IPFire - Core Update 161https://blog.ipfire.org/post/ipfire-2-27-core-update-161-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-161-released)
- neuer Kernel
- Durchsatz des Intrusion Prevention System deutlich verbessert
- Fast Flux Detection im Web Proxy, was in unseren Installationen aber wahrscheinlich keine Auswirkung hat
Update möglichst bald durchführen, da auch einige Sicherheitsupdates eingespielt wurden.
Technische Hintergrundinfo zu Fast Flux Detection:ein recht neues (experimentelles) Sicherheitsfeature, das Domains mit sehr kurzen DNS-Lebenszeiten erkennt. Solche DNS-Einträge werden von Malware verwendet, die über viele Rechner im Internet verteilt sind und daher die Domain innerhalb kurzer Zeit auf andere IPs zeigt. Malware-Entwickler verwenden das, um Sicherheitssoftware auszutricksen, die bei Angriffsszenarien IP-Adressbereiche automatisiert sperrt.Da bei unseren Installationen der Web Proxy normalerweise transparent geschaltet ist und dadurch bei https-Verbindungen eh nicht mehr funktioniert, hat diese Erweiterung bei unseren Standardinstallationen keine Auswirkung. Damit es Auswirkung hätte, müsstea) der Proxy nicht transparent sein, was bedeutet, dass er auf jeden Rechner bei jedem Browser eingerichtet sein müssteb) Fast Flux Detection aktiviert werdenDa Fast Flux Detection aber derzeit bei uns (meines Wissens) kein Problem darstellt, braucht's diese Einstellung vermutlich nicht.
IPFire - Core Update 162https://blog.ipfire.org/post/ipfire-2-27-core-update-162-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-162-released)
- neue Kernelversion (Linux 5.15)
- letzte Version mit 32bit-Unterstützung
- diverse kleinere Updates
Spätestens ab dieser Version sollte IPFire nicht mehr in der 32bit-Version verwendet werden. Ein Umstieg auf die 64bit-Version ist dringend anzuraten:
https://www.ipfire.org/download/ipfire-2.27-core162 (https://www.ipfire.org/download/ipfire-2.27-core162)
IPFire - Core Update 163
https://blog.ipfire.org/post/ipfire-2-27-core-update-163-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-163-released)
- Quality of Service wurde auf CAKE (https://www.bufferbloat.net/projects/codel/wiki/Cake/) umgestellt - wird wohl die wenigsten Schulen betreffen
- Die Passwörter für Systemzugänge werden nochmal sicherer als verschlüsselter Hash gespeichert
- diverse kleinere Updates
Wer noch nicht von der 32-bit-Version auf die 64-bit-Version umgestiegen ist - nächste Woche sind Semesterferien, das bietet sich an. ;)
Mit einer Sicherung der aktuellen Einstellungen und einem vorbereiteten USB-Stick ist die Umstellung schnell erledigt.
IPFire - Core Update 164
https://blog.ipfire.org/post/ipfire-2-27-core-update-164-released
- neuer Kernel auf der Basis von Linux 5.15
- Die Passwörter für Systemzugänge werden nochmal sicherer als verschlüsselter Hash gespeichert, jetzt mit YESCRYPT anstelle von SHA512
- Die kürzlich entdeckte Linux-Sicherheitslücke "Dirty Pipe" ist repariert - war aber in unserem IPFire-Umfeld aus meiner Sicht eigentlich keine Gefahr.
- Microcode-Fixes für Intel-x86-Prozessoren (INTEL-SA-00528 (https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00528.html), INTEL-SA-00532 (https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00532.html))
- diverse kleine Verbesserungen
Achtet darauf, dass eure Firewall stets auf dem aktuellen Stand ist. Wenn jedes Update zeitnah durchgeführt wird, ist es schnell erledigt.
Sind mehr als zehn Updateschritte notwendig, so ist ein Update über die Konsole vorzuziehen. Wendet euch hiezu am besten an euren Regionalbetreuer.
Servus,
Bei älteren Installationen z.B. IPFire 2.19 (i586) - Core Update 119 können die neuesten Updates ziemlich sicher nicht mehr installiert werden, weil eine bestimmte Partition (2 GB groß) einfach vollläuft und somit kein Speicherplatz mehr zur Verfügung steht.
