Partner OPNsense od 2016 roku
OPNsense chroni Państwa sieć dzięki IDS/IPS, VPN i wysokiej dostępności, bez licencji na użytkownika czy funkcję. Planujemy urządzenie, bezpiecznie przenosimy Państwa z obecnej zapory, prowadzimy jej eksploatację i na życzenie podłączamy ją do całodobowego SOC naszego partnera NEOSEC.
Dwie drogi, jeden znajomy koniec
Większość organizacji trafia do jednego z dwóch modeli. Oba działają przez pewien czas.
Droga 1
Droga 2
OPNsense łączy oba podejścia: otwarty kod i funkcje klasy enterprise, eksploatowane jak komercyjna zapora.
Funkcje
Wszystko w standardzie, bez dopłat za poszczególne funkcje.
Wykrywanie i zapobieganie włamaniom w trybie inline, z otwartymi i opcjonalnie komercyjnymi zestawami reguł.
IPsec dla lokalizacji, WireGuard i OpenVPN dla pracowników mobilnych, zawsze z uwierzytelnianiem dwuskładnikowym.
Dwa urządzenia w klastrze CARP z synchronizacją połączeń. Aktualizacje i wymiana sprzętu bez przerw.
Dowolna liczba sieci VLAN i stref dla administracji, produkcji, techniki medycznej, gości i IoT.
Kilku dostawców z przełączaniem awaryjnym i równoważeniem obciążenia, a także OSPF i BGP przez wtyczki.
Każde ustawienie przez REST API, historia konfiguracji z porównaniem i przywracaniem.
Porównanie
| Kryterium | Typowy komercyjny UTM | OPNsense |
|---|---|---|
| Model licencjonowania | pakiety subskrypcyjne, część funkcji licencjonowana osobno | Community Edition bezpłatna, Business Edition na zaporę |
| Po wygaśnięciu licencji | funkcje ochronne i aktualizacje często przestają działać | zapora działa dalej w pełnym zakresie |
| Zakres funkcji | zależy od pakietu | IDS/IPS, VPN, HA i filtrowanie stron w zestawie |
| Kod źródłowy | zamknięty | otwarty (licencja BSD) |
| Zarządzanie | często chmura producenta | lokalnie, przez API lub centralnie przez OPNcentral |
| Cykl wydań | zależny od producenta | dwie główne wersje rocznie, w styczniu i lipcu |
| Późniejsza zmiana | kosztowna, zamknięta konfiguracja | otwarte formaty i pełna dokumentacja |
Migracja
Dla każdego systemu źródłowego opisujemy, co można przenieść, w jaki sposób i na co trzeba uważać.
Sposób działania
Migracja rzadko kończy się niepowodzeniem z powodu nowej zapory, lecz z powodu zapomnianych reguł i wyjątków. Dlatego zaczynamy od tego, co już Państwo mają.
Eksport konfiguracji, rozmowa z Państwa zespołem IT, analiza reguł, NAT, VPN, certyfikatów i przypadków szczególnych. Liczniki trafień pokazują, które reguły są faktycznie używane.
Przeniesienie do logiki OPNsense: aliasy, reguły interfejsów, NAT, tunele VPN, integracja użytkowników. Funkcje specyficzne dla producenta odwzorowujemy za pomocą wbudowanych narzędzi lub wtyczek.
Uruchomienie w laboratorium lub równolegle w segmencie testowym. Krytyczne aplikacje, tunele VPN i przypadki szczególne sprawdzamy według wspólnej listy kontrolnej.
Przełączenie w oknie serwisowym według runbooka. Stara zapora pozostaje podłączona i gotowa, a powrót zajmuje kilka minut.
Analiza logów pod kątem zablokowanych prawidłowych połączeń, dostrojenie zestawu reguł, przekazanie dokumentacji.
SOC z NEOSEC
Na życzenie logi z OPNsense trafiają do systemu SIEM naszego partnera NEOSEC. W zależności od poziomu NEOSEC monitoruje, wspiera lub przejmuje reagowanie, aż po pracę w trybie 24/7.
