Software-update: OPNsense 20.7.2

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor 2fa, openvpn, ipsec, carp en captive portal. Daarnaast kan het packetfiltering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben OPNsense 20.7.2 uitgebracht met de volgende aankondiging:

OPNsense 20.7.2 Released

While we are still looking closer at netmap/iflib performance on 12.1 we are rolling out a kernel with Intel em/igb updates that should avoid bad packet counts in the default installation. Syslog-ng received a workaround for the diagnosed startup issue and alias now supports MAC address content similar to how host content works.

Here are the full patch notes:

• system: set REQUESTS_CA_BUNDLE in environments
• system: improve parsing for temperature sensors
• system: add "new-password" hint for Chrome on login form
• system: rename syslog services description and hide legacy mode when not enabled
• system: force syslog-ng restart after boot sequence
• system: properly read new style logging directories
• reporting: replace line endings when sending traceback to syslog in flowd_aggregate
• reporting: dd traffic graph filter for private IPv4 networks (contributed by kcaj-burr)
• firewall: add MAC address alias type
• firewall: be more verbose when fetching alias remote content
• firewall: prevent pfctl error messages from being suppressed
• firewall: exclude all reserved pf.conf keywords from alias name
• firewall: bogons not loaded on initial load
• firewall: reset damaged bogons files on startup
• interfaces: add listen-queue-sizes in socket diagnostics
• firmware: properly report an unsigned repository
• firmware: revoke 20.1 fingerprint
• intrusion detection: rule cache parse error on invalid metadata
• intrusion detection: allow search for status enabled/disabled
• web proxy: correct template replacement during build time
• web proxy: bugfix in JSON access log
• unbound: updated project block lists links (contributed by gap579137)
• backend: add regex_replace template support
• plugins: os-acme-client 1.36
• plugins: os-dyndns 1.23 adds Gandi LiveDNS support (contributed by vizion8-dan)
• plugins: os-haproxy 2.24
• plugins: os-stunnel 1.0.1 includes performance tweaks
• plugins: os-telegraf 1.8.2
• plugins: os-tinc fixes cipher parsing on 20.7
• src: remove ACPI workaround for serial console on AMD EPYC
• src: Make pf.conf ':0' ignore link-local v6 addresses too
• src: default "show bad packets" tunable to off in e100 driver
• src: fix unsolicited promisc mode in e1000 driver
• src: add valectl to the system commands
• ports: ca_root_nss/nss 3.56
• ports: curl 7.72.0
• ports: libressl 3.1.4
• ports: openldap 2.4.51
• ports: php 7.3.21
• ports: python 3.7.9
• ports: sqlite 3.33.0
• ports: squid 4.13
• ports: syslog-ng dlsym() workaround
• ports: unbound 1.11.0

Versienummer	20.7.2
Releasestatus	Final
Besturingssystemen	Linux, BSD
Website	OPNsense
Download	https://opnsense.org/download/
Licentietype	GPL

Reacties (9)

[Sandolution]

Als zeer tevreden OPNsense gebruiker toch altijd nog blij dat ik de overstap heb gemaakt vanaf pfSense. Heb ook het idee dan OPNsense actiever onderhouden wordt, maar dat durf ik niet hard te maken gezien ik de updates van pfSense niet meer nodig heb

[Vorkie]

Tja, het is maar net hoe je het bekijkt. Ik heb Checkpoints, Fortigates, Cisco ASA's etc onder beheer, maar ook die updaten niet zo vaak als OPNSense.... is dat dan goed of fout?

[Sandolution]

Goed punt, wil ook niet zeggen dat pfSense niet goed is. Net als overige apparatuur. Maar het laat wel zien dat het een product is waar ze actief mee bezig zijn.

[Operations]

En/of waar veel aan gerepareerd moet worden

[Verwijderd]

Die dingen beheerde ik vroeger ook . Het is voor ieder apparaat, dat aan een netwerk hangt, natuurlijk erg belangrijk dat updates simpel en beheersbaar uitgerold kunnen worden. Dit is echt iets wat mij bevalt aan open-source firewall software (PFSense, OPNSense, etc). Echter komt dit ook vaak met een nadeel dat fall-back scenario's niet echt uitgewerkt zijn. Bij Cisco is er natuurlijk veel beter over nagedacht door middel van firmware image beheer.

Het probleem met die images is echter ook 'security through obscurity', iets dat een open-source firewall natuurlijk niet kan voeren.

Ik zie liever vaak updates en het liefst ook geautomatiseerd. Ik weet dat dit risico's met zich mee brengt maar het is gewoon nodig tegenwoordig. Dat zie je maar al te goed terug wanneer er weer hard-coded wachtwoorden worden gevonden in Cisco apparaten (die niet gepatched worden). Je zou die apparaten eigenlijk ook met 1 knop moeten kunnen updaten.

[Sandolution]

Edit: Verkeerde reageer knop

[Reactie gewijzigd door Sandolution op 25 juli 2024 05:59]

[Mich]

Kan iemand mij een systeem aanraden waar ij dit op kan draaien met cpu ondersteunig (aes-ni) en 2 netwerkpoorten?

[Valkyre]

check ook even het forum iets van zelfbouw en pfsense uit mijn hoofd.
ik heb zelf een qotom machine gekocht waar ik esx op het draaien met een virtuele firewall draait helemaal top.

[EverLast2002]

apu2 board:

https://www.pcengines.ch/apu2.htm

https://www.deciso.com/where-to-buy/