OPNsense ഫയർവാൾ സജ്ജീകരണം

ഹാർഡ്‌വെയർ തിരഞ്ഞെടുക്കുക — കുറഞ്ഞത് രണ്ട് നെറ്റ്‌വർക്ക് പോർട്ടുകൾ

FreeBSD-യിൽ നിർമ്മിച്ച ഒരു ഫയർവാൾ, റൂട്ടിംഗ് പ്ലാറ്റ്‌ഫോമാണ് OPNsense. നിങ്ങളുടെ സ്വന്തം ഹാർഡ്‌വെയറിൽ - ഒരു സ്പെയർ പിസി, ഒരു മിനി പിസി അല്ലെങ്കിൽ ഒരു ചെറിയ ഉപകരണത്തിൽ - നിങ്ങൾ ഇത് ഇൻസ്റ്റാൾ ചെയ്യുക, അത് നിങ്ങളുടെ മോഡത്തിനും നെറ്റ്‌വർക്കിനുമിടയിൽ ഇരിക്കുന്നു, ഏത് ട്രാഫിക്ക് കടന്നുപോകുമെന്ന് തീരുമാനിക്കുന്നു. ഹാർഡ്‌വെയർ കുറഞ്ഞത് രണ്ട് നെറ്റ്‌വർക്ക് പോർട്ടുകളെങ്കിലും ഉള്ള ഒരു 64-ബിറ്റ് പിസി ആയിരിക്കണം: ഒന്ന് WAN (ഇൻ്റർനെറ്റ് സൈഡ്), മറ്റൊന്ന് LAN (നിങ്ങളുടെ നെറ്റ്‌വർക്ക്) ആയി മാറുന്നു. ഔദ്യോഗിക മാർഗ്ഗനിർദ്ദേശം കുറഞ്ഞത് 2 GB റാം, സുഖപ്രദമായ ഉപയോഗത്തിന് 4 GB അല്ലെങ്കിൽ അതിൽ കൂടുതൽ, കൂടാതെ 40 GB അല്ലെങ്കിൽ അതിൽ കൂടുതലുള്ള ഒരു SSD മിക്ക വീടുകളിലും ചെറിയ ഓഫീസുകളിലും ധാരാളമാണ്. ഇൻ്റൽ നെറ്റ്‌വർക്ക് കാർഡുകൾ ശക്തമായി തിരഞ്ഞെടുക്കപ്പെടുന്നു, കാരണം അവയുടെ FreeBSD ഡ്രൈവറുകൾ ഏറ്റവും വിശ്വസനീയമാണ് - വിലകുറഞ്ഞ Realtek പോർട്ടുകളാണ് വിചിത്രമായ നെറ്റ്‌വർക്ക് ഡ്രോപ്പുകളുടെ ഏറ്റവും സാധാരണമായ കാരണം. ഡ്യുവൽ ഇൻ്റൽ പോർട്ടുകളുള്ള ഫാനില്ലാത്ത മിനി പിസികളാണ് ജനപ്രിയ ദീർഘകാല ചോയ്സ്: നിശബ്ദവും കുറഞ്ഞ പവർ.

