OPNsense-Firewall-Setup

Wählen Sie die Hardware – mindestens zwei Netzwerkports

OPNsense ist eine auf FreeBSD basierende Firewall- und Routing-Plattform. Sie installieren es auf Ihrer eigenen Hardware – einem Ersatz-PC, einem Mini-PC oder einem kleinen Gerät – und es befindet sich zwischen Ihrem Modem und Ihrem Netzwerk und entscheidet, welcher Datenverkehr weitergeleitet werden darf. Bei der Hardware muss es sich um einen 64-Bit-PC mit mindestens zwei Netzwerkanschlüssen handeln: Einer dient als WAN (Internetseite), der andere als LAN (Ihr Netzwerk). Die offizielle Empfehlung lautet mindestens etwa 2 GB RAM, 4 GB oder mehr für eine komfortable Nutzung und eine SSD mit 40 GB oder mehr ist für die meisten Haushalte und kleinen Büros ausreichend. Intel-Netzwerkkarten werden stark bevorzugt, da ihre FreeBSD-Treiber am zuverlässigsten sind – billige Realtek-Ports sind die häufigste Ursache für seltsame Netzwerkausfälle. Lüfterlose Mini-PCs mit zwei Intel-Ports sind auf Dauer die beliebte Wahl: leise und stromsparend.

Laden Sie das offizielle Bild herunter und überprüfen Sie die Prüfsumme

Gehen Sie zur offiziellen OPNsense-Downloadseite unter opnsense.org und wählen Sie einen Spiegel in Ihrer Nähe aus. Wählen Sie für eine normale PC-Installation von einem USB-Stick das amd64 VGA-Image für USB – der Dateiname endet mit -vga.img.bz2. VGA bedeutet, dass es auf einem normalen Monitor angezeigt wird; Das serielle Image ist für Headless-Appliances mit einem Konsolenkabel und das DVD-ISO für virtuelle Maschinen und optische Medien. Die Datei ist komprimiert, also extrahieren Sie sie zuerst (7-Zip unterstützt das .bz2-Format). Überprüfen Sie dann den Download: Die SHA-256-Prüfsumme wird neben dem Bild auf der Download-Seite veröffentlicht – vergleichen Sie sie mit der Prüfsumme Ihrer heruntergeladenen Datei, bevor Sie etwas schreiben. Eine übereinstimmende Prüfsumme beweist, dass die Datei vollständig und unverfälscht angekommen ist.

Schreiben Sie das Bild auf einen USB-Stick

Schreiben Sie das extrahierte Bild mit einem Raw-Image-Writer wie balenaEtcher oder Rufus im DD-Modus auf einen USB-Stick. Dies ist keine Dateikopie – der Stick wird zu einem bootfähigen FreeBSD-Installationsprogramm und alles, was sich bereits darauf befindet, wird zerstört. Verwenden Sie also einen Stick, der Ihnen egal ist. 4 GB oder mehr reichen aus. Schließen Sie dann vor dem Booten die Kabel an: das Modem an den Port, den Sie als WAN verwenden möchten, und einen Laptop oder Switch an den Port, den Sie als LAN verwenden möchten. Stecken Sie den Stick ein und starten Sie den PC über USB – normalerweise eine Boot-Menütaste wie F8, F11 oder F12 beim Einschalten; es variiert je nach Board.

Installieren Sie OPNsense und legen Sie ein sicheres Root-Passwort fest

Das Live-System startet mit einer Konsolen-Anmeldeaufforderung. Melden Sie sich mit dem Benutzernamen installer und dem Passwort opnsense an und der Installer startet. Akzeptieren Sie die Tastaturbelegung, wählen Sie Installieren, wählen Sie die Zielfestplatte aus – überprüfen Sie sie noch einmal – akzeptieren Sie die vom Installationsprogramm angebotenen Standarddateisysteme und lassen Sie das System kopieren. Wenn der Vorgang abgeschlossen ist, starten Sie neu und entfernen Sie den USB-Stick. Beim ersten Start werden Sie möglicherweise von der Konsole aufgefordert, Schnittstellen zuzuweisen: Wählen Sie aus, welcher physische Port LAN und welcher WAN ist, und antworten Sie für ein normales Einzelnetzwerk-Setup mit „Nein“ auf VLANs.

Während der Installation werden Sie aufgefordert, das Root-Passwort festzulegen – machen Sie es lang und eindeutig und speichern Sie es in einem Passwort-Manager. Bis Sie Ihr eigenes festlegen, antwortet ein neuer OPNsense weiterhin auf das bekannte Standardkennwort opnsense für das Root-Konto, das jeder nachschlagen kann. Die Installation ist nicht abgeschlossen, solange diese Standardeinstellung noch aktiv ist.

