Software-update: OPNsense 24.7.11

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor mfa, OpenVPN, IPsec, CARP en captive portal. Daarnaast kan het packetfiltering toepassen en beschikt het over een traffic shaper. De ontwikkelaars hebben OPNsense 24.7.11 uitgebracht en de releasenotes voor die uitgave kunnen hieronder worden gevonden.

OPNsense 24.7.11 released

This is a minor update all things considered, but it does bring you the long sought after Tailscale plugin courtesy of Sheridan Computers. Suricata is also updated to its latest version to fix a couple of CVEs.

In other news, 25.1 will contain FreeBSD 14.2 which will be available for BETA preview using images later this week as well. The 25.1-BETA will also include a rewritten theme (light and dark) using the new OPNsense logo already being used in the documentation. It also has MVC/API support for the user and group management plus more you can always find on the roadmap in detail.

Here are the full patch notes:

• system: show multiple SAN entries when supplied by the certificate
• system: traffic dashboard widget should persist interface identifiers
• system: reset dashboard widget options to the default if none of the options match
• system: mismatch in returned "change" attribute for route toggle
• system: suppress XML parse errors in announcement widget when forum is unreachable
• system: catch PHP errors for Google Drive backups
• system: ignore plugins_interfaces() errors in write_config()
• system: fix snapshot ACL
• interfaces: reload GUI in the background
• firewall: remove faulty PPP exclusion in scrubbing rule creation
• dhcp: allow radvd to use /128 CARP VIP as source
• firmware: add "configctl firmware changelog current" backend command
• firmware: refactor lock/unlock scripts using new output helpers
• firmware: opnsense-code: support for origin selection during upgrade mode
• firmware: opnsense-patch: improve patch behaviour for non-default account/repositories combinations
• ipsec: remove hashing algorithm from null cipher
• unbound: make OpenSSL bundle workaround permanent
• mvc: last batch of sessionClose() cleanups in controllers
• mvc: call initialize() after authentication
• mvc: normalize multiple slashes in paths
• plugins: os-caddy 1.7.6
• plugins: os-ddclient 1.26
• plugins: os-nut 1.9
• plugins: os-qemu-guest-agent 1.3
• plugins: os-tailscale 1.0 (contributed by Sheridan Computers)
• plugins: os-telegraf 1.12.12
• ports: monit 5.34.3
• ports: suricata 7.0.8

Versienummer	24.7.11
Releasestatus	Final
Besturingssystemen	BSD
Website	OPNsense
Download	https://opnsense.org/download/
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (18)

[MrEd79]

(Voor mij) interessante toevoeging:

[...]but it does bring you the long sought after Tailscale plugin

Eens mee experimenteren. Ik kreeg Zerotier niet aan de praat.

Hebben mensen hier voorkeur voor de een of de ander?

[edit] typo

[Reactie gewijzigd door MrEd79 op 18 december 2024 14:07]

[teek2]

Oh, dit is mooi! Ik gebruik Tailscale al voor vele dingen. Ik ben op dit moment opzoek naar een goed device voor OPNsense, ik zat te kijken naar de Protectcli apparaten, die zijn misschien duur maar lijken wel rock solid en ik wil graag iets goeds (en het is een business uitgave). Zijn er hier mensen die nog tips hebben? Verder is mijn netwerk Unifi, maar dat komt vooral door de APs die ik fijn vind (en PoE via hun switches).

[Reactie gewijzigd door teek2 op 18 december 2024 14:16]

[InflatableMouse]

Gowin kan je ook eens bekijken.

https://www.reddit.com/r/R86SNetworking/

Komt binnenkort een nieuwe versie met een betere cpu (belangrijkste voor sommige is meer pci lanes ).

Protecli biedt werkelijk niets meer voor het geld en voor de helft koop je exact hetzelfde van een ander Chinees merk.

[Reactie gewijzigd door InflatableMouse op 18 december 2024 14:33]

[teek2]

Mja, sinds ik voor mezelf ben begonnen maak ik er een punt van om bedrijven te kiezen die ook bijdragen aan de FOSS ecosystemen waar ze op bouwen, en die privacy hoog in het vaandel hebben staan (zoals Proton, Tailscale, Mullvad, BitWarden) en ProtectCLI past daar volgens mij wel in. Ik betaal dan graag wat meer.

Overigens snap ik jou link naar Reddit niet echt, ik zie geen producten? Op Amazon zie ik maar 1 product en Gowin's website gaat vooral over FPGA's? Doe ik iets verkeerd?

[InflatableMouse]

Ik weet niet hoe protectli in dat rijtje past, omdat ze openbios gebruiken? Is niet van hun dacht ik, misschien dat ze daar iets aan bijdragen? Geen idee, het is geen slechte keuze in elk geval dat voorop gesteld. Ik vind persoonlijk alleen dat het niet genoeg meerwaarde heeft voor de meerprijs, hun produkt is exact hetzelfde als andere chinese merken, feitelijk gewoon een rebrand in een ander jasje.

Anyway, de reddit is de discussie topic waar je de meeste vragen en antwoorden zult vinden. En natuurlijk de mensen die klagen dat ze geen reactie krijgen, of maandenlang zitten te wachten. Het moge duidelijk zijn na het lezen dat Gowin wat leverproblemen heeft zo nu en dan.

Wat ze leveren is overigens wel uniek. Als je dat mooi vind is het de moeite waard denk ik.

https://www.gowinfanless....twork-device/1u-2u-server

Daar komt een versie aan met een Intel U165 of zoiets, 165U. Geen idee precies (staat op Reddit een en ander over). Maar de N305 is z'n geld al dubbel en dwars waard wanneer je een dedicated firewall zoekt, in een rack wilt kunnen schroeven met SFP poorten, en PoE+ poort, etc etc etc.

