Tee-se-itse: Rautapalomuurit (pfSense, Sophos UTM..) (Mitä käytätte ja miksi juuri se vaihtoehto?)

Ogeli sanoi:
Mulla jäi säädöt vaiheeseen mutta miten tuo /56 vaihdetaan /64?
Napsauta laajentaaksesi...
Ei mitenkään, se olisi yhden narun keinu.

"Assigning a /64 or longer prefix does not conform to IPv6 standards and will break functionality in customer LANs. With a single /64, the end customer CPE will have just one possible network on the LAN side and it will not be possible to subnet, assign VLANs, alternative SSIDs, or have several chained routers in the same customer network, etc." Best Current Operational Practice for Operators: IPv6 prefix assignment for end-users - persistent vs non-persistent, and what size to choose

Tässä esim. tuoretta vänkäämistä pfSense-foorumilta What If ISP can only provide a /64

Yhdellä /64:llä ei pysty tekemään reititintä, koska IPv6-speksit ovat tiellä.
 
Kai sen sisäverkon voisi tuon /64 kanssa tehdä niin että kaikki saisivat /128 osoitteen ja liikenne kulkisi aina reitittimen kautta? Kömpelö systeemi tietysti, mutta eikö tuo teknisesti pitäisi olla mahdollista?
 
Pakana sanoi:
Kai sen sisäverkon voisi tuon /64 kanssa tehdä niin että kaikki saisivat /128 osoitteen ja liikenne kulkisi aina reitittimen kautta? Kömpelö systeemi tietysti, mutta eikö tuo teknisesti pitäisi olla mahdollista?
Napsauta laajentaaksesi...
Tuosta ylhäältä:
mikajh sanoi:
With a single /64, the end customer CPE will have just one possible network on the LAN side and it will not be possible to subnet, assign VLANs, alternative SSIDs, or have several chained routers in the same customer network, etc
Napsauta laajentaaksesi...
 
Pakana sanoi:
...ja liikenne kulkisi aina reitittimen kautta?
Napsauta laajentaaksesi...
Ei siinä ole muuta ongelmaa kuin tehdä se reititin. Varsinkin jos yksi palikka siihen on closed source mokkula, johon operaattori jakelee sen /64 -prefiksin. Nehän käyttää sisäisesti link local osoitetta mokkulan ja verkon välissä, jolloin se yksi /64 jää LANiin ja on siinä kontekstissa ihan riittävä.
Mutta kun haluat oikean reitittimen siihen mokkulan perään (esim. pfSense OPNsense tms), niin tulee aika massiivisia ongelmia
 
Siis, oletuksena että sen /64 subnetin saa omalle "oikealle" reitittimelle, eikä jollekin mokkulalle.
samim sanoi:
Tuosta ylhäältä:
Napsauta laajentaaksesi...
Nyt jompi kumpi meistä ei ymmärrä. :hmm:

/128 osoitehan ei ole varsinainen subnet, vaan yksittäinen osoite, ilman subnettiä, vai olenko mä nyt tajunnut jotain väärin?
 
Pakana sanoi:
Siis, oletuksena että sen /64 subnetin saa omalle "oikealle" reitittimelle
Napsauta laajentaaksesi...
Niin no se ei vielä riitä. Yksi interface vie sen yhden /64:n. Reitittimessä ei voi olla kahta interfacea samalla /64 prefiksillä, ja yhdellä interfacella ei voi reitittää IPv6:sta.
 
mikajh sanoi:
Niin no se ei vielä riitä. Yksi interface vie sen yhden /64:n. Reitittimessä ei voi olla kahta interfacea samalla /64 prefiksillä, ja yhdellä interfacella ei voi reitittää IPv6:sta.
Napsauta laajentaaksesi...
Okei, alkaahan se vähitellen uppoamaan paksumpaankin kalloon.

Sinänsä hölmöä ettei sitä osasubnettiä ole mahdollista käyttää ipv6:ssa kuten ipv4:n /25 ja pienemmät subit.

E: vai onko mahdollsita pakottaa esim /65 subnet?
 
Viimeksi muokattu:
Autoconfig toimii vain /64 etkä voi muuttaa asetuksia operaattorin päästä. Käsittääkseni toi on tehty sen takia, ettei internet reititystaulut turpoa ihan mahdottoman kokoisiksi pienen pienistä prefixeistä. IPv4 oli joskus hyvin kauan sitten myös pelkästään tietyillä kiinteillä maskeilla, muuttuvat maskin pituudet tulivat hillitsemään osoitteiden loppumista.

