Update pfSense Netgate 6100

nonick

Da ich auf absolute Zuverlässigkeit angewiesen bin, aktualisiere ich die Sense normalerweise einmal im Jahr, dann ist der Umfang an Bugs schon ziemlich geschrumpft (lange Liste an System Patches). Mittlerweile haut aber auch Netgate inflationär ihre Software raus, was unweigerlich zu mehr Bugs führt, daher habe ich jetzt die Wahl zwischen 25.07.1 und 25.11.1.

Bin noch auf Version 24.11, welche Version sollte man installieren wenn folgendes zuverlässig funktionieren sollte?

pfBlockerNG (Unbound mode) Das mit der Entfernung der Virtuellen IP ist bekannt und m.M.n. völlig unprofessionell von Netgate gelöst, auch wenn das Plugin nicht von Netgate entwickelt wird.
HAProxy (viele ACLs)
IPSec
OpenVPN
Wireguard (mobile Clients, externer VPN Anbieter)
NET-SNMP
NRPE
ACME (DNS-01 challenge, Cloudflare)

Da ich mich nicht ständig mit den neuen Versionen befasse, sind irgendwelche Einschränkungen bekannt?

Bob.Dig

@nonick said in Update pfSense Netgate 6100:

Wireguard (mobile Clients, externer VPN Anbieter)

Ich nutze nur das aus deiner Liste.
Hier gab es zuletzt ein Package Update auf WireGuard pfSense-pkg-WireGuard 0.2.11_1, welches Probleme bei Tunneln beseitigte, die als Endpoint einen FQDN nutzen. Ich kann aber nicht sagen, welches pkg-WireGuard in 25.07.1 genutzt wird, bin auf der aktuellsten Version.

Ich meine von JeGr gelesen zu haben, dass es zuletzt Probleme mit manchen OpenVPN-Konfigurationen gab, müsstest Du dir ggf. raussuchen.

nonick

@Bob.Dig Hi Bob.Dig danke für die Rückmeldung und schön wieder was von dir zu hören. ;)

Wenn man das so hört hat man immer weniger Lust zum Updaten.

Bob.Dig

@nonick said in Update pfSense Netgate 6100:

Wenn man das so hört hat man immer weniger Lust zum Updaten.

Jain.
Zuletzt gab es Neuerungen wie "Endpoint-Independent Mapping for UDP connections" in Outbound NAT. Das kann deine Konnektivität zu Dritten verbessern, so was finde ich recht wichtig.
Wenn jetzt noch der Prefix-Wechsel in IPv6 gefixt würde...

nonick

@Bob.Dig said in Update pfSense Netgate 6100:

Ich meine von JeGr gelesen zu haben, dass es zuletzt Probleme mit manchen OpenVPN-Konfigurationen gab

Ich denke das es dieser Beitrag war.
DCO

So wie ich das lese betrifft das nur wenn DCO aktiviert ist, das wäre bei mir nicht der Fall.

JeGr

@nonick said in Update pfSense Netgate 6100:

Mittlerweile haut aber auch Netgate inflationär ihre Software raus, was unweigerlich zu mehr Bugs führt, daher habe ich jetzt die Wahl zwischen 25.07.1 und 25.11.1.

Also das ist eine extrem komische Meinung. Ich meine you do you, aber was hat bitte mehr Versionen mit inflationär und automatisch mehr Bugs zu tun. Das ist ja ein ziemliches Ammenmärchen. Macht man keine Updates, ist das Geschrei groß "oh mein Gott, die machen keine Updates, da passiert ja gar nichts mehr", macht man mehr ist es plötzlich "zu viele Updates, da sind ständig Bugs!?"
Wie mans macht scheints verkehrt zu sein.

