Netgate stopt met gratis aanbieden pfSense Plus-routersoftware voor thuisgebruik

Netgate is per direct gestopt met het aanbieden van zijn pfSense Plus-software als gratis download voor thuisgebruik. De Community Edition van pfSense blijft wel gratis beschikbaar. Netgate blijft pfSense Plus ook gratis leveren op zijn hardware.

Netgate bevestigt dat de Home+Lab-versie van pfSense Plus nu niet meer langer gratis te downloaden is voor gebruikers. Het bedrijf heeft die beslissing genomen 'om het bedrijfsmodel van Netgate beter af te stemmen op ons wereldwijde klantenbestand en onze partners'. Ook is illegale herdistributie van pfSense Plus Home+Lab 'een groeiend probleem'; volgens Netgate leveren 'verschillende' hardwarefabrikanten de software illegaal op hun apparaten.

De Home+Lab-versie wordt niet langer vermeld op de pfSense-website. Gebruikers die deze versie van pfSense Plus al geïnstalleerd hebben, kunnen die wel gewoon blijven gebruiken. Netgate waarschuwt dat, naarmate deze versie wordt uitgefaseerd, er op termijn mogelijk minder regelmatig updates met bugfixes en nieuwe features verschijnen.

De pfSense CE-opensourcesoftware, die wordt onderhouden door de community, blijft gratis beschikbaar. Een gratis versie van pfSense Plus is daarnaast beschikbaar op de hardware die Netgate verkoopt. Er is ook een gratis TAC Lite-licentie voor Netgate Plus beschikbaar voor gebruik op AWS- en Azure-instances of bepaalde thirdpartyhardware. Andere gebruikers dienen een Pro-licentie af te sluiten voor 399 dollar per jaar, exclusief btw.

PfSense is een besturingssysteem dat is gebaseerd op FreeBSD. De software wordt gebruikt om firewalls en routers te maken van pc's of VM's. Gebruikers kunnen die vervolgens configureren via een webinterface op hun lokale netwerk. Het werk aan pfSense begon in 2004 en twee jaar later verscheen de eerste release. Er zijn twee versies: de opensource-Community Edition en sinds 2021 de betaalde Plus-versie. De Plus-versie van pfSense wordt onderhouden door het commerciële bedrijf Netgate, krijgt regelmatiger software-updates en biedt extra features. Er is sinds 2015 ook een fork van pfSense, genaamd OPNsense, die gratis te downloaden is en vaker updates krijgt.

PfSense Plus. Bron: Netgate

Reacties (75)

[Neus]

En op naar OPNsense ! Was jaren een fan van PFsense maar inmiddels een aantal jaar 'over'. Rete stabiel en gratis.

[Reactie gewijzigd door Neus op 22 juli 2024 15:14]

[Tadango]

Wat is daar beter aan dan de community edition van pfSense? Of beter gezegd, wat mis ik en moet ik eens naar kijken?

[Guru Evi]

Het grootste probleem bij ons was dat pfsense langzaam aan enkel hun eigen hardware ondersteunde en features en zelfs drivers van de onderliggende BSD weghaalde (oa qlnxe). Ook ondersteuning op de forums en bug reports was meer - als de software niet werkt koop onze hardware. Zo ook met deze verandering, meer en meer duwen voor betaling en minder open source.

OpnSense biedt ook betaalde diensten en hardware aan (oa filtering van Palo Alto) maar ze duwen je niet, alles blijft open source en de software wordt ook voor de community ondersteunt.

[InflatableMouse]

Je moet niks natuurlijk.

Maar

edit:
bijna

alles aan OPNsense is beter zo ongeveer.

Ze ontwikkelen, ze updaten, brengen regelmatig patches, bug en security fixes uit. En de community is goed.

Ik denk dat je jezelf te kort doet door niet over te stappen.

[Reactie gewijzigd door InflatableMouse op 22 juli 2024 15:14]

[Tadango]

Ik vindt juist de stabiliteit en weinig updates erg fijn. Elke update is een risico dat er iets niet meer werkt.

[InflatableMouse]

In mijn ervaring is OPNsense niet instabieler dan pfSense.

En elke update een risico is natuurlijk compleet een drogreden om geen update beleid te voeren, dat snap je hopelijk zelf toch ook wel?

[Tadango]

Uiteraard update ik wel maar het voelt beter als er af en toe en update is dan vaak. Ik hoef niet de allerlaatste features maar een systeem wat 24/7 stabiel werkt.