Updates werden zwar brav angezeigt, aber dann einfach nicht mehr installiert.
Der Übeltäter ist die Partition /dev/sda3 auf / gemounted (1952M).
Beginnend mit der Version 140 wurde eine komplett neue Partitionierung implementiert.
Wer also nicht mehr updaten kann, muss eine neue Version installieren und dann das Backup zurückspielen. Eine andere Lösung gibt es leider nicht.
Schöne Grüße
Martin heinzle
Servus,
Mit der Version 164 wurden auch die URF-Filter von Shalla Secure Services and MESD entfernt, weil diese Listen nicht mehr aktualisiert werden. Es gibt nur noch die Variante mit den Listen der Universität Toulouse.
Schöne Grüße
Martin Heinzle
Servus,
Ab Version 164 gibt es ein neues Feature:
Alle gelisteten Seiten auf Spamhaus DROP werden geblockt.
Zu finden ist die Einstellung unter: Firewall - Firewall Optionen - Drop packets from an to hostile networks - ON
Schöne Grüße
Martin Heinzle
Hallo Martin,
danke für den Hinweis auf die Firewalloptionen. Das ist wirklich ein cooles Feature, habe ich gleich mal aktiviert. :D
Herzliche Grüße
Kuno
IPFire - Core Update 165
https://blog.ipfire.org/post/ipfire-2-27-core-update-165-released
- viele interne Verbesserungen in der Codebasis (neue aufgebaut auf Python 3.10.1, Systemlibraries aktualisiert, ...)
- Location Filter wurde auf das Linux-eigene ipset umgestellt und braucht weniger RAM
- verträgt schlecht konfigurierte Kabelmodems besser
- OpenSSL aktualisiert
- kleinere (kosmetische) Fehler in IPSec und OpenVPN ausgebessert
- diverse Paket-Updates
Dieses Update kann seine Zeit dauern, da grundlegende Codeteile ausgetauscht werden. Ich habe das Update auf mehreren Geräten durchgeführt, und auf allen dauerte das Update mehr als eine Minute. Seit Core 164 läuft eine Zeitmessung bei den Updates mit - bei den vorherigen Versionen ist es mir zumindest noch nicht aufgefallen. ;)
Werdet also nicht nervös, wenn dieses Update eine Weile dauert.
Das Update verlangt einen Neustart.
Probleme mit dem Backup seit Core Update 164
Wie gerade bekanntgegeben wurde, funktioniert seit dem Core Update 164 die Backupfunktion nicht ordentlich. Es wird zwar ein Backup erstellt, dieses ist aber nicht vollständig. Das Problem soll mit dem nächsten Update wieder behoben sein.
Nähere Infos unter https://blog.ipfire.org/post/incomplete-backups-since-core-update-164 (https://blog.ipfire.org/post/incomplete-backups-since-core-update-164)
IPFire - Core Update 166
https://blog.ipfire.org/post/ipfire-2-27-core-update-166-released
- das im vorherigen Posting beschriebene Backup-Problem wurde behoben
- kleines Sicherheitsupdates
Dieses Update verlangt keinen Neustart und ist relativ flott installiert.
Aufgrund des Backup-Problems sollte es möglichst bald installiert werden.
IPFire - Core Update 167https://blog.ipfire.org/post/ipfire-2-27-core-update-167-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-167-released)
- GPG Key Rollover für das Updatemodul Pakfire
- nicht notwendige Bestandteile wurden entfernt, was etwas Platz spart
- Frühjahrsputz - Überbleibsel älterer Updates werden entfernt
- zahlreiche kleinere Verbesserungen beim Code
Das Update verlangt einen Neustart.
IPFire - Core Update 168
https://blog.ipfire.org/post/ipfire-2-27-core-update-168-released
- Verbesserungen des Intrusion Prevention Systems
- Die neue Firmware von APU-Boards wird nun unterstützt (falls jemand ein Firmware-Update gemacht hat oder ein neues angeschafft hat)
- Verbesserungen in Bezug auf Spoofing Attacken
- OpenSSH erhielt ein Update
- Dateiberechtigungen wurden nachgebessert
- ... und natürlich die üblichen kleinen Updates und Verbesserungen
Das Update verlangt einen Neustart.
