OpenBSD 7.5 e 7.6 pre-installati su ogni fascia, con W^X, KARL, pledge/unveil e syspatch attivi per default. Nessun systemd, nessuna telemetria, nessuna patch NordBastion — vicino a una fresca install(8) delle sorgenti openbsd.org.
OpenBSD 7.5 e 7.6 pre-installati su ogni fascia — da Sentinel a Citadel, nessun sovrapprezzo, nessun costo di licenza.
W^X, KARL, pledge(2) e unveil(2) attivi fuori dalla scatola — primitivi di sicurezza incorporati nel base, non una checklist di hardening che deve seguire.
Ancorato a una delle quattro giurisdizioni costituzionali nordiche — Svezia, Finlandia, Norvegia o Islanda — pagato in Bitcoin o Monero.
W^X (nessuna pagina è sia scrivibile sia eseguibile), KARL (kernel ri-randomizzato ad ogni boot), pledge(2) (una whitelist di syscall che un daemon dichiara su se stesso), unveil(2) (visibilità del filesystem ristretta ai percorsi dichiarati) — tutti nel sistema base, attivi per default, nessuna checklist richiesta. Una classe di bug che sarebbe sfruttabile su Linux stock semplicemente non è raggiungibile.
Due release l'anno, esattamente in pianificazione, con syspatch(8) per gli errata tra di esse. Niente «rolling stable», niente LTS in costruzione per anni, nessuna CVE di primo piano a sorpresa che richieda una patch out-of-band. Il calendario delle release è uno dei più prevedibili nella storia dei sistemi operativi.
Script shell rc.d per la supervisione dei servizi, cron(8) per la pianificazione, doas(1) invece di sudo, ksh come /bin/sh — ogni componente è piccolo, scritto su un singolo contratto ben definito, e può leggerne il sorgente. Non c'è un PID 1 che è cresciuto fino a inglobare DNS, mount e timer.
| Immagine | Slug | Caso d'uso |
|---|---|---|
| OpenBSD 7.6 (-current) | openbsd-7.6 |
Release corrente — la scelta predefinita per un nuovo server OpenBSD nel 2026, con la copertura più recente di pledge/unveil attraverso il base. |
| OpenBSD 7.5 (-stable) | openbsd-7.5 |
Release precedente, ancora in -stable con patch di errata — per runbook che non sono ancora stati ri-validati contro 7.6. |
| OpenBSD 7.6 + httpd | openbsd-7.6-httpd |
Base httpd(8) e acme-client(1) pre-configurati — un sito statico o reverse proxy con certificati auto-rinnovanti, sotto 60 MB residenti. |
| OpenBSD 7.6 + relayd | openbsd-7.6-relayd |
relayd(8) pre-cablato come proxy L4/L7 con terminazione TLS — utile davanti a uno stack applicativo che vuole sandbox-ato lontano dal layer TLS pubblico. |
ISO personalizzata montabile per qualsiasi altra release OpenBSD o per il workflow install76.img su richiesta — senza ticket via il pannello.
Primitivi di sicurezza incorporati nel base. Set di pacchetti più piccolo, cadenza deliberata di due release l'anno, niente systemd, nessuno stack di container. La scelta giusta per un daemon a singolo scopo rivolto a internet che vuole sandbox-are.
Container, Kubernetes, binari vendor, lo stack moderno di osservabilità — tutto presuppone Linux. Scelga /debian-vps/ per stabilità o /ubuntu-vps/ per l'ecosistema più ampio.
L'altro abbinamento BSD — ZFS di prima classe, jail, bhyve. Meno paranoico di OpenBSD sulla sicurezza, ma con un albero ports molto più ricco e una licenza permissiva. Veda /freebsd-vps/.
2 vCPU, 4 GB RAM, 120 GB NVMe. L'impronta base di OpenBSD è così piccola che questa fascia fa girare comodamente httpd + relayd + unbound, un endpoint WireGuard o un relay mail OpenSMTPd con tutti i sandbox attivi.
4 vCPU, 8 GB RAM, 240 GB NVMe. Il punto ottimale per un DNS autoritativo ospitato su OpenBSD (nsd + unbound + dnsmasq), o una piccola capsula Gemini/Gopher, o un'applicazione auditata scritta contro pledge/unveil.
