Software-update: OPNsense 21.1.3

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor 2fa, openvpn, ipsec, carp en captive portal. Daarnaast kan het packetfiltering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben OPNsense 21.1.3 uitgebracht met de volgende aankondiging:

OPNsense 21.1.3 released

Today we move ahead with the firmware UI and API rework as we are happy with the new user experience. You will also notice the new plugin conflict dialog which will report that plugins have been installed previously but not registered in the configuration. This can be easily amended by reseting the local conflicts, which essentially accepts the current plugin configuration as the new default.

The HAProxy plugin was updated to version 3.0. This release marks the switch to the HAProxy 2.2 release series, which may result in incompatible changes for some users. Many new features were also added, including the possibility to update SSL certificates in runtime. These features should be considered experimental. We encourage everyone to install this version in a test environment before using it in production. As usual, please have a look at the plugin changes and report bugs on GitHub.

Here are the full patch notes:

• system: prevent duplicate dashboard traffic pollers mangling with the graphs
• system: added cron job "HA update and reconfigure backup"
• system: unify HA sync sections and remove legacy blocks
• system: adapt lighttpd ssl.privkey approach
• system: correctly remove routing entries directly connected to an interface
• interfaces: correct dhcp6c configuration issue on PPPoE link down (contributed by Team Rebellion)
• interfaces: better primary IPv6 address detection in diagnostic tools
• interfaces: handle disabled interfaces in overview
• interfaces: drop early return in PPPoE link down
• interfaces: remove unused global definitions
• firewall: typo in outbound alias use (contributed by kulikov-a)
• firewall: rules icon color after toggle fix (contributed by kulikov-a)
• reporting: prevent crash when NetFlow attributes are missing
• reporting: aggregate iftop results for traffic graphs
• firmware: opnsense-bootstrap shellcheck audit (contributed by Michael Adams)
• firmware: revamp the UI and API
• firmware: revoke old business key
• intrusion detection: add new Abuse.ch feed ThreatFox to detect indicators of compromise
• intrusion detection: make manual rule status boolean for policies (contributed by kulikov-a)
• ipsec: calculate netmask for provided tunnel addresses when using VTI
• ipsec: do not pin reqid in case of mobile connections
• openvpn: extend compression options (contributed by vnxme)
• unbound: handle DHCP client expiring and returning (contributed by Gareth Owen)
• ui: refactor bootgrid usage in ARP, NDP, captive portal session, system activity and routes
• ui: align layouts of select_multiple and dropdown types
• plugins: os-haproxy 3.0
• plugins: os-nginx 1.21
• plugins: os-node_exporter 1.1
• src: jail: Handle a possible race between jail_remove(2) and fork(2)
• src: jail: Change both root and working directories in jail_attach(2)
• src: x86: free microcode memory later
• src: xen-blkback: fix leak of grant maps on ring setup failure
• src: rtsold: auto-probe point to point interfaces
• src: growfs: update check-hash when doing large filesystem expansions
• src: axgbe: change default parameters to prevent manual tunable settings
• src: arp: avoid segfaulting due to out-of-bounds memory access
• ports: cpdup 1.22
• ports: krb5 1.19.1
• ports: nss 3.62
• ports: pkg now provides fallback for version mismatch on pkg-add
• ports: python 3.7.10
• ports: syslog-ng 3.31.1

Versienummer	21.1.3
Releasestatus	Final
Besturingssystemen	Linux, BSD
Website	OPNsense
Download	https://opnsense.org/download/
Licentietype	GPL

Reacties (20)

[Donstil]

Ik had nog een firewall liggen zonder licentie (een sophos) en daar heb ik sinds deze week opnsense op.
Weet iemand toevallig of je de update/upgrades ook automatisch kunt laten uitvoeren op een bepaalde dag/tijdstip?

[job_h]

Dat kan inderdaad. In het menu System -> Settings ->Cron kan je op het plusje drukken en een "Automatic firmware update" job inplannen. Dit doet ook een automatische herstart, mocht een update dat nodig hebben.

