Zenarmor
Control al aplicațiilor la Layer 7 și filtrare web.
Prezentare OPNsense
O platformă open source de firewall și rutare bazată pe FreeBSD, dezvoltată de Deciso B.V. în Țările de Jos și disponibilă din ianuarie 2015. Din punct de vedere funcțional la nivelul firewall-urilor comerciale de generație nouă, dar diferită în privința licențierii și a transparenței.
Fișă tehnică
- Producător
- Deciso B.V., Țările de Jos
- Bază
- FreeBSD, filtrul de pachete pf
- Licență
- BSD-2-Clause
- Versiuni
- ianuarie și iulie
- Din
- ianuarie 2015
Origini
De unde provine OPNsense
OPNsense a pornit în 2014 ca fork al pfSense, cu scopul de a reconstrui de la zero calitatea codului, securitatea și deschiderea. De atunci platforma a fost reproiectată în profunzime: o interfață nouă, un REST API consecvent și un back end modular.
Arhitectură
- FreeBSD ca sistem de operare
- pf ca motor de firewall
- Suricata pentru IDS/IPS
- Unbound pentru DNS, strongSwan pentru IPsec
- fiecare setare disponibilă și prin API
Securitate de bază
- actualizări de securitate regulate din depozite de pachete semnate
- autentificare în doi pași pentru interfața web și VPN
- permisiuni bazate pe roluri pentru administratori
- fără telemetrie către producător, fără cloud obligatoriu
Funcții
Set de funcții
| Domeniu | Funcții | Utilizare tipică |
|---|---|---|
| Firewall | filtru de pachete stateful, aliasuri (hosturi, rețele, porturi, GeoIP, tabele URL), grupuri de reguli, planificări orare, floating rules | separarea zonelor, segmentare, controlul accesului |
| NAT | port forwarding, outbound NAT, NAT 1:1, NPTv6, NAT reflection | publicarea serviciilor interne |
| Rutare | grupuri de gateway-uri, multi-WAN cu failover, rutare bazată pe politici, OSPF și BGP prin FRR | doi furnizori, rețele între locații, centru de date |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, export de clienți | conexiuni site-to-site, lucru de acasă, personal de teren |
| IDS/IPS | Suricata în mod IDS sau IPS inline, reguli ET Open, opțional seturi de reguli comerciale | detectarea și blocarea atacurilor cunoscute |
| Web și aplicații | proxy cu filtrare pe categorii, opțional Zenarmor pentru control la Layer 7 | filtrare web, vizibilitate asupra shadow IT |
| DNS și DHCP | Unbound cu liste de blocare și DNS over TLS, Kea sau Dnsmasq | rezolvare centralizată a numelor, blocarea domeniilor malware |
| Înaltă disponibilitate | CARP, pfsync, sincronizarea configurației | mentenanță și defecte hardware fără întrerupere |
| Autentificare | utilizatori locali, LDAP/Active Directory, RADIUS, TOTP | securizarea accesului VPN și de administrare |
| Operare | istoric al configurației cu rollback, backupuri automate, REST API, NetFlow, Telegraf, Zabbix | trasabilitate, automatizare |
Pluginuri
Extensibil fără a modifica baza
CrowdSec
Liste de blocare partajate împotriva IP-urilor cunoscute ale atacatorilor.
Agent Wazuh
Conectare la SIEM și SOC, de exemplu la NEOSEC.
ACME
Certificate Let’s Encrypt automate.
HAProxy și nginx
Reverse proxy și echilibrarea încărcării pentru serviciile publicate.
FRR
Rutare dinamică cu OSPF și BGP.
Ediții
Community sau Business Edition
Licențierea se face per firewall, nu după utilizatori, debit sau funcții.
| Community Edition | Business Edition | |
|---|---|---|
| Cost | gratuită | licență anuală per firewall |
| Bază de cod | nucleu identic | nucleu identic |
| Versiuni | funcțiile noi apar mai întâi aici | versiuni mature, cu decalaj în timp |
| Funcții suplimentare | – | inclusiv OPNcentral pentru mai multe firewall-uri |
| Sursa pachetelor | mirror comunitar | depozit comercial |
| Recomandarea noastră | laborator, teste, medii mici | utilizare productivă în companii, centre medicale și spitale |
Sincer vorbind
Unde se potrivește OPNsense și unde nu
Ideal pentru
- firewall de perimetru cu IDS/IPS
- segmentarea rețelelor interne și a OT
- conectarea locațiilor și VPN pentru lucru de acasă
- clustere de înaltă disponibilitate
- medii cu obligații de documentare
Unde nu îl recomandăm
- dacă un cloud al producătorului este obligatoriu pentru administrare
- dacă integrarea cu endpointurile, precum Sophos Synchronized Security, este centrală în conceptul dumneavoastră
- dacă gateway-ul de e-mail trebuie să ruleze pe același echipament
Ciclul de lansări: OPNsense publică o nouă versiune majoră de două ori pe an, în ianuarie și iulie (schema YY.1 și YY.7). Între acestea urmează regulat corecții de securitate și de erori. Astfel puteți planifica ferestrele de mentenanță cu un an înainte.
FAQ
Întrebări frecvente
Este OPNsense același lucru cu pfSense?
Nu. OPNsense a apărut din pfSense în 2014, dar de atunci este dezvoltat independent și a fost rescris în mare parte. Interfața, API-ul, ciclul de lansări și producătorul sunt diferite.
Rulează OPNsense și virtual?
Da, pe Proxmox, VMware, Hyper-V, KVM și în cloud. Ca firewall de perimetru recomandăm de regulă hardware dedicat.
Ce se întâmplă când expiră licența Business?
Firewall-ul continuă să funcționeze complet și poate fi trecut pe sursa de pachete a comunității.
Contact
Este OPNsense potrivit pentru rețeaua dumneavoastră?
Vă dăm un răspuns sincer, chiar dacă acesta este nu.