Pengedaran tembok api OPNsense 26.7 telah dikeluarkan daripada projek pfSense pada tahun 2015 dengan matlamat untuk membangunkan pengedaran sumber terbuka sepenuhnya yang boleh mempunyai fungsi penyelesaian tembok api dan gerbang komersil. Tidak seperti pfSense, projek itu diletakkan sebagai tidak dikawal oleh satu syarikat, dibangunkan dengan penyertaan langsung komuniti dan mempunyai proses pembangunan yang telus sepenuhnya, serta menyediakan peluang untuk menggunakan mana-mana perkembangannya dalam produk pihak ketiga, termasuk yang komersial. Kod sumber komponen pengedaran, serta alat yang digunakan untuk pemasangan, diedarkan di bawah lesen BSD. Himpunan disediakan dalam bentuk LiveCD dan imej sistem untuk rakaman pada pemacu Denyar (490 MB).
Teras pengedaran ini adalah berdasarkan kod FreeBSD. Ciri-ciri OPNsense termasuk: rantaian alat binaan sumber terbuka sepenuhnya, sokongan untuk pemasangan sebagai pakej di atas FreeBSD biasa, alat pengimbangan beban, antara muka web untuk mengatur sambungan pengguna ke rangkaian (Captive Portal), mekanisme penjejakan keadaan sambungan (firewall stateful berdasarkan pf), sistem pengehadan lebar jalur, penapisan trafik dan penciptaan VPN berasaskan IPsec. OpenVPN dan PPTP, penyepaduan dengan LDAP dan RADIUS, sokongan DDNS (Dinamik DNS), sistem laporan visual dan graf.
Berdasarkan pengedaran, adalah mungkin untuk membuat konfigurasi toleran kesalahan berdasarkan penggunaan protokol CARP dan membenarkan untuk melancarkan, sebagai tambahan kepada firewall utama, nod sandaran, yang akan disegerakkan secara automatik pada tahap konfigurasi dan akan mengambil alih beban sekiranya berlaku kegagalan nod utama. Pentadbir ditawarkan antara muka web untuk mengkonfigurasi tembok api, dibina menggunakan rangka kerja web Bootstrap dan Phalcon MVC.
Antara perubahan:
- Peralihan kepada pangkalan kod FreeBSD 15.1 telah selesai (sebelum ini FreeBSD 14.3 telah digunakan).
- Antara muka untuk mengkonfigurasi peraturan firewall, menetapkan antara muka rangkaian (memisahkan antara LAN dan WAN) dan mengurus kumpulan get laluan telah dipindahkan untuk menggunakan rangka kerja MVC dan kini boleh diakses melalui Web API untuk mengautomasikan pengurusan konfigurasi rangkaian.
- Wizard telah menambah untuk memindahkan peraturan terjemahan alamat daripada format konfigurasi NAT Keluar lama kepada format baharu menggunakan seni bina Source NAT (SNAT).
- Sokongan untuk DDNS (Dinamik) dan peruntukan automatik awalan IPv6 (blok alamat) telah ditambah pada konfigurasi DHCP KEA.
- Sokongan IPv6 telah ditambah ke portal Captive.
- Versi yang dikemas kini OpenVPN 2.7, PHP 8.5, Python 3.13.
- Kerentanan kritikal (CVE-2026-57155, tahap keterukan 9.9 daripada 10) telah dibetulkan. Kerentanan ini membenarkan pengguna yang tidak mempunyai keistimewaan tanpa akses shell dan akses terhad kepada alias (senarai nama rangkaian dan hos) untuk melaksanakan kod dengan keistimewaan root. Kerentanan ini disebabkan oleh kekurangan pemeriksaan yang betul semasa memproses data daripada pangkalan data GeoIP yang mengaitkan negara dengan alamat IP.
Kod negara daripada pangkalan data GeoIP telah digantikan tanpa pengesahan semasa menjana nama fail yang sedang ditulis, membolehkan mana-mana fail dalam sistem ditulis ganti, kerana pengendali berjalan dengan keistimewaan root. Pengguna yang tidak mempunyai keistimewaan boleh menggunakan API Web untuk menentukan URL bagi memuat turun pangkalan data GeoIP yang diubah suai untuk alias. Untuk mendapatkan keistimewaan root, seseorang boleh menentukan "../../../../../../../../../etc/newsyslog.conf.d/zzz_pwn" dan bukannya kod negara dalam salah satu entri pangkalan data. Ini akan mencipta fail konfigurasi untuk sistem putaran log, yang boleh menentukan arahan yang dijalankan dengan keistimewaan root.
Sumber: opennet.ru