Het kan een mooie optie zijn in elk geval waarvan veel mensen het bestaan niet eens vanaf weten.

Ik heb zelf ook een protecli-achtig dingetje staan, exact dezelfde specs als protecli levert (Celeron J2900 of zo, opnSense laat het zo snel niet zien, ik dacht dat het wel ergens stond) probleem is alleen dat voor Wireguard en daarop gebaseerde tunnels die CPU veel te traag is. Leunt veel te veel op de CPU waar je met openvpn nog op hardware accelleratie kan leunen doet wireguard dat niet. Verder is het bijna perfect, trouwens.

[MrEd79]

Ik gebruik ook een protectli:
Intel(R) Celeron(R) CPU J3160 @ 1.60GHz (4 cores, 4 threads)

En Wireguard werkt snel genoeg om in het buitenland via de Ziggo Go app TV te kijken. Zou dan met tailscale ook moeten lukken verwacht ik.

[InflatableMouse]

"snel genoeg" is natuurlijk een heel relatief begrip. Ik pomp mijn backups over gigabit naar de andere kant van Nederland (ook gigabit) en dat ding spingt naar 100% cpu belasting en ik haal misschien 30 MB/s.

Voor dat Ziggo heb je wat, 15Mbit nodig gemiddeld? Als dat is wat je wilt en verwacht, dan is dat perfect natuurlijk. Ik had op iets meer gehoopt .

[MrEd79]

Daarom ook specifiek mijn toepassing genoemd. Het is zoeken naar een balans tussen wat je nodig hebt, wat het verbruik is, etc. Dit is goed genoeg voor mij. Maar dat is ook al weer een paar jaar geleden. Met de vooruitgang zal een volgend apparaat wel weer een stuk beter en zuiniger zijn.

[teek2]

Dank voor je uitgebreide antwoord! Ik ga me er eens in verdiepen en goed kijken of Protectcli idd wel in het rijtje past

[victoryo]

Ik gebruik zelf een Lenovo m720q met t9100 intel cpu. Voor een paar tientjes op marktplaats gekocht.

Heb er een Intel kaart in zitten met 2x 1gb SFP (wan, lan) en werkt als een trein.

Direct aangesloten op m’n AOP en met glas op m’n switch. Sterk genoeg voor een 1gb up en down verbinding met shaper!

Gebruik is +- 11W idle, dus zeer tevreden naast het lekkere compacte formaat!

[Turbo99]

Ik gebruik een Fitlet2 https://fit-iot.com/web/products/fitlet2/. Je moet alleen zelf voor RAM en de SSD zorgen. Heb deze al ca. 6 jaar en heb alleen de SSD een keer vervangen. Verder super stabiel, klein van formaat en zeer zuinig. Inmiddels is er ook een Fitlet3, standaard zijn ze voorzien van 2 Intel LAN poorten en optioneel is er een "FACET extension card" beschikbaar met nog 2 Intel LAN poorten. Gewoon in NL gekocht bij MiniDis https://minidis.com/. Ik heb de FITLET2-J3455 en die koste destijds € 169,00 excl. BTW.

[sIRwa3]

zerotier nooit gebruikt, omdat Tailscale me nooit een reden heeft gegeven elders te kijken ben een ligte homelab hobby gebruiker, ios, windows, linux, macos, TVos (kuch..netflix) android. werk allemaal prachtig. Enige klacht is the android app op android tv is visueel een beetje onduidelijk, wat ooit erger was..

[Gijs007]

Heb hier ook OPNsense draaien, maar merk dat de bridge functionaliteit niet helemaal lekker werkt.
o.a. IPv6 pakketten worden niet over de members van de bridge heen getild, dus kan apparaten die op member interface 1 zitten, niet pingen vanaf member interface 2, via IPv6.

Liep (waarschijnlijk hierdoor) tegen allerlei vage problemen aan met het Matter protocol van een aantal IOT apparaten.

n.b.
Heb de officiële documentatie gevolgd, en ook de system tunables aangepast:
https://docs.opnsense.org/manual/how-tos/lan_bridge.html

Uiteindelijk heb ik op Proxmox de fysieke interfaces gebridged, toen werkte het e.a. wel zoals verwacht.
Kennelijk doet OPNsense dus toch iets kwa filtering op IPv6, of zet dit verkeer niet goed door.

[Groentjuh]

Heeft de bridge interface zelf wel of geen "Link-local address"?

[Gijs007]

Heb met beide opties getest.

[zenlord]

Hmmm... Ik heb IPv6 hier thuis uit gezet omdat niet alle diensten beschikbaar waren. Heb vele verschillende instellingen uitgeprobeerd, maar heb nooit alle problemen kunnen wegwerken. Ik heb er nooit aan gedacht dat het probleem misschien wel bij OPNsense zou liggen...

[ta_chi79]

Ook deze had een dag later al een hotfix:

A hotfix release was issued as 24.7.11_2:

o firmware: fix the return value handling in the firmware option of the console menu
o mvc: fix a regression in "normalize multiple slashes in paths"

[Calypso]

Wat ik vooral raar vind is dat 24.7.10 bij een aantal mensen crashes gaf en daarvoor een aangepaste kernel beschikbaar was via handmatige installatie. Met deze upgrade naar 24.7.11 zie ik niet dat de kernel vervangen wordt, dus zitten we nog met hetzelfde probleem?

Mijn prive instances hadden last van deze bug, dus ik hou die in het DC nog even op een oudere versie voordat die ook gaan crashen.