Zenarmor
Controllo delle applicazioni Layer 7 e filtro web.
Panoramica OPNsense
Una piattaforma open source di firewall e routing basata su FreeBSD, sviluppata da Deciso B.V. nei Paesi Bassi e disponibile da gennaio 2015. Dal punto di vista funzionale è alla pari dei firewall next-generation commerciali, ma si distingue per licenze e trasparenza.
Scheda
- Produttore
- Deciso B.V., Paesi Bassi
- Base
- FreeBSD, packet filter pf
- Licenza
- BSD-2-Clause
- Rilasci
- gennaio e luglio
- Dal
- gennaio 2015
Origini
Da dove viene OPNsense
OPNsense è nato nel 2014 come fork di pfSense, con l’obiettivo di ricostruire da zero qualità del codice, sicurezza e apertura. Da allora la piattaforma è stata profondamente rinnovata: nuova interfaccia, API REST coerente e back end modulare.
Architettura
- FreeBSD come sistema operativo
- pf come motore del firewall
- Suricata per IDS/IPS
- Unbound per il DNS, strongSwan per IPsec
- ogni impostazione disponibile anche tramite API
Sicurezza nel nucleo
- aggiornamenti di sicurezza regolari da repository di pacchetti firmati
- autenticazione a due fattori per interfaccia web e VPN
- autorizzazioni basate sui ruoli per gli amministratori
- nessuna telemetria verso il produttore, nessun cloud obbligatorio
Funzionalità
Funzionalità disponibili
| Ambito | Funzionalità | Uso tipico |
|---|---|---|
| Firewall | packet filter stateful, alias (host, reti, porte, GeoIP, tabelle URL), gruppi di regole, pianificazioni, floating rules | separazione delle zone, segmentazione, controllo degli accessi |
| NAT | port forwarding, NAT in uscita, NAT 1:1, NPTv6, NAT reflection | pubblicazione di servizi interni |
| Routing | gruppi di gateway, multi-WAN con failover, policy-based routing, OSPF e BGP tramite FRR | due provider, reti tra sedi, data center |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, esportazione client | collegamenti site-to-site, lavoro da casa, personale esterno |
| IDS/IPS | Suricata in modalità IDS o IPS inline, regole ET Open, set di regole commerciali opzionali | rilevare e bloccare attacchi noti |
| Web e applicazioni | proxy con filtro per categorie, a scelta Zenarmor per il controllo Layer 7 | filtro web, rendere visibile lo shadow IT |
| DNS e DHCP | Unbound con blocklist e DNS over TLS, Kea o Dnsmasq | risoluzione dei nomi centralizzata, blocco di domini malevoli |
| Alta disponibilità | CARP, pfsync, sincronizzazione della configurazione | manutenzione e guasti hardware senza interruzioni |
| Autenticazione | utenti locali, LDAP/Active Directory, RADIUS, TOTP | protezione degli accessi VPN e amministrativi |
| Gestione | cronologia della configurazione con rollback, backup automatici, API REST, NetFlow, Telegraf, Zabbix | tracciabilità, automazione |
Plugin
Estendibile senza snaturare la base
CrowdSec
Blocklist condivise contro IP di attaccanti noti.
Agente Wazuh
Collegamento a SIEM e SOC, ad esempio presso NEOSEC.
ACME
Certificati Let’s Encrypt automatici.
HAProxy e nginx
Reverse proxy e bilanciamento del carico per i servizi pubblicati.
FRR
Routing dinamico con OSPF e BGP.
Edizioni
Community o Business Edition
La licenza è per firewall, non per utenti, throughput o funzionalità.
| Community Edition | Business Edition | |
|---|---|---|
| Costo | gratuita | licenza annuale per firewall |
| Base di codice | nucleo identico | nucleo identico |
| Rilasci | prima le novità | rilasci maturi con un certo ritardo |
| Funzionalità aggiuntive | – | tra cui OPNcentral per più firewall |
| Fonte dei pacchetti | mirror della community | repository commerciale |
| Il nostro consiglio | laboratorio, test, piccoli ambienti | uso produttivo in aziende, poliambulatori e ospedali |
Onestamente
Dove OPNsense è adatto e dove no
Ideale per
- firewall perimetrale con IDS/IPS
- segmentazione di reti interne e OT
- collegamento tra sedi e VPN per il lavoro da casa
- cluster ad alta disponibilità
- ambienti con obblighi di documentazione
Dove lo sconsigliamo
- se per la gestione è obbligatorio un cloud del produttore
- se l’integrazione con gli endpoint, come Sophos Synchronized Security, è centrale nel Suo concetto
- se il gateway di posta deve funzionare nello stesso dispositivo
Ciclo di rilascio: OPNsense pubblica una nuova versione principale due volte all’anno, a gennaio e a luglio (schema YY.1 e YY.7). Nel frattempo seguono regolarmente correzioni di sicurezza e di errori. In questo modo può pianificare le finestre di manutenzione con un anno di anticipo.
FAQ
Domande frequenti
OPNsense è la stessa cosa di pfSense?
No. OPNsense è nato da pfSense nel 2014, ma da allora è stato sviluppato in modo indipendente e in gran parte riscritto. Interfaccia, API, ciclo di rilascio e produttore sono diversi.
OPNsense funziona anche in modo virtuale?
Sì, su Proxmox, VMware, Hyper-V, KVM e nel cloud. Come firewall perimetrale raccomandiamo di norma hardware dedicato.
Cosa succede alla scadenza della licenza Business?
Il firewall continua a funzionare pienamente e può essere passato alla fonte di pacchetti della community.
Contatto
OPNsense è adatto alla Sua rete?
Le daremo una risposta onesta, anche se è no.