Zenarmor
Anwendungskontrolle auf Layer 7 und Webfilter.
OPNsense im Überblick
Eine quelloffene Firewall- und Routing-Plattform auf FreeBSD-Basis, entwickelt von Deciso B.V. in den Niederlanden und seit Januar 2015 verfügbar. Funktional auf Augenhöhe mit kommerziellen Next-Generation-Firewalls, anders bei Lizenzmodell und Transparenz.
Steckbrief
- Hersteller
- Deciso B.V., Niederlande
- Basis
- FreeBSD, Paketfilter pf
- Lizenz
- BSD-2-Clause
- Releases
- Januar und Juli
- Seit
- Januar 2015
Herkunft
Woher OPNsense kommt
OPNsense entstand 2014 als Fork von pfSense, mit dem Ziel, Codequalität, Sicherheit und Offenheit neu aufzusetzen. Seitdem wurde die Plattform grundlegend umgebaut: neue Oberfläche, durchgängige REST-API und ein modulares Backend.
Architektur
- FreeBSD als Betriebssystem
- pf als Firewall-Engine
- Suricata für IDS/IPS
- Unbound für DNS, strongSwan für IPsec
- jede Einstellung auch per API
Sicherheit im Kern
- regelmäßige Sicherheitsupdates aus signierten Paketquellen
- Zwei-Faktor-Anmeldung für Oberfläche und VPN
- rollenbasierte Rechte für Administratoren
- keine Telemetrie an den Hersteller, keine Cloud-Pflicht
Funktionen
Funktionsumfang
| Bereich | Funktionen | Typischer Einsatz |
|---|---|---|
| Firewall | Stateful Packet Filter, Aliases (Hosts, Netze, Ports, GeoIP, URL-Tabellen), Regelgruppen, Zeitpläne, Floating Rules | Zonentrennung, Segmentierung, Zugriffskontrolle |
| NAT | Port-Forwarding, Outbound-NAT, 1:1-NAT, NPTv6, NAT-Reflection | Veröffentlichung interner Dienste |
| Routing | Gateway-Gruppen, Multi-WAN mit Failover, Policy-based Routing, OSPF und BGP per FRR | zwei Provider, Standortnetze, Rechenzentrum |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, Client-Export | Standortkopplung, Homeoffice, Außendienst |
| IDS/IPS | Suricata im IDS- oder Inline-IPS-Modus, ET-Open-Regeln, optional kommerzielle Regelsätze | Erkennung und Blockade bekannter Angriffe |
| Web und Anwendungen | Proxy mit Kategorienfilter, optional Zenarmor für Layer-7-Kontrolle | Webfilter, Schatten-IT sichtbar machen |
| DNS und DHCP | Unbound mit Blocklisten und DNS-over-TLS, Kea oder Dnsmasq | zentrale Namensauflösung, Malware-Domains blocken |
| Hochverfügbarkeit | CARP, pfsync, Konfigurationsabgleich | Wartung und Defekt ohne Ausfall |
| Anmeldung | lokale Benutzer, LDAP/Active Directory, RADIUS, TOTP | VPN- und Admin-Zugang absichern |
| Betrieb | Konfigurationshistorie mit Rücksprung, automatische Backups, REST-API, Netflow, Telegraf, Zabbix | Nachvollziehbarkeit, Automatisierung |
Plugins
Erweiterbar, ohne die Basis zu verbiegen
CrowdSec
Gemeinsame Blocklisten gegen bekannte Angreifer-IPs.
Wazuh-Agent
Anbindung an SIEM und SOC, etwa bei NEOSEC.
ACME
Automatische Let’s-Encrypt-Zertifikate.
HAProxy und nginx
Reverse Proxy und Lastverteilung für veröffentlichte Dienste.
FRR
Dynamisches Routing mit OSPF und BGP.
Editionen
Community oder Business Edition
Lizenziert wird pro Firewall, nicht nach Nutzern, Durchsatz oder Funktionen.
| Community Edition | Business Edition | |
|---|---|---|
| Kosten | kostenfrei | Jahreslizenz pro Firewall |
| Codebasis | identischer Kern | identischer Kern |
| Releases | neue Funktionen zuerst | ausgereifte Releases mit zeitlichem Versatz |
| Zusatzfunktionen | – | u. a. OPNcentral für mehrere Firewalls |
| Paketquelle | Community-Mirror | kommerzielles Repository |
| Unsere Empfehlung | Labor, Test, kleine Umgebungen | Produktivbetrieb in Unternehmen, MVZ und Kliniken |
Ehrlich gesagt
Wofür OPNsense passt, und wofür nicht
Ideal für
- Perimeter-Firewall mit IDS/IPS
- Segmentierung interner Netze und OT
- Standortvernetzung und Homeoffice-VPN
- hochverfügbare Cluster
- Umgebungen mit Nachweispflichten
Wo wir abraten
- wenn eine Hersteller-Cloud für das Management Pflicht ist
- wenn Endpoint-Kopplung wie Sophos Synchronized Security zentral für Ihr Konzept ist
- wenn das E-Mail-Gateway in derselben Box laufen soll
Release-Zyklus: OPNsense erscheint zweimal im Jahr in einer neuen Hauptversion, im Januar und im Juli (Schema JJ.1 und JJ.7). Dazwischen kommen regelmäßig Sicherheits- und Fehlerkorrekturen. Wartungsfenster lassen sich so ein Jahr im Voraus planen.
FAQ
Häufige Fragen
Ist OPNsense dasselbe wie pfSense?
Nein. OPNsense ist 2014 aus pfSense hervorgegangen, wurde aber seitdem eigenständig und in weiten Teilen neu entwickelt. Oberfläche, API, Release-Zyklus und Hersteller unterscheiden sich.
Läuft OPNsense auch virtuell?
Ja, unter Proxmox, VMware, Hyper-V, KVM und in der Cloud. Als Perimeter-Firewall empfehlen wir meist dedizierte Hardware.
Was passiert, wenn die Business-Lizenz ausläuft?
Die Firewall läuft vollständig weiter und kann auf die Community-Paketquelle umgestellt werden.
Kontakt
Passt OPNsense zu Ihrem Netz?
Wir sagen es Ihnen ehrlich, auch wenn die Antwort nein ist.