Ρύθμιση τείχους προστασίας OPNsense

Επιλέξτε το υλικό — Δύο θύρες δικτύου τουλάχιστον

Το OPNsense είναι ένα τείχος προστασίας και μια πλατφόρμα δρομολόγησης που βασίζεται στο FreeBSD. Το εγκαθιστάτε στο δικό σας υλικό — έναν εφεδρικό υπολογιστή, έναν μίνι υπολογιστή ή μια μικρή συσκευή — και τοποθετείται μεταξύ του μόντεμ και του δικτύου σας, αποφασίζοντας ποια κίνηση μπορεί να περάσει. Το υλικό πρέπει να είναι υπολογιστής 64-bit με τουλάχιστον δύο θύρες δικτύου: η μία γίνεται WAN (πλευρά διαδικτύου), η άλλη LAN (το δίκτυό σας). Η επίσημη οδηγία είναι περίπου 2 GB μνήμης RAM ως ελάχιστο, 4 GB ή περισσότερο για άνετη χρήση και ένας SSD 40 GB ή περισσότερο είναι αρκετός για τα περισσότερα σπίτια και μικρά γραφεία. Οι κάρτες δικτύου της Intel προτιμώνται έντονα επειδή τα προγράμματα οδήγησης FreeBSD τους είναι τα πιο αξιόπιστα — οι φθηνές θύρες Realtek είναι η πιο κοινή αιτία περίεργων πτώσεων δικτύου. Οι μίνι υπολογιστές χωρίς ανεμιστήρα με διπλές θύρες Intel είναι η δημοφιλής μακροπρόθεσμη επιλογή: αθόρυβοι και χαμηλής ισχύος.

Κατεβάστε την επίσημη εικόνα και επαληθεύστε το άθροισμα ελέγχου

Μεταβείτε στην επίσημη σελίδα λήψης του OPNsense στο opnsense.org και επιλέξτε έναν καθρέφτη κοντά σας. Για κανονική εγκατάσταση υπολογιστή από μονάδα στυλό, επιλέξτε την εικόνα amd64 VGA για USB — το όνομα του αρχείου τελειώνει σε -vga.img.bz2. VGA σημαίνει ότι εμφανίζεται σε μια συνηθισμένη οθόνη. η σειριακή εικόνα είναι για συσκευές χωρίς κεφαλή με καλώδιο κονσόλας και το DVD ISO είναι για εικονικές μηχανές και οπτικά μέσα. Το αρχείο είναι συμπιεσμένο, επομένως πρώτα το εξαγάγετε (το 7-Zip χειρίζεται τη μορφή .bz2). Στη συνέχεια, επαληθεύστε τη λήψη: το άθροισμα ελέγχου SHA-256 δημοσιεύεται δίπλα στην εικόνα στη σελίδα λήψης — συγκρίνετε το με το άθροισμα ελέγχου του ληφθέντος αρχείου σας πριν γράψετε οτιδήποτε. Ένα αντίστοιχο άθροισμα ελέγχου αποδεικνύει ότι το αρχείο έφτασε πλήρες και χωρίς παραποίηση.

Γράψτε την εικόνα σε ένα USB Stick

Γράψτε την εξαγόμενη εικόνα σε μια μονάδα στυλό με ένα πρόγραμμα εγγραφής ακατέργαστων εικόνων όπως το balenaEtcher ή το Rufus σε λειτουργία DD. Αυτό δεν είναι αντίγραφο αρχείου — το στικάκι γίνεται ένα πρόγραμμα εγκατάστασης FreeBSD με δυνατότητα εκκίνησης και όλα όσα βρίσκονται ήδη σε αυτό καταστρέφονται, γι' αυτό χρησιμοποιήστε ένα stick που δεν σας ενδιαφέρει. 4 GB ή μεγαλύτερο είναι αρκετά. Στη συνέχεια, συνδέστε τα καλώδια πριν από την εκκίνηση: το μόντεμ στη θύρα που σκοπεύετε ως WAN και έναν φορητό υπολογιστή ή διακόπτη στη θύρα που σκοπεύετε ως LAN. Τοποθετήστε το stick και εκκινήστε τον υπολογιστή από USB — συνήθως ένα πλήκτρο μενού εκκίνησης όπως F8, F11 ή F12 κατά την ενεργοποίηση. διαφέρει ανά πίνακα.

