[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[hs_warez]

Hm, wenn man das deutsche OPNSense Forum so überfliegt, dann gibt es ja viele Probleme mit dem letzten Update.

 

[Weltherrscher]

Hast du erwartet, dass auf so vielen unterschiedlichen Plattformen der Wechsel von BSD 13 auf 14 ohne Probleme vonstatten geht?
Wann hat ein Windows-Upgrade von x auf y mal ohne Probleme auf allen Plattformen funktioniert?
Oder nur mal ein Debian x-1 auf x?

//Edith:
Was definierst du als "viel"?
Auf den ersten vier Seiten sind genau FÜNF Problem-Threads bzgl. 24.7...
(ZENARMOR, 2x was mit Dashboard, Wireguard und OpenVPN)

Ein sechster kommt gleich von mir, aber ich weiß nicht genau, ob der Export von PKCS12-Zertifikaten schon länger kaputt ist...

 

[toscdesign]

Also wenn man das hier so liest und auch im OpnSense Forum, scheint das neue Release eine absolute Vollkatastrophe zu sein.

Wie lange bekommt die Vorgänger Version denn noch eigentlich Updates?

 

[Shihatsu]

Hast du erwartet, dass auf so vielen unterschiedlichen Plattformen der Wechsel von BSD 13 auf 14 ohne Probleme vonstatten geht?
Wann hat ein Windows-Upgrade von x auf y mal ohne Probleme auf allen Plattformen funktioniert?
Oder nur mal ein Debian x-1 auf x?

//Edith:
Was definierst du als "viel"?
Auf den ersten vier Seiten sind genau FÜNF Problem-Threads bzgl. 24.7...
(ZENARMOR, 2x was mit Dashboard, Wireguard und OpenVPN)

Ein sechster kommt gleich von mir, aber ich weiß nicht genau, ob der Export von PKCS12-Zertifikaten schon länger kaputt ist...

Also wenn man das hier so liest und auch im OpnSense Forum, scheint das neue Release eine absolute Vollkatastrophe zu sein.

Wie lange bekommt die Vorgänger Version denn noch eigentlich Updates?

Das passt für mich nicht zusammen. Also ich hab keinerlei Probleme mit meinem Setup. Nicht mal anektdotische Relevanz, ich weiß, aber für mich ists keine Katastrophe.

 

[asche77]

Hier ebenfalls keine Probleme (ausser mit Adguard Home, die behoben sind).

Vorgänger-Versionen erhalten keine updates mehr. Die Business Edition könnte da anders funktionieren(?).

 

[FM4E]

Jo, für die Community-Edition 24.1 gibt es keine weiteren Updates mehr. Im Grunde bin ich selbst mit dem 24.7-Update größtenteils zufrieden und alles läuft bei mir wie sonst auch. Einzig das Dashboard ist noch ungewohnt.

 

[toscdesign]

Ich spiele dann mal das Update ein. Das Dashboard habe ich kaum genutzt, ist daher für mich weniger relevant.
Mal sehen wie gut oder schlecht es läuft, notfalls wird eben das Backup zurückgespielt.

 

[FM4E]

Backup ist natürlich generell anzuraten.

 

[toscdesign]

Deshalb läuft die bei mir auch in ner VM auf Proxmox, da kann ich mit einem Klick wieder das Basckup einspielen.

So bis jetzt scheint alles zu laufen. Der Bug das die anderen VLANs auf dem Management Interface mitgezählt werden besteht zwar immer noch.
Aber das stört micht nicht besonders, bzw. kann man das ja manuell rausrechnen, wenn man unbedingt die Traffic Angaben benötigt.

Auf dem neuen Dashboard habe ich auch alle Anzeigen wie vorher einrichten können, passt also für mich auch.
Bis jetzt kann ich noch nichts negatives berichten

 

[sch4kal]

Hast du erwartet, dass auf so vielen unterschiedlichen Plattformen der Wechsel von BSD 13 auf 14 ohne Probleme vonstatten geht?
Wann hat ein Windows-Upgrade von x auf y mal ohne Probleme auf allen Plattformen funktioniert?
Oder nur mal ein Debian x-1 auf x?

