Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration

the other

Moinsen,
eine kurze Rückfrage:
bei den letzten Updates habe ich (als Anfänger und Faultier) nicht das System komplett neuinstalliert, sondern eben "nur" geupdated (Denglish for ever). ;)

Bislang ist mir auch an keiner Stelle etwas Negatives danach aufgefallen...
Aktuell ist hier alles unter ZFS bis auf (hehe) /var/run welches als UFS RAM angegeben wird. Hardware: APU 2 mit 4 GB RAM.

Der Thread hier (bzw. der nette Hinweis von @bingo600 ) zeigt da ja in eine etwas andere Richtung. Daher kurze Frage an die hardcore User / Profis hier...lieber vollständig neu aufsetzen??
(ja, ich weiß Kaffesatz und Glaskugeln, aber so als generelle Einschätzung und natürlich ohne Garantie und Gewähr).
Lieben Dank für eure Meinungen und Input!
Grüßle
the other

JeGr

@bingo600 said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

Remember the ZFS layout changed drastically from 2.4.x to 2.5.2 , requiring a total reinstall w format.

That's already planned as a full installation with config recovery so no biggy. It's not only an upgrade but also a hardware switch. As for 2.6 - yes, I'd run a new install for that.

@slu said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

Das gilt jedoch für die pfsense+ und nicht für die CE oder hat sich bei der CE die Lizenz geändert? 129$/y ist aber völlig ok, so nach und nach werden wir da wohl drauf wechseln.

Steht doch auch überall pfSense+ dran Natürlich gilt das nur für die Plus, es geht ja um Migration von CE auf Plus. Der Pfad war ja bislang non-Netgate-Hardware nicht möglich, jetzt ist er es aber eben an eine TAC-lite Lizenz gekoppelt, die im ersten halben Jahr bis Jahr wohl kostenlos bleibt.

@slu said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

Was mir aus der Übersicht nicht ganz klar ist, bekommt meine SG-1100 jetzt automatisch diese Lizenz oder muss ich mir die noch beschaffen?

Steht dran mit (4): alle Netgate eigene Hardware läuft immer und automatisch auf Plus und hat die Lizenz schon automatisch drin solange sie in Ihrem Lifecycle ist. -> https://www.netgate.com/support/product-lifecycle

Danach - keine Ahnung, aber die alten SGs sind auch länger als ihr Product Lifecycle bislang mit Updates bespaßt worden. Keine Ahnung aber wie und ob das zukünftig dann auch so ist. Irgendwann muss man ja auch mal nen Cut machen und alte Hardware weglassen, sonst kommst du mit dem Produkt ja nie aus der Update-Dependency-Hölle raus ;)

@the-other said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

bei den letzten Updates habe ich (als Anfänger und Faultier) nicht das System komplett neuinstalliert, sondern eben "nur" geupdated (Denglish for ever). ;)

Warum faul das ist ja die ganz normale Vorgehensweise.

@the-other said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

Aktuell ist hier alles unter ZFS bis auf (hehe) /var/run welches als UFS RAM angegeben wird. Hardware: APU 2 mit 4 GB RAM.

RAMdisk ist immer UFS, das ist ein Anzeige"fehler" bzw. liegt an der Ramdisk. Spielt ja auch keine Rolle.

@the-other said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

Der Thread hier (bzw. der nette Hinweis von @bingo600 ) zeigt da ja in eine etwas andere Richtung. Daher kurze Frage an die hardcore User / Profis hier...lieber vollständig neu aufsetzen??

Wenn du 2.6 installierst - und ggf. erst nächste oder übernächste Woche um es etwas sacken zu lassen - dann wäre es keine schlechte Idee ne Upgrade Installation zu machen. Also USB holen, von Stick booten, Config Recovery auslösen, Installation mit Auto ZFS und nach Neubooten (hoffentlich) Spaß haben.

