OPNsense 23.7 mit neuem OpenVPN und IPSec

Die Entwickler der Opensource Firewall OPNsense haben heute pünktlich und wie angekündigt die neue Major Community Version OPNsense 23.7 mit dem Nickname “Restless Roadrunner” veröffentlicht. Majorupdates für die Community Version erscheinen jeweils halbjährlich.

Was ist neu bei OPNsense 23.7

Wie fleissig die Entwicklung der Firewall voranschreitet, kann man an den 88 Verbesserungen und Updates sehen, die im einzelnen in der Ankündigung des Release OPNsense 23.7 im Forum genannt werden, oder im zugehörigen Milestone im git ansehen.

Es gibt Aktualisierungen von Kernkomponenten wie z.B. von FreeBSD auf Version 13.2-RELEASE-p1 und PHP auf Version 8.2. Auch die anderen Komponenten wurden jeweils auf den aktuellen Stand gebracht. Zudem haben die Entwickler die Integration von OpenVPN und IPSec erneuert und grundlegend geändert. Der Upgradepfad dazu beinhaltet manuelle Schritte und läuft nicht automatisch. Dies sollte man vor dem Update unbedingt beachten.

Erneuerung von IPSec

Es wird empfohlen die jeweiligen IPSec-Konfigurationen von Hand zu migrieren, da dies bei dem Updates nicht automatisch gemacht werden kann. Sowohl der alte, als auch der neue Dialog für die Einrichtung sind in der neuen Version enthalten. Der alte Dialog soll aber demnächst verschwinden und bis dahin muss man die Verbindungen manuell migriert haben.

Erneuerung von OpenVPN

Bei OpenVPN werden einigen Einstellungen zu Client und Server nach dem Update nicht mehr in der GUI angezeigt. Sie sollen aber weiterhin funktionieren.

Zudem sollte man unbedingt beachten, dass das Feld “Advanced” in den “Client Specific Overrides” von OpenVPN bei OPNsense ausgebaut wurde, nach dem Update weg ist und deshalb nicht mehr funktioniert. Die Entwickler haben entsprechende Feature-Requests im Issue #6381 geschlossen und planen diese Funktion nicht wieder einzuführen. Über diese hatte ich z.B. den Benutzern feste IP-Adressen zugewiesen, um unterschiedliche Firewallregeln bauen zu können.

Wenn man bei OPNsense 23.7 feste IP-Adressen bei OpenVPN zuweisen will, muss man dies über das Feld “Tunnel Network” innerhalb der “Client Specific Overrides” machen. Dies habe ich auch bereits getestet und es funktionierte bei mir Ohne Probleme.

Positiv ist anzumerken, dass die Zwei-Faktor-Authentifizierung von OpenVPN wieder geht. Ich hatte in meinem Blog Artikel OpenVPN bei OPNsense 23.1.3 kennt keine User mehr im März berichtet, dass die Zwei-Faktor-Authentifizierung von OpenVPN nach dem Update auf Version 23.1.3 plötzlich nicht mehr geht. Dazu habe ich bei GitHub auch das Issue 6417 eröffnet. Der Patch für die Behebung des Issues ist die die Version 23.7 eingeflossen und der Fehler sollte ab dieser Version nicht mehr auftreten. Erste Tests dazu haben bei mir auch Funktioniert.

Fazit

Die Entwicklung von OPNsense geht nach wie vor mit riesigen Schritten voran und die Software bietet immer mehr ausgefeilte Funktionen. Es gibt kaum etwas was die OPNsense nicht kann. Dabei werden alte Zöpfe allerdings auch immer wieder beherzt durchgeschnitten und Funktionen ohne direkten Upgradepfad neu integriert. Die Software ist damit insbesondere für Profis gut geeignet, die wissen was sie wollen und denen manuelle und nicht direkte Upgradepfade keine Probleme bereiten. Für Anwender ohne tiefgreifendes technisches Wissen kann es bei Updates zu unerwarteten Problemen kommen. Es sollte also unbedingt an ein Backup gedacht werden, bevor ein Upgrade durchgeführt wird. Aber das ist ja sowieso immer eine gute Idee.