IPFire - Core Update 169
https://blog.ipfire.org/post/ipfire-2-27-core-update-169-released
- OpenVPN unterstützt jetzt Zwei-Faktor-Authentifizierung - für jene, die VPN-Verbindungen über IPFire umsetzen, möglicherweise interessant
- neuer Linux-Kernel (5.15.49) mit den üblichen Verbesserungen und einigen Sicherheitsupdates
- Handling des Network Time Protocol wurde verbessert - vor allem, wenn die Pufferbatterie (bei einem älteren Gerät) schwach ist, sollte sich das positiv auswirken
- ... und natürlich die üblichen kleinen Updates und Verbesserungen
Das Update ist recht groß - nicht wundern, wenn der Updateprozess ungewöhnlich lange dauert!Das Update verlangt einen Neustart.
IPFire - Core Update 170
https://blog.ipfire.org/post/ipfire-2-27-core-update-170-released
- IP Address Blocklist - Aktivierung empfohlen!
- Erhöhung der Schlüsselsicherheit bei IPSec
- Update des Linux-Kernel auf Version 5.15.59
- diverse Updates
Das Update kann durchaus wieder zwei bis drei Minuten dauern! Einfach geduldig bleiben.Das Update verlangt einen Neustart.
IPFire - Core Update 171
https://blog.ipfire.org/post/ipfire-2-27-core-update-171-released-security-advisory
- Fehler in der IP Address Blocklist (eingeführt im Update 170) wurden behoben
- Perl wurde insgesamt aktualisiert
- Update des Linux-Kernel auf Version 5.15.71
- großes Update für die WiFi-Komponenten - für unsere Installationen eher irrelevant
- Full-ISO Backup funktioniert jetzt wieder
- diverse kleinere Updates
Das Update kann durchaus wieder zwei bis drei Minuten dauern! Einfach geduldig bleiben.Das Update verlangt einen Neustart.
IPFire - Core Update 172
https://blog.ipfire.org/post/ipfire-2-27-core-update-172-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-172-released)
- Schüssellänge für IPSec und OpenVPN auf 4096 RSA erhöht
- Root-Zertifikate von TrustCor Systems werden nicht mehr akzeptiert (nähere Infos dazu (https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/oxX69KFvsm4/m/yLohoVqtCgAJ?pli=1))
- OpenVPN CRLs werden bei einem Neustart von OpenVPN ordentlich gesichert und re-importiert
- diverse kleinere Updates
Das Update verlangt einen Neustart.
IPFire - Core Update 173https://blog.ipfire.org/post/ipfire-2-27-core-update-173-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-173-released)
- neuer Linux-Kernel 6.1.11
- auf neueren EFI-Systemen wird beim Reboot der Arbeitsspeicher komplett gelöscht (sofern die Hardware das unterstützt)
- Verbesserungen bei OpenVPN
- verschiedene kleine Verbesserungen und Updates
Das Update verlangt einen Neustart.
Das Update kann wieder etwas dauern - geduldig bleiben.
IPFire - Core Update 174https://blog.ipfire.org/post/ipfire-2-27-core-update-174-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-174-released)
- IPFire wurde mit einer neuen Version des Toolchain (GCC, ...) übersetzt, in der Folge sollte es etwas flotter laufen
- OpenVPN zeigt nun im Webinterface an, wann ein Zertifikat abläuft
- kleinere Verbesserungen bei Snort und bei den IP Blocklists
- Webinterface wurde an manchen Stellen verbessert bzw. fehlerkorrigiert
- Sicherheitsupdates bei Apache und cURL wurden eingepflegt
Dieses Update wird aufgrund der Sicherheitsupdates dringend empfohlen!Das Update verlangt einen Neustart.
Das Update kann wieder etwas dauern - geduldig bleiben.