Benutze neben einem Gentoo Build hier privat Fedora Workstation und auf der Arbeit vereinzelt Fedora Server, zT seit Fedora 14. Mir ist nie ein Distupgrade in die Hose gegangen, es gab hier und da Probleme mit manchen Abhängigkeiten von 3rd Party Paketquellen, aber nix wenn man nur die Fedora/Fedora-Updates und Epel/RPM-Fusion Repos drin hatte. Also es kann auch einfach mal funktionieren. Hatte auch bei pfSense nie Probleme nach einem Update. Jeder wie er möchte.

 

[Weltherrscher]

Streite ich ja nicht ab, ihr sucht die Hardware sicher passend raus, oder?
Es gibt so viele Leute auf der Welt die einfach nur nen Haufen alte Hardware in ne Blechkiste werfen und denken alles läuft fehlerfrei.

Ich hab auch ohne Probleme auf 24.7 updaten können und es läuft auch alles einwandfrei.
Mein Problem mit dem PKCS12-Export scheint schon länger zu existieren.
Hab mich mal an einen PR auf Github dran gehängt.
Dort findet man es auch sehr mysteriös, vor allem vor dem Hintergrund, dass händisch zusammen gebaute P12-Dateien aus den exportierten PEMs einwandfrei funktionieren.
Beispiel:
cert.p12 -> Export aus WebUI
bundle_v1.1.p12 -> exportierte PEMs (aus dem WebUI) mit openssl 1.1.1w zusammengefügt
bundle_v3.p12 -> exportierte PEMs (aus dem WebUI) mit openssl 3.3.1 zusammengefügt

e:\Progs\Security\openssl-3\x64\bin>openssl pkcs12 -info -in cert.p12
B47E0000:error:0680007B:asn1 encoding routines:ASN1_get_object:header too long:..\crypto\asn1\asn1_lib.c:105:

e:\Progs\Security\openssl-3\x64\bin>openssl pkcs12 -info -in bundle_v1.1.p12
Enter Import Password:

MAC: sha1, Iteration 2048
MAC length: 20, salt length: 8
PKCS7 Encrypted data: pbeWithSHA1And40BitRC2-CBC, Iteration 2048
Error outputting keys and certificates
E4680000:error:0308010C:digital envelope routines:inner_evp_generic_fetch:unsupported:..\crypto\evp\evp_fetch.c:355:Global default library context, Algorithm (RC2-40-CBC : 0), Properties ()

e:\Progs\Security\openssl-3\x64\bin>openssl pkcs12 -info -in bundle_v3.p12
Enter Import Password:

MAC: sha256, Iteration 2048
MAC length: 32, salt length: 8
PKCS7 Encrypted data: PBES2, PBKDF2, AES-256-CBC, Iteration 2048, PRF hmacWithSHA256
Certificate bag
Bag Attributes
    localKeyID: 57 3C ... 60 87
subject=C=DE, blah blubb server-rsa
issuer=C=DE, blah blubb -ca
-----BEGIN CERTIFICATE-----
MIIHaDkBFg9pdEBhbHRlbmhlaW0uaXQxHjAc...

Aber das gehört nicht hier her.

 

[Weltherrscher]

Das ging fix.
War wohl irgendwas im Browser, der den Binärblob des P12 kaputt gemacht hat.

Download of pkcs12 / pfx not recognized by Windows with MVC rewrite · Issue #7703 · opnsense/core

Important notices Before you add a new report, we ask you kindly to acknowledge the following: I have read the contributing guide lines at https://github.com/opnsense/core/blob/master/CONTRIBUTING....

github.com

Sag mal noch einer, dass es nur Probleme mit OPNsense gibt, wenn man ordentliche Bug Reports macht, werden die fix gefixt.
Und das am Wochenende!

 

[FM4E]

War wohl irgendwas im Browser

Welchen hast/hattest du im Einsatz?

 

[Shihatsu]

Deshalb läuft die bei mir auch in ner VM auf Proxmox, da kann ich mit einem Klick wieder das Basckup einspielen.

Öhm, falls unbekannt: Dafür hat OPNsense das mächtigere System der Boot Environments. Das ist mMn sehr viel geiler als Backup redeploy:

Gefahrlose Updates von OPNsense mit Boot-Environments | andersGOOD Blog

Es immer gut, eine Notlösung parat zu haben, wenn bei einem Major-Update von OPNsense etwas schiefgeht. Mit ZFS und Boot-Environments ein Kinderspiel.

andersgood.de

Schaus dir mal an, ich finds super geil.

