Software-update: OPNsense 21.7.7

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor 2fa, openvpn, ipsec, carp en captive portal. Daarnaast kan het packetfiltering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben OPNsense 21.7.7 uitgebracht met de volgende aankondiging:

OPNsense 21.7.7 released

End-of-the-year security and reliability update coming right up! Due to inconclusive reports we are disabling the Netmap API version 14 support in Suricata to get a better understanding of the situation. The plan still is to keep it for the 22.1 upgrade and it has in fact been enabled on the development versions since September without any obvious issues.

The upgrade to 22.1-BETA3 is also included in the bundled development version.

Here are the full patch notes:

• system: fix /etc/ssl/cert.pem permission on backend call
• firewall: typo in direction for session diagnostics (contributed by kulikov-a)
• firewall: fix address direction for states diagnostics (contributed by kulikov-a)
• firmware: added generic configuration support via opnsense-update.conf
• firmware: modify the launcher to support -r and -s options
• firmware: fix upgrade prompt hint
• firmware: simplify repo file flush
• intrusion detection: update severity of ruleset download skipped log message (contributed by kulikov-a)
• intrusion detection: update embedded classification.config
• backend: configd profiler call fix
• ui: prevent browser auto-fill for username/password (contributed by NOYB)
• plugins: os-acme-client 3.6
• plugins: os-fetchmail removed since fetchmail author does not permit LibreSSL on FreeBSD
• plugins: os-firewall 1.1 adds "Do not NAT" option
• plugins: os-haproxy 3.8
• plugins: os-stunnel is now available for LibreSSL using an embedded OpenSSL build
• src: axgbe: fix I2C timeouts by reissuing command on errors
• src: axgbe: fix possbile link instabilities
• src: axgbe: log GPIO signals on EEPROM read fails
• ports: curl 7.80.0
• ports: dnsmasq fixes multiple regressions
• ports: nss 3.73
• ports: php 7.4.26
• ports: phpseclib 2.0.35
• ports: suricata disables Netmap API version 14 introduced in 21.7.6

Versienummer	21.7.7
Releasestatus	Final
Besturingssystemen	Linux, BSD
Website	OPNsense
Download	https://opnsense.org/download/
Licentietype	GPL

Reacties (17)

[appollonius333]

Deze update inmiddels al 2 dagen in gebruik en tot nu toe geen bugs of wat dan ook tegengekomen.
OPNsense is een fijn alternatief voor PFsense, waarbij in mijn geval PFsense soms wat 'log' aanvoelde en ook soms niet zo responsief was als OPNsense.
Daarbij vind ik de geregelde updates en actualiteit ook wel fijn van OPNsense, vooral voor thuisgebruik. (Alhoewel de familie het soms irritant vindt dat er een reboot moet plaatsvinden, maar dat terzijde ).

De modulariteit is daarbij ook vrij goed, waarbij ik sinds kort ook veel gebruik ben ga maken van Wireguard als VPN oplossing. OPNsense biedt dit als Plugin, waarbij in PFsense dit geintegreerd is en er hier en daar ook wat mis ging met betrekking tot Wireguard in OPNsense.

Dus al met al tot nu toe vrij te spreken over OPNsense in combinatie met KPN Glasvezel.

[ASP]

Ik zit er ook over te denken om mijn KPN glasvezel aan OPNsense te hangen. Even uit nieuwsgierigheid: op wat voor "kastje" draait OPNSense, heb/haal je daarop 1 Gb up/down en heb je direct de glasvezel op het "kastje" aangesloten of gebruik je de UTP van de mediaconverter?

Ik twijfel nog aan de juiste oplossing en wil het liefste de flexibiliteit/configureerbaarheid van OPNSense.

[_JGC_]

KPN is PPPoE en OPNSense is FreeBSD. De implementatie van PPPoE op FreeBSD is single threaded en daarmee kut.
Ik haal op een Atom C3558 maar 500-600Mbit met PPPoE op pfsense. Die CPU zou met 2 vingers in de neus 1Gbit moeten kunnen doen evt zelfs met ipsec, maar PPPoE blijft achter.

[ZeroMinded]

Hebben ze dit in OPNsense wel gefixt? Ik had dit probleem met PFsense en een oudere versie van OPNsense ook.

Edit: volgens mij ben ik in de war en lees ik je bericht niet goed :-)

[Reactie gewijzigd door ZeroMinded op 23 juli 2024 05:11]

[_JGC_]

Nee, want OPNsense is FreeBSD en op dat OS durft niemand zich te branden aan de PPPoE ondersteuning. Er is op dit moment ook geen maintainer voor, dus verwacht er niks van.
Probleem is ook dat PPPoE ervoor zorgt dat hardware queues van de netwerkkaart niet gebruikt worden. Alles gaat over de eerste queue.
Er zijn wel wat tweaks die je kunt doen, maar de volle 1Gbit ga je niet halen. Linux kan het wel overigens...

[Rayman30]

Heb jij een goed werkend alternatief gevonden, dus een een linux router/firewall met een goede pppoe ondersteuning? Was hier toevallig afgelopen week een paar avonden mee bezig, maar kreeg traag internet met Opnsense, RouterOS en ClearOS.