IPFire - Core Update 175https://blog.ipfire.org/post/ipfire-2-27-core-update-175-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-175-released)
- OpenSSL 3.11 major update: bisher erstellte OpenSSL-Dateien bleiben bis Update 176 noch erhalten
- Linux Kernel 6.1.30: Verbesserte Sicherheit - sollte IPFire nicht betreffen, aber Vorsicht ist besser als Nachsicht
- alte APU1-Boards werden wieder unterstützt (neue Firmware)
- diverse kleine Updates
Das Update verlangt einen Neustart.
IPFire - Core Update 176https://blog.ipfire.org/post/ipfire-2-27-core-update-176-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-176-released)
- Microcode-Security-Patches für Intel-Prozessoren
- diverse kleine Updates
Nach dem Einspielen dieses Updates wurde bei mehreren IPFire eine Fehlermeldung angezeigt. Im Logfile stand nichts Verdächtiges, nach dem Neustart liefen die Geräte problemlos.
Das Update verlangt einen Neustart.
IPFire - Core Update 177https://blog.ipfire.org/post/ipfire-2-27-core-update-177-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-177-released)
ACHTUNG - dieses Update scheint Probleme in Verbindung mit Hyper-V zu haben. IPFire bootet nicht mehr nach diesem Update. Unbedingt vor dem Neustart das Update 178 installieren!- Indirect Branch Checking auf Intel-Prozessoren
- neuer Linux-Kernel 6.1.42
- Security-Update für OpenSSH
- Sicherheitsupdate für GhostScript (betrifft vermutlich unsere Standardinstallation nicht)
- OpenSSL 1.1.1 wurde, wie angekündigt, deaktiviert (siehe Post zu Update 175) - sollte unsere Standardinstallation auch nicht betreffen
- Erweiterung SquidClamAV wird nicht mehr weiter entwickelt
- diverse Updates
Das Update verlangt einen Neustart.
Sollte es länger gehen, bleibt geduldig. Auf einer von mir betreuten Firewall dauerte das Update über fünf Minuten, bei den anderen war es wie üblich nach etwas mehr als einer Minute installiert.
IPFire - Core Update 178https://blog.ipfire.org/post/ipfire-2-27-core-update-178-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-178-released)
- Intel-Sicherheitslücke "Downfall"
- AMD Sicherheitslücke "Inception"
- AMD Sicherheitslücke "Phantom"
- Boot-Problem von Update 177 in Hyper-V-Umgebungen ist behoben
Das Update verlangt einen Neustart. Es wird dringend empfohlen!
IPFire - Core Update 179https://blog.ipfire.org/post/ipfire-2-27-core-update-179-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-179-released)
- Indirect Branch Tracking umgesetzt - Sicherheitsfeature, das kompromittierten Code selbstständig entdecken soll
- Codeverbesserungen
- diverse Updates
Das Update verlangt einen Neustart.
IPFire - Core Update 180https://blog.ipfire.org/post/ipfire-2-27-core-update-180-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-180-released)
- Filesystem ReiserFS wird nicht mehr unterstützt - das sollte für unsere Installationen kein Thema sein
- diverse kleinere Updates
Das Update benötigt
keinen Neustart. Die Installation erfolgt recht flott.
IPFire - Core Update 181https://blog.ipfire.org/post/ipfire-2-27-core-update-181-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-181-released)
- Kernel Update auf Linux 6.1.61
- Security Update für OpenSSL (Verschlüsselung)
- Security Update für suricata (Schwachstelle für Denial-of-Service-Angriffe)
- Security Update für den Apache-Webserver (Graphical Interface)
- Security Update für Samba (für unsere Standardinstallation eher nicht relevant)
- Update für OpenVPN
- kleinere Updates diverser Hilfsprogramme
Das Update benötigt
einen Neustart. Die Installation wird
dringend empfohlen!
Nachtrag:ACHTUNG! Bei mir hat sich an drei Schulen nach dem Update der Webdienst verabschiedet - es war also kein Zugriff mehr von außen auf die Einstellungen möglich und ich musste die Firewalls vor Ort neu starten. Danach liefen sie wieder tadellos.Es war aber nur der Webdienst weg, die Firewall hat ansonsten ihren Dienst verrichtet.
