OPNsense Firewall-opsætning

Vælg hardwaren – minimum to netværksporte

OPNsense er en firewall og routing platform bygget på FreeBSD. Du installerer det på din egen hardware - en ekstra pc, en mini-pc eller et lille apparat - og det sidder mellem dit modem og dit netværk og bestemmer, hvilken trafik der må passere. Hardwaren skal være en 64-bit pc med mindst to netværksporte: Den ene bliver WAN (internetsiden), den anden LAN (dit netværk). Den officielle vejledning er cirka 2 GB RAM som minimum, 4 GB eller mere for behagelig brug, og en SSD på 40 GB eller mere er rigeligt til de fleste hjem og små kontorer. Intel-netværkskort foretrækkes stærkt, fordi deres FreeBSD-drivere er de mest pålidelige — billige Realtek-porte er den mest almindelige årsag til mærkelige netværksfald. Blæserløse mini-pc'er med to Intel-porte er det populære langsigtede valg: lydløse og lavt strømforbrug.

Download det officielle billede, og bekræft kontrolsummen

Gå til den officielle OPNsense-downloadside på opnsense.org og vælg et spejl nær dig. For en normal pc-installation fra et pendrev skal du vælge amd64 VGA-billedet til USB — filnavnet slutter med -vga.img.bz2. VGA betyder, at den vises på en almindelig skærm; det serielle billede er til hovedløse apparater med et konsolkabel, og DVD'en ISO er til virtuelle maskiner og optiske medier. Filen er komprimeret, så pak den ud først (7-Zip håndterer .bz2-formatet). Bekræft derefter overførslen: SHA-256-kontrolsummen offentliggøres ved siden af ​​billedet på downloadsiden — sammenlign den med din downloadede fils kontrolsum, før du skriver noget. En matchende kontrolsum beviser, at filen ankom komplet og umanipuleret.

Skriv billedet til en USB-stick

Skriv det udtrukne billede til et pendrev med en rå billedskriver såsom balenaEtcher eller Rufus i DD-tilstand. Dette er ikke en filkopi — pinden bliver et bootbart FreeBSD-installationsprogram, og alt, der allerede er på det, bliver ødelagt, så brug en stick, du er ligeglad med; 4 GB eller større er nok. Tilslut derefter kablerne, før du starter: modemmet til den port, du ønsker som WAN, og en bærbar computer eller skift til den port, du ønsker som LAN. Indsæt pinden og start pc'en fra USB - normalt en startmenutast som F8, F11 eller F12 ved tænding; det varierer efter bord.

Installer OPNsense og indstil en stærk root-adgangskode

Live-systemet starter til en konsollogonprompt. Log på med brugernavnet installer og adgangskoden opnsense, og installationsprogrammet starter. Accepter tastaturet, vælg Installer, vælg måldisken - dobbelttjek den - accepter standardfilsystemet, som installationsprogrammet tilbyder, og lad det kopiere systemet. Når det er færdigt, genstart og fjern USB-nøglen. Ved den første opstart kan konsollen bede dig om at tildele grænseflader: vælg hvilken fysisk port der er LAN og hvilken der er WAN, og svar nej til VLAN'er for en normal enkeltnetværksopsætning.

Under installationen bliver du bedt om at indstille rodadgangskoden — gør den lang og unik, og gem den i en adgangskodehåndtering. Indtil du indstiller din egen, svarer en frisk OPNsense stadig på det velkendte standardkodeord opnsense til root-kontoen, som alle kan slå op. Installationen er ikke afsluttet, mens denne standard stadig er aktiv.

Første login og opsætningsguiden

Tilslut en bærbar computer til LAN-porten. Den bør modtage en adresse automatisk, fordi OPNsense kører en DHCP-server på LAN som standard, og uddeler adresser i 192.168.1.x-området. Åbn webgrænsefladen i browseren:

Konfigurer DHCP og DNS

Med firewallen op, gør du det grundlæggende i hverdagen færdigt. OPNsense's indbyggede DNS-resolver (Ubundet) er aktiveret som standard og er alt, hvad de fleste netværk har brug for - dine enheder bruger allerede firewallen som deres DNS-server. Det, du tilføjer med hånden, er sikkerhed for de enheder, der aldrig må bevæge sig: printere, en NAS og kameraer får statiske DHCP-tilknytninger, så hver enkelt modtager altid den samme adresse (i nyere versioner under Tjenester → DHCP — Kea DHCP; ISC DHCP i ældre). Statiske kortlægninger giver dig også mulighed for at give dine enheder lokale navne, så du kan nå dem ved navn i stedet for at huske numre.

Fjernadgang på den sikre måde – kun VPN

Før eller siden vil du gerne kontrollere firewall'en udefra. Gør det på den sikre måde: Webgrænsefladen og SSH er nøglerne til hele netværket, så de åbnes aldrig direkte til internettet. Den sikre rute er en VPN - først oprette forbindelse til dit netværk med en VPN, og åbn derefter webgrænsefladen, præcis som om du sad derhjemme. En stærk adgangskode alene er ikke en erstatning: en adminside, der er udsat for internettet, bliver fundet af scannere inden for få timer og angrebet døgnet rundt.

Opdater, sikkerhedskopier konfigurationen og gå live

To vaner afslutter opsætningen. For det første opdateringer: en ny installation er aldrig helt aktuel, og en firewall er præcis den enhed, der ikke må køre gammel software — gå til System → Firmware og kør opdateringerne. For det andet, konfigurationssikkerhedskopien: download den fra System → Konfiguration → Sikkerhedskopier, og hold filen væk fra kassen. Den ene lille fil genopbygger hele din opsætning på få minutter, hvis hardwaren nogensinde dør, så tag en sikkerhedskopi igen efter hver meningsfuld ændring, ikke kun én gang. Og hvis du nogensinde låser dig ude af webgrænsefladen med en indstillingsfejl, er den fysiske konsol sikkerhedsnettet - skærm og tastatur på boksen, log ind som root, og ret grænsefladeadresserne eller nulstil adgangskoden fra konsolmenuen. Geninstaller aldrig panik; konsollen løser næsten alt.