開源軟體防火牆與路由器：OPNsense

Jason Cheng 2023.06.28 瀏覽 29,404 次

本文目錄

實際使用
更多功能
參考資料

過去很長一段時間，因為找不到足夠防護功能的開源防火牆，所以都是直接採購商用硬體式產品。直到今年，終於等到適合的開源軟體方案。

我已將公司對外防火牆更換成 OPNsense 這套開源的軟體防火牆/路由器，安裝在一台上個月買入的二手工業級無風扇小主機上運作 (型號 ARK-1124U)，用起來相當痛快，而且再一次節省大量經費支出。如果是需要更高階一點的設備，我則是選用防火牆網通設備廠的機架式設備 (型號 CAD-0263)，在文末參考連結有硬體廠商資訊。

本文整理實際上線的心得，提供參考。

實際使用

比 pfSense 更簡單的操作畫面，容易擴充的機制搭配各種外掛，以及現代流行的深色主題，用起來感覺充滿高科技味道 😂

安裝好 ntopng 外掛程式後，就可以在即時更新的流量圖上快速檢視目前網路裝置用量較多者，以及其連線的目標；還能檢視各個裝置的資訊探測、連線目標、連接埠等等重要網路行為資訊。圖中所示可以清楚看見，有 5 個節點正跟 Proxmox 官方位於新加坡的 CDN 伺服器連線，進行 Proxmox VE 版本升級作業中。

接著安裝 Maltrail 外掛程式，內建許多自動更新的資料庫，從 OPNsense 的流量中識別惡意行為，同時將這些惡意 IP 自動整合進 OPNsense 防火牆的阻擋清單裡，阻絕惡意連線發生。除此之外，它也提供一個方便檢視、搜尋與篩選的使用介面，協助追查惡意連線行為的細節。圖中的很多欄位都提供游標懸停時，顯示更多資訊的功能，例如在 IP 欄位會自動查詢相關惡意 IP 行為的資料庫來源、參考資訊網址等等。

繼續強化，安裝 Suricata 這套強大的 IDS/IPS 外掛程式後，藉由其所提供的豐富規則資料庫，即時識別封包的行為、應用程式、使用服務等等，讓管理者容易統計約分析網路使用狀況，更可進一步啟用阻擋機制，將具有惡意的封包阻斷，例如各種已知 CVE 漏洞的掃描探測，或是來自惡意網路主機的攻擊。圖中即是準備對社群網站進行控管規則的調整。

在防火牆當中的 aliases 功能，可以設定多種資料類型與來源，除了本身已經整合好的地理 GeoIP 資訊來源，也可以自行將指定網址下的 IP 清單、本機下的 IP 清單檔案排程自動同步回來，再搭配防火牆的 Rule 規則功能，直接協助我們將惡意來源擋在外面，不放行入內網。

OpenVPN 是應用普遍且功能強大的虛擬私人網路開源套件，OPNsense 將 OpenVPN 整合進來，並且為它提供了相當容易設定的管理介面，讓我們可以用快速的方式將 VPN 伺服器建立完成。加上 OPNsense 本身已經支援 AD/LDAP 與 TOTP 認證，我們即可打造具有雙因素認證的安全加密連線通道。

註：OpenVPN 我是另外建置在 Proxmox VE 虛擬機裡的 OPNsense，沒有裝在出口防火牆這台 OPNsense 上。

OpenVPN 建立安全加密連線通道，並搭配 AD/LDAP 與 TOTP 認證

Unbound 可以做為域名伺服器使用，在 OPNsense 整合後的應用，還可以化身為 DNS 連線防護機制。在 OPNsense 的管理介面中，已經內建取多會自動更新的 DNS 惡意 FQDN 清單，只要簡單勾選後即可讓 Unbound 將這些具有惡意風險存在的域名給封鎖，避免內部裝置連到惡意網站後慘遭值入或控制。

最後，我們設定 OPNsense 將記錄傳送至 Graylog 伺服器，即可利用 Graylog 強大的索引、擷取器、管線、看板等功能，打造出綜觀全貌的看板，並兼具快速篩選狀況、統計排行數據、追查事件原因等等，除了方便又能符規，更可以避免查詢大量資料時對防火牆效能的影響。此圖顯示事件數量、介面、協定、動作、應用程式、DHCP 等等概觀。

這張圖呈現出外部來源 IP 連線的統計，尤其以國家來源分別看出擋掉的國家排行榜，再利用 Graylog 的 Lookup Table 功能由 IP 反解出 FQDN，便於快速識別來源 IP 的相關資訊。

將 Suricata 所收集的記錄拉出對應小工具呈現數據，可以統計網路連線相關的行為、應用服務等狀況。例如圖中右方的優先級1行為監視，就看到有外部 IP 正在以 Zimbra 的已知 CVE 漏洞對我方的 Zimbra Server 發動攻擊，儘管我的 Zimbra 早已修補掉該漏洞，此攻擊仍然在到達 Zimbra 之前就已經被 Suricata 攔截處理。