Εγκαταστήστε το OPNsense και ορίστε έναν ισχυρό κωδικό πρόσβασης ρίζας

Το ζωντανό σύστημα εκκινεί σε μια προτροπή σύνδεσης της κονσόλας. Συνδεθείτε με το όνομα χρήστη installer και τον κωδικό πρόσβασης opnsense και το πρόγραμμα εγκατάστασης ξεκινά. Αποδεχτείτε τον χάρτη πληκτρολογίου, επιλέξτε Εγκατάσταση, επιλέξτε τον δίσκο προορισμού — ελέγξτε τον ξανά — αποδεχτείτε την προεπιλογή του συστήματος αρχείων που προσφέρει το πρόγραμμα εγκατάστασης και αφήστε το να αντιγράψει το σύστημα. Όταν τελειώσει, επανεκκινήστε και αφαιρέστε το USB stick. Κατά την πρώτη εκκίνηση, η κονσόλα μπορεί να σας ζητήσει να εκχωρήσετε διεπαφές: επιλέξτε ποια φυσική θύρα είναι LAN και ποια WAN, και για μια κανονική εγκατάσταση ενός δικτύου απαντήστε όχι σε VLAN.

Κατά την εγκατάσταση θα σας ζητηθεί να ορίσετε τον κωδικό πρόσβασης root — κάντε τον μακρύ και μοναδικό και αποθηκεύστε τον σε έναν διαχειριστή κωδικών πρόσβασης. Μέχρι να ορίσετε το δικό σας, ένα νέο OPNsense εξακολουθεί να απαντά στον γνωστό προεπιλεγμένο κωδικό πρόσβασης opnsense για τον λογαριασμό root, τον οποίο ο καθένας μπορεί να αναζητήσει. Η εγκατάσταση δεν ολοκληρώθηκε όσο αυτή η προεπιλογή είναι ακόμα ζωντανή.

Πρώτη σύνδεση και ο Οδηγός εγκατάστασης

Συνδέστε έναν φορητό υπολογιστή στη θύρα LAN. Θα πρέπει να λαμβάνει μια διεύθυνση αυτόματα, επειδή το OPNsense εκτελεί έναν διακομιστή DHCP στο LAN από προεπιλογή, διανέμοντας διευθύνσεις στην περιοχή 192.168.1.x. Ανοίξτε τη διεπαφή ιστού στο πρόγραμμα περιήγησης:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

Κατανοήστε τους προεπιλεγμένους κανόνες και, στη συνέχεια, προσθέστε τους δικούς σας

Προτού προσθέσετε δικούς σας κανόνες, κατανοήστε το σημείο εκκίνησης — εξαρχής, το OPNsense είναι ήδη ένα λογικό τείχος προστασίας. Ό,τι έρχεται από το Διαδίκτυο μπλοκάρεται, οι συσκευές στο LAN σας επιτρέπεται να βγαίνουν και ένας αυτόματος κανόνας κατά του κλειδώματος στο LAN διατηρεί ζωντανή την πρόσβασή σας στη διεπαφή ιστού ακόμα και αν κάνετε λάθος κανόνες. Οι κανόνες διαβάζονται από πάνω προς τα κάτω και ο πρώτος κανόνας που ταιριάζει κερδίζει. Επομένως, μην ξεκινήσετε προσθέτοντας κανόνες μπλοκ παντού. Παρακολουθήστε το ζωντανό αρχείο καταγραφής για μια μέρα (Τείχος προστασίας → Αρχεία καταγραφής → Ζωντανή προβολή), μάθετε πώς είναι η κανονική κίνηση στο δίκτυό σας και μόνο στη συνέχεια προσθέστε κανόνες — έναν κάθε φορά, ο καθένας με συγκεκριμένο σκοπό.

