OPNsense Firewall Setup

Piliin ang Hardware — Dalawang Network Port Minimum

Ang OPNsense ay isang firewall at routing platform na binuo sa FreeBSD. I-install mo ito sa iyong sariling hardware — isang ekstrang PC, isang mini PC o isang maliit na appliance — at ito ay nasa pagitan ng iyong modem at ng iyong network, na nagpapasya kung anong trapiko ang maaaring dumaan. Ang hardware ay dapat na isang 64-bit na PC na may hindi bababa sa dalawang network port: ang isa ay nagiging WAN (internet side), ang isa ay LAN (iyong network). Ang opisyal na gabay ay humigit-kumulang 2 GB ng RAM bilang pinakamababa, 4 GB o higit pa para sa kumportableng paggamit, at isang SSD na 40 GB o higit pa ay marami para sa karamihan ng mga tahanan at maliliit na opisina. Mas pinipili ang mga Intel network card dahil ang kanilang mga FreeBSD driver ang pinaka-maaasahan — ang mga murang Realtek port ay ang pinakakaraniwang dahilan ng kakaibang pagbaba ng network. Ang mga mini PC na walang fan na may dalawahang Intel port ay ang sikat na pangmatagalang pagpipilian: tahimik at mahina ang kuryente.

I-download ang Opisyal na Larawan at I-verify ang Checksum

Pumunta sa opisyal na pahina ng pag-download ng OPNsense sa opnsense.org at pumili ng salamin na malapit sa iyo. Para sa isang normal na pag-install ng PC mula sa isang pen drive, piliin ang amd64 VGA image para sa USB — ang pangalan ng file ay nagtatapos sa -vga.img.bz2. Ang ibig sabihin ng VGA ay ipinapakita ito sa isang ordinaryong monitor; ang serial image ay para sa mga appliances na walang ulo na may console cable, at ang DVD ISO ay para sa mga virtual machine at optical media. Ang file ay naka-compress, kaya i-extract muna ito (7-Zip ang humahawak sa .bz2 na format). Pagkatapos ay i-verify ang pag-download: ang SHA-256 checksum ay nai-publish sa tabi ng larawan sa pahina ng pag-download — ihambing ito sa checksum ng iyong na-download na file bago magsulat ng anuman. Ang isang katugmang checksum ay nagpapatunay na ang file ay dumating na kumpleto at hindi nabago.

Isulat ang Larawan sa isang USB Stick

Isulat ang na-extract na larawan sa isang pen drive na may isang raw image writer gaya ng balenaEtcher, o Rufus sa DD mode. Ito ay hindi isang kopya ng file — ang stick ay nagiging isang bootable na FreeBSD installer, at lahat ng nakalagay dito ay nawasak, kaya gumamit ng isang stick na hindi mo pinapahalagahan; 4 GB o mas malaki ay sapat na. Pagkatapos ay ikonekta ang mga cable bago ka mag-boot: ang modem sa port na nilayon mo bilang WAN, at isang laptop o lumipat sa port na nilayon mo bilang LAN. Ipasok ang stick at i-boot ang PC mula sa USB — karaniwang isang boot-menu key tulad ng F8, F11 o F12 sa power-on; nag-iiba ito ayon sa board.

I-install ang OPNsense at Magtakda ng Strong Root Password

Nagbo-boot ang live system sa isang prompt sa pag-login ng console. Mag-log in gamit ang user name na installer at ang password na opnsense, at magsisimula ang installer. Tanggapin ang keymap, piliin ang I-install, piliin ang target na disk — i-double check ito — tanggapin ang default ng filesystem na inaalok ng installer, at hayaan itong kopyahin ang system. Kapag natapos na ito, i-reboot at alisin ang USB stick. Sa unang boot, maaaring hilingin sa iyo ng console na magtalaga ng mga interface: piliin kung aling pisikal na port ang LAN at alin ang WAN, at para sa isang normal na pag-setup ng solong network, sagutin ang hindi sa mga VLAN.

Sa panahon ng pag-install, hihilingin sa iyong itakda ang root password — gawin itong mahaba at natatangi, at iimbak ito sa isang password manager. Hanggang sa itakda mo ang sarili mo, isang bagong OPNsense ang sumasagot sa kilalang default na password na opnsense para sa root account, na maaaring hanapin ng sinuman. Ang pag-install ay hindi tapos habang ang default na iyon ay live pa.

