Zenarmor
Control de aplicaciones en capa 7 y filtrado web.
Visión general de OPNsense
Una plataforma de firewall y enrutamiento de código abierto basada en FreeBSD, desarrollada por Deciso B.V. en los Países Bajos y disponible desde enero de 2015. Funcionalmente a la altura de los firewalls comerciales de nueva generación, pero distinta en licencias y transparencia.
Ficha técnica
- Fabricante
- Deciso B.V., Países Bajos
- Base
- FreeBSD, filtro de paquetes pf
- Licencia
- BSD-2-Clause
- Versiones
- enero y julio
- Desde
- enero de 2015
Origen
De dónde viene OPNsense
OPNsense nació en 2014 como bifurcación (fork) de pfSense, con el objetivo de reconstruir desde cero la calidad del código, la seguridad y la apertura. Desde entonces la plataforma se ha renovado a fondo: una nueva interfaz, una API REST coherente y un back end modular.
Arquitectura
- FreeBSD como sistema operativo
- pf como motor de firewall
- Suricata para IDS/IPS
- Unbound para DNS, strongSwan para IPsec
- cada ajuste disponible también mediante API
Seguridad desde el núcleo
- actualizaciones de seguridad periódicas desde repositorios de paquetes firmados
- autenticación de dos factores para la interfaz web y la VPN
- permisos basados en roles para administradores
- sin telemetría hacia el fabricante, sin nube obligatoria
Funciones
Alcance funcional
| Área | Funciones | Uso típico |
|---|---|---|
| Firewall | filtro de paquetes con estado, alias (hosts, redes, puertos, GeoIP, tablas de URL), grupos de reglas, horarios, reglas flotantes | separación de zonas, segmentación, control de acceso |
| NAT | redirección de puertos, NAT de salida, NAT 1:1, NPTv6, reflexión NAT | publicación de servicios internos |
| Enrutamiento | grupos de gateways, multi-WAN con conmutación por error, enrutamiento basado en políticas, OSPF y BGP mediante FRR | dos proveedores, redes entre sedes, centro de datos |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, exportación de clientes | enlaces entre sedes, teletrabajo, personal de campo |
| IDS/IPS | Suricata en modo IDS o IPS inline, reglas ET Open, conjuntos de reglas comerciales opcionales | detección y bloqueo de ataques conocidos |
| Web y aplicaciones | proxy con filtrado por categorías, opcionalmente Zenarmor para control en capa 7 | filtrado web, visibilidad de la TI en la sombra |
| DNS y DHCP | Unbound con listas de bloqueo y DNS over TLS, Kea o Dnsmasq | resolución de nombres centralizada, bloqueo de dominios de malware |
| Alta disponibilidad | CARP, pfsync, sincronización de la configuración | mantenimiento y fallos de hardware sin interrupción |
| Autenticación | usuarios locales, LDAP/Active Directory, RADIUS, TOTP | protección del acceso VPN y de administración |
| Operación | historial de configuración con reversión, copias de seguridad automáticas, API REST, NetFlow, Telegraf, Zabbix | trazabilidad, automatización |
Plugins
Ampliable sin forzar la base
CrowdSec
Listas de bloqueo compartidas contra IP de atacantes conocidos.
Agente Wazuh
Conexión a SIEM y SOC, por ejemplo en NEOSEC.
ACME
Certificados Let’s Encrypt automáticos.
HAProxy y nginx
Proxy inverso y balanceo de carga para servicios publicados.
FRR
Enrutamiento dinámico con OSPF y BGP.
Ediciones
Community o Business Edition
La licencia es por firewall, no por usuarios, rendimiento ni funciones.
| Community Edition | Business Edition | |
|---|---|---|
| Coste | gratuita | licencia anual por firewall |
| Base de código | núcleo idéntico | núcleo idéntico |
| Versiones | primero las novedades | versiones maduras con cierto desfase |
| Funciones adicionales | – | entre ellas OPNcentral para varios firewalls |
| Origen de paquetes | mirror de la comunidad | repositorio comercial |
| Nuestra recomendación | laboratorio, pruebas, entornos pequeños | uso productivo en empresas, centros médicos y hospitales |
Con franqueza
Dónde encaja OPNsense y dónde no
Ideal para
- firewall perimetral con IDS/IPS
- segmentación de redes internas y OT
- conexión entre sedes y VPN para teletrabajo
- clústeres de alta disponibilidad
- entornos con obligaciones de documentación
Dónde lo desaconsejamos
- si la gestión exige obligatoriamente una nube del fabricante
- si la integración con endpoints, como Sophos Synchronized Security, es central en su concepto
- si la pasarela de correo debe funcionar en el mismo equipo
Ciclo de versiones: OPNsense publica una nueva versión principal dos veces al año, en enero y julio (esquema AA.1 y AA.7). Entre medias se publican con regularidad correcciones de seguridad y de errores. Así puede planificar las ventanas de mantenimiento con un año de antelación.
FAQ
Preguntas frecuentes
¿Es OPNsense lo mismo que pfSense?
No. OPNsense surgió de pfSense en 2014, pero desde entonces se desarrolla de forma independiente y se ha reescrito en gran parte. La interfaz, la API, el ciclo de versiones y el fabricante son distintos.
¿Funciona OPNsense también de forma virtual?
Sí, en Proxmox, VMware, Hyper-V, KVM y en la nube. Como firewall perimetral solemos recomendar hardware dedicado.
¿Qué ocurre cuando vence la licencia Business?
El firewall sigue funcionando por completo y puede pasarse al origen de paquetes de la comunidad.
Contacto
¿Es OPNsense adecuado para su red?
Le daremos una respuesta sincera, aunque sea negativa.