OPNsense-palomuurin asetukset

Valitse Laitteisto – Vähintään kaksi verkkoporttia

OPNsense on FreeBSD:lle rakennettu palomuuri- ja reititysalusta. Asennat sen omaan laitteistoosi – varatietokoneeseen, minitietokoneeseen tai pieneen laitteeseen – ja se on modeemin ja verkon välissä ja päättää, mitä liikennettä saa kulkea. Laitteiston on oltava 64-bittinen tietokone, jossa on vähintään kaksi verkkoporttia: toisesta tulee WAN (internet-puoli), toisesta LAN (verkkosi). Virallinen ohje on noin 2 Gt RAM-muistia vähintään, 4 Gt tai enemmän mukavaan käyttöön, ja 40 Gt tai enemmän SSD riittää useimpiin koteihin ja pieniin toimistoihin. Intelin verkkokortit ovat erittäin suositeltavia, koska niiden FreeBSD-ajurit ovat luotettavimpia – halvat Realtek-portit ovat yleisin yksittäinen syy oudoihin verkon katkeamisiin. Tuulettimettomat minitietokoneet, joissa on kaksi Intel-porttia, ovat suosittu pitkän aikavälin valinta: hiljaiset ja vähän virtaa käyttävät.

Lataa virallinen kuva ja vahvista tarkistussumma

Siirry viralliselle OPNsensen lataussivulle osoitteessa opnsense.org ja valitse peili lähelläsi. Jos haluat asentaa tietokoneen tavallisesta kynäasemasta, valitse amd64 VGA -kuva USB:lle – tiedostonimen lopussa on -vga.img.bz2. VGA tarkoittaa, että se näkyy tavallisessa näytössä; sarjakuva on tarkoitettu päättömille laitteille, joissa on konsolikaapeli, ja DVD-ISO on tarkoitettu virtuaalikoneita ja optisia tietovälineitä varten. Tiedosto on pakattu, joten pura se ensin (7-Zip käsittelee .bz2-muotoa). Tarkista sitten lataus: SHA-256-tarkistussumma julkaistaan ​​lataussivun kuvan vieressä – vertaa sitä ladatun tiedoston tarkistussummaan ennen kirjoittamista. Vastaava tarkistussumma todistaa, että tiedosto saapui täydellisenä ja vahingoittumattomana.

Kirjoita kuva USB-tikulle

Kirjoita purettu kuva kynäasemaan raakakuvankirjoittimella, kuten balenaEtcherillä tai Rufusilla DD-tilassa. Tämä ei ole tiedostokopio — tikusta tulee käynnistettävä FreeBSD-asentaja, ja kaikki siinä oleva tuhoutuu, joten käytä muistia, josta et välitä; 4 Gt tai suurempi riittää. Liitä sitten kaapelit ennen käynnistystä: modeemi porttiin, jonka aiot käyttää WAN-verkkona, ja kannettava tietokone tai kytkin porttiin, jonka aiot käyttää LAN-verkkoa. Aseta tikku ja käynnistä tietokone USB:stä – yleensä käynnistysvalikon näppäimellä, kuten F8, F11 tai F12, kun virta kytketään päälle; se vaihtelee levyittäin.

Asenna OPNsense ja aseta vahva pääsalasana

Elävä järjestelmä käynnistyy konsolin kirjautumiskehotteeseen. Kirjaudu sisään käyttäjätunnuksella installer ja salasanalla opnsense, ja asennusohjelma käynnistyy. Hyväksy näppäinkartta, valitse Asenna, valitse kohdelevy – tarkista se uudelleen – hyväksy asennusohjelman tarjoama tiedostojärjestelmän oletusarvo ja anna sen kopioida järjestelmä. Kun se on valmis, käynnistä uudelleen ja irrota USB-tikku. Ensimmäisellä käynnistyksellä konsoli saattaa pyytää sinua määrittämään liitännät: valitse mikä fyysinen portti on LAN ja mikä WAN, ja normaalissa yhden verkon asetuksissa vastaa VLAN-verkkoihin ei.

Asennuksen aikana sinua pyydetään asettamaan root-salasana – tee siitä pitkä ja ainutlaatuinen ja tallenna se salasanan hallintaan. Kunnes asetat oman, uusi OPNsense vastaa edelleen root-tilin tunnettuun oletussalasanaan opnsense, jonka kuka tahansa voi etsiä. Asennus ei ole valmis, kun oletusarvo on vielä voimassa.