Unang Pag-login at ang Setup Wizard

Ikonekta ang isang laptop sa LAN port. Dapat itong awtomatikong makatanggap ng isang address, dahil ang OPNsense ay nagpapatakbo ng isang DHCP server sa LAN bilang default, na namimigay ng mga address sa hanay na 192.168.1.x. Buksan ang web interface sa browser:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

Unawain ang Mga Default na Panuntunan, Pagkatapos ay Idagdag ang Iyong Sariling

Bago magdagdag ng sarili mong mga panuntunan, unawain ang panimulang punto — sa labas ng kahon, ang OPNsense ay isa nang matinong firewall. Ang lahat ng pumapasok mula sa internet ay naka-block, ang mga device sa iyong LAN ay pinapayagang lumabas, at isang awtomatikong anti-lockout na panuntunan sa LAN ang nagpapanatili sa iyong access sa web interface kahit na nagkamali ka ng mga panuntunan. Ang mga panuntunan ay binabasa mula sa itaas hanggang sa ibaba, at ang unang tumutugmang panuntunan ang mananalo. Kaya huwag magsimula sa pamamagitan ng pagdaragdag ng mga panuntunan sa pag-block sa lahat ng dako. Panoorin ang live na log para sa isang araw (Firewall → Log Files → Live View), alamin kung ano ang hitsura ng normal na trapiko sa iyong network, at pagkatapos lamang magdagdag ng mga panuntunan — isa-isa, bawat isa ay may partikular na layunin.

I-set Up ang DHCP at DNS

Kapag nakataas ang firewall, tapusin ang pang-araw-araw na mga pangunahing kaalaman. Ang built-in na DNS resolver (Unbound) ng OPNsense ay pinagana bilang default at ito lang ang kailangan ng karamihan sa mga network — ginagamit na ng iyong mga device ang firewall bilang kanilang DNS server. Ang idinaragdag mo sa pamamagitan ng kamay ay katiyakan para sa mga device na hindi kailanman dapat gumalaw: ang mga printer, isang NAS, at mga camera ay nakakakuha ng static na DHCP mappings, kaya ang bawat isa ay palaging tumatanggap ng parehong address (sa mga kamakailang bersyon sa ilalim ng Mga Serbisyo → DHCP — Kea DHCP; ISC DHCP sa mga mas luma). Hinahayaan ka rin ng mga static na pagmamapa na magbigay ng mga lokal na pangalan sa iyong mga device, para maabot mo ang mga ito sa pamamagitan ng pangalan sa halip na mag-memorize ng mga numero.

Remote Access the Safe Way — VPN Only

Maaga o huli, gugustuhin mong suriin ang firewall mula sa labas. Gawin ito sa ligtas na paraan: ang web interface at SSH ay ang mga susi sa buong network, kaya hindi sila nabubuksan nang direkta sa internet. Ang ligtas na ruta ay isang VPN — kumonekta muna sa iyong network gamit ang isang VPN, pagkatapos ay buksan ang web interface nang eksakto na parang nakaupo ka sa bahay. Ang isang malakas na password lamang ay hindi isang kapalit: isang admin page na nakalantad sa internet ay matatagpuan ng mga scanner sa loob ng ilang oras at inaatake sa buong orasan.

I-update, I-back Up ang Configuration at Mag-live

Dalawang gawi ang tapusin ang setup. Una, ang mga update: ang isang bagong pag-install ay hindi kailanman ganap na kasalukuyang, at ang isang firewall ay eksaktong aparato na hindi dapat magpatakbo ng lumang software — pumunta sa System → Firmware at patakbuhin ang mga update. Pangalawa, ang configuration backup: i-download ito mula sa System → Configuration → Backups at panatilihin ang file sa labas ng kahon. Ang isang maliit na file na iyon ay muling buuin ang iyong buong setup sa loob ng ilang minuto kung sakaling mamatay ang hardware, kaya i-back up muli pagkatapos ng bawat makabuluhang pagbabago, hindi lamang isang beses. At kung sakaling i-lock mo ang iyong sarili sa labas ng web interface nang may pagkakamali sa mga setting, ang pisikal na console ay ang safety net — monitor at keyboard sa kahon, mag-log in bilang root, at ayusin ang mga address ng interface o i-reset ang password mula sa console menu. Huwag kailanman panic-reinstall; inaayos ng console ang halos lahat.