[biteMark]

Ik ben een totale noob als het op deze software aankomt maar ik stel me zo voor dat je bij dit soort kritische software zelf kan bepalen of en welke updates je installeert en wanneer. Dus dan is het aan jezelf als je niet elke update direct wil installeren

[klaaskeesrand]

De vraag is of je wel updates wil uitstellen. In een tijd waar 0days gekocht worden en verkocht worden door overheden en hackers alike. Ik zou zeggen dat dit van je threat model afhangt. Wat ook een mogenlijkheid is een tweede systeem bijvoorbeeld in een vm maken en de update testen. Ik doe dit minstens 1 keer in de week omdat archlinux en nvidia drivers niet altijd stabiel updaten en er eigenlijk best wel een grote kans is dat ik dan moet wachten op een hotfix.

Die update testen in een vm kost me 5 minuten vm aan pacman -Syu en compiled de kernel en start men display manager na de reboot kan ie naar me hoofdsysteem compilet deze niet kan ik nog altijd de rest updaten.

Die 5 minuten testen scheelt me elke keer dat hij niet compilet minstens 30 minuten want dan moet ik weer me usb stick insteken chrooten dan terug downgraden als het lukt want heb al een paar keer voorgehad dat me systeem onbruikbaar was tot er een hotfix is.

Het is maar een tip geen commentaar

[goarilla]

Huh, hoe kun je je nvidia driver/kernel updates testen in een VM ? Of mis ik hier iets of alles ?

[klaaskeesrand]

Je installeert hem gewoon. Het is niet om de driver zelf te testen maar om te checken of hij compilet op een nieuwe kernel en dus niet of de driver effectief werkt. Als je hem volledig wil testen kan je pci pass trough doen maar dan moet je wel een 2de video kaart hebben maar dit kan integrated zijn ook.

[goarilla]

AAh dus je test de dkms/dracut/mkinitrd/ko/whatever build.

[klaaskeesrand]

Dat klopt had dit misschien beter moeten formuleren sorry

[SkyStreaker]

Een hele gemeenschap die actief onderdelen verbeterd en/of repareert a.d.h.v. van een update zal ook met enige regelmaat deze aanbieden. Die kant van het argument maakt het minder spannend, toch?

[D0ubleD0uble]

Dat valt binnen OPNsense echt wel mee hoor. Er komen iedere week wel updates binnen, veelal zijn dat package updates en security fixes. Heb je vaak geen eens een reboot voor nodig!

Als je je toch zorgen maakt en de vele updates als bleeding edge beschouwt, kiezen sommigen er voor om bijvoorbeeld eens paar maand te updaten of dat alleen te doen bij zeer kritieke beveiligingsproblematiek. Zo doen ze dat vaak in bedrijfsomgevingen.

[devilkin]

Dit snap ik dus niet.

Elke patch cyclus bij opnsense zie ik wel libraries die gepatched worden wegens cve's, freebsd fixes, ... die dingen moet je toch echt wel ook op je router installeren, lijkt me?

[Tozz]

Nee hoor. Als je kijkt naar bv. CVEs in de Linux kernel, dan zijn dat er ook tientallen. Maar dat zijn ook patches in allerlei vage drivers die je niet gebruikt. Een driver voor een floppy drive, een obscure VGA kaart, een bug in een netwerkkaartdriver van een onbekend merk, etc, etc.

Libraries en kernels bevatten heel veel routines waarvan je er waarschijnlijk maar heel weinig gebruikt. Je hoeft echt niet elke patch te installeren.

Neem die recente Cisco IOS-XE bug.. Elke beetje fatsoenlijke network engineer zet HTTP(S) toegang uit op switches. Dan hoef je die patch ook niet te installeren. Dat kun je dan een keer meenemen in een regulier onderhoudswindow.

[devilkin]

Dit waren wel fixes in zaken die er wel toe doen. Niet de obscure dingen die je nooit gaat gebruiken op een router.

- openssl cve
- ntp cve
- freebsd core cve's
- nss cve

dit soort dingen hoor je evengoed te patchen op een router. Ik hoor van nog mensen die er trots op zijn dat pfsense weinig updates heeft, maar 't lijkt me eerder een drogreden.

[Reactie gewijzigd door devilkin op 22 juli 2024 15:14]

[Tozz]

Ook die voorbeelden hoef je niet altijd maar te patchen. Als zo'n OpenSSL CVE gaat over een kwetsbaarheid in bv. SSH1 of een specifieke cipher die je uit hebt staan, dan is die noodzaak er niet.

