הגדרת חומת האש של OPNsense

בחר את החומרה - שתי יציאות רשת מינימום

OPNsense היא חומת אש ופלטפורמת ניתוב הבנויה על FreeBSD. אתה מתקין אותו על החומרה שלך - מחשב פנוי, מיני PC או מכשיר קטן - והוא יושב בין המודם שלך לרשת שלך, ומחליט איזו תעבורה עשויה לעבור. החומרה חייבת להיות מחשב 64 סיביות עם לפחות שתי יציאות רשת: האחת הופכת ל-WAN (צד האינטרנט), השנייה ל-LAN (הרשת שלך). ההנחיה הרשמית היא בערך 2 GB של זיכרון RAM לפחות, 4 GB או יותר לשימוש נוח, ו-SSD של 40 GB או יותר הוא מספיק עבור רוב הבתים והמשרדים הקטנים. כרטיסי רשת של אינטל מועדפים מאוד מכיוון שמנהלי ההתקן של FreeBSD שלהם הם האמינים ביותר - יציאות Realtek זולות הן הסיבה השכיחה ביותר לנפילות מוזרות ברשת. מחשבי מיני נטולי מאווררים עם יציאות אינטל כפולות הם הבחירה הפופולרית לטווח ארוך: שקטים ובעלי צריכת חשמל נמוכה.

הורד את התמונה הרשמית ואמת את סכום הבדיקה

עבור לדף ההורדה הרשמי של OPNsense בכתובת opnsense.org ובחר מראה קרוב אליך. עבור התקנת מחשב רגילה מכונן עט, בחר את amd64 VGA תמונת USB - שם הקובץ מסתיים ב--vga.img.bz2. VGA אומר שהוא מוצג על צג רגיל; התמונה הסדרתית מיועדת למכשירים ללא ראש עם כבל מסוף, וה-DVD ISO מיועד למכונות וירטואליות ומדיה אופטית. הקובץ דחוס, אז חלץ אותו תחילה (7-Zip מטפל בפורמט .bz2). לאחר מכן אמת את ההורדה: סכום הבדיקה של SHA-256 מתפרסם ליד התמונה בדף ההורדה - השווה אותו עם סכום הבדיקה של הקובץ שהורדת לפני כתיבת דבר. סכום בדיקה תואם מוכיח שהקובץ הגיע שלם וללא פגיעה.

כתוב את התמונה למקל USB

כתוב את התמונה שחולצה לכונן עט עם כותב תמונה גולמית כגון balenaEtcher, או Rufus במצב DD. זה לא עותק של קובץ - המקל הופך למתקין FreeBSD שניתן לאתחול, וכל מה שכבר נמצא בו נהרס, אז השתמש במקל שלא אכפת לך ממנו; 4 GB או יותר זה מספיק. לאחר מכן חבר את הכבלים לפני האתחול: המודם ליציאה שאתה מתכוון אליו כ-WAN, ומחשב נייד או מעבר ליציאה שאתה מתכוון כ-LAN. הכנס את המקל ואתחל את המחשב מ-USB - בדרך כלל מקש תפריט אתחול כמו F8, F11 או F12 בעת הפעלה; זה משתנה לפי לוח.

התקן OPNsense והגדר סיסמת בסיס חזקה

המערכת החיה מאתחלת לבקשת התחברות למסוף. התחבר עם שם המשתמש מתקין והסיסמה opnsense, והמתקין מתחיל. קבל את מפת המקשים, בחר התקן, בחר את דיסק היעד - סמן אותו פעמיים - קבל את ברירת המחדל של מערכת הקבצים שהמתקין מציע, ואפשר לה להעתיק את המערכת. בסיום, הפעל מחדש והסר את מקל ה-USB. באתחול הראשון, הקונסולה עשויה לבקש ממך להקצות ממשקים: בחר איזו יציאה פיזית היא LAN ואיזו היא WAN, ועבור הגדרה רגילה של רשת אחת תענה לא לרשתות VLAN.

במהלך ההתקנה אתה מתבקש להגדיר את סיסמת הבסיס - להפוך אותה לארוכה וייחודית, ולאחסן אותה במנהל סיסמאות. עד שתגדיר משלך, OPNsense חדש עדיין עונה לסיסמת ברירת המחדל הידועה opnsense עבור חשבון השורש, שכל אחד יכול לחפש. ההתקנה לא הסתיימה כל עוד ברירת המחדל עדיין פעילה.