Ρύθμιση DHCP και DNS

Με το τείχος προστασίας ανοιχτό, ολοκληρώστε τα βασικά της καθημερινότητας. Το ενσωματωμένο πρόγραμμα επίλυσης DNS του OPNsense (Χωρίς δέσμευση) είναι ενεργοποιημένο από προεπιλογή και είναι ό,τι χρειάζονται τα περισσότερα δίκτυα — οι συσκευές σας χρησιμοποιούν ήδη το τείχος προστασίας ως διακομιστή DNS. Αυτό που προσθέτετε με το χέρι είναι βεβαιότητα για τις συσκευές που δεν πρέπει ποτέ να μετακινούνται: οι εκτυπωτές, ένα NAS και οι κάμερες λαμβάνουν στατικές αντιστοιχίσεις DHCP, έτσι ώστε καθένας να λαμβάνει πάντα την ίδια διεύθυνση (σε πρόσφατες εκδόσεις στις Υπηρεσίες → DHCP — Kea DHCP, ISC DHCP σε παλαιότερες). Οι στατικές αντιστοιχίσεις σάς επιτρέπουν επίσης να δίνετε τοπικά ονόματα στις συσκευές σας, ώστε να μπορείτε να τις προσεγγίζετε ονομαστικά αντί να απομνημονεύετε αριθμούς.

Απομακρυσμένη πρόσβαση με ασφαλή τρόπο — Μόνο VPN

Αργά ή γρήγορα θα θέλετε να ελέγξετε το τείχος προστασίας από έξω. Κάντε το με τον ασφαλή τρόπο: η διεπαφή ιστού και το SSH είναι τα κλειδιά για ολόκληρο το δίκτυο, επομένως δεν ανοίγονται ποτέ απευθείας στο διαδίκτυο. Η ασφαλής διαδρομή είναι ένα VPN — συνδεθείτε στο δίκτυό σας με ένα VPN πρώτα και μετά ανοίξτε τη διεπαφή ιστού ακριβώς σαν να καθόσαστε στο σπίτι. Ένας ισχυρός κωδικός πρόσβασης από μόνος του δεν είναι υποκατάστατο: μια σελίδα διαχειριστή που εκτίθεται στο διαδίκτυο εντοπίζεται από σαρωτές μέσα σε λίγες ώρες και δέχεται επίθεση όλο το εικοσιτετράωρο.

Ενημερώστε, δημιουργήστε αντίγραφα ασφαλείας της διαμόρφωσης και βγείτε ζωντανά

Δύο συνήθειες ολοκληρώνουν τη ρύθμιση. Πρώτον, ενημερώσεις: μια νέα εγκατάσταση δεν είναι ποτέ πλήρως ενημερωμένη και ένα τείχος προστασίας είναι ακριβώς η συσκευή που δεν πρέπει να εκτελεί παλιό λογισμικό — μεταβείτε στο Σύστημα → Υλικολογισμικό και εκτελέστε τις ενημερώσεις. Δεύτερον, το αντίγραφο ασφαλείας της διαμόρφωσης: κατεβάστε το από το Σύστημα → Διαμόρφωση → Αντίγραφα ασφαλείας και κρατήστε το αρχείο εκτός συσκευασίας. Αυτό το μικρό αρχείο δημιουργεί ξανά ολόκληρη την εγκατάσταση σε λίγα λεπτά, εάν το υλικό πεθάνει, οπότε δημιουργήστε ξανά αντίγραφα ασφαλείας μετά από κάθε ουσιαστική αλλαγή, όχι μόνο μία φορά. Και αν ποτέ κλειδωθείτε έξω από τη διεπαφή Ιστού με ένα λάθος ρυθμίσεων, η φυσική κονσόλα είναι το δίχτυ ασφαλείας — οθόνη και πληκτρολόγιο στο κουτί, συνδεθείτε ως root και διορθώστε τις διευθύνσεις διεπαφής ή επαναφέρετε τον κωδικό πρόσβασης από το μενού της κονσόλας. Ποτέ μην πανικοβληθείτε-επαναεγκαταστήστε. η κονσόλα διορθώνει σχεδόν τα πάντα.