Ensimmäinen kirjautuminen ja ohjattu asennustoiminto

Liitä kannettava tietokone LAN-porttiin. Sen pitäisi saada osoite automaattisesti, koska OPNsense käyttää DHCP-palvelinta lähiverkossa oletuksena ja jakaa osoitteita alueella 192.168.1.x. Avaa verkkokäyttöliittymä selaimessa:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

Ymmärrä oletussäännöt ja lisää sitten omasi

Ennen kuin lisäät omia sääntöjä, ymmärrä lähtökohta – OPNsense on jo valmiiksi järkevä palomuuri. Kaikki Internetistä tuleva on estetty, lähiverkon laitteet sallitaan ulos, ja lähiverkon automaattinen lukitussääntö pitää pääsysi verkkokäyttöliittymään hengissä, vaikka tekisit virheen säännöissä. Säännöt luetaan ylhäältä alas, ja ensimmäinen vastaava sääntö voittaa. Joten älä aloita lisäämällä estosääntöjä kaikkialle. Katso reaaliaikaista lokia päivän ajan (palomuuri → Lokitiedostot → Live View), opi, miltä verkossasi normaali liikenne näyttää, ja vasta sitten lisää sääntöjä – yksi kerrallaan, jokaisella on tietty tarkoitus.

Määritä DHCP ja DNS

Kun palomuuri on asennettu, suorita arjen perusasiat. OPNsensen sisäänrakennettu DNS-selvijä (unbound) on oletuksena käytössä, ja se on kaikki mitä useimmat verkot tarvitsevat – laitteesi käyttävät jo palomuuria DNS-palvelimena. Se, mitä lisäät käsin, on varmuus laitteille, jotka eivät saa koskaan liikkua: tulostimet, NAS ja kamerat saavat staattiset DHCP-kartoitukset, joten jokainen saa aina saman osoitteen (uusimmissa versioissa Palvelut → DHCP - Kea DHCP; ISC DHCP vanhemmissa). Staattisten kartoitusten avulla voit myös antaa laitteillesi paikallisia nimiä, jotta voit tavoittaa ne nimellä numeroiden ulkoamisen sijaan.

Turvallinen etäkäyttö – vain VPN

Ennemmin tai myöhemmin haluat tarkistaa palomuurin ulkopuolelta. Tee se turvallisesti: verkkokäyttöliittymä ja SSH ovat avaimet koko verkkoon, joten niitä ei koskaan avata suoraan Internetiin. Turvallinen reitti on VPN – yhdistä ensin verkkoosi VPN:n avulla ja avaa sitten verkkokäyttöliittymä aivan kuin istuisit kotona. Vahva salasana ei yksinään korvaa sitä: skannerit löytävät Internetissä olevan järjestelmänvalvojan sivun muutamassa tunnissa ja hyökkäävät siihen kellon ympäri.

Päivitä, varmuuskopioi määritykset ja aloita lähetys

Kaksi tapaa päättää asennuksen. Ensinnäkin päivitykset: uusi asennus ei ole koskaan täysin ajan tasalla, ja palomuuri on juuri se laite, joka ei saa käyttää vanhoja ohjelmistoja – valitse Järjestelmä → Laiteohjelmisto ja suorita päivitykset. Toiseksi, asetusten varmuuskopio: lataa se kohdasta Järjestelmä → Asetukset → Varmuuskopiot ja pidä tiedosto poissa laatikosta. Tämä yksi pieni tiedosto rakentaa koko asetuksesi uudelleen minuuteissa, jos laitteisto joskus kuolee, joten varmuuskopioi uudelleen jokaisen merkityksellisen muutoksen jälkeen, ei vain kerran. Ja jos joskus lukitset itsesi pois verkkokäyttöliittymästä asetusvirheen vuoksi, fyysinen konsoli on turvaverkko – näyttö ja näppäimistö laatikossa, kirjaudu sisään root-käyttäjänä ja korjaa käyttöliittymän osoitteet tai nollaa salasana konsolin valikosta. Älä koskaan panikoi - asenna uudelleen; konsoli korjaa melkein kaiken.