Релиз на дистрибуцията за създаване на междуженствени стени pfSense CE 2.8.0

Публикуван е релиз на дистрибутива за изграждане на защитни стени и мрежови шлюзове pfSense CE 2.8.0 (Community Edition). Дистрибутивът е базиран на кода на FreeBSD, с използване на разработки от проекта m0n0wall и пакетния филтър pf. Подготвен е iso-образ за архитектурата amd64.

Управлението на дистрибутива се осъществява чрез уеб-интерфейс. За организиране на изхода на потребителите в проводна и безжична мрежа може да бъде използван Captive Portal, NAT, VPN (IPsec, OpenVPN) и PPPoE. Поддържа се широка гама от възможности за ограничаване на пропускната способност, лимитиране на броя на едновременни свързвания, филтриране на трафика и създаване на отказоустойчиви конфигурации на базата на CARP. Статистиката на работа се показва под формата на графики или таблици. Поддържа се автентикация чрез локалната база данни на потребителите, както и чрез RADIUS и LDAP.

Основни промени:

• Компонентите на основната система са обновени до FreeBSD 15-CURRENT. Версията на PHP е обновена до 8.3.
• Пренаписан е интерфейсът на потребителя за използване на безплатната услуга ACB (Automatic Configuration Backup), позволяваща автоматично запазване на резервни копия на настройките в облачното хранилище Netgate (резервните копия се предават в шифрован вид). Добавена е възможност за смяна на ключа на устройството, използван за криптиране.
• Предложен е нов бекенд за протокола PPPoE, базиран на модула на ядрото if_pppoe, демонстриращ по-висока пропускна способност при предаване на данни през мрежовия интерфейс PPPoE. Въпреки това, if_pppoe изостава по функционалност, например не поддържа MLPPP. В момента новият бекенд е деактивиран по подразбиране, но в бъдещи версии ще замени стария бекенд, базиран на пакета MPD.
• Променени са правилата за обработка на състоянията на връзките в защитната стена (State Policy). Вместо режими Floating по подразбиране, е активиран режим Interface Bound, при който състоянието на връзката е свързано с мрежовия интерфейс и опитите за предаване на пакета през друг мрежови интерфейс са блокирани. При използването на IPsec VTI се връща на режима Floating, тъй като свързването към мрежовите интерфейси в този случай създава проблеми.
• Реализиран е режим Fail-Back за шлюзовете, при който състоянието на свързаност към вторичните шлюзове се нулира след възстановяване на първичния шлюз.
• Включени са допълнителни възможности на DHCP сървъра Kea, които позволяват постигане на паритет с функционалността на ISC DHCP. Добавена е поддръжка за регистрация и обновяване на записи в DNS относно имената на хостовете на клиентите на DHCP. Реализирано е разширение за делегиране на префикси DHCPv6. Появи се възможност за стартиране на синхронизирани резервни DHCP сървъри с цел осигуряване на висока наличност (High Availability), а настройките за отказоустойчиви конфигурации бяха опростени. Добавена е поддръжка на статични ARP адреси. Осигурена е възможност за промяна на настройките на Kea, които не са обхванати от графичния интерфейс, използвайки блокове във формат JSON.
• Осигурена е пълна поддръжка на NAT64, позволяваща на клиенти, които имат само IPv6 адреси, да се свързват с хостове, използващи IPv4.
• Добавена е възможност за използване на системни шаблони в потребителски правила на междусетевия екран, които преди това бяха приложими само в вътрешни правила. Добавени са нови шаблони за обозначаване на резервирани и специализирани подсетиве.

Източник: opennet.ru