Zenarmor
Kontrola aplikacji w warstwie 7 i filtrowanie stron.
Przegląd OPNsense
Platforma zapory i routingu open source oparta na FreeBSD, rozwijana przez Deciso B.V. w Holandii i dostępna od stycznia 2015 roku. Funkcjonalnie dorównuje komercyjnym zaporom nowej generacji, ale różni się modelem licencjonowania i przejrzystością.
Metryczka
- Producent
- Deciso B.V., Holandia
- Podstawa
- FreeBSD, filtr pakietów pf
- Licencja
- BSD-2-Clause
- Wydania
- styczeń i lipiec
- Dostępny od
- stycznia 2015
Pochodzenie
Skąd pochodzi OPNsense
OPNsense powstał w 2014 roku jako fork pfSense, z celem odbudowania od podstaw jakości kodu, bezpieczeństwa i otwartości. Od tego czasu platforma została gruntownie przebudowana: nowy interfejs, spójne REST API i modułowy backend.
Architektura
- FreeBSD jako system operacyjny
- pf jako silnik zapory
- Suricata dla IDS/IPS
- Unbound dla DNS, strongSwan dla IPsec
- każde ustawienie dostępne także przez API
Bezpieczeństwo u podstaw
- regularne aktualizacje bezpieczeństwa z podpisanych repozytoriów pakietów
- uwierzytelnianie dwuskładnikowe dla interfejsu WWW i VPN
- uprawnienia administratorów oparte na rolach
- brak telemetrii do producenta, brak obowiązkowej chmury
Funkcje
Zakres funkcji
| Obszar | Funkcje | Typowe zastosowanie |
|---|---|---|
| Zapora | stanowy filtr pakietów, aliasy (hosty, sieci, porty, GeoIP, tabele URL), grupy reguł, harmonogramy, reguły floating | separacja stref, segmentacja, kontrola dostępu |
| NAT | przekierowanie portów, NAT wychodzący, NAT 1:1, NPTv6, NAT reflection | publikowanie usług wewnętrznych |
| Routing | grupy bram, multi-WAN z przełączaniem awaryjnym, routing oparty na politykach, OSPF i BGP przez FRR | dwóch dostawców, sieć lokalizacji, centrum danych |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, eksport klienta | połączenia site-to-site, praca zdalna, pracownicy terenowi |
| IDS/IPS | Suricata w trybie IDS lub inline IPS, reguły ET Open, opcjonalnie komercyjne zestawy reguł | wykrywanie i blokowanie znanych ataków |
| WWW i aplikacje | proxy z filtrowaniem kategorii, opcjonalnie Zenarmor do kontroli w warstwie 7 | filtrowanie stron, ujawnianie shadow IT |
| DNS i DHCP | Unbound z listami blokad i DNS over TLS, Kea lub Dnsmasq | centralne rozwiązywanie nazw, blokowanie domen złośliwego oprogramowania |
| Wysoka dostępność | CARP, pfsync, synchronizacja konfiguracji | prace serwisowe i awarie sprzętu bez przestojów |
| Uwierzytelnianie | użytkownicy lokalni, LDAP/Active Directory, RADIUS, TOTP | zabezpieczenie dostępu VPN i administracyjnego |
| Eksploatacja | historia konfiguracji z przywracaniem, automatyczne kopie zapasowe, REST API, NetFlow, Telegraf, Zabbix | identyfikowalność, automatyzacja |
Wtyczki
Rozszerzenia bez ingerencji w system bazowy
CrowdSec
Współdzielone listy blokad przeciwko znanym adresom IP atakujących.
Agent Wazuh
Połączenie z SIEM i SOC, na przykład w NEOSEC.
ACME
Automatyczne certyfikaty Let’s Encrypt.
HAProxy i nginx
Reverse proxy i równoważenie obciążenia dla publikowanych usług.
FRR
Routing dynamiczny z OSPF i BGP.
Edycje
Community czy Business Edition
Licencjonowanie odbywa się na zaporę, a nie według liczby użytkowników, przepustowości czy funkcji.
| Community Edition | Business Edition | |
|---|---|---|
| Koszt | bezpłatna | roczna licencja na zaporę |
| Baza kodu | identyczny rdzeń | identyczny rdzeń |
| Wydania | nowe funkcje najpierw | dojrzałe wydania z opóźnieniem |
| Dodatkowe funkcje | – | m.in. OPNcentral do zarządzania wieloma zaporami |
| Źródło pakietów | serwer lustrzany społeczności | repozytorium komercyjne |
| Nasza rekomendacja | laboratorium, testy, małe środowiska | użycie produkcyjne w firmach, centrach medycznych i szpitalach |
Szczerze mówiąc
Gdzie OPNsense pasuje, a gdzie nie
Idealny do
- zapora brzegowa z IDS/IPS
- segmentacja sieci wewnętrznych i OT
- łączność między lokalizacjami i VPN do pracy zdalnej
- klastry wysokiej dostępności
- środowiska z obowiązkami dokumentacyjnymi
Kiedy odradzamy
- gdy do zarządzania wymagana jest chmura producenta
- gdy integracja z punktami końcowymi, np. Sophos Synchronized Security, jest kluczowa dla Państwa koncepcji
- gdy brama poczty e-mail ma działać na tym samym urządzeniu
Cykl wydań: OPNsense publikuje nową wersję główną dwa razy w roku, w styczniu i lipcu (schemat RR.1 i RR.7). W międzyczasie regularnie pojawiają się poprawki bezpieczeństwa i błędów. Dzięki temu okna serwisowe można zaplanować z rocznym wyprzedzeniem.
FAQ
Najczęściej zadawane pytania
Czy OPNsense to to samo co pfSense?
Nie. OPNsense wyodrębnił się z pfSense w 2014 roku, ale od tego czasu jest rozwijany niezależnie i w dużej części napisany od nowa. Interfejs, API, cykl wydań i producent są inne.
Czy OPNsense działa również wirtualnie?
Tak, na Proxmox, VMware, Hyper-V, KVM oraz w chmurze. Jako zaporę brzegową zwykle zalecamy dedykowany sprzęt.
Co się dzieje po wygaśnięciu licencji Business?
Zapora nadal działa w pełnym zakresie i można ją przełączyć na źródło pakietów społeczności.
Kontakt
Czy OPNsense pasuje do Państwa sieci?
Odpowiemy szczerze, nawet jeśli odpowiedź brzmi nie.