Porovnání firewallů pfSense a OPNsense

pfSense vs. OPNsense

Patrně jste již někde zaregistrovali existence forků pfSense, v úvodu seriálu jsem to zmiňoval. Je jím evropský projekt OPNSense. Mnoho lidí zná FreeBSD firewall – pfSense, ale on se objevil nedávno obdobný projekt. Proč vznikl? Kdo za ním stojí? V čem je jiný? To je pár otázek, na které se budu snažit v tomto díle odpovědět.

Proč vznikl fork?

Stávající vývojáři OPNsense se léta podíleli na projektu pfSense. V roce 2014 byli motivovaní touhou po nových změnách, které se jim nedařilo prosadit. Vedení vývoje pfSense bylo v té době patrně moc konzervativní, takže se skupina vývojářů rozhodla vytvořit svůj vlastní projekt, který bude lépe odrážet jejich potřeby.

Uváděné důvody, které vedly k forku, byly prý převážně technické, ale důležitou roli hrálo také zlepšení bezpečnosti a kvality kódu. Bezdůvodné odstranění části kódu z GitHub a v neposlední řadě neohlášená změněna licence projektu pfSense způsobila určité zklamání v komunitě. O vzniku forku a licencích jsem něco málo povídal i na letošním InstallFestu. OPNsense prý obsahuje již jen 10 % zdrojů z pfSense.

Podrobnosti o vzniku OPNsense jsou podrobně popsány v dokumentaci tohoto nového projektu.

V čem jsou projekty jiné?

Od doby vzniku forku se mnohé změnilo. Projekt pfSense nasadil nový framework a v loňském roce se projekt přelicencoval pod Apache 2.0 licenci. Hlavní viditelnou změnou je odlišné WebGUI.

Tabulka prezentuje odlišnosti. Některé funkce jsou přímo v systému a některé jsou instalovatelné formou balíčků. V OPNSense je terminologie rozdělena ještě na Plugins a Packages. V pfSense se pracuje jen s balíčky.

Kdo stojí za projekty?

Projekt OPNsense financuje společnost Deciso B.V.  A za projektem pfSense stojí společnost Rubicon Communications, LLC (Netgate). Oba projekty poskytují svůj hardware s předinstalovaným systémem. Deciso Products Catalog a pfSense products.

Výhodou obou systémů je možnost instalace na libovolném hardware, který musí splňovat jen FreeBSD Hardware Notes. Instalovat firewally můžeme do virtuálních prostředí (VMware, Xen, KVM, atd.), podpora tools je přítomna formou doplňkových balíčků. Když je řeč o virtuálním prostředí, nelze nevzpomenout na třetí fork pfSense, a tím je VirtualPF.

Firewall v mracích

Projekt pfSense směřuje i do Cloud prostředí deployment je připravený pro Amazon AWS a Microsoft Azure. V budoucnu možná vznikne článek na toto téma.

Přepracované ovládání

V následující galerii jsem vybral pár pohledů, jak vypadá Dashboard, ARP Table a správa balíčků v jednotlivých projektech. pfSense má menu nahoře a OPNSense jej umístilo vlevo. Osobně se v pfSense vyznám, protože jej dlouhodobě používám. V OPNSense je menu předělané a některé položky jsou zanořené, což je pro mě matoucí – zvyk je železná košile. Výhodou je existence vyhledávacího pole vpravo nahoře, kde stačí uvést hledaný text menu a hned jste tam, kde potřebujete. Toto vyhledávání pfSense nemá.

Vybrané obrazovky obou projektů najdete v galerii:

• 
• 
• 

Dalších 5 fotografií

Drobné hodnocení

V mnoha ohledech jsou projekty pfSense a OPNSense velmi obdobné. Každý projekt od rozchodu ušel velký kus cesty a mnohé se změnilo. Ale v zásadě existuje velmi obdobný postup jak pro instalaci, tak i konfiguraci celého firewallu.

U OPNsense se mi zdá, že je vývoj rychlejší a dostávají se do něj nové funkcionality dynamičtěji. Oba projekty mají propracovanou a velmi podrobnou dokumentaci. OPNSense je otevřenější např. v popisu architektury. Co se bezpečnosti týče, reagují oba projekty poměrně rychle na bezpečnostní hrozby – viz nedávné čtyři chyby v OpenVPN nalezené v průběhu auditu.

Komerční podpora

Jak jsem již zmínil, oba projekty poskytují svůj hardware. S tím je spojeno i poskytování placené podpory. Placenou podporu u pfSense zajišťuje Netgate. Je možné si pořídit subscripci do instalace na vašem hardware.

Příště budeme monitorovat

V dalším díle seriálu o pfSense si povíme podrobně o tom jak pfSense monitorovat z pohledu provozního i bezpečnostního.