OPNsense फायरवाल सेटअप

हार्डवेयर छनोट गर्नुहोस् — दुई नेटवर्क पोर्ट न्यूनतम

OPNsense FreeBSD मा निर्मित फायरवाल र राउटिङ प्लेटफर्म हो। तपाइँ यसलाई तपाइँको आफ्नै हार्डवेयरमा स्थापना गर्नुहुन्छ - एउटा अतिरिक्त पीसी, एउटा मिनी पीसी वा सानो उपकरण - र यो तपाइँको मोडेम र तपाइँको नेटवर्कको बीचमा बस्छ, कुन ट्राफिक पास हुन सक्छ भन्ने निर्णय गर्दै। हार्डवेयर कम्तीमा दुई नेटवर्क पोर्टहरू भएको ६४-बिट पीसी हुनुपर्छ: एउटा WAN (इन्टरनेट साइड), अर्को LAN (तपाईंको नेटवर्क)। आधिकारिक मार्गदर्शन लगभग 2 GB RAM को न्यूनतम रूपमा, 4 GB वा सोभन्दा बढी सहज प्रयोगको लागि हो, र 40 GB वा बढीको SSD धेरै घरहरू र साना कार्यालयहरूको लागि प्रशस्त छ। Intel नेटवर्क कार्डहरू कडा रूपमा रुचाइन्छ किनभने तिनीहरूको FreeBSD ड्राइभरहरू सबैभन्दा भरपर्दो छन् - सस्तो Realtek पोर्टहरू अनौठो नेटवर्क ड्रपहरूको एकल सबैभन्दा सामान्य कारण हो। डुअल इंटेल पोर्टहरू भएका फ्यानलेस मिनी पीसीहरू लोकप्रिय दीर्घकालीन विकल्प हुन्: मौन र कम पावर।

आधिकारिक छवि डाउनलोड गर्नुहोस् र चेकसम प्रमाणित गर्नुहोस्

opnsense.org मा आधिकारिक OPNsense डाउनलोड पृष्ठमा जानुहोस् र आफ्नो नजिकैको ऐना छान्नुहोस्। पेन ड्राइभबाट सामान्य पीसी स्थापनाको लागि, USB को लागि amd64 VGA छवि छान्नुहोस् — फाइलको नाम -vga.img.bz2 सँग समाप्त हुन्छ। VGA मतलब यो एक साधारण मनिटर मा प्रदर्शित; सिरियल छवि कन्सोल केबलको साथ हेडलेस उपकरणहरूको लागि हो, र DVD ISO भर्चुअल मेसिनहरू र अप्टिकल मिडियाको लागि हो। फाइल कम्प्रेस गरिएको छ, त्यसैले यसलाई पहिले निकाल्नुहोस् (7-Zip ले .bz2 ढाँचा ह्यान्डल गर्दछ)। त्यसपछि डाउनलोड प्रमाणित गर्नुहोस्: डाउनलोड पृष्ठमा छविको छेउमा SHA-256 चेकसम प्रकाशित गरिएको छ - केहि लेख्नु अघि यसलाई तपाईंको डाउनलोड गरिएको फाइलको चेकसमसँग तुलना गर्नुहोस्। मिल्दो चेकसमले फाइल पूर्ण र अव्यवस्थित भएको प्रमाणित गर्छ।

USB Stick मा छवि लेख्नुहोस्

निकालिएको छविलाई पेन ड्राइभमा कच्चा छवि लेखक जस्तै balenaEtcher, वा Rufus DD मोडमा लेख्नुहोस्। यो फाइल प्रतिलिपि होइन - स्टिक बुटबल FreeBSD स्थापनाकर्ता बन्छ, र यसमा पहिले नै सबै चीज नष्ट भएको छ, त्यसैले तपाईंले वास्ता नगर्ने स्टिक प्रयोग गर्नुहोस्; 4 GB वा ठूलो पर्याप्त छ। त्यसपछि तपाईंले बुट गर्नु अघि केबलहरू जडान गर्नुहोस्: तपाईंले WAN को रूपमा मनपर्ने पोर्टमा मोडेम, र ल्यापटप वा तपाईंले LAN को रूपमा चाहनुभएको पोर्टमा स्विच गर्नुहोस्। स्टिक घुसाउनुहोस् र USB बाट PC बुट गर्नुहोस् — सामान्यतया बुट-मेनु कुञ्जी जस्तै F8, F11 वा F12 पावर-अनमा; यो बोर्ड अनुसार फरक हुन्छ।

