Installation av OPNsense-brandvägg

Välj hårdvara – minst två nätverksportar

OPNsense är en brandvägg och routingplattform byggd på FreeBSD. Du installerar den på din egen hårdvara - en reservdator, en mini-PC eller en liten apparat - och den sitter mellan ditt modem och ditt nätverk och bestämmer vilken trafik som får passera. Hårdvaran måste vara en 64-bitars PC med minst två nätverksportar: en blir WAN (internetsidan), den andra till LAN (ditt nätverk). Den officiella vägledningen är ungefär 2 GB RAM som minst, 4 GB eller mer för bekväm användning, och en SSD på 40 GB eller mer är gott för de flesta hem och små kontor. Intel nätverkskort är starkt att föredra eftersom deras FreeBSD-drivrutiner är de mest pålitliga — billiga Realtek-portar är den enskilt vanligaste orsaken till konstiga nätverksavbrott. Fläktlösa mini-datorer med dubbla Intel-portar är det populära långsiktiga valet: tysta och låg på ström.

Ladda ned den officiella bilden och verifiera kontrollsumman

Gå till den officiella nedladdningssidan för OPNsense på opnsense.org och välj en spegel nära dig. För en normal PC-installation från en pennenhet, välj amd64 VGA-avbildning för USB — filnamnet slutar med -vga.img.bz2. VGA betyder att den visas på en vanlig bildskärm; seriebilden är för huvudlösa apparater med en konsolkabel, och DVD:n ISO är för virtuella maskiner och optiska media. Filen är komprimerad, så extrahera den först (7-Zip hanterar .bz2-formatet). Verifiera sedan nedladdningen: SHA-256-kontrollsumman publiceras bredvid bilden på nedladdningssidan - jämför den med din nedladdade fils kontrollsumma innan du skriver något. En matchande kontrollsumma bevisar att filen kom komplett och opåverkad.

Skriv bilden till ett USB-minne

Skriv den extraherade bilden till en pennenhet med en råbildskrivare som balenaEtcher eller Rufus i DD-läge. Detta är inte en filkopia — stickan blir en startbar FreeBSD-installerare, och allt som redan finns på den förstörs, så använd en sticka som du inte bryr dig om; 4 GB eller större räcker. Koppla sedan in kablarna innan du startar: modemet till den port du avser som WAN, och en bärbar dator eller byt till den port du avser som LAN. Sätt i stickan och starta datorn från USB - vanligtvis en startmenyknapp som F8, F11 eller F12 vid strömpåslag; det varierar beroende på styrelse.

Installera OPNsense och ställ in ett starkt root-lösenord

Live-systemet startar till en konsolinloggningsprompt. Logga in med användarnamnet installer och lösenordet opnsense, så startar installationsprogrammet. Acceptera tangentbordet, välj Installera, välj måldisken – dubbelkolla den – acceptera filsystemets standardinställningar som installationsprogrammet erbjuder och låt det kopiera systemet. När det är klart, starta om och ta bort USB-minnet. Vid den första uppstarten kan konsolen be dig att tilldela gränssnitt: välj vilken fysisk port som är LAN och vilken som är WAN, och för en normal installation med ett nätverk, svara nej till VLAN.

Under installationen uppmanas du att ställa in root-lösenordet – gör det långt och unikt och lagra det i en lösenordshanterare. Tills du ställer in ditt eget svarar fortfarande en ny OPNsense på det välkända standardlösenordet opnsense för root-kontot, som vem som helst kan slå upp. Installationen är inte klar medan den standarden fortfarande är aktiv.

Första inloggning och installationsguiden

Anslut en bärbar dator till LAN-porten. Den bör få en adress automatiskt, eftersom OPNsense kör en DHCP-server på LAN som standard och delar ut adresser i intervallet 192.168.1.x. Öppna webbgränssnittet i webbläsaren:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

Förstå standardreglerna och lägg sedan till dina egna

Innan du lägger till dina egna regler bör du förstå utgångspunkten – ur lådan är OPNsense redan en vettig brandvägg. Allt som kommer in från internet är blockerat, enheter på ditt LAN tillåts ute och en automatisk anti-lockout-regel på LAN håller din tillgång till webbgränssnittet vid liv även om du gör ett regelmisstag. Reglerna läses uppifrån och ned och den första matchningsregeln vinner. Så börja inte med att lägga till blockregler överallt. Titta på liveloggen för en dag (Brandvägg → Loggfiler → Livevy), lär dig hur normal trafik på ditt nätverk ser ut och lägg först sedan till regler – en i taget, var och en med ett specifikt syfte.

Konfigurera DHCP och DNS

Med brandväggen uppe avslutar du de vardagliga grunderna. OPNsenses inbyggda DNS-resolver (Obundet) är aktiverad som standard och är allt de flesta nätverk behöver - dina enheter använder redan brandväggen som sin DNS-server. Det du lägger till för hand är säkerhet för de enheter som aldrig får röra sig: skrivare, en NAS och kameror får statiska DHCP-mappningar, så var och en får alltid samma adress (i nyare versioner under Tjänster → DHCP — Kea DHCP; ISC DHCP i äldre). Statiska mappningar låter dig också ge dina enheter lokala namn, så att du kan nå dem med namn istället för att memorera siffror.

Fjärråtkomst på ett säkert sätt – endast VPN

Förr eller senare vill du kontrollera brandväggen utifrån. Gör det på ett säkert sätt: webbgränssnittet och SSH är nycklarna till hela nätverket, så de öppnas aldrig direkt mot internet. Den säkra rutten är en VPN – anslut till ditt nätverk med en VPN först, öppna sedan webbgränssnittet precis som om du satt hemma. Enbart ett starkt lösenord är inte en ersättning: en administratörssida som exponeras för internet hittas av skannrar inom några timmar och attackeras dygnet runt.

Uppdatera, säkerhetskopiera konfigurationen och gå live

Två vanor avslutar installationen. Först, uppdateringar: en nyinstallation är aldrig helt aktuell, och en brandvägg är exakt den enhet som inte får köra gammal programvara — gå till System → Firmware och kör uppdateringarna. För det andra, konfigurationssäkerhetskopian: ladda ner den från System → Konfiguration → Säkerhetskopieringar och håll filen borta från lådan. Den där lilla filen bygger om hela din installation på några minuter om hårdvaran någonsin dör, så säkerhetskopiera igen efter varje meningsfull förändring, inte bara en gång. Och om du någon gång låser dig själv från webbgränssnittet med ett inställningsfel, är den fysiska konsolen säkerhetsnätet - bildskärm och tangentbord på lådan, logga in som root och fixa gränssnittsadresserna eller återställ lösenordet från konsolmenyn. Återinstallera aldrig panik; konsolen fixar nästan allt.