Machen wir bei größeren Updatesprüngen inzwischen schon automatisch, da bei der Neuinstallation so gut wie NIE was schiefgeht (frische Installation) und wenn man vorher die Config Recovery durchführt, dann ist das nach dem first boot tiefenentspannt, weil die Kiste gleich vorkonfiguriert wieder hochfährt, ihre ganzen Packages etc. nachlädt und danach eigentlich ready ist.

the other

@jegr
Moinsen,
herzlichen Dank für deine schnelle und (mal wieder) sehr hilfreiche Antwort!
Ja, ich werde definitiv noch etwas Zeit vergehen lassen.
Habe hier zwar den Vorteil, dass ich lediglich Hobbykelleradmin bin (aka da hängt nur Blut und Schweiß und Tränen im Netzwerk, kein böser Chef), aber nach den berichteten Problemen nach Update auf 2.5.2 warte ich lieber mal ab (auch wenn die pfsense hier zum Glück von Tag 1 an problemlos am Laufen ist inklusive der Pakete).

JeGr

@the-other Naja die Probleme waren eher in 2.5.0 und .1.
2.5.2 war eigentlich ein recht solides Release, von dem VPN issue mal abgesehen, der mir noch etwas Kopfzerbrechen macht. Ich hoffe ich kann das mal für 2.6 nachstellen und sehen ob es immer noch ein Thema ist.

the other

@jegr
Moinsen,
ja, Zahlensalat... :)

Auch bzgl. openVPN hatte und habe ich hier keine Probleme selber gehabt, lediglich gelesen.

Dann werde ich also:
die nächsten Wochen mal das Update auf den Stick packen,
das olle Serial Kabel-2-USB suchen,
und dann neu installieren
um danach die ConfigRecovery als .xml draufspielen.

Musste ich auch bisher noch nie machen, mal schauen...
Jedenfalls danke für Euren Support hier!!

edit: aahhhh...okay, eben erst gelesen, dass das bereits im Installationsprozess angestoßen werden kann (wie gesagt, nie machen müssen, wieder was gelernt).

Bob.Dig

Hab schon auf die + geupgraded und bis jetzt läufts.

Gleich als erstes das OpenVPN Client Import Package installiert.

JeGr

@the-other said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

und dann neu installieren
um danach die ConfigRecovery als .xml draufspielen.

Musst du gar nicht. Wie gesagt bei der Installation direkt auf der Konsole hast du zur Auswahl "Auto ZFS", "Auto UFS" und "Config Recovery" plus Debugging Punkte. Da wählt man einmal Recovery, sagt ihm was das SSD/eMMC/Storage Device war/ist (Console zeigt ne Auswahl die erkannt wird), dann mountet er den Kram und holt sich die config auf ne TempDisk. Sobald dann die Formatierung und Neuinstallation fertig ist, holt er sich die Config zurück von der Tempdisk, finalisiert und startet neu.

BÄM. Profit ;)

bingo600

@jegr said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

RAMdisk ist immer UFS, das ist ein Anzeige"fehler" bzw. liegt an der Ramdisk. Spielt ja auch keine Rolle.

He..He

From the new Rel. Note.
https://www.netgate.com/blog/pfsense-plus-software-version-22.01-and-ce-2.6.0-are-now-available

RAM disks have been converted to tmpfs

JeGr

@bingo600 Jup that's why I said error in "quotes" as it's originally tmpfs but simply a display error. I saw the commit when the ZFS changes dropped :)

Beerman

... ein paar "blöde" Fragen zu pfsense plus.

Was sind die Vorteile von pfsense plus zu pfsense CE? Gibt es (schon) Unterschiede bei den Features?
Ich vermute man braucht für jede Instanz eine Key? (Speziell jetzt Home/Lab). Ist die Anzahl, welche man bekommen kann, irgendwie begrenzt? (Hätte mom. 3, bzw. 2 sind im HA)
Gibt es irgendwelche Beschränkungen bei Home/Lab? Bzw. ist bekannt, ob in der Richtung irgendwas geplant ist?
Die Zusatzpakete sind die gleichen? PfblockerNG usw.?
Migration von CE nach Plus generell zu empfehlen? Gibt es schon Erfhrung ob das Upagrade von CE nach Plus problemlos funktioniert (via GUI)?

Danke! :)

(2.6 Release läuft bei mir bisher völlig problemlos, hatte auch schon die 2.6-RC installiert und hatte nur ein Issue mit pfblockerNG. Dazu gibt es aber schon ein FIX, bzw. wird bestimmt bald eine Version geben)

Bob.Dig

@beerman said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

... ein paar "blöde" Fragen zu pfsense plus.

Was sind die Vorteile von pfsense plus zu pfsense CE? Gibt es (schon) Unterschiede bei den Features?

