OPNsense Güvenlik Duvarı Kurulumu

Donanımı Seçin — Minimum İki Ağ Bağlantı Noktası

OPNsense, FreeBSD üzerine kurulu bir güvenlik duvarı ve yönlendirme platformudur. Onu kendi donanımınıza (yedek bir bilgisayar, mini bilgisayar veya küçük bir cihaz) kurarsınız ve o, modeminiz ile ağınız arasında yer alır ve hangi trafiğin geçeceğine karar verir. Donanım, en az iki ağ bağlantı noktasına sahip 64 bit bir bilgisayar olmalıdır: biri WAN (internet tarafı), diğeri ise LAN (ağınız) olur. Resmi kılavuz, kabaca minimum olarak 2 GB RAM, rahat kullanım için 4 GB veya daha fazlasıdır ve çoğu ev ve küçük ofis için 40 GB veya daha fazla bir SSD yeterlidir. Intel ağ kartları, FreeBSD sürücüleri en güvenilir olduğundan özellikle tercih edilir; ucuz Realtek bağlantı noktaları, garip ağ kesintilerinin en yaygın nedenidir. Çift Intel bağlantı noktasına sahip fansız mini bilgisayarlar, uzun vadeli popüler tercihtir: sessiz ve düşük güç tüketimi.

Resmi Resmi İndirin ve Sağlama Toplamını Doğrulayın

opnsense.org adresindeki resmi OPNsense indirme sayfasına gidin ve yakınınızdaki bir aynayı seçin. Bir kalem sürücüden normal bir PC kurulumu için USB için amd64 VGA görüntüsünü seçin; dosya adı -vga.img.bz2 ile biter. VGA, sıradan bir monitörde görüntülendiği anlamına gelir; seri görüntü, konsol kablolu başsız cihazlar içindir ve DVD ISO, sanal makineler ve optik ortam içindir. Dosya sıkıştırılmıştır, bu nedenle önce onu çıkartın (7-Zip, .bz2 formatını işler). Ardından indirme işlemini doğrulayın: SHA-256 sağlama toplamı, indirme sayfasındaki görselin yanında yayınlanır; herhangi bir şey yazmadan önce bunu indirdiğiniz dosyanın sağlama toplamı ile karşılaştırın. Eşleşen bir sağlama toplamı, dosyanın eksiksiz ve değiştirilmemiş bir şekilde ulaştığını kanıtlar.

Görüntüyü bir USB Çubuğuna Yazma

Çıkartılan görüntüyü balenaEtcher veya Rufus gibi bir ham görüntü yazıcısıyla DD modunda bir kalem sürücüye yazın. Bu bir dosya kopyası değildir; çubuk, önyüklenebilir bir FreeBSD yükleyicisi haline gelir ve üzerinde zaten bulunan her şey yok edilir, bu nedenle umursamadığınız bir çubuğu kullanın; 4 GB veya daha fazlası yeterlidir. Ardından, önyüklemeden önce kabloları bağlayın: modemi WAN olarak düşündüğünüz bağlantı noktasına ve bir dizüstü bilgisayar veya LAN olarak düşündüğünüz bağlantı noktasına geçin. Çubuğu takın ve bilgisayarı USB'den başlatın; genellikle açılışta F8, F11 veya F12 gibi bir önyükleme menüsü tuşu; panoya göre değişir.

OPNsense'i Kurun ve Güçlü Bir Kök Şifre Belirleyin

Canlı sistem, bir konsol oturum açma istemiyle önyükleme yapar. installer kullanıcı adı ve opnsense şifresiyle oturum açın ve yükleyici başlatılır. Tuş haritasını kabul edin, Yükle'yi seçin, hedef diski seçin - iki kez kontrol edin - yükleyicinin sunduğu dosya sistemi varsayılanını kabul edin ve sistemi kopyalamasına izin verin. Bittiğinde, USB çubuğunu yeniden başlatın ve çıkarın. İlk önyüklemede konsol sizden arayüz atamanızı isteyebilir: Hangi fiziksel bağlantı noktasının LAN, hangisinin WAN olduğunu seçin ve normal tek ağ kurulumu için VLAN'lara hayır yanıtını verin.

