunt via een zoekfunctie alle gewenste instellingen zoeken (dus geen gespeur meer naar de juiste instelling), ook heeft OPNSense een hogere update frequentie en is OPNSense volledig gratis (waarbij PFSense betaald is volgens mij voor de niet community versies).

Voor OPNSense is echt een vloot aan plug-ins en packages beschikbaar (net zoals bij PFSense). Dus wat je ook nodig hebt, het is op een of andere manier mogelijk met deze router OS.

P.S. mocht je voor OPNSense gaan, dan raad ik je aan een machine met 8gb te gebruiken en de plug-in genaamd "Sensei" te gebruiken. Dit is een plug-in waarmee je d.m.v. elasticsearch en enkele andere componenten heel goed en duidelijk de statistieken van je netwerkverkeer kunt zien in verschillende grafische vormen. Echt super handig.

En als je ooit een vraag hebt over hoe je iets kunt doen dan sluiten PFSense handleidingen vaak nog wel aan op wat mogelijk is op OPNSense omdat OPNSense een fork is van PFSense.

[Z80]

De menu structuur is wat je gewent bent. Ik het opnsense een tijdje gebruikt en ben weer terug naar pfsense. Hier kan ik alles snel vinden. In opnsense blijf ik zoeken.

[DarkJack]

search functionaliteit in OPNsense leren gebruiken. Ik moest ook eerst wat zoeken omdat ik pfSense gewend was, maar via search raak ik echt direct waar ik moet zijn in OPNsense nu.

[Z80]

Nee. Als ik elke keer weer moet gaan zoeken waar wat verstopt zit en een vergelijkbaar product hoeft dat niet. Dan ga ik voor dat vergelijkbare product. Want blijkbaar werkt de gekozen interface voor opnsense niet voor mij.

[Z80]

Klopt. De update naar 2.5 van pfsense is er nog steeds niet. pfsense zit nog op 2.4 (stabiel) wat draait op freebsd 11.
Waarbij versie 20.* van opnsense en 2.5.* pfsense freebsd 12 gebruiken.

Bij opnsense is er wel een vast update schema. Zodat je kunt zien wanneer er een update komt.
Bij pfsense is het afwachten.

[DarkJack]

OPNsense gebruikt HardenedBSD, niet FreeBSD

20.1 gebruikt HardenedBSD 11.2, wat gelijkaardig is aan de 2.4.x versies van pfSense

20.7, die eind deze maand uitkomt, zal HardenedBSD 12.1 gebruiken

[Z80]

FreeBSD ->HardenedBSD. Het is nog steeds freeBSD als basis OS. Waar vervolgens het nodige uit gesloopt en aangepast is.

En ik dacht dat versie 20 reeds op BSD12 zat. Dit was namelijk wel de bedoeling.

[mjl]

Geen idee wat beter is maar 1 aspect is dat Pfsens commercieel is en deze niet. Of was het nou net andersom ...

In iedergeval was pfsense een fork van m0n0wall vanwege een verschil in mening in de developer community, opnsense weer een fork van pfsense ook wegens een verschil in mening.

[Reactie gewijzigd door mjl op 22 juli 2024 16:09]

[MavhRik]

OPNsense is powered door een Nederlands bedrijf (Deciso), is natuurlijk altijd mooi!

en volgens mij gaan de updates iets sneller bij OPNsense. Een echte vergelijking kan ik niet geven omdat ik nooit PFsense heb gebruikt, maar 'zie' wel veel mensen overstappen.

[johnkeates]

In principe zijn ze allebei FreeBSD-based firewalls met pf als filter. Verschil zit hem in actieve ontwikkeling een community. pfSense is hard commercieel gegaan, en wil vooral hardware verkopen (als je op het forum ook maar bijv. het woord Qotom laat vallen wissen ze je thread) of de cloud images verkopen, wat gewoon de community versie is met cloud-init toegevoegd voor automatische interface assignment om dat je geen console hebt. Nu doet OPNSense dat ook, dus daar zit wat minder verschil in, maar je kan OPNSense gelukkig gewoon bootstrappen op een draaiende FreeBSD installatie waardoor je dus gewoon een FreeBSD VM kan pakken op AWS, en een directe OPNSense bootstrap kan doen en alles gewoon werkt.

OPNSense is iets moderner, en heeft een wat vlottere release cadence, en om dat het geforkt is van een niet erg oude pfSense bevat het alles wat pfSense toen had, en alles wat OPNSense later zelf heeft toegevoegd. Dus qua historische stabiliteit heb je dat in elk geval mee.

[Reactie gewijzigd door johnkeates op 22 juli 2024 16:09]

[XanderHuisman]

Draai al een paar maanden OPNsense en vind het erg fijn werken. Ook de integratie met Telegraf werkt mooi. Het enige probleem is dat mijn OPNsense mijn gigabit niet bij kan houden (ik haal maar 400MB/s als Proxmox VM, 1 core van een 9100 en 4GB RAM).

[Mr-D.]

dat ligt in dit geval echt aan je hardware
ik trek mijn lijn echt helemaal dicht maar meestal tussen de 940-950 Mbit/s
en als ik ips aanzet wordt dit rond de 800Mbit/s maar dat lijkt mij wel erg logisch.

ik heb het zelf nu 2 weken draaien en bevalt wel.
ben nog wel erg aan het zoeken en testen maar dat is alleen maar leuk.

[theduke1989]

Ik wil een Qotom pc aanschaffen met 4 poorten . En dan aansluiten op een switch.

De Qotom heeft een i5 6de generatie met 8GB valt dit te doen qua hardware.

