إعداد جدار الحماية OPNsense

اختر الأجهزة - منفذا شبكة كحد أدنى

OPNsense عبارة عن جدار حماية ومنصة توجيه مبنية على FreeBSD. يمكنك تثبيته على أجهزتك الخاصة — كمبيوتر شخصي احتياطي، أو كمبيوتر شخصي صغير، أو جهاز صغير — ويتم وضعه بين المودم الخاص بك وشبكتك، ويقرر حركة المرور التي قد تمر. يجب أن يكون الجهاز عبارة عن جهاز كمبيوتر 64 بت مع منفذي شبكة على الأقل: أحدهما يصبح WAN (جانب الإنترنت)، والآخر هو LAN (شبكتك). التوجيه الرسمي هو ما يقرب من 2 غيغابايت من ذاكرة الوصول العشوائي كحد أدنى، و4 غيغابايت أو أكثر للاستخدام المريح، وSSD بسعة 40 غيغابايت أو أكثر يكفي لمعظم المنازل والمكاتب الصغيرة. تُفضل بطاقات شبكة Intel بشدة نظرًا لأن برامج تشغيل FreeBSD الخاصة بها هي الأكثر موثوقية، كما أن منافذ Realtek الرخيصة هي السبب الوحيد الأكثر شيوعًا لانقطاع الشبكة الغريب. تُعد أجهزة الكمبيوتر الصغيرة بدون مروحة المزودة بمنافذ Intel المزدوجة الخيار الشائع على المدى الطويل: فهي صامتة ومنخفضة الطاقة.

قم بتنزيل الصورة الرسمية وتحقق من المجموع الاختباري

انتقل إلى صفحة تنزيل OPNsense الرسمية على opnsense.org واختر مرآة قريبة منك. لتثبيت جهاز كمبيوتر عادي من محرك أقراص القلم، اختر صورة amd64 VGA لـ USB — وينتهي اسم الملف بـ -vga.img.bz2. VGA يعني أنه يتم عرضه على شاشة عادية؛ الصورة التسلسلية مخصصة للأجهزة مقطوعة الرأس المزودة بكابل وحدة تحكم، وDVD ISO مخصص للأجهزة الافتراضية والوسائط الضوئية. الملف مضغوط، لذا قم باستخراجه أولاً (يتعامل برنامج 7-Zip مع تنسيق ‎.bz2). ثم تحقق من التنزيل: يتم نشر المجموع الاختباري SHA-256 بجانب الصورة في صفحة التنزيل - وقارنه بالمجموع الاختباري للملف الذي تم تنزيله قبل كتابة أي شيء. يثبت المجموع الاختباري المطابق أن الملف قد وصل كاملاً ولم يتم التلاعب به.

اكتب الصورة على عصا USB

اكتب الصورة المستخرجة على محرك القلم باستخدام كاتب الصور الأولية مثل balenaEtcher أو Rufus في وضع DD. هذه ليست نسخة ملف - تصبح العصا بمثابة مثبت FreeBSD قابل للتمهيد، ويتم تدمير كل شيء موجود عليها بالفعل، لذا استخدم عصا لا تهتم بها؛ 4 جيجا أو أكبر تكفي. ثم قم بتوصيل الكابلات قبل التمهيد: المودم في المنفذ الذي تنوي استخدامه كشبكة WAN، والكمبيوتر المحمول أو التبديل إلى المنفذ الذي تنوي استخدامه كشبكة LAN. أدخل العصا وقم بتمهيد الكمبيوتر من USB - عادةً ما يكون مفتاح قائمة التمهيد مثل F8 أو F11 أو F12 عند التشغيل؛ ويختلف حسب اللوحة.

تثبيت OPNsense وتعيين كلمة مرور جذر قوية

يقوم النظام المباشر بالتمهيد إلى مطالبة تسجيل الدخول لوحدة التحكم. قم بتسجيل الدخول باسم المستخدم installer وكلمة المرور opnsense، وسيبدأ المثبت. اقبل خريطة المفاتيح، واختر تثبيت، واختر القرص الهدف — تحقق منه جيدًا — واقبل نظام الملفات الافتراضي الذي يقدمه المثبت، واتركه ينسخ النظام. عند الانتهاء، قم بإعادة التشغيل وإزالة عصا USB. في أول تشغيل، قد تطلب منك وحدة التحكم تعيين واجهات: اختر المنفذ الفعلي لشبكة LAN وأي منفذ لشبكة WAN، وبالنسبة لإعداد شبكة فردية عادية، أجب بـ "لا" لشبكات VLAN.

