OPNsense 开发
OPNsense 是一个基于 HardenedBSD 开源且易于使用的防火墙和路由平台。 OPNsense 包含了昂贵的商业防火墙中提供的大部分功能。
Tops Communications Ltd 在香港、澳门和中国市场开发运营 OPNsense 产品,并提供技术支持。 详情请致电 +86 0755 2590-4562 查询。 .
OPNsense 于 2014 年作为 pfSense® 和 m0n0wall 的分支而诞生,并于 2015年1月正式发布。该项目发展非常迅速,同时仍然保留了 m0n0wall 和 pfSense 的优点。更加着重于提高系统安全性和代码质量推动了项目的开发。
OPNsense 提供每周的安全更新,以小增量的方式应对新出现的威胁。每年 2 个主要版本的固定发布周期为企业提供了提前计划升级的机会。每个主要版本都有一个路线图来指导开发并设定明确的目标。
功能
OPNsense 包含许多高端功能,比如转发缓存代理、流量整形、入侵检测和 OpenVPN 等。最新版本基于 FreeBSD 11 提供了长期支持,并使用基于 Phalcon 的 mvc 框架全新开发。
OPNsense 对安全性的关注带来了一些独特的特性,比如可以选择使用 LibreSSL 而不是 OpenSSL ,以及基于 HardenedBSD 的自定义版本。
健壮可靠的更新机制使 OPNsense 能够及时提供重要的安全更新。
OPNsense 核心功能
- Traffic Shaper
- Two-factor Authentication throughout the system
- Captive portal
- Forward Caching Proxy (transparent) with Blacklist support
- Virtual Private Network (site to site & road warrior, IPsec, OpenVPN & legacy PPTP support)
- High Availability & Hardware Failover ( with configuration synchronization & synchronized state tables)
- Intrusion Detection and Prevention
- Build-in reporting and monitoring tools including RRD Graphs
- Netflow Exporter
- Network Flow Monitoring
- Support for plugins
- DNS Server & DNS Forwarder
- DHCP Server and Relay
- Dynamic DNS
- Encrypted configuration backup to Google Drive
- Stateful inspection firewall
- Granular control over state table
- 802.1Q VLAN support
OPNsense 防火墙状态
OPNsense 防火墙跟踪网络连接(如TCP流、UDP通信)的状态,提供了按类别对防火墙规则进行分组的功能,这对于要求更高的网络设置来说是一个高级的特性。
别名和 GeoLite 数据库
管理防火墙规则从来没有这么容易。通过使用别名,您可以将多个 IP 或主机分组到一个列表中,以便在防火墙规则中使用。此外,可以从外部 url 获取 IP 或主机名,例如 DROP 删除不需要的路由等操作、拒绝勒索软件跟踪器和内置的 Maxmind GeoLite2 国家数据库。
流量控制
OPNsense 中的流量控制非常灵活,可以围绕管道、队列和相应的规则进行组织。管道定义了允许的带宽,可以使用队列在管道中设置权重,最后使用规则应用到特定的数据包流量。规则的处理独立于防火墙规则和其他设置。
双重验证
双重身份验证也称为 2FA 或两步验证,它是一种身份验证方法,需要两个组件,比如一个pin/密码 和 一个令牌。OPNsense 充分支持在整个系统中利用谷歌认证双重认证(2FA)。
支持的 2FA 服务包括:
- OPNsense 图形用户界面
- 网页认证
- 虚拟专用网 - OpenVPN & IPsec
- 缓存代理
虚拟专用网络 - IPsec & OpenVPN GUI
OPNsense 提供了广泛的 VPN 技术,从现代的 SSL VPN 到众所周知的 IPsec,以及更老的(现在认为是不安全的)如 L2TP 和 PPTP。通过图形化界面和设置向导可以在几分钟内完成站点到站点等设置。
高可用性 / 硬件故障转移 (CARP)
OPNsense 使用通用地址冗余协议或 CARP 进行硬件故障转移。可以将两个或多个防火墙配置为故障转移组。如果主服务器上的一个接口失败或主服务器完全脱机,则辅助服务器将变为活动的。利用OPNsense的这个强大特性,可以创建一个完全冗余的防火墙,实现自动无缝的故障转移。在切换到备份网络时,连接将保持活动状态,对用户的干扰最小。
缓存代理
OPNsense 提供功能齐全的缓存代理功能,包括基于类别的网络过滤、广泛的访问控制列表,并可以在透明模式下运行。可以将代理与流量相结合来增强用户体验。通过 ICAP 接口整合专业的反病毒解决方案。
入侵侦测防御
OPNsense 的内嵌基于Suricata 的 IPS 系统,并利用 Netmap 来提高性能和降低 CPU 使用率。这个包检测系统功能非常强大,可以用来减轻在线网络安全威胁。
集成对 ET 开放规则的支持
ETOpen 规则集是一个优秀的 IDS/IPS 反恶意软件规则集,它可以让用户在成本约束下显著增强现有基于网络的恶意软件检测。
集成 SSL 黑名单 (SSLBL)
SSL 黑名单是由 abuse.ch 维护的项目。其目标是提供一个恶意软件或僵尸网络活动滥用标识的 SSL 证书列表。SSLBL 依赖于恶意 SSL 证书的 SHA1 指纹,并提供各种黑名单监控。
Feodo (也称为 Cridex 或 Bugat) 是一种特洛伊木马,用于实施电子银行欺诈,从受害者的计算机中窃取敏感信息,如信用卡信息或证书。目前,Feodo 跟踪器正在跟踪四个版本的Feodo。
备份和恢复
安全总比遗憾好,始终保持最新的配置备份。OPNsense 很简单。
历史
支持配置变更自动备份,允许查看历史记录和恢复以前的设置。
备份
从图形用户界面中很容易下载备份并存储备份在安全的地方。
使用强密码加密备份,让未经授权的人无法读取。
恢复
很容易上传配置备份,并恢复操作。
云备份
OPNsense 支持对您的配置加密云备份。为此目的,谷歌网盘已集成到用户操作界面。
报告和监测
OPNsense 提供了许多报告和监控的系统选项,包括:
系统健康状态
流行的 RRD 图形化可以放大显示或导出数据。
Netflow 输出
使用 netflow 分析器来查看最活跃的用户、接口、端口和应用程序。
集成 Netflow 分析器
OPNsense 提供了一个集成的 Netflow 分析器,不需要额外的插件或工具即实现了高端商业产品中的功能。