การตั้งค่าไฟร์วอลล์ OPNsense

เลือกฮาร์ดแวร์ — สองพอร์ตเครือข่ายขั้นต่ำ

OPNsense คือไฟร์วอลล์และแพลตฟอร์มการกำหนดเส้นทางที่สร้างขึ้นบน FreeBSD คุณติดตั้งมันลงบนฮาร์ดแวร์ของคุณเอง — พีซีสำรอง, มินิพีซี หรือเครื่องใช้ไฟฟ้าขนาดเล็ก — และมันจะอยู่ระหว่างโมเด็มและเครือข่ายของคุณ เพื่อตัดสินใจว่าทราฟฟิกใดที่อาจผ่านไปได้ ฮาร์ดแวร์ต้องเป็นพีซีแบบ 64 บิตที่มีพอร์ตเครือข่ายอย่างน้อยสองพอร์ต: พอร์ตหนึ่งกลายเป็น WAN (ฝั่งอินเทอร์เน็ต) และอีกพอร์ตหนึ่งเป็น LAN (เครือข่ายของคุณ) คำแนะนำอย่างเป็นทางการคือ RAM อย่างน้อยประมาณ 2 GB, 4 GB ขึ้นไปสำหรับการใช้งานที่สะดวกสบาย และ SSD ขนาด 40 GB ขึ้นไปก็เพียงพอสำหรับบ้านและสำนักงานขนาดเล็กส่วนใหญ่ การ์ดเครือข่ายของ Intel เป็นที่ต้องการอย่างยิ่งเนื่องจากไดรเวอร์ FreeBSD นั้นมีความน่าเชื่อถือมากที่สุด — พอร์ต Realtek ราคาถูกเป็นสาเหตุเดียวที่พบบ่อยที่สุดที่ทำให้เครือข่ายล่มแบบแปลกๆ มินิพีซีไร้พัดลมที่มีพอร์ต Intel คู่เป็นตัวเลือกยอดนิยมในระยะยาว: เงียบและใช้พลังงานต่ำ

ดาวน์โหลดรูปภาพอย่างเป็นทางการและยืนยันผลรวม

ไปที่หน้าดาวน์โหลด OPNsense อย่างเป็นทางการที่ opnsense.org และเลือกมิเรอร์ที่อยู่ใกล้คุณ สำหรับพีซีทั่วไปที่ติดตั้งจากไดรฟ์ปากกา ให้เลือก อิมเมจ VGA amd64 สำหรับ USB — ชื่อไฟล์ลงท้ายด้วย -vga.img.bz2 VGA หมายถึงแสดงผลบนจอภาพธรรมดา อิมเมจอนุกรมมีไว้สำหรับอุปกรณ์ที่ไม่มีหัวพร้อมสายเคเบิลคอนโซล และ ISO ของ DVD ใช้สำหรับเครื่องเสมือนและสื่อออปติคัล ไฟล์ถูกบีบอัด ดังนั้นให้แตกไฟล์ก่อน (7-Zip รองรับรูปแบบ .bz2) จากนั้นตรวจสอบการดาวน์โหลด: มีการเผยแพร่เช็คซัม SHA-256 ข้างรูปภาพในหน้าดาวน์โหลด เปรียบเทียบกับเช็คซัมของไฟล์ที่คุณดาวน์โหลดก่อนที่จะเขียนอะไร ผลรวมตรวจสอบที่ตรงกันจะพิสูจน์ว่าไฟล์มาถึงเสร็จสมบูรณ์และไม่มีการแก้ไข

เขียนภาพลงในแท่ง USB

เขียนอิมเมจที่แยกออกมาไปยังไดรฟ์ปากกาด้วยโปรแกรมเขียนอิมเมจแบบ Raw เช่น balenaEtcher หรือ Rufus ในโหมด DD นี่ไม่ใช่การคัดลอกไฟล์ - แท่งจะกลายเป็นตัวติดตั้ง FreeBSD ที่สามารถบูตได้ และทุกสิ่งที่อยู่ในนั้นจะถูกทำลาย ดังนั้นให้ใช้แท่งที่คุณไม่สนใจ 4 GB หรือใหญ่กว่าก็เพียงพอแล้ว จากนั้นเชื่อมต่อสายเคเบิลก่อนที่คุณจะบูต: โมเด็มเข้ากับพอร์ตที่คุณต้องการใช้เป็น WAN และแล็ปท็อปหรือเปลี่ยนเป็นพอร์ตที่คุณต้องการเป็น LAN ใส่แท่งและบู๊ตพีซีจาก USB ซึ่งโดยปกติจะเป็นปุ่มเมนูบู๊ตเช่น F8, F11 หรือ F12 เมื่อเปิดเครื่อง มันแตกต่างกันไปตามกระดาน

ติดตั้ง OPNsense และตั้งรหัสผ่านรูทที่แข็งแกร่ง

ระบบที่ใช้งานจริงจะบู๊ตไปที่พร้อมท์การเข้าสู่ระบบคอนโซล เข้าสู่ระบบด้วยชื่อผู้ใช้ ตัวติดตั้ง และรหัสผ่าน opnsense จากนั้นตัวติดตั้งจะเริ่มทำงาน ยอมรับคีย์แมป เลือก ติดตั้ง เลือกดิสก์เป้าหมาย — ตรวจสอบอีกครั้ง — ยอมรับค่าเริ่มต้นของระบบไฟล์ที่โปรแกรมติดตั้งเสนอ และปล่อยให้คัดลอกระบบ เมื่อเสร็จสิ้น ให้รีบูตและถอดแท่ง USB ออก ในการบูตครั้งแรก คอนโซลอาจขอให้คุณกำหนดอินเทอร์เฟซ โดยเลือกพอร์ตจริงที่เป็น LAN และพอร์ตใดเป็น WAN และสำหรับการตั้งค่าเครือข่ายเดียวปกติ ให้ตอบว่าไม่สำหรับ VLAN