Als ik de laatste paar van OpenSSL pak:

CVE-2023-5678: Traagheid bij genereren key. Niet relevant op een al draaiende firewall zonder onverwachte user applications
CVE-2023-5363: Ingewikkeld verhaal, maar betreft een nieuwe API en een kwetsbaarheid met een hoop randvoorwaarden. Niet super relevant.
CVE-2023-4807: Windows-only
CVE-2023-3817: Zie 5678
CVE-2023-3446: Zie 5678
CVE-2023-2975: Niet relevant, applicatie moet hele specifieke instructies sturen
CVE-2023-2650: Betreft alleen clients en/of servers met client authentication, doet pfSense niet

Al deze kwetsbaarheden zou ik niet patchen. Ik zou deze patches gewoon meenemen in een regulier upgrade traject. En dit is dan allemaal OpenSSL.

[Rataplan_]

Niet mee eens. Nog steeds is pfSense, ondanks dat het er gedateerd uit ziet, voor ons veel productiever om mee te werken. En dan met name vanwege het kunnen dubbelklikken op rules, seperator lines, en het gebruik van descriptions in de aliassen. De API van opnSense is wel weer heel mooi, maar weegt voor ons (nog) niet op tegen de produtievere UI van pfSense.

[Reactie gewijzigd door Rataplan_ op 22 juli 2024 15:14]

[InflatableMouse]

Ja die seperator lines mis ik wel inderdaad. Je kan categorieen maken en daar gekleurde bolletjes aan geven, maar die zijn niet zo duidelijk als de seperator lines. Aan de andere kant, het went wel weer snel. Ik vond het niet onmisbaar na een tijdje.

Description op aliases heb je in OPNsense ook, in elk geval tegenwoordig. Ik weet niet beter dan dat het er in zit maar kan zijn dat het er voorheen niet in zat.

Wel heb ik een andere theme geinstalleerd die voor mij toch wat handiger is dan de standaard OPNsense. De GUI van pfSense is prettiger, helemaal mee eens!

Ik vind het zelf goed genoeg werken en ik vind het update beleid van OPNsense duidelijk zwaarder wegen dan het geen-update beleid bij Netgate voor de community. De free plus kreeg nog updates maar community helemaal niet. Helemaal zakelijk kan je je updates stagen, testen en gefaseerd uitrollen, bijvoorbeeld maandelijks. Niet updaten bij pfSense is geen optie.

Tel daarbij op de arrogantie en het fuck-you beleid van Netgate en dan is er voor geen weg meer terug.

[Rataplan_]

Description op aliases heb je in OPNsense ook, in elk geval tegenwoordig. Ik weet niet beter dan dat het er in zit maar kan zijn dat het er voorheen niet in zat.

Wel op een alias, maar voor zover ik weet sinds ze de api hebben geïntegreerd niet meer op individuele entries in een alias. En dat is gruwelijk onhandig voor ons. OpnSense zegt dat je maar voor elke entry een eigen alias moet maken en die dan nesten. Dat zorgt voor een exponentiële groei aan aliassen in onze setup. En ook hier kan je weer niet dubbelklikken om een geneste alias te openen, wat het gewoon lastig en awkward maakt imho.

[Z80]

En een ramp met plugins. En de zo goed als onmogelijkheid om "vreemde" drivers toe te voegen.
Hier is de PF uitvoering dan weer een stuk beter.

En een persoonlijk iets. De webinterface is voor mij een draak. Niets onder tabbladen bovenaan beeld die blijven staan, maar alles in submenu's. Waar waarschijnlijk een logica achter zit. Maar dat is niet de mijne.

Voor mij is het dus nog gewoon de PF in CE uitvoering. Draai al jaren stabiel.

[CPM]

Ooit geprobeerd OPNsense op een thinclient te installeren. No go. Iets met ontbrekende drivers.
PfSense was meteen draaien. Veel packages, stabiel, regelmatig updates voor de packages, grote community, heel veel documentatie super fijne advertentie filtering etc.

[poktor]

Exact hetzelfde hier. Was er meteen klaar mee.

[Polderviking]

Het is afgesplitst van Pfsense dus inhoudelijk zal het functioneel vergelijkbaar zijn.
Maar OPNsense zie je echt wel wat meer ontwikkeling op dan PFsense Community.

[Tusk]

Het is al 2 jaar oud, maar hier de PFsense guru:

https://www.youtube.com/watch?v=y8R5-xNeHY8

[Tubby]

En de partij erachter is Nederlands; ook leuk

[Zwelgje]

inderdaad, dat was voor mij ook een pluspuntje bij de keuze voor een nieuwe firewall thuis. kwam van ubiquity (USG) en de eisen waren duidelijk

-OpenSource
-Virtueel te draaien
-Lokaal, uit europa

De hypervisor draait op Proxmox (komt uit Oostenrijk) en de firewall dus uit NL.

