Zenarmor
7. rétegbeli alkalmazásszabályozás és webszűrés.
OPNsense áttekintés
FreeBSD-alapú, nyílt forráskódú tűzfal- és routingplatform, amelyet a holland Deciso B.V. fejleszt, és 2015 januárja óta érhető el. Funkcionálisan egyenrangú a kereskedelmi next-generation tűzfalakkal, a licencelés és az átláthatóság terén azonban különbözik tőlük.
Adatlap
- Gyártó
- Deciso B.V., Hollandia
- Alap
- FreeBSD, pf csomagszűrő
- Licenc
- BSD-2-Clause
- Kiadások
- január és július
- Elérhető
- 2015 januárja óta
Eredet
Honnan származik az OPNsense
Az OPNsense 2014-ben a pfSense forkjaként indult azzal a céllal, hogy a kódminőséget, a biztonságot és a nyitottságot az alapoktól újjáépítse. Azóta a platformot alapjaiban átdolgozták: új felület, egységes REST API és moduláris backend.
Architektúra
- FreeBSD operációs rendszerként
- pf mint tűzfalmotor
- Suricata az IDS/IPS-hez
- Unbound a DNS-hez, strongSwan az IPsec-hez
- minden beállítás API-n keresztül is elérhető
Biztonság a középpontban
- rendszeres biztonsági frissítések aláírt csomagtárolókból
- kétfaktoros hitelesítés a webes felülethez és a VPN-hez
- szerepköralapú jogosultságok az adminisztrátorok számára
- nincs telemetria a gyártó felé, nincs kötelező felhő
Funkciók
Funkciókészlet
| Terület | Funkciók | Tipikus felhasználás |
|---|---|---|
| Tűzfal | állapotkövető csomagszűrő, aliasok (hosztok, hálózatok, portok, GeoIP, URL-táblák), szabálycsoportok, időzítések, floating szabályok | zónák elválasztása, szegmentálás, hozzáférés-szabályozás |
| NAT | porttovábbítás, kimenő NAT, 1:1 NAT, NPTv6, NAT reflection | belső szolgáltatások közzététele |
| Routing | gateway-csoportok, multi-WAN failoverrel, házirendalapú routing, OSPF és BGP az FRR-rel | két szolgáltató, telephelyi hálózatok, adatközpont |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, kliensexport | telephelyek közötti kapcsolatok, otthoni munkavégzés, terepen dolgozó munkatársak |
| IDS/IPS | Suricata IDS vagy inline IPS módban, ET Open szabályok, opcionálisan kereskedelmi szabálykészletek | ismert támadások észlelése és blokkolása |
| Web és alkalmazások | proxy kategóriaszűréssel, opcionálisan Zenarmor a 7. rétegbeli szabályozáshoz | webszűrés, az árnyék-IT láthatóvá tétele |
| DNS és DHCP | Unbound tiltólistákkal és DNS over TLS-sel, Kea vagy Dnsmasq | központi névfeloldás, kártevő domainek blokkolása |
| Magas rendelkezésre állás | CARP, pfsync, konfigurációszinkronizálás | karbantartás és hardverhibák leállás nélkül |
| Hitelesítés | helyi felhasználók, LDAP/Active Directory, RADIUS, TOTP | VPN- és adminhozzáférések védelme |
| Üzemeltetés | konfigurációs előzmények visszaállítással, automatikus mentések, REST API, NetFlow, Telegraf, Zabbix | nyomon követhetőség, automatizálás |
Pluginok
Bővíthető az alap megbontása nélkül
CrowdSec
Közösségi tiltólisták az ismert támadói IP-címek ellen.
Wazuh-ügynök
Kapcsolódás SIEM-hez és SOC-hoz, például a NEOSEC-nél.
ACME
Automatikus Let’s Encrypt tanúsítványok.
HAProxy és nginx
Reverse proxy és terheléselosztás a közzétett szolgáltatásokhoz.
FRR
Dinamikus routing OSPF-fel és BGP-vel.
Kiadások
Community vagy Business Edition
A licencelés tűzfalanként történik, nem felhasználók, átviteli sebesség vagy funkciók szerint.
| Community Edition | Business Edition | |
|---|---|---|
| Költség | ingyenes | éves licenc tűzfalanként |
| Kódbázis | azonos mag | azonos mag |
| Verziók | az új funkciók itt jelennek meg először | kiforrott verziók időbeli késéssel |
| További funkciók | – | többek között OPNcentral több tűzfalhoz |
| Csomagforrás | közösségi tükörszerver | kereskedelmi tároló |
| Ajánlásunk | labor, tesztelés, kis környezetek | éles használat vállalatoknál, egészségügyi központokban és kórházakban |
Őszintén
Hol illik az OPNsense, és hol nem
Ideális
- peremtűzfal IDS/IPS-szel
- belső hálózatok és az OT szegmentálása
- telephelyek összekapcsolása és VPN otthoni munkavégzéshez
- magas rendelkezésre állású klaszterek
- dokumentációs kötelezettséggel járó környezetek
Ahol nem javasoljuk
- ha a kezeléshez kötelező a gyártói felhő
- ha a koncepció középpontjában végpontintegráció áll, például a Sophos Synchronized Security
- ha az e-mail-átjárónak ugyanabban az eszközben kell futnia
Kiadási ciklus: Az OPNsense évente kétszer, januárban és júliusban ad ki új főverziót (YY.1 és YY.7 séma). A kettő között rendszeresen érkeznek biztonsági és hibajavítások. Így a karbantartási ablakokat egy évre előre tervezheti.
FAQ
Gyakori kérdések
Az OPNsense ugyanaz, mint a pfSense?
Nem. Az OPNsense 2014-ben a pfSense-ből vált ki, de azóta önállóan fejlődik, és nagyrészt újraírták. A felület, az API, a kiadási ciklus és a gyártó is eltér.
Virtuálisan is fut az OPNsense?
Igen, Proxmoxon, VMware-en, Hyper-V-n, KVM-en és a felhőben. Peremtűzfalként általában dedikált hardvert javaslunk.
Mi történik, ha lejár a Business licenc?
A tűzfal teljes körűen tovább működik, és átállítható a közösségi csomagforrásra.
Kapcsolat
Megfelelő az OPNsense az Ön hálózatához?
Őszinte választ adunk, akkor is, ha az nem.