OPNsense brannmuroppsett

Velg maskinvare – minimum to nettverksporter

OPNsense er en brannmur og rutingplattform bygget på FreeBSD. Du installerer den på din egen maskinvare – en ekstra PC, en mini-PC eller et lite apparat – og den sitter mellom modemet og nettverket og bestemmer hvilken trafikk som kan passere. Maskinvaren må være en 64-bits PC med minst to nettverksporter: den ene blir WAN (internettsiden), den andre til LAN (nettverket ditt). Den offisielle veiledningen er omtrent 2 GB RAM som minimum, 4 GB eller mer for komfortabel bruk, og en SSD på 40 GB eller mer er nok for de fleste hjem og små kontorer. Intel-nettverkskort er sterkt foretrukket fordi deres FreeBSD-drivere er de mest pålitelige - billige Realtek-porter er den vanligste årsaken til merkelige nettverksfall. Vifteløse mini-PC-er med doble Intel-porter er det populære langsiktige valget: stille og lite strøm.

Last ned det offisielle bildet og bekreft sjekksummen

Gå til den offisielle OPNsense-nedlastingssiden på opnsense.org og velg et speil nær deg. For en vanlig PC-installasjon fra en penn-stasjon, velg amd64 VGA-bilde for USB — filnavnet slutter med -vga.img.bz2. VGA betyr at den vises på en vanlig skjerm; seriebildet er for hodeløse apparater med en konsollkabel, og DVD ISO er for virtuelle maskiner og optiske medier. Filen er komprimert, så pakk den ut først (7-Zip håndterer .bz2-formatet). Bekreft deretter nedlastingen: SHA-256-sjekksummen publiseres ved siden av bildet på nedlastingssiden - sammenlign den med den nedlastede filens kontrollsum før du skriver noe. En samsvarende kontrollsum beviser at filen kom komplett og umanipulert.

Skriv bildet til en USB-pinne

Skriv det utpakkede bildet til en pennstasjon med en råbildeskriver som balenaEtcher eller Rufus i DD-modus. Dette er ikke en filkopi — pinnen blir et oppstartbart FreeBSD-installasjonsprogram, og alt som allerede er på den blir ødelagt, så bruk en pinne du ikke bryr deg om; 4 GB eller større er nok. Koble så til kablene før du starter opp: modemet inn i porten du har tenkt som WAN, og en bærbar PC eller bytt til porten du har tenkt som LAN. Sett inn pinnen og start PC-en fra USB - vanligvis en oppstartsmenytast som F8, F11 eller F12 ved oppstart; det varierer etter brett.

Installer OPNsense og angi et sterkt root-passord

Det aktive systemet starter opp til en konsollpåloggingsforespørsel. Logg inn med brukernavnet installer og passordet opnsense, og installasjonsprogrammet starter. Godta tastaturet, velg Installer, velg måldisken – dobbeltsjekk den – godta filsystemstandarden installasjonsprogrammet tilbyr, og la det kopiere systemet. Når den er ferdig, start på nytt og fjern USB-pinnen. Ved første oppstart kan konsollen be deg om å tildele grensesnitt: velg hvilken fysisk port som er LAN og hvilken som er WAN, og svar nei til VLAN for et normalt enkeltnettverksoppsett.

Under installasjonen blir du bedt om å angi root-passordet – gjør det langt og unikt, og lagre det i en passordbehandling. Inntil du setter din egen, svarer en fersk OPNsense fortsatt på det velkjente standardpassordet opnsense for root-kontoen, som alle kan slå opp. Installasjonen er ikke fullført mens standarden fortsatt er aktiv.

Første pålogging og installasjonsveiviseren

Koble en bærbar datamaskin til LAN-porten. Den skal motta en adresse automatisk, fordi OPNsense kjører en DHCP-server på LAN som standard, og deler ut adresser i området 192.168.1.x. Åpne nettgrensesnittet i nettleseren:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

Forstå standardreglene, og legg deretter til dine egne

Før du legger til dine egne regler, må du forstå utgangspunktet – ut av boksen er OPNsense allerede en fornuftig brannmur. Alt som kommer inn fra internett er blokkert, enheter på LAN er tillatt ute, og en automatisk anti-lockout-regel på LAN holder tilgangen din til nettgrensesnittet i live selv om du gjør en regelfeil. Regler leses fra topp til bunn, og den første matchende regelen vinner. Så ikke start med å legge til blokkregler overalt. Se live-loggen for en dag (Brannmur → Loggfiler → Live View), finn ut hvordan normal trafikk på nettverket ditt ser ut, og legg til regler – én om gangen, hver med et bestemt formål.

Konfigurer DHCP og DNS

Med brannmuren oppe, fullfør det daglige grunnleggende. OPNsense sin innebygde DNS-resolver (Ubundet) er aktivert som standard og er alt de fleste nettverk trenger – enhetene dine bruker allerede brannmuren som DNS-server. Det du legger til for hånd er sikkerhet for enhetene som aldri må bevege seg: skrivere, en NAS og kameraer får statiske DHCP-tilordninger, slik at hver enkelt alltid mottar samme adresse (i nyere versjoner under Tjenester → DHCP — Kea DHCP; ISC DHCP i eldre). Statiske tilordninger lar deg også gi lokale navn til enhetene dine, slik at du kan nå dem med navn i stedet for å huske tall.

Fjerntilgang på den sikre måten – kun VPN

Før eller siden vil du sjekke brannmuren utenfra. Gjør det på den sikre måten: nettgrensesnittet og SSH er nøklene til hele nettverket, så de åpnes aldri direkte mot internett. Den sikre ruten er en VPN – koble til nettverket ditt med en VPN først, og åpne deretter nettgrensesnittet akkurat som om du satt hjemme. Et sterkt passord alene er ikke en erstatning: en adminside som er eksponert for internett blir funnet av skannere i løpet av timer og angrepet døgnet rundt.

Oppdater, sikkerhetskopier konfigurasjonen og gå live

To vaner fullfører oppsettet. Først oppdateringer: en ny installasjon er aldri helt oppdatert, og en brannmur er akkurat enheten som ikke må kjøre gammel programvare — gå til System → Fastvare og kjør oppdateringene. For det andre, konfigurasjonssikkerhetskopien: last den ned fra System → Konfigurasjon → Sikkerhetskopier og hold filen utenfor esken. Den ene lille filen gjenoppbygger hele oppsettet ditt på få minutter hvis maskinvaren noen gang dør, så sikkerhetskopier igjen etter hver meningsfull endring, ikke bare én gang. Og hvis du noen gang låser deg ute av nettgrensesnittet med en innstillingsfeil, er den fysiske konsollen sikkerhetsnettet – skjerm og tastatur på boksen, logg på som root, og fiks grensesnittadressene eller tilbakestill passordet fra konsollmenyen. Aldri panikk-installer på nytt; konsollen fikser nesten alt.