Software-update: pfSense Plus 23.01

Netgate heeft versie 23.01 van pfSense Plus uitgebracht. Dit pakket is gebaseerd op het besturingssysteem FreeBSD en richt zich op router- en firewalltaken. Het is verkrijgbaar in de gratis Community Edition en een Plus-uitvoering, die voorheen als Factory Edition werd aangeboden. De Plus-uitvoering draait op de hardware die Netgate aanbiedt, als virtuele machine in AWS of Azure en kan ook gratis op eigen hardware in een privéomgeving worden gebruikt. In tegenstelling tot pfSense CE is het echter geen opensource.

Het is in 2004 begonnen als een afsplitsing van m0n0wall vanwege verschillende visies bij de ontwikkelaars en in de loop van de jaren uitgegroeid tot een router- en firewallpakket dat in zowel kleine als zeer grote omgevingen kan worden ingezet. Voor meer informatie verwijzen we naar deze pagina. De changelog voor deze uitgave ziet er als volgt uit:

pfSense Plus Software Version 23.01 is Now Available for Upgrades

Today we celebrate the 20th anniversary of the initial public beta of m0n0wall. pfSense software is the continuation of the idea and ideals of m0n0wall, which had its initial Public Beta on 15 February 2003. Thanks to Manuel Kasper and all the m0n0wall community members for an idea that is still fresh and relevant after 20 years, continuing with the latest release of pfSense Plus software.

pfSense Plus software version 23.01-RELEASE is now available. This is a regularly scheduled release of pfSense Plus software including new features, additional hardware support, and bug fixes. The release contains significant enhancements, such as:

• Moving to PHP 8.1 and FreeBSD main
• Adding support for ChaCha20-Poly1305 encryption with IPsec
• Adding support for ChaCha20-Poly1305 and AES-128-GCM encryption with OpenVPN DCO
• Resolving previous issues with Unbound
• Continuing to improve Captive Portal
• Updating the pfBlockerNG package to match pfBlockerNG-devel

Visit our release notes for the full list of improvements and our upgrade guide to get started with best practices for upgrading.

Versienummer	23.01
Releasestatus	Final
Besturingssystemen	BSD
Website	Netgate
Download	https://www.netgate.com/pfsense-plus-software/software-types
Licentietype	Freeware/Betaald

Reacties (38)

[Rodejoost]

Nu nog een keer ooit een update voor de CE versie..
Het is niet meer zoals ze vroeger waren…

[Giblet]

Je kan gratis overstappen naar een plus versie: https://shop.netgate.com/...nse-software-subscription

[aileron]

Zitten hier haken en ogen aan?
Subscription krijg ik het gevoel dat je data deelt met ze.
Wat was het ook alweer wat ze altijd zeggen, if the product is free, the product is probably you.

Maar ik heb misschien al een jaar geen updates gehad. Ik zit wel te denken aan een andere firewall distro.

[GeroldM]

OPNSense?

Veel van je opgedane kennis in pfSense is direct toepasbaar in OPNSense. Welke in een mooier (subjectief) jasje is gestoken dan pfSense.

[joeyhelmond0492]

Ik ben zelf goed te spreken over OPNSense, het heeft veel weg van PfSense, ziet er op sommige vlakken zelfs overzichtelijker uit. Wat OPNSense beter doet t.o.v. PfSense (in mijn ogen) is het aanbieden van nano images voor embedded hardware, schrijf het naar een CF of SD Kaart en je box is klaar voor gebruik. Werkt Ge-wel-dig

[Rodejoost]

Oh nice. Enig idee wat tac lite is?

[SmokingCrop]

Komt bij de aankoop van een netgate appliance zo te zien.

[syl765]

Kijk dan eens naar opnsense. De fork van pfsense.

[paul2406]

De 2.7 CE komt er binnenkort ook aan. De CE’s zijn gebaseerd op de Plus versies daarom dat deze eerder zijn. Check https://docs.netgate.com/...eleases/versions.html#id9

Heb zelf ook jaren de CE’s gedraaid. Een aantal maanden geleden over gestapt naar de Plus versie en dat bevalt goed. De Proxmox waar het op draait, ook een licentie voor genomen om de production updates binnen te halen voor de stabiliteit. Heb wel eens problemen gehad met reguliere updates die niet goed door getest zijn.

[DevaZ]

Lekker... en ook de Intel i226 chip ondersteuning ingebakken, kan die nieuwe Topton van ali er weer vol tegen aan.

[stippel]

Werkt zon topton goed met pfsense?

