OPNSense Experiment

[mkd73]

Warum mussen sich die Firewall Admins auf etwas neues bei OPNSense anpassen?
ipsec, child, parent bla bla, ja, neue in dem  neuen vpn ist eben so, aber wenn juckt das, sollte phase 1 phase 2 heisen.
Vor eine Woche 26.7.7 installiert, jetzt kommt 26.7.8, nach eine Woche so viel Updates macht nicht mal Windows.
Manchmal hat man tatsächlich das Gefühl, die Entwickelnden leben in einem Elfenbeinturm und testen ihre Software nur im Labor, aber nicht im echten Admin-Alltag. Wenn funktionierende, logische Menüs plötzlich ohne Not verschlimmbessert werden, fühlt man sich als Anwender absolut bevormundet und in seiner Arbeitszeit begrenzt.
.
Familientherapie bei IPSEC braucht kein mensch, children usw.
Machen Sie doch eine Home Version und Pro Version. Ich werde es sofort kaufen, aber nicht diese durcheinander.
Selbsterstellte Floating Rules nicht angezeigt? hmm, oder ich mache was falsch?Wo finde ich sie denn?
Ich mag opnsense sehr, aber es tut weh, ehrlich. opnsense, instances, static keys,  also bitte ...


Und da "pools" was denn jetzt , ip pools für diese ipsec verbindung, oder was bedeutet das? Total unerklärlich. Instances, pools, swimbeckenich weiss es nicht mehr genau, auf Ihre website ist alles nur teilweisse erklärt. Ich habe 4 Bucher von OPNSense, und ist niergenwo drinne von ipsec new pools.
dnsmasq, ichmeine, erstmal dhcp ranges erstellen, dann alles anderes, alles durcheinander. Alles OK, wenn mann  stundenlang versucht in ene netzwerk mit 10 PC's
 

und das ganze gedönse mit dhcp und unbound, ja was denn jetzt, KEA oder dnsmasq, ich meine, was soll denn das?
Oder versuchen Sie den Enterprise und hobby Admins alles recht zu machen?
Geht aber nicht.
Danke, ich mag OPNSense, aber nicht so
Vielleich liege ich falsch, aber das wäre mich freuen das ich falsch liege. alle andere , fortinet, pfsense, sophos ... sind eigentlich standard, ohne children.Danke
 Etwas wie bei MikroTik, richtig TOP Firewall , einstellungen ohne ende, aber der Firmenbesitzer muss richtig Reich sein und ein Admin zu bezahlen, die ganze einstellungen sing richtig unendlich

dnsmasq, erstmal muss mann wieder irgendwelche "pools" erstellen, dann geht es, ich meine , alles durcheinander, keine logik  und automatismus.

und nein, nur weil ein EU firewall ist, ist nicht sicherer als die andere, Sie nutzen auch freeBSD, und das wird in USA entwickelt.

[meyergru]

1. Es gibt bereits eine Community Edition und eine Business Edition.

2. Ungeachtet dessen haben wir 2026. Es gibt inzwischen KI-gestützte Werkzeuge zum Auffinden von Sicherheitslücken, und die Bedrohungslage entwickelt sich ständig weiter.

Ausgerechnet das von Dir kritisierte Update 26.7.8 vom heutigen Tag enthält zahlreiche Sicherheitskorrekturen. Siehe:
https://docs.opnsense.org/releases/CE_26.7.html

Die Verfügbarkeit von Updates ist kein Mangel, sondern ein Feature. Ob Du diese Updates einspielst oder mit den bekannten Schwachstellen und der entsprechenden Angriffsfläche lebst, ist Deine Entscheidung.

Die Business Edition verfolgt bewusst einen konservativeren Aktualisierungspfad mit weniger häufigen funktionalen Änderungen, um den Anforderungen produktiver Unternehmensumgebungen Rechnung zu tragen. Wenn Dir das wichtig ist, gibt es genau dafür ein kostenpflichtiges Angebot.

3. Genauso wenig ist die Verfügbarkeit unterschiedlicher Werkzeuge für DHCP und DNS ein Mangel. Sie erfüllen teilweise unterschiedliche Anforderungen. Dnsmasq eignet sich für kleinere Installationen, Kea bietet unter anderem Vorteile bei Skalierbarkeit und Hochverfügbarkeit. Unbound wiederum ist in erster Linie ein DNS-Resolver.

Entscheide Dich für die Werkzeuge, die zu Deinen Anforderungen passen.

Und es war übrigens nicht Decisos Entscheidung, ISC DHCP einzustellen. ISC hat die Entwicklung und Wartung bereits 2022 beendet.

Things change. Deal with it.

4. Auch die IPsec-Terminologie ist nicht einfach eine Laune der OPNsense-Entwickler. IKE SAs und CHILD SAs sind etablierte technische Begriffe. Die neue Oberfläche orientiert sich stärker an strongSwan und dessen tatsächlichem Konfigurationsmodell. Und die von Dir kritisierten Pools dienen beispielsweise der IP-Adressvergabe an mobile VPN-Clients.

Natürlich kann man darüber diskutieren, ob die Oberfläche intuitiver gestaltet oder besser dokumentiert werden könnte. Aber aus der Tatsache, dass Dir eine Terminologie nicht vertraut ist, folgt nicht, dass sie unlogisch wäre.

5. OPNsense ist ein professionelles Netzwerkwerkzeug. Vielleicht liegt hier ein grundsätzliches Missverständnis vor. Lies einmal:
https://forum.opnsense.org/index.php?topic=42985.0

Insbesondere den Satz gleich am Anfang:

Be warned: OPNsense provides a GUI for professional networking features; it does not turn them into consumer-grade settings that can safely be changed by trial and error. Or it can — but then there is plenty to try, and plenty to break.

Netzwerke sind komplex. Eine grafische Oberfläche kann diese Komplexität zugänglicher machen, aber sie kann sie nicht beseitigen.

O.K., MikroTik treibt das mit seinen nahezu unbegrenzten Konfigurationsmöglichkeiten vielleicht etwas weit. Aber OPNsense? Echt jetzt?