[Info] Informationen zum Einsatz vom pfSense

Habe jetzt pfSense 2.3 basierend auf FreeBSD 10.3-RC2 drauf.

Gab es Probleme beim Update? Nein.

Noch nicht alle Pakete aus 2.2.x sind im BETA-Stadium verhanden.
 
OMG ... jetzt ist es doch noch passiert, es gibt eine Verwundbarkeit im FreeBSD-Kernel, die sich aber glücklicherweise nur auf x64-Plattformen ausnutzen läßt, um das System zum Absturz zu bringen:

http://seclists.org/fulldisclosure/2016/Mar/56

Wer seine pfSense-Installation also auf einer "nicht-Intel"-Plattform (oder nur auf 32-Bit) betreibt, der ist aber immer noch auf der sicheren Seite, selbst wenn es immer noch keine neue Version von pfSense gibt, obwohl die Veröffentlichung auf "Full Disclosure" inzwischen immerhin schon mehr als 90 Minuten alt ist.

Aber halt mal ... da war doch noch irgendwas? :gruebel:

https://pfsense.org/hardware/

pfSense® software has the flexibility to be installed on a wide range of hardware, but it is currently supported only on the x86 architecture.

Na ... nun sollte aber schnell eine neue Version mit den FreeBSD-Patches für den Kernel auf der Basis der pfSense-Quellen auf GitHub erzeugt und damit die eigene Firewall aktualisiert werden ... jedenfalls dann, wenn man die x64-Version einsetzt.

Schließlich ist es ja genau einer der entscheidenden Vorteile, daß bei pfSense immer umgehend und zeitnah auf jedes Problem reagiert werden kann.

Aber wenigstens ist hat ja das APU1D-Board, mit dem man so eine - quasi unfehlbare - Firewall aufbauen kann, keinen AMD-Prozessor mit 64-Bit-Support: http://www.apu-board.de/produkte/apu1d.html - noch mal Glück gehabt.

Und nein ... das ist kein Beitrag gegen pfSense, sondern nur die reine Wahrheit und der Versuch, das alles mal wieder in die richtige Relation (natürlich aus meiner subjektiven Perspektive) zu bringen.

PS: Die auf FD beschriebene Lücke hat - in der Praxis - gar keine Auswirkungen auf einer Firewall, solange dort keine lokalen User beliebigen Code ausführen können (weil z.B. noch ein SSH-Login für "nicht-Admins" dort existiert) - es gibt also nicht wirklich einen Grund für ein sofortiges Update der eigenen Firewall. Mir ging es mehr um die "prinzipielle Unverwundbarkeit" ... wobei es wegen irgendeines doofen Lindenblatts ja schon ganz anderen Helden schlecht ergangen sein soll.
 
Wer sich mit pfSense oder FreeBSD nicht auskennt sollte lieber schweigen.

pfSense sagt bei mir:

2.3-BETA (amd64)
built on Wed Mar 16 05:10:46 CDT 2016
FreeBSD 10.3-RC2

Die Hardware ist immer noch APU1D. Geht ab wie Schmitz Katze.

Ist keine Werbung, nur eine Feststellung.

- - - Aktualisiert - - -

pfSense 2.3 bietet für "Client Specific Overrides" nun die Möglichkeit den Geltungsbereich gezielt auf Server zu beziehen.

Sehr lobenswert. :)

- - - Aktualisiert - - -

pfSense auf ARM? Es wurde von Nutzern angefragt. Irgendwas köchelt.

Keine Ahnung ob da bald was kommt.
 
Wer sich mit pfSense oder FreeBSD nicht auskennt sollte lieber schweigen.
Ich weiß jetzt schon, daß ich auch diese Frage bereuen werde ... gilt das eigentlich auch für andere Leute und bei anderen Themen?

