Zenarmor
7. slāņa lietotņu kontrole un tīmekļa filtrēšana.
OPNsense pārskats
Atvērtā koda ugunsmūra un maršrutēšanas platforma uz FreeBSD bāzes, ko izstrādā Deciso B.V. Nīderlandē un kas pieejama kopš 2015. gada janvāra. Funkcionāli līdzvērtīga komerciāliem nākamās paaudzes ugunsmūriem, taču atšķirīga licencēšanas un caurskatāmības ziņā.
Pamatinformācija
- Ražotājs
- Deciso B.V., Nīderlande
- Bāze
- FreeBSD, pakešu filtrs pf
- Licence
- BSD-2-Clause
- Laidieni
- janvārī un jūlijā
- Kopš
- 2015. gada janvāra
Izcelsme
No kurienes nāk OPNsense
OPNsense radās 2014. gadā kā pfSense atzars (fork) ar mērķi no jauna izveidot koda kvalitāti, drošību un atvērtību. Kopš tā laika platforma ir būtiski pārstrādāta: jauna saskarne, vienota REST API un modulāra aizmugursistēma.
Arhitektūra
- FreeBSD kā operētājsistēma
- pf kā ugunsmūra dzinējs
- Suricata IDS/IPS funkcijām
- Unbound DNS, strongSwan IPsec
- katrs iestatījums pieejams arī caur API
Drošība pamatā
- regulāri drošības atjauninājumi no parakstītām pakotņu krātuvēm
- divfaktoru autentifikācija tīmekļa saskarnei un VPN
- uz lomām balstītas administratoru tiesības
- nav telemetrijas ražotājam, nav obligāta mākoņa
Funkcijas
Funkciju klāsts
| Joma | Funkcijas | Tipisks lietojums |
|---|---|---|
| Ugunsmūris | stāvokļa pakešu filtrs, aliases (resursdatori, tīkli, porti, GeoIP, URL tabulas), noteikumu grupas, grafiki, peldošie noteikumi | zonu nodalīšana, segmentācija, piekļuves kontrole |
| NAT | portu pāradresācija, izejošais NAT, 1:1 NAT, NPTv6, NAT atstarošana | iekšējo pakalpojumu publicēšana |
| Maršrutēšana | vārteju grupas, multi-WAN ar rezervēšanu, politikās balstīta maršrutēšana, OSPF un BGP ar FRR | divi pakalpojumu sniedzēji, filiāļu tīkli, datu centrs |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, klientu eksports | savienojumi starp atrašanās vietām, attālinātais darbs, darbinieki ārpus biroja |
| IDS/IPS | Suricata IDS vai iekļautajā IPS režīmā, ET Open noteikumi, pēc izvēles komerciālas noteikumu kopas | zināmu uzbrukumu atklāšana un bloķēšana |
| Tīmeklis un lietotnes | starpniekserveris ar kategoriju filtrēšanu, pēc izvēles Zenarmor 7. slāņa kontrolei | tīmekļa filtrēšana, ēnu IT atklāšana |
| DNS un DHCP | Unbound ar bloķēšanas sarakstiem un DNS over TLS, Kea vai Dnsmasq | centralizēta nosaukumu izšķiršana, ļaunatūras domēnu bloķēšana |
| Augsta pieejamība | CARP, pfsync, konfigurācijas sinhronizācija | apkope un aparatūras kļūmes bez dīkstāves |
| Autentifikācija | lokālie lietotāji, LDAP/Active Directory, RADIUS, TOTP | VPN un administratora piekļuves aizsardzība |
| Ekspluatācija | konfigurācijas vēsture ar atjaunošanu, automātiski dublējumi, REST API, NetFlow, Telegraf, Zabbix | izsekojamība, automatizācija |
Spraudņi
Paplašināms, nemainot pamatu
CrowdSec
Koplietojami bloķēšanas saraksti pret zināmām uzbrucēju IP adresēm.
Wazuh aģents
Pieslēgums SIEM un SOC, piemēram, pie NEOSEC.
ACME
Automātiski Let’s Encrypt sertifikāti.
HAProxy un nginx
Reversais starpniekserveris un slodzes līdzsvarošana publicētiem pakalpojumiem.
FRR
Dinamiskā maršrutēšana ar OSPF un BGP.
Izdevumi
Community vai Business Edition
Licencēšana notiek par katru ugunsmūri, nevis pēc lietotājiem, caurlaidspējas vai funkcijām.
| Community Edition | Business Edition | |
|---|---|---|
| Izmaksas | bez maksas | ikgadēja licence katram ugunsmūrim |
| Koda bāze | identisks kodols | identisks kodols |
| Laidieni | jaunās funkcijas vispirms | nobriedušas versijas ar laika nobīdi |
| Papildu funkcijas | – | tostarp OPNcentral vairākiem ugunsmūriem |
| Pakotņu avots | kopienas spogulis | komerciāla krātuve |
| Mūsu ieteikums | laboratorija, testēšana, nelielas vides | produktīva izmantošana uzņēmumos, medicīnas centros un slimnīcās |
Atklāti runājot
Kur OPNsense ir piemērots un kur nav
Ideāli piemērots
- perimetra ugunsmūris ar IDS/IPS
- iekšējo tīklu un OT segmentācija
- atrašanās vietu savienošana un VPN attālinātajam darbam
- augstas pieejamības klasteri
- vides ar dokumentēšanas pienākumiem
Kur mēs to neiesakām
- ja pārvaldībai obligāti nepieciešams ražotāja mākonis
- ja galiekārtu integrācija, piemēram, Sophos Synchronized Security, ir Jūsu koncepcijas centrā
- ja e-pasta vārtejai jādarbojas tajā pašā iekārtā
Laidienu cikls: OPNsense izlaiž jaunu galveno versiju divreiz gadā, janvārī un jūlijā (shēma YY.1 un YY.7). Starplaikā regulāri seko drošības un kļūdu labojumi. Tas ļauj plānot apkopes logus gadu uz priekšu.
FAQ
Biežāk uzdotie jautājumi
Vai OPNsense ir tas pats, kas pfSense?
Nē. OPNsense 2014. gadā radās no pfSense, bet kopš tā laika tiek izstrādāts neatkarīgi un lielā mērā pārrakstīts. Saskarne, API, laidienu cikls un ražotājs ir atšķirīgi.
Vai OPNsense darbojas arī virtuāli?
Jā, uz Proxmox, VMware, Hyper-V, KVM un mākonī. Perimetra ugunsmūrim mēs parasti iesakām atsevišķu aparatūru.
Kas notiek, kad beidzas Business licence?
Ugunsmūris turpina pilnībā darboties, un to var pārslēgt uz kopienas pakotņu avotu.
Kontakti
Vai OPNsense ir piemērots Jūsu tīklam?
Mēs atbildēsim godīgi, arī tad, ja atbilde ir nē.