Настройка брандмауэра OPNsense
OPNsense — это бесплатный брандмауэр с открытым исходным кодом, который вы устанавливаете на свой небольшой компьютер. Реальные правила брандмауэра, DHCP, DNS, VPN и отчеты — все под вашим контролем. Это руководство соответствует порядку видео: оборудование, установка через USB, мастер настройки, первые правила, DHCP, DNS, безопасный удаленный доступ и резервное копирование.
📑Главы
<ол класс="главы">📋 Обзор и пошаговое руководство
Выберите оборудование — минимум два сетевых порта
OPNsense — это платформа межсетевого экрана и маршрутизации, созданная на базе FreeBSD. Вы устанавливаете его на свое собственное оборудование — запасной ПК, мини-ПК или небольшое устройство — и оно располагается между вашим модемом и сетью, решая, какой трафик может проходить. Аппаратное обеспечение должно представлять собой 64-разрядный компьютер с как минимум двумя сетевыми портами: один становится WAN (сторона Интернета), другой — LAN (ваша сеть). Официальные рекомендации — минимум 2 ГБ ОЗУ, 4 ГБ или более для комфортного использования, а SSD объемом 40 ГБ или более вполне достаточно для большинства домов и небольших офисов. Сетевые карты Intel являются предпочтительными, поскольку их драйверы FreeBSD являются наиболее надежными, а дешевые порты Realtek являются единственной наиболее распространенной причиной странных сбоев в работе сети. Безвентиляторные мини-ПК с двумя портами Intel — популярный долгосрочный выбор: бесшумные и малопотребляющие.
Загрузите официальный образ и проверьте контрольную сумму
Перейдите на официальную страницу загрузки OPNsense по адресу opnsense.org и выберите ближайшее к вам зеркало. Для обычной установки на ПК с флэш-накопителя выберите образ amd64 VGA для USB — имя файла заканчивается на -vga.img.bz2. VGA означает, что изображение отображается на обычном мониторе; серийный образ предназначен для автономных устройств с консольным кабелем, а DVD ISO — для виртуальных машин и оптических носителей. Файл сжат, поэтому сначала распакуйте его (7-Zip поддерживает формат .bz2). Затем проверьте загрузку: контрольная сумма SHA-256 публикуется рядом с изображением на странице загрузки — сравните ее с контрольной суммой загруженного файла, прежде чем что-либо писать. Соответствующая контрольная сумма подтверждает, что файл доставлен в целости и сохранности.
Запись образа на USB-накопитель
Запишите извлеченный образ на флэш-накопитель с помощью программы записи необработанных изображений, такой как balenaEtcher или Rufus в режиме DD. Это не копия файла — флешка становится загрузочным установщиком FreeBSD, и все, что на ней уже есть, уничтожается, поэтому используйте флешку, которая вам не нужна; 4 ГБ или больше достаточно. Затем перед загрузкой подключите кабели: модем к порту, который вы планируете использовать как WAN, а ноутбук или коммутатор к порту, который вы хотите использовать как LAN. Вставьте флешку и загрузите компьютер с USB — обычно это клавиша загрузочного меню, например F8, F11 или F12, при включении; это зависит от платы.
Установите OPNsense и установите надежный root-пароль
Работающая система загружается с приглашением входа в консоль. Войдите в систему, используя имя пользователя installer и пароль opnsense, и установщик запустится. Примите раскладку клавиш, выберите Установить, выберите целевой диск — дважды проверьте его — примите файловую систему по умолчанию, предлагаемую установщиком, и позвольте ему скопировать систему. Когда он закончится, перезагрузитесь и извлеките USB-накопитель. При первой загрузке консоль может попросить вас назначить интерфейсы: выберите, какой физический порт является LAN, а какой WAN, и для обычной настройки одной сети ответьте «нет» на VLAN.
Во время установки вам будет предложено установить пароль root — сделайте его длинным и уникальным и сохраните в менеджере паролей. Пока вы не установите свой собственный, новый OPNsense по-прежнему будет соответствовать известному паролю по умолчанию opnsense для учетной записи root, который может найти каждый. Установка не завершена, пока действует значение по умолчанию.
Первый вход в систему и мастер настройки
Подключите ноутбук к порту LAN. Он должен получить адрес автоматически, поскольку OPNsense по умолчанию запускает DHCP-сервер в локальной сети, раздавая адреса в диапазоне 192.168.1.x. Откройте веб-интерфейс в браузере:
https://192.168.1.1Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.