[matty___]

Hoe lang geleden is dat? Want ik lees op Reddit dat je met bepaalde sysctl instellingen wel beter performance kunt halen
https://www.reddit.com/r/...rformance_with_pppoe_and/

[_JGC_]

Zonder die instellingen mag je blij zijn met 200-300Mbit op zo'n Atom. Met die instellingen kom je op 600Mbit maar altijd nog geen gigabit.

[rookie no. 1]

Dit is een mooie combinatie: https://protectli.com

Zowel voor OPNsense als PFsense en volledig open, soft- en hardware.

[terradrone]

Onzin, open hardware?? Dit zijn dezelfde merkloze doosjes als ook op aliexpress worden aangeboden. Maar nu is het een europese firma die er zelf opensource software op zet. Als je dit niet zelf kunt zou ik vooral niet aan *sense beginnen.

Bovendien, je kunt ook bij deciso of netgate shoppen. Dan help je in ieder geval mee aan het project:

https://www.deciso.com/product-catalog/

De deciso apparaten hebben in ieder geval een opensource bios, voor wat dat waard is.

[rookie no. 1]

Je mag best iets minder bot reageren Bedankt voor je correctie en aanvullingen.

Ik bedoel eigenlijk firmware/BIOS; coreboot. Opensource hardware zou te mooi zijn, maar mijns inziens is dit al een stap vooruit t.o.v. mainstream pc hardware te gebruiken wat ik zelf niet zou doen overigens; gebruik hardware waar het voor bedoelt/geoptimaliseerd is.

Maar inderdaad Decisio of Netgate zal vast beter zijn om ook de ontwikkeling te ondersteunen. Al doet vergroting van het marktaandeel dit ook automatisch (ik doneer sowieso bij gebruik en dat doen er vast meer).

[appollonius333]

Ik zou het zeker proberen, ik heb op het moment OPNsense draaien op een R210 II met 8GB RAM en een quadcore E3-1220 en het draait als een tiet. Alhoewel het een beetje overkill is naar mijn idee.

Wat ik heb gedaan qua verbinding is een kabel trekken helemaal naar zolder waar mijn rack staat met CAT6 UTP waarna het rack weer een verbinding naar de meterkast terugstuurt voor de switch. Werkt allemaal uitstekend en ik haal 9/10 keer 1gigabit (800 - 900 mbps up/down)

[GeroldM]

Verbindingen op deze specifieke locatie zijn niet zo goed. De 300/50 kabelverbinding, daar heeft mijn OPNSense router geen moeite mee om op te vullen.

Daarnaast is het een 12 jaar oude computer met een Core Duo 8200 (Dual Core) CPU en 2 GByte aan RAM. Wel het snelste RAM dat destijds beschikbaar was. De machine is ook uitgebreid met een Intel netwerkkaart waar 4 NICs (elk 1 GBit/sec) op zitten.

Er zijn altijd tussen 3 en 8 personen intern aanwezig die behoorlijk gebruik maken van het internet en er zijn altijd wel 10 personen die remote inloggen. Intern zijn er 26 computers, 5 WiFi nodes, 3 smart TV's en tussen de 5 en 20 telefoons die via de OPNSense router verbinding met het internet hebben.

Dit oude barrel komt amper boven de 30% belasting volgens de standaard ingebouwde telemetrie.

Had geen klachten met de Realtek NICs die ik voorheen gebruikte. Met de Intel NICs lijkt het allemaal wel net even wat "smoother" te gaan. Maar aangezien ik geen 1 GBit/sec up/down kan krijgen op deze locatie kan ik niet zeggen hoeveel van die bandbreedte overblijft na OPNSense.

Met de verbinding die ik wel heb, werkt OPNSense echter uitstekend, zelfs op een oud barrel (met goede NICs), waardoor ik de indruk heb dat OPNSense in jouw geval ook uitstekend zal voldoen.

[Verwijderd]

Het mooie aan open source is dat het op vele platformen draait. Check vooral even het forum.
Je kunt kant en klare hardware kopen op AliExpress tot officiële hardware. Ook kun je het zelf op je eigen computer testen in een VM. Ik draai het zelf bijvoorbeeld op een oude Intel NUC dus ook oude hardware is een optie. Als de software niet bevalt, dan kun je ook zo overstappen op bijvoorbeeld PFSense of andere *Unix based firewalls.

Ik weet verder niet wat je zoekt maar OPNSense is in de basis erg uitgebreid. Veel meer dan men gemiddeld beschikbaar heeft. Zo kon ik bijvoorbeeld bepaalde IPv6 functionaliteit niet werkende krijgen op een commerciële Sophos XG firewall waar ik met PFSense geen moeite had.

[Rataplan_]

In pfSense zit het niet (meer) in de kernel, door problemen, en is het nu gewoon als package beschikbaar.

[appollonius333]

Klopt inderdaad, volgensmij toen ze Wireguard in de kernel hadden zitten en niet als package kregen ze allemaal problemen....

[latka]

Ze (bedrijf achter pfsense) hadden de wireguard code de kernel in gerommeld en de kwaliteit was zo slecht en buggy dat er nogal een backlash op kwam. Ze zijn nu achter de schermen bezig het nog eens te proberen en hopelijk dan iets minder rommelig.