Prefix translation eli tavallaan NAT lienee ainoa vaihtoehto, jos operaattori antaa vain /64 prefixin ja haluaa PfSensen väliin Network Address Translation — IPv6 Network Prefix Translation (NPt) | pfSense Documentation
 
Obi-Lan sanoi:
Prefix translation ... lienee ainoa vaihtoehto, jos operaattori antaa vain /64 prefixin ja haluaa PfSensen väliin
Napsauta laajentaaksesi...
Tuota käytin aiemmin kahden IPv6-tunnelin kanssa (Multi-WAN) ja siinähän se toimi ihan ok.

Mokkulan natiivin /64:n kanssa tulee heti pari ongelmaa: 1) dynaaminen prefix ja 2) NDP
1:n ansiosta IPv6 hajoaa heti, kun mokkulan IP vaihtuu. On tietysti eroja, tapahtuuko näin monta kertaa päivässä vai alle kerta vuodessa
2:n takia mokkulasta vastaukset eivät tule takaisin, koska se ei tiedä, mistä lokaalista osoitteesta (neighbor solicitation) alkaa tulla paketteja
 
Taas nähdään miten "mahtava" on PfSensen kehitystapa.
Kehittäjät on jo menossa versiossa 23.09, niin korjaukset tehdään siihen eikä 23.05.
Siksi he työntävät 23.09 versioon tehtyjä yksittäisiä korjauksia backportattuna 23.05 ja tämän vuoksi 23.05:sta julkaistaan uusi RC versio melkein joka päivä.
23.05 versiota ei ole vielä julkaistu, osa korjauksista kohdistuu toki FreeBSD ports osiin.
1684726261050.png
 
Ei löytynyt mitään tiedotetta, mutta pfSense 23.05 on ollut aamusta lähtien tarjolla.

1684846998703.png


Täytyy odotella vielä..
 
Viimeksi muokattu:
Viimeksi muokattu:
Pistin tuon IPsec-MB Crypto päälle. Vaati bootin.

1684855062518.png

1684855137615.png


Täytyy jossain vaiheessa tutkia tuota tarkemmin.

Edit: Tuo IPsec-MB Crypto on myös Netgate 1100 laitteessa (ARM).
1684856417389.png
 
Viimeksi muokattu:
user9999 sanoi:
Pistin tuon IPsec-MB Crypto päälle. Vaati bootin.
Napsauta laajentaaksesi...
Aiemmin kokeilin, en muista enää oliko OpenVPN ei ainakaan tuonu miitään lisää vai lakkasiko ihan toimimasta.
Voisi varmaan testata uudelleen onko erilainen toiminta.


Jotain erikoista Netgate juonii tulevalle. Tähän asti ne on tuonu päivitystiedostot yleisen palvelimen kautta jaettavana, näitä on useita.
Ainakaan vielä tiedostoja ei ole, vähän epäilen onko menossa maksumuurin taakse.

Päivitysosoitteita, näitä ei siis tarvitse normaalisti, vain jos haluaa kaivella enemmän.
Jos joku tietää tavan jolla 23.05 päivityspalvelimelle pääsee, olisin kiinnostunu.

CE ISO peilejä
https://atxfiles.netgate.com/mirror/downloads/
https://frafiles.netgate.com/mirror/downloads/

CE päivityksiä (ei 2.7)
https://files00.netgate.com
https://files01.netgate.com

Plus päivitysosoitteita
208.123.73.207/pkg/
208.123.73.209/pkg/

pfsense-plus-pkg-beta.netgate.com/pkg/

pfsense-plus-pkg01.atx.netgate.com/pkg/
pkg01.atx.netgate.com/pkg/
repo01.atx.netgate.com/pkg/

pfsense-plus-pkg00.atx.netgate.com/pkg/
pkg00.atx.netgate.com/pkg/
repo00.atx.netgate.com/pkg/

Päivitysosoitteet löytyy
/usr/local/etc/pkg/repos
tai
/usr/local/share/pfSense/pkg/repos/

Osoitettuun kansioon ei pääse mitenkään perinteisin menetelmin kuten ylläoleviin linkkeihin.
Itse käytä windowsilla WINSCP:tä kansioiden tutkiskeluun.