[spokje]

Benieuwd waarom Ubiquiti afgeschreven?

[thijscream]

Ik weet zijn reden niet, maar mijn usg was heeeel traag en bij elke firewall aanpassing was er 50% kans dat hij een reboot deed. Vond het gewoon niet betrouwbaar genoeg.

[Zwelgje]

je zit vast aan een commerciële partij en ik merkte dat er toch steeds minder features op mijn USG beschikbaar zijn gekomen, het blijft een 'gesloten blikje' waar je zelf weinig mee kan en waarvan de fabrikant het liefst wil dat je die elke 3 jaar vervangt door weer een nieuwer model als je wat wilt.

performance was ook een ding, die USG is beperkt in de doorvoersnelheid en OPNSense is dat niet (je kan het op je eigen hardware draaien, dat is de bottleneck en niet het gesloten kastje.

@Tubby ik heb het nu draaien op een TopTon mini PC met intel 5105 CPU met 4 cores op 2,0ghz met 4x 2.5gb netwerkkaarten en 16gb ram. hierop draait de OPNSense installatie met nog wat containers voor andere zaken.

verder heb ik nog een aantal Intel NUC's in dat cluster voor mijn Windows VM's die hebben 64gb ram, 1tb disk.

[spokje]

Ah thx! Ja het is wel een mooi systeem. Ik vind het alleen ook wel sexy als alles van ubiquiti is vanwege Unifi en de gemakkelijke config.

[vrow]

Ervaringen met beide. Maar het is appels en peren vergelijken.
Ik vind pfSensen Opnsense, samen met bijvoorbeeld Untangle en anderen, in de categorie Next Generation Firewall vallen.
De USG is echt een vrij standaard Router met ingebouwde firewall. Echt totaal verschillende apparaten. De USG biedt je natuurlijk vpn, dhcp, Port forwarding en dergelijke maar vrij weinig op het gebied van security of packet inspection. En zelfs zaken als de vpn instellingen aanpassen vereisen in veel gevallen als terugvallen op de cli en json-files omdat Ubiquiti te lui is om de gui te maken :-)
Maar in standaardsituaties voldoet een usg prima. Maar wil je dat je firewall ook scant op Phishing sites, virussen, spam en weet ik wat? Dan kom je bij de usg niet verder.

[spokje]

Ah oké, thx voor de toelichting!

[Tubby]

Leuk; heb toevallig net van tzelfde merk een N100 variant gekocht. Dus de strategie is daarop eerst proxmox te zetten.

[Tubby]

Op wat voor iets draai je proxmox?

[PjotterP]

Die stabiliteit is imo vooral de verdienste van de kwaliteit van FreeBSD en niet zozeer de OPNsense ontwikkelaars.

[MulMonkey]

Pfsense is toch ook nog gratis?

[Polderviking]

Die community variant gaan ze ook nog wel een keer kantelen, want er zat een jaar tussen 2.6 en 2.7 met exact nul updates in de tussentijd.

Niet dat dat per se moet, ik vind lage updatefrequenties helemaal prima als dat niet nodig is. Minder updates is minder momenten waarop je iets om zeep kan helpen.
Maar echt vertrouwen voor een bloeiende toekomst kweekt een dusdanig lage updatefrequentie ook niet.

[Reactie gewijzigd door Polderviking op 22 juli 2024 15:14]

[GertMenkel]

Ik heb zelf lange tijd CE gedraaid, waren die updates echt belangrijk? External pakketten die je toevoegde kregen volgens mij wel updates, maar ik heb zelden iets gelezen over een kwetsbaarheid of belangrijke bug die met een update opgelost is bij pfSense.

Ze zullen er toch vast tussenzitten, maar hoe minder updates ze strikt nodig hebben om een nuttig apparaat op de markt te houden, hoe beter het product lijkt in mijn ogen, helemaal voor iets als routerfirmware.

[Bosjvd2]

Als je de System_Patches package installeerd, kun je wel tussentijds patches toepassen als die er zijn.

Het is natuurlijk ook de vraag of het nodig was dat de 2.7 update eerder uit zou komen. Misschien was er voor de CE versie niets te releasen.

[Janspook]

Kwam er gister helaas achter, zou net PFsense+ gaan installeren op mijn server thuis Jammer dit..

[jongetje]

Dan ben je dus net op tijd om OPNsense te installeren

[InflatableMouse]

Precies! Wees blij dus .

[Janspook]

Kan OPNsense al een beetje site to site ?
Anders installeer ik dat vanavond nog...