כניסה ראשונה ואשף ההתקנה

חבר מחשב נייד ליציאת ה-LAN. הוא אמור לקבל כתובת אוטומטית, מכיוון ש-OPNsense מפעיל שרת DHCP ברשת ה-LAN כברירת מחדל, ומחלק כתובות בטווח 192.168.1.x. פתח את ממשק האינטרנט בדפדפן:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

הבן את כללי ברירת המחדל, ולאחר מכן הוסף משלך

לפני הוספת כללים משלך, הבן את נקודת ההתחלה - מחוץ לקופסה, OPNsense היא כבר חומת אש הגיונית. כל מה שנכנס מהאינטרנט נחסם, התקנים ברשת ה-LAN שלך מורשים לצאת, וכלל אוטומטי למניעת נעילה ברשת ה-LAN שומר על הגישה שלך לממשק האינטרנט בחיים גם אם אתה עושה טעות כללים. כללים נקראים מלמעלה למטה, והכלל התואם הראשון מנצח. אז אל תתחיל בהוספת חוקי חסימה בכל מקום. צפה ביומן החי למשך יום (חומת אש ← קבצי יומן ← תצוגה חיה), למד כיצד נראית תעבורה רגילה ברשת שלך, ורק לאחר מכן הוסף כללים - אחד בכל פעם, כל אחד עם מטרה מסוימת.

הגדר DHCP ו-DNS

כאשר חומת האש מופעלת, סיים את היסודות היומיומיים. פותר ה-DNS המובנה של OPNsense (לא קשור) מופעל כברירת מחדל והוא כל מה שרוב הרשתות זקוקות לו - המכשירים שלך כבר משתמשים בחומת האש כשרת ה-DNS שלהם. מה שאתה מוסיף ביד הוא ודאות עבור המכשירים שאסור לזוז לעולם: מדפסות, NAS ומצלמות מקבלים מיפוי DHCP סטטי, כך שכל אחד מקבל תמיד את אותה כתובת (בגרסאות האחרונות תחת שירותים → DHCP — Kea DHCP; ISC DHCP באלה הישנות יותר). מיפוי סטטי גם מאפשר לך לתת שמות מקומיים למכשירים שלך, כך שתוכל להגיע אליהם לפי שם במקום לשנן מספרים.

גישה מרחוק בדרך הבטוחה - VPN בלבד

במוקדם או במאוחר תרצה לבדוק את חומת האש מבחוץ. עשה זאת בדרך הבטוחה: ממשק האינטרנט וה-SSH הם המפתחות לכל הרשת, כך שהם לעולם לא נפתחים ישירות לאינטרנט. המסלול הבטוח הוא VPN - התחבר לרשת שלך עם VPN תחילה, ואז פתח את ממשק האינטרנט בדיוק כאילו אתה יושב בבית. סיסמה חזקה לבדה אינה תחליף: דף ניהול שנחשף לאינטרנט נמצא על ידי סורקים תוך שעות ומותקף מסביב לשעון.

עדכן, גבה את התצורה ועבור לאוויר

שני הרגלים מסיימים את ההגדרה. ראשית, עדכונים: התקנה חדשה לעולם אינה עדכנית במלואה, וחומת אש היא בדיוק המכשיר שאסור להפעיל תוכנה ישנה - עבור אל מערכת → קושחה והפעל את העדכונים. שנית, גיבוי התצורה: הורד אותו ממערכת → תצורה → גיבויים והשאר את הקובץ מחוץ לקופסה. הקובץ הקטן הזה בונה מחדש את כל ההגדרה שלך תוך דקות אם החומרה מתה אי פעם, אז גבה שוב אחרי כל שינוי משמעותי, לא רק פעם אחת. ואם אי פעם נעלתם את עצמכם מחוץ לממשק האינטרנט עם טעות בהגדרות, הקונסולה הפיזית היא רשת הביטחון - צג ומקלדת על הקופסה, התחבר כ-root ותקן את כתובות הממשק או אפס את הסיסמה מתפריט המסוף. לעולם אל תתקין מחדש בפאניקה; המסוף מתקן כמעט הכל.