Kann remote gelöst werden wenn eine VBP eingerichtet ist und vor dem Update SSH aktiviert wurde, siehe mein anderer Post (hab das hier zuerst nicht gesehen)
lg Günter
IPFire - Core Update 182https://blog.ipfire.org/post/ipfire-2-27-core-update-182-released (https://blog.ipfire.org/post/ipfire-2-27-core-update-182-released)
- Update für den Bootloader GRUB
- bei Neuinstallationen (nicht nach dem Update!) wird der SMTP-Port (25) ausgehend gesperrt. Das verhindert, dass infizierte Rechner innerhalb des Netzwerks als Spamschleuder verwendet werden. Sollte in unseren Standardinstallationen keine negativen Auswirkungen haben.
- kleinere Updates diverser Hilfsprogramme
Das Update benötigt
einen Neustart.
Gestern Abend wurde noch das Update 183 freigegeben. Das neue Update beinhaltet auch das neue Design der Weboberfläche, auf das viele User gewartet haben.
Das Update kann wie gewohnt über über die Weboberfläche mit Pakfire installiert werden.
Zur Sicherheit kann man vorher eine SSH Verbindung herstellen und im Notfall einen Neustart einleiten, oder den Appache neu starten, falls die Weboberfläche nicht mehr zugänglich sein sollte.
Appache über Console:
/etc/init.d/apache start|stop|restart
Update über Console:
1
pakfire update
2
pakfire upgrade
3
Neustart einleiten:
reboot
Liebe Grüße
Martin
IPFire 2.29 - Core Update 183 releasedhttps://www.ipfire.org/blog/ipfire-2-29-core-update-183-released (https://www.ipfire.org/blog/ipfire-2-29-core-update-183-released)
- Linux Kernel 6.6.15
- OpenSSL 3.2.1
- RSA Schlüssel mindestens 2048 Bit
- IPFire WUI mit ECDSA Keys
- GRUB Bootloader 2.12
- neues Design der Weboberfläche
- Iptables 1.8.10
- uva
Das Update verlang einen Neustart.SG
Martin
Für Nerds: ;)
An einer meiner Schulen lief das Update 182 -> 183 scheinbar ewig und wurde nicht fertig. Nach einem Reboot der Firewall war alles wieder wie gehabt auf Version 182.
Beim Versuch, das Update über cli (Befehl "pakfire upgrade") zu machen, wurde dann klar, dass der Download mit seeeehr geringer Geschwindigkeit erfolgte. 1% Fortschritt in 3 Minuten :-[
Mögliche Lösung: einen alternativen Server für den Upgrade-Download angeben:
In der Datei /opt/pakfire/etc/pakfire.conf sind folgende Zeilen anzupassen:
# Only use this mirror
$mirror = "https://ftp.fau.de/ipfire/pakfire2/";
Danach läuft der Download und das Upgrade normal flott durch :o
Als Mirror habe ich den der "Friedrich-Alexander-Universität Erlangen-Nürnberg" gewählt.
Liste möglicher Mirrors: https://www.ipfire.org/downloads/mirrors
Viel Spaß
Lukas
IPFire 2.29 - Core Update 184 releasedhttps://www.ipfire.org/blog/ipfire-2-29-core-update-184-released (https://www.ipfire.org/blog/ipfire-2-29-core-update-184-released)
- DNS: unbound 1.19.1, BIND 9.16.48
- DHCP: dhcpcd 10.0.6
- Proxy: squid 6.7
- Logs: logging for packets from and to hostile networks
- Intrusion Prevention: Suricata 6.0.16
- Bug fix: installer
Das Update verlang einen Neustart.SG
Martin
PS:
Das Update lief bei allen IP-Fire problemlos durch. 😊
IPFire 2.29 - Core Update 185 releasedhttps://www.ipfire.org/blog/ipfire-2-29-core-update-185-released
- Bug fixes: u.a. Open VPN, Time Server, DHCP Options, CA Zertifikate, initscripts
- Squid 6.8
- ethtool 6.7
- Unbound 1.19.3
- Suricata 7.0.3
Das Update verlang einen Neustart.
SG
Martin
PS:
Bei einigen Installationen dauerte die Installation ein paar Minuten. Also Geduld haben.
Das Update lief bei allen IP-Fire problemlos durch. 😊