ഔദ്യോഗിക ചിത്രം ഡൗൺലോഡ് ചെയ്‌ത് ചെക്ക്‌സം സ്ഥിരീകരിക്കുക

opnsense.org എന്നതിലെ ഔദ്യോഗിക OPNsense ഡൗൺലോഡ് പേജിലേക്ക് പോയി നിങ്ങളുടെ അടുത്തുള്ള ഒരു മിറർ തിരഞ്ഞെടുക്കുക. ഒരു പെൻ ഡ്രൈവിൽ നിന്നുള്ള ഒരു സാധാരണ പിസി ഇൻസ്റ്റാളിനായി, USB-യ്‌ക്കുള്ള amd64 VGA ഇമേജ് തിരഞ്ഞെടുക്കുക - ഫയലിൻ്റെ പേര് -vga.img.bz2 എന്നതിൽ അവസാനിക്കുന്നു. VGA എന്നാൽ ഇത് ഒരു സാധാരണ മോണിറ്ററിൽ പ്രദർശിപ്പിക്കുന്നു; സീരിയൽ ഇമേജ് കൺസോൾ കേബിളുള്ള ഹെഡ്‌ലെസ് വീട്ടുപകരണങ്ങൾക്കുള്ളതാണ്, കൂടാതെ ഡിവിഡി ഐഎസ്ഒ വെർച്വൽ മെഷീനുകൾക്കും ഒപ്റ്റിക്കൽ മീഡിയയ്ക്കും വേണ്ടിയുള്ളതാണ്. ഫയൽ കംപ്രസ്സുചെയ്‌തു, അതിനാൽ അത് ആദ്യം എക്‌സ്‌ട്രാക്‌റ്റ് ചെയ്യുക (7-Zip .bz2 ഫോർമാറ്റ് കൈകാര്യം ചെയ്യുന്നു). തുടർന്ന് ഡൗൺലോഡ് പരിശോധിച്ചുറപ്പിക്കുക: SHA-256 ചെക്ക്‌സം ഡൗൺലോഡ് പേജിൽ ചിത്രത്തിന് അരികിൽ പ്രസിദ്ധീകരിച്ചിട്ടുണ്ട് - എന്തെങ്കിലും എഴുതുന്നതിന് മുമ്പ് നിങ്ങളുടെ ഡൗൺലോഡ് ചെയ്ത ഫയലിൻ്റെ ചെക്ക്‌സവുമായി താരതമ്യം ചെയ്യുക. പൊരുത്തമുള്ള ചെക്ക്‌സം ഫയൽ പൂർണ്ണമായി എത്തിയെന്നും കേടുപാടുകൾ വരുത്തിയിട്ടില്ലെന്നും തെളിയിക്കുന്നു.

ഒരു USB സ്റ്റിക്കിലേക്ക് ചിത്രം എഴുതുക

ബാലെനഎച്ചർ അല്ലെങ്കിൽ ഡിഡി മോഡിൽ റൂഫസ് പോലുള്ള റോ ഇമേജ് റൈറ്റർ ഉപയോഗിച്ച് എക്‌സ്‌ട്രാക്‌റ്റുചെയ്‌ത ചിത്രം പെൻഡ്രൈവിലേക്ക് എഴുതുക. ഇതൊരു ഫയൽ പകർപ്പല്ല - സ്റ്റിക്ക് ബൂട്ട് ചെയ്യാവുന്ന ഒരു FreeBSD ഇൻസ്റ്റാളറായി മാറുന്നു, കൂടാതെ അതിൽ ഇതിനകം ഉള്ളതെല്ലാം നശിച്ചു, അതിനാൽ നിങ്ങൾ ശ്രദ്ധിക്കാത്ത ഒരു സ്റ്റിക്ക് ഉപയോഗിക്കുക; 4 ജിബിയോ അതിൽ കൂടുതലോ മതി. നിങ്ങൾ ബൂട്ട് ചെയ്യുന്നതിന് മുമ്പ് കേബിളുകൾ ബന്ധിപ്പിക്കുക: നിങ്ങൾ WAN ആയി ഉദ്ദേശിക്കുന്ന പോർട്ടിലേക്ക് മോഡം, ഒരു ലാപ്ടോപ്പ് അല്ലെങ്കിൽ നിങ്ങൾ LAN ആയി ഉദ്ദേശിക്കുന്ന പോർട്ടിലേക്ക് മാറുക. സ്റ്റിക്ക് തിരുകുകയും USB-യിൽ നിന്ന് PC ബൂട്ട് ചെയ്യുകയും ചെയ്യുക - സാധാരണയായി F8, F11 അല്ലെങ്കിൽ F12 പോലുള്ള ബൂട്ട്-മെനു കീ പവർ-ഓണിൽ; അത് ബോർഡ് അനുസരിച്ച് വ്യത്യാസപ്പെടുന്നു.

