Zenarmor
Layer 7-applicatiecontrole en webfilter.
OPNsense-overzicht
Een opensource firewall- en routingplatform op basis van FreeBSD, ontwikkeld door Deciso B.V. in Nederland en beschikbaar sinds januari 2015. Functioneel gelijkwaardig aan commerciële next-generation firewalls, maar anders in licentiemodel en transparantie.
Factsheet
- Leverancier
- Deciso B.V., Nederland
- Basis
- FreeBSD, pf-pakketfilter
- Licentie
- BSD-2-Clause
- Releases
- januari en juli
- Sinds
- januari 2015
Herkomst
Waar OPNsense vandaan komt
OPNsense begon in 2014 als fork van pfSense, met als doel codekwaliteit, beveiliging en openheid vanaf de basis opnieuw op te bouwen. Sindsdien is het platform ingrijpend vernieuwd: een nieuwe interface, een consistente REST API en een modulaire back-end.
Architectuur
- FreeBSD als besturingssysteem
- pf als firewall-engine
- Suricata voor IDS/IPS
- Unbound voor DNS, strongSwan voor IPsec
- elke instelling ook beschikbaar via API
Beveiliging in de kern
- regelmatige beveiligingsupdates uit ondertekende pakketbronnen
- tweefactorauthenticatie voor webinterface en VPN
- rolgebaseerde rechten voor beheerders
- geen telemetrie naar de leverancier, geen verplichte cloud
Functies
Functieomvang
| Gebied | Functies | Typisch gebruik |
|---|---|---|
| Firewall | stateful pakketfilter, aliassen (hosts, netwerken, poorten, GeoIP, URL-tabellen), regelgroepen, tijdschema’s, floating rules | zonescheiding, segmentatie, toegangscontrole |
| NAT | port forwarding, outbound NAT, 1:1 NAT, NPTv6, NAT-reflectie | interne diensten publiceren |
| Routing | gatewaygroepen, multi-WAN met failover, policy-based routing, OSPF en BGP via FRR | twee providers, locatienetwerken, datacenter |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, clientexport | site-to-siteverbindingen, thuiswerken, buitendienst |
| IDS/IPS | Suricata in IDS- of inline-IPS-modus, ET Open-regels, optioneel commerciële regelsets | bekende aanvallen detecteren en blokkeren |
| Web en applicaties | proxy met categoriefilter, optioneel Zenarmor voor Layer 7-controle | webfilter, schaduw-IT zichtbaar maken |
| DNS en DHCP | Unbound met blocklists en DNS over TLS, Kea of Dnsmasq | centrale naamresolutie, malwaredomeinen blokkeren |
| Hoge beschikbaarheid | CARP, pfsync, configuratiesynchronisatie | onderhoud en hardwarestoringen zonder uitval |
| Authenticatie | lokale gebruikers, LDAP/Active Directory, RADIUS, TOTP | VPN- en beheertoegang beveiligen |
| Beheer | configuratiegeschiedenis met rollback, automatische back-ups, REST API, NetFlow, Telegraf, Zabbix | herleidbaarheid, automatisering |
Plug-ins
Uitbreidbaar zonder de basis te verbuigen
CrowdSec
Gedeelde blocklists tegen bekende IP-adressen van aanvallers.
Wazuh-agent
Koppeling met SIEM en SOC, bijvoorbeeld bij NEOSEC.
ACME
Automatische Let’s Encrypt-certificaten.
HAProxy en nginx
Reverse proxy en load balancing voor gepubliceerde diensten.
FRR
Dynamische routing met OSPF en BGP.
Edities
Community of Business Edition
De licentie geldt per firewall, niet per gebruiker, doorvoer of functie.
| Community Edition | Business Edition | |
|---|---|---|
| Kosten | gratis | jaarlicentie per firewall |
| Codebasis | identieke kern | identieke kern |
| Releases | nieuwe functies als eerste | uitgerijpte releases met vertraging |
| Extra functies | – | onder meer OPNcentral voor meerdere firewalls |
| Pakketbron | community-mirror | commerciële repository |
| Ons advies | lab, tests, kleine omgevingen | productief gebruik in bedrijven, medische centra en ziekenhuizen |
Eerlijk gezegd
Waar OPNsense past, en waar niet
Ideaal voor
- perimeterfirewall met IDS/IPS
- segmentatie van interne netwerken en OT
- koppeling van locaties en VPN voor thuiswerken
- clusters met hoge beschikbaarheid
- omgevingen met documentatieplicht
Waar wij het afraden
- als een cloud van de leverancier verplicht is voor het beheer
- als endpointintegratie zoals Sophos Synchronized Security centraal staat in uw concept
- als de e-mailgateway in hetzelfde apparaat moet draaien
Releasecyclus: OPNsense brengt twee keer per jaar een nieuwe hoofdversie uit, in januari en juli (schema YY.1 en YY.7). Daartussen volgen regelmatig beveiligings- en bugfixes. Zo kunt u onderhoudsvensters een jaar vooruit plannen.
FAQ
Veelgestelde vragen
Is OPNsense hetzelfde als pfSense?
Nee. OPNsense is in 2014 uit pfSense voortgekomen, maar wordt sindsdien zelfstandig ontwikkeld en is grotendeels herschreven. Interface, API, releasecyclus en leverancier verschillen.
Draait OPNsense ook virtueel?
Ja, op Proxmox, VMware, Hyper-V, KVM en in de cloud. Als perimeterfirewall adviseren wij meestal eigen hardware.
Wat gebeurt er als de Business-licentie afloopt?
De firewall blijft volledig werken en kan worden omgezet naar de community-pakketbron.
Contact
Past OPNsense bij uw netwerk?
Wij geven u een eerlijk antwoord, ook als dat nee is.