ओपीएनसेंस फ़ायरवॉल सेटअप

हार्डवेयर चुनें - न्यूनतम दो नेटवर्क पोर्ट

OPNsense FreeBSD पर निर्मित एक फ़ायरवॉल और राउटिंग प्लेटफ़ॉर्म है। आप इसे अपने स्वयं के हार्डवेयर पर स्थापित करते हैं - एक अतिरिक्त पीसी, एक मिनी पीसी या एक छोटा उपकरण - और यह आपके मॉडेम और आपके नेटवर्क के बीच बैठता है, यह तय करता है कि कौन सा ट्रैफ़िक गुजर सकता है। हार्डवेयर एक 64-बिट पीसी होना चाहिए जिसमें कम से कम दो नेटवर्क पोर्ट हों: एक WAN (इंटरनेट साइड) और दूसरा LAN (आपका नेटवर्क)। आधिकारिक मार्गदर्शन लगभग न्यूनतम 2 जीबी रैम, आरामदायक उपयोग के लिए 4 जीबी या अधिक है, और 40 जीबी या अधिक का एसएसडी अधिकांश घरों और छोटे कार्यालयों के लिए काफी है। इंटेल नेटवर्क कार्ड को दृढ़ता से पसंद किया जाता है क्योंकि उनके फ्रीबीएसडी ड्राइवर सबसे विश्वसनीय हैं - सस्ते रियलटेक पोर्ट अजीब नेटवर्क ड्रॉप्स का सबसे आम कारण हैं। डुअल इंटेल पोर्ट वाले फैनलेस मिनी पीसी लोकप्रिय दीर्घकालिक विकल्प हैं: साइलेंट और कम पावर वाले।

आधिकारिक छवि डाउनलोड करें और चेकसम सत्यापित करें

आधिकारिक OPNsense डाउनलोड पृष्ठ opnsense.org पर जाएं और अपने पास एक दर्पण चुनें। पेन ड्राइव से सामान्य पीसी इंस्टॉल के लिए, USB के लिए amd64 VGA छवि चुनें - फ़ाइल नाम -vga.img.bz2 पर समाप्त होता है। वीजीए का मतलब है कि यह एक साधारण मॉनिटर पर प्रदर्शित होता है; सीरियल छवि कंसोल केबल वाले हेडलेस उपकरणों के लिए है, और डीवीडी आईएसओ वर्चुअल मशीन और ऑप्टिकल मीडिया के लिए है। फ़ाइल संपीड़ित है, इसलिए पहले इसे निकालें (7-ज़िप .bz2 प्रारूप को संभालता है)। फिर डाउनलोड को सत्यापित करें: SHA-256 चेकसम डाउनलोड पृष्ठ पर छवि के बगल में प्रकाशित होता है - कुछ भी लिखने से पहले अपनी डाउनलोड की गई फ़ाइल के चेकसम से इसकी तुलना करें। एक मिलान चेकसम साबित करता है कि फ़ाइल पूर्ण और छेड़छाड़ रहित आई है।

छवि को USB स्टिक पर लिखें

निकाले गए चित्र को एक पेन ड्राइव में किसी रॉ इमेज राइटर जैसे balenaEtcher, या Rufus के साथ DD मोड में लिखें। यह एक फ़ाइल कॉपी नहीं है - स्टिक एक बूट करने योग्य फ्रीबीएसडी इंस्टॉलर बन जाती है, और उस पर पहले से मौजूद सभी चीजें नष्ट हो जाती हैं, इसलिए उस स्टिक का उपयोग करें जिसकी आपको परवाह नहीं है; 4 जीबी या इससे बड़ा पर्याप्त है. फिर बूट करने से पहले केबल कनेक्ट करें: मॉडेम को उस पोर्ट में डालें जिसे आप WAN के रूप में चाहते हैं, और एक लैपटॉप या स्विच को उस पोर्ट में डालें जिसे आप LAN के रूप में चाहते हैं। स्टिक डालें और यूएसबी से पीसी को बूट करें - आमतौर पर पावर-ऑन पर F8, F11 या F12 जैसी बूट-मेनू कुंजी; यह बोर्ड के अनुसार भिन्न होता है।

OPNsense इंस्टॉल करें और एक मजबूत रूट पासवर्ड सेट करें

लाइव सिस्टम कंसोल लॉगिन प्रॉम्प्ट पर बूट होता है। उपयोगकर्ता नाम <कोड>इंस्टॉलर और पासवर्ड <कोड>ओपनसेंस के साथ लॉग इन करें, और इंस्टॉलर शुरू हो जाता है। कीमैप स्वीकार करें, इंस्टॉल करें चुनें, लक्ष्य डिस्क चुनें - इसे दोबारा जांचें - इंस्टॉलर द्वारा प्रदान किए गए फ़ाइल सिस्टम डिफ़ॉल्ट को स्वीकार करें, और इसे सिस्टम की प्रतिलिपि बनाने दें। जब यह समाप्त हो जाए, तो रीबूट करें और यूएसबी स्टिक हटा दें। पहले बूट पर कंसोल आपसे इंटरफेस निर्दिष्ट करने के लिए कह सकता है: चुनें कि कौन सा भौतिक पोर्ट LAN है और कौन सा WAN है, और सामान्य एकल-नेटवर्क सेटअप के लिए VLAN का उत्तर 'नहीं' है।