OPNsense ഇൻസ്റ്റാൾ ചെയ്ത് ശക്തമായ റൂട്ട് പാസ്‌വേഡ് സജ്ജമാക്കുക

ഒരു കൺസോൾ ലോഗിൻ പ്രോംപ്റ്റിലേക്ക് ലൈവ് സിസ്റ്റം ബൂട്ട് ചെയ്യുന്നു. installer എന്ന ഉപയോക്തൃനാമവും opnsense എന്ന പാസ്‌വേഡും ഉപയോഗിച്ച് ലോഗിൻ ചെയ്യുക, തുടർന്ന് ഇൻസ്റ്റാളർ ആരംഭിക്കുന്നു. കീമാപ്പ് സ്വീകരിക്കുക, ഇൻസ്റ്റാൾ ചെയ്യുക തിരഞ്ഞെടുക്കുക, ടാർഗെറ്റ് ഡിസ്ക് തിരഞ്ഞെടുക്കുക - രണ്ടുതവണ പരിശോധിക്കുക - ഇൻസ്റ്റാളർ വാഗ്ദാനം ചെയ്യുന്ന ഫയൽസിസ്റ്റം ഡിഫോൾട്ട് അംഗീകരിക്കുക, അത് സിസ്റ്റം പകർത്താൻ അനുവദിക്കുക. ഇത് പൂർത്തിയാകുമ്പോൾ, റീബൂട്ട് ചെയ്ത് USB സ്റ്റിക്ക് നീക്കം ചെയ്യുക. ആദ്യ ബൂട്ടിൽ കൺസോൾ നിങ്ങളോട് ഇൻ്റർഫേസുകൾ അസൈൻ ചെയ്യാൻ ആവശ്യപ്പെട്ടേക്കാം: ഏത് ഫിസിക്കൽ പോർട്ട് ആണ് LAN എന്നും ഏതാണ് WAN എന്നും തിരഞ്ഞെടുക്കുക, കൂടാതെ ഒരു സാധാരണ സിംഗിൾ-നെറ്റ്‌വർക്ക് സജ്ജീകരണത്തിന് VLAN-കൾ ഇല്ല എന്ന ഉത്തരം.

ഇൻസ്റ്റാളുചെയ്യുമ്പോൾ, റൂട്ട് പാസ്‌വേഡ് സജ്ജീകരിക്കാൻ നിങ്ങളോട് ആവശ്യപ്പെടുന്നു - അത് നീളവും അദ്വിതീയവുമാക്കുകയും ഒരു പാസ്‌വേഡ് മാനേജറിൽ സംഭരിക്കുകയും ചെയ്യുക. നിങ്ങളുടേത് സജ്ജീകരിക്കുന്നത് വരെ, ഒരു പുതിയ OPNsense ഇപ്പോഴും റൂട്ട് അക്കൌണ്ടിനായുള്ള അറിയപ്പെടുന്ന ഡിഫോൾട്ട് പാസ്‌വേഡ് opnsense-ന് ഉത്തരം നൽകുന്നു, അത് ആർക്കും നോക്കാവുന്നതാണ്. ഡിഫോൾട്ട് തത്സമയമായിരിക്കുമ്പോൾ ഇൻസ്റ്റാളേഷൻ പൂർത്തിയായിട്ടില്ല.

ആദ്യ ലോഗിൻ, സെറ്റപ്പ് വിസാർഡ്

ലാൻ പോർട്ടിലേക്ക് ഒരു ലാപ്‌ടോപ്പ് ബന്ധിപ്പിക്കുക. 192.168.1.x ശ്രേണിയിലുള്ള വിലാസങ്ങൾ കൈമാറിക്കൊണ്ട് OPNsense സ്ഥിരസ്ഥിതിയായി LAN-ൽ DHCP സെർവർ പ്രവർത്തിപ്പിക്കുന്നതിനാൽ അതിന് സ്വയമേവ ഒരു വിലാസം ലഭിക്കും. ബ്രൗസറിൽ വെബ് ഇൻ്റർഫേസ് തുറക്കുക:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

