Zenarmor
7 lygmens programų kontrolė ir žiniatinklio filtravimas.
OPNsense apžvalga
Atvirojo kodo ugniasienės ir maršrutizavimo platforma FreeBSD pagrindu, kurią kuria Deciso B.V. Nyderlanduose ir kuri prieinama nuo 2015 m. sausio. Funkciškai prilygsta komercinėms naujos kartos ugniasienėms, tačiau skiriasi licencijavimu ir skaidrumu.
Faktai
- Gamintojas
- Deciso B.V., Nyderlandai
- Pagrindas
- FreeBSD, pf paketų filtras
- Licencija
- BSD-2-Clause
- Versijos
- sausį ir liepą
- Nuo
- 2015 m. sausio
Kilmė
Iš kur kilo OPNsense
OPNsense pradėtas kurti 2014 m. kaip pfSense atšaka, siekiant iš pagrindų atnaujinti kodo kokybę, saugumą ir atvirumą. Nuo tada platforma buvo iš esmės pertvarkyta: nauja sąsaja, nuosekli REST API ir modulinė vidinė dalis.
Architektūra
- FreeBSD kaip operacinė sistema
- pf kaip ugniasienės variklis
- Suricata IDS/IPS funkcijoms
- Unbound DNS, strongSwan IPsec
- kiekvienas nustatymas prieinamas ir per API
Saugumas pačiame pagrinde
- reguliarūs saugumo atnaujinimai iš pasirašytų paketų saugyklų
- dviejų veiksnių autentifikacija žiniatinklio sąsajai ir VPN
- vaidmenimis pagrįstos administratorių teisės
- jokios telemetrijos gamintojui, jokio privalomo debesies
Funkcijos
Funkcijų apimtis
| Sritis | Funkcijos | Tipinis naudojimas |
|---|---|---|
| Ugniasienė | būsenos stebėjimo paketų filtras, aliasai (mazgai, tinklai, prievadai, GeoIP, URL lentelės), taisyklių grupės, tvarkaraščiai, slankiosios taisyklės | zonų atskyrimas, segmentavimas, prieigos kontrolė |
| NAT | prievadų peradresavimas, išeinantis NAT, 1:1 NAT, NPTv6, NAT atspindys | vidinių paslaugų publikavimas |
| Maršrutizavimas | šliuzų grupės, multi-WAN su rezervavimu, politika pagrįstas maršrutizavimas, OSPF ir BGP per FRR | du interneto tiekėjai, padalinių tinklai, duomenų centras |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, klientų eksportas | ryšiai tarp padalinių, nuotolinis darbas, lauko darbuotojai |
| IDS/IPS | Suricata IDS arba inline IPS režimu, ET Open taisyklės, pasirinktinai komerciniai taisyklių rinkiniai | žinomų atakų aptikimas ir blokavimas |
| Žiniatinklis ir programos | tarpinis serveris su kategorijų filtravimu, pasirinktinai Zenarmor 7 lygmens kontrolei | žiniatinklio filtravimas, šešėlinės IT išryškinimas |
| DNS ir DHCP | Unbound su blokavimo sąrašais ir DNS over TLS, Kea arba Dnsmasq | centralizuotas vardų sprendimas, kenkėjiškų domenų blokavimas |
| Aukštas prieinamumas | CARP, pfsync, konfigūracijos sinchronizavimas | techninė priežiūra ir aparatinės įrangos gedimai be prastovų |
| Autentifikacija | vietiniai naudotojai, LDAP/Active Directory, RADIUS, TOTP | VPN ir administratorių prieigos apsauga |
| Eksploatacija | konfigūracijos istorija su atkūrimu, automatinės atsarginės kopijos, REST API, NetFlow, Telegraf, Zabbix | atsekamumas, automatizavimas |
Papildiniai
Išplečiama nekeičiant pagrindo
CrowdSec
Bendri blokavimo sąrašai prieš žinomus atakuotojų IP adresus.
Wazuh agentas
Prijungimas prie SIEM ir SOC, pavyzdžiui, NEOSEC.
ACME
Automatiniai Let’s Encrypt sertifikatai.
HAProxy ir nginx
Atvirkštinis tarpinis serveris ir apkrovos balansavimas publikuojamoms paslaugoms.
FRR
Dinaminis maršrutizavimas su OSPF ir BGP.
Leidimai
Community ar Business Edition
Licencijuojama kiekvienai ugniasienei, o ne pagal naudotojus, pralaidumą ar funkcijas.
| Community Edition | Business Edition | |
|---|---|---|
| Kaina | nemokama | metinė licencija kiekvienai ugniasienei |
| Kodo bazė | identiškas branduolys | identiškas branduolys |
| Versijos | naujos funkcijos pirmiausia | brandžios versijos su vėlavimu |
| Papildomos funkcijos | – | įskaitant OPNcentral kelioms ugniasienėms valdyti |
| Paketų šaltinis | bendruomenės veidrodis | komercinė saugykla |
| Mūsų rekomendacija | laboratorija, testavimas, mažos aplinkos | gamybinis naudojimas įmonėse, medicinos centruose ir ligoninėse |
Atvirai kalbant
Kur OPNsense tinka, o kur ne
Idealiai tinka
- perimetro ugniasienei su IDS/IPS
- vidinių tinklų ir OT segmentavimui
- ryšiams tarp padalinių ir nuotolinio darbo VPN
- aukšto prieinamumo klasteriams
- aplinkoms su dokumentavimo prievolėmis
Kada nerekomenduojame
- jei valdymui privalomas gamintojo debesis
- jei galinių įrenginių integracija, pvz., Sophos Synchronized Security, yra Jūsų koncepcijos pagrindas
- jei el. pašto šliuzas turi veikti tame pačiame įrenginyje
Versijų ciklas: OPNsense išleidžia naują pagrindinę versiją du kartus per metus, sausį ir liepą (schema YY.1 ir YY.7). Tarpiniu laikotarpiu reguliariai išleidžiamos saugumo ir klaidų pataisos. Taip techninės priežiūros langus galite planuoti metams į priekį.
FAQ
Dažniausi klausimai
Ar OPNsense yra tas pats kaip pfSense?
Ne. OPNsense atsirado iš pfSense 2014 m., tačiau nuo tada kuriamas savarankiškai ir didžiąja dalimi perrašytas. Sąsaja, API, versijų ciklas ir gamintojas skiriasi.
Ar OPNsense veikia ir virtualioje aplinkoje?
Taip, Proxmox, VMware, Hyper-V, KVM ir debesyje. Perimetro ugniasienei paprastai rekomenduojame atskirą aparatinę įrangą.
Kas nutinka pasibaigus Business licencijai?
Ugniasienė toliau veikia visa apimtimi ir gali būti perjungta į bendruomenės paketų šaltinį.
Kontaktai
Ar OPNsense tinka Jūsų tinklui?
Atsakysime sąžiningai, net jei atsakymas bus neigiamas.