Wie ich oben schon schrieb, es gibt einen OpenVPN Client Importer, der nachzuinstallieren ist. Der ist auch ganz nett, aber Outbound NAT muss man, sofern gewünscht, leider noch selbst einrichten. Ich denke in Zukunft wird aber das meiste an neuen Features in der Plus landen.

NOCling

Hier läuft die + ja schon auf den beiden Appliances.
Heute habe ich dann für die Test VM eine Lab Version geordert. Kam innerhalb von Sekunden, Key rein, registriert und schon konnte ich das Upgrade 2.6 auf 22.01 starten.
Das läuft.

mrsunfire

Wenn man jetzt anfängt die Plus und die Normale Version so zu unterscheiden, ist das genau der falsche Weg. Für mich absolut unverständlich. Service, Support, kommerzielle Nutzung in der Plus, ok. Aber Feature sollten dort bleiben wo sie waren und was pfSense zu dem gemacht hat was es heute ist.

bingo600

I guess Plus will have more features , going forward.

Ie. See here
https://forum.netgate.com/topic/169833/can-pfsense-utilize-client-certs-for-authentication-with-ldap-server

nonick

Außer das man sich für die pfSense+ (Home or Lab) Version registrieren muss, macht es eigentlich keinen Sinn bei der 2.6 CE Version zu bleiben.

Seht ihr das auch so? Gibt es sonst irgendwelche Nachteile?

JeGr

@beerman said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

Was sind die Vorteile von pfsense plus zu pfsense CE? Gibt es (schon) Unterschiede bei den Features?

Aktuell recht wenig außer ein paar vereinzelten Packages die wenig Mehrwert bringen wenn man die Technik halbwegs beherrscht. Ansonsten können sie hilfreich sein um IPsec oder OpenVPN Verbindungen einzurichten. Sonst gibt es noch keinen wirklichen Punkt außer dem rapideren Updatezyklus. Ob der gut oder schlecht ist, muss man für sich sehen. Wir hatten jetzt auch keinen großen Mehrwert ob Plus mit 21.02, 21.05 und dann der geskippten 21.09 bis zur 2.6 jetzt.

@beerman said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

Ich vermute man braucht für jede Instanz eine Key? (Speziell jetzt Home/Lab). Ist die Anzahl, welche man bekommen kann, irgendwie begrenzt? (Hätte mom. 3, bzw. 2 sind im HA)

Da die Tokenvergabe an der Netgate ID (Hash) hängt der Instanz, ja.

@beerman said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

Gibt es irgendwelche Beschränkungen bei Home/Lab? Bzw. ist bekannt, ob in der Richtung irgendwas geplant ist?

Inwiefern Beschränkung? Features? Nein da ist nichts geplant und wurde im Vorfeld auch so kommuniziert, dass es keine geben soll. Ist BTW das gleiche Prozedere/Vorgehen wie bei ihrem anderen Produkt TNSR ebenfalls. Home/Lab erhalten nach Registrierung ein Token und können es dann frei einsetzen. Einziges Hindernis bei TNSR war/ist, dass die Version keine inplace Updates macht, man daher eine neue Version quasi "neu installieren" muss. Würde in dem Fall aber bei pfSense keinen Sinn machen, da mit config.xml selbst eine Neuinstallation mit Config Recovery ein Upgrade wäre.

@beerman said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

Die Zusatzpakete sind die gleichen? PfblockerNG usw.?

siehe oben, es sind aktuell alles die selben Pakete.

@beerman said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

Migration von CE nach Plus generell zu empfehlen? Gibt es schon Erfhrung ob das Upagrade von CE nach Plus problemlos funktioniert (via GUI)?

Dazu kann ich noch nichts sagen, aber einige haben das wohl schon problemlos durchgespielt.

@mrsunfire said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

Wenn man jetzt anfängt die Plus und die Normale Version so zu unterscheiden, ist das genau der falsche Weg. Für mich absolut unverständlich. Service, Support, kommerzielle Nutzung in der Plus, ok. Aber Feature sollten dort bleiben wo sie waren und was pfSense zu dem gemacht hat was es heute ist.