ഡിഫോൾട്ട് നിയമങ്ങൾ മനസിലാക്കുക, തുടർന്ന് നിങ്ങളുടെ സ്വന്തം ചേർക്കുക

നിങ്ങളുടേതായ നിയമങ്ങൾ ചേർക്കുന്നതിന് മുമ്പ്, ആരംഭ പോയിൻ്റ് മനസ്സിലാക്കുക - ബോക്സിന് പുറത്ത്, OPNsense ഇതിനകം ഒരു സുബോധമുള്ള ഫയർവാൾ ആണ്. ഇൻറർനെറ്റിൽ നിന്ന് വരുന്നതെല്ലാം തടഞ്ഞിരിക്കുന്നു, നിങ്ങളുടെ LAN-ലെ ഉപകരണങ്ങൾ അനുവദനീയമാണ്, കൂടാതെ LAN-ലെ ഒരു യാന്ത്രിക ആൻ്റി ലോക്കൗട്ട് റൂൾ നിങ്ങൾ ഒരു നിയമ തെറ്റ് വരുത്തിയാലും വെബ് ഇൻ്റർഫേസിലേക്കുള്ള നിങ്ങളുടെ ആക്‌സസ് സജീവമായി നിലനിർത്തുന്നു. നിയമങ്ങൾ മുകളിൽ നിന്ന് താഴേക്ക് വായിക്കുന്നു, ആദ്യം പൊരുത്തപ്പെടുന്ന നിയമം വിജയിക്കും. അതിനാൽ എല്ലായിടത്തും ബ്ലോക്ക് നിയമങ്ങൾ ചേർത്ത് ആരംഭിക്കരുത്. ഒരു ദിവസത്തേക്ക് തത്സമയ ലോഗ് കാണുക (ഫയർവാൾ → ലോഗ് ഫയലുകൾ → ലൈവ് വ്യൂ), നിങ്ങളുടെ നെറ്റ്‌വർക്കിലെ സാധാരണ ട്രാഫിക് എങ്ങനെയായിരിക്കുമെന്ന് മനസിലാക്കുക, തുടർന്ന് മാത്രം നിയമങ്ങൾ ചേർക്കുക - ഓരോന്നും ഓരോന്നിനും പ്രത്യേക ഉദ്ദേശ്യത്തോടെ.

DHCP, DNS എന്നിവ സജ്ജീകരിക്കുക

ഫയർവാൾ ഉയർത്തി, ദൈനംദിന അടിസ്ഥാനകാര്യങ്ങൾ പൂർത്തിയാക്കുക. OPNsense-ൻ്റെ ബിൽറ്റ്-ഇൻ DNS റിസോൾവർ (അൺബൗണ്ട്) ഡിഫോൾട്ടായി പ്രവർത്തനക്ഷമമാക്കിയിരിക്കുന്നു, മിക്ക നെറ്റ്‌വർക്കുകൾക്കും ഇത് ആവശ്യമാണ് - നിങ്ങളുടെ ഉപകരണങ്ങൾ ഇതിനകം തന്നെ അവരുടെ DNS സെർവറായി ഫയർവാൾ ഉപയോഗിക്കുന്നു. നിങ്ങൾ കൈകൊണ്ട് ചേർക്കുന്നത് ഒരിക്കലും നീങ്ങാൻ പാടില്ലാത്ത ഉപകരണങ്ങൾക്ക് ഉറപ്പാണ്: പ്രിൻ്ററുകൾ, ഒരു NAS, ക്യാമറകൾ എന്നിവയ്ക്ക് സ്റ്റാറ്റിക് DHCP മാപ്പിംഗുകൾ ലഭിക്കുന്നു, അതിനാൽ ഓരോന്നിനും എല്ലായ്പ്പോഴും ഒരേ വിലാസം ലഭിക്കും (സമീപകാല പതിപ്പുകളിൽ സേവനങ്ങൾ → DHCP - Kea DHCP; ISC DHCP പഴയതിൽ). നിങ്ങളുടെ ഉപകരണങ്ങൾക്ക് പ്രാദേശിക പേരുകൾ നൽകാനും സ്റ്റാറ്റിക് മാപ്പിംഗുകൾ നിങ്ങളെ അനുവദിക്കുന്നു, അതിനാൽ നമ്പറുകൾ ഓർമ്മിക്കുന്നതിന് പകരം പേര് ഉപയോഗിച്ച് നിങ്ങൾക്ക് അവയിൽ എത്തിച്ചേരാനാകും.

