Zenarmor
Kontrola aplikací na vrstvě 7 a webový filtr.
Přehled OPNsense
Open-source platforma pro firewall a směrování založená na FreeBSD, vyvíjená společností Deciso B.V. v Nizozemsku a dostupná od ledna 2015. Funkčně srovnatelná s komerčními firewally nové generace, ale odlišná v licencování a transparentnosti.
Profil
- Výrobce
- Deciso B.V., Nizozemsko
- Základ
- FreeBSD, paketový filtr pf
- Licence
- BSD-2-Clause
- Vydání
- leden a červenec
- Od
- ledna 2015
Původ
Odkud OPNsense pochází
OPNsense vznikl v roce 2014 jako fork pfSense s cílem od základu přebudovat kvalitu kódu, bezpečnost a otevřenost. Od té doby byla platforma zásadně přepracována: nové rozhraní, jednotné REST API a modulární backend.
Architektura
- FreeBSD jako operační systém
- pf jako firewallové jádro
- Suricata pro IDS/IPS
- Unbound pro DNS, strongSwan pro IPsec
- každé nastavení dostupné i přes API
Bezpečnost v jádru
- pravidelné bezpečnostní aktualizace z podepsaných repozitářů balíčků
- dvoufaktorové ověření pro webové rozhraní a VPN
- oprávnění administrátorů podle rolí
- žádná telemetrie k výrobci, žádný povinný cloud
Funkce
Rozsah funkcí
| Oblast | Funkce | Typické použití |
|---|---|---|
| Firewall | stavový paketový filtr, aliasy (hosty, sítě, porty, GeoIP, tabulky URL), skupiny pravidel, časové plány, plovoucí pravidla | oddělení zón, segmentace, řízení přístupu |
| NAT | přesměrování portů, odchozí NAT, NAT 1:1, NPTv6, NAT reflection | zpřístupnění interních služeb |
| Směrování | skupiny bran, multi-WAN s failoverem, směrování podle politik, OSPF a BGP přes FRR | dva poskytovatelé, sítě poboček, datové centrum |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, export klientů | propojení poboček, práce z domova, pracovníci v terénu |
| IDS/IPS | Suricata v režimu IDS nebo inline IPS, pravidla ET Open, volitelně komerční sady pravidel | detekce a blokování známých útoků |
| Web a aplikace | proxy s filtrováním podle kategorií, volitelně Zenarmor pro kontrolu na vrstvě 7 | webový filtr, zviditelnění stínového IT |
| DNS a DHCP | Unbound s blocklisty a DNS over TLS, Kea nebo Dnsmasq | centrální překlad názvů, blokování domén s malwarem |
| Vysoká dostupnost | CARP, pfsync, synchronizace konfigurace | údržba a poruchy hardwaru bez výpadku |
| Ověřování | místní uživatelé, LDAP/Active Directory, RADIUS, TOTP | zabezpečení VPN a administrátorského přístupu |
| Provoz | historie konfigurace s návratem zpět, automatické zálohy, REST API, NetFlow, Telegraf, Zabbix | dohledatelnost, automatizace |
Pluginy
Rozšiřitelný bez ohýbání základu
CrowdSec
Sdílené blocklisty proti známým IP adresám útočníků.
Agent Wazuh
Napojení na SIEM a SOC, například u NEOSEC.
ACME
Automatické certifikáty Let’s Encrypt.
HAProxy a nginx
Reverzní proxy a rozložení zátěže pro zveřejněné služby.
FRR
Dynamické směrování s OSPF a BGP.
Edice
Community nebo Business Edition
Licencuje se za firewall, ne podle uživatelů, propustnosti nebo funkcí.
| Community Edition | Business Edition | |
|---|---|---|
| Náklady | zdarma | roční licence za firewall |
| Kódová základna | totožné jádro | totožné jádro |
| Vydání | nové funkce jako první | vyzrálá vydání s časovým odstupem |
| Další funkce | – | mimo jiné OPNcentral pro více firewallů |
| Zdroj balíčků | komunitní mirror | komerční repozitář |
| Naše doporučení | laboratoř, testy, malá prostředí | produktivní nasazení ve firmách, zdravotnických centrech a nemocnicích |
Upřímně
Kde se OPNsense hodí a kde ne
Ideální pro
- perimetrový firewall s IDS/IPS
- segmentaci interních sítí a OT
- propojení poboček a VPN pro práci z domova
- clustery s vysokou dostupností
- prostředí s povinností dokumentace
Kde ho nedoporučujeme
- pokud je pro správu povinný cloud výrobce
- pokud je integrace koncových zařízení, jako Sophos Synchronized Security, jádrem vašeho konceptu
- pokud má e-mailová brána běžet ve stejném zařízení
Cyklus vydání: OPNsense vydává novou hlavní verzi dvakrát ročně, v lednu a v červenci (schéma YY.1 a YY.7). Mezi nimi pravidelně vycházejí bezpečnostní opravy a opravy chyb. Servisní okna tak můžete plánovat rok dopředu.
FAQ
Časté dotazy
Je OPNsense totéž co pfSense?
Ne. OPNsense vznikl z pfSense v roce 2014, od té doby se však vyvíjí samostatně a byl z velké části přepsán. Rozhraní, API, cyklus vydání i výrobce se liší.
Běží OPNsense i virtuálně?
Ano, na Proxmoxu, VMware, Hyper-V, KVM i v cloudu. Jako perimetrový firewall obvykle doporučujeme vyhrazený hardware.
Co se stane, když vyprší licence Business?
Firewall běží dál v plném rozsahu a lze ho přepnout na komunitní zdroj balíčků.
Kontakt
Hodí se OPNsense pro vaši síť?
Odpovíme vám upřímně, i když to bude ne.