Ich will das noch gar nicht auf die deutsche Sprache und Rechtschreibung/Grammatik beziehen ... selbst bei "fachlichen Fragen" wäre das unter gewissen Umständen ein recht angemessener Standpunkt, den ich sofort unterstützen würde und wenn Du mir hier zeigst, wo ich mich "nicht auskenne" mit meiner (eher nicht allzu ernst gemeinten) Kritik an der verwundbaren FreeBSD-Version, die in der "offiziellen" Release-Version von pfSense verwendet wird, dann räume ich auch jeden (über die bereits selbst angemerkten kleinen Ungenauigkeiten in der Argumentation hinausgehenden) Fehler bereitwillig ein und halte mich künftig vollkommen vom Thema "pfSense" fern (auch wenn es mir in letzter Zeit ja schon überwiegend gelungen ist, über entsprechende Beiträge einfach hinwegzulesen).

Die Feststellung, daß auf der Seite https://www.pfsense.org/download/ auch jetzt immer noch die Version 2.2.6 vom 25.12.2015 zum Download angeboten wird, die den Fix für diese Lücke im FreeBSD nicht enthalten kann, kannst Du nun mal nicht wegdiskutieren ... höchstens wieder "in den Skat drücken" (wie das Thema "Speedport als Modem und Lantiq-Code in der Firmware") und Dich anderen Themen zuwenden.

Wie seriös es ist, einen "daily snapshot" (https://snapshots.pfsense.org/) als Basis einer produktiven Firewall zu verwenden, will ich gar nicht noch einmal betonen (der wird vielleicht den Fix tatsächlich bereits enthalten, denn das war ja "coordinated disclosure") ... vielleicht gelingt es Dir ja, die pfSense-Entwickler davon zu überzeugen, daß die deutlich in rot hervorgehobene Warnung "experimental" auf der verlinkten Webseite vollkommen unnötig ist (für Dich) und doch eigentlich jeder an so einer unwichtigen Stelle wie der eigenen Firewall am besten einen solchen "daily snapshot" einsetzen sollte.

Ich hatte leider nicht die menschliche Größe, meinen ersten Impuls beim Lesen der Nachricht auf der FD-Mailingliste lange genug zu unterdrücken ... ich ärgere mich halt jetzt schon über mich selbst, aber es war eigentlich noch vor Mitternacht, als ich zur Fütterung ansetzte.
 
Wer sich mit pfSense oder FreeBSD nicht auskennt sollte lieber schweigen.

Hurraahh !!!
dann werden wir zukünftig von GG und seinen Werbe-Postings für PF-Nonsense, OpenVPN verschont ;-)
 
pfSense sagt mir jetzt:

2.3-BETA (amd64)
built on Fri Mar 18 17:12:44 CDT 2016
FreeBSD 10.3-RC3

Ein Osterei mehr nehme ich an. :):):)

Das ist keine Werbung, keine Feststellung, nur eine Vermutung.
 
Zuletzt bearbeitet:
der Hardwaresupport von BSD gegenueber z.B. Linux ist teilweise mehr als duerftig.

Oft davon betroffen ist obendrein gerade die fuer Router/Firewalls interessierende Zielhardware wie z.B. WLAN Module.

BSD kommt mir jedenfalls alleine schon deswegen nicht ins Haus:)
 
Naja, der Hardwaresupport spielt meines Erachtens eine äußerst untergeordnete Rolle bei einer Firewall.
Du hast natürlich recht, was WLAN-Hardware angeht. Da würde ich allerdings eher anders formulieren:
"BSD kommt mir jedenfalls alleine schon deswegen nicht in eine bis zu 3-Zimmerwohnung"
Im "Haus" sieht es dann schon anders aus - da ist die Plazierung des Routers/der Firewall typischerweise an einem Ort, an dem die Plazierung des WLAN AP denkbar ungünstig wäre. Keller/Kellertreppe/Abstellraum. Schon wegen des WAF. Die WLAN-APs sind dann eigene über LAN angebundene Hardware.
 
und was ist der Vorteil von BSD gegenueber Linux auf einer Firewall?
 
Das es nicht so viele Treiber gibt und daher wenigerpotentielle Schwachstellen wo Feheler sein können ;-)
Ernsthaft: Wenn jemand sowas für Linux mit den Funktionen und Komfort bereitstellen würde, her damit.
Für ein Betriebssystem entscheide ich mich jedenfalls wegen der verfügbaren Anwendungen und entscheide nicht wegen des Betriebssystems, welche Anwendungen ich nutze. Meine Desktops jedenfalls laufen eigentlich nur deshalb unter Windows, weil unter Linux noch so einige Anwenungen fehlen (MS Project, ASTA Teamplan, Tilos) die ich einfach benötige.
 
