Zenarmor
Contrôle applicatif de couche 7 et filtrage web.
Présentation d’OPNsense
Une plateforme open source de pare-feu et de routage basée sur FreeBSD, développée par Deciso B.V. aux Pays-Bas et disponible depuis janvier 2015. Fonctionnellement au niveau des pare-feu de nouvelle génération commerciaux, mais différente en matière de licences et de transparence.
Fiche technique
- Éditeur
- Deciso B.V., Pays-Bas
- Base
- FreeBSD, filtre de paquets pf
- Licence
- BSD-2-Clause
- Versions
- janvier et juillet
- Depuis
- janvier 2015
Origines
D’où vient OPNsense
OPNsense a démarré en 2014 comme fork de pfSense, avec l’objectif de reconstruire en profondeur la qualité du code, la sécurité et l’ouverture. Depuis, la plateforme a été profondément remaniée : nouvelle interface, API REST cohérente et back-end modulaire.
Architecture
- FreeBSD comme système d’exploitation
- pf comme moteur de pare-feu
- Suricata pour l’IDS/IPS
- Unbound pour le DNS, strongSwan pour IPsec
- chaque paramètre également disponible via API
La sécurité au cœur
- mises à jour de sécurité régulières depuis des dépôts de paquets signés
- authentification à deux facteurs pour l’interface web et le VPN
- droits basés sur les rôles pour les administrateurs
- aucune télémétrie vers l’éditeur, aucun cloud obligatoire
Fonctions
Périmètre fonctionnel
| Domaine | Fonctions | Usage typique |
|---|---|---|
| Pare-feu | filtre de paquets stateful, alias (hôtes, réseaux, ports, GeoIP, tables d’URL), groupes de règles, plannings, règles flottantes | séparation de zones, segmentation, contrôle d’accès |
| NAT | redirection de ports, NAT sortant, NAT 1:1, NPTv6, réflexion NAT | publication de services internes |
| Routage | groupes de passerelles, multi-WAN avec basculement, routage par politique, OSPF et BGP via FRR | deux opérateurs, réseaux de sites, centre de données |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, export des clients | liaisons site à site, télétravail, collaborateurs itinérants |
| IDS/IPS | Suricata en mode IDS ou IPS inline, règles ET Open, jeux de règles commerciaux en option | détection et blocage d’attaques connues |
| Web et applications | proxy avec filtrage par catégories, en option Zenarmor pour le contrôle de couche 7 | filtrage web, visibilité sur le shadow IT |
| DNS et DHCP | Unbound avec listes de blocage et DNS over TLS, Kea ou Dnsmasq | résolution de noms centralisée, blocage de domaines malveillants |
| Haute disponibilité | CARP, pfsync, synchronisation de configuration | maintenance et pannes matérielles sans interruption |
| Authentification | utilisateurs locaux, LDAP/Active Directory, RADIUS, TOTP | sécurisation des accès VPN et administrateur |
| Exploitation | historique de configuration avec restauration, sauvegardes automatiques, API REST, NetFlow, Telegraf, Zabbix | traçabilité, automatisation |
Plugins
Extensible sans dénaturer la base
CrowdSec
Listes de blocage partagées contre les adresses IP d’attaquants connus.
Agent Wazuh
Raccordement au SIEM et au SOC, par exemple chez NEOSEC.
ACME
Certificats Let’s Encrypt automatiques.
HAProxy et nginx
Reverse proxy et répartition de charge pour les services publiés.
FRR
Routage dynamique avec OSPF et BGP.
Éditions
Community ou Business Edition
La licence s’entend par pare-feu, et non par utilisateur, débit ou fonction.
| Community Edition | Business Edition | |
|---|---|---|
| Coût | gratuit | licence annuelle par pare-feu |
| Base de code | noyau identique | noyau identique |
| Versions | nouvelles fonctions en premier | versions éprouvées avec un décalage |
| Fonctions supplémentaires | – | dont OPNcentral pour plusieurs pare-feu |
| Source des paquets | miroir communautaire | dépôt commercial |
| Notre recommandation | laboratoire, tests, petits environnements | usage en production en entreprise, centre médical et hôpital |
En toute franchise
Où OPNsense convient, et où il ne convient pas
Idéal pour
- pare-feu périmétrique avec IDS/IPS
- segmentation des réseaux internes et de l’OT
- interconnexion de sites et VPN de télétravail
- clusters à haute disponibilité
- environnements soumis à des obligations de documentation
Où nous le déconseillons
- si un cloud éditeur est imposé pour l’administration
- si une intégration aux postes de travail comme Sophos Synchronized Security est centrale dans votre concept
- si la passerelle de messagerie doit fonctionner dans le même boîtier
Cycle de versions : OPNsense publie une nouvelle version majeure deux fois par an, en janvier et en juillet (schéma AA.1 et AA.7). Entre-temps, des correctifs de sécurité et de bogues suivent régulièrement. Vous pouvez ainsi planifier les fenêtres de maintenance un an à l’avance.
FAQ
Questions fréquentes
OPNsense est-il identique à pfSense ?
Non. OPNsense est issu de pfSense en 2014, mais il est depuis développé de façon indépendante et a été largement réécrit. L’interface, l’API, le cycle de versions et l’éditeur sont différents.
OPNsense fonctionne-t-il aussi en machine virtuelle ?
Oui, sur Proxmox, VMware, Hyper-V, KVM et dans le cloud. Pour un pare-feu périmétrique, nous recommandons en général du matériel dédié.
Que se passe-t-il à l’expiration de la licence Business ?
Le pare-feu continue de fonctionner pleinement et peut être basculé sur la source de paquets communautaire.
Contact
OPNsense convient-il à votre réseau ?
Nous vous répondrons franchement, même si la réponse est non.