pfSense CE 2.9.0: шлюз на FreeBSD 16-CURRENT, постквантовый SSH и меньше «открытости» у морды

Вышел pfSense CE 2.9.0 — Community Edition дистрибутива межсетевых экранов и сетевых шлюзов на базе FreeBSD. База — FreeBSD 16-CURRENT, фильтр pf, управление через web-интерфейс. В комплекте NAT, Captive Portal, IPsec/OpenVPN, PPPoE, шейпинг, лимиты сессий, CARP, авторизация через локальную базу, RADIUS, LDAP.

Стек. Обновлены PHP 8.5, OpenSSL 3.5.7, OpenSSH 10.3p1, Kea 3.0.2, Unbound 1.24.2, strongSwan 6.0.3.

Криптография. В SSH добавлены постквантовые алгоритмы, устаревшая и слабая крипта отключена, ключи короче 2048 бит не поддерживаются. При обновлении ненадёжный или просроченный сертификат web-интерфейса система перевыпускает автоматически; самоподписанные сертификаты и встроенный CA научились автопродлевать.

NAT. Частичная экспериментальная поддержка режима Port Restricted Cone: динамический маппинг исходного порта клиента на внешний адрес, в том числе когда разные клиенты используют один и тот же исходный порт к одному хосту.

Лицензионный нюанс. Публикация изменений web-интерфейса в общедоступный git прекращена. Для предприятия это сигнал: CE удобен как готовый шлюз с мордой, но аудит кода морды и сборка «своего» дистрибутива на *BSD — уже другая модель. Если нужен полный контроль исходников и BSD-лицензия без сюрпризов вендора, смотрите в сторону чистой FreeBSD + pf/CARP или OPNsense; pfSense — как appliance с понятным SLA по железу Netgate.

Официальный сайт: https://www.pfsense.org