أثناء التثبيت، يُطلب منك تعيين كلمة مرور الجذر — اجعلها طويلة وفريدة من نوعها، وقم بتخزينها في مدير كلمات المرور. حتى تقوم بتعيين كلمة المرور الخاصة بك، لا يزال OPNsense الجديد يجيب على كلمة المرور الافتراضية المعروفة opnsense لحساب الجذر، والتي يمكن لأي شخص البحث عنها. لم ينته التثبيت بينما لا يزال هذا الإعداد الافتراضي نشطًا.

تسجيل الدخول الأول ومعالج الإعداد

قم بتوصيل الكمبيوتر المحمول بمنفذ LAN. يجب أن يتلقى عنوانًا تلقائيًا، لأن OPNsense يقوم بتشغيل خادم DHCP على الشبكة المحلية بشكل افتراضي، ويوزع العناوين في النطاق 192.168.1.x. افتح واجهة الويب في المتصفح:

إعداد DHCP وDNS

بعد تشغيل جدار الحماية، يمكنك إنهاء الأساسيات اليومية. يتم تمكين محلل DNS المدمج في OPNsense (Unbound) افتراضيًا وهو كل ما تحتاجه معظم الشبكات - تستخدم أجهزتك بالفعل جدار الحماية كخادم DNS الخاص بها. ما تضيفه يدويًا هو ضمان للأجهزة التي يجب ألا تتحرك أبدًا: تحصل الطابعات وشبكة NAS والكاميرات على تعيينات DHCP ثابتة، بحيث يتلقى كل منها دائمًا نفس العنوان (في الإصدارات الحديثة ضمن Services → DHCP — Kea DHCP؛ ISC DHCP في الإصدارات الأقدم). تتيح لك التعيينات الثابتة أيضًا إعطاء أسماء محلية لأجهزتك، حتى تتمكن من الوصول إليها بالاسم بدلاً من حفظ الأرقام.

الوصول عن بعد بطريقة آمنة - VPN فقط

عاجلًا أم آجلًا، سوف تحتاج إلى التحقق من جدار الحماية من الخارج. افعل ذلك بالطريقة الآمنة: واجهة الويب وSSH هما المفتاحان للشبكة بأكملها، لذلك لا يمكن فتحهما على الإنترنت مباشرة. المسار الآمن هو VPN - اتصل بشبكتك باستخدام VPN أولاً، ثم افتح واجهة الويب تمامًا كما لو كنت جالسًا في المنزل. إن كلمة المرور القوية وحدها ليست بديلاً: حيث يتم العثور على صفحة الإدارة المعرضة للإنترنت بواسطة الماسحات الضوئية في غضون ساعات ويتم مهاجمتها على مدار الساعة.

التحديث والنسخ الاحتياطي للتكوين والبدء في البث المباشر

عادتان تنهي الإعداد. أولاً، التحديثات: التثبيت الجديد لا يكون محدثًا بشكل كامل أبدًا، وجدار الحماية هو بالضبط الجهاز الذي يجب ألا يقوم بتشغيل البرامج القديمة - انتقل إلى النظام → البرامج الثابتة وقم بتشغيل التحديثات. ثانيًا، النسخ الاحتياطي للتكوين: قم بتنزيله من النظام → التكوين → النسخ الاحتياطية واحتفظ بالملف خارج الصندوق. يقوم هذا الملف الصغير بإعادة بناء الإعداد بالكامل في دقائق معدودة في حالة تعطل الجهاز، لذا قم بعمل نسخة احتياطية مرة أخرى بعد كل تغيير مهم، وليس مرة واحدة فقط. وإذا قمت بإغلاق واجهة الويب بسبب خطأ في الإعدادات، فإن وحدة التحكم الفعلية هي شبكة الأمان - الشاشة ولوحة المفاتيح في الصندوق، وقم بتسجيل الدخول كجذر، وقم بإصلاح عناوين الواجهة أو إعادة تعيين كلمة المرور من قائمة وحدة التحكم. لا داعي للذعر أبدًا، قم بإعادة التثبيت؛ تعمل وحدة التحكم على إصلاح كل شيء تقريبًا.