Ich will es nur mal los werden .... pfS 2.5

noplan

@nocling said in Ich will es nur mal los werden .... pfS 2.5:

Selber schuld, warum installiere ich auch gleich am ersten Tag statt mal 1-2 Wochen easy im Forum quer zu lesen ob das Teil brauchbar ist.

naja es macht ja (scheinbar) nur bumms in bestimmten Konstellationen
wie es @JeGr treffend beschrieben hat

die IPsec wie bei den Fritten bspw. etwas knirschend am Laufen haben

was mich hier nebenbei killt ist der "wireguard hype" aber ich glaub das ist ein Freitag Thema

noplan

@jahonix

wenn ich esrichtig verstanden hab is kommenden freitag pfs user group treffen (online)
schau vorbei is immer lustig und informativ

lgNP

JeGr

@noplan said in Ich will es nur mal los werden .... pfS 2.5:

was mich hier nebenbei killt ist der "wireguard hype" aber ich glaub das ist ein Freitag Thema

Ist erstaunlich wie jeder jetzt plötzlich WG braucht, cool findet oder nutzen will - ohne Hirn und Verstand. Hab da auch schon welche "Chef hat gehört dass da jetzt WG drin ist und will das dann bald mal testen, können sie das einrichten?" - äh klar, wenn er keine User ID, keinen Login gegen LDAP/AD und keinen Status über eingeloggte User etc. haben will? "Oh..."

noplan

@jegr

Hab da auch schon welche "Chef hat gehört dass da jetzt WG drin ist und will das dann bald mal testen, können sie das einrichten?" - äh klar, wenn er keine User ID, keinen Login gegen LDAP/AD und keinen Status über eingeloggte User etc. haben will? "Oh..."

yes yes yes ... ... ... ... hatte hier heute einige dieser Anfragen,
und mein wahnsinngier AMI hat bereits das 2te Video draußen (site2site & peers) die nächsten Tage kommen noch mehr solche Wahnwitze...

site2site rennt hier bereits über die Richtfunkstrecke ganz fein und is nützlich (glaub ich halt mal)

JeGr

@noplan Tunnel - ja. Performance gut bis toll, Rest OK'ish. Fehlender Status etc. sind IMHO unschön. In komplexeren Szenarien - CARP, Multilink - unbrauchbar da sich nicht an Interface haltend. Dann nur sinnvoll mit Routingprotokollen lösbar, aber wer will bei nem CARP Cluster plötzlich ohne Not OSPF ausrollen.

Dial-In: Gleiche Probleme bei komplexerem Setup. Bei Daheim-Nutzern kein Ding, dann schöne Performance. Für Firmen oft unnütz, da keinerlei Zustand, Status oder sonstiges anzeig oder abfragbar, kein Log, keine Diagnose, das will niemand betreuen mit Leuten die dann (zurecht) sagen "es geht net" und kein Log mitschicken (können). Keine ext. Auth, keine ID des Logins. Außer States kein Zustand. Also corporate Umfeld - außer in Tunneln wenn beide Seiten nicht CARP sind - OK. Rest blergh.

noplan

@jegr

ich hatte einen call, die waren der Meinung das sie sich durch WG anstellevon openVPN
eine anpassung nach open der Leitung / Hardware sparen würden. (das könnte durch Effizienz von WG ja durchaus argumentierbar sein)

als sie dann verstanden haben das alle features die sie jetzt mit openVPN haben weg sind war das thema erledigt

aber die Effizienz von WG in auswirkung auf Endpunkt der Leitung und bei Hardware is sicher spannend (immer ab 30 user)

NOCling

Habe zwischen meinen beiden Süßen Böxchen ja nur ein S2S aber sorry ohne Status, Logs usw. habe ich da echt kein Bock drauf. Der IPsec zur Fritz ist mir die Tage um die Ohren geflogen, weil ich hier von jemandem gelesen habe der es mit DH14 hin bekommen hat.

Sorry das Log zeigte mir dann gestern bei der Fehlersuche was anderes. Und bei IPsec siehst mal eben wo es klemmt, aber auf Glaskugel habe ich privat in der IT echt kein Bock.

Das muss ich in der Firma schon oft genug machen bei der neuen Installation x von Dienstleister y, der von Mitarbeiter z gerade aufgebaut wird der sich so gut auskennt wie e^-?...

Noch ein Grund mehr einfach entspannt in das Versönchen 2.5 rein zu warten, das wird irgendwann schon sauber laufen, bis dahin bekommt es noch Windeln und Fläschchen...

Lip

@jahonix

Wie macht man denn so einen Rollback zu 2.4.5?

Ich war leider leichtsinnig und habe auch das update eingespielt. Nun geht kein IPSec Tunnel mehr und auch ein Drucker über Airprint ist nicht mehr möglich....

NOCling

Ich hoffe du hast ein Backup vom Zeitpunkt vor dem Update, dann installierst du die Firewall mit dem 2.4.5p1 Image neu und spielst dein Backup ein.
Dann solltest du die Version noch umstellen, das er dir das Update erstmal nicht mehr anbietet, denn sonst installierst du noch Pakete die für die neue Version gedacht sind und hast wieder neue Probleme.

jahonix

@lip said in Ich will es nur mal los werden .... pfS 2.5:

Wie macht man denn so einen Rollback zu 2.4.5?