[Rolfie]

Site to Site VPN bedoel je? Al jaren via IPSEC, OpenVPN of Wireguard.

[Reactie gewijzigd door Rolfie op 22 juli 2024 15:14]

[Theone098]

Lekker dan. Eerst pushen ze mij maar de gratis plus versie en nu stoppen ze er mee. Hoop dat ik probleemloos terug kan naar de community editie.

Of anders naar opnsense als ik de config daar kan importeren.

[Reactie gewijzigd door Theone098 op 22 juli 2024 15:14]

[MulMonkey]

Check deze video van Tom Lawrence. Je moet je config exporteren, de CE editie installeren en je config weer uploaden.

[timeraider]

Ik heb het gevoel dat je bij poging van "downgraden" de reden zult zien waarom velen toch enorm geirriteerd zijn door deze aanpassing... want voor zover ik kon vinden was de enigste optie om te kijken of een backup van de config en dan overnieuw installeren van de CE editie werkte.

[Theone098]

Ja, het irriteert mij ook. Kan zomaar een reden zijn om naar een ander platform te gaan. Ik ben er erg tevreden over, maar dit zijn streken die ik niet waardeer.

Maar bedankt voor de tip. Ik ga eens experimenteren in een VM.

[Reactie gewijzigd door Theone098 op 22 juli 2024 15:14]

[eltweako]

Eerlijk gezegd kijk ik er niet van op, heb thuis community draaien omdat ik bang was dat dit zou gaan gebeuren.
Misbruik voor commerciële doeleinden lag natuurlijk op de loer, en ik denk ook dat ze dit gemerkt hebben.

Mijn voorkeur ligt nog altijd bij PFSense community, alhoewel technisch gezien OPNsense op veel vlakken beter is, met name op het gebied van updates.
Alleen zijn er diverse ontwerpkeuzes gemaakt bij OPNsense waarin ik mij niet kan vinden, met name de manier waarop aliassen werken en dat je bij veel velden geen description kunt opgeven. Hierdoor kunnen firewall rules onoverzichtelijk worden.

Sophos bied overigens hun XG firewall nog wel altijd in een gratis vorm voor thuisgebruik uit. Deze heeft wel een limiet van maximaal 50 hosts op je netwerk.

[M1NiSTrY]

Die limiet van 50 ip’s bestond bij het oudere Sophos UTM maar bestaat niet meer bij Sophos XG.
Zie ook hier
Edit: typo

[eltweako]

Bedankt, dat wist ik niet.

[Joao]

Jammer dat je van Plus niet terug naar CE kan. Lijkt alsof zij dit expres doen.
Dan maar OPNSense als deze box het begeeft of ik moet opnieuw installeren.

[MulMonkey]

Je kunt wel terug naar CE. Kwestie van je config exporteren, Pfsense (CE) installeren en je config uploaden.
Tom Lawrence heeft net een video gedeeld.

[t_o_c]

Het zou wel handig zijn geweest als het artikel ook zou aangeven wat er nou precies anders is. Minder functies en minder vaak updates is nogal relatief.

Nou ben ik geen hardcore gebruiker maar ik draai al 5+ jaar de CE versie en ik heb nou niet echt het idee dat de overgrote meerderheid van de gebruikers functies mist.

[ctrl-tab]

Ben 2 jaar geleden overgestapt van PFSense naar OPNSense en heb geen dag terug gekeken.
Net zo stabiel, modernere interface en API (uberhaupt, een API!)

Ik denk dat ze in hun handjes klappen bij Deciso.

[Tha_Butcha]

Na het gekloot en toxic gedrag van een paar jaar terug (en deze bui al zien hangen), overgestapt naar OPNsense.

Voordeelen voor mij:

- fatsoenlijke update cycle
- snellere bugfixes
- modernere UI (plus themes)
- overzichtelijke traffic shaper (geen L7, maar die werkte onder pfsense toch maar halfbakken)
- NL bedrijf voor support

[Chromoris]

Na het gekloot en toxic gedrag van een paar jaar terug (en deze bui al zien hangen), overgestapt naar OPNsense.

Wat speelde er dan allemaal? Ik weet dat er met de fork een aantal dingen zijn gebeurd, maar voor de rest niet veel meegekregen.

[vdr01]

Schrok me een hoedje van de kop van het artikel maar gelukkig gebruik ik de CE versie thuis. Al vele jaren erg tevreden mee. Weleens nagedacht over Opnsense maar dat ik alles dan weer opnieuw van scratch moet configureren heeft mij tegengehouden over te stappen.