Poziom 1
Jak zacząć uporządkowany monitoring?
NEOSEC konfiguruje i prowadzi SIEM. Zdarzenia z zapory, punktów końcowych i sieci są gromadzone centralnie i analizowane z użyciem sprawdzonych zestawów reguł.
Poziom 2
Jak uzyskać aktywne wsparcie?
Managed detection and response: NEOSEC utrzymuje zestawy reguł, ocenia alerty i reaguje wspólnie z Państwem według uzgodnionych ścieżek.
Poziom 3
Kto reaguje w nocy i w weekendy?
Centrum operacji bezpieczeństwa przez całą dobę. NEOSEC monitoruje, samodzielnie reaguje w uzgodnionych granicach i dokumentuje każdy incydent.
AI i MCP
Nasz własny serwer MCP dla OPNsense daje asystentom AI uporządkowany dostęp do reguł, interfejsów, połączeń VPN i logów. Każda akcja ma przypisaną klasę ryzyka, a krytyczne zmiany wymagają potwierdzenia. Na życzenie AI działa w całości w Państwa infrastrukturze.
Które reguły w lokalizacji Północ nie były używane w ciągu ostatnich 90 dni?
Odczyt reguł, pobranie liczników trafień
7 z 64 reguł nie ma trafień, w tym 2 zezwolenia dla wyłączonego VPN. Czy mam je dezaktywować? Najpierw utworzę punkt przywracania.
Tak, proszę je dezaktywować.
Utworzenie punktu przywracania, dezaktywacja reguł (poziom ryzyka średni, potwierdzono)
Gotowe. Punkt przywracania utworzony, 7 reguł dezaktywowanych, zmianę można cofnąć w każdej chwili.
Dla kogo
Kilka lokalizacji, praca zdalna, produkcja i administracja w tej samej sieci. Bezpieczeństwo klasy enterprise bez modelu licencyjnego klasy enterprise.
OPNsense dla średnich przedsiębiorstwUrządzenia medyczne bez aktualizacji, niemiecka infrastruktura telematyczna (TI) i obowiązki audytowe. Zapora staje się narzędziem segmentacji i dokumentowania zgodności.
OPNsense w ochronie zdrowiaDlaczego my
Nie: kopiowanie wierszy
Analizujemy, które reguły są faktycznie używane, i przenosimy logikę, a nie stare naleciałości.
Nie: nadzieja przy przełączeniu
Stara zapora pozostaje podłączona do czasu Państwa odbioru. Powrót zajmuje kilka minut.
Nie: wiedza jako uzależnienie
Przygotowana tak, aby mógł ją przejąć inny usługodawca.
FAQ
Community Edition jest bezpłatna. Koszty obejmują sprzęt, opcjonalnie Business Edition (roczna licencja na zaporę) oraz wdrożenie i eksploatację. Nie ma licencji na użytkownika, funkcję ani przepustowość.
Kluczowe komponenty OPNsense, takie jak filtr pakietów pf, Suricata, strongSwan i Unbound, należą do najdokładniej sprawdzanych projektów bezpieczeństwa. Za platformą stoi producent Deciso z komercyjnym wsparciem, a my jesteśmy na miejscu.
Samo przełączenie trwa zwykle od jednej do dwóch godzin w oknie serwisowym. Przygotowanie i testy zajmują, w zależności od zakresu, od kilku dni do kilku tygodni.
Na życzenie nasz partner ds. bezpieczeństwa NEOSEC. Logi trafiają do jego systemu SIEM, a w zależności od poziomu NEOSEC reaguje całodobowo. Więcej w sekcji SOC z NEOSEC.
Kontakt
Pierwsza rozmowa z inżynierem OPNsense, a nie prezentacja sprzedażowa. Jeśli OPNsense nie będzie właściwym wyborem, powiemy to wprost.