OPNsense स्थापना गर्नुहोस् र बलियो रूट पासवर्ड सेट गर्नुहोस्

लाइभ प्रणाली कन्सोल लगइन प्रम्प्टमा बुट हुन्छ। प्रयोगकर्ता नाम इन्स्टलर र पासवर्ड opnsense सँग लग इन गर्नुहोस्, र स्थापनाकर्ता सुरु हुन्छ। कीम्याप स्वीकार गर्नुहोस्, स्थापना गर्नुहोस् छनौट गर्नुहोस्, लक्ष्य डिस्क छान्नुहोस् — यसलाई डबल-जाँच गर्नुहोस् — फाइल प्रणाली पूर्वनिर्धारित स्थापनाकर्ता प्रस्तावहरू स्वीकार गर्नुहोस्, र यसलाई प्रणाली प्रतिलिपि गर्न दिनुहोस्। जब यो समाप्त हुन्छ, रिबुट गर्नुहोस् र USB स्टिक हटाउनुहोस्। पहिलो बुटमा कन्सोलले तपाईंलाई इन्टरफेसहरू असाइन गर्न सोध्न सक्छ: कुन भौतिक पोर्ट LAN हो र कुन WAN हो, र सामान्य एकल-सञ्जाल सेटअपको लागि VLAN लाई जवाफ नदिनुहोस्।

स्थापनाको क्रममा तपाईंलाई मूल पासवर्ड सेट गर्न भनिन्छ — यसलाई लामो र अद्वितीय बनाउनुहोस्, र यसलाई पासवर्ड प्रबन्धकमा भण्डार गर्नुहोस्। तपाईंले आफ्नो सेट नगरुन्जेल, नयाँ OPNsense ले अझै पनि रुट खाताको लागि प्रख्यात पूर्वनिर्धारित पासवर्ड opnsense को जवाफ दिन्छ, जुन कसैले खोज्न सक्छ। त्यो पूर्वनिर्धारित अझै लाइभ हुँदा स्थापना समाप्त भएको छैन।

पहिलो लगइन र सेटअप विजार्ड

ल्यापटपलाई ल्यान पोर्टमा जडान गर्नुहोस्। 192.168.1.x दायरामा ठेगानाहरू हस्तान्तरण गर्दै, OPNsense ले पूर्वनिर्धारित रूपमा LAN मा DHCP सर्भर चलाउने भएकोले यसले स्वचालित रूपमा ठेगाना प्राप्त गर्नुपर्छ। ब्राउजरमा वेब इन्टरफेस खोल्नुहोस्:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

पूर्वनिर्धारित नियमहरू बुझ्नुहोस्, त्यसपछि तपाईंको आफ्नै थप्नुहोस्

तपाईंको आफ्नै नियमहरू थप्नु अघि, सुरुवात बिन्दु बुझ्नुहोस् — बाकस बाहिर, OPNsense पहिले नै एक समझदार फायरवाल हो। इन्टरनेटबाट आउने सबै कुराहरू अवरुद्ध छन्, तपाईंको LAN मा भएका यन्त्रहरूलाई अनुमति दिइएको छ, र LAN मा स्वचालित anti-lockout नियम ले तपाईंले नियम गल्ती गरे पनि वेब इन्टरफेसमा तपाईंको पहुँचलाई जीवित राख्छ। नियमहरू माथि देखि तल पढिन्छ, र पहिलो मिल्दो नियम जित्छ। त्यसैले जताततै ब्लक नियमहरू थपेर सुरु नगर्नुहोस्। एक दिनको लागि लाइभ लग हेर्नुहोस् (फायरवाल → लग फाइलहरू → लाइभ दृश्य), तपाईंको नेटवर्कमा सामान्य ट्राफिक कस्तो देखिन्छ भनेर जान्नुहोस्, र त्यसपछि मात्र नियमहरू थप्नुहोस् — एक पटकमा, प्रत्येक एक विशेष उद्देश्यका साथ।