Naja, der Hardwaresupport spielt meines Erachtens eine äußerst untergeordnete Rolle bei einer Firewall.
[...]
Du hast natürlich recht, was WLAN-Hardware angeht.
WLAN-Hardware (Accesspoint) ist bei mir von 'echten' Firewalls ueberhaupt nicht unterscheidbar:

da Leute denen ich ein Gastkennwort gebe dann zwar ueber mein WLAN uneingeschraenkten Internetzugriff bekommen. Aber ueber entsprechende Regeln keinen bedingungslosen Zugriff auf das lokale Netzwerk.
 
Zuletzt bearbeitet:
Ich würde als AP auch nicht pfSense einsetzen - wäre dann etwas unhandlich.
Sinn macht für die APs dann eher VLAN als Anbindung für den Gastzugang; dann kann man das unterschiedlich behandeln, vor allem könnte man dann alles, was über Gastzugang läuft, z.B. mit pfSense via Cyberghost nach draußen routen, was das Risiko der Störerhaftung minimiert.
 
Dem Beitrag weiter oben stimme ich zu. Ohne wenn und aber. Da beißt die Maus...

- - - Aktualisiert - - -

Ich hab ja eine ALIX-Kiste rumliegen. Das Teil hat eine nicht mehr zeitgemäße Hardware (AMD Geode LX, Fast-Ethernet).

pfSense kommt da also nicht mehr drauf.

Hab mal zum Spaß FreeBSD 10.3 draufgebügelt (4GB CF-Card). Man muß ja die Anwendungen aus den Ports nicht mehr auf der Kiste übersetzen dank pkg.
Die üblichen Anpassungen (laoder.conf, ttys, fstab) und schon rennt die Kiste.

Als OpenVPN Gateway für "Tante Erna" würde es reichen. Telefonkram wäre auch möglich.
 
Zuletzt bearbeitet:
Ich frage mich, was dies mit diesem Thread zu tun hat...
Falls du meinst, dass PeterPawn sagt, dass andere Geräte existieren, dass machen viele der Helfenden hier. Nur manche machen dies dauerhaft und unpassend, sodass eine Abneigung entsteht, bei mir gegenüber Digitalisierungsboxen/be.ips, dennoch bin ich nicht der Meinung unter jeden Thread schreiben zu müssen, dass bspw. bei der FB keine SIP-ALG den Traffic verhunzt, sondern helfe dort sachlich; und sehe sie in [thread=284955]einem aktuellen Fall[/thread] als richtige Lösung.
 
Ach ich glaube mit Beitrag #56 hat gG eindrucksvoll gezeigt, dass er derzeit wohl seine eigene Hand vor seinem Auge nicht sieht... :lach:
 
Ich habe auch noch niemals bestritten, daß es Alternativen gibt (geht schon auf Seite 1 hier los) ... ich bleibe dabei/bestehe darauf, daß das keine Lösung für den normalen Haushalt ist, wo es schon mit der Frage beginnt, wie man so einen x86-Router überhaupt zusammenschraubt und wie man darauf das System zum Laufen bringt. Auf die Frage, wie man dann die IP-Telefonie an einem All-IP-Anschluß zum Laufen bringt, braucht man da noch gar nicht zu kommen ... wie einfach das am Ende bei solchen Selbstbaulösungen doch ist, wissen wir inzwischen alle und wie kompliziert es bei solchen "Consumer-Geräten" am Ende von den Herstellern gemacht wird, davon erleben wir hier alle im IPPF auch nur einen kleinen Ausschnitt der Realität.

Die Diskussion mit paco09 bei heise.de drehte sich halt immer nur im Kreis, weil er absolut darauf bestand, daß mit der neuen Firmware AVM die FRITZ!Boxen "verdongeln" würde (was schon die vollkommen falsche Wortwahl ist, weil damit eigentlich die Kombination einer Software mit einer bestimmten Hardware (z.B. in Form eines "Dongles" für den Parallel-Port oder später als USB-Device) beschrieben wird) und das ja wohl nicht sein könne.

