Zenarmor
Έλεγχος εφαρμογών Layer 7 και φιλτράρισμα web.
Επισκόπηση OPNsense
Μια πλατφόρμα firewall και δρομολόγησης ανοιχτού κώδικα βασισμένη στο FreeBSD, που αναπτύσσεται από την Deciso B.V. στην Ολλανδία και διατίθεται από τον Ιανουάριο του 2015. Λειτουργικά ισάξια με τα εμπορικά next-generation firewalls, αλλά διαφορετική ως προς την αδειοδότηση και τη διαφάνεια.
Ταυτότητα
- Κατασκευαστής
- Deciso B.V., Ολλανδία
- Βάση
- FreeBSD, φίλτρο πακέτων pf
- Άδεια
- BSD-2-Clause
- Εκδόσεις
- Ιανουάριος και Ιούλιος
- Από
- Ιανουάριο 2015
Προέλευση
Από πού προέρχεται το OPNsense
Το OPNsense ξεκίνησε το 2014 ως fork του pfSense, με στόχο να ξαναχτίσει από την αρχή την ποιότητα του κώδικα, την ασφάλεια και τη διαφάνεια. Από τότε η πλατφόρμα έχει αναμορφωθεί ριζικά: νέα διεπαφή, συνεπές REST API και αρθρωτό back end.
Αρχιτεκτονική
- FreeBSD ως λειτουργικό σύστημα
- pf ως μηχανή firewall
- Suricata για IDS/IPS
- Unbound για DNS, strongSwan για IPsec
- κάθε ρύθμιση διαθέσιμη και μέσω API
Ασφάλεια στον πυρήνα
- τακτικές ενημερώσεις ασφαλείας από υπογεγραμμένα αποθετήρια πακέτων
- έλεγχος ταυτότητας δύο παραγόντων για τη διεπαφή web και το VPN
- δικαιώματα βάσει ρόλων για τους διαχειριστές
- χωρίς τηλεμετρία προς τον κατασκευαστή, χωρίς υποχρεωτικό cloud
Λειτουργίες
Εύρος λειτουργιών
| Τομέας | Λειτουργίες | Τυπική χρήση |
|---|---|---|
| Firewall | stateful φίλτρο πακέτων, aliases (hosts, δίκτυα, θύρες, GeoIP, πίνακες URL), ομάδες κανόνων, χρονοδιαγράμματα, floating rules | διαχωρισμός ζωνών, τμηματοποίηση, έλεγχος πρόσβασης |
| NAT | port forwarding, outbound NAT, 1:1 NAT, NPTv6, NAT reflection | δημοσίευση εσωτερικών υπηρεσιών |
| Δρομολόγηση | ομάδες gateway, multi-WAN με failover, policy-based routing, OSPF και BGP μέσω FRR | δύο πάροχοι, δίκτυα τοποθεσιών, κέντρο δεδομένων |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, εξαγωγή client | συνδέσεις site-to-site, τηλεργασία, προσωπικό πεδίου |
| IDS/IPS | Suricata σε λειτουργία IDS ή inline IPS, κανόνες ET Open, προαιρετικά εμπορικά σύνολα κανόνων | ανίχνευση και αποκλεισμός γνωστών επιθέσεων |
| Web και εφαρμογές | proxy με φιλτράρισμα κατηγοριών, προαιρετικά Zenarmor για έλεγχο Layer 7 | φιλτράρισμα web, ορατότητα του shadow IT |
| DNS και DHCP | Unbound με λίστες αποκλεισμού και DNS over TLS, Kea ή Dnsmasq | κεντρική επίλυση ονομάτων, αποκλεισμός κακόβουλων domains |
| Υψηλή διαθεσιμότητα | CARP, pfsync, συγχρονισμός διαμόρφωσης | συντήρηση και βλάβες υλικού χωρίς διακοπή λειτουργίας |
| Έλεγχος ταυτότητας | τοπικοί χρήστες, LDAP/Active Directory, RADIUS, TOTP | ασφάλιση πρόσβασης VPN και διαχείρισης |
| Λειτουργία | ιστορικό διαμόρφωσης με επαναφορά, αυτόματα αντίγραφα ασφαλείας, REST API, NetFlow, Telegraf, Zabbix | ιχνηλασιμότητα, αυτοματοποίηση |
Plugins
Επεκτάσιμο χωρίς παραμόρφωση της βάσης
CrowdSec
Κοινόχρηστες λίστες αποκλεισμού έναντι γνωστών IP επιτιθέμενων.
