簡報說明
開源軟體領域當中知名的 OPNsense 已經是一款功能強大且運作穩定的防火牆解決方案，俱備了做為企業級防火牆應用的絕大多數功能，以及擴充性相當驚人的各種外掛程式，足以讓 OPNsense 應用至各種場域，以及介紹與其它強大開源軟體套件整合應用的加乘效果。
此外，在 OT 環境中也能夠利用它的開源與開放特性，協助我們在有限的經費與條件下，極大化提升 OT 環境內的資安防護能力。
逐頁文字
採 OPNsense 開源防火牆
打造橫跨 IT/OT 的堅強防護
@台灣國際認證資安專家協會 技術總監
鄭郁霖
JASON CHENGDeciso
廠 商業公司
荷蘭
開源軟體
商業軟體節省 具箱
司 商業公司
臺灣
開源軟體
企業服務
繁中翻譯節省 具箱有限公司 / 創辦 兼技術總監
中華 國軟體 由協會 / 常務理事
耀達電腦、晟鑫科技、五倍紅寶 等公司 / 技術顧問
介 資策會數位教育研究所 / 講師
Proxmox VE 中 使 者社團 / 共同創辦
2020, 2022 InfoSec Taiwan 台灣國際資安 會 / 講者
2020 COSCUP 開源 年會 / 講者
2019 OpenInfra Days Taiwan / 講者
鄭郁霖
JASON CHENG 2019, 2024 CyberSec Taiwan 台灣資安 會 / 講者2018, 2019 國際資訊安全組織台灣 峰會 / 講者
CEH, ISO 27001 LA
有好好的現成
商業產品為啥
不直接 ？錢能解決的問題都不是問題
😭 問題是沒有錢 😭
功能概觀
系統特點
能 功能完整
網 管理
滾動更新
鍵升級
豐富外掛
系統穩定
(Base on FreeBSD)系統特點
能 功能完整
網 管理
滾動更新
鍵升級
豐富外掛
系統穩定
(Base on FreeBSD)系統特點
能 功能完整
網 管理
滾動更新
鍵升級
豐富外掛
系統穩定
(Base on FreeBSD)組態管理
能 歷史版本
檔案下載
可選還原
雲端備份
Google Drive
Nextcloud
Git可 性
能 CARP
網路連接
無硬體限制
同步設定
容易配置網路基礎
能 Interface
Route
DHCP
IPv4/v6
LAGG
VLAN
VXLAN
Bridge防火牆
能 NAT
GeoIP
別名清單
外部情資
規則管理
流量控制防火牆
能 NAT
GeoIP
別名清單
外部情資
規則管理
流量控制防火牆
能 NAT
GeoIP
別名清單
外部情資
規則管理
流量控制防火牆
能 NAT
GeoIP
別名清單
外部情資
規則管理
流量控制VPN
能 IPSec
OpenVPN
WireGuard認證整合
能 AD
LDAP
RADIUS
TICKET
TOTP入侵防護
能 Suricata
流量分析
封鎖清單
規則庫
動更新入侵防護
能 Suricata
流量分析
封鎖清單
規則庫
動更新入侵防護
能 Suricata
流量分析
封鎖清單
規則庫
動更新流量分析
能 nTopng
桑基圖
流量呈現
排 榜
裝置/協定
統計分析域名防護
能 Unbound
域名服務
轉寄查詢
封鎖清單
動更新
統計分析域名防護
能 Unbound
域名服務
轉寄查詢
封鎖清單
動更新
統計分析域名防護
能 Unbound
域名服務
轉寄查詢
封鎖清單
動更新
統計分析入侵防護
能 maltrail
流量分析
封鎖清單
動更新
報表資料憑證管理
能 簽發單位
憑證簽發
簽/匯
容易操作效能監測
能 Netdata
NRPE
SNMP
Prometheus
Collectd
Iperf
Telegraf
Zabbix功能整理
防 牆 (Firewall)能 負載平衡 (Load Balancing)
路由協定 (Routing Protocol)
可 (High Availability)
虛擬私 網路 (VPN)
軟體定義網路 (SD-WAN)
侵偵測與 侵防護系統 (IDS/IPS)功能整理
雙因素認證 (2FA)能 網 篩選 (Web Filtering)
韌體升級 (Firmware Update)
外掛程式 (Plugin)
效能監測、域名伺服器、暴 攻擊防護、流量監測、
網 認證 、反向代理伺服器、網 應 程式防
牆、防毒引擎、垃圾郵件篩選、憑證申請與 動展
期、動態域名更新、商業防 牆與規則...內建整合 Zenarmor L7 NGFW：裝置探測與識別
(Zenarmor 部份進階功能為付費模組)內建整合 Zenarmor L7 NGFW：威脅看板
(Zenarmor 部份進階功能為付費模組)內建整合 Zenarmor L7 NGFW：裝置看板
(Zenarmor 部份進階功能為付費模組)內建整合 Zenarmor L7 NGFW： 幅強化內對外應 程式控管能
(Zenarmor 部份進階功能為付費模組)外部整合
搭配 Graylog 提供 OPNsense 記錄長期保存與戰情資訊看板
搭配 Graylog 提供 OPNsense 看板：別名清單阻擋
搭配 Graylog 提供 OPNsense 看板：DHCP 分派記錄
