Consiglio per aggiornamento a OPNsense 26.7 con Zenarmor (os-sensei) e altri plu

[GrepZilla]

Ciao a tutti,

Sto valutando l'aggiornamento del mio firewall OPNsense dalla versione 26.1.11_10 alla 26.7. Trattandosi di un ambiente di produzione/rete principale, vorrei verificare preventivamente l'eventuale presenza di bug noti o problemi di compatibilità con la mia configurazione e i plugin installati.

Di seguito i dettagli del mio sistema attuale:

System Information:

OPNsense: 26.1.11_10-amd64

FreeBSD: 14.3-RELEASE-p16

OpenSSL: 3.0.21

Plugin Installati:

os-acme-client (4.16_1)

os-cpu-microcode-intel (1.1)

os-crowdsec (1.0.12)

os-mdns-repeater (1.2)

os-q-feeds-connector (1.6)

os-sensei / Zenarmor (2.6.2)

os-sensei-agent (2.6.1)

os-sensei-updater (2.0)

os-sunnyvalley (1.5_2)

os-sftp-backup (1.1_2)

os-tailscale (1.4)

In particolare, vorrei sapere se ci sono criticità note riguardo l'integrazione con Zenarmor (os-sensei), CrowdSec e Tailscale sul nuovo ramo 26.7, o se la stabilità generale suggerisca di attendere ancora qualche release minor.

Qualcuno ha già eseguito l'upgrade con uno stack di plugin simile? Riscontrate regressioni particolari?

Grazie in anticipo per il vostro tempo e per i preziosi consigli.

[BoNetTech]

Ciao,

premetto che non ho provato personalmente questo stack di plugin sulla 26.7, quindi non posso dirti se ci sono regressioni su Zenarmor, CrowdSec o Tailscale. Ti scrivo come ragionerei io per un aggiornamento in produzione.

1) Il salto è grande: la 26.7 usa una base FreeBSD diversa dalla tua (FreeBSD 15.1 invece della 14.3) e le note di versione parlano anche di pagine del firewall spostate in un plugin a parte. Leggi con calma le note della serie 26.7 sul sito della documentazione prima di partire.

2) I plugin esterni sono il punto più delicato, perché dipendono dalla base del sistema. Per Zenarmor controlla sul loro sito o sul loro forum se la 26.7 è dichiarata come supportata, e se serve aggiornare prima il pacchetto. Lo stesso vale per CrowdSec e Tailscale: guarda le note dei rispettivi plugin.

3) Meglio non partire dalla versione iniziale della serie: ormai ci sono molte versioni minori successive, e i problemi di aggiornamento segnalati all'inizio sono stati corretti nelle prime.

4) Prima di toccare qualcosa: copia della configurazione (hai già il plugin per il backup via SFTP) e, se il disco è in ZFS, uno snapshot del sistema da cui poter tornare indietro. Scegli un momento in cui un fermo di mezz'ora non crea problemi.

5) Aggiorna prima la 26.1 all'ultima versione minore disponibile, poi fai il salto alla 26.7. Se hai un secondo apparato o una macchina virtuale, prova prima lì con una copia della configurazione.

Se qualcuno ha già fatto questo passaggio con Zenarmor e CrowdSec, la sua esperienza vale più della mia.

Sergio