採用 OPNsense 開源防火牆打造橫跨 IT/OT 的堅強防護

簡報說明

開源軟體領域當中知名的 OPNsense 已經是一款功能強大且運作穩定的防火牆解決方案，俱備了做為企業級防火牆應用的絕大多數功能，以及擴充性相當驚人的各種外掛程式，足以讓 OPNsense 應用至各種場域，以及介紹與其它強大開源軟體套件整合應用的加乘效果。

此外，在 OT 環境中也能夠利用它的開源與開放特性，協助我們在有限的經費與條件下，極大化提升 OT 環境內的資安防護能力。

https://isc2taipei.kktix.cc/events/isc2taipeijune

逐頁文字

採 OPNsense 開源防火牆
打造橫跨 IT/OT 的堅強防護
@台灣國際認證資安專家協會技術總監
鄭郁霖
JASON CHENG
Deciso
原廠
商業公司
荷蘭
開源軟體
商業軟體
節省工具箱
公司
商業公司
臺灣
開源軟體
企業服務
繁中翻譯
節省工具箱有限公司 / 創辦人兼技術總監
中華民國軟體自由協會 / 常務理事
耀達電腦、晟鑫科技、五倍紅寶石等公司 / 技術顧問
簡介
資策會數位教育研究所 / 講師
Proxmox VE 中文使用者社團 / 共同創辦
2020, 2022 InfoSec Taiwan 台灣國際資安大會 / 講者
2020 COSCUP 開源人年會 / 講者
2019 OpenInfra Days Taiwan / 講者
鄭郁霖
JASON CHENG 2019, 2024 CyberSec Taiwan 台灣資安大會 / 講者
2018, 2019 國際資訊安全組織台灣高峰會 / 講者
CEH, ISO 27001 LA
有好好的現成
商業產品為啥
不直接用？
錢能解決的問題都不是問題
😭 問題是沒有錢 😭
功能概觀
系統特點
功能
功能完整
網頁管理
滾動更新
一鍵升級
豐富外掛
系統穩定
(Base on FreeBSD)
系統特點
功能
功能完整
網頁管理
滾動更新
一鍵升級
豐富外掛
系統穩定
(Base on FreeBSD)
系統特點
功能
功能完整
網頁管理
滾動更新
一鍵升級
豐富外掛
系統穩定
(Base on FreeBSD)
組態管理
功能
歷史版本
檔案下載
可選還原
雲端備份
Google Drive
Nextcloud
Git
功能
CARP
網路連接
無硬體限制
同步設定
容易配置
高可用性
網路基礎
功能
Interface
Route
DHCP
IPv4/v6
LAGG
VLAN
VXLAN
Bridge
防火牆
功能
NAT
GeoIP
別名清單
外部情資
規則管理
流量控制
防火牆
功能
NAT
GeoIP
別名清單
外部情資
規則管理
流量控制
防火牆
功能
NAT
GeoIP
別名清單
外部情資
規則管理
流量控制
防火牆
功能
NAT
GeoIP
別名清單
外部情資
規則管理
流量控制
VPN
功能
IPSec
OpenVPN
WireGuard
認證整合
功能
AD
LDAP
RADIUS
TICKET
TOTP
入侵防護
功能
Suricata
流量分析
封鎖清單
規則庫
自動更新
服務：入侵偵測：管理
入侵防護
功能
Suricata
流量分析
封鎖清單
規則庫
自動更新
入侵防護
功能
Suricata
流量分析
封鎖清單
規則庫
自動更新
流量分析
功能
nTopng
桑基圖
流量呈現
裝置/協定
統計分析
排行榜
域名防護
功能
Unbound
域名服務
轉寄查詢
封鎖清單
自動更新
統計分析
域名防護
功能
Unbound
域名服務
轉寄查詢
封鎖清單
自動更新
統計分析
域名防護
功能
Unbound
域名服務
轉寄查詢
封鎖清單
動更新
統計分析
入侵防護
功能
maltrail
流量分析
封鎖清單
自動更新
報表資料
憑證管理
功能
簽發單位
憑證簽發
自簽/匯
容易操作
效能監測
功能
Netdata
NRPE
SNMP
Prometheus
Collectd
Iperf
Telegraf
Zabbix
功能整理
防火牆 (Firewall)
功能
負載平衡 (Load Balancing)
路由協定 (Routing Protocol)
高可 (High Availability)
虛擬私人網路 (VPN)
軟體定義網路 (SD-WAN)
入侵偵測與入侵防護系統 (IDS/IPS)
功能整理
雙因素認證 (2FA)
功能
網真篩選 (Web Filtering)
韌體升級 (Firmware Update)
外掛程式 (Plugin)
效能監測、域名伺服器、暴力攻擊防護、流量監測、
網頁認證入口、反向代理伺服器、網頁應用程式防
牆、防毒引擎、垃圾郵件篩選、憑證申請與自動展
期、動態域名更新、商業防火牆與規則...
內建整合 Zenarmor L7 NGFW：裝置探測與識別
(Zenarmor 部份進階功能為付費模組)
功能
內建整合 Zenarmor L7 NGFW：威脅看板
(Zenarmor 部份進階功能為付費模組)
功能
內建整合 Zenarmor L7 NGFW：裝置看板
(Zenarmor 部份進階功能為付費模組)
功能
內建整合 Zenarmor L7 NGFW：大幅強化內對外應用程式控管能
(Zenarmor 部份進階功能為付費模組)
外部整合
搭配 Graylog 提供 OPNsense 記錄長期保存與戰情資訊看板
搭配 Graylog 提供 OPNsense 看板：別名清單阻擋
搭配 Graylog 提供 OPNsense 看板：DHCP 分派記錄
