Software-update: OPNsense 23.7.2

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor 2fa, openvpn, ipsec, carp en captive portal. Daarnaast kan het packetfiltering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben OPNsense 23.7.2 uitgebracht en de releasenotes voor die uitgave kunnen hieronder worden gevonden.

OPNsense 23.7.2 released

Assorted improvements are being shipped with this release. Of special note is the proper monitoring of down gateways which allows the new gateway watcher to see the gateway come back online when plugging a cable. A Wazuh agent plugin was added and the ddclient plugin received new protocol support including AWS Route53 amongst others.

Here are the full patch notes:

• system: improve monitoring of down gateways
• system: clear all /var/run directories on bootup
• system: put lock()/unlock() back for legacy plugin compatibility
• interfaces: fix special device name chars used in shell variables
• interfaces: prevent IPv6 mismatches when using compressed format in VIP
• interfaces: remove descriptive name from newwanip logging
• interfaces: typo in MRU handling for PPP
• interfaces: improve PPPoE MTU handling
• interfaces: switch rtsold to -A mode
• firewall: missing interface group registration on group creation
• dhcp: improve UX of the new MVC lease pages
• firmware: remove defunct mirror "Dept. of CSE, Yuan Ze University"
• intrusion detection: fix events originating from "int^" due to IPS mode use
• ipsec: add colon to supported character list for pre-shared key IDs
• ipsec: reqid should not stick when copying a phase 1
• monit: fix empty timeout value (contributed by Michael Muenz)
• openvpn: properly map user groups for authentication
• openvpn: bring instances into server field
• openvpn: fix separator for redirect-gateway attribute in instances and CSO
• unbound: fixed configuration when custom blocks are used (contributed by Evgeny Grin)
• plugins: os-ddclient 1.15
• plugins: os-iperf adds rubygem-rexml dependency (contributed by Hannah Kiekens)
• plugins: os-relayd 2.7 now supports newer upstream release of relayd
• plugins: os-wazuh-agent 1.0
• src: remove if_wg from kernel modules to unbreak current wireguard-go use
• src: axgbe: LED control for A30 platform
• src: gif: revert in{,6}_gif_output() misalignment handling
• src: igc: sync srrctl buffer sizing with e1000
• src: ip_output: ensure that mbufs are mapped if ipsec is enabled
• src: ixgbe: warn once for unsupported SFPs
• src: ixgbe: add support for 82599 LS
• src: ixl: add link state polling
• src: ixl: port ice's atomic API to ixl
• src: rss: set pin_default_swi to 0 by default
• src: rtsol: introduce an 'always' script
• ports: krb5 1.21.2
• ports: openldap 2.6.6
• ports: openvpn 2.6.6
• ports: php 8.2.9
• ports: phalcon 5.3.0
• ports: phpseclib 3.0.21
• ports: py-dnspython 2.4.2

Versienummer	23.7.2
Releasestatus	Final
Besturingssystemen	BSD
Website	OPNsense
Download	https://opnsense.org/download/
Licentietype	GPL

Reacties (22)

[jvr]

Weet er iemand welke usb WiFi adapter er werkt in Opnsense?

Ik zou graag een alles in 1 oplossing bouwen.

[GeroldM]

Het is een router? waarom zou je juist dat onderdeel in je netwerk op willen zadelen met WiFi rommel dat via USB is aangesloten?

USB is minder bedrijfszeker dan jij denkt, als het gaat om data-doorvoer. Over het algemeen werk je weinig van met andere soorten van USB apparatuur. WiFi is van nature veel te gevoelig voor invloeden van buiitenaf, waarover je geen controle kan uitoefenen.

Met OPNSense is het doel een betrouwbaar netwerk op te zetten. Instabiliteit is de voor- en achternaam van WiFi, als we eerlijk zijn. Dus gebruik je goede kabels en NICs om je OPNSense router te bouwen. Daarachter hang je dan een WiFi routertje via een kabel op een nuttige plek in je huis, zodat je zo min mogelijk van dat type apparaten in huis hoeft te halen.

Ja, het is wat onooglijker, maar 1 enkele kabel is makkelijk genoeg om weg te werken. Misschien met een extra lik verf valt die kabel helemaal niet meer op. Wat je dan hebt is een heel betrouwbaar WiFinetwerk waar je partner en/of kroost niet elke 15 minuten komt zeuren dat "internet" het niet doet. Scheelt een hele hoop frustratie bij iedereen, inclusief jezelf.

