Partner OPNsense od roku 2016
OPNsense chrání vaši síť pomocí IDS/IPS, VPN a vysoké dostupnosti, bez licencí za uživatele nebo za funkci. Navrhneme appliance, bezpečně vás převedeme ze stávajícího firewallu, budeme ho za vás provozovat a na přání ho připojíme k nepřetržitému SOC našeho partnera NEOSEC.
Dvě cesty, jeden známý konec
Většina organizací skončí u jednoho ze dvou modelů. Oba nějakou dobu fungují.
Cesta 1
Cesta 2
OPNsense spojuje obojí: otevřený kód a podnikové funkce, provozované jako komerční firewall.
Funkce
Vše je součástí standardu, bez příplatku za jednotlivé funkce.
Detekce a prevence průniků v režimu inline s otevřenými a volitelně komerčními sadami pravidel.
IPsec pro pobočky, WireGuard a OpenVPN pro mobilní zaměstnance, vždy s dvoufaktorovým ověřením.
Dvě zařízení v clusteru CARP se synchronizovanými spojeními. Aktualizace a výměna hardwaru bez přerušení.
Tolik sítí VLAN a zón, kolik potřebujete pro administrativu, výrobu, zdravotnickou techniku, hosty a IoT.
Více poskytovatelů s failoverem a rozložením zátěže, navíc OSPF a BGP pomocí pluginů.
Každé nastavení přes REST API, historie konfigurace s porovnáním a návratem zpět.
Srovnání
| Kritérium | Typický komerční UTM | OPNsense |
|---|---|---|
| Licenční model | balíčky předplatného, některé funkce licencované zvlášť | Community Edition zdarma, Business Edition za firewall |
| Po vypršení licence | ochranné funkce a aktualizace často končí | firewall běží dál v plném rozsahu |
| Rozsah funkcí | závisí na balíčku | IDS/IPS, VPN, HA a webový filtr v ceně |
| Zdrojový kód | proprietární | otevřený (licence BSD) |
| Správa | často cloud výrobce | lokálně, přes API nebo centrálně s OPNcentral |
| Cyklus vydání | závisí na výrobci | dvě hlavní verze ročně, v lednu a v červenci |
| Pozdější přechod | drahý, proprietární konfigurace | otevřené formáty a úplná dokumentace |
Migrace
Pro každý zdrojový systém popisujeme, co lze převzít, jakým způsobem a na co si dát pozor.
Postup
Migrace málokdy selže kvůli novému firewallu, ale kvůli zapomenutým pravidlům a zvláštním případům. Proto začínáme tím, co už máte.
Export konfigurace, rozhovor s vaším IT týmem, analýza pravidel, NAT, VPN, certifikátů a zvláštních případů. Čítače zásahů ukazují, která pravidla se skutečně používají.
Převod do logiky OPNsense: aliasy, pravidla rozhraní, NAT, tunely VPN, napojení uživatelů. Funkce specifické pro výrobce zajistíme vestavěnými nástroji nebo pluginy.
Sestavení v laboratoři nebo paralelně v testovacím segmentu. Kritické aplikace, tunely VPN a zvláštní případy prověříme podle společného kontrolního seznamu.
Přepnutí v servisním okně podle runbooku. Starý firewall zůstane zapojený a připravený, návrat zpět trvá minuty.
Analýza logů kvůli zablokovaným legitimním spojením, doladění sady pravidel, předání dokumentace.
SOC s NEOSEC
Na přání proudí logy z OPNsense do SIEM našeho bezpečnostního partnera NEOSEC. Podle úrovně NEOSEC monitoruje, podporuje nebo přebírá reakci, až po nepřetržitý provoz 24/7.
Úroveň 1
Jak začít se strukturovaným monitoringem?
NEOSEC nastaví a provozuje SIEM. Události z firewallu, koncových zařízení a sítě se centrálně shromažďují a kontrolují podle osvědčených sad pravidel.
Úroveň 2
Jak získat aktivní podporu?
Managed detection and response: NEOSEC udržuje sady pravidel, vyhodnocuje výstrahy a reaguje společně s vámi podle předem definovaných postupů.
Úroveň 3
Kdo reaguje v noci a o víkendech?
Bezpečnostní operační centrum nepřetržitě. NEOSEC monitoruje, v dohodnutých mezích reaguje samostatně a dokumentuje každý incident.
AI a MCP
Náš vlastní MCP server pro OPNsense dává asistentům AI strukturovaný přístup k pravidlům, rozhraním, VPN a logům. Každá akce je zařazena podle rizika a kritické změny vyžadují potvrzení. Na přání běží AI zcela u vás.
Která pravidla v lokalitě Sever nebyla za posledních 90 dní použita?
Načíst pravidla, zjistit čítače zásahů
7 ze 64 pravidel nemá žádné zásahy, mezi nimi 2 povolení pro VPN, která byla zrušena. Mám je deaktivovat? Nejprve vytvořím bod obnovy.
Ano, deaktivujte je.
Vytvořit bod obnovy, deaktivovat pravidla (úroveň rizika střední, potvrzeno)
Hotovo. Bod obnovy vytvořen, 7 pravidel deaktivováno, kdykoli lze vrátit zpět.
Pro koho
Více lokalit, práce z domova, výroba a administrativa ve stejné síti. Podniková bezpečnost bez podnikového licenčního modelu.
OPNsense pro střední firmyZdravotnické přístroje bez aktualizací, německá telematická infrastruktura (TI) a povinnosti prokazování. Firewall se stává nástrojem pro segmentaci a doklady.
OPNsense ve zdravotnictvíProč my
Ne: kopírovat řádky
Analyzujeme, která pravidla se skutečně uplatňují, a převádíme logiku, ne staré nánosy.
Ne: doufat při přepnutí
Starý firewall zůstane zapojený až do vašeho převzetí. Návrat zpět trvá minuty.
Ne: znalosti jako závislost
Strukturovaná tak, aby ji mohl převzít i jiný poskytovatel služeb.
FAQ
Community Edition je zdarma. Náklady vznikají za hardware, volitelně za Business Edition (roční licence za firewall) a za nasazení a provoz. Neexistují licence za uživatele, funkce ani propustnost.
Základní komponenty OPNsense, jako paketový filtr pf, Suricata, strongSwan a Unbound, patří k nejdůkladněji prověřeným bezpečnostním projektům. Za ním stojí výrobce Deciso s komerční podporou a my jsme u vás na místě.
Samotné přepnutí obvykle trvá jednu až dvě hodiny v servisním okně. Příprava a testování trvají podle rozsahu od několika dní do několika týdnů.
Na přání náš bezpečnostní partner NEOSEC. Logy proudí do jeho SIEM a podle úrovně NEOSEC reaguje nepřetržitě. Více na stránce SOC s NEOSEC.
Kontakt
Úvodní rozhovor s inženýrem OPNsense, ne prodejní prezentace. Pokud OPNsense není to pravé, řekneme vám to.
