Configuração do Firewall do OPNsense

Escolha o hardware – Mínimo de duas portas de rede

OPNSense é uma plataforma de firewall e roteamento construída em FreeBSD. Você o instala em seu próprio hardware – um PC sobressalente, um mini PC ou um pequeno eletrodoméstico – e ele fica entre o modem e a rede, decidindo qual tráfego pode passar. O hardware deve ser um PC de 64 bits com pelo menos duas portas de rede: uma se torna a WAN (lado da Internet) e a outra a LAN (sua rede). A orientação oficial é de aproximadamente 2 GB de RAM no mínimo, 4 GB ou mais para uso confortável e um SSD de 40 GB ou mais é suficiente para a maioria das residências e pequenos escritórios. As placas de rede Intel são fortemente preferidas porque seus drivers FreeBSD são os mais confiáveis ​​– portas Realtek baratas são a causa mais comum de quedas estranhas de rede. Mini PCs sem ventoinha com portas Intel duplas são a escolha popular a longo prazo: silenciosos e com baixo consumo de energia.

Baixe a imagem oficial e verifique o checksum

Acesse a página oficial de download do OPNsense em opnsense.org e escolha um espelho perto de você. Para uma instalação normal no PC a partir de um pen drive, escolha a imagem AMD64 VGA para USB — o nome do arquivo termina com -vga.img.bz2. VGA significa que é exibido em um monitor comum; a imagem serial é para dispositivos headless com cabo de console e o DVD ISO é para máquinas virtuais e mídia óptica. O arquivo está compactado, então extraia-o primeiro (7-Zip lida com o formato .bz2). Em seguida, verifique o download: a soma de verificação SHA-256 é publicada ao lado da imagem na página de download – compare-a com a soma de verificação do arquivo baixado antes de escrever qualquer coisa. Uma soma de verificação correspondente prova que o arquivo chegou completo e intacto.

Gravar a imagem em um pendrive

Grave a imagem extraída em um pen drive com um gravador de imagens brutas como balenaEtcher ou Rufus no modo DD. Esta não é uma cópia de arquivo - o stick se torna um instalador inicializável do FreeBSD, e tudo que já está nele é destruído, então use um stick que você não se importa; 4 GB ou mais são suficientes. Em seguida, conecte os cabos antes de inicializar: o modem na porta que você pretende como WAN e um laptop ou switch na porta que você pretende como LAN. Insira o stick e inicialize o PC a partir do USB – geralmente uma tecla do menu de inicialização como F8, F11 ou F12 ao ligar; varia de acordo com o conselho.

Instale o OPNsense e defina uma senha raiz forte

O sistema ativo inicializa em um prompt de login do console. Faça login com o nome de usuário installer e a senha opnsense e o instalador será iniciado. Aceite o mapa de teclado, escolha Instalar, escolha o disco de destino - verifique-o novamente - aceite o sistema de arquivos padrão que o instalador oferece e deixe-o copiar o sistema. Quando terminar, reinicie e remova o pendrive. Na primeira inicialização, o console pode solicitar que você atribua interfaces: escolha qual porta física é LAN e qual é WAN e, para uma configuração normal de rede única, responda não às VLANs.

Durante a instalação, você será solicitado a definir a senha de root — torne-a longa e exclusiva e armazene-a em um gerenciador de senhas. Até que você defina a sua própria, um novo OPNsense ainda responderá à conhecida senha padrão opnsense da conta root, que qualquer pessoa pode consultar. A instalação não será concluída enquanto o padrão ainda estiver ativo.

Primeiro login e assistente de configuração

Conecte um laptop à porta LAN. Ele deverá receber um endereço automaticamente, pois o OPNsense executa um servidor DHCP na LAN por padrão, distribuindo endereços na faixa 192.168.1.x. Abra a interface da web no navegador:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

Configurar DHCP e DNS

Com o firewall ativado, conclua as tarefas básicas do dia a dia. O resolvedor DNS integrado do OPNsense (Unbound) é habilitado por padrão e é tudo o que a maioria das redes precisa — seus dispositivos já usam o firewall como servidor DNS. O que você adiciona manualmente é certeza para os dispositivos que nunca devem se mover: impressoras, NAS e câmeras recebem mapeamentos DHCP estáticos, então cada um recebe sempre o mesmo endereço (nas versões recentes em Serviços → DHCP — Kea DHCP; ISC DHCP nas versões mais antigas). Os mapeamentos estáticos também permitem atribuir nomes locais aos seus dispositivos, para que você possa acessá-los pelo nome, em vez de memorizar números.

Acesso remoto de maneira segura — somente VPN

Mais cedo ou mais tarde você vai querer verificar o firewall de fora. Faça isso de forma segura: a interface web e o SSH são as chaves de toda a rede, portanto nunca são abertos diretamente para a internet. A rota segura é uma VPN – primeiro conecte-se à sua rede com uma VPN e, em seguida, abra a interface da web exatamente como se estivesse em casa. Uma senha forte por si só não é um substituto: uma página de administração exposta na Internet é encontrada por scanners em poucas horas e atacada 24 horas por dia.

Atualizar, fazer backup da configuração e entrar em operação

Dois hábitos finalizam a configuração. Primeiro, atualizações: uma nova instalação nunca é totalmente atual e um firewall é exatamente o dispositivo que não deve executar software antigo – vá para Sistema → Firmware e execute as atualizações. Em segundo lugar, o backup da configuração: baixe-o em Sistema → Configuração → Backups e mantenha o arquivo fora da caixa. Esse pequeno arquivo reconstrói toda a sua configuração em minutos se o hardware falhar, então faça backup novamente após cada alteração significativa, não apenas uma vez. E se você alguma vez ficar fora da interface da web com um erro de configuração, o console físico é a rede de segurança – monitor e teclado na caixa, faça login como root e corrija os endereços da interface ou redefina a senha no menu do console. Nunca entre em pânico e reinstale; o console corrige quase tudo.