Plus 23.05
pfSense.conf
tai
Pfsense-repo.conf
Koodi: 
FreeBSD: { enabled: no }

pfSense-core: {
    url: "pkg+https://pfsense-plus-pkg.netgate.com/pfSense_plus-v23_05_amd64-core",
    mirror_type: "srv",
    signature_type: "fingerprints",
    fingerprints: "/usr/local/share/pfSense/keys/pkg",
    enabled: yes
}

pfSense: {
    url: "pkg+https://pfsense-plus-pkg.netgate.com/pfSense_plus-v23_05_amd64-pfSense_plus_v23_05",
    mirror_type: "srv",
    signature_type: "fingerprints",
    fingerprints: "/usr/local/share/pfSense/keys/pkg",
    enabled: yes
}

Plus 23.01
pfSense-repo-previous.conf
Koodi: 
FreeBSD: { enabled: no }

pfSense-core: {
  url: "pkg+https://firmware.netgate.com/pkg/pfSense_plus-v23_01_amd64-core",
  mirror_type: "srv",
  signature_type: "fingerprints",
  fingerprints: "/usr/local/share/pfSense/keys/pkg",
  enabled: yes
}

pfSense: {
  url: "pkg+https://firmware.netgate.com/pkg/pfSense_plus-v23_01_amd64-pfSense_plus_v23_01",
  mirror_type: "srv",
  signature_type: "fingerprints",
  fingerprints: "/usr/local/share/pfSense/keys/pkg",
  enabled: yes
}
 
Viimeksi muokattu:
Desgorr sanoi:
Onkos kukaan testaillut tällaista Kiinan ihmettä pfsensen kanssa? 147.47€ 30% OFF|K31 N5105/N6000 Soft Router pfSense Firewall 4x Intel 2.5G i226 Industrial Fanless Mini PC HD2.0 OPNsense PVE ESXi| | - AliExpress
Hinta toimituksineen ilman muisteja ja SSD:tä olisi 154,35 €, joka ei kuulosta pahalta. Löytyy N6000 ja 2.5G eetteriportit.
Luulisi gigaista jaksavan reitittää.
Napsauta laajentaaksesi...
Eiköhän tuo ole samaa tavaraa kuin mitä esim Saksan Amazonistakin voi bongata. Tuohon hintaan saatetaan vielä lisätä alv:t jos asialla on väliä. Muuten tuo on varmasti hintansa arvoinen laite, jos pystyy elämään sen perävalotakuun ja epämääräisen BIOS-tuen kanssa.
 
Desgorr sanoi:
Onkos kukaan testaillut tällaista Kiinan ihmettä pfsensen kanssa? 147.47€ 30% OFF|K31 N5105/N6000 Soft Router pfSense Firewall 4x Intel 2.5G i226 Industrial Fanless Mini PC HD2.0 OPNsense PVE ESXi| | - AliExpress
Hinta toimituksineen ilman muisteja ja SSD:tä olisi 154,35 €, joka ei kuulosta pahalta. Löytyy N6000 ja 2.5G eetteriportit.
Luulisi gigaista jaksavan reitittää.
Napsauta laajentaaksesi...

kovasti saman näköinen mitä teglager kauppaa myös: Best pfsense router hardware with AES-NI (same day shipping from Stockholm)
 
Desgorr sanoi:
Onkos kukaan testaillut tällaista Kiinan ihmettä pfsensen kanssa? 147.47€ 30% OFF|K31 N5105/N6000 Soft Router pfSense Firewall 4x Intel 2.5G i226 Industrial Fanless Mini PC HD2.0 OPNsense PVE ESXi| | - AliExpress
Hinta toimituksineen ilman muisteja ja SSD:tä olisi 154,35 €, joka ei kuulosta pahalta. Löytyy N6000 ja 2.5G eetteriportit.
Luulisi gigaista jaksavan reitittää.
Napsauta laajentaaksesi...
Itsellä oli tuollaisen aikaisempi generaatio Celeron J4125:llä ja i225 v3 verkkopiireillä. Mitään muuta huonoa sanottavaa en keksinyt kuin jokin ongelma i225 ajurin kanssa jos käytti wan failoveria pfSensensen uudemmissa versioissa, se ei tunnistanut oikein että interface meni alas. Jos jokin vastaava ajurihäikkä ilmenee niin sen kanssahan on vaan sitten elettävä tai yritettävä jotain purkkakorjauksia mutta se nyt koskee kaikkia laitteita joissa integroidut verkkopiirit.
 