DHCP र DNS सेटअप गर्नुहोस्

फायरवाल अपको साथ, दैनिक आधारभूत कुराहरू पूरा गर्नुहोस्। OPNsense को बिल्ट-इन DNS रिजोल्भर (अनबाउन्ड) पूर्वनिर्धारित रूपमा सक्षम गरिएको छ र सबै सञ्जालहरूलाई आवश्यक छ — तपाईंको उपकरणहरूले पहिले नै फायरवाललाई तिनीहरूको DNS सर्भरको रूपमा प्रयोग गर्दछ। तपाईंले हातले थप्नुहुने यन्त्रहरूका लागि निश्चितता हो जुन कहिल्यै सार्न हुँदैन: प्रिन्टरहरू, NAS र क्यामेराहरूले स्थिर DHCP म्यापिङहरू पाउँछन्, त्यसैले प्रत्येकले सधैं एउटै ठेगाना प्राप्त गर्दछ (सेवाहरू → DHCP — Kea DHCP; पुरानाहरूमा ISC DHCP अन्तर्गतको भर्खरका संस्करणहरूमा)। स्थिर म्यापिङहरूले तपाईंलाई आफ्नो यन्त्रहरूमा स्थानीय नामहरू पनि दिन दिन्छ, ताकि तपाईं नम्बरहरू याद गर्नुको सट्टा नामद्वारा तिनीहरूमा पुग्न सक्नुहुन्छ।

रिमोट पहुँच सुरक्षित बाटो — VPN मात्र

ढिलो वा चाँडो तपाईं बाहिरबाट फायरवाल जाँच गर्न चाहनुहुन्छ। यसलाई सुरक्षित तरिकाले गर्नुहोस्: वेब इन्टरफेस र SSH सम्पूर्ण नेटवर्कको कुञ्जीहरू हुन्, त्यसैले तिनीहरू इन्टरनेटमा सीधै खोलिएका छैनन्। सुरक्षित मार्ग भनेको VPN हो — पहिले VPN मार्फत आफ्नो नेटवर्कमा जडान गर्नुहोस्, त्यसपछि वेब इन्टरफेस ठ्याक्कै तपाईं घरमा बसिरहनुभएको जस्तै खोल्नुहोस्। एक बलियो पासवर्ड मात्र विकल्प होइन: इन्टरनेटमा पर्दाफास भएको प्रशासक पृष्ठ स्क्यानरहरूले घण्टा भित्र फेला पार्छ र चौबीसै घण्टा आक्रमण गर्दछ।

अपडेट गर्नुहोस्, कन्फिगरेसन ब्याकअप गर्नुहोस् र लाइभ जानुहोस्

दुई बानीले सेटअप पूरा गर्छ। पहिलो, अद्यावधिकहरू: नयाँ स्थापना कहिल्यै पूर्ण रूपमा हालको हुँदैन, र फायरवाल भनेको पुरानो सफ्टवेयर चलाउन नहुने यन्त्र हो — प्रणाली → फर्मवेयरमा जानुहोस् र अद्यावधिकहरू चलाउनुहोस्। दोस्रो, कन्फिगरेसन ब्याकअप: यसलाई प्रणाली → कन्फिगरेसन → ब्याकअपबाट डाउनलोड गर्नुहोस् र फाइललाई बक्सबाट बाहिर राख्नुहोस्। त्यो एउटा सानो फाइलले तपाइँको सम्पूर्ण सेटअप मिनेटमा पुन: निर्माण गर्दछ यदि हार्डवेयर कहिल्यै मर्छ, त्यसैले प्रत्येक अर्थपूर्ण परिवर्तन पछि पुन: ब्याकअप गर्नुहोस्, एक पटक मात्र होइन। र यदि तपाइँ कहिले पनि सेटिङ गल्तीको साथ वेब इन्टरफेसबाट बाहिर लक गर्नुहुन्छ भने, भौतिक कन्सोल भनेको सुरक्षा जाल हो - बक्समा मोनिटर र किबोर्ड, रूटको रूपमा लग इन गर्नुहोस्, र इन्टरफेस ठेगानाहरू ठीक गर्नुहोस् वा कन्सोल मेनुबाट पासवर्ड रिसेट गर्नुहोस्। कहिल्यै नआत्तिनुहोस्-पुनः स्थापना गर्नुहोस्; कन्सोलले लगभग सबै कुरा ठीक गर्छ।