[Darkjacky]

Ja zeker. Die Topton werkt heerlijk. Met KPN haal je >1gbit/s met glasvezel als je hem direct in de ONT doet.

Toen ik dat ding bestelde en binnenkreeg deed alles heel raar. Toen ik alles draaiende had viel hij opeens uit. Ik heb toen na wat brainstormen een memtest gedraaid en de meegeleverde RAM was instabiel. Het koste toen bijna 2 weken om nieuwe RAM te regelen. Maar goed mijn ervaring is waarschijnlijk niet de gemiddelde. Hun service was best snel. Ze gaven 2 opties, geld terug van RAM of een nieuwe opsturen. Ik heb toen ~13 euro terug gekregen en daarna de maximaal ondersteunde snelheid voor de J4125 gehaald. (Wat dus toen nabesteld moest worden en dus vers uit de fabriek in een mooie doos kwam na 2 weken ongeveer.)

Het werkt nu allemaal wel lekker in ieder geval. Alleen pfSense is een zooitje. Als je gateway monitor (IPv6) aan hebt met PPPOE dan stop dat met werken na een aantal dagen soms uren. Kan je niks aan doen, alleen opnieuw opstarten. (Of een script schrijven die het anders doet.)
Nou is IPv6 helemaal een zooitje in pfSense dus als je dat gebruikt is het misschien beter om iets anders te zoeken.

[terradrone]

Even uitkijken met die dingen, de kwaliteit laat nog weleens te wensen over (oa assemblage van componenten). Citaat vd opnsense fb group:

Be mindful of the thermal dissipation on those units. So many come with poor thermal paste jobs and sometimes air gaps between the CPU die and the heat sink.
I’d recommend checking this and re-paste at minimum or add a copper spacer if needed

[Darkjacky]

Ja ik vertrouwde het toch niet. Dus dat had ik meteen gedaan. Het veranderde niets. Dus mijn unit was gewoon goed in dat opzicht.

[digibaro]

Even uitkijken met die dingen, de kwaliteit laat nog weleens te wensen over (oa assemblage van componenten). Citaat vd opnsense fb group:
[...]

k kan dat het bovenstaande wel bevestigen over de i5-1135G7 versie, maar ben ik nu tevreden na een kleine actie.

Om te beginnen viel mij op dat er een extra stukje koper tussen de CPU en de heatsink zat om extra ruimte (why?) op te vullen. Ik heb deze laten zitten maar de koelpasta op de CPU en op de heatsink en plaatje vervangen door nieuwe. Gevolg was dat de temperatuur een paar graden zakte. Ik lees wel dat de koeling een issue kan vormen bij hoge CPU belasting voor lange duur. Aangezien mijn apparaat alleen als firewall wordt ingezet blijft de CPU in rust onder de 10% en de temperatuur rond de 48 graden. Deze hardware geeft mij ook minder interface errors, dus of de NICs zijn beter of de snelere CPU is een plus voor de firewalling.

[Reactie gewijzigd door digibaro op 22 juli 2024 20:57]

[digibaro]

Ik gebruik zelf OPNSense met de Topton, de gateway monitoring voor IPv4 en IPv6 werkt goed totdat ik een speedtest draai. Op dat moment valt IPv6 monitoring even weg en komt erna weer terug.

[Reactie gewijzigd door digibaro op 22 juli 2024 20:57]

[Darkjacky]

Dat is beter dan dat het er gewoon mee op houd. Maar goed ik zit nu op pfSense dus voorlopig blijf ik hier bij. Misschien als ik ooit naar 5gbit/s ga dat ik het probeer. OPNSense is daar zoiezo beter in omdat ze meestal eerder hardware support hebben.

[stippel]

Dankjewel voor de info. Ik heb zelf ook KPN1 Gb. Het is alleen jammer dat er geen sfp aansluitingen op zitten. ga eens kijken of ik die misschien kan vinden.

[WRT54G]

Welk RAM had je er eerst in en met welke heb je het vervangen?

Heb zelf ook de TopTon j4125 besteld (zonder ram en ssd) dus ben wel benieuwd.

[Darkjacky]

Na wat zoeken... "TRANSCEND 8GB SO-DIMM DDR4 2400 MHZ".
Het stikje wat er in zat weet ik niet aangezien ik de stikker er van af heb getrokken en heb gekeken of het te fixen was met wat hitte. (Nee dat lukte niet.) Het was in ieder geval 4GB zwart en een (voor mij) onbekend Chinees merk.

[WRT54G]

Thanks!

[DevaZ]

Werkt prima Model B. Draai er Proxmox op met daarin PFSense, HomeAssistant, MQTT en ga zo maar door.

