Software-update: OPNsense 21.1.5

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden . Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor 2fa, openvpn, ipsec, carp en captive portal. Daarnaast kan het packetfiltering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben OPNsense 21.1.5 uitgebracht met de volgende aankondiging:

OPNsense 21.1.5 released

This is mainly a security and reliablility update. There are several FreeBSD security advisories and updates for third party tools such as curl. The historic bsdinstaller has been replaced by a scriptable alternative based on the readily available bsdinstall bundled with the base system. And, yes, this brings ZFS installer support into the upcoming 21.7 release.

On the development side the migration to Phalcon 4 framework is now underway and brings improved UI/API responsiveness. One of the remaining road map goals is the migration to PHP 7.4 which can be carried out after said framework update is complete and released.

Here are the full patch notes:

• system: return authentication errors for RADIUS also
• system: better logic for serial console options -h and -D
• system: reorder loader.conf settings to let tunables override all
• system: lighttpd include directory for configuration (contributed by Greelan)
• system: remove /dev/crypto GUI support
• system: add route address family return on dynamic gateway
• system: allow CPU temperature display in Fahrenheit in widget (contributed by Team Rebellion)
• system: performance enhancement for local_sync_accounts()
• system: move extensions out of a certificate DN (contributed by kulikov-a)
• interfaces: treat deprecated addresses as non-primary
• interfaces: improve guess_interface_from_ip() (contributed by vnxme)
• firewall: resolve IP addresses in kernel for force gateway rule
• firewall: use tables in the shaper to avoid breaking ipfw with too many addresses
• firewall: clarify help text for firewall rules traffic direction (contributed by Greelan)
• firewall: sticky filter-rule-association setting for none/pass on copied items
• firewall: copy and paste for alias content (contributed by kulikov-a)
• firewall: improve loopack visibility
• reporting: format 24 hour timestamps in traffic graphs and widget
• dhcp: add dhcpd_staticmap() and fix DHCPv6 leases page with it
• dhcp: add "none" option to gateway setting of static mappings
• firmware: fix bug with subscription read from mirror URL
• firmware: separate update error for "forbidden"
• firmware: update error if upstream core package is missing yet installed
• installer: migrate to scripted solution using bsdinstall
• ipsec: validation to prevent saving of route-based tunnels with "install policy" set
• unbound: prefer domain list over host file format (contributed by Gareth Owen)
• rc: attempt to create /tmp if it does not exist
• rc: add opensolaris module load for ZFS
• rc: reverse list on stop action
• ui: prevent autocomplete in the quick navigation
• plugins: os-bind 1.17
• plugins: os-chrony 1.2
• plugins: os-debug 1.4 changes debugging profile to new version
• plugins: os-freeradius 1.9.11
• plugins: os-haproxy 3.2
• plugins: os-intrusion-detection-content-et-open 1.0
• plugins: os-maltrail 1.7
• plugins: os-netdata 1.1
• plugins: os-nginx 1.22
• plugins: os-smart 2.2 JSON conversion (contributed by Arnav Singh)
• plugins: os-telegraf 1.10.0
• plugins: os-theme-rebellion 1.8.7 (contributed by Team Rebellion)
• plugins: os-wireguard 1.6
• plugins: os-zabbix5-proxy 1.4
• src: axgbe: enable receive all mode to bypass the MAC filter to avoid dropping CARP MAC addresses
• src: accept_filter: fix filter parameter handling
• src: vm_fault: shoot down multiply mapped COW source page mappings
• src: mount: disallow mounting over a jail root
• src: em: add support for Intel I219 V10 device
• src: em: fix a null de-reference in em_free_pci_resources
• src: bsdinstall: switch to OPNsense branding
• ports: curl 7.76.0
• ports: dnsmasq 2.85
• ports: expat 2.3.0
• ports: hyperscan 5.4.0
• ports: monit 5.28.0
• ports: nettle 3.7.2
• ports: phpseclib 2.0.31
• ports: pkg 1.16.3

Versienummer	21.1.5
Releasestatus	Final
Besturingssystemen	Linux, BSD
Website	OPNsense
Download	https://opnsense.org/download/
Licentietype	GPL

Reacties (12)

Is dit makkelijk te draaien in een container of een hypervisor?
Ik wil hier graag mee aan de slag, maar het moet geen problemen veroorzaken met bijvoorbeeld mijn PiHole.

Het is freebsd dus het zal in een VM moeten. Qua testen gaat dat prima, maar om zijn primaire functie te vervullen moet het aan de voorkant van het netwerk. Als je het dus wel testen in de frontlinie moet je mogelijk ook aan de slag met je netwerk (zoals instellen van VLAN's etc.).

dat gaat ja. Wel rekening mee houden dat je 2 netwerkpoorten nodig hebt. En als je maintenance doet op je hypervisor, is je internet down

Met maar 1 netwerkpoort kun je prima een Router on a stick bouwen natuurlijk. Als je toch al aan het virtualizeren bent is dat een kleine moeite.

klopt, maar dan moet je toch al met vlans gaan werken. Wat volgens mij toch niet default aanwezig is in de meeste huis, tuin en keuken omgevingen

Jij hebt geen cluster draaien thuis, dan?

Geen enkel probleem. Kan in openbox, vmware, hyperv of op linux in bijvoorbeeld kvm.
Wel even de powermanager goed instellen en 2 netwerkpoorten doorzetten. Niet in Bridged mode, en het beste ook niet in nat.

Ik (prive) en wij (zakelijk) gebruiken het in XCP-ng als Hypervisor, in VMware en op verschillende fysieke systemen.

Zijn de 3rd party packages van betere kwaliteit dan op pfsense ?

Kan ik niets zinnigs op zeggen, de plugins die ik / wij gebruiken zijn allemaal van het team zelf.

Enorm makkelijk ja, het is de router die ik gebruik voor snelle lab experimenten in virtualbox. Eerste adapter koppelen aan je internet virtualbox netwerk, tweede adapter bridgen met je netwerk adapter. Starten, en klaar. Start automatisch met prettige instellingen op in de live modus en je hebt nu werkend internet op je interne virtuele netwerk. Meer nodig en wil je echt de instellingen aanpassen omdat je bijvoorbeeld je Windows Server een DHCP en DNS wilt laten zijn? Log je in met het installer account, installeer je hem naar de HDD van de VM en kun je vervolgens alles eenvoudig na smaak instellen.

Het was niet de meest uitgebreide oplossing die ik ooit binnen Virtualbox heb gedraait, maar wel de meest prettige die ik in bijna al mijn labs gebruik.

Destijds in mijn schooltijd al in de Virtualbox 4 tijd, en waar je met de standaard Virtualbox NAT toen nog wel eens tegen vreemde problemen aanliep (Helaas te lang geleden om te herinneren wat) ging het op deze manier altijd goed en zeer stabiel. Mijn netwerken voor de opdrachten waren altijd vele malen stabieler dan die van de overige leerlingen en leraren puur omdat ik wel een echte router VM gebruikte en hun bleven steken bij het interne van virtualbox.

Is er nou al eens ondersteuning voor intel i225LM? Nieuwe NUC op m'n wenslijst met deze NIC's