WiFi en routers zijn dus een grote 'nono'. Of je moet het leuk vinden om de hele dag gefrustreerd rond te lopen. Ieder zijn ding natuurlijk.

[Tuskermalt]

Idd of gewoon een Acces Point van Ubiquiti oid nemen en er los achter hangen.

[terradrone]

Zomaar een idee: gebruik als accesspoint een openwrt compatible device. Zo is ook je accesspoint voorzien van opensource software. Zo kan je bijv. vanaf je opnsense router naar je accesspoint een aantal vlan laten lopen voor een gastnetwerk, waarbij je op de openwrt accesspoint een tweede "guestnetwork" maakt, en dat geheel gescheiden van je eigen netwerk. Is even wat geknutsel, maar wel een leuke uitdaging.

[jvr]

Omdat ik alles gevirtualiseerd heb, waaronder Openwrt dat prima werkt met USB WiFi adpaters.

Het virtualisatie platform biedt geen ander oplossing en ik wil geen losse appratuur verd, dus ik zit aan USB vast.

Ik wil de overstap van Openwrt naar Opnsense ivm nextgen FW, dat Openwrt niet kent.

[terradrone]

openwrt is linux based, opnsense freebsd. Dat zijn twee heel verschillende dingen.

[jvr]

Volledig mee eens....dan is het dus pech ;-)

[player-x]

https://forum.opnsense.org/index.php?topic=21575.0

Maar zou eerder voor een N100 i226-V (2.5Gbit) DDR5 doos gaan, daar kan je eventueel een PCIe U.2 Intel WiFi module in plaatsen, je wilt zoveel mogelijk Intel gebruiken met OPN of pfSense, veel betere ondersteuning.

Network interface cards
As the FreeBSD (FreeBSD) hardware-lists and -recommendations say, Intel® network interface cards (NIC) for LAN connections are reliable, fast and not error-prone. Intel chipset NICs deliver higher throughput at a reduced CPU load.

En heb twee ASUS routers in AP modus gezet, die aan mijn netwerk switch gehangen, diagram van mijn netwerk.

Heb zelf de N5105 versie, N100 was nog niet uit, en gebruik een onverslijtbare Intel Optane SSD als systeem schijf, met pfSense.

Verschillen:
OPNsense, modernere UI en iets robuster filosofie
pfSense, meer plugins, de reden dat ik voor pfSense ben gegaan

[terradrone]

Da's niet zo'n best advies wat je daar geeft. Iemand adviseren om een no-name chinees aliexpress doosje te kopen, daar kan ik me niet in vinden. Er zijn genoeg voorbeelden van dit soort doosjes die dermate slecht zijn geproduceerd dat er zelfs bijv. nog flux resten op de print zitten, thermisch de boel niet in orde is (slechte assemblage, componenten die elkaar nauwelijks raken, veel te veel of juist veel te weinig koelpasta etc) en de kwaliteit (en vooral veiligheid) van de voeding bedenkelijk is. Het is niet voor niets dat die doosjes zo goedkoop zijn, terwijl een losse merkvoeding van bijv Delta alleen al gauw €30,- kost.

Daarnaast, zou bovenstaande allemaal deugen, dan nog zit je met een doosje waar niet of nauwelijks support voor is, je firmwareupdates kunt vergeten en je niet weet wat ze allemaal in de firmware hebben gepropt. Zelf de "echtheid" van de gebruikte componenten staat ter discussie. Het is niet ongewoon voor chinese fabrikanten om afgekeurde of namaak chips of engineering samples te gebruiken.

En dan is er de kwestie garantie. Uit ervaring weet ik dat die er ..... niet is. Ja je kunt bij problemen de hele handel terug naar china sturen, wat erg kostbaar is, en je maar mag hopen of alles ook daadwerkelijk daar aankomt. Dus geen garantie en geen support.

