È stato pubblicato il rilascio della distribuzione per la creazione di firewall e gateway di rete pfSense CE 2.8.0 (Community Edition). La distribuzione è basata su FreeBSD, sfruttando i componenti del progetto m0n0wall e del filtro pacchetti pf. È stato preparato un'immagine iso per l'architettura amd64.
La gestione della distribuzione avviene tramite un'interfaccia web. Per organizzare l'accesso degli utenti a reti cablate e wireless può essere utilizzato il Captive Portal, NAT, VPN (IPsec, OpenVPN) e PPPoE. È supportata una vasta gamma di funzionalità per limitare la larghezza di banda, limitare il numero di connessioni simultanee, filtrare il traffico e creare configurazioni tolleranti ai guasti basate su CARP. Le statistiche di funzionamento vengono visualizzate sotto forma di grafici o in formato tabellare. È supportata l'autenticazione tramite un database locale di utenti, oltre che attraverso RADIUS e LDAP.
Variazioni principali:
- I componenti del sistema di base sono stati aggiornati a FreeBSD 15-CURRENT. È stata aggiornata la versione di PHP a 8.3.
- L'interfaccia utente è stata riscritta per utilizzare il servizio gratuito ACB (Automatic Configuration Backup), che consente di salvare automaticamente backup delle impostazioni nello storage cloud di Netgate (i backup vengono trasmessi in forma crittografata). È stata aggiunta la possibilità di cambiare la chiave del dispositivo utilizzata per la crittografia.
- È stato proposto un nuovo backend per il protocollo PPPoE, basato sul modulo kernel if_pppoe e che dimostra una maggiore capacità di trasmissione dei dati attraverso l'interfaccia di rete PPPoE. Tuttavia, if_pppoe presenta alcune limitazioni funzionali, ad esempio non supporta MLPPP. Attualmente, il nuovo backend è disattivato di default, ma sarà integrato nelle future versioni per sostituire il vecchio backend basato sul pacchetto MPD.
- Sono state modificate le regole di gestione degli stati delle connessioni nel firewall (State Policy). Invece della modalità Floating, per impostazione predefinita è attivata la modalità Interface Bound, in cui lo stato della connessione è legato all'interfaccia di rete e i tentativi di inviare pacchetti attraverso un'altra interfaccia di rete vengono bloccati. Quando si utilizza IPsec VTI, si torna alla modalità Floating, poiché la fissazione delle interfacce di rete può creare problemi in questo caso.
- È stata implementata la modalità Fail-Back per i gateway, in cui lo stato di associazione con i gateway secondari viene ripristinato dopo il recupero del gateway primario.
- Sono state attivate ulteriori funzionalità del server DHCP Kea, che hanno permesso di raggiungere parità funzionale con ISC DHCP. È stato aggiunto il supporto per la registrazione e l'aggiornamento delle voci DNS sui nomi host dei client DHCP. È stata implementata l'estensione DHCPv6 Prefix Delegation. È ora possibile avviare server DHCP secondari sincronizzati per garantire alta disponibilità, semplificando la configurazione delle configurazioni di failover. È stato aggiunto il supporto per indirizzi ARP statici. È stata fornita la possibilità di modificare le impostazioni di Kea non coperte dall'interfaccia grafica, utilizzando blocchi in formato JSON.
- È stato fornito un supporto completo per NAT64, consentendo ai client con soli indirizzi IPv6 di accedere agli host che utilizzano IPv4.
- È stata aggiunta la possibilità di utilizzare modelli di sistema nelle regole del firewall personalizzate, precedentemente applicabili solo alle regole interne. Sono stati aggiunti nuovi modelli per evidenziare subnet riservate e specializzate.
Fonte: opennet.ru
