Zenarmor
Kontrola aplikacija i web filtriranje na sloju 7.
Pregled OPNsensea
Platforma otvorenog koda za vatrozid i usmjeravanje temeljena na FreeBSD-u, koju razvija Deciso B.V. iz Nizozemske i koja je dostupna od siječnja 2015. Funkcionalno je usporediva s komercijalnim vatrozidima nove generacije, ali se razlikuje po licenciranju i transparentnosti.
Osnovni podaci
- Proizvođač
- Deciso B.V., Nizozemska
- Osnova
- FreeBSD, paketni filtar pf
- Licenca
- BSD-2-Clause
- Izdanja
- siječanj i srpanj
- Od
- siječnja 2015.
Podrijetlo
Odakle dolazi OPNsense
OPNsense je nastao 2014. kao fork pfSensea, s ciljem da se kvaliteta koda, sigurnost i otvorenost izgrade iz temelja. Otada je platforma temeljito preoblikovana: novo sučelje, dosljedan REST API i modularna pozadinska arhitektura.
Arhitektura
- FreeBSD kao operacijski sustav
- pf kao mehanizam vatrozida
- Suricata za IDS/IPS
- Unbound za DNS, strongSwan za IPsec
- svaka postavka dostupna je i putem API-ja
Sigurnost u jezgri
- redovita sigurnosna ažuriranja iz potpisanih repozitorija paketa
- dvofaktorska autentifikacija za web sučelje i VPN
- ovlasti administratora temeljene na ulogama
- bez telemetrije prema proizvođaču, bez obveznog oblaka
Funkcije
Opseg funkcija
| Područje | Funkcije | Tipična primjena |
|---|---|---|
| Vatrozid | stateful paketni filtar, aliasi (hostovi, mreže, portovi, GeoIP, URL tablice), grupe pravila, rasporedi, plutajuća pravila | razdvajanje zona, segmentacija, kontrola pristupa |
| NAT | prosljeđivanje portova, izlazni NAT, 1:1 NAT, NPTv6, NAT refleksija | objavljivanje internih usluga |
| Usmjeravanje | grupe pristupnika, multi-WAN s failoverom, usmjeravanje temeljeno na pravilima, OSPF i BGP putem FRR-a | dva pružatelja usluga, mreže lokacija, podatkovni centar |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, izvoz klijenata | veze između lokacija, rad od kuće, terenski djelatnici |
| IDS/IPS | Suricata u IDS ili inline IPS načinu rada, ET Open pravila, opcionalno komercijalni skupovi pravila | otkrivanje i blokiranje poznatih napada |
| Web i aplikacije | proxy s filtriranjem po kategorijama, opcionalno Zenarmor za kontrolu na sloju 7 | web filtriranje, otkrivanje shadow IT-a |
| DNS i DHCP | Unbound s popisima blokiranja i DNS over TLS, Kea ili Dnsmasq | centralno razrješavanje imena, blokiranje domena zlonamjernog softvera |
| Visoka dostupnost | CARP, pfsync, sinkronizacija konfiguracije | održavanje i kvarovi hardvera bez zastoja |
| Autentifikacija | lokalni korisnici, LDAP/Active Directory, RADIUS, TOTP | zaštita VPN-a i administratorskog pristupa |
| Upravljanje | povijest konfiguracije s vraćanjem, automatske sigurnosne kopije, REST API, NetFlow, Telegraf, Zabbix | sljedivost, automatizacija |
Dodaci
Proširivo bez narušavanja osnove
CrowdSec
Zajednički popisi blokiranja protiv poznatih IP adresa napadača.
Wazuh agent
Povezivanje sa SIEM-om i SOC-om, na primjer kod NEOSEC-a.
ACME
Automatski certifikati Let’s Encrypt.
HAProxy i nginx
Obrnuti proxy i raspodjela opterećenja za objavljene usluge.
FRR
Dinamičko usmjeravanje uz OSPF i BGP.
Izdanja
Community ili Business Edition
Licenciranje je po vatrozidu, a ne prema broju korisnika, propusnosti ili funkcijama.
| Community Edition | Business Edition | |
|---|---|---|
| Trošak | besplatno | godišnja licenca po vatrozidu |
| Osnova koda | identična jezgra | identična jezgra |
| Izdanja | nove funkcije najprije | zrela izdanja s vremenskim odmakom |
| Dodatne funkcije | – | uključujući OPNcentral za više vatrozida |
| Izvor paketa | mirror zajednice | komercijalni repozitorij |
| Naša preporuka | laboratorij, testiranje, mala okruženja | produkcijska uporaba u poduzećima, medicinskim centrima i bolnicama |
Iskreno
Gdje OPNsense odgovara, a gdje ne
Idealno za
- perimetarski vatrozid s IDS/IPS-om
- segmentaciju internih mreža i OT-a
- povezivanje lokacija i VPN za rad od kuće
- klastere visoke dostupnosti
- okruženja s obvezama dokumentiranja
Kada ga ne preporučujemo
- ako je oblak proizvođača obvezan za upravljanje
- ako je integracija krajnjih točaka poput Sophos Synchronized Security središnja za Vaš koncept
- ako u istom uređaju treba raditi i pristupnik za e-poštu
Ciklus izdanja: OPNsense objavljuje novu glavnu verziju dvaput godišnje, u siječnju i srpnju (shema YY.1 i YY.7). Između njih redovito slijede sigurnosni ispravci i ispravci pogrešaka. Tako termine održavanja možete planirati godinu dana unaprijed.
FAQ
Česta pitanja
Je li OPNsense isto što i pfSense?
Nije. OPNsense je nastao iz pfSensea 2014., ali se otada razvija neovisno i velikim je dijelom ponovno napisan. Sučelje, API, ciklus izdanja i proizvođač su različiti.
Radi li OPNsense i virtualno?
Da, na Proxmoxu, VMwareu, Hyper-V-u, KVM-u i u oblaku. Za perimetarski vatrozid obično preporučujemo namjenski hardver.
Što se događa kad istekne Business licenca?
Vatrozid nastavlja raditi u punom opsegu i može se prebaciti na izvor paketa zajednice.
Kontakt
Je li OPNsense pravo rješenje za Vašu mrežu?
Dat ćemo Vam iskren odgovor, čak i ako je odgovor ne.