Yükleme sırasında sizden root şifresini ayarlamanız istenir; bu şifreyi uzun ve benzersiz yapın ve bir şifre yöneticisinde saklayın. Siz kendi şifrenizi belirleyene kadar, yeni bir OPNsense, kök hesap için herkesin arayabileceği, iyi bilinen varsayılan opnsense şifresine yanıt vermeye devam eder. Bu varsayılan hâlâ etkinken yükleme tamamlanmaz.

İlk Oturum Açma ve Kurulum Sihirbazı

Bir dizüstü bilgisayarı LAN bağlantı noktasına bağlayın. OPNsense varsayılan olarak LAN üzerinde bir DHCP sunucusu çalıştırdığından ve adresleri 192.168.1.x aralığında dağıttığından otomatik olarak bir adres alması gerekir. Web arayüzünü tarayıcıda açın:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

DHCP ve DNS'yi Ayarlayın

Güvenlik duvarı açıkken günlük temel işleri tamamlayın. OPNsense'in yerleşik DNS çözümleyicisi (Bağlantısız) varsayılan olarak etkindir ve çoğu ağın ihtiyaç duyduğu tek şeydir; cihazlarınız zaten güvenlik duvarını DNS sunucusu olarak kullanıyor. Elle eklediğiniz şey, hiçbir zaman hareket etmemesi gereken cihazlar için kesinliktir: yazıcılar, NAS ve kameralar statik DHCP eşlemeleri alır, böylece her biri her zaman aynı adresi alır (son sürümlerde Hizmetler → DHCP — Kea DHCP altında; eski sürümlerde ISC DHCP). Statik eşlemeler ayrıca cihazlarınıza yerel adlar vermenize de olanak tanır, böylece sayıları ezberlemek yerine adlarıyla onlara ulaşabilirsiniz.

Uzaktan Erişimin Güvenli Yolu — Yalnızca VPN

Er ya da geç güvenlik duvarını dışarıdan kontrol etmek isteyeceksiniz. Bunu güvenli bir şekilde yapın: web arayüzü ve SSH tüm ağın anahtarlarıdır, dolayısıyla hiçbir zaman doğrudan internete açılmazlar. Güvenli yol bir VPN'dir; önce ağınıza bir VPN ile bağlanın, ardından web arayüzünü sanki evde oturuyormuşsunuz gibi açın. Güçlü bir şifre tek başına bunun yerine geçemez: İnternete açık bir yönetici sayfası tarayıcılar tarafından saatler içinde bulunur ve günün her saati saldırıya uğrar.

Yapılandırmayı Güncelleyin, Yedekleyin ve Yayına Alın

Kurulumu iki alışkanlık tamamlar. Birincisi, güncellemeler: Yeni bir kurulum hiçbir zaman tam olarak geçerli olmaz ve güvenlik duvarı tam olarak eski yazılımı çalıştırmaması gereken cihazdır; Sistem → Ürün Yazılımı'na gidin ve güncellemeleri çalıştırın. İkincisi, yapılandırma yedeği: Sistem → Yapılandırma → Yedeklemeler bölümünden indirin ve dosyayı kutunun dışında tutun. Bu küçük dosya, donanımın ölmesi durumunda tüm kurulumunuzu dakikalar içinde yeniden oluşturur; bu nedenle, yalnızca bir kez değil, her anlamlı değişiklikten sonra tekrar yedekleyin. Ve eğer bir ayar hatası nedeniyle kendinizi web arayüzünün dışında kilitlerseniz, fiziksel konsol güvenlik ağıdır; kutudaki monitör ve klavye, root olarak oturum açın ve arayüz adreslerini düzeltin veya konsol menüsünden şifreyi sıfırlayın. Asla panikle yeniden yükleme yapmayın; konsol neredeyse her şeyi düzeltir.