Die Veröffentlichung des Distributionspakets für die Erstellung von Firewalls und Netzwerk-Gateways pfSense CE 2.8.0 (Community Edition) wurde veröffentlicht. Das Distributionspaket basiert auf dem FreeBSD-Code und nutzt die Entwicklungen des m0n0wall-Projekts sowie den Paketfilter pf. Ein ISO-Image für die amd64-Architektur steht zum Download bereit.
Die Verwaltung der Distribution erfolgt über eine Web-Oberfläche. Um den Benutzern den Zugang zu kabelgebundenen und drahtlosen Netzwerken zu ermöglichen, können Captive Portal, NAT, VPN (IPsec, OpenVPN) und PPPoE verwendet werden. Es werden umfassende Funktionen zur Begrenzung der Bandbreite, zur Limitierung der gleichzeitigen Verbindungen, zur Traffic-Filterung und zum Aufbau von ausfallsicheren Konfigurationen auf Basis von CARP unterstützt. Die Leistungsstatistik wird in Form von Grafiken oder tabellarisch angezeigt. Die Authentifizierung erfolgt über eine lokale Benutzerdatenbank sowie über RADIUS und LDAP.
Wesentliche Änderungen:
- Die Komponenten des Basissystems wurden auf FreeBSD 15-CURRENT aktualisiert. Die PHP-Version 8.3 wurde aktualisiert.
- Die Benutzeroberfläche wurde neu geschrieben, um den kostenlosen Dienst ACB (Automatic Configuration Backup) zu nutzen, der es ermöglicht, Konfigurationen automatisch in der Netgate-Cloud zu sichern (Backups werden verschlüsselt übertragen). Es wurde die Möglichkeit hinzugefügt, den für die Verschlüsselung verwendeten Gerätetyp zu ändern.
- Ein neuer Backend für das PPPoE-Protokoll wurde vorgeschlagen, der auf dem Kernmodul if_pppoe basiert und eine höhere Bandbreite beim Datentransfer über das PPPoE-Netzwerk-Interface zeigt. Dabei bleibt if_pppoe funktional zurück, da es beispielsweise kein MLPPP unterstützt. Der neue Backend ist derzeit standardmäßig deaktiviert, wird jedoch in zukünftigen Versionen den alten Backend auf Basis des MPD-Pakets ersetzen.
- Die Regeln zur Verarbeitung von Verbindungszuständen in der Firewall (State Policy) wurden geändert. Anstelle des Standardmodus Floating wird nun der Modus Interface Bound eingesetzt. Dabei wird der Verbindungszustand an das Netzwerk-Interface gebunden, und Versuche, Pakete über ein anderes Netzwerk-Interface zu übertragen, werden blockiert. Bei der Verwendung von IPsec VTI erfolgt jedoch ein Rückfall in den Modus Floating, da die Bindung an Netzwerk-Interfaces in diesem Fall Probleme verursacht.
- Ein Fail-Back-Modus für Gateways wurde implementiert, bei dem der Bindungszustand an sekundäre Gateways nach der Wiederherstellung des primären Gateways zurückgesetzt wird.
- Die erweiterten Funktionen des DHCP-Servers Kea wurden implementiert, um die Funktionalität mit ISC DHCP auf ein Niveau zu bringen. Unterstützung für die Registrierung und Aktualisierung von DNS-Einträgen für die Hostnamen von DHCP-Clients wurde hinzugefügt. Es gibt eine Implementierung der DHCPv6-Präfixdelegation. Zudem ist es nun möglich, synchronisierte Backup-DHCP-Server zur Gewährleistung einer hohen Verfügbarkeit (High Availability) zu starten, und die Konfiguration von Redundanzen wurde vereinfacht. Die Unterstützung für statische ARP-Adressen wurde hinzugefügt. Außerdem können Kea-Einstellungen, die nicht über die grafische Benutzeroberfläche abgedeckt sind, mithilfe von JSON-Format-Blocks geändert werden.
- Vollständige Unterstützung von NAT64 wurde bereitgestellt, die es Kunden mit nur IPv6-Adressen ermöglicht, auf Hosts mit IPv4 zuzugreifen.
- Die Möglichkeit, Systemvorlagen in benutzerdefinierten Firewall-Regeln zu verwenden, die zuvor nur in internen Regeln anwendbar waren, wurde hinzugefügt. Neue Vorlagen wurden eingeführt, um reservierte und spezielle Subnetze hervorzuheben.
Quelle: opennet.ru