ระหว่างการติดตั้ง คุณจะถูกขอให้ตั้งค่า รหัสผ่านรูท — ทำให้ยาวและไม่ซ้ำกัน และจัดเก็บไว้ในเครื่องมือจัดการรหัสผ่าน จนกว่าคุณจะตั้งค่าเอง OPNsense ใหม่จะยังคงตอบรหัสผ่านเริ่มต้นที่รู้จักกันดี opnsense สำหรับบัญชีรูท ซึ่งใครๆ ก็สามารถค้นหาได้ การติดตั้งไม่เสร็จสิ้นในขณะที่ค่าเริ่มต้นนั้นยังคงอยู่

เข้าสู่ระบบครั้งแรกและวิซาร์ดการตั้งค่า

เชื่อมต่อแล็ปท็อปเข้ากับพอร์ต LAN ควรได้รับที่อยู่โดยอัตโนมัติ เนื่องจาก OPNsense รันเซิร์ฟเวอร์ DHCP บน LAN ตามค่าเริ่มต้น โดยแจกที่อยู่ในช่วง 192.168.1.x เปิดเว็บอินเตอร์เฟสในเบราว์เซอร์:

ตั้งค่า DHCP และ DNS

เมื่อเปิดไฟร์วอลล์แล้ว ให้ทำสิ่งพื้นฐานในชีวิตประจำวันให้เสร็จ ตัวแก้ไข DNS ในตัว (Unbound) ของ OPNsense เปิดใช้งานตามค่าเริ่มต้นและเป็นที่ต้องการของเครือข่ายส่วนใหญ่ — อุปกรณ์ของคุณใช้ไฟร์วอลล์เป็นเซิร์ฟเวอร์ DNS อยู่แล้ว สิ่งที่คุณเพิ่มด้วยตนเองคือความมั่นใจสำหรับอุปกรณ์ที่ต้องไม่เคลื่อนย้าย: เครื่องพิมพ์, NAS และกล้องจะได้รับการแมป DHCP แบบคงที่ ดังนั้นแต่ละเครื่องจะได้รับที่อยู่เดียวกันเสมอ (ในเวอร์ชันล่าสุดภายใต้บริการ → DHCP — Kea DHCP; ISC DHCP ในเวอร์ชันเก่า) การทำแผนที่แบบคงที่ยังช่วยให้คุณตั้งชื่อท้องถิ่นให้กับอุปกรณ์ของคุณ เพื่อให้คุณสามารถเข้าถึงอุปกรณ์เหล่านั้นด้วยชื่อแทนการจำตัวเลข

การเข้าถึงระยะไกลด้วยวิธีที่ปลอดภัย — VPN เท่านั้น

ไม่ช้าก็เร็ว คุณจะต้องตรวจสอบไฟร์วอลล์จากภายนอก ทำด้วยวิธีที่ปลอดภัย: เว็บอินเทอร์เฟซและ SSH เป็นกุญแจสำคัญของเครือข่ายทั้งหมด ดังนั้นจึงไม่เคยเปิดเข้าสู่อินเทอร์เน็ตโดยตรง เส้นทางที่ปลอดภัยคือ VPN — เชื่อมต่อเข้ากับเครือข่ายของคุณด้วย VPN ก่อน จากนั้นจึงเปิดเว็บอินเทอร์เฟซเหมือนกับว่าคุณนั่งอยู่ที่บ้าน รหัสผ่านที่รัดกุมเพียงอย่างเดียวไม่สามารถทดแทนได้: หน้าผู้ดูแลระบบที่เปิดเผยต่ออินเทอร์เน็ตจะถูกค้นพบโดยสแกนเนอร์ภายในไม่กี่ชั่วโมงและถูกโจมตีตลอดเวลา

อัปเดต สำรองข้อมูลการกำหนดค่า และใช้งานจริง

นิสัยสองประการทำให้การตั้งค่าเสร็จสิ้น ขั้นแรก การอัปเดต: การติดตั้งใหม่ไม่เคยเป็นปัจจุบันอย่างสมบูรณ์ และไฟร์วอลล์เป็นอุปกรณ์ที่ต้องไม่ใช้ซอฟต์แวร์เก่า — ไปที่ระบบ → เฟิร์มแวร์ และเรียกใช้การอัปเดต ประการที่สอง การสำรองข้อมูลการกำหนดค่า: ดาวน์โหลดได้จาก System → Configuration → Backups และเก็บไฟล์ไว้นอกกรอบ ไฟล์ขนาดเล็กเพียงไฟล์เดียวจะสร้างการตั้งค่าทั้งหมดของคุณใหม่ได้ภายในไม่กี่นาทีหากฮาร์ดแวร์เสียหาย ดังนั้นให้สำรองข้อมูลอีกครั้งหลังจากการเปลี่ยนแปลงที่สำคัญทุกครั้ง ไม่ใช่แค่เพียงครั้งเดียว และหากคุณล็อคตัวเองออกจากเว็บอินเทอร์เฟซด้วยการตั้งค่าที่ผิดพลาด คอนโซลทางกายภาพจะเป็นตาข่ายนิรภัย — จอภาพและคีย์บอร์ดบนกล่อง เข้าสู่ระบบในฐานะรูท และแก้ไขที่อยู่อินเทอร์เฟซหรือรีเซ็ตรหัสผ่านจากเมนูคอนโซล อย่าตื่นตระหนกติดตั้งใหม่ คอนโซลจะแก้ไขได้เกือบทุกอย่าง