OPNsense vs IPCop

[Thargor]

Danke.

Werds mal so einrichten und testen!

[linterfranz]

Hallo,
ich komme auch von ipcop. Ich war auf der Suche nach einer Firewall mit einer aktiven community, ipv6 und mehreren wan-Schnittstellen. Leider habe ich nur ein paar theoretische Kenntnisse von freeBSD. Ich lese mich gerade etwas ein und werde in Kürze ein Testsystem aufbauen.
Deshalb herzliche Grüße in die Runde, ich hoffe beim richtigen System angekommen zu sein, das ich für mich und Freunde einsetzen möchte, weil wir für ein freies und offenes Internet sind, aber auch wissen, welche Gefahren bestehen.
Grüße aus dem Süden
Franz

[franco]

Willkommen Franz. Erste Eindrücke und Vorschläge sind erwünscht.

[Zeitkind]

Moin.
Ebenfalls ipcop'ler seit.. v1.2? Weiß nicht mehr.
Eigentlich finde ich ipcop immer noch nett, aber es fehlen mir zu viele Dinge wie pptp, l2tp, ipv6..
Fahre deshalb immer noch die 1.4 - da gab es halt noch Addons für ppt etc. Hab aber nun angefangen, eine neue Kiste (Lex Brik 3I270D) mit OPNsense zu bestücken - naja, man muss sich schon umgewöhnen.. ^^
Geschafft: Netzwerke und openvpn user (>50) zu importieren - was mal echt Arbeit ist, aber geht.
Was mir fehlt:
- Ein Notizen-Feld. Überall. Bei Usern, bei Zertifikaten, bei Netzwerken...
- Proxy mit der Möglichkeit, auf einfachem Weg z.B. Listen der Uni Toulouse zu importieren
- Getrennte VPN-User und lokale User für Administration etc. Zwar muss man bei OpenVPN nur die Zertifikate haben (und gar keine User anlegen), aber da fehlen mir dann wieder Notizfelder..
- Captive portal krieg ich einfach nicht zum laufen, hab aber noch nicht wirklich Fehlersuche betrieben..
- Ich kann mich noch nicht so recht mit dem Prinzip "alle Einstellungen in einer Mammutdatei" anfreunden. Es ist teils eine ziemliche Sucherei, wo und wie dann die "echten" Einstellungen verändert werden (also unter /etc usw.), ist alles etwas.. weiß nicht, unübersichtlicher. Bei ipcop gab es unter /var/ipcop/ alle Configs und man hat nicht gleich alles zerlegt, wenn man statt 700 mal 007 getippt hat.. ^^ Gut, ist sicherlich eine Geschmacksfrage, aber die Gefahr, bei Fehlern in nur einer einzigen Datei das ganze System unbrauchbar zu machen, ist IMHO durchaus gegeben. Wer wie ich auch mal per ssh & vi Änderungen an einer Firewall >100km weit entfernt macht, lernt übersichtliche Strukturen schätzen. Spart einfach Benzin.

Naja, mal sehen, i.A. ist es mir zu warm um weiter zu basteln. Aber da ich ca. 25 IPCops ersetzen will, werde ich wohl noch öfters hier auftauchen.

[Zeitkind]

OK.. noch was..

Ich nutze xca als Zertifikatsverwaltung (http://sourceforge.net/projects/xca/) und importiere die Zertifikate dann per GUI. Wenn man viele OpenVPN-User hat und nicht jeden auch als User anlegen will (was vor allem viel mehr Zeit braucht als nur die Zertifikate zu importieren), kann man diese User/Zertifikate aber nicht an- und abschalten - also den User resp. das Zertifikat nicht aktivieren oder deaktivieren. Nur löschen.. hmmm..
Sinnvoll ist so etwas z.B. wenn externe Dienstleister zwecks Fernwartung einer Anlage mal in ein Netz dürfen, aber deren Account halt nicht dauernd aktiv sein soll, sondern eben nur nach Absprache und unter "Beobachtung". Also doch User anlegen? *seufz*
Würde mich über so eine Einstellungsmöglichkeit sehr freuen.. ^^

squid: Wo kann man max. Dateigröße, max. Gesamt-Cache, Cache-Pfad usw. einstellen? Wohl noch gar nicht? Und wo sollte man jetzt an so was rumschrauben, ohne spätere Updates zu zerlegen?

Hab mir btw. noch apcupsd und *hust* bash nachinstalliert.

Edit: ach ja, und das OpenVPN Client Export Package wäre echt suuuper, denn normalerweise will man verschlüsseltes pkcs12 haben. Bei IPCop kann man z.B. ein zip herunterladen mit einer Name.p12-Datei (verschlüsselte CA, key und cert) und einer Name.ovpn-Datei (OpenVPN Client conf Textdatei). Für Windows kann man das direkt nehmen (auch wenn Import in Zertifikatsspeicher manchmal sinnvoller ist) und für Macs Ordner drumrum und .tblk dranhängen für Tunnelblick.
Beispiel Name.ovpn:

#OpenVPN Server conf
tls-client
client
dev tun
proto udp
tun-mtu 1400
remote ip-adresse 1194
pkcs12 name.p12
cipher BF-CBC
verb 3
ns-cert-type server

[Zeitkind]

Nachtrag:
OK, VPN User Export ist ja doch schon drin. Sehr gewöhnungsbedürftig, aber da.