Wazuh agent
Σύνδεση με SIEM και SOC, για παράδειγμα στη NEOSEC.
ACME
Αυτόματα πιστοποιητικά Let’s Encrypt.
HAProxy και nginx
Reverse proxy και κατανομή φορτίου για δημοσιευμένες υπηρεσίες.
FRR
Δυναμική δρομολόγηση με OSPF και BGP.
Εκδόσεις
Community ή Business Edition
Η αδειοδότηση γίνεται ανά firewall, όχι ανά χρήστη, ρυθμοαπόδοση ή λειτουργία.
| Community Edition | Business Edition | |
|---|---|---|
| Κόστος | δωρεάν | ετήσια άδεια ανά firewall |
| Βάση κώδικα | ίδιος πυρήνας | ίδιος πυρήνας |
| Εκδόσεις | πρώτα οι νέες λειτουργίες | ώριμες εκδόσεις με χρονική καθυστέρηση |
| Πρόσθετες λειτουργίες | – | μεταξύ άλλων OPNcentral για πολλά firewalls |
| Πηγή πακέτων | mirror της κοινότητας | εμπορικό αποθετήριο |
| Η σύστασή μας | εργαστήριο, δοκιμές, μικρά περιβάλλοντα | παραγωγική χρήση σε επιχειρήσεις, ιατρικά κέντρα και νοσοκομεία |
Με ειλικρίνεια
Πού ταιριάζει το OPNsense και πού όχι
Ιδανικό για
- περιμετρικό firewall με IDS/IPS
- τμηματοποίηση εσωτερικών δικτύων και OT
- διασύνδεση τοποθεσιών και VPN τηλεργασίας
- clusters υψηλής διαθεσιμότητας
- περιβάλλοντα με υποχρεώσεις τεκμηρίωσης
Πού δεν το συνιστούμε
- όταν το cloud του κατασκευαστή είναι υποχρεωτικό για τη διαχείριση
- όταν η ενσωμάτωση με τα endpoints, όπως το Sophos Synchronized Security, είναι κεντρική στη στρατηγική σας
- όταν το email gateway πρέπει να λειτουργεί στην ίδια συσκευή
Κύκλος εκδόσεων: Το OPNsense κυκλοφορεί νέα κύρια έκδοση δύο φορές τον χρόνο, τον Ιανουάριο και τον Ιούλιο (σχήμα YY.1 και YY.7). Στο ενδιάμεσο ακολουθούν τακτικά διορθώσεις ασφαλείας και σφαλμάτων. Έτσι μπορείτε να προγραμματίσετε τα παράθυρα συντήρησης ένα χρόνο νωρίτερα.
FAQ
Συχνές ερωτήσεις
Είναι το OPNsense το ίδιο με το pfSense;
Όχι. Το OPNsense προέκυψε από το pfSense το 2014, όμως έκτοτε αναπτύσσεται ανεξάρτητα και έχει ξαναγραφτεί σε μεγάλο βαθμό. Η διεπαφή, το API, ο κύκλος εκδόσεων και ο κατασκευαστής διαφέρουν.
Λειτουργεί το OPNsense και σε εικονικό περιβάλλον;
Ναι, σε Proxmox, VMware, Hyper-V, KVM και στο cloud. Ως περιμετρικό firewall συνιστούμε συνήθως αποκλειστικό υλικό.
Τι συμβαίνει όταν λήξει η άδεια Business;
Το firewall συνεχίζει να λειτουργεί πλήρως και μπορεί να μεταβεί στην πηγή πακέτων της κοινότητας.
Επικοινωνία
Είναι το OPNsense κατάλληλο για το δίκτυό σας;
Θα σας δώσουμε μια ειλικρινή απάντηση, ακόμη κι αν είναι αρνητική.