Zenarmor
Controlo de aplicações e filtragem web na camada 7.
Visão geral do OPNsense
Uma plataforma de firewall e encaminhamento de código aberto baseada em FreeBSD, desenvolvida pela Deciso B.V. nos Países Baixos e disponível desde janeiro de 2015. Em termos funcionais está ao nível das firewalls comerciais de nova geração, mas difere no licenciamento e na transparência.
Ficha técnica
- Fabricante
- Deciso B.V., Países Baixos
- Base
- FreeBSD, filtro de pacotes pf
- Licença
- BSD-2-Clause
- Versões
- janeiro e julho
- Desde
- janeiro de 2015
Origem
De onde vem o OPNsense
O OPNsense nasceu em 2014 como fork do pfSense, com o objetivo de reconstruir de raiz a qualidade do código, a segurança e a abertura. Desde então, a plataforma foi profundamente reformulada: nova interface, uma REST API coerente e um back end modular.
Arquitetura
- FreeBSD como sistema operativo
- pf como motor de firewall
- Suricata para IDS/IPS
- Unbound para DNS, strongSwan para IPsec
- todas as definições também disponíveis por API
Segurança de base
- atualizações de segurança regulares a partir de repositórios de pacotes assinados
- autenticação de dois fatores para a interface web e a VPN
- permissões por função para administradores
- sem telemetria para o fabricante, sem cloud obrigatória
Funcionalidades
Funcionalidades
| Área | Funcionalidades | Utilização típica |
|---|---|---|
| Firewall | filtro de pacotes stateful, aliases (hosts, redes, portas, GeoIP, tabelas de URL), grupos de regras, horários, regras flutuantes | separação de zonas, segmentação, controlo de acessos |
| NAT | reencaminhamento de portas, NAT de saída, NAT 1:1, NPTv6, reflexão NAT | publicação de serviços internos |
| Encaminhamento | grupos de gateways, multi-WAN com failover, encaminhamento por políticas, OSPF e BGP via FRR | dois fornecedores, redes entre instalações, centro de dados |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, exportação de clientes | ligações site-to-site, teletrabalho, equipas externas |
| IDS/IPS | Suricata em modo IDS ou IPS inline, regras ET Open, conjuntos de regras comerciais opcionais | detetar e bloquear ataques conhecidos |
| Web e aplicações | proxy com filtragem por categorias, opcionalmente Zenarmor para controlo de camada 7 | filtragem web, tornar visível a shadow IT |
| DNS e DHCP | Unbound com listas de bloqueio e DNS over TLS, Kea ou Dnsmasq | resolução de nomes centralizada, bloqueio de domínios de malware |
| Alta disponibilidade | CARP, pfsync, sincronização da configuração | manutenção e falhas de hardware sem tempo de inatividade |
| Autenticação | utilizadores locais, LDAP/Active Directory, RADIUS, TOTP | proteger os acessos VPN e de administração |
| Operação | histórico de configuração com reversão, cópias de segurança automáticas, REST API, NetFlow, Telegraf, Zabbix | rastreabilidade, automatização |
Plugins
Extensível sem desvirtuar a base
CrowdSec
Listas de bloqueio partilhadas contra IPs de atacantes conhecidos.
Agente Wazuh
Ligação a SIEM e SOC, por exemplo na NEOSEC.
ACME
Certificados Let’s Encrypt automáticos.
HAProxy e nginx
Proxy inverso e balanceamento de carga para serviços publicados.
FRR
Encaminhamento dinâmico com OSPF e BGP.
Edições
Community ou Business Edition
O licenciamento é feito por firewall, não por utilizadores, débito ou funcionalidades.
| Community Edition | Business Edition | |
|---|---|---|
| Custo | gratuita | licença anual por firewall |
| Base de código | núcleo idêntico | núcleo idêntico |
| Versões | novas funcionalidades primeiro | versões maduras com algum desfasamento |
| Funcionalidades adicionais | – | incluindo OPNcentral para várias firewalls |
| Origem dos pacotes | espelho da comunidade | repositório comercial |
| A nossa recomendação | laboratório, testes, ambientes pequenos | utilização produtiva em empresas, centros médicos e hospitais |
Com franqueza
Onde o OPNsense se adequa e onde não
Ideal para
- firewall de perímetro com IDS/IPS
- segmentação de redes internas e OT
- ligação entre instalações e VPN para teletrabalho
- clusters de alta disponibilidade
- ambientes com obrigações de documentação
Onde o desaconselhamos
- se uma cloud do fabricante for obrigatória para a gestão
- se a integração com endpoints, como o Sophos Synchronized Security, for central no seu conceito
- se o gateway de email tiver de funcionar no mesmo equipamento
Ciclo de versões: o OPNsense lança uma nova versão principal duas vezes por ano, em janeiro e julho (esquema AA.1 e AA.7). Entre elas, seguem-se regularmente correções de segurança e de erros. Assim, pode planear as janelas de manutenção com um ano de antecedência.
FAQ
Perguntas frequentes
O OPNsense é o mesmo que o pfSense?
Não. O OPNsense surgiu do pfSense em 2014, mas desde então tem sido desenvolvido de forma independente e foi em grande parte reescrito. A interface, a API, o ciclo de versões e o fabricante são diferentes.
O OPNsense também funciona virtualizado?
Sim, em Proxmox, VMware, Hyper-V, KVM e na cloud. Como firewall de perímetro, recomendamos normalmente hardware dedicado.
O que acontece quando a licença Business expira?
A firewall continua a funcionar na íntegra e pode ser mudada para a origem de pacotes da comunidade.
Contacto
O OPNsense é adequado para a sua rede?
Damos-lhe uma resposta honesta, mesmo que seja não.