Zenarmor
Kontrola aplikácií a webový filter na vrstve 7.
Prehľad OPNsense
Open-source platforma pre firewall a smerovanie založená na FreeBSD, ktorú vyvíja Deciso B.V. v Holandsku a ktorá je dostupná od januára 2015. Funkčne rovnocenná s komerčnými firewallmi novej generácie, ale odlišná v licencovaní a transparentnosti.
Profil
- Výrobca
- Deciso B.V., Holandsko
- Základ
- FreeBSD, paketový filter pf
- Licencia
- BSD-2-Clause
- Vydania
- január a júl
- Od
- januára 2015
Pôvod
Odkiaľ OPNsense pochádza
Projekt OPNsense vznikol v roku 2014 ako fork pfSense s cieľom znovu vybudovať kvalitu kódu, bezpečnosť a otvorenosť od základov. Odvtedy bola platforma zásadne prepracovaná: nové rozhranie, jednotné REST API a modulárny backend.
Architektúra
- FreeBSD ako operačný systém
- pf ako firewallové jadro
- Suricata pre IDS/IPS
- Unbound pre DNS, strongSwan pre IPsec
- každé nastavenie dostupné aj cez API
Bezpečnosť v jadre
- pravidelné bezpečnostné aktualizácie z podpísaných repozitárov balíkov
- dvojfaktorová autentifikácia pre webové rozhranie a VPN
- oprávnenia pre administrátorov založené na rolách
- žiadna telemetria k výrobcovi, žiadny povinný cloud
Funkcie
Rozsah funkcií
| Oblasť | Funkcie | Typické použitie |
|---|---|---|
| Firewall | stavový paketový filter, aliasy (hostitelia, siete, porty, GeoIP, tabuľky URL), skupiny pravidiel, časové plány, plávajúce pravidlá | oddelenie zón, segmentácia, riadenie prístupu |
| NAT | presmerovanie portov, odchádzajúci NAT, 1:1 NAT, NPTv6, NAT reflection | sprístupnenie interných služieb |
| Smerovanie | skupiny brán, multi-WAN s prepnutím pri výpadku, smerovanie podľa politík, OSPF a BGP cez FRR | dvaja poskytovatelia, siete pobočiek, dátové centrum |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, export klientov | prepojenie lokalít, práca z domu, zamestnanci v teréne |
| IDS/IPS | Suricata v režime IDS alebo inline IPS, pravidlá ET Open, voliteľne komerčné sady pravidiel | detekcia a blokovanie známych útokov |
| Web a aplikácie | proxy s filtrovaním podľa kategórií, voliteľne Zenarmor na kontrolu na vrstve 7 | webový filter, zviditeľnenie tieňového IT |
| DNS a DHCP | Unbound s blocklistami a DNS over TLS, Kea alebo Dnsmasq | centrálny preklad mien, blokovanie škodlivých domén |
| Vysoká dostupnosť | CARP, pfsync, synchronizácia konfigurácie | údržba a poruchy hardvéru bez výpadku |
| Autentifikácia | lokálni používatelia, LDAP/Active Directory, RADIUS, TOTP | zabezpečenie VPN a administrátorského prístupu |
| Prevádzka | história konfigurácie s návratom, automatické zálohy, REST API, NetFlow, Telegraf, Zabbix | sledovateľnosť, automatizácia |
Pluginy
Rozšíriteľný bez ohýbania základu
CrowdSec
Zdieľané blocklisty proti známym IP adresám útočníkov.
Agent Wazuh
Pripojenie k SIEM a SOC, napríklad v NEOSEC.
ACME
Automatické certifikáty Let’s Encrypt.
HAProxy a nginx
Reverzný proxy a rozkladanie záťaže pre sprístupnené služby.
FRR
Dynamické smerovanie s OSPF a BGP.
Edície
Community alebo Business Edition
Licencuje sa za firewall, nie podľa používateľov, priepustnosti ani funkcií.
| Community Edition | Business Edition | |
|---|---|---|
| Náklady | bezplatne | ročná licencia za firewall |
| Kódová základňa | identické jadro | identické jadro |
| Vydania | nové funkcie ako prvé | vyzreté vydania s časovým odstupom |
| Ďalšie funkcie | – | vrátane OPNcentral pre viacero firewallov |
| Zdroj balíkov | komunitný mirror | komerčný repozitár |
| Naše odporúčanie | laboratórium, testovanie, malé prostredia | produkčné nasadenie vo firmách, zdravotníckych centrách a nemocniciach |
Úprimne
Kde sa OPNsense hodí a kde nie
Ideálne pre
- perimetrový firewall s IDS/IPS
- segmentáciu interných sietí a OT
- prepojenie lokalít a VPN pre prácu z domu
- klastre s vysokou dostupnosťou
- prostredia s povinnosťou dokumentácie
Kde ho neodporúčame
- ak je cloud výrobcu povinný pre správu
- ak je integrácia koncových zariadení, napríklad Sophos Synchronized Security, ústrednou súčasťou vášho konceptu
- ak má e-mailová brána bežať v tom istom zariadení
Cyklus vydaní: OPNsense vydáva novú hlavnú verziu dvakrát ročne, v januári a v júli (schéma YY.1 a YY.7). Medzitým pravidelne prichádzajú bezpečnostné opravy a opravy chýb. Servisné okná si tak môžete naplánovať na rok dopredu.
FAQ
Časté otázky
Je OPNsense to isté ako pfSense?
Nie. OPNsense vznikol z pfSense v roku 2014, odvtedy sa však vyvíja samostatne a bol z veľkej časti prepísaný. Rozhranie, API, cyklus vydaní aj výrobca sú odlišné.
Beží OPNsense aj virtuálne?
Áno, na Proxmox, VMware, Hyper-V, KVM a v cloude. Ako perimetrový firewall zvyčajne odporúčame vyhradený hardvér.
Čo sa stane, keď vyprší licencia Business?
Firewall beží ďalej v plnom rozsahu a dá sa prepnúť na komunitný zdroj balíkov.
Kontakt
Hodí sa OPNsense do vašej siete?
Odpovieme vám úprimne, aj keď bude odpoveď nie.