[stippel]

thx

[Bosjvd2]

Ik heb er ook een draaien. Werkt zeer goed. Heb zonder geheugen en SSD besteld en dat zelf gesourced.

[MindBender]

Toen ik na mijn overstap op Ziggo kabelinternet mijn Juniper met ingebouwd ISDN-ADSLv2 modem niet meer kon gebruiken, heb ik in 2016 eindelijk het advies van een goede vriend ter harte genomen, en ben ik overgestapt op pfSense.

Ik heb een SuperMicro barebone gekocht, er 16GiB SuperMicro geheugen en een Intel enterprise SSD in gestopt. Allemaal voor een hoge betrouwbaarheid. Het mainboard heb ik helaas 2 jaar geleden moeten vervangen omdat het defect ging, maar een identiek type was nog gewoon leverbaar.

Voor de Juniper had ik verschillende Draytek routers, en de rommel die je standaard van je ISP krijgt. Maar de Juniper was voor een leek moeilijk te configureren en te onderhouden. En bij goedkope consumenten-routers is het moeilijk een lokale DNS te draaien om de computers en apparaten op je eigen netwerk gemakkelijk te kunnen vinden.

Met pfsense is dat eigenlijk heel gemakkelijk. Ik heb voor alle apparaten op mijn netwerk een DHCP reservering, met daaraan een DNS entry gekoppeld. Zo is alles centraal geregeld en kan ik vreemde of nieuwe apparaten gemakkelijk vinden in de DHCP pool.

Mijn pfsense router draait al al die tijd rock-solid. Updates gaan vlekkeloos en ook wat lastigere instellingen, zoals het toevoegen van het IP adres van je eigen NTP server aan de DHCP server, zijn gemakkelijk te vinden.

Ook niet onbelangrijk is de hoeveelheid kennis en kunde van de community, en de hulp-bereidheid van leden van het forum. Ook voor newbies.

Sinds eind vorig jaar hebben wij glasvezelinternet en zodra de mogelijkheid wordt aangeboden ga ik upgraden naar een 8Gb/s abonnement. De netwerk kaart is al besteld, en de SFP+ direct attached cable en 10GBase-T SPF+ module zijn al binnen. Ik verwacht dat mijn router uit 2016 dat nog gewoon probleemloos aankan.

Zelden ben ik zo tevreden geweest over een product of stuk software. Particulieren kunnen gratis een pfSens+ license key aanvragen, dus dat heb ik gedaan, maar ik had er geen probleem mee gehad er, eenmalig of per major release, voor te betalen.

Ondertussen kun je bij NetGate ook pfSense appliances kopen. Ik heb mijn ouders een 1100 cadeau gedaan. Houdt er bij de 1100 echter wel rekening mee dat deze maar één Ethernet NIC heeft. De drie Ethernet poorten zitten via een switch, met VLANs gescheiden, op diezelfde NIC. Als je WAN aansluiting VLAN tagging nodig heeft, lijkt me dat lastig configureren. En het halveert de bandbreedte natuurlijk, maar de 2100 is voor de enthousiasteling ook nog wel te betalen.

[Reactie gewijzigd door MindBender op 22 juli 2024 20:57]

[SadBob]

Leuke reclame voor die Supermicro, maar die kan je alleen maar kopen als je in de USA woont. Ze worden uitsluitend afgeleverd op een Amerikaans huisadres, en online bestellen gaat alleen met een Amerikaans IP internet adres.

[MindBender]

Als je écht geïnteresseerd bent, wil ik wel even de moeite nemen op te zoeken waar ik hem besteld heb, hoor. Want ik kan me niet herinneren dat dat een probleem was.

[SadBob]

€ 1665,= uitgeven voor een barebone om pfSense op te draaien? Dat is met een kanon een vlieg doodschieten.

[MindBender]

Knap, dat jij dat van daaruit, zonder enige kennis van mijn netwerk of internetaansluiting, kan beoordelen. Jij moet netwerkconsultant worden!

[SadBob]

Dus volgens jou kun je pfSense niet met goede resultaten op een raspberry pi draaien? Dan kan ik jou als netwerkconsultant vast nog wel een en ander leren
Maar kennelijk heb jij het over een groot bedrijfsnetwerk.

[boukej]

Ik bestel SuperMicro apparatuur meestal bij TWP in Amsterdam. Gewoon in Nederland. Geen enkel probleem.

[SadBob]

Bedankt voor de tip. Ik kende die firma niet.

