Pengaturan Firewall OPNsense

Pilih Perangkat Keras — Minimal Dua Port Jaringan

OPNsense adalah platform firewall dan perutean yang dibangun di FreeBSD. Anda menginstalnya pada perangkat keras Anda sendiri — PC cadangan, PC mini, atau peralatan kecil — dan perangkat tersebut berada di antara modem dan jaringan Anda, memutuskan lalu lintas apa yang mungkin lewat. Perangkat keras harus berupa PC 64-bit dengan setidaknya dua port jaringan: satu menjadi WAN (sisi internet), yang lain menjadi LAN (jaringan Anda). Panduan resminya adalah minimal RAM 2 GB, 4 GB atau lebih untuk kenyamanan penggunaan, dan SSD 40 GB atau lebih sudah cukup untuk sebagian besar rumah dan kantor kecil. Kartu jaringan Intel sangat disukai karena driver FreeBSD-nya yang paling andal — port Realtek yang murah adalah penyebab paling umum dari gangguan jaringan yang aneh. PC mini tanpa kipas dengan port Intel ganda adalah pilihan populer jangka panjang: senyap dan hemat daya.

Unduh Gambar Resmi dan Verifikasi Checksum

Buka halaman unduh resmi OPNsense di opnsense.org dan pilih mirror di dekat Anda. Untuk instalasi PC normal dari pen drive, pilih gambar VGA amd64 untuk USB — nama file diakhiri dengan -vga.img.bz2. VGA artinya ditampilkan pada monitor biasa; gambar serial untuk peralatan tanpa kepala dengan kabel konsol, dan DVD ISO untuk mesin virtual dan media optik. File dikompresi, jadi ekstrak terlebih dahulu (7-Zip menangani format .bz2). Kemudian verifikasi unduhannya: checksum SHA-256 diterbitkan di samping gambar pada halaman unduhan — bandingkan dengan checksum file yang Anda unduh sebelum menulis apa pun. Checksum yang cocok membuktikan bahwa file tiba dengan lengkap dan tidak diubah.

Tulis Gambar ke Stik USB

Tulis gambar yang diekstraksi ke pen drive dengan penulis gambar mentah seperti balenaEtcher, atau Rufus dalam mode DD. Ini bukan salinan file — stick menjadi installer FreeBSD yang dapat di-boot, dan semua yang ada di dalamnya akan dimusnahkan, jadi gunakan stick yang tidak Anda pedulikan; 4 GB atau lebih besar sudah cukup. Kemudian sambungkan kabel sebelum Anda boot: modem ke port yang Anda inginkan sebagai WAN, dan laptop atau switch ke port yang Anda inginkan sebagai LAN. Masukkan stik dan boot PC dari USB — biasanya tombol menu boot seperti F8, F11 atau F12 saat dihidupkan; itu bervariasi berdasarkan papan.

Instal OPNsense dan Tetapkan Kata Sandi Root yang Kuat

Sistem live melakukan booting ke perintah login konsol. Masuk dengan nama pengguna installer dan kata sandi opnsense, dan penginstal akan dimulai. Terima keymap, pilih Instal, pilih disk target — periksa ulang — terima default sistem file yang ditawarkan penginstal, dan biarkan sistem menyalin. Setelah selesai, reboot dan cabut stik USB. Pada boot pertama, konsol mungkin meminta Anda untuk menetapkan antarmuka: pilih port fisik mana yang merupakan LAN dan mana yang WAN, dan untuk penyiapan jaringan tunggal yang normal, jawablah tidak pada VLAN.

Selama instalasi, Anda diminta untuk menyetel kata sandi root — buatlah kata sandi yang panjang dan unik, lalu simpan di pengelola kata sandi. Sampai Anda mengatur sendiri, OPNsense baru masih menjawab kata sandi default yang terkenal opnsense untuk akun root, yang dapat dicari oleh siapa saja. Penginstalan belum selesai saat default tersebut masih aktif.

Login Pertama dan Wizard Penyiapan

Hubungkan laptop ke port LAN. Seharusnya menerima alamat secara otomatis, karena OPNsense menjalankan server DHCP di LAN secara default, membagikan alamat dalam rentang 192.168.1.x. Buka antarmuka web di browser:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

Siapkan DHCP dan DNS

Dengan firewall aktif, selesaikan hal-hal dasar sehari-hari. Penyelesai DNS bawaan OPNsense (Tidak Terikat) diaktifkan secara default dan merupakan semua yang dibutuhkan sebagian besar jaringan — perangkat Anda sudah menggunakan firewall sebagai server DNS-nya. Apa yang Anda tambahkan secara manual adalah kepastian untuk perangkat yang tidak boleh berpindah: printer, NAS, dan kamera mendapatkan pemetaan DHCP statis, sehingga masing-masing perangkat selalu menerima alamat yang sama (dalam versi terbaru di bawah Layanan → DHCP — Kea DHCP; ISC DHCP di versi lama). Pemetaan statis juga memungkinkan Anda memberi nama lokal pada perangkat, sehingga Anda dapat menjangkau perangkat tersebut berdasarkan nama, alih-alih mengingat nomor.

Akses Jarak Jauh dengan Cara Aman — Khusus VPN

Cepat atau lambat Anda pasti ingin memeriksa firewall dari luar. Lakukan dengan cara yang aman: antarmuka web dan SSH adalah kunci seluruh jaringan, sehingga tidak pernah dibuka ke internet secara langsung. Rute amannya adalah VPN — sambungkan ke jaringan Anda dengan VPN terlebih dahulu, lalu buka antarmuka web persis seperti saat Anda sedang duduk di rumah. Kata sandi yang kuat saja bukanlah pengganti: halaman admin yang terekspos ke internet ditemukan oleh pemindai dalam beberapa jam dan diserang sepanjang waktu.

Perbarui, Cadangkan Konfigurasi, dan Tayangkan

Dua kebiasaan menyelesaikan penyiapan. Pertama, pembaruan: instalasi baru tidak pernah sepenuhnya terkini, dan firewall adalah perangkat yang tidak boleh menjalankan perangkat lunak lama — buka Sistem → Firmware dan jalankan pembaruan. Kedua, cadangan konfigurasi: unduh dari Sistem → Konfigurasi → Cadangan dan simpan file di luar kotak. Satu file kecil itu membangun kembali seluruh pengaturan Anda dalam hitungan menit jika perangkat keras mati, jadi buatlah cadangan lagi setelah setiap perubahan yang berarti, tidak hanya sekali. Dan jika Anda pernah mengunci diri dari antarmuka web karena kesalahan pengaturan, konsol fisik adalah jaring pengamannya — monitor dan keyboard ada di dalam kotak, masuk sebagai root, dan perbaiki alamat antarmuka atau setel ulang kata sandi dari menu konsol. Jangan pernah panik menginstal ulang; konsol memperbaiki hampir semuanya.