Kiitos näistä. Kai tuon voisi ihan kokeilumielessä laittaa tilaukseen.
 
Desgorr sanoi:
Kiitos näistä. Kai tuon voisi ihan kokeilumielessä laittaa tilaukseen.
Napsauta laajentaaksesi...

Topton Jasper Lake Quad i225V Mini PC Report Täällä on tosi paljon keskustelua noista. Noita on samanlaisia laitteita varsin monelta merkiltä mutta varmaan isoin ja suosituin merkki noista on Topton. Itse tilasin niiltä tuollaisen ja ollut pari kuukautta käytössä ilman mitään ongelmia. Aliexpressin hinnoissa on verot jo mukana eli ei tule mitään noihin päälle.

Sellainen huomio että i226 -verkkokorttiin on tuki vasta 2.7-development pfSensessä tai sitten 22.05 plussassa joka aiheuttaa asentaessa ongelmia koska tuohon plussaan ei asennusmediaa löydy, joutuu 2.6 kautta päivittelemään käyttäen jotain ulkoisia usb-verkkokortteja.
 
Itsellä on vähän vastaava purkki. Normi PFSense 2.6 ei toimi tolla i226 verkkopiirillä. Piti asentaa 2.7 beta josta päivitin 23.01:een. Nyt 23.05 käytössä.
Edit: tuli näköjään lähes samanlainen viesti kuin edellisellä. Täältä latasin 2.7 imagen: pfSense Snapshot Releases
 
khallerz sanoi:
Topton Jasper Lake Quad i225V Mini PC Report Täällä on tosi paljon keskustelua noista. Noita on samanlaisia laitteita varsin monelta merkiltä mutta varmaan isoin ja suosituin merkki noista on Topton. Itse tilasin niiltä tuollaisen ja ollut pari kuukautta käytössä ilman mitään ongelmia. Aliexpressin hinnoissa on verot jo mukana eli ei tule mitään noihin päälle.

Sellainen huomio että i226 -verkkokorttiin on tuki vasta 2.7-development pfSensessä tai sitten 22.05 plussassa joka aiheuttaa asentaessa ongelmia koska tuohon plussaan ei asennusmediaa löydy, joutuu 2.6 kautta päivittelemään käyttäen jotain ulkoisia usb-verkkokortteja.
Napsauta laajentaaksesi...

Onko sulla muuten ES versio tuosta prossusta ja onko biosin kanssa ollut mitään ongelmia?

Osui heti tuosta ketjusta tämä silmään:
I installed Ubuntu and FreeBSD. Under both, I was able to verify the N6005 CPU in fact has a QDF number, and not an S-Spec number… meaning it is definitely a pre-production sample.

I’m just floored tbh. This is my first experience with the Wild West of Chinese e-commerce, and I expected below par manufacturing, but usable (such as the messy flux job). I didn’t expect Topton or the Changwang ODM to straight up use an ES CPU then sell it as a production unit The half-baked BIOS where multiple settings don’t stick or work, such as C-states and PTT just compound the issue. Ah, and I also realized my particular N6005 pulls about 1.82v idling, which seems quite high compared to around 1.2v idle I’ve seen in other Jasper Lake reviews/posts.

At this point I give up on this particular unit. As mentioned before, I’ve been trying to contact Topton. However, their prior responsiveness prior to sale/shipment now has become unresponsive. I’ll give it a few more days and if there’s no response I’ll file a dispute with AliExpress and PayPal.
Napsauta laajentaaksesi...

Eli jos nyt tulee testattua tuota purkkia (Vähän alkaa jo epäilyttämään tuota ketjun alkua lukiessa), niin hyvä tietää että i226 ei toimi ihan out of the box. Sinällään tuo pieni lisähomma ei haittaa.
 
Viimeksi muokattu:
Desgorr sanoi:
Onko sulla muuten ES versio tuosta prossusta ja onko biosin kanssa ollut mitään ongelmia?

