Zenarmor
Layer 7 -sovellushallinta ja verkkosuodatus.
OPNsense-yleiskatsaus
Avoimen lähdekoodin palomuuri- ja reititysalusta, joka perustuu FreeBSD:hen. Sitä kehittää alankomaalainen Deciso B.V., ja se on ollut saatavilla tammikuusta 2015. Toiminnoiltaan se vastaa kaupallisia seuraavan sukupolven palomuureja, mutta eroaa niistä lisensoinnin ja läpinäkyvyyden osalta.
Tietokortti
- Valmistaja
- Deciso B.V., Alankomaat
- Perusta
- FreeBSD, pf-pakettisuodatin
- Lisenssi
- BSD-2-Clause
- Julkaisut
- tammi- ja heinäkuu
- Saatavilla
- tammikuusta 2015
Tausta
Mistä OPNsense on peräisin
OPNsense sai alkunsa vuonna 2014 pfSensen haarana. Tavoitteena oli rakentaa koodin laatu, tietoturva ja avoimuus uudelleen perusteista alkaen. Sen jälkeen alusta on uudistettu perusteellisesti: uusi käyttöliittymä, yhtenäinen REST API ja modulaarinen taustajärjestelmä.
Arkkitehtuuri
- käyttöjärjestelmänä FreeBSD
- palomuurimoottorina pf
- Suricata IDS/IPS-toimintoihin
- Unbound DNS:lle, strongSwan IPsecille
- jokainen asetus saatavilla myös API:n kautta
Tietoturva ytimessä
- säännölliset tietoturvapäivitykset allekirjoitetuista pakettivarastoista
- kaksivaiheinen tunnistautuminen verkkokäyttöliittymään ja VPN:ään
- roolipohjaiset käyttöoikeudet ylläpitäjille
- ei telemetriaa valmistajalle, ei pakollista pilveä
Ominaisuudet
Ominaisuuskattaus
| Alue | Ominaisuudet | Tyypillinen käyttö |
|---|---|---|
| Palomuuri | tilallinen pakettisuodatin, aliakset (isännät, verkot, portit, GeoIP, URL-taulukot), sääntöryhmät, aikataulut, floating-säännöt | vyöhykkeiden erottelu, segmentointi, pääsynhallinta |
| NAT | porttiohjaus, lähtevä NAT, 1:1 NAT, NPTv6, NAT-heijastus | sisäisten palvelujen julkaiseminen |
| Reititys | yhdyskäytäväryhmät, multi-WAN vikasiedolla, käytäntöpohjainen reititys, OSPF ja BGP FRR:n avulla | kaksi operaattoria, toimipisteverkot, konesali |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, asiakasprofiilien vienti | toimipisteiden väliset yhteydet, etätyö, kenttähenkilöstö |
| IDS/IPS | Suricata IDS- tai inline-IPS-tilassa, ET Open -säännöt, valinnaiset kaupalliset sääntöjoukot | tunnettujen hyökkäysten havaitseminen ja estäminen |
| Verkko ja sovellukset | välityspalvelin luokkasuodatuksella, valinnaisesti Zenarmor Layer 7 -hallintaan | verkkosuodatus, varjo-IT:n tekeminen näkyväksi |
| DNS ja DHCP | Unbound estolistoilla ja DNS over TLS -tuella, Kea tai Dnsmasq | keskitetty nimipalvelu, haitallisten verkkotunnusten estäminen |
| Korkea käytettävyys | CARP, pfsync, konfiguraation synkronointi | huollot ja laitteistoviat ilman käyttökatkoa |
| Tunnistautuminen | paikalliset käyttäjät, LDAP/Active Directory, RADIUS, TOTP | VPN- ja ylläpitopääsyn suojaaminen |
| Ylläpito | konfiguraatiohistoria ja palautus, automaattiset varmuuskopiot, REST API, NetFlow, Telegraf, Zabbix | jäljitettävyys, automaatio |
Lisäosat
Laajennettavissa perustaa muuttamatta
CrowdSec
Jaetut estolistat tunnettuja hyökkääjien IP-osoitteita vastaan.
Wazuh-agentti
Yhteys SIEM- ja SOC-palveluun, esimerkiksi NEOSECille.
ACME
Automaattiset Let’s Encrypt -varmenteet.
HAProxy ja nginx
Käänteinen välityspalvelin ja kuormantasaus julkaistuille palveluille.
FRR
Dynaaminen reititys OSPF:llä ja BGP:llä.
Versiot
Community vai Business Edition
Lisensointi on palomuurikohtainen, ei käyttäjien, läpäisykyvyn tai ominaisuuksien mukainen.
| Community Edition | Business Edition | |
|---|---|---|
| Hinta | maksuton | vuosilisenssi palomuuria kohden |
| Koodipohja | sama ydin | sama ydin |
| Julkaisut | uudet ominaisuudet ensin | kypsät julkaisut viiveellä |
| Lisäominaisuudet | – | muun muassa OPNcentral useiden palomuurien hallintaan |
| Pakettilähde | yhteisön peilipalvelin | kaupallinen pakettivarasto |
| Suosituksemme | laboratorio, testaus, pienet ympäristöt | tuotantokäyttö yrityksissä, lääkärikeskuksissa ja sairaaloissa |
Rehellisesti sanottuna
Mihin OPNsense sopii ja mihin ei
Sopii erinomaisesti
- rajapalomuuriksi IDS/IPS:n kanssa
- sisäverkkojen ja OT:n segmentointiin
- toimipisteiden yhdistämiseen ja etätyön VPN-yhteyksiin
- korkean käytettävyyden klustereihin
- ympäristöihin, joissa on dokumentointivelvoitteita
Milloin emme suosittele sitä
- jos hallinta edellyttää valmistajan pilvipalvelua
- jos päätelaiteintegraatio, kuten Sophos Synchronized Security, on konseptinne keskiössä
- jos sähköpostiyhdyskäytävän on toimittava samassa laitteessa
Julkaisusykli: OPNsense julkaisee uuden pääversion kahdesti vuodessa, tammi- ja heinäkuussa (muoto YY.1 ja YY.7). Niiden välillä julkaistaan säännöllisesti tietoturva- ja virhekorjauksia. Näin huoltoikkunat voidaan suunnitella vuodeksi eteenpäin.
FAQ
Usein kysytyt kysymykset
Onko OPNsense sama kuin pfSense?
Ei. OPNsense syntyi pfSensestä vuonna 2014, mutta sitä on sen jälkeen kehitetty itsenäisesti, ja se on suurelta osin kirjoitettu uudelleen. Käyttöliittymä, API, julkaisusykli ja valmistaja ovat eri.
Toimiiko OPNsense myös virtuaalisena?
Kyllä, Proxmoxissa, VMwaressa, Hyper-V:ssä, KVM:ssä ja pilvessä. Rajapalomuurina suosittelemme yleensä erillistä laitteistoa.
Mitä tapahtuu, kun Business-lisenssi päättyy?
Palomuuri toimii edelleen täysimääräisesti, ja sen voi vaihtaa käyttämään yhteisön pakettilähdettä.
Yhteydenotto
Sopiiko OPNsense verkkoonne?
Vastaamme rehellisesti, vaikka vastaus olisi kielteinen.