192.168.10.1 is the address used in this setup — and afterwards the web interface answers at the new address instead.Изучите правила по умолчанию, а затем добавьте свои
Прежде чем добавлять собственные правила, поймите отправную точку: OPNsense уже по умолчанию представляет собой разумный межсетевой экран. Все, поступающее из Интернета, блокируется, устройствам в вашей локальной сети разрешен выход, а автоматическое правило антиблокировки в локальной сети сохраняет доступ к веб-интерфейсу, даже если вы допустили ошибку в правилах. Правила читаются сверху вниз, и побеждает первое совпавшее правило. Так что не начинайте с добавления везде правил блокировки. Посмотрите живой журнал в течение дня (Брандмауэр → Файлы журнала → Просмотр в реальном времени), узнайте, как выглядит обычный трафик в вашей сети, и только потом добавляйте правила — по одному, каждое с определенной целью.
Настройка DHCP и DNS
Включив брандмауэр, завершите повседневные дела. Встроенный преобразователь DNS (Unbound) OPNsense включен по умолчанию и является всем, что нужно большинству сетей — ваши устройства уже используют брандмауэр в качестве своего DNS-сервера. То, что вы добавляете вручную, — это уверенность в отношении устройств, которые никогда не должны перемещаться: принтеры, NAS и камеры получают статические сопоставления DHCP, поэтому каждое из них всегда получает один и тот же адрес (в последних версиях в разделе «Службы» → DHCP — Kea DHCP; ISC DHCP в более старых). Статические сопоставления также позволяют давать локальные имена вашим устройствам, поэтому вы можете обращаться к ним по имени, а не запоминать номера.
Безопасный удаленный доступ — только VPN
Рано или поздно вам захочется проверить брандмауэр снаружи. Делайте это безопасным способом: веб-интерфейс и SSH являются ключами ко всей сети, поэтому они никогда не открываются напрямую в Интернет. Безопасный путь — это VPN: сначала подключитесь к своей сети с помощью VPN, а затем откройте веб-интерфейс точно так же, как если бы вы сидели дома. Надежный пароль сам по себе не является заменой: страница администратора, доступная в Интернет, обнаруживается сканерами в течение нескольких часов и подвергается атакам круглосуточно.
Обновить, создать резервную копию конфигурации и начать работу
Две привычки завершают настройку. Во-первых, обновления: новая установка никогда не бывает полностью актуальной, а брандмауэр — это именно то устройство, на котором нельзя запускать старое программное обеспечение — перейдите в «Система» → «Прошивка» и запустите обновления. Во-вторых, резервная копия конфигурации: загрузите ее из «Система» → «Конфигурация» → «Резервные копии» и сохраните файл отдельно. Этот небольшой файл восстановит всю вашу установку за считанные минуты, если оборудование когда-либо выйдет из строя, поэтому создайте резервную копию после каждого значимого изменения, а не только один раз. И если вы когда-нибудь заблокируете себе доступ к веб-интерфейсу из-за ошибки в настройках, физическая консоль станет защитой: монитор и клавиатура на устройстве, войдите в систему как root и исправьте адреса интерфейса или сбросьте пароль из меню консоли. Никогда не паникуйте, переустанавливайте; консоль исправляет почти всё.
🏷️Topic Search Variables & Keywords
🎙️ Полная расшифровка — нажмите, чтобы развернуть
Пошаговое руководство по устранению неполадок и решениям — настройка брандмауэра OPNsense. Экранная демонстрация от Технического Аншу.
Полное руководство по настройке брандмауэра OPNsense — выбор оборудования, установка с USB-накопителя, мастер настройки, первые правила брандмауэра, DHCP, DNS, безопасный удаленный доступ и резервное копирование, объясненные шаг за шагом.
(расшифровка заканчивается здесь, на исходной странице — полное пошаговое руководство смотрите в видео выше.)
❓ Часто задаваемые вопросы (на английском языке)
Является ли это руководство абсолютно бесплатным?
Да! Во всех руководствах и методах, продемонстрированных Tech Anshu, используются бесплатные легальные и образовательные ресурсы.
Могут ли новички следовать этому руководству?
Абсолютно! Каждый шаг демонстрируется на экране с подробными инструкциями, поэтому каждый может легко следовать им.
Где я могу задать вопросы, если застряну?
Оставьте комментарий прямо под видео на YouTube, и наше сообщество и технический специалист Anshu помогут вам.
🚀 Посмотрите полное руководство на YouTube
🚀 Посмотрите полное пошаговое видеоруководство на YouTube: https://www.youtube.com/watch?v=GcaPvyvtXm0
Подпишитесь на техническую поддержку Anshu для ИТ-поддержки, устранения неполадок Windows и управления сервером.
▶️ Посмотреть полное видео