Cron screenshot: https://tweakers.net/foto...jdDPEUTsd3sgMDAn2b2vj.png

Standaard voert dit alleen minor updates uit, aangezien de makers van OPNsense liever geen major updates automatisch uit laten voeren zonder interactie van de gebruiker. Mocht je dit toch willen, dan lijkt ALLOW_RISKY_MAJOR_UPGRADE de benodigde cron parameter te zijn. Het wordt echter niet voor niks afgeraden

[Reactie gewijzigd door job_h op 25 juli 2024 00:38]

[Donstil]

Whow thanks!
Ga ik mee aan de slag, minor is idd prima

[Fairy]

Ik draai nu met PFSense. Heeft OPNsense nog voordelen of nadelen t.o.v. elkaar?

[DutchCrownNL]

Ben hier ook wel benieuwd naar. Draai al ene poosje PFSense, maar als ik zie hoe regelmatig OPNsense updates krijgt t.o.v. PFSense.. Iemand die hier ervaring in heeft?

[ChristopheS]

Wij gebruiken op het werk op 5 locaties (CA, IE, BE, RU, MY) pfSense tussen de kantoren, dan nog in enkele data centers in VM's (FR, DE, NL, US, CA, GB, ...).

Ik ben meerdere malen sneller in pfSense door het dagelijks gebruik daar.
Maar OPNsense wordt geprezen voor zijn zoekfunctie, maar voor installatie van OPN dat ik draai thuis, de ouders, bij 2 vrienden gebruik ik dat nooit.
Het oogt gemakkelijker, maar werkt voor mij persoonlijk niet meer .. proficient?
Mijn eigen gebouwde OPN's draaien met een SATA SSD, voelen vlot en snappy aan.
Ze updaten zo smooth t.o.v. pfSense omdat OPN ook altijd meldt welke een reboot nodig heeft of niet, en dat is niet vaak. Aangenaam als je een enkel pakket (python 3.7.10 bv) wou updaten.

Omdat het een fork is voelt heel veel hetzelfde, maar er zit soms wat andere benaming en uitleg bij knoppen en velden.
Maar door mijn pfSense ervaring en niet te moeten zoeken in OPN documentatie is het redelijk click and go in de menu's.
Ik heb nog geen down time ervaren op mijn 4 boxen in vergelijking sommige gebruikers melden met WireGuard, WGDNS en andere vraag om hulp postjes rond het internet.

Bij mij persoonlijk kwam het echt in versnelling na af te stappen het in Proxmox of VMWare te draaien thuis, gewoon voor 150€ een Celeron toestel gekocht en 6 weken op de slowboat met 2 of meer Ethernet en klaar.

Ook mag OPN commercieel verkocht worden, niet dat ik daar nood aan had.
Maar voor die 2 vrienden die thuis zaten met UDM(P)'s en toch niet net dat extra zilver folie hoedje functies hadden waren ze heel blij dat ik gewoon het toestel heb kunnen aankopen, en doorverkocht aan hen geconfigureerd.

[Valkyre]

Waarom is in jou beleving het beter om hem niet als een vm te draaien?

[ChristopheS]

Uit mijn werk ervaring is alles 3 2 1 backup's .
Thuis ga ik niet voor alles dat doen, en dan was het draaien in Proxmox super met snapshots.
Echter dan weer een 25€ Dual of Quad NIC aanschaffen, deze passtrough naar de pfS/OPNs VM en het werkt.
In een box dat dan ook meer doet (moet natuurlijk niet), dus mijn box ging dan een Torrent, SteamCache, NZB, YT DL doen en mijn ganse netwerk lijn gebruiken, de 4c/8t CPU in de Proxmox had dan lichtjes moeite.

Goed, we kopen dan een 8c/16t, Proxmox upgraden, meer watt, en nu toch meer recourses, why host not more.
88w 104w 115w 150w en het groeit.

Okay, gekozen voor een 10~15w 3965U Celeron doosje dat dan dedicated in de berging bij de modem hangt.

Nu kan ik spelen in Proxmox en de Proxmost host herstarten en niet even zonder internet zitten. Een SSD swap doen, zfs upgrade doen want deal op een HDD gevonden en het internet blijft gewoon werken.

Absoluut niks mis met het virtualiseren, we doen het op het werk ook zo in datacenters met barebone server.