Ich kann das zumindest nicht nachvollziehen. Viele Leute haben ihr ganz eigenes Fehlerbild zu dem sie zum Großteil auch selbst schuld sind. Ich für mich versteh aber das Drama nicht, ein Update zu machen was gefühlt zu 2-3min Downtime führt. UND man dazu noch Rollback durch ZFS hat. Also wo ist das Problem ein Update zu machen und wenn tatsächlich ein Problem sein sollte im Notfall ein Rollback anzustoßen?

Wenn ich mir zu den Versionen die Changelogs durchlese, begrüße ich die häufigeren Updates auf jeden Fall mehr als zu stagnieren und nur lieber nicht updaten zu wollen. Ansonsten hätten wir sicherlich weder Kea oder neuen PPPoE oder andere Komponenten am Start.
Und wenn man Plus und die Updates nicht möchte, dann wäre es wahrscheinlich sinnvoller auf CE zu bleiben, dann würde man wenigstens Patchfixes für CE zu bekommen, anstatt aktiv in alter Version offene CVEs zu haben, die in alten Versionen natürlich nicht mehr extra gefixt werden.

Cheers

nonick

Eine kurze Rückmeldung von mir, habe das Update auf Version 25.11.1 am Samstag vollzogen. Da ich noch eine Backup Netgate 6100 habe konnte ich das Risiko eingehen.

Der Update Prozess verlief ohne Fehler. Alles funktionierte hinterher nach einem umfangreichen Test reibungslos, da ich OpenVPN ohne DCO betreibe ist auch da alles in Ordnung. Bei der pfBlocker Version 3.2.14 musste ich nicht mal die Virtuellen IPs anlegen, da alles noch vorhanden war. WireGuard ist die Version 0.2.11_1 und damit gibt es auch keine Probleme.

Einen Schreck habe ich bekommen als es nach exakt 12 Stunden zu einem kurzen Ausfall der DNS Auflösung kam. Das bekommen vermutlich die wenigsten mit, mein Icinga2 Monitoring entgeht aber nichts. Die Ursache war folgende:

php-fpm /rc.newwanipv6: Removing static route for monitor 8.8.8.8 and adding a new route through pppoe0
php-fpm /rc.newwanipv6: Removing static route for monitor 2001:4860:4860::8888 and adding a new route through pppoe0
php-fpm /rc.newwanipv6: rc.newwanipv6: on (IP address: 2003:c1:e7ff:xxxx:xxxx:xxxx:xxxx:xxxx) (interface: wan) (real interface: pppoe0).
php-fpm /rc.newwanipv6: rc.newwanipv6: Info: received RENEW on pppoe0 (previous IP address: ).
php-fpm /rc.newwanipv6: rc.newwanipv6: Info: starting on pppoe0.

Danach wurden Filter neu geladen was zu diesen 10 minütigen Ausfall in der DNS Auflösung führte. Dieser Dienst läuft alle 12 Stunden, bei der darauf folgenden Ausführung gab es dann keine Probleme mehr. Das tritt nur einmal nach einen Reboot/Neustart der Sense nach 12 Stunden auf. Danach ist dann nur noch ein Eintrag im Log vorhanden.

php-fpm /rc.newwanipv6: rc.newwanipv6: Info: starting on pppoe0.

Insgesamt bin ich diesmal sehr zufrieden mit Netgate und der pfSense. Da ich schon eine recht umfangreiche Konfiguration habe, ist es schon erstaunlich das es überhaupt keine Probleme gab. Bei dem letzten Update vor einem Jahr sah das noch anders aus, da hat es mir die Sense komplett zerschossen und ich musste sie neu Installieren. Diesmal war ich dann wohl etwas zu übervorsichtig.

micneu

Jetzt bin ich aber neugierig, was das für eine Umgebung ist, die nicht offline gehen darf und trotzdem PPPoE einsetzt.
Die letzte Umgebung, die ich kannte und die nicht ausfallen durfte, war meine alte Firma - dort hatten wir allerdings keine PPPoE‑Verbindung, sondern eine Darkfiber, da durfte auch nichts offline gehen.