Dan de wifi vraag: gezien we hier te maken hebben met een freebsd besturingssysteem waarop opnsense draait, ben je hiermee wbt wifi afhankelijk van de beschikbare freebsd wifi drivers. @jvr vraagt duidelijk welke wifi adapter hij moet gebruiken om een alles-in-een oplossing te kunnen maken. Hieruit maak ik op dat hij zijn wireless op opnsense in access point mode wil draaien. En daar zit hem de crux: daarvoor heb je wireless nics nodig die hostap mode compatible zijn. En dat zijn de intel kaarten dus precies niet, die moet je dus niet gebruiken. De kaarten die wel "kunnen" werken zijn meestal atheros kaarten (en een paar ralink based). Maar let op, wat betreft driver support ga je niet verder dan 802.11n komen. Dus AC en AX wifi kan je al vergeten. Dat betekend ook dat moderne m.2 adapter per definitie niet gaan werken, en je dus al iets zoekt met mini pci-express of mini pci. De atheros ar9280 kom ik wel op forums tegen waarbij ze deze dan gebruiken voor een pf/opnsense accesspoint mode oplossing.

Mijn advies zou zijn om in de webshop van Deciso (de makers van opnsense) een nette firewall te kopen en er een losse accesspoint bij te gebruiken. Ja je kunt een alles-in-een oplossing maken, maar dat is erg veel werk en je bent uiteindelijk beperkt tot 802.11n . De vraag van @jvr , welke usb wifi nics gaan werken, daarop is mijn antwoord dat je dat die route beter kunt vergeten. Je zult dan moeten zoeken naar oude 802.11n ralink (zoals op het forum in je link te lezen valt) of atheros dongles. Waarbij er over usb nics altijd al met enig gefrons wordt gedacht, vanwege stabiliteit issues en een hele hoop ellende die die dingen in de loop der jaren hebben gegeven.

[jvr]

Ik heb alles gevirtualiseerd... draai nu Openwrt in Vmware, maar ik wil iets met nexgen FW doen, maar dat kan Openwrt niet.

Ik wil bewust geen losse devices.

[terradrone]

Ik denk dat je dan op iets als de ar9280 uitkomt. Wil je dualband 2.4 en 5ghz simultaan dan heb je er twee nodig, dus een apparaat met twee mini-pcie slots. Die zijn redelijk zeldzaam. Dan kom je vaak uit op industriële embedded appliances. Die zijn echter erg kostbaar.

Evenwel, je wensenlijst (virtualiseren + opnsense + wireless) is erg pittig. Ik weet niet eens of dit gaat werken, gezien ik nog nooit gelezen heb over gebruikers die dit zo gedaan hebben.

De wireless drivers in freebsd ondersteunen nou eenmaal niet zoveel hardware en zelf onder linux is wireless een verhaal apart (zie de menige openwrt forum threads over closed source wireless drivers en binary blobs).

[jvr]

Helaas, dan heb ik pech...dan hou ik het nog even op de huidige oplossing, tot dat ik een betere oplossing bedacht heb.

Dank je wel!

[player-x]

Da's niet zo'n best advies wat je daar geeft.

Oooo, en echte netwerkspecialisten geven dan ook slecht advies:
https://www.youtube.com/@ServeTheHomeVideo/videos staat vol met Chinese doosjes.
https://www.youtube.com/@LAWRENCESYSTEMS hij waarschuwt voor een hogere fail rate dan de routers van OPN/pfSense, en daarom niet geschikt voor bedrijven, maar voor thuis is de prijs/prestatie verhouding onverslaanbaar.
En zo zijn er nog een aantal imho echte experts die ook deze doosjes aanbevelen.

Iemand adviseren om een no-name chinees aliexpress doosje te kopen, daar kan ik me niet in vinden.

De beste man heeft het over bedrijfssystemen!

So what makes these inexpensive Chinese IT components so dangerous to your company?

Op deze doosjes staat geen firmware of software, en hebben alleen een BIOS, en flux resten niet gezien, niet op mijn 4~5 jaar oude die te langzaam was geworden voor Gbit fiber, en ook niet op de huidige.

Het is niet voor niets dat die doosjes zo goedkoop zijn, terwijl een losse merkvoeding van bijv Delta alleen al gauw €30,- kost.

Bij de mijne zit er gewoon een goede voeding bij, ik heb hem zelfs getest, heb thuis 300W load tester en een scope (doe veel met addressable leds), en test al mijn voedingen voor ik ze gebruik, de bijgeleverde 30W voeding gaf smerige stroom rond de 35W en tripte net onder de 40W, bij idle/load verbruik was hij gewoon netjes.

Ja een Delta voeding zal vast nog schonere leveren, maar je hoeft perfectie niet de vijand van je portemonnee te laten worden, want, goed genoeg is goed genoeg!

je firmwareupdates kunt vergeten.

