Changements principaux

• Correction d'un avis de sécurité concernant une attaque potentielle par déni de service sur la pile TCP à partir de paquets RST usurpés ;
• Mise à jour d'OpenVPN vers la version 2.6.8_1 ;
• Mise à jour de strongSwan (IPsec) pour résoudre un problème potentiel de dépassement de mémoire tampon (CVE-2023-41913) ;
• Correction de bugs dans l'implémentation du fallback de AES-GCM ;
• Correction de plusieurs erreurs PHP sur les pages de création d'une interface PPP et de modification du service DHCPv6
• Plusieurs autres bugs, failles de sécurité et autres problèmes mineurs ont également été corrigés

Processus de mise à jour

pkg-static clean -ay; pkg-static install -fy pkg pfSense-repo pfSense-upgrade

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : mise à jour pfSensepfSenseupgrade

• la partition /tmp MFS peut utiliser dorénavant 50% de la mémoire-vive au maximum ; ce paramètre peut être ajusté si besoin.
• la partition /var MFS devient /var/log MFS and et peut utiliser, elle aussi, 50% de la mémoire-vive au maximum ; ce paramètre peut également être modifié.
• plusieurs améliorations pour éviter que le processus syslog-ng ne soit impacté par le "out of memory kills" (lorsque la mémoire-vive est saturée, intervient le processus “Out-of-memory Killer” ou “OOM-Killer” dont le but est d'éviter le crash du système, ou Kernel Panic, en tuant les processus jugés trop gourmands. Ce sont des mécanismes de protection que l'on retrouve également sur toutes les distributions GNU/Linux).

• modification du widget (au niveau du tableau de bord) de visualisation des logs afin de lui ajouter un filtre
• prise en charge de la journalisation des règles NTP (Network Time Protocol)
• ajout des logs concernant l'utilisation des alias

• Ajout du choix "IPv4+6" pour la configuration de la phase 1 pour les IPsec mobiles
• Mise à jour de l'interface d'administration sur les pages des connexions, SPD et SAD afin qu'elles utilisent les API
• Quelques autres ajustement de l'interface sur la page d'état des connexions IPsec

• Amélioration du support de certaines cartes wifi Intel (celles utilisant le driver iwlwifi)
• Amélioration des performances sur les alias de ports
• Amélioration des performances sur la consultation des logs en temps-réel (live view)
• Serveur DHCP : il est maintenant possible de lancer le service DHCP Relay sur les interfaces de type bridge.
• Traduction : retour de l'italien dans la liste des traductions disponibles. L'italien avait été retiré d'OPNsense 22.1 car son niveau de traduction a été jugé trop faible. Les traductions pour d'autres langues ont été mises à jour vers leurs dernières versions disponibles. Il faut encore souligner ici la qualité de la traduction d'OPNsense comparativement à pfSense (qui est, elle, particulièrement mauvaise).

• Le plugin Crowdsec 1.0 fait son apparition
• Les plugins os-nginx et os-postfix ont été mis à jour pour ajouter des paramètres Diffie Hellman manquants.
• Plugin os-tayga  : mis à jour vers la version 1.2
• Plugin os-apcupsd : mis à jour vers la version 1.0

• os-tor n'est plus disponible avec LibreSSL à cause d'incompatibilités liées aux dernières versions de Tor.
• os-web-proxy-useracl a été retiré : il n'y avait plus de mise à jour depuis 2017.
• os-boot-delay a également été retiré.

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : mise à jourOPNsenseupgrade

/var/log/<application>/<application>_[YYYYMMDD].log

• Amélioration de la gestion des interfaces PPP en environnement haute-disponibilité : possibilité de désactiver l'interface PPP lorsque CARP passe en mode backup.
• Meilleure granularité sur le choix de l'adresses MAC pour une interface donnée : le spoof d'adresse MAC s'applique maintenant uniquement sur l'interface sélectionnée et pas à ses parents ou enfants : avant, par exemple, le spoof s'apliquait sur l'interface parente et sur toutes les interfaces vlan configurées dessus, maintenant, la configuration se fait uniquement sur l'interface logique choisie.
• Uniformisation et amélioration de la configuration des interfaces bridge (pont réseau) lorsqu'elles sont connectées au réseau.
• Il est maintenant possible d'associer une adresse IP virtuelle (VIP) à une interface qui n'est pas configurée ; cette configuration peut s'avérer très utile dans certains environnements spécifiques comme par exemple la possibilité d'avoir un cluster de firewall OPNsense avec une interface WAN qui ne possède qu'une seule adresse IP.

• Suppression de l'option obsolète "kill states on gateway failure". Cette action est effectuée automatiquement pour les passerelles qui sont surveillées.
• Ajout du support des alias d'hôtes IPv6 dynamiques.
• Il est maintenant possible d'utiliser des alias dans la gestion des Router Advertisements pour IPv6.
• Priorisation de trafic : ajout de l'option Gbit/s lors de la configuration des pipes (avant, pour 1 Gbit/s, il fallait saisir 1 000 Mbit/s).