Dann hast du aber ein Jahr lang die News gut übersprungen, oder? Es wurde mit Einführung der Plus ja ganz klar definiert, dass die Plus dann den Rapid-Development Tree bekommen wird weil man sich dort primär um die eigene Hardware kümmert und die CE dann ähnlich wie jetzt auch updaten möchte. Dass die Plus zusätzliche Features gerade für Enterprise bekommen soll, wenn sie dafür ne Lizenz verlangen ist nun auch nichts Verwerfliches. Das machen andere wie Proxmox, RedHat und Co genauso.

Natürlich kann und darf man jetzt skeptisch sein wie die Versionen dauerhaft dann laufen werden, aber das muss sich eben jetzt zeigen. Im Gegensatz zum Urpsrungsplan ist da alles schon mind. 6 Monate verschoben (es war 2.6/das Update mal für 21.09 geplant) und jetzt muss man sehen wo die Reise hingeht.
Allerdings trotz aller Unkenrufe muss man auch sagen, dass bis - Stand heute - das Ganze eher aktuell dazu geführt hat, dass es in einem Jahr bereits mehr Updates gab als in 2 Jahren davor. Trotz Plus mit 3 Updates, gab es ebenfalls nach 2.5.0 die .1 und .2 für Bugfixes und nun bereits knapp ein Jahr später die 2.6. Zwar ohne "riesige" neue Features, aber das verwundert jetzt bei der Geschwindigkeit auch nicht. Und der 2.7 Branch ist ebenfalls schon am Laufen. Vom bisherigen Standpunkt gemessen an den Updates ist das also momentan für keine der beiden Versionen wirklich schlecht.

Wie es dann weitergeht muss die Zeit und wie es mit Bugfixes & Features weiter geht.

Cheers

Bob.Dig

Hmm, bei mir macht meine Upgrade-Installation auf Hyper-V gerade Probleme, wenn ich bei mir auf eine SMB-Freigabe in einem anderen VLAN zugreifen will.

Da allerdings auch mein Switch erst letztens ein Update bekommen hatte und letzte Woche Patchday war, bin ich mir nicht ganz so sicher. Werde wohl ein Backup zurück spielen müssen.

Veeam Backup zurück gespielt und es läuft wieder, wie es soll. Keine Ahnung, ob das nun was Hyper-V spezifisches ist.

Gladius

@jegr said in Heads-Up: Update-Pfad einstellen / 2.6 Release / Plus Migration:

Wenn du 2.6 installierst - und ggf. erst nächste oder übernächste Woche um es etwas sacken zu lassen - dann wäre es keine schlechte Idee ne Upgrade Installation zu machen. Also USB holen, von Stick booten, Config Recovery auslösen, Installation mit Auto ZFS und nach Neubooten (hoffentlich) Spaß haben.

Test- und Notfallsystem

pfSense 2.6 CE habe ich zu Testzwecken mal auf einer APU1 installiert. Bin so vorgegangen wie oben beschrieben. Das neue Layout für ZFS wird angelegt.
Die Pakete HAProxy und pfBlockerNG laufen. Mehr brauche ich nicht.
Die OpenVPN Tunnel funktionieren.

Mit der Installation auf der regulären Hardware warte ich noch ein paar Tage. Werde auch dort kein Update aus der GUI oder der Shell ausführen, sondern wie mit der APU1 verfahren.

JeGr

@gladius Ich mache die Updates meist direkt auf Console oder via SSH und bei größeren Sprüngen per Installation. Nur über Browser eigentlich kaum noch.

the other

Moinsen,
so. Update via Neuinstallation und conifg.xml einspielen hat gut funktioniert. Im Nachgang mussten:

die Paketquellen angepasst werden, um verfügbare Pakete anzeigen zu lassen
die Listen für pfblockerNG_dev neu eingelesen werden
FreeRadius musste neuinstalliert werden, danach erfolgte das Starten desselben via console, da via GUI kein Start erfolgte (merhfach versucht, keine Ahnung warum, läuft jetzt aber)...die KOnfiguration blieb dabei aber erhalten
alle bis auf eine Firewallregel wurden aus der config.xml übernommen, lediglich das Erlauben von DNS Anfragen für unbound musste neu angelegt werden.

Alles andere funktionierte sofort ohne weiteres Zutun.
Bisher läuft es seit 16 Stunden problemlos durch, alle Aliase, IPv4 und v6 Einstellungen am Start, openVPN problemlos.
Danke für die Arbeit...
:)

Grüßle
the other