Meine am Beginn noch freundlichen Versuche einer Erklärung (den Verweis auf die Suche bei der ersten provokativen Frage konnte ich mir dann doch nicht verkneifen, weil ich den Beitrag 4 Monate vorher noch "auf dem Schirm" hatte) und die "Angebote" für mögliche Lösungen wurden ja mehr oder weniger ignoriert und dann kam noch ein gesundes Halbwissen dazu ... da habe ich dann irgendwann auch die Geduld bzw. den Antrieb zu einer inhaltlichen Auseinandersetzung verloren - vor allem dann, wenn die eigenen Argumente vom Gegenüber ohne wirkliche Begründung als "Schwachsinn" abgetan werden, das ist (hoffentlich) nicht mein Niveau der Diskussion. Daß ich mich zu dem Angebot der Wette habe hinreißen lassen (auch das aber sofort relativiert, ich wollte mich tatsächlich nicht "produzieren", sondern bei ihm wenigstens den Ansatz einer Überlegung, ob da vielleicht doch etwas dran sein könnte, provozieren), habe ich im Nachhinein auch ein wenig bereut, selbst wenn ich das Wettangebot weiterhin aufrecht erhalten würde (damit es nicht heißt, ich würde dann doch kneifen).

Ansonsten wäre ich ja mit dem Klammerbeutel gepudert, wenn ich die Tauglichkeit anderer Geräte komplett bestreiten würde (es gibt auch in meinem Weltbild tatsächlich noch andere Gerätehersteller als nur AVM, die haben aber in D nur unwesentliche Marktanteile, auch weil sich "der Rest" eben auf mehrere Hersteller verteilt) ... aber genauso wenig, wie ich dem Handwerksbetrieb an der Ecke einen Juniper MX10 empfehlen würde, genauso wenig kann ein IT-Laie einen "Selbstbausatz" als Router brauchen. Unter einem "Laien" verstehe ich dabei ausdrücklich jemanden, der sich auch gar nicht dafür interessiert, was da in so einem Router passiert - das hat nichts mit irgendeiner Ausbildung in dieser Richtung zu tun.

Obwohl mich auch die Tatsache, daß sowohl der Koch als auch der Chirurg mit scharfen Klingen umgehen können sollten und auch der Koch wohl schon den einen oder anderen Körper (und sei es ein Fisch) "aufgemacht" hat, nicht dazu verleiten würde, mir vom Koch den Blinddarm herausoperieren zu lassen - da würde ich einem Chirurgen mit der passenden Ausbildung dann doch wieder mehr zutrauen. Es gibt also auch für mich Gebiete, wo ich von "Selbermachen" oder nur angelesenem Wissen nicht so sehr viel halte, das gilt bei allem rund um den Computer aber ausdrücklich nur dann, wenn es wirklich sicherheitskritisch wird.

Jedenfalls setze ich als "echten" Router und als Firewall ja selbst einen Mini-PC mit Linux ein ... die FRITZ!Boxen sind auch bei mir nur "Satelliten", die ihrerseits die Kommunikation weiterleiten. Daß ich das eben nicht mit einer "fertigen" Firewall wie pfSense mache, hat auch seine Gründe ... aber ich arbeite nun schon mehr als 2/3 meines Lebens in dem Bereich und ich habe mal gelernt: "Use the best tool for the job." und dazu paßt "One (size) fits all." eben gerade nicht - folgt man dieser Philosophie, muß es sowohl Einsatzfälle geben, wo ein kleines Board mit pfSense genau richtig ist als auch jede Menge andere, wo es eben total untauglich wäre. Das macht dann bei jeder passenden und unpassenden Gelegenheit die Empfehlung für ein bestimmtes Produkt (ich sage aber nicht welches, denn es ist ja keine Werbung, nur eine Feststellung) eben so unglaublich langweilig, vor allem wenn der Empfehlende offenkundig gar nicht in der Lage ist, so eine Aussage mit einem Vergleich der positiven und der negativen Punkte bezogen auf andere mögliche Lösungen zu untermauern.

