راه اندازی فایروال OPNsense

سخت افزار را انتخاب کنید — حداقل دو پورت شبکه

OPNsense یک فایروال و پلتفرم مسیریابی است که بر روی FreeBSD ساخته شده است. شما آن را روی سخت افزار خود نصب می کنید - یک کامپیوتر یدکی، یک کامپیوتر کوچک یا یک دستگاه کوچک - و بین مودم و شبکه شما قرار می گیرد و تصمیم می گیرد که چه ترافیکی ممکن است عبور کند. سخت افزار باید یک رایانه شخصی 64 بیتی با حداقل دو پورت شبکه باشد: یکی تبدیل به WAN (سمت اینترنت) و دیگری LAN (شبکه شما) می شود. راهنمای رسمی تقریباً 2 گیگابایت رم به عنوان حداقل، 4 گیگابایت یا بیشتر برای استفاده راحت است و یک SSD 40 گیگابایتی یا بیشتر برای اکثر خانه ها و دفاتر کوچک کافی است. کارت‌های شبکه اینتل به شدت ترجیح داده می‌شوند زیرا درایورهای FreeBSD آن‌ها قابل اطمینان‌ترین هستند – پورت‌های ارزان Realtek تنها شایع‌ترین علت افت شبکه عجیب هستند. مینی رایانه‌های شخصی بدون فن با دو درگاه اینتل انتخاب طولانی‌مدت محبوبی هستند: بی‌صدا و کم مصرف.

تصویر رسمی را دانلود کنید و چک‌سوم را تأیید کنید

به صفحه دانلود رسمی OPNsense در opnsense.org بروید و آینه ای را در نزدیکی خود انتخاب کنید. برای نصب یک رایانه معمولی از یک درایو قلم، تصویر amd64 VGA برای USB را انتخاب کنید — نام فایل به -vga.img.bz2 ختم می شود. VGA یعنی روی یک مانیتور معمولی نمایش داده می شود. تصویر سریال برای وسایل هدلس با کابل کنسول است و DVD ISO برای ماشین های مجازی و رسانه های نوری است. فایل فشرده شده است، بنابراین ابتدا آن را استخراج کنید (7-Zip فرمت bz2. را مدیریت می کند). سپس بارگیری را تأیید کنید: چک‌سوم SHA-256 در کنار تصویر در صفحه دانلود منتشر می‌شود — قبل از نوشتن هر چیزی، آن را با چک‌سوم فایل دانلود شده خود مقایسه کنید. یک جمع کنترل منطبق ثابت می کند که فایل کامل و دستکاری نشده رسیده است.

تصویر را در یک USB Stick بنویسید

تصویر استخراج شده را با یک تصویرنویس خام مانند balenaEtcher یا Rufus در حالت DD در یک درایو قلم بنویسید. این یک کپی فایل نیست - استیک به یک نصب کننده FreeBSD قابل بوت تبدیل می شود و همه چیزهایی که قبلاً روی آن وجود دارد از بین می رود، بنابراین از چوبی استفاده کنید که برایتان مهم نیست. 4 گیگابایت یا بیشتر کافی است. سپس کابل‌ها را قبل از راه‌اندازی وصل کنید: مودم را به درگاهی که به‌عنوان WAN در نظر دارید و یک لپ‌تاپ یا سوئیچ را به درگاهی که به‌عنوان LAN در نظر دارید، وصل کنید. استیک را وارد کرده و رایانه شخصی را از USB بوت کنید - معمولاً یک کلید منوی بوت مانند F8، F11 یا F12 هنگام روشن شدن. بر اساس تابلو متفاوت است.

OPNsense را نصب کنید و یک رمز عبور قوی برای ریشه تنظیم کنید

سیستم زنده در یک درخواست ورود به سیستم بوت می شود. با نام کاربری نصب کننده و رمز عبور opnsense وارد شوید و نصب کننده شروع می شود. نقشه کلید را بپذیرید، Install را انتخاب کنید، دیسک مورد نظر را انتخاب کنید - آن را دوباره بررسی کنید - پیش فرض سیستم فایلی را که نصب کننده ارائه می دهد بپذیرید، و اجازه دهید سیستم را کپی کند. وقتی کار تمام شد، راه اندازی مجدد و USB stick را بردارید. در اولین راه‌اندازی، کنسول ممکن است از شما بخواهد که رابط‌هایی را اختصاص دهید: انتخاب کنید کدام پورت فیزیکی LAN و کدام یک WAN است، و برای یک راه‌اندازی معمولی تک شبکه‌ای به VLAN ها پاسخ منفی دهید.

در حین نصب از شما خواسته می شود رمز عبور ریشه را تنظیم کنید — آن را طولانی و منحصر به فرد کنید و در یک مدیر رمز عبور ذخیره کنید. تا زمانی که خودتان را تنظیم نکنید، یک OPNsense جدید همچنان به رمز عبور پیش‌فرض شناخته شده opnsense برای حساب ریشه پاسخ می‌دهد، که هر کسی می‌تواند آن را جستجو کند. تا زمانی که آن پیش فرض هنوز فعال است، نصب تمام نشده است.