Osui heti tuosta ketjusta tämä silmään:


Eli jos nyt tulee testattua tuota purkkia (Vähän alkaa jo epäilyttämään tuota ketjun alkua lukiessa), niin hyvä tietää että i226 ei toimi ihan out of the box. Sinällään tuo pieni lisähomma ei haittaa.
Napsauta laajentaaksesi...

Ihan normaali prosessori itselle tuli ainakin, voi olla että alkupään juttuja oli nuo ES:t. On näitä ollut sen verran pitkään myynnissä että varmaan tasalaatuisempaa kamaa nyt. Mutta lottoamista tämä aina vähän on, sellaista se on kun vastaava laite maksaisi yli tuplat varmemmalta myyjältä :think:
 
antero sanoi:
Aiemmin kokeilin, en muista enää oliko OpenVPN ei ainakaan tuonu miitään lisää vai lakkasiko ihan toimimasta.
Voisi varmaan testata uudelleen onko erilainen toiminta.
Napsauta laajentaaksesi...
Mulla on pfsensessä IPsec käytössä. IPsec toimii ihan ok kun tuo IPsec-MB Crypto on päällä.

The Intel® Multi-Buffer Crypto for IPsec Library, often shortened to IPsec-MB or IIMB.
pfSense Plus software now includes support for cryptographic acceleration through the Multi-Buffer Crypto for IPsec Library (IPsec-MB, IIMB).
IPsec-MB is faster than AES-NI but not as fast as dedicated acceleration hardware such as QAT

Cryptographic Accelerator Support | pfSense Documentation

docs.netgate.com docs.netgate.com

Kuormitin VPN yhteydellä pfSenseä niin joku iimb0 siellä pyörii. Ei sen tarkempaa tietoa.

1684933069870.png
 
Viimeksi muokattu:
Ei toimi päivitys 23.01 -> 23.05 ainakaan itsellä tällähetkellä ja en oo ainoa mitä pikaisesti katoin:
Koodi: 
>>> Updating repositories metadata...
Updating pfSense-core repository catalogue...
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg00.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg00.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg00.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg00.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
pkg-static: https://pfsense-plus-pkg00.atx.netgate.com/pfSense_plus-v23_05_amd64-core/meta.txz: Authentication error
repository pfSense-core has no meta file, using default settings
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg00.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg00.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
pkg-static: https://pfsense-plus-pkg00.atx.netgate.com/pfSense_plus-v23_05_amd64-core/packagesite.pkg: Authentication error
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg00.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg00.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
pkg-static: https://pfsense-plus-pkg00.atx.netgate.com/pfSense_plus-v23_05_amd64-core/packagesite.txz: Authentication error
Unable to update repository pfSense-core
Updating pfSense repository catalogue...
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg01.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg01.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg01.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg01.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
pkg-static: https://pfsense-plus-pkg01.atx.netgate.com/pfSense_plus-v23_05_amd64-pfSense_plus_v23_05/meta.txz: Authentication error
repository pfSense has no meta file, using default settings
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg01.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg01.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
pkg-static: https://pfsense-plus-pkg01.atx.netgate.com/pfSense_plus-v23_05_amd64-pfSense_plus_v23_05/packagesite.pkg: Authentication error
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg01.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
Certificate verification failed for /C=US/ST=Texas/L=Austin/O=Rubicon Communications, LLC (Netgate)/OU=pfSense Plus/CN=pfsense-plus-pkg01.atx.netgate.com
34933878784:error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:/var/jenkins/workspace/pfSense-Plus-snapshots-23_05-main/sources/FreeBSD-src-plus-RELENG_23_05/crypto/openssl/ssl/statem/statem_clnt.c:1921:
pkg-static: https://pfsense-plus-pkg01.atx.netgate.com/pfSense_plus-v23_05_amd64-pfSense_plus_v23_05/packagesite.txz: Authentication error
Unable to update repository pfSense
Error updating repositories!
ERROR: It was not possible to determine pfSense-upgrade remote version
ERROR: It was not possible to determine pfSense-upgrade remote version
>>> Upgrading pfSense-upgrade... failed.

[edit] Sain päivityksen alkamaan kun kävin ensin webgui:sta vaihtamassa branchin 23.05 --> 23.01 --> 23.05. Sen jälkeen rebootti ja ssh:lla yhteys pfSenseen ja päivitys käyntiin komennolla pfSense-upgrade.
 
Viimeksi muokattu:
Tuo pfSensen WireGuard ei ole enää experimental. Mulla on kaksi pfSense konetta niin tein niiden välille WireGuard Site-to-Site konfiksen.

