Zenarmor
7. kihi rakenduste kontroll ja veebifilter.
OPNsense ülevaade
Avatud lähtekoodiga tulemüüri- ja marsruutimisplatvorm FreeBSD baasil, mille arendab Madalmaade ettevõte Deciso B.V. ja mis on saadaval alates 2015. aasta jaanuarist. Funktsionaalselt samaväärne kommertslike järgmise põlvkonna tulemüüridega, kuid erineb litsentsimise ja läbipaistvuse poolest.
Faktileht
- Tootja
- Deciso B.V., Madalmaad
- Alus
- FreeBSD, pf-pakettfilter
- Litsents
- BSD-2-Clause
- Väljalasked
- jaanuar ja juuli
- Alates
- jaanuar 2015
Päritolu
Kust OPNsense pärineb
OPNsense sai alguse 2014. aastal pfSense’i harust eesmärgiga ehitada koodikvaliteet, turvalisus ja avatus algusest peale uuesti üles. Sellest ajast on platvormi põhjalikult ümber töötatud: uus kasutajaliides, ühtne REST API ja modulaarne taustsüsteem.
Arhitektuur
- operatsioonisüsteemina FreeBSD
- tulemüürimootorina pf
- IDS/IPS jaoks Suricata
- DNS jaoks Unbound, IPseci jaoks strongSwan
- iga seadistus on saadaval ka API kaudu
Turvalisus tuumas
- regulaarsed turvauuendused allkirjastatud pakettide hoidlatest
- kaheastmeline autentimine veebiliidesele ja VPN-ile
- rollipõhised õigused administraatoritele
- telemeetriat tootjale ei saadeta, kohustuslikku pilve pole
Funktsioonid
Funktsioonide ulatus
| Valdkond | Funktsioonid | Tüüpiline kasutus |
|---|---|---|
| Tulemüür | olekupõhine pakettfilter, aliased (hostid, võrgud, pordid, GeoIP, URL-tabelid), reeglirühmad, ajakavad, floating-reeglid | tsoonide eraldamine, segmentimine, juurdepääsu kontroll |
| NAT | pordi edastamine, väljuv NAT, 1:1 NAT, NPTv6, NAT-peegeldus | siseteenuste avaldamine |
| Marsruutimine | lüüsirühmad, multi-WAN tõrkesiirdega, poliitikapõhine marsruutimine, OSPF ja BGP FRR-i kaudu | kaks teenusepakkujat, asukohtade võrgud, andmekeskus |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, klientide eksport | asukohtadevahelised ühendused, kaugtöö, välitöötajad |
| IDS/IPS | Suricata IDS- või inline IPS-režiimis, ET Open reeglid, valikulised kommertsreeglistikud | teadaolevate rünnete tuvastamine ja blokeerimine |
| Veeb ja rakendused | puhverserver kategooriafiltriga, valikuliselt Zenarmor 7. kihi kontrolliks | veebifilter, varjatud IT nähtavaks tegemine |
| DNS ja DHCP | Unbound blokeerimisloendite ja DNS over TLS-iga, Kea või Dnsmasq | tsentraalne nimelahendus, pahavara domeenide blokeerimine |
| Kõrgkäideldavus | CARP, pfsync, konfiguratsiooni sünkroniseerimine | hooldus ja riistvararikked ilma seisakuta |
| Autentimine | kohalikud kasutajad, LDAP/Active Directory, RADIUS, TOTP | VPN-i ja administraatori juurdepääsu kaitsmine |
| Haldus | konfiguratsiooni ajalugu tagasipööramisega, automaatsed varukoopiad, REST API, NetFlow, Telegraf, Zabbix | jälgitavus, automatiseerimine |
Pistikprogrammid
Laiendatav ilma alust painutamata
CrowdSec
Jagatud blokeerimisloendid teadaolevate ründajate IP-aadresside vastu.
Wazuhi agent
Ühendus SIEM-i ja SOC-iga, näiteks NEOSEC-is.
ACME
Automaatsed Let’s Encrypti sertifikaadid.
HAProxy ja nginx
Pöördpuhverserver ja koormuse jaotamine avaldatud teenustele.
FRR
Dünaamiline marsruutimine OSPF-i ja BGP-ga.
Versioonid
Community või Business Edition
Litsents on tulemüüri kohta, mitte kasutajate, läbilaskevõime ega funktsioonide põhine.
| Community Edition | Business Edition | |
|---|---|---|
| Hind | tasuta | iga-aastane litsents tulemüüri kohta |
| Koodibaas | identne tuum | identne tuum |
| Väljalasked | uued funktsioonid esimesena | küpsed väljalasked ajalise nihkega |
| Lisafunktsioonid | – | sh OPNcentral mitme tulemüüri haldamiseks |
| Pakettide allikas | kogukonna peegelserver | kommertshoidla |
| Meie soovitus | labor, testimine, väikesed keskkonnad | tootmiskasutus ettevõtetes, meditsiinikeskustes ja haiglates |
Ausalt öeldes
Kuhu OPNsense sobib ja kuhu mitte
Ideaalne
- perimeetritulemüür IDS/IPS-iga
- sisevõrkude ja OT segmentimine
- asukohtadevaheline ühenduvus ja kaugtöö VPN
- kõrgkäideldavusega klastrid
- dokumenteerimiskohustusega keskkonnad
Millal me ei soovita
- kui halduseks on kohustuslik tootja pilv
- kui lõppseadmete integratsioon, nt Sophos Synchronized Security, on teie kontseptsiooni keskmes
- kui e-posti lüüs peab töötama samas seadmes
Väljalasketsükkel: OPNsense avaldab uue põhiversiooni kaks korda aastas, jaanuaris ja juulis (skeem YY.1 ja YY.7). Vahepeal tulevad regulaarselt turva- ja veaparandused. Nii saate hooldusaknaid planeerida aasta ette.
FAQ
Korduma kippuvad küsimused
Kas OPNsense on sama mis pfSense?
Ei. OPNsense eraldus pfSense’ist 2014. aastal, kuid on sellest ajast arenenud iseseisvalt ja on suures osas ümber kirjutatud. Kasutajaliides, API, väljalasketsükkel ja tootja on erinevad.
Kas OPNsense töötab ka virtuaalselt?
Jah, Proxmoxis, VMware’is, Hyper-V-s, KVM-is ja pilves. Perimeetritulemüüri jaoks soovitame tavaliselt eraldi riistvara.
Mis juhtub, kui Business-litsents aegub?
Tulemüür töötab täies mahus edasi ja selle saab ümber lülitada kogukonna pakettide allikale.
Kontakt
Kas OPNsense sobib teie võrku?
Anname teile ausa vastuse, isegi kui see on eitav.