搭配 Graylog 提供 OPNsense 看板：Suricata 入侵偵測/防護分析
搭配 Graylog 提供 OPNsense 看板：Unbound DNS 防護分析
搭配 Graylog 提供 OPNsense 看板：Zenarmor L7 防護分析
搭配 Graylog 提供 OPNsense 看板：Zenarmor L7 防護分析
搭配 Grafana 打造更豐富與彈性的圖表，例如更強 的桑基圖內容
搭配 Wazuh 整合防護，成為 XDR 端點偵測及回應系統
搭配 Wazuh 整合防護：時間區段事件分析
搭配 Wazuh 整合防護：檢測 暴 攻擊 為
整合 LibreNMS 組態備份，保留每個組態設定版本
外掛開發
Graylog 收取 OPNsense 記錄，從中擷取惡意 IP 為匯出情資清單
發 動排程
轉出惡意
IP CSV 檔將清單與與其它單位共享，達成交換情資與聯合防禦
https://github.com/jasoncheng7115/it-scripts/blob/master/graylog/export_wdrop_iplist_to_file.py架構案例
線上數位學習業者
案 ISP Router ISP Router
經典出 閘道配置兩條外線負載平衡
接取 量別名清單
OPNsense 防 牆規則封鎖
啟 Crowdsec
啟 侵防護系統
Core Switch
記錄 Graylog國際物流貨運業者
ISP Router 採 透通模式架設
例 原有防 牆未動
OPNsense
接 量別名清單
防 牆規則封鎖
啟 DDoS 防護
Firewall
啟 Crowdsec
啟 侵防護系統
記錄傳送 Graylog
Core Switch用 大
入 火資訊軟體開發業者
ISP Router 員 VPN 伺服器
兩台對應不同區域
Firewall 接取 AD 認證服務
啟 TOTP 雙因素
Core Switch 記錄傳送 Graylog
來源 IP 判斷告警
OPNsense OPNsense資訊軟體開發業者
A 地辦公室 B 地辦公室
例 ISP Router ISP Router 經典出 閘道配置
WireGuard 對連
OPNsense OPNsense Site-to-Site VPN
WireGuard連線穩定且快速
Core Switch Core Switch 異地備份系統建置科技產品製造業者：情境
廠區：獨立內網案 Operator
Switch
僅允許 OPNsense 連 更新伺服器，更新入侵防護系統資料庫 Management
Network
透通模式部署，所有進出 IoT 裝置以規則有限度開放，並搭
OPNsense 配入侵偵測判斷 為及阻斷IoT Device
科技產品製造業者：情境
廠區：獨立內網案 Operator
以 Port Mirror 拋出來分析封包 為
Switch OPNsense
識別完成通知 Switch 封鎖惡意來源IoT Device
Management 僅允許 OPNsense 連 更新伺服器，取得入侵防護
Network 系統所需資料庫定期更新，並回傳 Log 戰情中南投縣教育網路中
TANET40G 網路
案 20G 網路 (10G x 2) OPNsense
例 10G 網路
300M~2G 電信網路 Suricata (IPS)Core Switch OPNsense
中投有線 中華電信 WAF
OPNsense x 170 中 端機房
Server Farm
共 170 所學校端、共 170 台防火牆心 心 自
此案為南投教網鄭明彰老師 建多年的實際案例優點整理
幅降低建置成本 開放架構擴充彈性
沒有硬體限制綁定 災難復原非常容易
硬體搭配
以下硬體僅供參考，是我實際使 過的NA363R /中/ 環境
1GbE x 6 (RJ45)
擴充模組 x 1 (選購)
CAD-0263 /中/ 環境
10GbE Ports x 2 (SFP+)
硬 1GbE Ports x 6 (RJ45)
體 IPMI Ports x 1 (RJ45)CAF-0232 型環境
1GbE Ports x 4 (RJ45)
體 Fanless
功能總結
多種防護機制，按需選
惡意來源位址封鎖 (內到外，搭配多種開放域名封鎖清單)結 針對地區位址封鎖 (搭配地理 IP 資料庫)
名稱伺服器防護 (經由 Unbound 提供)
暴 攻擊防護 (經由 Crowdsec 提供)
侵偵測與防護 1 (經由 Suricata 提供)
侵偵測與防護 2 (經由 Maltrail 提供)
第七層應 程式防 牆 (經由 Zenarmor 提供)
網 應 程式防 牆 (經由 Nginx 提供)
頁 用 火 用入 用
系統升級
台灣鏡像站：南投縣教育網路中結 https://mirror.ntct.edu.tw/opnsense
參考資料
節省 具箱公司 節省 具箱網誌
www.jason.tools blog.jason.tools謝謝您。
節省 具箱有限公司
企業應 開源軟體 案導 專家