Welke firmware, dit zijn gewoon moederbordjes met een kale standaard BIOS van Intel, hetzelfde geldt voor de firmware/drivers van de netwerkchips, en die heb ik een update gegeven van Intel zijn website, dus stock Intel firmware/drivers!

En dan is er de kwestie garantie. Uit ervaring weet ik dat die er ..... niet is. Ja je kunt bij problemen de hele handel terug naar china sturen, wat erg kostbaar is, en je maar mag hopen of alles ook daadwerkelijk daar aankomt. Dus geen garantie en geen support.

Daar is de prijs dan ook naar, ja, je loopt een hoger risico, en ieder moet dat voor zichzelf beslissen, maar de OPNsense en fpSense (support) forums zitten vol met mensen die goedkope Chinese doosjes gebruiken naar ale tevredenheid, en niet zeggen tegen thuis gebruikers, je moet wegblijven van die Chinese troep!

vraagt duidelijk welke wifi adapter hij moet gebruiken om een alles-in-een oplossing te kunnen maken. Hieruit maak ik op dat hij zijn wireless op opnsense in access point mode wil draaien.

Wifi moet je eigenlijk helemaal niet willen draaien op je OPN/pfSense router, maar bv een ASUS router met openwrt, in AP mode, en dan kan je die aan een eigen port hangen met eigen rules voor je wifi netwerk.

Niet om te beledigen, maar jij kijkt imho te veel vanuit een pro oogpunt, en heeft voor thuisgebruik imho een hoog FUD gehalte.

[Reactie gewijzigd door player-x op 22 juli 2024 21:28]

[terradrone]

En zo zijn er nog een aantal imho echte experts die ook deze doosjes aanbevelen.

In het tijdperk van sociale media en streamingsites kan je altijd wel een kanaaltje vinden die jou standpunt verdedigd en vervolgens deze aandragen als "experts" om je gelijk proberen te halen. Ik ben er echter niet erg van onder de indruk. Of moet ik nu met filmpjes van the flat earth movement van youtube aan komen zetten om je te overtuigen dat de aarde plat is? Vervolgens ga je compleet voorbij aan de artikelen die ik meestuur om mijn punt te onderbouwen. Jammer hoor.

Op deze doosjes staat geen firmware of software, en hebben alleen een BIOS, en flux resten niet gezien, niet op mijn 4~5 jaar oude die te langzaam was geworden voor Gbit fiber, en ook niet op de huidige.

Bios/uefi is een vorm van firmware. Als je dat al niet duidelijk is dan kan ik geen serieus gesprek met je aanknopen. Er bestaat ook niet zoiets als een "kale standaard bios van intel". We spreken in dit geval over een uefi waarvan, zoals eerder door mij aangedragen, je niet weet wat men erin gepropt heeft en waarvan je zeker weet dat bij problemen er nooit een update zal komen (want er is geen fabrikant die support levert). En dan is er nog zoiets als intel AMT, wat in principe een eigen mini computertje is met zijn eigen firmware die op het systeem aanwezig is. Ook vd interfaces weet je niet wat met hardcoded in het option rom gepropt heeft en of de nic controllers überhaupt genuine ic's zijn (zoals ik eerder liet zien word er veel nagemaakt of inferieure chips gebruikt).

Bij de mijne zit er gewoon een goede voeding bij, ik heb hem zelfs getest,

Dat kan je zo helemaal niet zeggen. Enkel een voeding meten zegt niets over de constructie en daarmee de veiligheid van een voeding. De enige manier om hier achter te komen is door de behuizing kapot te breken en een deskundige naar het ontwerp vd voeding en gebruikte componenten laten kijken. Eén vd dingen die al vaak misgaan is dat men de voorgeschreven isolatie tussen primaire en secundaire kant vd voeding niet hanteert. componenten ondergedimensioneert heeft en de algemene kwaliteit (oa soldeerwerk etc) ver onder de maat is. Dus nogmaals: met jou metertje een voeding meten zegt niets over de veiligheid en kwaliteit. Ik hoop dat je je realiseert dat je hiermee potentieel een brandgevaar in huis haalt.

Wifi moet je eigenlijk helemaal niet willen draaien op je OPN/pfSense router, maar bv een ASUS router met openwrt, in AP mode, en dan kan je die aan een eigen port hangen met eigen rules voor je wifi netwerk.

