Zenarmor
Контрол на приложенията на ниво Layer 7 и уеб филтър.
Преглед на OPNsense
Платформа с отворен код за защитна стена и маршрутизация, базирана на FreeBSD, разработвана от Deciso B.V. в Нидерландия и налична от януари 2015 г. Функционално равностойна на търговските защитни стени от ново поколение, но различна по отношение на лицензиране и прозрачност.
Основни данни
- Производител
- Deciso B.V., Нидерландия
- Основа
- FreeBSD, пакетен филтър pf
- Лиценз
- BSD-2-Clause
- Версии
- януари и юли
- От
- януари 2015 г.
Произход
Откъде идва OPNsense
OPNsense започва през 2014 г. като разклонение (fork) на pfSense с цел качеството на кода, сигурността и откритостта да бъдат изградени наново из основи. Оттогава платформата е преработена основно: нов интерфейс, последователен REST API и модулна вътрешна архитектура.
Архитектура
- FreeBSD като операционна система
- pf като механизъм на защитната стена
- Suricata за IDS/IPS
- Unbound за DNS, strongSwan за IPsec
- всяка настройка е достъпна и чрез API
Сигурност в основата
- редовни актуализации за сигурност от подписани хранилища на пакети
- двуфакторна автентикация за уеб интерфейса и VPN
- права за администраторите, базирани на роли
- без телеметрия към производителя, без задължителен облак
Функции
Функционалност
| Област | Функции | Типично приложение |
|---|---|---|
| Защитна стена | stateful пакетен филтър, псевдоними (хостове, мрежи, портове, GeoIP, URL таблици), групи правила, графици, floating правила | разделяне на зони, сегментиране, контрол на достъпа |
| NAT | пренасочване на портове, изходящ NAT, 1:1 NAT, NPTv6, NAT reflection | публикуване на вътрешни услуги |
| Маршрутизация | групи шлюзове, multi-WAN с failover, policy-based routing, OSPF и BGP чрез FRR | двама доставчици, мрежи между обекти, център за данни |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, експорт на клиенти | връзки site-to-site, работа от вкъщи, служители на терен |
| IDS/IPS | Suricata в режим IDS или inline IPS, правила ET Open, по избор търговски набори от правила | откриване и блокиране на известни атаки |
| Уеб и приложения | прокси с филтриране по категории, по избор Zenarmor за контрол на ниво Layer 7 | уеб филтър, видимост на shadow IT |
| DNS и DHCP | Unbound със списъци за блокиране и DNS over TLS, Kea или Dnsmasq | централно разрешаване на имена, блокиране на домейни със зловреден софтуер |
| Висока наличност | CARP, pfsync, синхронизация на конфигурацията | поддръжка и хардуерни повреди без прекъсване |
| Автентикация | локални потребители, LDAP/Active Directory, RADIUS, TOTP | защита на VPN и администраторския достъп |
| Експлоатация | история на конфигурацията с връщане назад, автоматични резервни копия, REST API, NetFlow, Telegraf, Zabbix | проследимост, автоматизация |
Плъгини
Разширяема, без да се изкривява основата
CrowdSec
Споделени списъци за блокиране срещу известни IP адреси на нападатели.
Wazuh агент
Връзка към SIEM и SOC, например при NEOSEC.
ACME
Автоматични сертификати от Let’s Encrypt.
HAProxy и nginx
Reverse proxy и балансиране на натоварването за публикувани услуги.
FRR
Динамична маршрутизация с OSPF и BGP.
Издания
Community или Business Edition
Лицензирането е на защитна стена, а не по потребители, пропускателна способност или функции.
| Community Edition | Business Edition | |
|---|---|---|
| Цена | безплатно | годишен лиценз на защитна стена |
| Кодова база | идентично ядро | идентично ядро |
| Версии | новите функции първо тук | зрели версии с времево отместване |
| Допълнителни функции | – | включително OPNcentral за няколко защитни стени |
| Източник на пакети | огледален сървър на общността | търговско хранилище |
| Нашата препоръка | лаборатория, тестове, малки среди | продуктивна употреба във фирми, медицински центрове и болници |
Честно казано
Къде OPNsense е подходящ и къде не
Идеален за
- периметърна защитна стена с IDS/IPS
- сегментиране на вътрешни мрежи и OT
- свързване site-to-site и VPN за работа от вкъщи
- клъстери с висока наличност
- среди със задължения за документиране
Кога не го препоръчваме
- ако за управлението е задължителен облак на производителя
- ако интеграцията с крайни устройства, като Sophos Synchronized Security, е централна за Вашата концепция
- ако имейл шлюзът трябва да работи в същото устройство
Цикъл на версиите: OPNsense издава нова основна версия два пъти годишно, през януари и юли (схема YY.1 и YY.7). Междувременно редовно излизат корекции за сигурност и грешки. Това Ви позволява да планирате прозорците за поддръжка година напред.
FAQ
Често задавани въпроси
OPNsense същото ли е като pfSense?
Не. OPNsense произлиза от pfSense през 2014 г., но оттогава се разработва самостоятелно и е до голяма степен пренаписан. Интерфейсът, API, цикълът на версиите и производителят са различни.
Работи ли OPNsense и виртуално?
Да, на Proxmox, VMware, Hyper-V, KVM и в облака. Като периметърна защитна стена обикновено препоръчваме специализиран хардуер.
Какво става, когато лицензът за Business изтече?
Защитната стена продължава да работи изцяло и може да бъде превключена към източника на пакети на общността.
Контакт
Подходящ ли е OPNsense за Вашата мрежа?
Ще Ви отговорим честно, дори ако отговорът е не.