[aileron]

Ik draai nu 4 jaar pfsense met dit bord
uitvoering: Supermicro A2SDi-4C-HLN4F

Geen enkele hickup ever.
Ik ben huiverig voor veranderingen omdat ik niet denk dat een ander platform zo stabiel zal draaien. Maar er zijn echt bar weinig updates en naar mijn gevoel is dat niet handig voor een firewall distro.

[vdr01]

Ik draai al een aantal jaar thuis met PfSense CE. Dankzij dit topic er pas achtergekomen dat er security patches aanwezig zijn.

System Patches Package

The System Patches package allows patches to be added, either from the official code repository or ones pasted in from e-mail or other sources.

This makes it easier to test and deploy small changes instead of pulling in many changes.
Installing the package

As with any other pfSense® package, it’s available via the package repository.

Navigate to System > Packages, Available Packages tab.

Find System Patches in the list.

Click fa-plus at the end of its row, then confirm, to install.

Patches may now be managed at System > Patches.
https://docs.netgate.com/...pment/system-patches.html

[TweakerCarlo]

Ik heb vandaag 3 netgates geupdate.
2 zijn helemaal goed gegaan, maar eentje niet.
Als ik nu verbind met die netgate (2 uur later) over openvpn krijg ik het volgende:

Sat Feb 18 17:50:37 2023 WARNING: Bad encapsulated packet length from peer (18516), which must be > 0 and <= 1626 -- please ensure that --tun-mtu or --link-mtu is equal on both peers -- this condition could also indicate a possible active attack on the TCP link -- [Attempting restart...]

VroegeMaandagMorgenUpdate
Ik hoop dat ik iemand kan helpen met deze informatie.
De firewall die faalde was een Netgate 3100.
Er zijn in zit geval 2 problemen opgetreden:

De interne marvell switch deed het niet meer (De opt1 wel)
De linksspeed van LAN1, LAN2 en LAN3 (4 unused) was ingesteld op 1000baseT <full-duplex> en dat kwam niet meer online (de ledjes op de poorten gingen uit nadat pfsense doorgestart was).
Na dit voor elke poort op Default te zetten linked het weer wel, just to be shure -> door het weer op 1000baseT <full-duplex> te zetten kwam het na een reroot niet online en terug naar Default weer wel. Hier gebeurt iets raars, maar het linked nu met de Default setting ook op de verwachte gbit. Opgelost daarmee?

Remote Access werkte niet meer
De openvpn deamon kon niet meer gestart worden.
It seems the /dev/tun* devices are not being created, even though the kernel module for thoseseems to be loaded.

Daarvoor is een patch beschikbaar:

Install the System Patches package and then create an entry for 18b8e41591905844627377b76347f8acba88f0a1, fetch+apply the patch, and then reboot.

Een post op https://forum.netgate.com...grade-to-23-01-on-sg-3100 verwijst naar die patch Ticket.
Het werkt voor nu hiermee weer :-)

Dit is voor mij trouwens de eerste keer sinds versie 2.0.3 dat het niet overal vlekkeloos ging met officiele Netgate appliances.

// LateMaandagMiddagUpdate: Post leesbaar gemaakt.

[Reactie gewijzigd door TweakerCarlo op 22 juli 2024 20:57]

[viper-srt10]

Moest er nog iemand een SG-1000 hebben draaien: deze update wordt niet meer ondersteund op dit toestel. Staat ook in de release notes vermeld

[DaRealRenzel]

PFSense draait super lekker op de headless, embedded hardware van PCEngines. Volledig open source hardware, met AMD 412 SOC, 3x Intel NIC en mSata SSD. Opties voor Mini-PCIe wifi, 4G hardware enz. Volledig fanless, en bijna wirespeed ethernet.
Ik heb er nog een paar liggen, piep maar voor interesse. Afmeting ca. 2 CD doosjes op elkaar.

[Praetorian]

Ik ben sinds vorige week over op Opnsense omdat de update cyclus bij Pfsense mij te traag was, ik was al overgestapt op de Plus omdat ik het idee heb dat de CE ontwikkeling langzaam aan het sterven is. Volgens mij is het daar nooit meer goed gekomen na de beslissing van Netgate.

Het was een hoop werk om te migreren, er bestaan geen automatische tools voor die dat voor je doen, maar ik had zeker veel aan mijn Pfsense kennis en ben nu heel tevreden! Mijn Pfsense VM staat nog paraat mocht het toch niet lukken, ik had hem al geupdate.

Wat voor mij het grootste winpunt was naar Opnsense was dat de ACME plugin hier (op Opnsense) wel met TransIP om kan gaan. Dit moest elke 3 maanden handmatig op Pfsense.