Zenarmor
Applikationskontrol og webfiltrering på lag 7.
OPNsense-overblik
En open source-platform til firewall og routing baseret på FreeBSD, udviklet af Deciso B.V. i Holland og tilgængelig siden januar 2015. Funktionelt på niveau med kommercielle next-generation firewalls, men anderledes med hensyn til licenser og gennemsigtighed.
Faktaark
- Leverandør
- Deciso B.V., Holland
- Basis
- FreeBSD, pakkefilteret pf
- Licens
- BSD-2-Clause
- Udgivelser
- januar og juli
- Siden
- januar 2015
Oprindelse
Hvor OPNsense kommer fra
OPNsense startede i 2014 som en fork af pfSense med det mål at genopbygge kodekvalitet, sikkerhed og åbenhed fra bunden. Siden da er platformen omarbejdet grundlæggende: en ny brugerflade, et ensartet REST API og en modulær backend.
Arkitektur
- FreeBSD som operativsystem
- pf som firewallmotor
- Suricata til IDS/IPS
- Unbound til DNS, strongSwan til IPsec
- alle indstillinger også tilgængelige via API
Sikkerhed i kernen
- regelmæssige sikkerhedsopdateringer fra signerede pakkearkiver
- tofaktorgodkendelse til webbrugerfladen og VPN
- rollebaserede rettigheder for administratorer
- ingen telemetri til leverandøren, ingen obligatorisk cloud
Funktioner
Funktionsomfang
| Område | Funktioner | Typisk anvendelse |
|---|---|---|
| Firewall | stateful pakkefilter, aliasser (værter, netværk, porte, GeoIP, URL-tabeller), regelgrupper, tidsplaner, floating rules | zoneopdeling, segmentering, adgangskontrol |
| NAT | port forwarding, udgående NAT, 1:1 NAT, NPTv6, NAT reflection | udstilling af interne tjenester |
| Routing | gatewaygrupper, multi-WAN med failover, policy-baseret routing, OSPF og BGP via FRR | to udbydere, lokationsnetværk, datacenter |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, klienteksport | site-to-site-forbindelser, hjemmearbejde, udekørende medarbejdere |
| IDS/IPS | Suricata i IDS- eller inline IPS-tilstand, ET Open-regler, valgfrie kommercielle regelsæt | genkendelse og blokering af kendte angreb |
| Web og applikationer | proxy med kategorifiltrering, valgfrit Zenarmor til kontrol på lag 7 | webfiltrering, synliggørelse af skygge-IT |
| DNS og DHCP | Unbound med blokeringslister og DNS over TLS, Kea eller Dnsmasq | centralt navneopslag, blokering af malwaredomæner |
| Høj tilgængelighed | CARP, pfsync, konfigurationssynkronisering | vedligeholdelse og hardwarefejl uden nedetid |
| Godkendelse | lokale brugere, LDAP/Active Directory, RADIUS, TOTP | sikring af VPN- og administratoradgang |
| Drift | konfigurationshistorik med rollback, automatisk backup, REST API, NetFlow, Telegraf, Zabbix | sporbarhed, automatisering |
Plugins
Kan udvides uden at bøje basissystemet
CrowdSec
Fælles blokeringslister mod kendte angriber-IP-adresser.
Wazuh-agent
Tilslutning til SIEM og SOC, for eksempel hos NEOSEC.
ACME
Automatiske Let’s Encrypt-certifikater.
HAProxy og nginx
Reverse proxy og load balancing for udstillede tjenester.
FRR
Dynamisk routing med OSPF og BGP.
Editions
Community eller Business Edition
Licensen gælder pr. firewall, ikke efter brugere, throughput eller funktioner.
| Community Edition | Business Edition | |
|---|---|---|
| Pris | gratis | årlig licens pr. firewall |
| Kodebase | identisk kerne | identisk kerne |
| Udgivelser | nye funktioner først | modne udgivelser med tidsforskydning |
| Ekstra funktioner | – | bl.a. OPNcentral til flere firewalls |
| Pakkekilde | community-spejl | kommercielt pakkearkiv |
| Vores anbefaling | lab, test, små miljøer | produktionsdrift i virksomheder, lægecentre og hospitaler |
Ærligt talt
Hvor OPNsense passer, og hvor ikke
Ideel til
- perimeterfirewall med IDS/IPS
- segmentering af interne netværk og OT
- forbindelser mellem lokationer og VPN til hjemmearbejde
- klynger med høj tilgængelighed
- miljøer med dokumentationspligt
Her fraråder vi det
- hvis en leverandørcloud er obligatorisk til administrationen
- hvis endpoint-integration som Sophos Synchronized Security er central i dit koncept
- hvis e-mail-gatewayen skal køre i samme boks
Udgivelsescyklus: OPNsense udgiver en ny hovedversion to gange om året, i januar og juli (skema YY.1 og YY.7). Ind imellem kommer der løbende sikkerheds- og fejlrettelser. Det gør det muligt at planlægge servicevinduer et år frem.
FAQ
Ofte stillede spørgsmål
Er OPNsense det samme som pfSense?
Nej. OPNsense udsprang af pfSense i 2014, men er siden udviklet uafhængigt og i vid udstrækning skrevet om. Brugerflade, API, udgivelsescyklus og leverandør er forskellige.
Kører OPNsense også virtuelt?
Ja, på Proxmox, VMware, Hyper-V, KVM og i skyen. Som perimeterfirewall anbefaler vi som regel dedikeret hardware.
Hvad sker der, når Business-licensen udløber?
Firewallen kører fortsat fuldt ud og kan stilles om til community-pakkekilden.
Kontakt
Passer OPNsense til dit netværk?
Vi giver dig et ærligt svar, også selv om det er nej.