Erste Anmeldung und der Einrichtungsassistent

Schließen Sie einen Laptop an den LAN-Port an. Es sollte automatisch eine Adresse erhalten, da OPNsense standardmäßig einen DHCP-Server im LAN betreibt, der Adressen im Bereich 192.168.1.x vergibt. Öffnen Sie die Weboberfläche im Browser:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

Verstehen Sie die Standardregeln und fügen Sie dann Ihre eigenen hinzu

Bevor Sie eigene Regeln hinzufügen, sollten Sie den Ausgangspunkt verstehen – OPNsense ist bereits im Auslieferungszustand eine sinnvolle Firewall. Alles, was aus dem Internet eingeht, wird blockiert, Geräte in Ihrem LAN dürfen herausgelassen werden und eine automatische Anti-Sperr-Regel im LAN hält Ihren Zugriff auf die Weboberfläche aufrecht, selbst wenn Sie einen Regelfehler machen. Die Regeln werden von oben nach unten gelesen und die erste passende Regel gewinnt. Beginnen Sie also nicht damit, überall Blockregeln hinzuzufügen. Sehen Sie sich einen Tag lang das Live-Protokoll an (Firewall → Protokolldateien → Live-Ansicht), erfahren Sie, wie der normale Datenverkehr in Ihrem Netzwerk aussieht, und fügen Sie erst dann Regeln hinzu – eine nach der anderen, jede mit einem bestimmten Zweck.

DHCP und DNS einrichten

Erledigen Sie bei aktivierter Firewall die alltäglichen Grundlagen. Der integrierte DNS-Resolver (Unbound) von OPNsense ist standardmäßig aktiviert und ist alles, was die meisten Netzwerke benötigen – Ihre Geräte verwenden die Firewall bereits als DNS-Server. Was Sie von Hand hinzufügen, ist Gewissheit für die Geräte, die sich niemals bewegen dürfen: Drucker, ein NAS und Kameras erhalten statische DHCP-Zuordnungen, sodass jedes immer die gleiche Adresse erhält (in neueren Versionen unter Dienste → DHCP – Kea DHCP; ISC DHCP in älteren Versionen). Mit statischen Zuordnungen können Sie Ihren Geräten auch lokale Namen geben, sodass Sie sie über den Namen erreichen können, anstatt sich Nummern zu merken.

Remotezugriff auf sichere Weise – nur VPN

Früher oder später möchten Sie die Firewall von außen überprüfen. Gehen Sie auf die sichere Art und Weise vor: Das Webinterface und SSH sind die Schlüssel zum gesamten Netzwerk und sind daher niemals direkt mit dem Internet verbunden. Der sichere Weg ist ein VPN – stellen Sie zunächst über ein VPN eine Verbindung zu Ihrem Netzwerk her und öffnen Sie dann die Weboberfläche genau so, als ob Sie zu Hause sitzen würden. Ein sicheres Passwort allein ist kein Ersatz: Eine dem Internet ausgesetzte Admin-Seite wird innerhalb weniger Stunden von Scannern gefunden und rund um die Uhr angegriffen.

Aktualisieren, sichern Sie die Konfiguration und gehen Sie live

Zwei Gewohnheiten runden die Einrichtung ab. Erstens, Updates: Eine Neuinstallation ist nie vollständig aktuell und eine Firewall ist genau das Gerät, auf dem keine alte Software ausgeführt werden darf – gehen Sie zu System → Firmware und führen Sie die Updates aus. Zweitens das Konfigurations-Backup: Laden Sie es unter System → Konfiguration → Backups herunter und bewahren Sie die Datei außerhalb der Verpackung auf. Diese eine kleine Datei stellt Ihr gesamtes Setup in wenigen Minuten wieder her, falls die Hardware jemals ausfällt. Erstellen Sie also nach jeder bedeutenden Änderung ein erneutes Backup, nicht nur einmal. Und wenn Sie sich jemals aufgrund eines Einstellungsfehlers aus der Weboberfläche ausschließen, ist die physische Konsole das Sicherheitsnetz – Monitor und Tastatur an der Box, melden Sie sich als Root an und korrigieren Sie die Schnittstellenadressen oder setzen Sie das Passwort über das Konsolenmenü zurück. Niemals in Panik geraten – Neuinstallation; Die Konsole repariert fast alles.