Software-update: OPNsense 20.7.4

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor 2fa, openvpn, ipsec, carp en captive portal. Daarnaast kan het packetfiltering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben OPNsense 20.7.4 uitgebracht met de volgende aankondiging:

OPNsense 20.7.4 released

This release finally wraps up the recent Netmap kernel changes and tests. The Realtek vendor driver was updated as well as third party software cURL, libxml2, OpenSSL, PHP, Suricata, Syslog-ng and Unbound just to name a couple of them.

We would like to thank Sunny Valley Networks for their relentless efforts to bring said Netmap fixes and improvements into FreeBSD.

If you are having trouble with a stuck update try the command sequence below from the root shell or simply reboot from the GUI and rerun the update in case it was not fully carried out yet.

# pkill syslog-ng
# service syslog-ng restart

Here are the full patch notes:

• system: switch web GUI address selection to avoid server.bind in IPv6 first case
• system: fix defunct "use default" button on web GUI listen interfaces
• system: signal "auth user changed" when a user is modified via web GUI
• system: replace gateway widget and add proper API endpoint for it
• system: fix reading displayName attribute on LDAP search
• interfaces: change maximum MTU value to 65535 in accordance with RFC 791
• interfaces: update wireless device detection prefixes
• interfaces: lexical sort interface keys for assignments
• firewall: add support for network exclusions in network alias type
• firewall: add NAT information to pfInfo page
• firewall: associated NAT rules missed state keyword
• firewall: allow "or" conditions in live log
• firewall: use pfctl for alias IP check
• dnsmasq: regenerate resolv.conf on save
• dnsmasq: log queries option
• intrusion detection: ignore pkill exit status when performing update
• ipsec: add description to reconfigure action
• unbound: rebuild unbound blacklist download
• unbound: restructure reconfigure so that we always flush config
• backend: add new "config changed" event using syshook structure
• mvc: add a few missing control widgets from log pages
• ui: upgrade moment.js to 2.27.0
• plugins: os-freeradius 1.9.8
• plugins: os-git-backup 1.0
• plugins: os-haproxy 2.25
• plugins: os-stunnel 1.0.2 adds service protocol selector
• src: extended netmap update and driver fixes
• src: netmap tun and lagg support
• src: update Realtek re driver to upstream version 1.96.04
• ports: curl 7.73.0
• ports: libxml2 fixes for CVE-2019-20388, CVE-2020-7595 and CVE-2020-24977
• ports: nss 3.58
• ports: openssl 1.1.1h
• ports: php 7.3.23
• ports: pkg 1.15.10
• ports: radvd patch for dynamic interface shifting index
• ports: sudo 1.9.3p1
• ports: suricata 5.0.4
• ports: syslog-ng 3.29.1
• ports: unbound 1.12.0

Versienummer	20.7.4
Releasestatus	Final
Besturingssystemen	Linux, BSD
Website	OPNsense
Download	https://opnsense.org/download/
Licentietype	GPL

Reacties (26)

[job_h]

The Realtek vendor driver was updated

Toppie Kan men uitgebreid de nieuwe Realtek 2.5gbps NICs gaan testen. Als die stabiel blijken is de ODROID-H2+ opeens een heel leuk OPNsense bordje.

[Reactie gewijzigd door job_h op 23 juli 2024 07:51]

[JT]

Dank voor de tip!

[satunya]

Mwah, Realtek..........

[job_h]

Realtek was niet stabiel op OPNsense/pfSense door de Realtek drivers op FreeBSD. Gelukkig gebruikt OPNsense al een tijd nieuwere drivers dan FreeBSD zelf en lijken de nieuwe drivers een stuk beter.

Relevante link als je de nieuwere drivers ook op pfSense zou willen gebruiken: https://forums.serverbuil...se-use-2-5gb-realtek/3555

[Reactie gewijzigd door job_h op 23 juli 2024 07:51]

[Videopac]

Wat is er mis met Realtek? Dat het jaren geleden niet werkte op pfSense wil niet zeggen dat Realtek NICs nog steeds als waardeloos en onbetrouwbaar gezien moeten worden. In tegendeel: Realtek NIC zijn erg betrouwbaar en snel onder OPNsense.