Falls bekannt: Ignore me!

 

[toscdesign]

Ja kenne ich, meine Installation ist schon so alt, da gab's das noch nicht. Habe immer schön geupdated. Außerdem läuft auf der Kiste noch HA und ein Ubuntu Server

 

[Weltherrscher]

Welchen hast/hattest du im Einsatz?

Vivaldi und Edge, aber keine Ahnung, welchen der Entwickler genutzt hat.
Scheint dann wohl browserübergreifend zu sein und könnte auch was mit JS, PHP oder so sein...

 

[Shihatsu]

Ja kenne ich, meine Installation ist schon so alt, da gab's das noch nicht. Habe immer schön geupdated. Außerdem läuft auf der Kiste noch HA und ein Ubuntu Server

Jetzt wo du es sagst hab ich das glaub ich genauso schon mal von dir gelesen gehabt - Ich werd alt...

 

[Zeitmangel]

Hast du erwartet, dass auf so vielen unterschiedlichen Plattformen der Wechsel von BSD 13 auf 14 ohne Probleme vonstatten geht?

Wie schlecht lief das mit pfSense 2.7? Die haben zwar nach 2.7.1 recht schnell auf 2.7.2 nachbessern müssen, aber zwischen 2.7.0 und 2.7.1 lagen entspannte 6 Monate

Sag mal noch einer, dass es nur Probleme mit OPNsense gibt

Imho weniger. Was mir auffiel wie den meisten halt, war eher die ohne Not umgebaute Darbietung auf dem Monitor

 

[Weltherrscher]

Das liegt doch gerade voll im Zeitgeist.
Siehe verschiedene Linux Distros, Windows, usw.
Alle rödeln ohne Not am UI rum...

 

[Zeitmangel]

Ja echt ej. Aktuell ist das die Pest unserer Zeit.

 

[Azrael_ct]

Die neue Oberfläche ist teilweise echt der Horror, am Smartphone kann man das Dashboard gar nicht scrollen, weil dann die Widgets verschoben werden. Und in einem Widget scrollen geht auch nicht - wie konnte das vorab eigentlich nicht auffallen?

 

[FM4E]

Die Nutzer sind die Beta-Tester, leider.

 

[BobbyD]

Die Nutzer sind die Beta-Tester, leider.

Warum auch nicht, wenn es nichts kosten darf. Bis auf die optischen Probleme ist es doch recht ruhig.

 

[hs_warez]

Umstieg auch "überlebt" - zumindest bisher keine Probleme entdeckt.
Mit der neuen Oberfläche kann ich mich irgendwie auch nicht so anfreunden...

 

[FM4E]

Seit heute ist auch OPNsense-Version 24.7.1 verfügbar

 

[Zeitmangel]

Warum auch nicht, wenn es nichts kosten darf.

Für so eine GUI brauchst du keine Betatests. Das muss man nur selbst ordentlich benutzen, damit das schon nach 2min. auffällt.

Da haben wir nochmal Glück gehabt, daß die Leute vom FreeBSD-Kernel das nie so naiv-locker sehen (oder die vom Linux)

 

[BobbyD]

OPNsense 24.7.3 released

The GUI gains snapshot support on ZFS installations by
implementing what is called "boot environments" which allows one to move
seamlessly from one snapshot to another via reboot.

Die boot environments sind sicher für bare metal Installationen sehr interessant. Während es sie für die pfSense+ schon länger im GUI gab, gibt es sie für die pfSense CE nach wie vor gar nicht.

 

[FM4E]

Schade, dass man ohne Neuinstallation nicht auf ZFS switchen kann.

 

[BobbyD]

Schade, dass man ohne Neuinstallation nicht auf ZFS switchen kann.

Config exportieren, neu installieren, Config wieder importieren. Mag sein, dass das nicht für jeden so einfach ist, aber für die meisten. Und wie sollte es auch sonst gehen.

Edit: Und es gibt schon den ersten Hotfix.😉
(für Suricata)

 

[FM4E]

Jup, weiß ich, wie das wenn umgesetzt werden muss. Habe nur gerade keine Lust, OPNsense neu zu installieren.