搭配 Graylog 提供 OPNsense 看板：Suricata 入侵偵測/防護分析
搭配 Graylog 提供 OPNsense 看板：Unbound DNS 防護分析
搭配 Graylog 提供 OPNsense 看板：Zenarmor L7 防護分析
搭配 Graylog 提供 OPNsense 看板：Zenarmor L7 防護分析
搭配 Grafana 打造更豐富與彈性的圖表，例如更強大的桑基圖內容
搭配 Wazuh 整合防護，成為 XDR 端點偵測及回應系統
整合
搭配 Wazuh 整合防護：時間區段事件分析
整合
搭配 Wazuh 整合防護：檢測至暴力攻擊行為
整合 LibreNMS 組態備份，保留每個組態設定版本
整合
外掛開發
Graylog 收取 OPNsense 記錄，從中擷取惡意 IP 為匯出情資清單
開發
動排程
轉出惡意
IP CSV 檔
將清單與與其它單位共享，達成交換情資與聯合防禦
https://github.com/jasoncheng7115/it-scripts/blob/master/graylog/export_wdrop_iplist_to_file.py
架構案例
線上數位學習業者
案 ISP Router ISP Router
經典出口閘道配置
兩條外線負載平衡
接取大量別名清單
OPNsense 防火牆規則封鎖
啟 Crowdsec
啟用入侵防護系統
Core Switch
記錄 Graylog
國際物流貨運業者
ISP Router 採用透通模式架設
案例
原有防火牆未動
OPNsense
接入大量別名清單
防火牆規則封鎖
啟 DDoS 防護
Firewall
啟 Crowdsec
啟用入侵防護系統
記錄傳送 Graylog
Core Switch
啟用 Crowasec
資訊軟體開發業者
ISP Router 員 VPN 伺服器
兩台對應不同區域
Firewall 接取 AD 認證服務
啟 TOTP 雙因素
Core Switch 記錄傳送 Graylog
來源 IP 判斷告警
OPNsense OPNsense
資訊軟體開發業者
A 地辦公室 B 地辦公室
案例
ISP Router ISP Router 經典出口閘道配置
WireGuard 對連
OPNsense OPNsense Site-to-Site VPN
WireGuard
連線穩定且快速
Core Switch Core Switch 異地備份系統建置
科技產品製造業者：情境
廠區：獨立內網
案例
Operator
Switch
僅允許 OPNsense 連至更新伺服器，更新入侵防護系統資料庫 Management
Network
透通模式部署，所有進出 IoT 裝置以規則有限度開放，並搭
OPNsense 配入侵偵測判斷行為及阻斷
IoT Device
科技產品製造業者：情境
廠區：獨立內網
案例以
Operator
Port Mirror 拋出來分析封包行為
Switch OPNsense
識別完成通知 Switch 封鎖惡意來源
IoT Device
Management 僅允許 OPNsense 連至更新伺服器，取得入侵防護
Network 系統所需資料庫定期更新，並回傳 Log 戰情中
南投縣教育網路中
TANET
40G 網路
案例
20G 網路 (10G x 2) OPNsense
10G 網路
300M~2G 電信網路 Suricata (IPS)
Core Switch OPNsense
中投有線中華電信 WAF
OPNsense x 170 中心端機房
Server Farm
共 170 所學校端、共 170 台防火牆
此案為南投教網鄭明彰老師自建多年的實際案例
優點整理
幅降低建置成本開放架構擴充彈性
沒有硬體限制綁定災難復原非常容易
硬體搭配
以下硬體僅供參考，是我實際使用過的
NA363R /中/ 環境
1GbE x 6 (RJ45)
擴充模組 x 1 (選購)
CAD-0263 /中/ 環境
10GbE Ports x 2 (SFP+)
硬體小大
1GbE Ports x 6 (RJ45)
IPMI Ports x 1 (RJ45)
CAF-0232 型環境
1GbE Ports x 4 (RJ45)
硬體小
Fanless
功能總結
多種防護機制，按需選
惡意來源位址封鎖 (內到外，搭配多種開放域名封鎖清單)
總結
針對地區位址封鎖 (搭配地理 IP 資料庫)
名稱伺服器防護 (經由 Unbound 提供)
暴力攻擊防護 (經由 Crowdsec 提供)
入侵偵測與防護 1 (經由 Suricata 提供)
侵偵測與防護 2 (經由 Maltrail 提供)
第七層應用程式防火牆 (經由 Zenarmor 提供)
網真應用程式防火牆 (經由 Nginx 提供)
◎ 針對地區位址封鎖（搭配地理IP 資料庫）
名稱伺服器防護（經由 Unbound 提供）
入侵偵測與防護 1（經由 Suricata 提供）
◎ 入侵偵測與防護2（經由 Maltrail 提供）
第七層應用程式防火牆（經由 Zenarmor 提供）
◎ 網真應用程式防火牆（經由 Nginx 提供）
系統升級
台灣鏡像站：南投縣教育網路中
總結心
https://mirror.ntct.edu.tw/opnsense
參考資料
節省工具箱公司節省工具箱網誌
www.jason.tools blog.jason.tools
謝謝您。
節省工具箱有限公司
企業應用開源軟體方案導入專家