Wenn man einen Apple-User fragt, warum er Apple-Geräte benutzt anstelle von Android-Mobiles und die Antwort ist: "Weil's besser aussieht ...", dann braucht man mit diesem Menschen auch nicht mehr über Funktionen zu diskutieren, denn Schönheit liegt nun mal im Auge des Betrachters und wenn das das einzige Kriterium ist, wird demnächst irgendein Model Bundeskanzlerin (die Idee für "Germany's Next Bundeskanzlerin" sollte man vielleicht schon mal zum Schutz anmelden - natürlich "gender neutral").

@grauGolz:
Ich habe auch mit dem von Dir vertretenen Standpunkt praktisch kein Problem ... auch wenn mir der Beginn hier nicht mehr ganz geläufig ist. Mich irritierte nur irgendwann Dein "Selbstgespräch" und - das gebe ich zu - zwischenzeitlich gehen einem die teilweise recht unmotivierten/unzutreffenden Kommentare dann doch mal auf die Nerven (geht ja auch nicht nur mir so) ... was mich aber wirklich stark verunsichert hat, waren komplexe vokale Tics wie z.B. hier, die mich schon an eine klinischen Befund (Echolalie) glauben ließen - besonders in Kombination mit den Symptomen von Palilalie.

Wenn dann jemand immer nur ohne Differenzierung ein und dasselbe für jeden Zweck empfiehlt (egal ob das daraus resultiert, daß er bei anderen Sachen gar keine Meinung abgibt oder daraus, daß er schlicht nichts anderes kennt), dann ruft das bei anderen Lesern schon ein leichtes Schmunzeln hervor und wohl jeder hat schon mal in einer lustigen Runde erlebt, daß alle anderen schon vorher ganz genau wußten, was jemand sagen wollte und es ihm dann im Chor quasi abgenommen wurde (so nach dem Motto "oder bei OBI").

Wenn es erst einmal so weit gekommen ist, muß man sich einfach mal überlegen, ob die eigene Einseitigkeit nicht vielleicht doch die Ursache für die Belustigung der anderen ist. Ich habe definitiv auch meine Ticks ... wenn mir so etwas passieren würde, wäre das im Chor zu hörende Wort vermutlich "Sicherheit". Aber ich lasse mich auch von meinen "Steckenpferden" nicht davon abhalten, mal links und rechts des Weges zu schauen.

Daß mir dann beim Lesen des Kernel-Errors beim FreeBSD der Schalk im Nacken saß, habe ich bereits hinreichend bereut ...
 
ich habe zwar den Sinn dieses Threads selbst nach angestrengter Suche noch immer nicht gefunden - aber ist jetzt wurscht :)

Das PC Engines apu2c4 ist jetzt raus und bei den ersten Haendlern hierzulande ab Lager erhaeltlich. Tante Google hilft.

Allerdings ist man bei PC Engines noch tüchtig am werkeln mit der APU2x.
Da werde ich doch nicht überstürzt die Katze in Sack kaufen.

In ein paar Monaten ist das Teil dann abgehangen und reif für den Kauf.

Teil ist mit der 'C' Revision genug abgehangen - dann mach' mal :)
 
Kauf ich mir das Teil APU2x? Wahrscheinlich nicht. Es gibt genug Alternativen. Tante Google hilft.

Wichtiger ist doch die darauf laufende Software für die ich keine Werbung betreibe.


Anmerkung:

FreeBSD 10.3-RELEASE soll am 26. März rausgehen. Folglich wird es mit pfSense 2.3 schätzungsweise nix mehr März.
 
Holen Sie sich 3CX - völlig kostenlos!
Verbinden Sie Ihr Team und Ihre Kunden Telefonie Livechat Videokonferenzen

Gehostet oder selbst-verwaltet. Für bis zu 10 Nutzer dauerhaft kostenlos. Keine Kreditkartendetails erforderlich. Ohne Risiko testen.

3CX
Für diese E-Mail-Adresse besteht bereits ein 3CX-Konto. Sie werden zum Kundenportal weitergeleitet, wo Sie sich anmelden oder Ihr Passwort zurücksetzen können, falls Sie dieses vergessen haben.