Zenarmor
Nadzor aplikacij na plasti 7 in spletni filter.
Pregled OPNsense
Odprtokodna platforma za požarni zid in usmerjanje na osnovi FreeBSD, ki jo razvija Deciso B.V. na Nizozemskem in je na voljo od januarja 2015. Po funkcijah je enakovredna komercialnim požarnim zidovom naslednje generacije, razlikuje pa se po licenciranju in preglednosti.
Osebna izkaznica
- Proizvajalec
- Deciso B.V., Nizozemska
- Osnova
- FreeBSD, paketni filter pf
- Licenca
- BSD-2-Clause
- Izdaje
- januar in julij
- Na voljo od
- januarja 2015
Izvor
Od kod prihaja OPNsense
OPNsense je nastal leta 2014 kot razcep (fork) projekta pfSense, s ciljem od temeljev na novo zgraditi kakovost kode, varnost in odprtost. Od takrat je bila platforma temeljito predelana: nov vmesnik, enoten REST API in modularno zaledje.
Arhitektura
- FreeBSD kot operacijski sistem
- pf kot pogon požarnega zidu
- Suricata za IDS/IPS
- Unbound za DNS, strongSwan za IPsec
- vse nastavitve na voljo tudi prek API
Varnost v jedru
- redne varnostne posodobitve iz podpisanih repozitorijev paketov
- dvofaktorska avtentikacija za spletni vmesnik in VPN
- dovoljenja za skrbnike na podlagi vlog
- brez telemetrije proizvajalcu, brez obveznega oblaka
Funkcije
Obseg funkcij
| Področje | Funkcije | Tipična uporaba |
|---|---|---|
| Požarni zid | paketni filter s stanji, aliasi (gostitelji, omrežja, vrata, GeoIP, tabele URL), skupine pravil, časovni razporedi, plavajoča pravila | ločevanje con, segmentacija, nadzor dostopa |
| NAT | posredovanje vrat, odhodni NAT, 1:1 NAT, NPTv6, NAT reflection | objava notranjih storitev |
| Usmerjanje | skupine prehodov, multi-WAN s preklopom ob izpadu, usmerjanje na podlagi pravil, OSPF in BGP prek FRR | dva ponudnika, omrežja lokacij, podatkovni center |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, izvoz odjemalcev | povezave med lokacijami, delo od doma, terenski sodelavci |
| IDS/IPS | Suricata v načinu IDS ali inline IPS, pravila ET Open, po izbiri komercialni nabori pravil | zaznavanje in blokiranje znanih napadov |
| Splet in aplikacije | posredniški strežnik s filtriranjem po kategorijah, po izbiri Zenarmor za nadzor na plasti 7 | spletni filter, razkrivanje senčne IT |
| DNS in DHCP | Unbound s seznami za blokiranje in DNS over TLS, Kea ali Dnsmasq | centralno razreševanje imen, blokiranje zlonamernih domen |
| Visoka razpoložljivost | CARP, pfsync, sinhronizacija konfiguracije | vzdrževanje in okvare strojne opreme brez izpadov |
| Avtentikacija | lokalni uporabniki, LDAP/Active Directory, RADIUS, TOTP | zaščita dostopov VPN in skrbniških dostopov |
| Obratovanje | zgodovina konfiguracije s povrnitvijo, samodejne varnostne kopije, REST API, NetFlow, Telegraf, Zabbix | sledljivost, avtomatizacija |
Vtičniki
Razširljivo, ne da bi spreminjali osnovo
CrowdSec
Skupni seznami za blokiranje znanih IP-naslovov napadalcev.
Agent Wazuh
Povezava s SIEM in SOC, na primer pri NEOSEC.
ACME
Samodejna potrdila Let’s Encrypt.
HAProxy in nginx
Obratni posredniški strežnik in porazdelitev obremenitve za objavljene storitve.
FRR
Dinamično usmerjanje z OSPF in BGP.
Edicije
Community ali Business Edition
Licenciranje poteka na požarni zid, ne po uporabnikih, prepustnosti ali funkcijah.
| Community Edition | Business Edition | |
|---|---|---|
| Stroški | brezplačno | letna licenca na požarni zid |
| Osnova kode | enako jedro | enako jedro |
| Izdaje | nove funkcije najprej | preizkušene izdaje s časovnim zamikom |
| Dodatne funkcije | – | med drugim OPNcentral za več požarnih zidov |
| Vir paketov | skupnostno zrcalo | komercialni repozitorij |
| Naše priporočilo | laboratorij, testiranje, majhna okolja | produktivna uporaba v podjetjih, zdravstvenih centrih in bolnišnicah |
Iskreno
Kje je OPNsense primeren in kje ne
Idealen za
- obrobni požarni zid z IDS/IPS
- segmentacijo notranjih omrežij in OT
- povezovanje lokacij in VPN za delo od doma
- gruče z visoko razpoložljivostjo
- okolja z obveznostmi dokumentiranja
Kdaj ga odsvetujemo
- če je za upravljanje obvezen oblak proizvajalca
- če je integracija s končnimi točkami, kot je Sophos Synchronized Security, osrednji del vašega koncepta
- če naj v isti napravi deluje tudi e-poštni prehod
Cikel izdaj: OPNsense dvakrat letno, januarja in julija, izda novo glavno različico (shema YY.1 in YY.7). Vmes redno sledijo varnostni popravki in odprave napak. Tako lahko vzdrževalna okna načrtujete leto vnaprej.
FAQ
Pogosta vprašanja
Ali je OPNsense isto kot pfSense?
Ne. OPNsense je leta 2014 nastal iz pfSense, vendar se od takrat razvija samostojno in je v veliki meri na novo napisan. Vmesnik, API, cikel izdaj in proizvajalec so drugačni.
Ali OPNsense deluje tudi virtualno?
Da, na Proxmox, VMware, Hyper-V, KVM in v oblaku. Za obrobni požarni zid običajno priporočamo namensko strojno opremo.
Kaj se zgodi, ko licenca Business poteče?
Požarni zid še naprej deluje v celoti in ga je mogoče preklopiti na skupnostni vir paketov.
Kontakt
Je OPNsense primeren za vaše omrežje?
Dobili boste iskren odgovor, tudi če se glasi ne.