OPNsense 26.10 Business Edition: firewall open source per PMI

Cosa è successo

OPNsense è un firewall e router basato su FreeBSD, nato nel 2015 come fork di pfSense e sviluppato da Deciso B.V., azienda dei Paesi Bassi che vende anche appliance e assistenza. Il progetto esce in due canali: la Community Edition, gratuita, con versioni principali a gennaio e luglio e aggiornamenti frequenti, e la Business Edition, che dal 2021 esce ad aprile e ottobre partendo da una versione Community già collaudata sul campo. Secondo l'annuncio ufficiale sul forum del progetto, la 26.10 eredita le novità della serie 26.7: le regole firewall usano ora per impostazione predefinita la nuova architettura MVC con API, così come la gestione delle interfacce, dei gruppi di gateway e della rete wireless; le password degli utenti sono protette con argon2id al posto di bcrypt; il firewall guadagna un limite di pacchetti al secondo per singola regola e il NAT UDP "full cone", utile per telefonia VoIP e videoconferenze. Il plugin DNS della Business Edition può fare anche da server autorevole con aggiornamenti dinamici, e l'interfaccia aggiunge menu dei preferiti, tabelle a schermo intero e un tema che segue il modo chiaro o scuro del browser.

Cosa cambia per le imprese

Il passaggio delle regole alle API non è un dettaglio da sviluppatori: significa poter esportare, versionare e applicare in modo automatico le configurazioni, e gestire più sedi da un unico punto. È proprio quello che fa OPNcentral, il plugin di gestione centralizzata incluso nella Business Edition insieme a database GeoIP, immagine ufficiale per macchine virtuali, Web Application Firewall, portale utente e accesso tramite OpenID Connect, che permette di collegare il firewall a un sistema di accesso unico come Keycloak. Per un'azienda con due o tre sedi, VPN per lo smart working e un'unica persona che segue l'informatica, la combinazione di aggiornamenti collaudati e gestione centralizzata è la ragione principale per scegliere la Business Edition invece della Community. Il canale più lento ha anche un vantaggio pratico: le novità arrivano dopo mesi di uso nella versione gratuita, quindi con meno sorprese in produzione.

Limiti e costi reali

Le note di rilascio chiedono di leggere la guida alla migrazione prima di aggiornare. Le vecchie pagine per le regole firewall e il NAT in uscita sono state spostate in un plugin separato (os-firewall-legacy): le regole esistenti continuano a funzionare e c'è un assistente per convertirle, ma chi ha procedure interne o script basati sulle vecchie schermate deve rivederli. Il salto da OpenSSL 3.0 a 3.5 può creare problemi con repository e plugin di terze parti, che conviene rimuovere prima; su alcuni sistemi il caricamento anticipato del microcodice della CPU richiede un aggiornamento manuale del boot loader o una reinstallazione. In pratica serve un backup della configurazione, una finestra di manutenzione e, dove possibile, una prova su una macchina virtuale. Sul fronte dei costi il codice è libero, ma la Business Edition costa 149 euro l'anno per singola installazione secondo il listino dello shop ufficiale; l'assistenza diretta di Deciso parte da 329 euro l'anno con due ore incluse, in orario d'ufficio dal lunedì al venerdì (ora dell'Europa centrale) e in inglese. A questi si aggiungono l'hardware (un mini PC o un'appliance dedicata, da qualche centinaio di euro in su), l'eventuale set di regole commerciali Proofpoint ET Pro per il rilevamento delle intrusioni, venduto a parte, e soprattutto il lavoro dell'integratore per progettare la rete, migrare le regole dal firewall precedente e formare chi lo gestirà.

Il commento di PINET

Per molte PMI italiane il firewall è una scatola comprata dal fornitore con una licenza da rinnovare ogni anno per avere aggiornamenti e filtri: OPNsense è un'alternativa matura, con codice aperto e sviluppo europeo, che lascia all'azienda il controllo della configurazione e la libertà di cambiare fornitore di assistenza. Non va però scelto solo per risparmiare: un firewall mal configurato è peggio di uno costoso ben gestito. Il nostro consiglio è adottarlo con un integratore che conosca FreeBSD e OPNsense, preferire la Business Edition quando il firewall protegge la produzione o più sedi, e chi è già cliente aggiornare alla 26.10 solo dopo aver verificato plugin e procedure con la guida alla migrazione.