[Mr-D.]

ik heb zelf een Denverton 4 Core C3558 met 8GB
6 1 gig poorten en 2 SPF+ 10GB poorten
die is redelijk gelijk met wat jij wilt aanschaffen op sommige punten is de I5 zelfs sneller
mijn cpu is een server Class en de I5 een Laptop class

weet niet waar precies het verschil in zit

[goarilla]

Ik pfsense op beduidend tragere hardware (pentium M @ 1.0 ghz) en het is mij opgevallen
dat upload meer taxing is dan download en dat de VLAN splitting functionaliteit ook behoorlijk
wat oomph vereist. Ik heb dus mijn klein aantal VLAN's (3) gesplitst over de 4 NIC's met behulp
van een switch. Zonder dat was inter-vlan traffiek tergend traag (uploads soms maar aan 2-3MB/s).

[Mr-D.]

Heb dit anders opgelost door de extra nics in te zetten als privenetwerk gasten en test omgeving
En een voor de camera’s die niks met internet mogen doen en ook niet op mijn netwerk wil hebben.
Dus alleen voor mijn provider gebruik ik Vlan

[lamlion]

Wat voor hardware heb jij?

[Mr-D.]

vrij onbekend nog,
deze in een pre release gekocht een Dell Vep1425

[linuxontherocks]

Komt dat niet eerder door de 1 core? 2 cores zal al fijner zijn voor hem. Zie ook hun Minimum & Recommended Configurations (https://opnsense.org/users/get-started/)

En als je ook nog eens beveiligde verbindingen gebruikt (o.a. VPN) kan je dan niet net als bij pfSense AES-NI inschakelen?

Ook al geprobeerd je nic instellingen wat beter in te stellen?

[Resolved Internet bandwidth issue]
After investigating with FreeBSD system and nic tunning settings, I had to add following items to OPNSENSE Tunables page.
hw.bce.tso_enable = 0
hw.pci.enable_msix = 0

Added following to /etc/sysctl.conf
kern.ipc.nmbclusters=262144
kern.ipc.nmbjumbop=262144

Bron: https://forum.opnsense.org/index.php?topic=9693.0

[Mr-D.]

geld dit ook voor 10G nics (SPF+)?
want daar zie ik dit probleem nl ook

[Hakker]

ligt aan je verbinding bij een PPPOE verbinding heb je geen bal aan multithreading. Ze zijn daar al een hele tijd mee bezig maar voorals nog is een PPPOE single threaded.
Het is de reden dat ik mijn bak de deur uit heb gegooid. Ik kon mijn verbinding met een kleine pc gewoon niet vol trekken.

[EverLast2002]

Heb je Intel nics of een ander merk?
Met Intel nics kun je OPNsense tweaken m.b.v. advanced settings.

[XanderHuisman]

2 Intel NICs (1 x Giga PHY Intel I219V, 1 x GigaLAN Intel I211AT), Ik heb ze nu als Intel e1000 gebridged.

[EverLast2002]

Bedoeld voor een APU bord, maar wie weet werkt het voor jou ook :

https://teklager.se/en/kn...performance-optimization/

[Zenix]

Ik heb ook Promox met dezelfde CPU in een HPE microserver gen10 plus met 32GB ECC ram en een i350-T4 NIC. Mijn promox VM heeft 2 cores en 4GB geheugen, maar haal het wel. Ik heb diverse testen gedaan (maximaal uploaden en downloaden tegelijk) waarbij ik al tegen de 1 core limiet aanliep, dus je hebt gewoon 2 cores nodig.

[Reactie gewijzigd door Zenix op 22 juli 2024 16:09]

[satunya]

M'n Soekrisje draait OPN sinds PF geen 32bit meer doet.
De webbased menustructuur is anders, maar ssh is bijna hetzelfde....
Beide fijne firewalls...

[job_h]

Dan wordt het tijd om weer een andere firewall te zoeken ben ik bang...

20.7-RC1 is already available and the final release of 20.7 is scheduled for July 30. A hotfix release for 20.1.9 will enable the upgrade path some hours after the initial 20.7 announcement is out, but please note that updated 32-bit builds (also known as i386) will no longer be available from this day forward.

[powerboat]

Ik ben ook een tevreden opnsense gebruiker. Echter mis ik central management en de cli voor het beheren van meerdere installaties.

[Zenix]

Central mangement zijn ook meer enterprise features, dat zie je in bij de firewall vendoren. CLI heb je wel bij een paar opensource oplossingen, maar die hebben dan weer geen mooie GUI.

[powerboat]

Volgens mij positioneren ze opnsense als een businessgrade/enterprise nextgen firewall. Maar ligt de focus voornamelijk op de gui.

Als je kijkt naar de functionaliteiten dan is dat niet bepaald voor huis tuin en keuken gebruik.

[Zenix]

Ik zie PfSense/OPNSense, maar ook bijvoorbeeld Ubiquiti meer als MKB en prosumer oplossingen. Bedrijven met >500 medewerkers kijken toch verder naar de Fortigate, Palo Alto, Juniper SRX, CheckPont en Cisco etc.

Als je PfSense of OPNSense namelijk in wilt gaan zetten als een NGFW dan vereist dat veel werk als je bijvoorbeeld geen false positives wilt hebben met Snort. Dan kan je beter een enterprise product hebben waarbij het werk grotendeels al gedaan is en waar 24/7 goede support hebt, centraal beheer en meer mogelijkheden.

Daarnaast is de throughput van een PfSense/OPNSense ook beperkt, zelfs zonder NGFW featurues. Je hebt al flinke hardware nodig wil je de 10Gb halen. Bij de firewall vendoren kan je zonder NGFW features aan te zetten over het algemeen een veel hogere throughput halen. En vaak ook firewalls clusteren voor nog meer performance.

[Reactie gewijzigd door Zenix op 22 juli 2024 16:09]