8 vCPU, 16 GB RAM, 480 GB NVMe. Comodo per una sostituzione di edge-router OpenBSD (pf + relayd + iked + dhcpd) che ospita una mezza dozzina di daemon sandboxati.
Linea fasce completa — Sentinel · Garrison · Ravelin · Bulwark · Citadel — su /vps/.
Per un daemon rivolto a internet — un reverse proxy, un DNS autoritativo, un relay mail, un piccolo sito statico dietro acme-client — OpenBSD su NordBastion le dà W^X, KARL, pledge e unveil senza una checklist di hardening. L'abbinamento con un host nordico senza KYC è coerente: due organizzazioni che hanno fatto impegni scritti su sicurezza e software libero piuttosto che affermazioni di marketing.
Scelga una distribuzione Linux (veda /debian-vps/, /ubuntu-vps/, /arch-linux-vps/) quando davvero ha bisogno dell'ecosistema container. Scelga OpenBSD quando davvero ha bisogno che il sistema base sia il confine di fiducia.
Le domande che gli operatori pongono realmente prima di distribuire un BSD security-first su un host privacy-first.
OpenBSD 7.6 come release corrente (-current ribasata all'ultima snapshot al momento del build dell'immagine), e 7.5 come release precedente che riceve ancora patch di errata via syspatch. Release più vecchie non sono nel pannello — la posizione upstream di OpenBSD è che dovrebbe far girare una release supportata — ma il mount ISO personalizzato è disponibile per chiunque faccia deliberatamente girare 7.4 o precedenti per una ragione nota.
Perché OpenBSD fa default diversi. Il sistema base esegue binari sotto W^X, il kernel viene ri-randomizzato al boot (KARL), le syscall nei daemon auditati sono ristrette da pledge(2) e l'accesso al filesystem da unveil(2), e il risultato è che una classe di bug che sarebbe sfruttabile su un sistema Linux stock semplicemente non è raggiungibile. Niente di tutto questo richiede che si ricordi di abilitarlo.
No — stock OpenBSD GENERIC.MP. Non patchiamo il kernel, non spogliamo i driver, non pre-compiliamo un kernel personalizzato per i percorsi virtio. KARL rimescola comunque l'ordine di link del kernel ad ogni boot, così anche il binario su disco è intenzionalmente diverso da quello del prossimo operatore.
Sì. /etc/installurl sull'immagine di default punta a cdn.openbsd.org, che risolve a un mirror nordico (tipicamente ftp.eu.openbsd.org o uno dei mirror universitari svedesi) da qualsiasi dei quattro bastioni. pkg_add e l'albero ports funzionano senza configurazione extra; il firewall permette il traffico mirror OpenBSD sia in forma in chiaro sia in forma Tor-onion.
Sì, ed è il percorso canonico di aggiornamento sulle immagini OpenBSD di NordBastion. syspatch applica errata firmati per la release in esecuzione senza un build completo da sorgenti. L'immagine abilita le voci cron(8) giornaliere standard; può fare opt-in per syspatch automatico modificando /etc/daily.local. Non applichiamo syspatch automaticamente da soli — questa è la sua decisione.
No — OpenBSD non ha un runtime di container nativo in quello stile, e il progetto deliberatamente non ha rincorso l'ecosistema container Linux. Se il suo carico di lavoro è fondamentalmente uno stack di container OCI, lo faccia girare su Debian (veda /debian-vps/) o Ubuntu (veda /ubuntu-vps/). OpenBSD è la scelta giusta per daemon che vivono direttamente sull'host — relayd, httpd, OpenSMTPd, unbound — e beneficiano del sandboxing pledge/unveil.
Un'installazione base con OpenSSH, doas, vi, sysmerge, syspatch, le crontab standard e acme-client. Nessun pacchetto di terze parti per default; sceglie i suoi con pkg_add. L'immagine è intenzionalmente vicina a una fresca install(8) della release ufficiale.
OpenBSD ha solido supporto virtio-net, virtio-blk e virtio-rng su KVM, e NordBastion usa il machine type raccomandato upstream (q35, virtio-scsi per lo storage). Una cosa da sapere: OpenBSD preferisce MBR o GPT con il layout di installazione di default, e l'allocazione automatica del disco dell'installer è ok sui dispositivi virtio — non c'è un rituale di partizionamento speciale da ricordare.
Hosting privato, costruito nel Nord.
