pfSense ve OPNsense, FreeBSD tabanlı, web arayüzüyle yönetilen açık kaynaklı güvenlik duvarı (firewall) ve router yazılımlarıdır. Kendi donanımınıza ya da bir sanal makineye kurduğunuzda sıradan bir bilgisayarı ağın girişinde duran bir firewall, NAT ve VPN cihazına dönüştürürler. Netgate belgeleri pfSense'i 'güvenlik duvarı ve router olarak kullanılmak üzere özelleştirilmiş, ücretsiz ve açık kaynaklı bir FreeBSD dağıtımı' olarak tanımlar; OPNsense belgeleri de OPNsense'i açık kaynaklı, FreeBSD tabanlı bir firewall ve yönlendirme platformu olarak tanıtır.
Bu yazıda iki projenin ne olduğunu, ortak kökenlerini, öne çıkan özelliklerini, resmî belgelerdeki donanım gereksinimlerini ve MikroTik ya da UTM cihazlarından kavramsal farkını tarafsız biçimde anlatıyoruz. Hangisinin daha iyi olduğuna dair bir hüküm vermiyoruz; seçim ihtiyaçlarınıza bağlıdır. Güvenlik duvarının temel mantığı için güvenlik duvarı (firewall) nedir yazısından başlayabilirsiniz.
pfSense nedir?
Netgate Docs: pfSense Introduction sayfasına göre pfSense, FreeBSD'nin güvenlik duvarı ve router kullanımı için özelleştirilmiş bir dağıtımıdır ve tamamen web arayüzünden yönetilir. Aynı sayfa projenin 2004 yılında m0n0wall projesinden ayrılarak (fork) başladığını belirtir.
Netgate Docs: What does pfSense stand for sayfası adın kökenini de açıklar: projenin ilk sloganı 'making sense of PF' idi. PF, FreeBSD'deki paket filtreleme (packet filter) teknolojisidir. Netgate'e göre pfSense, işletim sisteminin üzerine kolay kullanılan bir arayüz ve özelleştirilmiş servisler ekleyerek eksiksiz bir firewall/router/VPN çözümü oluşturur.
pfSense CE ve pfSense Plus
Netgate Docs: pfSense Plus sayfasına göre Ocak 2021'de pfSense Plus duyurulmuş ve açık kaynak proje pfSense Community Edition (CE) olarak yeniden adlandırılmıştır. Netgate, Plus'ı iş kullanımına yönelik özellikler ekleyen ticari bir sürüm olarak tanımlar. Belgede sayılan farklardan bazıları şunlardır:
| Konu | pfSense Plus için belgede yazan |
|---|---|
| Sürüm takvimi | Yılda üç planlı büyük güncelleme, gerektiğinde ara sürümler |
| VPN ve şifreleme hızlandırma | OpenVPN Data Channel Offload, Intel IPsec Multi-Buffer, Intel QAT gibi donanım hızlandırıcı desteği |
| Yüksek erişilebilirlik | CARP için multicast veya unicast seçimi; belgeye göre CE yalnızca multicast kullanabilir |
| Diğer | ZFS Boot Environment yönetimi, deneysel Layer 2 Ethernet filtreleme, NetFlow/IPFIX dışa aktarma |
| Netgate donanımı | Netgate cihazlarına özel optimize varsayılan yapılandırmalar ve donanım özellikleri |
OPNsense nedir?
OPNsense Docs: Introduction sayfası OPNsense'i açık kaynaklı, kullanımı ve derlemesi kolay, FreeBSD tabanlı bir güvenlik duvarı ve yönlendirme platformu olarak tanımlar ve son sürümün uzun süreli destek için güncel bir FreeBSD sürümüne dayandığını belirtir. Belgeler Deciso B.V. tarafından yayımlanır.
Ortak köken
İki proje akrabadır. OPNsense'in kendi tarih sayfası (OPNsense Docs: The Fork) projenin 2014 yılında pfSense'ten ayrıldığını yazar. Sayfa, ayrılık gerekçeleri olarak kod kalitesi ve geliştirme yöntemi, web arayüzündeki yetki ayrımı (güvenlik), kaynak kodlara ve derleme araçlarına erişim ile şeffaflık konularını sayar. Bu gerekçeler OPNsense ekibinin bakış açısıdır; pfSense tarafı da 2004'te m0n0wall'dan ayrıldığını belirtir. Sonuç olarak iki yazılımın arayüzlerinde ve kavramlarında benzerlikler görmeniz şaşırtıcı değildir.