Als voor mij persoonlijk deze woning beter bekabeld was zou ik de OPNs doos in de bureau kunnen plaatsen, wat dan in mijn Proxmox, unRAID, VMWare server bij plaatsen, wat is nu een VM'tje van 30GB met zijn eigen NIC.
Maar ik persoonlijk liep 2~5 per maand tegen apt-update, power cycle hypervisor voor hobby doeleinden.

Ook zie helaas enorm regelmatig dat er online hulp wordt gevraagd voor het virtualiseren van pfS/OPNs, daar probeer ik dan te helpen en denk ik vaak: een dedicated toestelletje en het zou gemakkelijk zijn.
Maar voor ons tweakers, we bouwen ons een zuinig systeem, hypervisor er op en gaan, je firewall er dan bij hosten.
Dan bij elke ThinClient/NUC release dat er is zie je online en op Tweaker: helaas weer geen dual NIC, of de dual nic variant is te duur voor pfS/OPNs.
150€ incl shipping, met 28€ DHL import en hij draait als sinds 2019 gewoon in de berging rustig en stil naast de modem.

Terwijl mijn Proxmox al van Intel naar AMD naar ander moederbord is gegaan en andere upgrades, dus het internet levend houden voor het vrouwtje en mezelf te google en troubleshooten is handing.

My 2 cents.

[powerboat]

Agree! aangezien ik geen cluster thuis heb maar wel een lieve vrouw en kinderen vind ik het belangrijk dat internet blijft draaien.

Echter op mijn eigen kantoor heb ik een cluster waar ik lekker live kan migreren of zelfs met opnsense in HA online kan blijven terwijl ik de andere bijwerk.

Maar voor thuis lekker KIS

[tvtech]

Wat haal je aan troughput op zo’n doosje? En dan bedoel ik met av scanning aan, evt dpi erbij. Ik wil toch wel graag een paar honderd mbps halen nl.
En loopt je latency niet teveel op met opn ertussen?

[Groentjuh]

Bij elke versie update ban PFSense of OPNSense wordt die vraag gesteld. Lees de reacties bij vorige versies eens door en dan heb je waarschijnlijk een redelijk beeld.

[Exqua]

Ik las destijds dat het bedrijf achter PFSense (Netgate) wat schimmige dingen deed en niet transparant was over PFSense.
Ze hebben ook nog een tijdje het domeinnaam van OPNSense in beheer gehad om dat project te kunnen boycotten, dit moesten ze toen verplicht afstaan. Vanuit principe stapte ik destijds over naar OPNSense en dit draait al jaren zonder problemen.

Ik kan het stuk alleen niet meer vinden. Mocht ik het vinden dan post ik het nog even.

[job_h]

Update hier vanaf de smartphone gestart, ging allemaal weer prima. Khad uiteraard wel eerst een backup van de config gemaakt

[mdj84nl]

Heb hem geupdate, maar nu doen mijn linkjes op de dashboard (van de widgets) het niet meer.

ipv firewall logs, staat er nu : ' log_title ' en als ik er op klik, krijg ik een page not found. Dit geldt voor alle widgets...

[job_h]

Mocht je Internet Explorer gebruiken, er zit in deze versie een bugje voor die browser. De fix is al gemaakt, maar zit nog niet in een kant-en-klare update.
Mocht je geen IE gebruiken, dan weet ik zo snel niet wat er gaande is

Edit: Jouw bug is hier gefixt: https://github.com/opnsen...12d0d7d1ca983f37dfb30bb47
Nu is het wachten op een hotfix

[Reactie gewijzigd door job_h op 25 juli 2024 00:38]

[mdj84nl]

Internet explorer..

Gebruik chrome

[Zenix]

https://forum.opnsense.org/index.php?topic=22051.0
Bekend en opgelost, had er ook last van. Komt vast met de update over twee weken

[EverLast2002]

Kan iemand in simpele taal uitleggen HOE je die patch installeert?
Ik zie allerlei code taal en forumberichten, maar het zegt me helemaal niks.

[Zenix]

Was het al gelukt? Op de shel
opnsense-patch 45199e3

[EverLast2002]

Ze hebben versie 2.1.3_3 uitgebracht. Ik heb deze via de "officiele" update (webgui) uitgevoerd. Alles is nu weer zoals het moet zijn.