[Bierkameel]

Dat Realtek niet werkt is 1 ding maar ze werkten altijd op CPU cycles en hadden geen hardware offloading zoals Intel en Broadcom.
Of ze tegenwoordig nog zulke CPU hogs zijn weet ik niet, ik heb een zak vol server NIC's die ik altijd gebruik

[Videopac]

Hardware offloading hebben ze al tijden.
Fijn dat je een zak vol server NIC's hebt maar dat heeft natuurlijk niet iedereen.

[Bierkameel]

Die dingen kosten ook geen fluit meer tegenwoordig, Voor 12,50 heb je een leuke dual NIC Intel kaart
V&A aangeboden: Intel PRO/1000 PT DUAL Port gigabit serveradapter

[Rataplan_]

Ja laten we een 15 (!) jaar oude NIC gebruiken tegenover een moderne Realtek. Officieel zijn ze denk ik niet eens meer gesupport onder bv Server 2019. Werken zal het wel doen... Ik ben helemaal (nouja... bijna dan) voor Intel NICs in servers, zeker tov Broadcom, maar die rommel van 15 jaar terug? Nee dank je. Alleen het stroomverbruik al is niet handig in een klein routertje dat 24/7 aan staat.

[Hakker]

ook onder pfsense werken ze al jaren goed maar dat gelul blijft maar naar boven komen toen de allereerste builds of freebsd 9 nog geen geupdate drivers hadden.

[sam_vde]

Ik vraag me al een tijdje af of het zinvol is mijn pfsense hierdoor te vervangen. Deze lijkt ietsje meer tracking te hebben de laatste tijd maar pfsense is anderzijds wel een naam die staat als een huis. Wat vinden jullie? Zijn er noemenswaardige voordelen die echt iets kunnen betekenen voor thuisgebruik?

[Tha_Butcha]

De main reason dat ik overgestapt is de update cycle en de (IMHO) verbeterde ui.

[AmritxDhillon]

Zoals Tha_Butcha al aangeeft is de update cycle veel beter.
Je krijgt met een grotere regelmaat updates en patches.
Daarnaast vond ik PFSense nooit echt een moderne GUI hebben en kon ik vaak met experimenteren bepaalde instellingen niet vinden. Met OPNSense kun je d.m.v. een zoekbalk door alle configuratie opties zoeken naar de juiste instelling. Ook de GUI ziet er stukken beter uit, helemaal met extra thema's die je vanuit de Web GUI direct kunt downloaden en instellen. Ik gebruik nu de thema "tukan".

[Rataplan_]

Voor ons niet. OPNsense gui is functioneel juist stappen terug voor ons. Ja hij ziet er mooier uit maar een firewall hoeft niet mooi te zijn, maar goed en bruikbaar zie Rataplan_ in 'downloads: OPNsense 19.7.9' en Rataplan_ in 'downloads: OPNsense 19.7.9'

Nog steeds is dat het geval, en dat maakt pfSense zóveel beter voor ons...

[Martin.Air]

Ik heb zeer recentelijk deze upgrade gedaan. Van pfSense naar een OPNsense. Eigenlijk is er nauwelijks verschil te merken, het is zeer duidelijk opgezet door mensen die voorheen aan pfSense hebben gewerkt.

Echter zie ik in mijn omgeving dat OPNsense vaak naar 100% gebruik springt tijdens veel internetverkeer, dit gedrag zag ik bij een gelijke setup aan pfSense niet. Dus voor nu zou ik zeggen, herinstalleer niet gelijk de pfSense naar een OPNsense maar probeer het eerst even op een 2e systeem.

[Peran]

Ik ben al een tijd bezig met deze vraag.
Draai je OPNsense virtueel?

[Martin.Air]

In het geval hierboven beschreven, inderdaad.
Beide pfSense en de vervangende OPNsense draaiden virtueel op KVM met virtio netwerkkaarten (10Gb/s).

Echter zie ik ook een CPU gebruik toename bij een hardware omgeving, wel gelukkig een stuk minder dan het trekken tot 100%.

