La nueva versión de pfSense Plus 26.03 (es la edición comercial de Netgate, no es la pfSense CE) salió el 2 de abril para todos los usuarios de este popular sistema operativo orientado a firewall. Desde su lanzamiento, hemos estado probando a fondo todas las funcionalidades, tanto conexión a Internet con PPPoE, tráfico entre diferentes VLAN, así como túneles WireGuard y OpenVPN. En la versión anterior hubo un grave problema con las conexiones PPPoE, y es que había un problema interno si tenías interfaces vtnet, ahora este problema ha quedado solucionado. A continuación, os explicamos todos los cambios y novedades de la nueva versión.

La nueva versión de pfSense Plus 26.03 incorpora más de 40 mejoras de rendimiento, corrección de errores, y optimización del sistema operativo. Los usuarios que no pudieron actualizar a la versión 25.10 debido al conocido error de PPPoE con interfaces VirtIO encontrarán en la versión 26.03 la solución definitiva a este problema crítico de conectividad. Esta nueva versión incorpora todas las mejoras de la anterior versión, más las novedades de esta.

Novedades y mejoras

El equipo de desarrollo ha estado trabajando durante meses en esta nueva versión que ya está en fase «stable», por lo que podemos usarla en producción sin ningún problema. Una de las mejoras que notaremos nada más actualizar a la nueva versión, es que el código de la interfaz gráfica de usuario se ha optimizado, y ahora podemos movernos entre los menús con mucha mayor soltura, ya que todo va mucho más rápido y fluido. También se ha decidido instalar el paquete de «System patches» de forma predeterminada, este paquete facilita la instalación de software adicional muy recomendable para mejorar la seguridad del sistema operativo, y también corrección de bugs por parte de Netgate. Es muy recomendable revisar periódicamente si hay una nueva actualización, y aplicar todos los parches, esto se hace de forma manual para evitar posibles incompatibilidades, así que os recomendamos revisar bien todos los parches incorporados, por si hay algún tipo de incompatibilidad.

Otros cambios importantes que se han incorporado en esta versión, está relacionado con la seguridad y algoritmos de los certificados, a continuación, tenéis un resumen de los cambios:

• Algoritmos para SSH: esta versión actualiza el servidor SSH con algoritmos más robustos, tanto para el intercambio de claves, cifrado como autenticación de los mensajes. Han incorporado criptografía post-cuántica, y también han eliminado los más débiles. Si usas clientes SSH actuales, no deberías tener problemas con este cambio, pero es muy importante que estén relativamente actualizados para que soporten los nuevos algoritmos de cifrado.
• Certificados TLS: se ha decidido que cualquier certificado TLS que tenga menos de 2048 bits se considere obsoleto, por lo que no se podrá utilizar nunca más. Durante el proceso de actualización, el sistema comprobará todos los certificados y generará uno más robusto si fuera necesario, de esta forma, no tendremos que hacerlo de forma manual, sino que se realizará de forma automática.
• Renovación automática de certificados: pfSense Plus ahora renovará automáticamente los certificados de servidor TLS autofirmados, o los firmados por una Autoridad de Certificación interna que esté almacenada en la configuración. Esta función está habilitada en la interfaz gráfica de usuario, además, los nuevos certificados siempre usarán los algoritmos más seguros y recientes.

Si usas IPv6, en anteriores versiones introdujeron la dirección de enlace local estática automática fe80::1:1 a todas las interfaces configuradas para hacer el seguimiento en la red IPv6. Este cambio causa problemas a algunos usuarios, y realmente no ofrecía muchas ventajas. Si los clientes usaban esta dirección automática, se recomienda revisar la configuración, porque es posible que deban actualizar su configuración.

En cuanto a la corrección de errores o bugs de las versiones anteriores, os explicamos los 5 más importantes:

• Se ha corregido el bug del PPPoE si se usaban interfaces VirtIO (vtnet), como las que se usan para virtualización. Ahora ya funciona.
• Si tenías un «Alias» y se usaban en rutas estáticas, no se aplicaban las actualizaciones correctamente en la tabla de rutas.
• El servidor DHCPv6 con Key no incluía el prefijo delegado en las concesiones dinámicas activadas, ahora se ha corregido.
• El DNS resolver omite las direcciones NAT64 desde las respuestas DNS64, así como también se omiten las consultas desde el propio firewall.
• Se han resuelto problemas con el DNS dinámico, si usas GoDaddy con AAAA, ahora ya te funcionará. También se ha añadido wildcard al proveedor deSEC.io.

Como podéis ver, esta nueva versión se ha centrado mucho en corregir bugs y errores, más que en introducir novedades. Si utilizas Suricata, existe un problema conocido en la pestaña «Block» que genera error de PHP. Solución paso a paso:

1. Accede a «System > Patches»
2. Instala el paquete «System Patches» si no lo tienes
3. Añade un nuevo patch con el ID de Redmine correspondiente
4. Aplica el parche y reinicia Suricata.

Puedes consultar el hilo oficial de discusión y el fix en Redmine para más detalles.

Fuentes:
https://www.redeszone.net/noticias/lanzamientos/pfsense-26-03-novedades-cambios-solucion-pppoe/