WireGuard Site-to-Site VPN Configuration Example | pfSense Documentation

docs.netgate.com docs.netgate.com

Site A: Shuttle DS77U (DNA)
Site B: Netgate 1100 (Elisa ja työkäytössä)

Helposti pystyy rajoittamaan.

Site A pääsee vain parille Site B laitteelle kiinni
Site B ei pääse mihinkään Site A laitteelle kiinni

WAN säännön sourceksi määritetty vastakkaisen palomuurin Dynamic DNS osoite.

Mulla on molemmissa muureissa IPsec (EAP-TLS) VPN, mutta otin sen pois käytöstä tuosta Netgate 1100 purkista.
Puhelimella kun ottaa IPsec VPN yhteyden tuohon Shuttle DS77U muurille niin pääsee tarvittaessa kiinni noihin pariin laitteeseen, jotka ovat SIte B verkossa.
 
Viimeksi muokattu:
Googlettelin, että pfsensen traffic shaper limiterit ovat aikaa sitten korjattu ja ilmeisesti pitäisi toimia.
Firman pfSense on versio 2.6.0 ja tein Lawrence Systemsin "How To Solve pfsense Bufferbloat With A CodelQ / FQ_Codel Limiter in 2.4.4" ohjeella step by step.
Kun teen floating rulen ja asentan sen aktiiviseksi, netti menee kokonaan katki, en tiedä miksi.

Onko jotain ideoita?
 
Seimari sanoi:
Googlettelin, että pfsensen traffic shaper limiterit ovat aikaa sitten korjattu ja ilmeisesti pitäisi toimia.
Firman pfSense on versio 2.6.0 ja tein Lawrence Systemsin "How To Solve pfsense Bufferbloat With A CodelQ / FQ_Codel Limiter in 2.4.4" ohjeella step by step.
Kun teen floating rulen ja asentan sen aktiiviseksi, netti menee kokonaan katki, en tiedä miksi.

Onko jotain ideoita?
Napsauta laajentaaksesi...
Onhan sulla Float-säännöt varmasti oikein? Etenkin esim. Gatewayn, directionin ja Action: "Match":n osalta?

Tomin ohje lienee jossain määrin väärä. Jos Netgaten oman dokumentaatioon on luottamista, Queue Management Algorithm pitäisi olla Tail Drop CoDelin sijaan. Tämä ei tietenkään selitä sun ongelmaa, mutta kannattaa kuitenkin harkita Tail Droppia CoDelin sijaan.
 
escalibur sanoi:
Onhan sulla Float-säännöt varmasti oikein? Etenkin esim. Gatewayn, directionin ja Action: "Match":n osalta?

Tomin ohje lienee jossain määrin väärä. Jos Netgaten oman dokumentaatioon on luottamista, Queue Management Algorithm pitäisi olla Tail Drop CoDelin sijaan. Tämä ei tietenkään selitä sun ongelmaa, mutta kannattaa kuitenkin harkita Tail Droppia CoDelin sijaan.
Napsauta laajentaaksesi...

Mulla oli Lawrence Systemsin ohjeiden mukaisesti:
Action: Pass, Quick: checked, Interface: WAN, Direction: out, Address family: IPv4, Protocol: Any, Source: any, Destination: any, Gateway: wan gateway (sisäverkon gateway), In: WanUpQ, Out: WanDownQ

mutta laitoin nyt linkkisi mukaisesti
Action: Pass, Quick: checked, Interface: WAN, Direction: out, Address family: IPv4, Protocol: Any, Source: Wan Address, Destination: any, Gateway: wan gateway (sisäverkon gateway), In: WanUpQ, Out: WanDownQ Kokeilin ruokatauolla pikaisesti enabloida filterin ja heti meni nettipoikki.

"Action: "Match":n osalta?" Käytätkö itse Action: Match vai oliko tämä vain esimerkki?
 
Viimeksi muokattu:
Onkos joku asennellut zerotieriä suoraan pfsensenseen?

Tailscale löytyy suoraan paketeista, mutta reissureitittimeni ei tietenkään tue tailscalea vaan zerotieriä.

Toisaalta, laitteita kun ei montaa ole mihin VPN:n tarvitsee, niin ehkä se on vain järkevintä tehdä wireguardilla.
 
