Nastavení brány firewall OPNsense

Vyberte hardware – minimálně dva síťové porty

OPNsense je firewall a směrovací platforma postavená na FreeBSD. Nainstalujete jej na svůj vlastní hardware – náhradní PC, mini PC nebo malé zařízení – a sedí mezi vaším modemem a vaší sítí a rozhoduje o tom, jaký provoz může projít. Hardware musí být 64bitový počítač s nejméně dvěma síťovými porty: jeden se stane WAN (internetová strana), druhý LAN (vaše síť). Oficiální doporučení jsou zhruba 2 GB RAM jako minimum, 4 GB nebo více pro pohodlné používání a SSD 40 GB nebo více je dost pro většinu domácností a malých kanceláří. Síťové karty Intel jsou silně preferovány, protože jejich ovladače FreeBSD jsou nejspolehlivější – levné porty Realtek jsou jedinou nejčastější příčinou podivných výpadků sítě. Mini PC bez ventilátoru se dvěma porty Intel jsou oblíbenou dlouhodobou volbou: tiché a nízkoenergetické.

Stáhněte si oficiální obrázek a ověřte kontrolní součet

Přejděte na oficiální stránku stahování OPNsense na opnsense.org a vyberte si zrcadlo ve svém okolí. Pro běžnou PC instalaci z flash disku zvolte imd64 VGA obraz pro USB — název souboru končí -vga.img.bz2. VGA znamená, že se zobrazuje na běžném monitoru; sériový obraz je pro bezhlavá zařízení s kabelem konzoly a DVD ISO je pro virtuální stroje a optická média. Soubor je komprimovaný, proto jej nejprve rozbalte (7-Zip si poradí s formátem .bz2). Poté ověřte stažení: kontrolní součet SHA-256 je zveřejněn vedle obrázku na stránce stahování – než něco napíšete, porovnejte jej s kontrolním součtem staženého souboru. Odpovídající kontrolní součet dokazuje, že soubor dorazil kompletní a nezměněný.

Zapište obrázek na USB flash disk

Zapište extrahovaný obrázek na flash disk pomocí zapisovače nezpracovaných obrázků, jako je balenaEtcher nebo Rufus v režimu DD. Toto není kopie souboru – klíček se stane zaváděcím instalátorem FreeBSD a vše, co na něm již je, je zničeno, takže použijte klíč, o který vám nezáleží; 4 GB nebo větší stačí. Před spuštěním pak připojte kabely: modem do portu, který chcete použít jako WAN, a notebook nebo přepínač do portu, který chcete použít jako LAN. Vložte klíčenku a spusťte počítač z USB – obvykle klávesa bootovací nabídky jako F8, F11 nebo F12 při zapnutí; liší se podle desky.

Nainstalujte OPNsense a nastavte silné heslo root

Živý systém se spustí s výzvou k přihlášení ke konzole. Přihlaste se pomocí uživatelského jména installer a hesla opnsense a spustí se instalační program. Přijměte mapu kláves, zvolte Instalovat, vyberte cílový disk – znovu jej zkontrolujte – přijměte výchozí souborový systém, který instalační program nabízí, a nechte jej zkopírovat systém. Po dokončení restartujte počítač a vyjměte jednotku USB. Při prvním spuštění vás konzole může požádat o přiřazení rozhraní: vyberte, který fyzický port je LAN a který WAN, a pro normální nastavení jedné sítě odpovězte ne na VLAN.

Během instalace budete požádáni o nastavení hesla uživatele root – nastavte jej dlouhé a jedinečné a uložte jej do správce hesel. Dokud si nenastavíte svůj vlastní, nový OPNsense stále odpovídá známému výchozímu heslu opnsense pro účet root, které si může kdokoli vyhledat. Instalace není dokončena, dokud je výchozí nastavení stále aktivní.

První přihlášení a průvodce nastavením

Připojte notebook k portu LAN. Adresu by měl obdržet automaticky, protože OPNsense ve výchozím nastavení provozuje server DHCP v síti LAN a předává adresy v rozsahu 192.168.1.x. Otevřete webové rozhraní v prohlížeči:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

Pochopte výchozí pravidla a poté přidejte svá vlastní

Než přidáte svá vlastní pravidla, pochopte výchozí bod – již po vybalení je OPNsense rozumným firewallem. Vše, co přichází z internetu, je blokováno, zařízením ve vaší LAN je povolen přístup a automatické pravidlo proti zablokování v LAN udržuje váš přístup k webovému rozhraní naživu, i když uděláte chybu v pravidlech. Pravidla se čtou shora dolů a vyhrává první odpovídající pravidlo. Nezačínejte tedy přidáváním pravidel blokování všude. Sledujte živý protokol jeden den (Firewall → Soubory protokolu → Živé zobrazení), zjistěte, jak vypadá běžný provoz ve vaší síti, a teprve poté přidejte pravidla – jedno po druhém, každé se specifickým účelem.

Nastavení DHCP a DNS

Se spuštěnou bránou firewall dokončete každodenní základy. Vestavěný DNS resolver OPNsense (Unbound) je ve výchozím nastavení povolen a je vše, co většina sítí potřebuje – vaše zařízení již používají firewall jako svůj DNS server. To, co přidáte ručně, je jistota pro zařízení, která se nikdy nesmí hýbat: tiskárny, NAS a kamery dostávají statická mapování DHCP, takže každý z nich vždy obdrží stejnou adresu (v posledních verzích v části Služby → DHCP — Kea DHCP; u starších ISC DHCP). Statická mapování vám také umožní dát svým zařízením místní názvy, takže je můžete oslovit podle jména namísto zapamatování čísel.

Vzdálený přístup bezpečným způsobem – pouze VPN

Dříve nebo později budete chtít zkontrolovat firewall zvenčí. Udělejte to bezpečným způsobem: webové rozhraní a SSH jsou klíče k celé síti, takže se nikdy neotevřou přímo na internet. Bezpečnou cestou je VPN – nejprve se připojte k síti pomocí VPN a poté otevřete webové rozhraní přesně tak, jako byste seděli doma. Silné heslo samo o sobě nenahradí: stránka správce vystavená internetu je nalezena skenery během několika hodin a nepřetržitě napadena.

Aktualizujte, zálohujte konfiguraci a aktivujte

Nastavení dokončí dva návyky. Za prvé, aktualizace: čerstvá instalace není nikdy plně aktuální a firewall je přesně to zařízení, na kterém nesmí běžet starý software – přejděte do Systém → Firmware a spusťte aktualizace. Za druhé, záloha konfigurace: stáhněte si ji ze Systém → Konfigurace → Zálohy a ponechte soubor mimo krabici. Tento malý soubor obnoví celé vaše nastavení během několika minut, pokud hardware někdy vypadne, takže zálohujte znovu po každé smysluplné změně, ne pouze jednou. A pokud se někdy kvůli chybě v nastavení uzamknete z webového rozhraní, záchrannou sítí je fyzická konzole – monitor a klávesnice na krabici, přihlaste se jako root a opravte adresy rozhraní nebo resetujte heslo z nabídky konzoly. Nikdy nepropadejte panice a znovu neinstalujte; konzole opraví téměř vše.