Zolang je je aan de bsd hcl houdt is er niet zoveel aan de hand, en 300n wifi voldoet nog steeds in de meeste gevallen. Een kwestie van weten wat je aan het doen bent en daarmee de juiste hardware toepassen. En voor openwrt is het merk van een router minder belangrijk, het gaat om de gebruikte chipset. Zo zijn er stapels asus routers te vinden die compleet incompatibel zijn met openwrt, bijv. doordat ze broadcom of quantenna based zijn. Ook je verhaal van een "eigen port" is wat onnodig. Nog nooit van vlans gehoord?

[player-x]

In het tijdperk van sociale media en streamingsites kan je altijd wel een kanaaltje vinden die jou standpunt verdedigd en vervolgens deze aandragen als "experts" om je gelijk proberen te halen. Ik ben er echter niet erg van onder de indruk. Of moet ik nu met filmpjes van the flat earth movement van youtube aan komen zetten om je te overtuigen dat de aarde plat is? Vervolgens ga je compleet voorbij aan de artikelen die ik meestuur om mijn punt te onderbouwen. Jammer hoor.

Loop je nu te trollen, of meen je dat nu echt, want je bent sowieso te lui geweest om zelfs maar even te kijken, of ze poep praten, of weten waar ze het over hebben.

• LAWRENCESYSTEMS, heeft o.a. 70 video's over pfSense, waar van ik een heel stel hebt gebruikt om pfSense te leren gebruiken, een hele goede diepgaande bron van informatie.
• Serve the Home, heeft ook al 10 jaar een website met goede netwerk server/switches reviews, met een bovengemiddelde kwaliteit en diepgang.

Als je die sites niet kent, denk ik dat jij het bent die op die platte aarde leeft, onder een rots, en geen benul hebt van wat er om je heen gebeurd

Bios/uefi is een vorm van firmware.

En, denk je nu echt dat de Chinezen een achterdeur hebben gemaakt in de PC's bedoelt voor thuis routers, als ik net admin was bij de BVD of een bank, dan okay, dan zijn deze doosjes zijn niet de beste keuze.

en of de nic controllers überhaupt genuine ic's zijn (zoals ik eerder liet zien word er veel nagemaakt of inferieure chips gebruikt).

Theoretisch mogelijk, maar zeer onwaarschijnlijk.

• FreeBSD staat erom bekend dat het heel kieskeurig is over zijn NIC's
• Dat zou beteken dat ze het voor elkaar hebben gekregen om een Aquantia of Realtek chip met Intel firmware en software te laten samenwerken.
• Of dat ze het voor elkaar hebben gekregen, om i226-V B3 enige bekende 2.5Gbit chip die goed werkt met pfSense, perfect na te bouwen.

Heb hier nog wel een rol aluminiumfolie voor een hoedje voor je.

Enkel een voeding meten zegt niets over de constructie en daarmee de veiligheid van een voeding.

Nee, het zegt iig voldoende om te zeggen dat het geen troep is, en een voeding die maar voor 20 tot 35% belast wordt, zal het best wel een tijd uit houden.
En je hebt nagenoeg zeker wel eens je telefoon aangesloten op veel slechtere ontwerpen.

Ook je verhaal van een "eigen port" is wat onnodig. Nog nooit van vlans gehoord?

Heb je naar het plaatje van mijn netwerk gekeken, pfSense heeft mijn Edgerouter vervangen, maar nu ben ik toch wel best verbaast, je preekt veiligheid, en dan heb je het opeens over wifi afscheiden met vlan's, net als wifi zijn ook vlan's te hacken, als ze rechtstreeks op eigen router poort zitten is dat veel moeilijker, en daarnaast imho is het ook makkelijker om op te zetten, de reden van mijn advies.
.
Niet dat ik er een probleem mee heb, gebruik zelf ook een vlan voor mijn wifi, maar ik preek dat je perfectie niet de vijand van goed/voldoende moet maken.

[westlym]

https://www.reddit.com/r/...&utm_term=1&utm_content=2

Ik zou nog niet updaten. Volgens deze forum hebben de nodige mensen moeite met deze update.

[Hydranet]

Vanmiddag geüpdatet, heb nog niks raars gemerkt. Bedankt voor OPNsense dev team!

[MrMorePhun]

Draai al enkele maanden opnsense met zenarmor op een HUNSN RJ05f met n5105 cpu, 256 ssd en 8gb ram. Draait perfect en stabiel... Gekocht hier : https://www.amazon.com.be...91_TE_item?language=nl_BE

[westlym]

OPNsense 23.7.3-amd64 beschikbaar.