• Lors de la création de nouvelles phases 1 et 2, certains paramètres de sécurité par défaut ont été remplacés par des paramètres plus modernes et sécurisés.
• Suppression de certains algorithmes de chiffrement qui ne sont plus supportés par FreeBSD 13 (dans le détail : MD5, Blowfish, DES, 3DES et CAST128 ne sont plus pris en charge pour la phase 2).

• OPNsense 22.1 contient une nouvelle version majeure du système d'exploitation. Les mises à jour doivent donc être effectuées avec prudence. Malgré tous les tests qui ont pu être effectués, il peut toujours subsister des anomalies ou des changements modifiant le comportement par défaut.
• L'évolution du support des algorithmes de hachage ou de chiffrement sous FreeBSD 13 peut avoir des impacts sur les VPN IPsec déjà configurés. Si vous utilisez l'un des algorithmes de hachage obsolètes (MD5, Blowfish, DES, 3DES ou CAST128), il faut modifier la configuration de votre tunnel IPsec avant de lancer la mise à jour.
• Si vous utilisez des cartes réseau Realtek (notamment avec des ports 2,5 Gbps), il est recommandé d'installer le plugin os-realtek-re avant de lancer la mise à jour. En effet, le pilote propriétaire Realtek n'est pas fourni par défaut sous FreeBSD 13, ce qui a pour conséquence que certaines cartes Realtek ne sont pas supportées par défaut.
• L'usurpation (spoof) d'adresse MAC ne concerne maintenant que l'interface configurée et non les autres VLAN configurés sur la même interface ou l'interface parent. Il faut donc modifier la configuration de ses interfaces nécessitant une adresse MAC usurpée avant de faire la mise à jour.
• Les valeurs par défaut du service NTPD ont été modifiées pour exclure l'option "iburst" par défaut. Le paramètre "limited" a été détaché de l'option "kod". Il faut donc vérifier ces points avant de mettre à jour si vous êtes concernés.
• Le support GRE link1 a été supprimé et nécessite une route statique pour fonctionner.
• La prise en charge de la journalisation circulaire a été supprimée. Aucune action n'est requise.

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : mise à jourOPNsenseupgrade

1. Procédure de mise à niveau pour un pfSense seul

1. Sauvegarde de la configuration : permettra un retour-arrière rapide en cas de problème
2. Mise à jour du serveur pfSense
3. Sauvegarde de la configuration après la mise à jour : permet de bénéficier d'une sauvegarde à jour de la configuration en cas de panne ultérieure

Sauvegarde de la configuration

Mise à jour du serveur pfSense

Sauvegarde de la configuration après la mise à jour

2. Procédure de mise à niveau d'un cluster de pfSense

1. Faire une sauvegarde du pfSense secondaire
2. Lancer la mise à jour du pfSense secondaire
3. Une fois la mise à jour du pfSense secondaire complète, faire une sauvegarde du pfSense primaire
4. Désactiver CARP sur le pfSense primaire => les adresses VIP vont basculer sur le pfSense secondaire
5. Lancer la mise à jour du pfSense primaire

Sauvegarde de la configuration du pfSense secondaire

Mise à jour du serveur pfSense secondaire

Sauvegarde de la configuration du pfSense primaire

Désactivation CARP du pfSense primaire

Mise à jour du serveur pfSense primaire

3. Vérifier et corriger la mise à jour des packages

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : mise à jour pfSensepfSensepfSense redondantupgrade

Les étapes de la mise à jour

1. Sauvegarde de la configuration : permettra un retour-arrière rapide en cas de problème
2. Mise à jour du serveur Asterisk
3. Sauvegarde de la configuration après la mise à jour : permet de bénéficier d'une sauvegarde à jour de la configuration en cas de panne ultérieure

Sauvegarder ses fichiers de configuration Asterisk

• /etc/asterisk : le répertoire de configuration d'Asterisk
• /var/spool/asterisk/voicemail/ : le répertoire des messageries vocales d'Asterisk
• /var/lib/asterisk/sounds/ : le répertoire contenant les fichiers sons

mysqldump -u root -p -r/sauvegarde/asterisk.sql asteriskcdr

Connaître la dernière version d'Asterisk

http://downloads.asterisk.org/pub/telephony/asterisk/asterisk-11-current.tar.gz => pour la 11
http://downloads.asterisk.org/pub/telephony/asterisk/asterisk-13-current.tar.gz => pour la 13
...

Télécharger la dernière version d'Asterisk

cd /usr/src

wget http://downloads.asterisk.org/pub/telephony/asterisk/asterisk-11-current.tar.gz

tar -zxvf asterisk-11-current.tar.gz

cd asterisk-11.14.1

Mettre à jour sa version d'Asterisk

./configure
make menuselect
make
make install

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : asteriskmettre à jour asteriskupgrade