Öne çıkan özellikler
Her iki proje de temelde durum takipli (stateful) bir güvenlik duvarı, NAT, VPN ve çeşitli ağ servislerini tek bir web arayüzünde toplar. Ek işlevler pfSense'te paket (package), OPNsense'te eklenti (plugin) olarak kurulur.
| Alan | pfSense (Netgate belgeleri) | OPNsense (OPNsense belgeleri) |
|---|---|---|
| Temel işlev | Firewall, router ve VPN çözümü | Stateful firewall, 802.1Q VLAN desteği, yönlendirme |
| VPN | Temel sistem ve WireGuard gibi paketler | IPsec ve OpenVPN ile site-to-site ve road warrior |
| IDS/IPS | Snort ve Suricata paketleri | Emerging Threats kurallarıyla saldırı tespiti ve satır içi önleme |
| Ağ servisleri | FreeRADIUS, BIND gibi paketler | DNS sunucu ve yönlendirici, DHCP sunucu ve relay, dinamik DNS |
| Diğer | HAProxy, pfBlockerNG, FRR (BGP, OSPF), ntopng | Captive portal, trafik şekillendirme, önbellekli proxy, yüksek erişilebilirlik |
| Genişletme | Paketler (belgeye göre 60'tan fazla) | Eklentiler (routing, DNS, VPN, web, raporlama grupları) |
Netgate Docs: Packages sayfasına göre pfSense paketleri, temel sistemi şişirmeden işlev eklemek için vardır; bir kısmını topluluk, bir kısmını Netgate yazar. Paket listesi web arayüzünde System > Packages altındaki Available Packages sekmesinden görülür ve listenin yüklenebilmesi için firewall'un internet ve DNS erişimi olmalıdır. OPNsense Docs: Plugins sayfası ise OPNsense eklentilerini gruplar halinde listeler; FRR ile dinamik yönlendirme, Caddy, nginx, FreeRADIUS, ntopng ve Wazuh Agent bunlardan bazılarıdır.
IDS/IPS kavramı için IDS ve IPS nedir (Suricata, Snort), VPN için VPN nedir, NAT ve port yönlendirme için NAT nedir ve DHCP için DHCP nedir yazılarına bakabilirsiniz.
Donanım gereksinimleri
Aşağıdaki değerler yalnızca resmî belgelerde yazan asgari ve önerilen değerlerdir. Gerçek ihtiyaç; bağlantı hızınıza, kullanıcı sayısına, VPN ve IDS/IPS gibi ağır servisleri açıp açmadığınıza göre artar.
pfSense
Netgate Docs: Minimum Hardware Requirements sayfası, Netgate dışındaki donanımlar için asgari gereksinimleri şöyle sıralar:
| Bileşen | Asgari gereksinim |
|---|---|
| İşlemci | 64-bit amd64 (x86-64) uyumlu CPU |
| Bellek | 1 GB veya daha fazla RAM |
| Disk | 8 GB veya daha büyük disk (SSD, HDD vb.) |
| Ağ kartı | Bir veya daha fazla uyumlu ağ arabirimi |
| Kurulum ortamı | Önyüklenebilir USB bellek veya yüksek kapasiteli optik sürücü |
Belge bu asgari değerlerin her ortam için uygun olmadığını ve boyutlandırma için ayrı bir rehbere bakılması gerektiğini özellikle vurgular.
OPNsense
OPNsense Docs: Hardware sayfası x86-64 (amd64) mimarisini destekler ve üç seviye tanımlar:
| Seviye | İşlemci | Bellek | Kurulum hedefi |
|---|---|---|---|
| Asgari | 1 GHz çift çekirdek | 3 GB | En az 4 GB SD veya CF kart (nano imajlar) |
| Makul | 1 GHz çift çekirdek | 4 GB | 40 GB SSD |
| Önerilen | 1,5 GHz çok çekirdekli | 8 GB | 120 GB SSD |
Belgeye göre kurulum programının çalışması için en az 3 GB bellek gerekir.
Sanal makinede ve bulutta kurulum
İki proje de fiziksel donanım şartı koymaz; sanal makinelerde de çalışır. Netgate Docs: Virtualization sayfasına göre pfSense, Proxmox VE, VirtualBox, Xen, KVM, Hyper-V ve VMware gibi Type-1 ve Type-2 sanallaştırma ortamlarında ISO imajıyla kurulabilir; üretim ortamı için Type-1 (bare metal) hipervizörler, test için Type-2 ortamlar önerilir.
OPNsense Docs: Virtual & Cloud sayfası ise OPNsense'in FreeBSD'yi destekleyen tüm hipervizörlere kurulabileceğini belirtir; VMware ESXi, Xen, Hyper-V, KVM, Bhyve ve VirtualBox'ı sayar. Bulut tarafında Amazon AWS EC2 ve Microsoft Azure için marketplace imajlarından söz eder. Konsol erişimi olmayan sunucularda ise opnsense-bootstrap ile yeniden kurulum yaklaşımını anlatır.
