Software-update: OPNsense 24.7.3

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor mfa, OpenVPN, IPsec, CARP en captive portal. Daarnaast kan het packetfiltering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben OPNsense 24.7.3 uitgebracht en de releasenotes voor die uitgave kunnen hieronder worden gevonden.

OPNsense 24.7.3 released

Today we are switching pf stateful tracking of ICMPv6 neighbour discoveries off in order to fix the previous instability with the FreeBSD security advisory first shipped in 24.7.1. We do this in order to provide the same reliable IPv6 functionality that was on all previous versions prior to 24.7.1 at the cost of resurfacing CVE-2024-6640 until a better solution has been devised. A link to the long and difficult upstream bug report is included below.

But that is not all. The GUI gains snapshot support on ZFS installations by implementing what is called "boot environments" which allows one to move seamlessly from one snapshot to another via reboot. This functionality can also be accessed from the boot loader menu option "8" for a quick recovery ensuring that at least one other snapshot was created to boot into. A very special thank you to Sheridan Computers for contributing this feature.

Here are the full patch notes:

• system: add snapshots (boot environments) support via MVC/API
• system: remove obsolete dashboard sync
• system: compact services widget on dashboard
• system: convert lock mode to edit mode on dashboard
• system: link certificates by subject on import
• system: unify how log search clauses work and add a search time constraint
• system: move to static imports for widget base classes on dashboard
• system: fix ACL check on dashboard restore and add safety check for save action
• system: change dashboard modify buttons to a bootstrap group (contributed by Jaka Prašnikar)
• interfaces: add "newwanip_map" event and deprecate old "newwanip" one
• interfaces: keep 24.7 backwards compatibility by allowing 6RD and 6to4 on PPP
• interfaces: add logging to PPP link scripts to check for overlap
• interfaces: return correct uppercase interface name in getArp()
• interfaces: fix issue with PPP port not being posted
• dhcrelay: start on "newwanip_map" event as well
• intrusion detection: update the default suricata.yaml (contributed by Jim McKibben)
• ipsec: move two logging settings to correct location misplaced in previous version
• ipsec: fix migration and regression during handling of "disablevpnrules" setting
• wireguard: support CARP VHID reuse on different interfaces
• mvc: when a hint is provided, also show them for selectpickers
• rc: fix banner HTTPS fingerprint
• plugins: os-ddclient 1.24
• plugins: os-theme-advanced 1.0 based on AdvancedTomato (contributed by Jaka Prašnikar)
• plugins: os-theme-cicada 1.38 (contributed by Team Rebellion)
• plugins: os-theme-vicuna 1.48 (contributed by Team Rebellion)
• plugins: os-upnp 1.6
• plugins: os-wol 2.5 adds widget for new dashboard (contributed by Michał Brzeziński)
• src: pf: fully annotated patch of disabling ND state tracking and issues for ICMPv6
• src: u3g: add SIERRA AC340U
• ports: dhcrelay 1.0 switches to official release numbering, but otherwise equal to 0.6
• ports: sqlite 3.46.1

Versienummer	24.7.3
Releasestatus	Final
Besturingssystemen	BSD
Website	OPNsense
Download	https://opnsense.org/download/
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (15)

[bartman02]

Hmm, lijkt Calibre wel, meer updates dan schone sokken. Wacht nog wel een paar jaar tot het uit geëvolueerd is. En anders maar niet. Ook net Windows een 40 jaar oud besturingssysteem en nog steeds fouten, elke maand.

[_JGC_]

Als je geen updates wilt moet je gewoon pfSense gebruiken, dan blijven bugs erin zitten tot ze weer eens een release uitrollen.

Normaalgesproken doet OPNSense elke 2-3 weken een release en is het gewoon stabiel. Ze zijn met 24.7 overgestapt naar een nieuwe FreeBSD versie, daar zitten nu wat kinderziektes in waardoor ze iets regelmatiger updaten. Neemt niet weg dat slordigheidjes zoals een kapotte yaml file niet in een release horen te zitten.

[digibaro]

Regelmatige updates voor een Internet facing firewall geeft mij eerder vertrouwen dan "wantrouwen".

Een paar keer een issue bij een update maar er wordt heel snel geacteerd op het forum/bugs.

[Reactie gewijzigd door digibaro op 30 augustus 2024 11:32]

[powerboat]

Volgens mij is dat wel in elk stukje software

[Turbo99]

Neem een licentie op de OPNsense Business Edition die loopt qua updates wat achter en een update wordt pas uitgerold als deze "proven" stable is gebleken in de community versie.

[bartman02]

Hmm

€149,-

per jaar,

Ga ik nog eens over nadenken.

[Reactie gewijzigd door bartman02 op 3 september 2024 17:35]

[Turbo99]

Of € 359 voor een 3-jarige licentie, oftewel € 119,67 per jaar. Ook krijg je dan deze extra's erbij:

√ Commercial firmware repository, offering a selective upgrade path
√ As of 2020, free access to the integrated GeoIP database
√ Access to the official OPNsense Open Virtualization Format Image (OVA)
√ Free access to selected professional plugins such as OPNcentral, offering centralized upgrades and firewall status monitoring
√ Free E-Book “Practical OPNsense” available in English & German
√ Can be combined with Proofpoint® ET Pro Ruleset (seprate product), a timely and accurate ruleset for detecting and blocking advanced threats
√ Up to 20% discount on base support package
√ The official Business Edition helps funding the active development of the OPNsense community project

[bartman02]

Uuuuh

Nee

[evers97]

Dus alleen de lusten en niet de lasten?

[Hansie_P]

Er is ook al een hotfix 24.7.3-1

[The Zep Man]

Changelog voor de hotfix (bron):

A hotfix release was issued as 24.7.3_1:

• intrusion detection: fix indent in suricata.yaml

Dus enkel een esthetische fix voor de UI.

[Reactie gewijzigd door The Zep Man op 30 augustus 2024 09:23]

[Dalmans]

Nee, in YAML zijn indents niet esthetisch, maar onderdeel van de syntax. Verkeerde indent, YAML parser geeft een fout.

Edit:
Tenzij de indent een wijziging in de UI aanbrengt, maar ik kan dat in de commits niet terugvinden zo snel. (Mijn github-foo is wat roestig)

[Reactie gewijzigd door Dalmans op 30 augustus 2024 09:12]

[The Zep Man]

Issue. Fix.

Yup. Had invloed op de interpretatie van het configuratiebestand, waardoor Suricata niet kon starten.

[Solopher]

En daarom altijd gebruik maken van YAMLLint (draait hier in CI/CD), je wil niet weten hoe veel mogelijke fouten 't heeft voorkomen. Overigens draagt een goede .editorconfig ook bij.

Helaas werken sommige IDE's nogal "weird" met YAML (bijv. alle JetBrains IDE's).
We werken hier helaas met meerdere mensen aan YAML's

[Navi]

YAML de BAML daar gaat m'n SAML.

Regelmatig gehad idd dat er iets mis gaat in een yaml file, altijd de indentation of verborgen tekens.