Актуальная версия продукта (TING 1.14.6) базируется на стабильной ветке OPNsense 24.7.6, что обеспечивает современную и надежную основу для всех сетевых функций.

«В этой серии обновлений мы сосредоточились на том, что напрямую влияет на повседневную работу администраторов. Оптимизация работы с конфигурациями особенно важна для наших клиентов с распределенной инфраструктурой. Усиление защиты NTP и OpenSSH закрывает потенциальные векторы атак. А завершение переработки приборной панели делает интерфейс более логичным и предсказуемым. Мы также внимательно следим за стабильностью IPv6 и продолжаем диалог с сообществом FreeBSD для окончательного решения. Рекомендуем всем пользователям обновиться до актуальной версии 1.14.6, которая работает на базе OPNsense 24.7.6», — Алексей Прокопчук, главный разработчик TING.

Производительность: работа с крупными конфигурациями ускорена

В версии 1.14.5 внедрено важное улучшение, которое особенно оценят владельцы сложных инфраструктур. Теперь параллельные запросы конфигурации к одному компоненту объединяются, а не обрабатываются по отдельности для каждого интерфейса. Это существенно снижает нагрузку на систему при работе с большим числом настроек.

Кроме того, в этом обновлении по умолчанию отключена NUMA, что может повысить пропускную способность сети на затронутых системах. Также возвращен виджет «Изображение» на приборную панель с улучшенной интеграцией в интерфейс.

Безопасность: защита на всех уровнях

Серия обновлений затронула несколько аспектов безопасности:

  • NTP по умолчанию защищен. Начиная с версии 1.14.5, поведение NTP изменено на «restrict noquery». Система больше не будет отвечать на внешние запросы, раскрывающие внутренние параметры, если это явно не разрешено администратором.
  • OpenSSH обновлен. В версии 1.14.5 портирован на новую систему вызова плагинов (plugins_argument_map()), что повышает стабильность и безопасность удаленного доступа. В 1.14.6 эта работа продолжена.
  • Suricata и Unbound усилены. В OPNsense 24.7.6 выявлен и устранен ряд проблем, связанных с безопасностью и надежностью этих ключевых компонентов.
  • Обновления FreeBSD. В версиях 1.14.4 и 1.14.5 включены исправления множества уязвимостей: bhyve, libnv, OpenSSL, umtx, а также улучшения ядра и драйверов.

Интерфейс и удобство администрирования

Работа над приборной панелью, начатая в версии 1.14.0, получила продолжение в каждой из шести версий:

  • Завершение переработки панели. В версии 1.14.6 поведение списков контроля доступа (ACL) приведено к единому стандарту и теперь соответствует ожиданиям пользователей в отношении привилегий раздела «Сводка». При этом не все виджеты имеют отдельные ACL. Это сделано намеренно, чтобы обеспечить минимальный, но безопасный набор системных виджетов.
  • Улучшения в каждой версии: настройка виджетов, компактное отображение, поддержка вертикального изменения размера, агрегированная информация по IPsec и OpenVPN, улучшенное форматирование и многое другое.
  • Возвращен виджет «Изображение» (1.14.5) с улучшенной интеграцией.

Стабильность сети и IPv6

Особое внимание было уделено IPv6:

  • В версии 1.14.3 мы временно отключен stateful-трекинг ICMPv6 обнаружения соседей, чтобы вернуть надежную работу IPv6, нарушенную обновлением безопасности FreeBSD.
  • В версии 1.14.4 был откат обновления FreeBSD-SA-24:05.pf, что окончательно восстановило стабильность ICMPv6 и IPv6.
  • Также исправлены регрессии в dhcp6c, включая отмену проблемных коммитов и улучшение обработки таймаутов.
  • В версии 1.14.6 добавлена отправка IPv6 solicit сразу на WAN-интерфейсах для ускорения получения адреса.

Обновления компонентов и плагинов

В каждой версии актуализировано стороннее ПО и плагины:

  • Версия 1.14.2: добавлены плагины для обновления микрокода процессоров AMD и Intel.
  • Версия 1.14.5: обновлены curl, expat, libxml, nss, python, sudo, dhcp6c.
  • Версия 1.14.6: обновлены curl, monit, php, duckdb, suricata, unbound, а также плагины os-acme-client, os-caddy, os-frr.
  • На протяжении всей серии: доработки OpenVPN (DCO, валидация), IPsec (динамические VTI, настройки ретрансляции), WireGuard (виджет, исправления), Kea DHCP (новые опции, валидация).