വിദൂര ആക്സസ് സുരക്ഷിതമായ വഴി — VPN മാത്രം

വൈകാതെ അല്ലെങ്കിൽ പിന്നീട് നിങ്ങൾക്ക് പുറത്ത് നിന്ന് ഫയർവാൾ പരിശോധിക്കണം. ഇത് സുരക്ഷിതമായ രീതിയിൽ ചെയ്യുക: വെബ് ഇൻ്റർഫേസും SSH ഉം മുഴുവൻ നെറ്റ്‌വർക്കിൻ്റെയും കീകളാണ്, അതിനാൽ അവ ഒരിക്കലും ഇൻ്റർനെറ്റിലേക്ക് നേരിട്ട് തുറക്കില്ല. സുരക്ഷിതമായ മാർഗം ഒരു VPN ആണ് — ആദ്യം ഒരു VPN ഉപയോഗിച്ച് നിങ്ങളുടെ നെറ്റ്‌വർക്കിലേക്ക് കണക്റ്റുചെയ്യുക, തുടർന്ന് നിങ്ങൾ വീട്ടിലിരിക്കുന്നതുപോലെ വെബ് ഇൻ്റർഫേസ് തുറക്കുക. ശക്തമായ പാസ്‌വേഡ് മാത്രം പകരമാവില്ല: ഇൻറർനെറ്റിൽ തുറന്നിരിക്കുന്ന ഒരു അഡ്മിൻ പേജ് മണിക്കൂറുകൾക്കുള്ളിൽ സ്കാനറുകൾ കണ്ടെത്തുകയും മുഴുവൻ സമയവും ആക്രമിക്കുകയും ചെയ്യുന്നു.

അപ്‌ഡേറ്റ് ചെയ്യുക, കോൺഫിഗറേഷൻ ബാക്കപ്പ് ചെയ്‌ത് തത്സമയം പോകുക

രണ്ട് ശീലങ്ങൾ സജ്ജീകരണം പൂർത്തിയാക്കുന്നു. ആദ്യം, അപ്‌ഡേറ്റുകൾ: ഒരു പുതിയ ഇൻസ്റ്റാളേഷൻ ഒരിക്കലും പൂർണ്ണമായി നിലവിലില്ല, കൂടാതെ പഴയ സോഫ്റ്റ്‌വെയർ പ്രവർത്തിപ്പിക്കാൻ പാടില്ലാത്ത ഉപകരണമാണ് ഫയർവാൾ — സിസ്റ്റം → ഫേംവെയറിലേക്ക് പോയി അപ്‌ഡേറ്റുകൾ പ്രവർത്തിപ്പിക്കുക. രണ്ടാമതായി, കോൺഫിഗറേഷൻ ബാക്കപ്പ്: സിസ്റ്റം → കോൺഫിഗറേഷൻ → ബാക്കപ്പുകളിൽ നിന്ന് ഇത് ഡൗൺലോഡ് ചെയ്ത് ഫയൽ ബോക്സിൽ നിന്ന് സൂക്ഷിക്കുക. ഹാർഡ്‌വെയർ എപ്പോഴെങ്കിലും മരിക്കുകയാണെങ്കിൽ ആ ഒരു ചെറിയ ഫയൽ മിനിറ്റുകൾക്കുള്ളിൽ നിങ്ങളുടെ മുഴുവൻ സജ്ജീകരണവും പുനർനിർമ്മിക്കുന്നു, അതിനാൽ ഒരു തവണ മാത്രമല്ല, അർത്ഥവത്തായ ഓരോ മാറ്റത്തിനും ശേഷം വീണ്ടും ബാക്കപ്പ് ചെയ്യുക. നിങ്ങൾ എപ്പോഴെങ്കിലും ഒരു ക്രമീകരണ പിശക് ഉപയോഗിച്ച് വെബ് ഇൻ്റർഫേസിൽ നിന്ന് സ്വയം ലോക്ക് ചെയ്യുകയാണെങ്കിൽ, ഫിസിക്കൽ കൺസോൾ സുരക്ഷാ വലയാണ് - ബോക്സിലെ മോണിറ്ററും കീബോർഡും, റൂട്ടായി ലോഗിൻ ചെയ്യുക, ഇൻ്റർഫേസ് വിലാസങ്ങൾ ശരിയാക്കുക അല്ലെങ്കിൽ കൺസോൾ മെനുവിൽ നിന്ന് പാസ്‌വേഡ് പുനഃസജ്ജമാക്കുക. ഒരിക്കലും പരിഭ്രാന്തരാകരുത്-വീണ്ടും ഇൻസ്റ്റാൾ ചെയ്യുക; കൺസോൾ മിക്കവാറും എല്ലാം ശരിയാക്കുന്നു.