Kannattaako pfSense plussaan päivittää? CE-version kehitys on tainnut jäädä prioriteetissa plussan taakse. Plussa on kuitenkin closed source ja minulle yksi syy valita pfSense oli juurikin open source.

Tietysti voisi vaihtaa OPNsenseen, mutta kiinnostus säätämistä kohtaan on aika nollissa.
 
Grizzle sanoi:
Kannattaako pfSense plussaan päivittää? CE-version kehitys on tainnut jäädä prioriteetissa plussan taakse. Plussa on kuitenkin closed source ja minulle yksi syy valita pfSense oli juurikin open source.

Tietysti voisi vaihtaa OPNsenseen, mutta kiinnostus säätämistä kohtaan on aika nollissa.
Napsauta laajentaaksesi...
Vaihda Sophos XG Home-versioon ja jää kaikki säätäminen pois.
 
MOS6510 sanoi:
Vaihda Sophos XG Home-versioon ja jää kaikki säätäminen pois.
Napsauta laajentaaksesi...
Ymmärsin että tarkoitti säätämisellä alkuasennusta / asetusten siirtoa, samalla tavalla ne on Sophokselle tehtävä. Ei sitä Opnsenseäkään tarvitse säätää kun kerran kaikki saatu kohdallaan.
 
Grizzle sanoi:
Kannattaako pfSense plussaan päivittää? CE-version kehitys on tainnut jäädä prioriteetissa plussan taakse. Plussa on kuitenkin closed source ja minulle yksi syy valita pfSense oli juurikin open source.

Tietysti voisi vaihtaa OPNsenseen, mutta kiinnostus säätämistä kohtaan on aika nollissa.
Napsauta laajentaaksesi...
Sama ollut mietinnässä, mutta olen vielä pysynyt CE versiossa, koska mitään oleellista ei puutu ja system patches kautta saa päivityksiä. Eiköhän se seuraava CE-versio ole joskus valmis ja hyvin testattu tuolla plus versiolla.
 
1686324342052.png

Miksiköhän pfsense blokkailee sisäverkossa ssh-yhteyksiä kahden eri verkon välillä? Molemmista verkoista on sallittu liikennöinti molempiin verkkoihin palomuurisäännöillä eikä Suricatan logeissa näy blokattuja yhteyksiä eikä sen pitäisikään blokata sisäverkon yhteyksiä.
 
Asiantuntija sanoi:
1686324342052.png

Miksiköhän pfsense blokkailee sisäverkossa ssh-yhteyksiä kahden eri verkon välillä? Molemmista verkoista on sallittu liikennöinti molempiin verkkoihin palomuurisäännöillä eikä Suricatan logeissa näy blokattuja yhteyksiä eikä sen pitäisikään blokata sisäverkon yhteyksiä.
Napsauta laajentaaksesi...
Subnetit säännöissä oikein?
Melko laajaa on, 192.168.8.0 <-> 192.168.20.0. tekee 255.255.224.0 tai /19
 
Khauron sanoi:
Subnetit säännöissä oikein?
Melko laajaa on, 192.168.8.0 <-> 192.168.20.0. tekee 255.255.224.0 tai /19
Napsauta laajentaaksesi...
Noi verkot on siis eri interfacessa.
Ja esim 192.168.8.0/24 ja 192.168.9.0/24 verkkojen välillä yhteydet toimii ihan normaalisti vaikka ovat myös eri interfacessa ja täysin samalaiset palomuurisäännöt niissä.
 
Asiantuntija sanoi:
1686330172319.png

Mikähän Default deny rule toi mahtaa olla ja miksei itse luotu allow all aja tuon yli?
Napsauta laajentaaksesi...
En nyt tunne tuota niin tarkkaan, mutta yleensähän ne rulet on prioriteetti järjestyksessä.

Ja turvallisuuden kannalta, jos ruleja ei priorisoida, niin tietysti kieltävän rulen tulee voittaa jos on kaksi keskenään ristiriitaista sääntöä.
 
Kirjaudu tai rekisteröidy kirjoittaaksesi tänne.

Uutiset

Uutisia lyhyesti

Uusimmat viestit

Statistiikka

Viestiketjuista
259 103
Viestejä
4 502 020
Jäsenet
74 329
Uusin jäsen
Bopperhopper

Hinta.fi

Back
Ylös Bottom