[boswandeling]

Overweg al een tijdje over te gaan vanaf PfSense naar OPNsense
Ik mis alleen een beetje de motivatie omdat ik in principe geen reden heb om over te gaan

[job_h]

Ik ben van pfSense overgestapt naar OPNsense en ben zeer tevreden.
Maar, zoals je zelf ook aangeeft, als alles gewoon goed draait en het niet je hobby is zou ik geen tijd/moeite stoppen in een overstap

[Mich]

Ik krijg zeer binnenkort een mini pc binnen met wat lan porten speciaal om opnsense of pfsense te gaan draaien. Weet iemand een goede guide (mag ook youtube zijn) die ik kan volgens om alles een beetje ingesteld te krijgen? Ben al een aantal uur bezig geweest in een virtual box, maar het is toch net even wat uitgebreider dan een standaard router.

[Da_Plague]

Tom Lawrence op youtube (pfSense)

https://www.youtube.com/watch?v=fsdm5uc_LsU

[GeroldM]

Ja, OPNSense werkt in principe prima met Realtek NICs.

Heb echter recentelijk 1 Intel NIC met 4 UTP aansluitingen aan mijn OPNSense router toegevoegd (want de onboard Realtek kapte ermee na 12 jaar trouwe dienst (ja, ik gebruik een ouwe Core Duo computer al;s router).

Met die Intel NIC werkt het anders toch echt wel soepeler dan met de onboard en extra Realtek NIC die er van tevoren in zaten. Maar goed, dat is mijn n=1 ervaring.

[job_h]

Ik vermoed dat die 12 jaar oude Realtek chip nog geen hardware offloading had en er veel door de cpu zelf gedaan moet worden. Als dat zo was dan zal de Intel NIC inderdaad soepeler werken

Offtopic: Heb je een idee wat het stroomverbruik ongeveer is? Zou ik wel interessant vinden.

[Reactie gewijzigd door job_h op 23 juli 2024 07:51]

[GeroldM]

Behoorlijk laag in mijn geval. Het is een oud barrel wat ik toch had liggen, nog ergens een oude 160GB SATA hard disk gevonden 2 GByte aan RAM met onboard video. Er word alleen een monitor aangesloten wanneer dat nodig is. De rest van de tijd gaat alles via de web interface.

Die intel netwerk kaart kostte in totaal (inclusief transport naar Zuid-Amerika) rond de 75 Euro. Computer heeft gemaakte kosten allang terugverdiend, is nog altijd krachtig genoeg voor OPNSense en de taken die ik ermee uitvoer. Zo spaar ik toch alle energie uit die gaat in het maken van nieuwe computer apparatuur. Wat nog altijd behoorlijk wat effectiever is dan een nieuwe computer met een processor die iets zuiniger is.

Door de geringe hoeveelheid aan hardware in dat systeem is het verbruik erg laag. Bios is op stand energiezuinig gezet, harde schijf is alleen in gebruik tijdens het opstarten, wanneer alles in RAM is gezet stopt de HD (logging uitgezet).

Geregeld log ik in op het dashboard en zie dat de CPU nooit hoger komt dan 15% en meestal onder de 10% zit. Zelf schat ik dat het verbruik rond de 40 tot 50 watt ligt. Heb hier geen meter die het verbruik per stopcontact kan meten, helaas.

[jcamps]

Iets te enthousiast update van vorige versie gedaan via gui.
Melding gptboot no /boot/loader etc
Mijn opnsense draait op esxi 6.7 u3
Heb uiteraard backup nog maar toch

[Maurits van Baerle]

This release finally wraps up the recent Netmap kernel changes and tests.

Ik kom er maar niet goed achter wat dit betekent. Ik kom wat announcement en progress reports tegen maar die zijn allemaal maar half begrijpelijk als je de context niet begrijpt of alle voorgeschiedenis niet hebt gevolgd.

Is Netmap een soort kernel extension die Suricata etc. mogelijk maakt? Ik neem aan dat OPNSense gewoon de FreeBSD kernel gebruikt maar compileren ze die dan nu met een Netmap switch aan of iets dergelijks?