Zenarmor
Applikationskontroll och webbfilter på lager 7.
Översikt OPNsense
En brandväggs- och routingplattform med öppen källkod baserad på FreeBSD, utvecklad av Deciso B.V. i Nederländerna och tillgänglig sedan januari 2015. Funktionellt i nivå med kommersiella nästa generations brandväggar, men annorlunda när det gäller licensiering och transparens.
Faktablad
- Leverantör
- Deciso B.V., Nederländerna
- Grund
- FreeBSD, paketfiltret pf
- Licens
- BSD-2-Clause
- Releaser
- januari och juli
- Sedan
- januari 2015
Ursprung
Var OPNsense kommer ifrån
OPNsense startade 2014 som en fork av pfSense, med målet att bygga upp kodkvalitet, säkerhet och öppenhet från grunden. Sedan dess har plattformen omarbetats i grunden: ett nytt gränssnitt, ett konsekvent REST API och en modulär backend.
Arkitektur
- FreeBSD som operativsystem
- pf som brandväggsmotor
- Suricata för IDS/IPS
- Unbound för DNS, strongSwan för IPsec
- varje inställning finns även via API
Säkerhet i kärnan
- regelbundna säkerhetsuppdateringar från signerade paketkällor
- tvåfaktorsautentisering för webbgränssnittet och VPN
- rollbaserade behörigheter för administratörer
- ingen telemetri till leverantören, inget tvingande moln
Funktioner
Funktionsomfång
| Område | Funktioner | Typisk användning |
|---|---|---|
| Brandvägg | stateful paketfilter, alias (värdar, nätverk, portar, GeoIP, URL-tabeller), regelgrupper, scheman, flytande regler | zonseparering, segmentering, åtkomstkontroll |
| NAT | portvidarebefordran, utgående NAT, 1:1 NAT, NPTv6, NAT-reflektion | publicera interna tjänster |
| Routing | gatewaygrupper, multi-WAN med failover, policybaserad routing, OSPF och BGP via FRR | två leverantörer, nätverk mellan anläggningar, datacenter |
| VPN | IPsec (IKEv1/IKEv2), WireGuard, OpenVPN, klientexport | site-to-site-förbindelser, distansarbete, fältpersonal |
| IDS/IPS | Suricata i IDS- eller inline-IPS-läge, ET Open-regler, valfria kommersiella regeluppsättningar | upptäcka och blockera kända attacker |
| Webb och applikationer | proxy med kategorifilter, valfritt Zenarmor för kontroll på lager 7 | webbfilter, synliggöra skugg-IT |
| DNS och DHCP | Unbound med blocklistor och DNS over TLS, Kea eller Dnsmasq | central namnupplösning, blockering av skadliga domäner |
| Hög tillgänglighet | CARP, pfsync, konfigurationssynkronisering | underhåll och hårdvarufel utan driftstopp |
| Autentisering | lokala användare, LDAP/Active Directory, RADIUS, TOTP | skydda VPN- och administratörsåtkomst |
| Drift | konfigurationshistorik med återställning, automatiska säkerhetskopior, REST API, NetFlow, Telegraf, Zabbix | spårbarhet, automatisering |
Plugins
Utbyggbar utan att tumma på grunden
CrowdSec
Delade blocklistor mot kända angripar-IP-adresser.
Wazuh-agent
Anslutning till SIEM och SOC, till exempel hos NEOSEC.
ACME
Automatiska Let’s Encrypt-certifikat.
HAProxy och nginx
Omvänd proxy och lastbalansering för publicerade tjänster.
FRR
Dynamisk routing med OSPF och BGP.
Utgåvor
Community eller Business Edition
Licensieringen sker per brandvägg, inte efter användare, genomströmning eller funktioner.
| Community Edition | Business Edition | |
|---|---|---|
| Kostnad | kostnadsfri | årlig licens per brandvägg |
| Kodbas | identisk kärna | identisk kärna |
| Releaser | nya funktioner först | mogna releaser med viss fördröjning |
| Ytterligare funktioner | – | bland annat OPNcentral för flera brandväggar |
| Paketkälla | communityspegel | kommersiellt arkiv |
| Vår rekommendation | labb, test, små miljöer | produktionsdrift i företag, vårdcentraler och sjukhus |
Ärligt talat
Där OPNsense passar, och där det inte gör det
Idealiskt för
- perimeterbrandvägg med IDS/IPS
- segmentering av interna nätverk och OT
- förbindelser mellan anläggningar och VPN för distansarbete
- kluster med hög tillgänglighet
- miljöer med dokumentationskrav
Där vi avråder
- om ett leverantörsmoln är obligatoriskt för administrationen
- om integration med slutpunkter, som Sophos Synchronized Security, är central i ert koncept
- om e-postgatewayen ska köras i samma enhet
Releasecykel: OPNsense ger ut en ny huvudversion två gånger per år, i januari och juli (schema ÅÅ.1 och ÅÅ.7). Däremellan kommer säkerhets- och felrättningar regelbundet. Det gör att du kan planera underhållsfönster ett år i förväg.
FAQ
Vanliga frågor
Är OPNsense samma sak som pfSense?
Nej. OPNsense uppstod ur pfSense 2014 men har sedan dess utvecklats självständigt och till stor del skrivits om. Gränssnitt, API, releasecykel och leverantör skiljer sig åt.
Kan OPNsense även köras virtuellt?
Ja, på Proxmox, VMware, Hyper-V, KVM och i molnet. Som perimeterbrandvägg rekommenderar vi oftast dedikerad hårdvara.
Vad händer när Business-licensen löper ut?
Brandväggen fortsätter att fungera fullt ut och kan ställas om till communityns paketkälla.
Kontakt
Passar OPNsense ditt nätverk?
Vi ger dig ett ärligt svar, även om det är nej.