Software-update: OPNsense 24.7.6

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor mfa, OpenVPN, IPsec, CARP en captive portal. Daarnaast kan het packetfiltering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben OPNsense 24.7.6 uitgebracht en de releasenotes voor die uitgave kunnen hieronder worden gevonden.

OPNsense 24.7.6 released

A few security and reliability issues this week. Most notably Suricata and Unbound. The dashboard rework seems to be concluded now as the ACL behaviour was now aligned and should match the user expectation on the "Lobby" section privileges. Note not all widgets have separate ACLs as it aims to provide a minimal safe selection of system widgets associated with the access to the dashboard page in general. We will, however, continue to improve the dashboard further while we also tackle other interesting areas for 25.1. That being said have a look at the new roadmap we published recently.

You may notice the increased activity on the trust store side due to our LINCE certification efforts. Valuable feedback and code changes have come from this process that will also find their way into other related projects in the near future.

Here are the full patch notes:

• system: do not render non-reachable dashboard widget links
• system: handle picture deletion via hidden input on general settings page
• system: straighten out API ACL entries for several components
• system: remove unreachable "page-getstats" ACL entry
• system: adjust "page-system-login-logout" ACL entry to be used as a minimal dashboard privilege
• system: deprecate the "page-dashboard-all" ACL entry as it will be removed in 25.1
• system: add descriptions on CA and certificate downloads file names
• system: show user icon when certificate is not otherwise used (in case CN matches any of our registered users)
• system: add proper validation when certificates are being imported via CSR
• system: add missing CRL changed event when CRLs are saved in the GUI
• system: add a trust settings page and move existing trust settings there as well
• system: optionally fetch and store CRLs attached to trusted authorities
• system: improve and extend certctl.py script doing the trust store rehashing
• system: enforce CRL behaviour for existing revocations in the trust store when doing remove syslog sending over TLS
• interfaces: simplify and clarify pfsync reconfiguration hooks
• interfaces: non-functional refactors in PPP configuration
• interfaces: send IPv6 solicit immediately on WAN interfaces
• firewall: add gateway groups to the list of gateways in automation rules
• src: pf: revert part of 39282ef3 to properly log the drop due to state limits
• src: pflog: pass the action to pflog directly
• src: various check removals for malloc(M_WAITOK) driver calls
• src: libpfctl: ensure we return useful error codes
• src: x86/ucode: add support for early loading of CPU ucode on AMD
• src: libfetch: improve optional CRL verification
• src: fetch: fix "--crl" option not working
• dhcrelay: refactor for plugins_argument_map() use
• firmware: opnsense-verify now lists repository priorities
• ipsec: add "make_before_break" option to settings
• firmware: opnsense-verify now also lists repository priorities
• kea-dhcp: add configurable "max-unacked-clients" parameter and change its default to 2
• kea-dhcp: add missing constraint on IP address for reservations
• openvpn: register OpenVPN group immediately when setting up instances
• openvpn: push "data-ciphers-fallback" in client export when configured to align with legacy setup
• unbound: port to newwanip_map / plugins_interface_map()
• ui: remove bold text from tab headers for consistency
• plugins: os-acme-client 4.6
• plugins: os-caddy 1.7.2
• plugins: os-frr 1.41
• plugins: os-smart 2.3 adds new dashboard widget (contributed by Francisco Dimattia)
• ports: curl 8.10.1
• ports: crowdsec fix for stuck service handling
• ports: dhcp6c 20241008 properly handle NoAddrAvail status code
• ports: monit 5.34.1
• ports: php 8.2.24
• ports: dnspython 2.7.0
• ports: py-duckdb 1.1.1
• ports: suricata 7.0.7
• ports: unbound 1.21.1

Versienummer	24.7.6
Releasestatus	Final
Besturingssystemen	BSD
Website	OPNsense
Download	https://opnsense.org/download/
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (11)

[Neus]

Al jaren mijn go-to firewall, werkt prima.

Alleen een virtuele versie bij een van mijn hosting providers geeft geneuzel na een update: alle virtuele netwerk connecties krijgen een andere interne naam (ig0 wordt ig7, eth3 wordt eth2) en dus moet ik alles opnieuw configureren. Komt zeker door de combo OVH's failover IP's en VMware ESX met virtuele MAC adressen liggen, maar toch...

[tjanssen]

Na deze update, of een andere update?

[Riesch]

Voor Crowdsec gebruikers die de melding krijgen "waiting for PID xyz to exit"...
Twee opties:
1. kill -9 [pid] op de cli
2. de oplossing die Crowdsec zelf bied (https://discourse.crowdse...4-7-5-crowdsec-1-6-3/2057)

[westlym]

Dank. Het liep ook vast bij mij. Via ssh kunnen oplossen.

[Hansie9999]

Iemand hier die OPNsense gebruikt die ervaring heeft dat je op VRT max (via een chromecast) wel live kan kijken maar niet iets uit de bibliotheek kan afspelen ??

Ook als ik alles uitzet zoals Adguard Home, Zenarmour, .... werkt het niet,

als ik de LAN kabel waar die chromecast aan hangt gewoon rechtstreeks op mijn Proximus modem aansluit gaat het wel, dus iets in mijn OPNsense router doet iets dat de mensen van de VRT niet graag hebben,

Nu wel de grootste kicker, op mijn RaPi met Libreelec/Kodi en de community VRT Max addon gaat het WEL door de OPNsense router ??!! , dus vermoed dat het iets met de reclame/phone home shit te maken heeft die in de originele app inzit.

(als iemand zich moest afvragen waarom ik zowel een chromecast als een Libreelec/Kodi heb, de chromecast is voor mijn vrouw , want was het gezeik moe elke keer er even moest gewacht worden op een update van de "niet officiële maar duidelijk beter werkende" apps van de community ) , die chromecast zit trouwens normaal op zijn eigen VLAN die geen toegang heeft tot de rest op mijn netwerk, zo FU google maar dus zelfs als ik hem volledig toegang geef en niet op een apparte VLAN zet wilt het maar niet werken door de OPNsense router ??!!

Iemand nog al zo eens een probleem gehad en een oplossing gevonden ?

[EverLast2002]

Heb je een standaard OPNsense draaien of nog add-ons erbij?

[Hansie9999]

enige addons die ik aan staan heb zijn de zenarmour (basic free version, niet echt iets aangepast)
en de Adguard Home addon,

Maar dus ook als ik die beiden hun beveiliging afzet blijft het probleem

[EverLast2002]

Heb je verhaal even beter gelezen en inderdaad lijkt het niet aan OPNsense te liggen,
want met LibreELEC (i.c.m. OPNsense) werkt de bibliotheek wel correct.

Misschien eens op het forum van Chromecast/VRT kijken,
eventueel daar je vraag stellen?

[Hansie9999]

Ja, heb naar de support van de VRT enkele weken geleden al gemailed, maar zoals verwacht nog totaal NUL antwoord ontvangen,

maar het is wel effectief "iets" van OPNsense dat specifiek een probleem heeft met de VRTmax app op een chromecast, want als ik dus dezelfde chromecast rechtstreeks verbind met de proximus modem werkt het w el. (dus enige dat ik er tussenuit haal is de OPNsense router)

[westlym]

Moet ergens een backup gaan maken van mijn config. Het is nu bijna twee keer verkeerd gegaan. Weet iemand hoe ik een backup kan maken? Ik hoor het graag.

[stijnos1991]

Heb je al in de web-ui gekeken? System-->Configuration-->Backups