Sanal kurulumda firewall'un en az iki ağ arayüzüne (WAN ve LAN) ihtiyacı olduğunu ve sanal ağ yapılandırmasının buna göre planlanması gerektiğini unutmayın. Sanal sunucu kavramı için VDS nedir yazısına bakabilirsiniz.
MikroTik ve UTM ile kavramsal fark
pfSense ve OPNsense genellikle MikroTik ve UTM cihazlarıyla karşılaştırılır. Kesin bir üstünlük sıralaması yerine kavramsal farka bakmak daha doğrudur:
| Yaklaşım | Temel fikir | Ayrıntı |
|---|---|---|
| pfSense / OPNsense | Genel amaçlı x86-64 donanıma veya sanal makineye kurulan FreeBSD tabanlı firewall yazılımı | Web arayüzü, paket veya eklentiyle genişletme |
| MikroTik RouterOS | Üreticinin kendi router işletim sistemi | MikroTik nedir yazısında |
| UTM / NGFW | Birden fazla güvenlik işlevini tek cihazda toplayan ürün kategorisi | UTM ve NGFW nedir yazısında |
MikroTik tarafının ayrıntıları için MikroTik nedir (RouterOS), UTM ve yeni nesil firewall kategorisi için UTM ve NGFW nedir yazılarına bakın. pfSense ve OPNsense'e IDS/IPS, proxy ve benzeri paketler eklendiğinde UTM kategorisinin kapsadığı işlevlerin bir kısmını üstlenebilir; ancak bu işlevleri tek tek kurmak, yapılandırmak ve güncel tutmak sizin sorumluluğunuzdadır.
Hangisini seçmeliyim?
Bu yazı bir öneri ya da sıralama yapmaz. Karar verirken şu sorular yol gösterebilir:
- Hangi donanımda ya da sanallaştırma ortamında çalıştıracaksınız ve bu, belgelerdeki gereksinimleri karşılıyor mu?
- İhtiyacınız olan özellik (belirli bir VPN türü, IDS/IPS, captive portal, dinamik yönlendirme) temel sistemde mi, paket/eklenti olarak mı sunuluyor?
- Sürüm ve güncelleme takvimi işletmenizin bakım düzenine uyuyor mu?
- Ticari destek ihtiyacınız var mı ve bunu hangi sürüm karşılıyor?
- Belgeler ve topluluk kaynakları ekibinizin kullanacağı dilde ve ayrıntıda mı?
En sağlıklı yol, iki yazılımı da bir test ortamında (örneğin sanal makinede) denemek ve kendi senaryonuzu iki tarafta da kurup karşılaştırmaktır.
Sık Sorulan Sorular
pfSense ücretsiz mi?
Netgate belgeleri pfSense'i ücretsiz ve açık kaynaklı bir FreeBSD dağıtımı olarak tanımlar; Ocak 2021'den bu yana açık kaynak proje pfSense CE adını taşır. pfSense Plus ise Netgate'in ticari sürümüdür. Kullanım koşulları için Netgate'in güncel belgelerine bakın.
OPNsense pfSense'in devamı mı?
OPNsense belgelerine göre proje 2014'te pfSense'ten ayrılmış bir fork olarak başladı; o tarihten beri bağımsız olarak geliştirilir. Ortak kökenden dolayı bazı kavramlar benzerdir.
Ev kullanımı için yeterli mi?
Belgelerdeki asgari gereksinimler mütevazıdır; pfSense için 1 GB RAM ve 8 GB disk, OPNsense için 3 GB RAM. Ancak her iki proje de bu değerlerin her ortama uygun olmadığını, kullanılan servislere göre daha güçlü donanım gerektiğini belirtir.
Bir VPS üzerinde çalıştırabilir miyim?
Her iki belge de sanal kurulumları anlatır; OPNsense belgesi AWS ve Azure için marketplace imajlarından da söz eder. Kendi sağlayıcınızda ISO yükleme ya da konsol erişimi olup olmadığını kontrol etmeniz gerekir. Sunucu tarafında yalnızca tek bir makineyi korumak istiyorsanız Ubuntu UFW rehberi ve VPS güvenlik sertleştirme yazıları daha basit bir başlangıç olabilir.
Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.
İlgili içerikler: Güvenlik duvarı (firewall) nedir · UTM ve NGFW nedir · MikroTik nedir · IDS ve IPS nedir · NAT nedir · VPN nedir