اولین ورود و جادوگر راه اندازی

لپ تاپ را به پورت LAN وصل کنید. باید یک آدرس را به صورت خودکار دریافت کند، زیرا OPNsense به طور پیش‌فرض یک سرور DHCP را روی LAN اجرا می‌کند و آدرس‌هایی را در محدوده 192.168.1.x ارائه می‌کند. رابط وب را در مرورگر باز کنید:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

قوانین پیش فرض را درک کنید، سپس قوانین خود را اضافه کنید

قبل از اضافه کردن قوانین خودتان، نقطه شروع را درک کنید - OPNsense در حال حاضر یک فایروال معقول است. همه چیزهایی که از اینترنت وارد می‌شوند مسدود می‌شوند، دستگاه‌های موجود در LAN شما مجاز به خروج هستند، و قانون ضد قفل خودکار در LAN دسترسی شما را به رابط وب زنده نگه می‌دارد، حتی اگر در قوانین اشتباهی مرتکب شوید. قوانین از بالا به پایین خوانده می شوند و اولین قانون مطابق برنده می شود. بنابراین با اضافه کردن قوانین بلوک در همه جا شروع نکنید. گزارش زنده را برای یک روز تماشا کنید (دیوار آتش ← فایل‌های گزارش ← مشاهده زنده)، بیاموزید که ترافیک عادی در شبکه شما چگونه به نظر می‌رسد، و تنها پس از آن قوانینی را اضافه کنید — هر بار، هرکدام با هدف خاصی.

DHCP و DNS را تنظیم کنید

با فایروال بالا، اصول روزمره را تمام کنید. حل‌کننده DNS داخلی OPNsense (Unbound) به‌طور پیش‌فرض فعال است و تمام شبکه‌ها به آن نیاز دارند - دستگاه‌های شما قبلاً از فایروال به عنوان سرور DNS خود استفاده می‌کنند. چیزی که با دست اضافه می‌کنید مطمئنی برای دستگاه‌هایی است که هرگز نباید حرکت کنند: چاپگرها، NAS و دوربین‌ها نقشه‌های DHCP استاتیک دریافت می‌کنند، بنابراین هر کدام همیشه آدرس یکسانی را دریافت می‌کنند (در نسخه‌های اخیر تحت سرویس‌ها → DHCP — Kea DHCP؛ ISC DHCP در نسخه‌های قدیمی‌تر). نگاشت استاتیک همچنین به شما امکان می دهد نام های محلی را به دستگاه های خود بدهید تا بتوانید به جای حفظ اعداد، با نام به آنها دسترسی پیدا کنید.

دسترسی از راه دور به روش ایمن — فقط VPN

دیر یا زود می خواهید فایروال را از خارج بررسی کنید. این کار را به روش ایمن انجام دهید: رابط وب و SSH کلیدهای کل شبکه هستند، بنابراین هرگز مستقیماً به اینترنت باز نمی شوند. مسیر امن یک VPN است – ابتدا با یک VPN به شبکه خود متصل شوید، سپس رابط وب را دقیقاً مانند اینکه در خانه نشسته اید باز کنید. یک رمز عبور قوی به تنهایی جایگزین آن نیست: یک صفحه مدیریتی که در معرض اینترنت قرار می گیرد ظرف چند ساعت توسط اسکنرها پیدا می شود و شبانه روز مورد حمله قرار می گیرد.

به روز رسانی کنید، از پیکربندی نسخه پشتیبان تهیه کنید و به صورت زنده فعال شوید

دو عادت راه‌اندازی را تمام می‌کنند. اول، به‌روزرسانی‌ها: یک نصب تازه هرگز کاملاً جاری نیست، و فایروال دقیقاً دستگاهی است که نباید نرم‌افزار قدیمی را اجرا کند - به System → Firmware بروید و به‌روزرسانی‌ها را اجرا کنید. دوم، نسخه پشتیبان پیکربندی: آن را از System → Configuration → Backups دانلود کنید و فایل را خارج از جعبه نگه دارید. اگر سخت‌افزار از بین برود، آن یک فایل کوچک، کل تنظیمات شما را در چند دقیقه بازسازی می‌کند، بنابراین پس از هر تغییر معنی‌دار، نه فقط یک بار، دوباره از آن نسخه پشتیبان تهیه کنید. و اگر با اشتباه تنظیمات خود را از رابط وب خارج کنید، کنسول فیزیکی شبکه ایمنی است - مانیتور و صفحه کلید روی جعبه، به عنوان root وارد شوید، و آدرس های رابط را تعمیر کنید یا رمز عبور را از منوی کنسول بازنشانی کنید. هرگز نگران نباشید، دوباره نصب کنید. کنسول تقریباً همه چیز را برطرف می کند.