Configurare firewall OPNsense

Alegeți hardware-ul — Minimum două porturi de rețea

OPNsense este un firewall și o platformă de rutare construită pe FreeBSD. Îl instalezi pe propriul tău hardware - un PC de rezervă, un mini PC sau un mic aparat - și se află între modem și rețea, hotărând ce trafic poate trece. Hardware-ul trebuie să fie un PC pe 64 de biți cu cel puțin două porturi de rețea: unul devine WAN (partea internetului), celălalt LAN (rețeaua dvs.). Îndrumarea oficială este de aproximativ 2 GB de RAM ca minim, 4 GB sau mai mult pentru o utilizare confortabilă, iar un SSD de 40 GB sau mai mult este suficient pentru majoritatea caselor și birourilor mici. Plăcile de rețea Intel sunt foarte preferate, deoarece driverele lor FreeBSD sunt cele mai fiabile - porturile ieftine Realtek sunt cauza cea mai comună a căderilor de rețea ciudate. Mini-PC-urile fără ventilator cu porturi Intel duale sunt alegerea populară pe termen lung: silențioase și cu putere redusă.

Descărcați imaginea oficială și verificați suma de verificare

Accesați pagina oficială de descărcare a OPNsense la opnsese.org și alegeți o oglindă din apropiere. Pentru o instalare normală pe computer de pe un pen drive, alegeți imaginea VGA amd64 pentru USB — numele fișierului se termină cu -vga.img.bz2. VGA înseamnă că se afișează pe un monitor obișnuit; imaginea serială este pentru aparatele fără cap cu un cablu de consolă, iar DVD-ul ISO este pentru mașini virtuale și medii optice. Fișierul este comprimat, așa că extrageți-l mai întâi (7-Zip se ocupă de formatul .bz2). Apoi verificați descărcarea: suma de control SHA-256 este publicată lângă imaginea de pe pagina de descărcare - comparați-o cu suma de control a fișierului descărcat înainte de a scrie ceva. O sumă de verificare corespunzătoare dovedește că fișierul a ajuns complet și nemodificat.

Scrieți imaginea pe un stick USB

Scrieți imaginea extrasă pe un pen drive cu un writer de imagini brute, cum ar fi balenaEtcher sau Rufus în modul DD. Aceasta nu este o copie a fișierului — stick-ul devine un program de instalare FreeBSD bootabil și tot ce este deja pe el este distrus, așa că folosește un stick care nu-ți pasă; 4 GB sau mai mare este suficient. Apoi conectați cablurile înainte de a porni: modemul în portul pe care doriți ca WAN și un laptop sau comutator în portul pe care doriți ca LAN. Introduceți stick-ul și porniți computerul de pe USB - de obicei o tastă pentru meniul de pornire precum F8, F11 sau F12 la pornire; variază în funcție de bord.

Instalați OPNsense și setați o parolă puternică pentru rădăcină

Sistemul live pornește la un prompt de conectare la consolă. Conectați-vă cu numele de utilizator installer și parola opnsese și pornește programul de instalare. Acceptați harta tastelor, alegeți Instalare, alegeți discul țintă — verificați-l de două ori — acceptați sistemul de fișiere implicit pe care îl oferă instalatorul și lăsați-l să copieze sistemul. Când se termină, reporniți și scoateți stick-ul USB. La prima pornire, consola vă poate cere să atribuiți interfețe: alegeți ce port fizic este LAN și care este WAN, iar pentru o configurare normală pentru o singură rețea răspundeți nu la VLAN-uri.

În timpul instalării, vi se cere să setați parola rădăcină — faceți-o lungă și unică și stocați-o într-un manager de parole. Până când îl setați pe propriul dvs., un OPNsense proaspăt răspunde în continuare la binecunoscuta parolă implicită opnsese pentru contul root, pe care oricine o poate căuta. Instalarea nu s-a încheiat cât timp implicit este încă activ.

Prima conectare și Expertul de configurare

Conectați un laptop la portul LAN. Ar trebui să primească o adresă automat, deoarece OPNsense rulează implicit un server DHCP pe LAN, oferind adrese în intervalul 192.168.1.x. Deschideți interfața web în browser:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

Înțelegeți regulile implicite, apoi adăugați-le pe ale dvs.

Înainte de a adăuga reguli proprii, înțelegeți punctul de pornire - din cutie, OPNsense este deja un firewall sensibil. Tot ceea ce intră de pe internet este blocat, dispozitivele din LAN sunt permise să iasă, iar o regulă de blocare automată pe LAN vă menține accesul la interfața web, chiar dacă faceți o greșeală de reguli. Regulile sunt citite de sus în jos, iar prima regulă potrivită câștigă. Deci, nu începe prin a adăuga reguli de bloc peste tot. Urmăriți jurnalul live timp de o zi (Firewall → Fișiere jurnal → Vizualizare live), aflați cum arată traficul normal din rețeaua dvs. și abia apoi adăugați reguli — una câte una, fiecare având un scop specific.

Configurați DHCP și DNS

Cu firewall-ul activat, terminați noțiunile de bază de zi cu zi. Resolutorul DNS încorporat al OPNsense (Unbound) este activat în mod implicit și este tot ce au nevoie pentru majoritatea rețelelor - dispozitivele dvs. folosesc deja firewall-ul ca server DNS. Ceea ce adaugi manual este certitudine pentru dispozitivele care nu trebuie să se miște niciodată: imprimantele, un NAS și camerele primesc mapări DHCP statice, astfel încât fiecare primește întotdeauna aceeași adresă (în versiunile recente sub Servicii → DHCP — Kea DHCP; ISC DHCP în cele mai vechi). Mapările statice vă permit, de asemenea, să dați nume locale dispozitivelor dvs., astfel încât să le puteți accesa după nume, în loc să memorați numere.

Acces de la distanță în mod sigur — Numai VPN

Mai devreme sau mai târziu veți dori să verificați firewall-ul din exterior. Fă-o în siguranță: interfața web și SSH sunt cheile pentru întreaga rețea, astfel încât nu sunt niciodată deschise direct către internet. Ruta sigură este un VPN - conectați-vă mai întâi la rețea cu un VPN, apoi deschideți interfața web exact ca și cum ați fi acasa. Numai o parolă puternică nu înlocuiește: o pagină de administrare expusă internetului este găsită de scanere în câteva ore și atacată non-stop.

Actualizați, faceți o copie de rezervă a configurației și lansați live

Două obiceiuri termină configurarea. În primul rând, actualizări: o instalare nouă nu este niciodată complet curentă, iar un firewall este exact dispozitivul care nu trebuie să ruleze software-ul vechi - accesați Sistem → Firmware și executați actualizările. În al doilea rând, backup-ul de configurare: descărcați-l din System → Configuration → Backups și păstrați fișierul în afara casetei. Acel fișier mic vă reconstruiește întreaga configurație în câteva minute dacă hardware-ul moare vreodată, așa că faceți o copie de rezervă după fiecare schimbare semnificativă, nu doar o dată. Și dacă vă blocați vreodată din interfața web cu o greșeală de setări, consola fizică este plasa de siguranță - monitor și tastatură pe cutie, conectați-vă ca root și remediați adresele interfeței sau resetați parola din meniul consolei. Nu reinstalați niciodată în panică; consola rezolvă aproape totul.