Software-update: OPNsense 20.7.3

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor 2fa, openvpn, ipsec, carp en captive portal. Daarnaast kan het packetfiltering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben OPNsense 20.7.3 uitgebracht met de volgende aankondiging:

OPNsense 20.7.3 released

Today is the day for a number of FreeBSD security advisories and a few reliability fixes. We are still testing a batch of Netmap improvement patches with a separate kernel. This and the Realtek vendor driver update will likely follow in the next kernel update. All feedback is welcome.

Here are the full patch notes:

• system: use different shell gateway name to appease wizard
• system: simplify CARP hook
• interfaces: phase out netaddr.eui.ieee.OUI_REGISTRY_PATH usage
• firewall: add MAC type to top right filter selection
• firewall: fix two scrub rule parsing bugs
• firewall: omit group type interfaces in filter selection
• intrusion detection: re-create rule cache after rule deployment
• unbound: add "unbound-plus" section to XMLRPC sync
• dhcp: adding DDNS values of each additional pool to the $ddns_zones array
• dhcp: add static interface mode to router advertisements
• rc: fix ssh key permissions on MSDOS import
• rc: support service identifier in pluginctl -s mode
• plugins: os-bind download link changes
• plugins: os-chrony 1.0
• plugins: os-dnscrypt-proxy blocklist script fixes
• plugins: os-frr 1.17
• plugins: os-postfix 1.17
• plugins: os-rspamd 1.10
• plugins: os-theme-cicada 1.25 (contributed by Team Rebellion)
• plugins: os-theme-tukan 1.23 (contributed by Team Rebellion)
• plugins: os-theme-vicuna 1.1 (contributed by Team Rebellion)
• plugins: os-wireguard 1.3
• plugins: os-zabbix-agent 1.8
• src: fix FreeBSD Linux ABI kernel panic
• src: fix SCTP socket use-after-free
• src: fix dhclient heap overflow
• src: fix ure device driver susceptible to packet-in-packet attack
• src: fix bhyve privilege escalation via VMCS access
• src: fix bhyve SVM guest escape
• src: fix ftpd privilege escalation via ftpchroot
• src: set PAX_HARDENING_NOSHLIBRANDOM in the RTLD by default
• src: fix kernel panic while trying to read multicast stream
• ports: mpd 5.9
• ports: nss 3.57
• ports: php 7.3.22
• ports: pkg 1.15.6

Versienummer	20.7.3
Releasestatus	Final
Besturingssystemen	Linux, BSD
Website	OPNsense
Download	https://opnsense.org/download/
Licentietype	GPL

Reacties (6)

Ik heb laatst de pfSense vs. OPNsense overweging gemaakt door OPNsense daadwerkelijk te installeren over mijn huidige pfSense Proxmox VM. Ik was verrast door de aanwezige plugins en had al vrij snel KPN IPTV en dergelijke weer aan de praat. Helaas liep ik vast op de ACME (LetsEncrypt) plugin, deze ondersteund (nog) geen handmatige DNS validatie. Dit heb ik nodig omdat mijn DNS provider geen API heeft.

Zonder ACME ook geen externe HAProxy services, dus als dat er eenmaal in zit ben ik vast snel over!

[Reactie gewijzigd door EanskeNL op 25 september 2020 14:08]

Het domein dat ik thuis intern gebruik is het enige domein wat ik nog bij TransIP heb staan, omdat ik hun API gebruikt voor het LetsEncrypt certificaat. De rest staat bij Vimexx, omdat het net wat goedkoper is

Ik heb nog niet de tijd genomen om naar KPN IPTV (nu nog Telfort) te kijken. Ik heb het IPTV op een apart een VLAN gezet dat alleen bij het tv kastje uitkomt Heb je misschien tips of een linkje naar een handleiding als je er een gebruikt hebt? Uiteindelijk wil ik die ook wel via OPNsense laten lopen, scheelt weer een VLAN.

Ik heb jaren geleden op basis van deze blog https://venxir.tweakblogs...kpn-glasvezel-via-pfsense de boel ingesteld en bij storing even op GoT gekeken naar nieuwe routes

Deze instellingen zijn ook zo in OPNsense te gebruiken. Enige waar ik last van had is dat de default gateway op de IPTV vlan 4 stond ipv 6 zoals ie hoort voor WAN verkeer.

Ik heb de IPTV kastjes ook op een apart VLAN zitten omdat ik geen IGMP snooping kan gebruiken en ik mijn LAN/WiFi niet wil laten vastlopen door multicast verkeer. Of bedoel je dat je nu bridged IPTV gebruikt en naar routed IPTV wil gaan? dan is het een kwestie van IGMP proxy plugin erop zetten, instellen en de routes/DHCP server/client goed instellen ahv bovenstaande blog.

Zonder ACME ook geen externe HAProxy services, dus als dat er eenmaal in zit ben ik vast snel over!

HAproxy en Letsencrypt zit erin gebakken (kan zijn via plugin)

Enige waar ik last van heb is dat op een of andere manier de site2site openvpn tunnel breekt achter een NAT.

Overgestapt naar IPsec maar daar werkt het ook niet achter een Oebikoetie (Ubiquiti) .

Zo zit ik met Wireguard door een OpenWRT NAT. Krijg het niet voor elkaar om gek van te worden