[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[Luckysh0t]

Da ich beides noch nicht eingesetzt habe, kann ich nicht wirklich sagen, ob es eine adäquate Alternative ist, aber wie wäre es mit crowdsec, wenn suricata so wählerisch ist?

 

[BobbyD]

aber wie wäre es mit crowdsec

Da hat die pfSense was besser, pfBlocker. Crowdsec dagegen gibt es nicht als offizielles Package für die pfSense. Ich weiß aber auch von Nutzern, die inzwischen davon wieder abgekommen sind, es auf der OPNsense zu nutzen, da die Blocklisten zumindest in der kostenlosen Version wohl sehr zu wünschen übrig lassen.

 

[Sannyboy111985]

Ich nutze die Blocklisten von IPv64.net
Die treffen zumindest beim incomming Traffic schon einiges.

 

[FieserOstfriese]

Es gab mal ein Update für die PfSense: 2.8.0-RELEASE

 

[BobbyD]

Netgate Releases pfSense® Community Edition Version 2.8.0

Key Highlights Include:
✅ AutoConfigBackup – enhanced UI, encryption, and key management
✅ New PPPoE Driver – boosts performance and reduces CPU usage
✅ Kea DHCP Integration – improved HA, DNS registration, and IPv6 support
✅ NAT64 Support – seamless IPv6 to IPv4 access
✅ Gateway Fail-Back – smarter traffic recovery to preferred gateways
✅ System Aliases + State Policy Updates – better security and flexibility
✅ Critical Security Fixes – including multiple XSS and config-related patches

Important Upgrade Notes:
Due to major system and PHP changes, please uninstall all packages before upgrading and review the Upgrade Guide thoroughly.

Netgate Releases pfSense® Community Edition Version 2.8.0

Announcing pfSense® CE 2.8.0—now with features from pfSense Plus, major enhancements, and critical bug fixes. All pfSense CE users are encouraged to upgrade to this new version.

www.netgate.com

2.8.0 New Features and Changes | pfSense Documentation

docs.netgate.com

Für Neuinstallationen gilt: Ein ISO-Image zum Downloaden gibt es (aktuell?) nicht. Wie bei der pfSense Plus muss also der Net-Installer aus dem Netgate-Shop geladen werden oder man macht ein Inplace-Upgrade, sofern man noch ein ISO-Image von 2.7.2 findet.

 

[FieserOstfriese]

bei mir blockt er nun aufmal IGMP obwohl das vorher alles funktioneirte. Warum bisher nicht den fehler gefunden

 

[Tundor]

In den Docs steht, dass man vorher alle installierten Zusatzpakete entfernen soll und dann wieder nachinstallieren.

Due to major changes in PHP and base OS versions, there is a higher than usual chance that packages will interfere with the upgrade process.

To give an upgrade the best possible chance of going smoothly, uninstall all packages before starting the upgrade.

Die Einstellungen der Pakete werden behalten, wenn man das macht?

 

[BobbyD]

bei mir blockt er nun aufmal IGMP obwohl das vorher alles funktioneirte. Warum bisher nicht den fehler gefunden

Das ist inzwischen normal und bei der Plus schon eine Weile so. Wenn Du den Block nicht in den Logs sehen willst, braucht es eine Regel wie bei mir.

Die Einstellungen der Pakete werden behalten, wenn man das macht?

In der Regel ja. In einigen Paketen kannst Du das aber auch explizit deaktivieren, also im Zweifel lieber vorher nachgucken.

Die Beta für die CE war ja recht kurz, also ich bin mal gespannt. Gerade bei dem Kram, der noch nicht in der finalen Plus ist.

 

[What9000]

Kurze Noob-Frage zur OPNSense:
Wenn ich in der Firewall eine Freigabe für einen DNS-Host (z.B. eine Website hinter CloudFlare) anlege: Ist es möglich, dass die Sense bei jeder Anfrage den DNS-Host auflöst?

 

[Shihatsu]

Kurze Noob-Frage zur OPNSense:
Wenn ich in der Firewall eine Freigabe für einen DNS-Host (z.B. eine Website hinter CloudFlare) anlege: Ist es möglich, dass die Sense bei jeder Anfrage den DNS-Host auflöst?

Ich verstehe die Frage nicht.
Wenn du eine Freigabe für einen Host auf einem bestimmten Interface einrichtest (warum eigentlich, blockst du outgoing alles?) und dein benutzter DNS-Resolver diesen Host auflösen kann (oder du die IP als Alias einrichtest) kannst du diesen Host immer erreichen.
Wenn du möchstest das deine Sense einen Host imemr versucht anzusprechen, egal was dein dNS sagt, kannst du dafür unbound overrides setzen.

Was möchtest du erreichen? Was ist dein Ziel?

 

[oNyX`]

Netgate Releases pfSense® Community Edition Version 2.8.0

Netgate Releases pfSense® Community Edition Version 2.8.0

Announcing pfSense® CE 2.8.0—now with features from pfSense Plus, major enhancements, and critical bug fixes. All pfSense CE users are encouraged to upgrade to this new version.

www.netgate.com

2.8.0 New Features and Changes | pfSense Documentation

docs.netgate.com

Für Neuinstallationen gilt: Ein ISO-Image zum Downloaden gibt es (aktuell?) nicht. Wie bei der pfSense Plus muss also der Net-Installer aus dem Netgate-Shop geladen werden oder man macht ein Inplace-Upgrade, sofern man noch ein ISO-Image von 2.7.2 findet.

Hast Recht, als ich neulich das ISO downloaden wollte (wie früher…) und dann von dem Drecks Store begrüsst wurde > abfuck. Darum lass ich das mal hier

Index of /mirror/downloads/

 

[andrer250282]

Kurze Noob-Frage zur OPNSense:
Wenn ich in der Firewall eine Freigabe für einen DNS-Host (z.B. eine Website hinter CloudFlare) anlege: Ist es möglich, dass die Sense bei jeder Anfrage den DNS-Host auflöst?

Du meinst dein Ziel-Host hat wechselnde (dynamische?) IPs und du kannst/willst keine "starre" QuellIP - Ziel IP Regel anlegen?
Ich meine mit einem Alias müsste das gehen - vorausgesetzt natürlich die Sense kann den auflösen.

 

[BobbyD]

vorausgesetzt natürlich die Sense kann den auflösen

Sie tut das aber "nur" alle 5 Minuten. Für irgendwas hinter einem CDN etc. taugt das nicht. Da muss man dann anders 'rangehen, aber einfach wird es nicht.

 

[andrer250282]

Guter Einwand @BobbyD
für Just in Time ist das nicht optimal... Da müsste man wahrscheinlich irgendwie Scripten aber da hört es bei mir auf

 

[What9000]

Ok also ist es ca. so, wie ich es vermutet hatte. Konkret ging es darum, eine ASN bis auf die in einem Alias befindlichen Domains zu blocken. Wie @BobbyD erwähnte, ist das bei CDN (und das ist diese ASN) eher Grütze.