Sui firewall commerciali il costo vero non è l’apparato: sono gli abbonamenti annuali, che si rinnovano finché l’apparato è vivo e che tendono ad aumentare a ogni giro. pfSense fa le stesse cose — filtro del traffico, VPN, segmentazione, log — senza nessuna licenza ricorrente obbligatoria. Si paga l’hardware una volta e il nostro lavoro di gestione.
Non è per tutti, ma per chi va bene va benissimo. È la scelta giusta per chi ha già capito cosa vuole dalla propria rete e vuole controllo totale sulla configurazione, non per chi cerca solo l’apparato più economico sul mercato. Il risparmio arriva nel tempo, non il primo giorno: è dal secondo o terzo rinnovo mancato che la differenza di costo rispetto a un firewall commerciale diventa evidente sul bilancio.
Cosa c’è dietro pfSense. È il progetto firewall opensource più diffuso al mondo, con oltre tredici milioni di installazioni: la versione Community è gratuita e con licenza aperta (BSD), mentre pfSense Plus — la versione curata da Netgate, con supporto commerciale — è inclusa nell’hardware certificato o disponibile con un canone contenuto per chi lo vuole su macchina virtuale. Le funzioni coprono VPN in tre protocolli diversi (IPsec, OpenVPN, WireGuard), bilanciamento del traffico su più linee internet e, con i moduli aggiuntivi, anche il rilevamento delle intrusioni.
Vuoi sapere quanto risparmi rispetto a un firewall a canone?
Facciamo due conti insieme.
L’hardware su cui gira. Netgate produce apparati dedicati e certificati per pfSense, dimensionati per esigenze molto diverse: si va da modelli compatti per un ufficio con poche postazioni, capaci di gestire qualche centinaio di megabit di traffico filtrato, fino a modelli di fascia alta con più porte a 10 Gigabit, pensati per chi ha una connessione internet veloce o vuole segmentare il traffico tra più reti interne senza rallentamenti. Scegliamo il modello sulla base della tua banda reale e del numero di VPN attive contemporaneamente, non sul prezzo di listino più basso.
Anche l’alta disponibilità è compresa. Per chi non può permettersi che il firewall sia un punto singolo di guasto, si possono installare due apparati in coppia: se il primo si ferma per qualsiasi motivo, il secondo prende il suo posto in pochi secondi, senza che nessuno se ne accorga dall’altra parte della connessione. Su molti firewall commerciali questa funzione è un modulo a pagamento separato; qui è parte della stessa piattaforma.
Quando conviene davvero. È la scelta che consigliamo quando servono molte VPN: collegare cinque sedi o cinquanta utenti in smart working su un apparato commerciale significa spesso licenze da rinnovare per ogni utente, su pfSense no. Ed è la scelta di chi non vuole dipendere da un unico fornitore: la configurazione è tua, esportabile, e chiunque sappia lavorarci può prenderla in mano.
Oltre il firewall di base. Con i moduli aggiuntivi si aggiungono un sistema di rilevamento e blocco delle intrusioni (basato su Suricata o Snort, gli stessi motori usati in ambito enterprise), un proxy con filtro contenuti per chi vuole controllare cosa esce dalla rete aziendale, e un captive portal per il Wi-Fi ospiti con accesso su richiesta. Sono funzioni che su un apparato commerciale spesso si pagano a parte, modulo per modulo.
Il contro va detto, perché non dirlo sarebbe scorretto: pfSense senza qualcuno che lo mantiene è un rischio, non un risparmio. Aggiornamenti, backup della configurazione e monitoraggio fanno parte del servizio, non sono un extra da comprare dopo — è la differenza tra un firewall opensource ben gestito e uno lasciato a sé stesso, che è la critica più comune (e più fondata) rivolta a questo tipo di soluzioni.