Messages

Thanks for your efforts! So, no luck in fixing this?

Hi Franco,

this problem is mostly about traffic passing through the firewall. Here is an example, just one ping packet, pinging a host on the Internet through the firewall:

Code Select Expand

14:09:17.236464 b0:10:41:71:**:30 > 00:00:5e:00:01:01, ethertype IPv4 (0x0800), length 98: (tos 0x0, ttl 64, id 40521, offset 0, flags [DF], proto ICMP (1), length 84)
    192.168.***.38 > 194.***.***.230: ICMP echo request, id 47905, seq 6, length 64
14:09:17.258560 92:38:7e:91:**:2a > b0:10:41:71:**:30, ethertype IPv4 (0x0800), length 98: (tos 0x0, ttl 244, id 26065, offset 0, flags [none], proto ICMP (1), length 84)
    194.***.***.230 > 192.168.***.38: ICMP echo reply, id 47905, seq 6, length 64

As you can see, the 192.168 IP correctly sends the ICMP packet to the CARP virtual MAC address, but the pfSense gateway answers with the hardware MAC address of it's interface.
Most people won't notice that, but at least here the switches connected to the switch the pfSense gw is connected to now have no idea where to send traffic to the CARP MAC 00:00:5e:00:01:01. Hence they flood it to all ports, which again normally no one will really notice. But once you start wondering why the WLAN accesspoints connected to your switches start flooding ACK packets not destined to any WLAN device when someone downloads from a wired machine, this becomes a potential performance problem for your WLAN. It eats up airtime :)

Hi, did a quick search in the forums and on github but did not find an answer, is this FreeBSD/pfSense CARP problem also an issue in OPNsense?

https://redmine.pfsense.org/issues/6957

Bisher hab ich nur IPSec (IKEv2) getestet, das funktioniert gegen eine Cisco ASA, aber hilft Dir nicht :)
Ich sehe gerade, normale i386 gibt's jetzt auch. Ich würde aber trotzdem mal LibreSSL testen, da soll die Reise ja hingehen, je mehr es probieren, desto besser...
Die Normalen findest Du hier:
http://sourceforge.net/projects/opnsense/files/15.1.7/

Hmm, also zumindest bei den LibreSSL Builds gibts auch i386:
https://pkg.opnsense.org/snapshots/

Two problems, don't know if they are LibreSSL-only, though:

I've setup an IKEv2 VPN tunnel, it's shown as down. But it works fine as far as I can see.
Maybe this is related:

Code Select Expand


Mar  3 14:11:41 OPNsense opnsense: /index.php: XML error: Not well-formed (invalid token) at line 1 in /tmp/strongswan_leases.xml

cat /tmp/strongswan_leases.xml
cat: /tmp/strongswan_leases.xml: No such file or directory


Another strange issue is trying to edit a firewall rule with Chrome (using it on Windows 7 oder 8.1). Clicking on the pencil works only once. After that, clicking on any pencil in any rule makes the rule flicker shortly and then it says I should press the update button because my ruleset has changed.
IE and Firefox seem to work fine.

Ist das eine Option ein Factory-Reset anzubieten, dass nicht nur Config sondern auch das System zurücksetzen kann mit einem einzigen Befehl?

Eine super Option wäre, wenn dabei das System in einen funktionierenden Zustand (vor dem letzten Patch oder vor allen Patches) zurückgesetzt würde und man die Möglichkeit hätte, die aktuell laufende Config weiter einzusetzen.
Sowas deckt halt Fälle ab, wie wenn z.B. der IPSec Tunnel vor dem Update noch prima lief, nach dem Update aber (z.B. wegen eines Strongswan Patches) einfach nicht mehr hochkommen will. So könnte man dann einfach den "Zurück Knopf" drücken lassen, rebooten und danach in Ruhe recherchieren, woran es wohl lag.

Was mir bei pfSense nie so recht gefallen hat (weiss aber nicht, ob das mal gefixt wurde), wenn man ein Backup wieder eingespielt hat, gab es keine Rückmeldung wann man Rebooten soll. Man musste halt mit top nachsehen, ob tar/gzip noch lief. Die NanoBSD Slices hingegen sind natürlich unschlagbar, da hat man das System ja einfach doppelt auf der CF Karte ;)

Die Teuren haben sowas ja auch an Bord, bei ner ASA kann man i.d.R. einfach mit dem vorherigen Image wieder booten, ggf. muss man noch ein paar Befehle wieder anpassen. Checkpoint GAiA bietet LVM Snapshots an, auf die man in der GUI oder im Bootloader wieder zurück kann.

Alles in allem hat eine solche Funktion schon eine gewisse Daseinsberechtigung, finde ich ;)

Naja, die Backupfunktion hat den Vorteil, dass man i.d.R. einfach schneller wieder ein laufendes System hat. Dies ist auch in dem Fall interessant, wenn man vor Ort kein Fachpersonal sitzen hat. Da geht es halt bedeutend einfacher, einen einzigen Befehl ausführen zu lassen, statt jemanden durch eine Neuinstallation zu führen.
Klar, das sind alles Sachen, die man auch durch vernünftige Redundanzen und gute Planung lösen kann. Aber falls es keine Redundanzen gibt - kommt leider oft genug vor - dann würde ein eventuelles Problem mit einem defekten Upgrade immer mit einer längeren Downtime einhergehen.

Finde ich toll. Die Konkurrenz belebt hier anscheinend den Markt, zumindest habe ich bisher noch nie eine solch detallierte Roadmap zu pfSense gefunden. ;)
Interessant sind die vielen Gemeinsamkeiten. Viele der Dinge auf der neuen Roadmap hatte ich in der Form so schon auf der OPNsense Roadmap bzw. vorher hier im Forum als Ankündigungen für OPNsense gefunden.

Wo wir gerade bei der Roadmap sind, toll wäre, wenn OPNsense vorm Upgrade jeweils ein Backup der bestehenden Installation erlauben würde, das ist ein Feature von pfSense, was einem beim Upgrade immer ein wohliges Gefühl in der Magengegend beschert.
Und ganz hervorragend wäre eine Beta vom OpenVPN Client Exporter, dann könnte ich OPNsense auch mal bei mir in "Produktion" nehmen.

Und vielleicht sollte dies Topic in den passenden Bereich verschoben werden?

Updated my KVM to the LibreSSL version, worked without problems.
I'm getting a lot of those but I think they are there since 15.1.6.1:

Code Select Expand

Feb 23 14:13:16 getty[7118]: getty: unknown gettytab entry 'al.Pc'
Feb 23 14:13:16 getty[7118]: getty: unknown gettytab entry 'al.Pc'
Feb 23 14:13:16 getty[86940]: tcsetattr /dev/ttyv0: Operation not supported
Feb 23 14:13:16 getty[86940]: tcsetattr /dev/ttyv0: Operation not supported

One question though. I remember seeing bind99 being upgraded. AFAIK, we're only using Unbound or Dnsmasq. Why do we have bind on board?

Hi, first time on the forum for me, too.
BTW, nice GUI, I just installed a KVM to take a quick look at OPNsense. Used the snapshot as the Sourceforge page was unavailable for me.

As a long-time OpenBSD and mid-term pfSense user, I second storkus' question.
Why try to harden and patch FreeBSD, when you can have a really pre-hardened system like OpenBSD that will always be on the lastest firewall code version?
OpenBSD always looked like the obvious choice for a firewall base system to me.