Der Term klingt besser als die Prozedur ist.
Es ist, wie NOCling geschrieben hat, eine Installation der alten Version und Einspielen der vorher gesicherten Config. Das Ergebnis ist dann hoffentlich eine wieder stabil laufende Vorversion.

jahonix

@jegr said in Ich will es nur mal los werden .... pfS 2.5:

Natürlich ist die Wahrnehmung wenn man direkt betroffen ist anders und dann ist gern mal alles scheiße. Been there, done that, have the T-Shirt.

Ich bin erst 1,5j in dieser Firma, habe die jetzige Variante mit einem Tunnel zwischen den Standorten ins Spiel gebracht und mich dann auch für pfSense stark gemacht. Konfiguriert hat es jedoch ein Admin von der Gegenstelle und ich hab's auf "meiner" Seite nur installiert.
Dafür, dass vorher jeder MA von seinem Rechner einen eigenen Tunnel zum RAS im HQ aufgebaut hat, der uns in schöner Regelmäßigkeit um die Ohren geflogen ist, war das schon eine gute Neuerung. So gut, dass von allen ganz vergessen wurde, wie unzuverlässig das vorher war.

Und dann komme ich und installiere auf einem Produktivsystem das Update, das einen standard IPsec Tunnel zwischen 2 pfS gelegentlich killt und das Log mit Müll zukleistert. Ganz toll!

Am meisten ärgere ich mich zwar über mich selbst, schon richtig.
Doch handelt es sich bei unseren Systemen nur um 2 Standard pfS mit einem Transittunnel dazwischen. Wirklich gerade und nix verbogen. Und dann bricht der Mist immer "irgendwann" zusammen, nachdem Reboot, Aufbau und Re-keying beobachteter Weise mehrfach funktioniert haben. Und von den leidgeprüften Kollegen höre ich dann sowas wie "warum läuft bei uns der Mist eigentlich nie?" weil sie sich noch an die alten Zeiten erinnern und die letzten 6 ruhigen Monate durch die Problemstille natürlich komplett ausblenden.

jahonix

@noplan said in Ich will es nur mal los werden .... pfS 2.5:

@jahonix

wenn ich es richtig verstanden hab is kommenden freitag pfs user group treffen (online)
schau vorbei is immer lustig und informativ

Jens, kannst Du mir mal bitte Infos schicken, speziell zur Uhrzeit? Von 19h00 bis 20h30 habe ich allerdings online Sport-Training, da fehle ich ungern. Außerhalb der Zeit könnte es klappen.

NOCling

Tja, da musst jetzt durch.
User halt, wenns läuft wird gemeckert und wenn es nicht läuft wird die böse IT verflucht.
Da merkst gleich wie gut es uns doch allen geht, wenn wir uns darüber so aufregen können.

Sorry musste sein, haben letztes Jahr einen jungen Kollegen verloren, noch am Freitag mit telefoniert und dann war er krankgeschrieben und 1-2 Wochen später kam die Mail.

Habe den Fehler hier (jedoch private Installation) auch gemacht und das einfach so installiert.
Aber bei so großen Änderungen sollte man eine Woche wart und im Forum nach lesen, bevor man den Knopf drückt.
Die hier gelisteten Patche kannst noch mal versuchen.

https://forum.netgate.com/topic/161523/pfsense-2-5-to-pfsense-2-5-ipsec-tunnel-fails-to-connect

Aber jetzt kannst du ggf. dem Chef erklären warum du eine Testinstallation zum spielen brauchst.

Und die User Group kannst kaum übersehen.
Nächstes Treffen: 1614960000

noplan

@nocling said in Ich will es nur mal los werden .... pfS 2.5:

Und die User Group kannst kaum übersehen.
Nächstes Treffen: 1614960000

für die die sich weigern timestamps on the fly auszurechnen hier der Link ;)

https://www.unixtimestamp.com/index.php

JeGr

@nocling said in Ich will es nur mal los werden .... pfS 2.5:

Habe zwischen meinen beiden Süßen Böxchen ja nur ein S2S aber sorry ohne Status, Logs usw. habe ich da echt kein Bock drauf. Der IPsec zur Fritz ist mir die Tage um die Ohren geflogen, weil ich hier von jemandem gelesen habe der es mit DH14 hin bekommen hat.

hatte ich auch gelesen und mich gewundert.

Ich war leider leichtsinnig und habe auch das update eingespielt. Nun geht kein IPSec Tunnel mehr und auch ein Drucker über Airprint ist nicht mehr möglich....

alle IPSec Patches einfach mal eingespielt ob es dann läuft?
Ansonsten Neuinstallation mit Config Recovery/Restore von 2.4.5-p1. Ist ja alles in 10min erledigt.

Jens, kannst Du mir mal bitte Infos schicken, speziell zur Uhrzeit? Von 19h00 bis 20h30 habe ich allerdings online Sport-Training, da fehle ich ungern. Außerhalb der Zeit könnte es klappen.

Ist doch alles dick im Forum überall drangeschrieben?

jahonix

@jegr said in Ich will es nur mal los werden .... pfS 2.5:

Ist doch alles dick im Forum überall drangeschrieben?

...habe ich jetzt auch gefunden ... sorry for the mess.

noplan

@jahonix

mach dir nix draus ... ich hab vom @JeGr ein eigenes script bekommen für die Termine
#justsaying .....