Die Veröffentlichung der Distribution zur Erstellung von Firewalls und Netzwerkgateways pfSense CE 2.8.0 (Community Edition) wurde bekanntgegeben. Die Distribution basiert auf dem FreeBSD-Code und nutzt Ergebnisse des m0n0wall-Projekts sowie des Paketfilters pf. Ein ISO-Image für die amd64-Architektur wurde zum Download bereitgestellt.
Das Management der Distribution erfolgt über eine Weboberfläche. Um den Benutzern den Zugang zu kabelgebundenen und kabellosen Netzwerken zu ermöglichen, kann das Captive Portal, NAT, verwendet werden. VPN (IPsec, OpenVPN) und PPPoE. Es wird eine breite Palette an Funktionen zur Drosselung der Bandbreite, Begrenzung der Anzahl gleichzeitiger Verbindungen, Traffic-Filterung und Erstellung von ausfallsicheren Konfigurationen auf Basis von CARP unterstützt. Die Statistiken werden in Form von Diagrammen oder tabellarisch angezeigt. Die Authentifizierung erfolgt über eine lokale Benutzerdatenbank sowie über RADIUS und LDAP.
Hauptänderungen:
- Die Komponenten des Basissystems wurden auf FreeBSD 15-CURRENT aktualisiert. Auch die PHP-Version 8.3 wurde aktualisiert.
- Die Benutzeroberfläche wurde überarbeitet, um den kostenlosen Dienst ACB (Automatic Configuration Backup) zu nutzen, der automatisch Sicherungskopien der Konfigurationseinstellungen in der Netgate-Cloud speichert (diese Sicherungskopien werden in verschlüsselter Form übertragen). Es wurde die Möglichkeit hinzugefügt, den für die Verschlüsselung verwendeten Geräteschlüssel zu ändern.
- Ein neuer Backend für das PPPoE-Protokoll wurde vorgeschlagen, basierend auf dem Kernel-Modul if_pppoe und zeigt eine höhere Bandbreite bei der Datenübertragung über die PPPoE-Netzwerkschnittstelle. Dabei ist if_pppoe in der Funktionalität eingeschränkt, da es beispielsweise MLPPP nicht unterstützt. Der neue Backend ist derzeit standardmäßig deaktiviert, wird jedoch in zukünftigen Versionen den alten Backend auf Basis des MPD-Pakets ersetzen.
- Die Regeln zur Verarbeitung von Verbindungszuständen in der Firewall (State Policy) wurden geändert. Anstelle des Standardmodus "Floating" wird jetzt der Modus "Interface Bound" verwendet, bei dem der Verbindungszustand an die Netzwerkschnittstelle gebunden ist und der Versuch, Pakete über eine andere Netzwerkschnittstelle zu senden, blockiert wird. Bei Verwendung von IPsec VTI erfolgt ein Rückfall in den Modus "Floating", da die Bindung an Netzwerkschnittstellen in diesem Fall Probleme verursacht.
- Der Fail-Back-Modus für Gateways wurde implementiert, bei dem der Zustand der Bindung an sekundäre Gateways nach der Wiederherstellung des primären Gateways zurückgesetzt wird.
- Die zusätzlichen Funktionen des DHCP-Servers Kea wurden aktiviert, um eine Gleichwertigkeit in der Funktionalität mit ISC DHCP zu erreichen. Die Unterstützung für die Registrierung und Aktualisierung von DNS-Einträgen zu den Hostnamen von DHCP-Clients wurde hinzugefügt. Es wurde eine Erweiterung zur DHCPv6-Präfixdelegation implementiert. Es gibt jetzt die Möglichkeit, synchronisierte Backup-DHCP-Server zu starten, um hohe Verfügbarkeit (High Availability) zu gewährleisten, und die Konfigurationen für Ausfallsicherheit wurden vereinfacht. Die Unterstützung für statische ARP-Adressen wurde hinzugefügt. Es wurde die Möglichkeit geschaffen, Kea-Einstellungen zu ändern, die nicht über die grafische Benutzeroberfläche abgedeckt sind, unter Verwendung von Blöcken im JSON-Format.
- Es wird vollständige Unterstützung für NAT64 bereitgestellt, die es Clients mit nur IPv6-Adressen ermöglicht, auf Hosts zuzugreifen, die IPv4 verwenden.
- Die Möglichkeit, systemweite Vorlagen in benutzerdefinierten Firewall-Regeln zu verwenden, wurde hinzugefügt, die zuvor nur in internen Regeln verwendet werden konnten. Neue Vorlagen wurden hinzugefügt, um reservierte und spezialisierte Subnetze zu kennzeichnen.
Quelle: opennet.ru
