Partner OPNsense od roku 2016
OPNsense chráni vašu sieť pomocou IDS/IPS, VPN a vysokej dostupnosti, bez licencií za používateľa alebo za funkciu. Navrhneme zariadenie, bezpečne vás prevedieme z doterajšieho firewallu, budeme ho za vás prevádzkovať a na želanie ho pripojíme k nepretržitému SOC nášho partnera NEOSEC.
Dve cesty, jeden známy koniec
Väčšina organizácií skončí pri jednom z dvoch modelov. Oba istý čas fungujú.
Cesta 1
Cesta 2
OPNsense spája oboje: otvorený kód a podnikové funkcie, prevádzkované ako komerčný firewall.
Funkcie
Všetko je štandardne súčasťou, bez príplatku za funkciu.
Detekcia a prevencia prienikov v režime inline, s otvorenými a voliteľne komerčnými sadami pravidiel.
IPsec pre pobočky, WireGuard a OpenVPN pre mobilných zamestnancov, vždy s dvojfaktorovou autentifikáciou.
Dve zariadenia v klastri CARP so synchronizovanými spojeniami. Aktualizácie a výmena hardvéru bez prerušenia.
Toľko VLAN a zón, koľko potrebujete pre administratívu, výrobu, zdravotnícku techniku, hostí a IoT.
Viacero poskytovateľov s prepnutím pri výpadku a rozkladaním záťaže, k tomu OSPF a BGP cez pluginy.
Každé nastavenie cez REST API, história konfigurácie s porovnaním a návratom.
Porovnanie
| Kritérium | Typická komerčná UTM | OPNsense |
|---|---|---|
| Licenčný model | balíky predplatného, niektoré funkcie licencované samostatne | Community Edition bezplatne, Business Edition za firewall |
| Po vypršaní licencie | ochranné funkcie a aktualizácie často prestanú fungovať | firewall beží ďalej v plnom rozsahu |
| Rozsah funkcií | závisí od balíka | IDS/IPS, VPN, HA a webový filter v cene |
| Zdrojový kód | proprietárny | otvorený (licencia BSD) |
| Správa | často cloud výrobcu | lokálne, cez API alebo centrálne s OPNcentral |
| Cyklus vydaní | závisí od výrobcu | dve hlavné verzie ročne, v januári a v júli |
| Neskorší prechod | drahý, proprietárna konfigurácia | otvorené formáty a úplná dokumentácia |
Migrácia
Pre každý zdrojový systém popisujeme, čo sa dá preniesť, ako a na čo si treba dať pozor.
Postup
Migrácia zriedka zlyhá kvôli novému firewallu, ale kvôli zabudnutým pravidlám a špeciálnym prípadom. Preto začíname tým, čo už máte.
Export konfigurácie, rozhovor s vaším IT tímom, analýza pravidiel, NAT, VPN, certifikátov a špeciálnych prípadov. Počítadlá zásahov ukážu, ktoré pravidlá sa skutočne používajú.
Prevod do logiky OPNsense: aliasy, pravidlá rozhraní, NAT, VPN tunely, napojenie používateľov. Funkcie špecifické pre výrobcu pokryjeme vstavanými nástrojmi alebo pluginmi.
Nasadenie v laboratóriu alebo paralelne v testovacom segmente. Kritické aplikácie, VPN tunely a špeciálne prípady overujeme podľa spoločného kontrolného zoznamu.
Prepnutie v servisnom okne podľa runbooku. Starý firewall zostáva zapojený a pripravený, návrat trvá niekoľko minút.
Analýza logov kvôli zablokovaným legitímnym spojeniam, doladenie sady pravidiel, odovzdanie dokumentácie.
SOC s NEOSEC
Na želanie prúdia logy z OPNsense do SIEM nášho bezpečnostného partnera NEOSEC. Podľa úrovne NEOSEC monitoruje, podporuje alebo preberá reakciu, až po nepretržitú prevádzku 24/7.
Úroveň 1
Ako začať so štruktúrovaným monitoringom?
NEOSEC nastaví a prevádzkuje SIEM. Udalosti z firewallu, koncových zariadení a siete sa zbierajú centrálne a overujú podľa osvedčených sád pravidiel.
Úroveň 2
Ako získať aktívnu podporu?
Managed detection and response: NEOSEC udržiava sady pravidiel, vyhodnocuje upozornenia a reaguje spolu s vami podľa vopred definovaných postupov.
Úroveň 3
Kto reaguje v noci a cez víkend?
Bezpečnostné operačné centrum nepretržite. NEOSEC monitoruje, v dohodnutých medziach reaguje samostatne a dokumentuje každý incident.
AI a MCP
Náš vlastný MCP server pre OPNsense poskytuje AI asistentom štruktúrovaný prístup k pravidlám, rozhraniam, VPN a logom. Každá akcia je klasifikovaná podľa rizika a kritické zmeny vyžadujú potvrdenie. Na želanie beží AI úplne vo vašom prostredí.
Ktoré pravidlá na lokalite Sever sa za posledných 90 dní nepoužili?
Čítanie pravidiel, dopyt na počítadlá zásahov
7 zo 64 pravidiel nemá žiadne zásahy, z toho 2 povolenia pre VPN, ktorá bola vypnutá. Mám ich deaktivovať? Najprv vytvorím bod obnovy.
Áno, deaktivujte ich.
Vytvorenie bodu obnovy, deaktivácia pravidiel (úroveň rizika stredná, potvrdené)
Hotovo. Bod obnovy vytvorený, 7 pravidiel deaktivovaných, zmenu možno kedykoľvek vrátiť späť.
Pre koho
Viacero lokalít, práca z domu, výroba a administratíva v tej istej sieti. Podniková bezpečnosť bez podnikového licenčného modelu.
OPNsense pre stredné podnikyZdravotnícke prístroje bez aktualizácií, nemecká telematická infraštruktúra (TI) a povinnosti auditu. Firewall sa stáva nástrojom na segmentáciu a preukazovanie.
OPNsense v zdravotníctvePrečo my
Nie: kopírovanie riadkov
Analyzujeme, ktoré pravidlá sa skutočne uplatňujú, a prenášame logiku, nie staré nánosy.
Nie: dúfať pri prepnutí
Starý firewall zostáva zapojený až do vášho schválenia. Návrat trvá niekoľko minút.
Nie: znalosti ako závislosť
Štruktúrovaná tak, aby ju mohol prevziať aj iný poskytovateľ služieb.
FAQ
Community Edition je bezplatná. Náklady vznikajú za hardvér, voliteľne za Business Edition (ročná licencia za firewall) a za nastavenie a prevádzku. Neexistujú licencie za používateľa, funkciu ani priepustnosť.
Kľúčové komponenty OPNsense, ako paketový filter pf, Suricata, strongSwan a Unbound, patria k najdôkladnejšie preverovaným bezpečnostným projektom. Za OPNsense stojí výrobca Deciso s komerčnou podporou a my sme k dispozícii na mieste.
Samotné prepnutie trvá zvyčajne jednu až dve hodiny v servisnom okne. Príprava a testovanie trvajú od niekoľkých dní po niekoľko týždňov v závislosti od rozsahu.
Na želanie náš bezpečnostný partner NEOSEC. Logy prúdia do jeho SIEM a podľa úrovne NEOSEC reaguje nepretržite. Viac v časti SOC s NEOSEC.
Kontakt
Úvodný rozhovor s inžinierom pre OPNsense, nie predajná prezentácia. Ak OPNsense nie je vhodné riešenie, povieme vám to.