इंस्टॉल के दौरान आपको रूट पासवर्ड सेट करने के लिए कहा जाता है - इसे लंबा और अद्वितीय बनाएं, और इसे पासवर्ड मैनेजर में संग्रहीत करें। जब तक आप अपना स्वयं का सेट नहीं करते, तब तक एक नया ओपीएनसेंस रूट खाते के लिए जाने-माने डिफ़ॉल्ट पासवर्ड <कोड>ओपनसेंस का उत्तर देता है, जिसे कोई भी देख सकता है। इंस्टालेशन समाप्त नहीं हुआ है जबकि वह डिफ़ॉल्ट अभी भी लाइव है।

पहले लॉगिन और सेटअप विज़ार्ड

लैपटॉप को LAN पोर्ट से कनेक्ट करें। इसे स्वचालित रूप से एक पता प्राप्त होना चाहिए, क्योंकि OPNsense डिफ़ॉल्ट रूप से LAN पर एक DHCP सर्वर चलाता है, जो 192.168.1.x रेंज में पते सौंपता है। ब्राउज़र में वेब इंटरफ़ेस खोलें:

डीएचसीपी और डीएनएस सेट करें

फ़ायरवॉल चालू होने पर, रोजमर्रा की बुनियादी चीज़ें ख़त्म करें। ओपीएनसेंस का अंतर्निहित डीएनएस रिज़ॉल्वर (अनबाउंड) डिफ़ॉल्ट रूप से सक्षम है और अधिकांश नेटवर्क को इसकी आवश्यकता होती है - आपके डिवाइस पहले से ही फ़ायरवॉल को अपने डीएनएस सर्वर के रूप में उपयोग करते हैं। आप हाथ से जो जोड़ते हैं वह उन उपकरणों के लिए निश्चितता है जिन्हें कभी हिलना नहीं चाहिए: प्रिंटर, एक एनएएस और कैमरे को स्थैतिक डीएचसीपी मैपिंग मिलती है, इसलिए प्रत्येक को हमेशा एक ही पता प्राप्त होता है (सेवाओं के तहत हाल के संस्करणों में → डीएचसीपी - केआ डीएचसीपी; पुराने संस्करणों में आईएससी डीएचसीपी)। स्टेटिक मैपिंग आपको अपने डिवाइस को स्थानीय नाम देने की सुविधा भी देती है, ताकि आप संख्याओं को याद रखने के बजाय नाम से उन तक पहुंच सकें।

सुरक्षित तरीके से रिमोट एक्सेस - केवल वीपीएन

देर-सबेर आप फ़ायरवॉल को बाहर से जांचना चाहेंगे। इसे सुरक्षित तरीके से करें: वेब इंटरफ़ेस और एसएसएच पूरे नेटवर्क की कुंजी हैं, इसलिए उन्हें कभी भी सीधे इंटरनेट पर नहीं खोला जाता है। सुरक्षित मार्ग एक वीपीएन है - पहले वीपीएन के साथ अपने नेटवर्क से जुड़ें, फिर वेब इंटरफ़ेस बिल्कुल वैसे खोलें जैसे कि आप घर पर बैठे हों। अकेले एक मजबूत पासवर्ड कोई विकल्प नहीं है: इंटरनेट के संपर्क में आने वाला एक व्यवस्थापक पृष्ठ स्कैनर द्वारा घंटों के भीतर ढूंढ लिया जाता है और चौबीसों घंटे उस पर हमला किया जाता है।

अपडेट करें, कॉन्फ़िगरेशन का बैकअप लें और लाइव हो जाएं

दो आदतें सेटअप को पूरा करती हैं। सबसे पहले, अपडेट: एक ताज़ा इंस्टॉल कभी भी पूरी तरह से चालू नहीं होता है, और फ़ायरवॉल बिल्कुल ऐसा उपकरण है जिस पर पुराना सॉफ़्टवेयर नहीं चलना चाहिए - सिस्टम → फ़र्मवेयर पर जाएँ और अपडेट चलाएँ। दूसरा, कॉन्फ़िगरेशन बैकअप: इसे सिस्टम → कॉन्फ़िगरेशन → बैकअप से डाउनलोड करें और फ़ाइल को बॉक्स से बाहर रखें। यदि हार्डवेयर कभी खराब हो जाता है तो वह एक छोटी फ़ाइल मिनटों में आपके पूरे सेटअप को फिर से बना देती है, इसलिए केवल एक बार नहीं, बल्कि प्रत्येक सार्थक परिवर्तन के बाद फिर से बैकअप लें। और यदि आप कभी भी सेटिंग्स की गलती से अपने आप को वेब इंटरफ़ेस से लॉक कर लेते हैं, तो भौतिक कंसोल सुरक्षा जाल है - बॉक्स पर मॉनिटर और कीबोर्ड, रूट के रूप में लॉग इन करें, और इंटरफ़ेस पते को ठीक करें या कंसोल मेनू से पासवर्ड रीसेट करें। कभी भी घबराएं नहीं- पुनः स्थापित करें; कंसोल लगभग सब कुछ ठीक कर देता है।