Налаштування брандмауера OPNsense

Виберіть апаратне забезпечення — мінімум два мережеві порти

OPNsense — це брандмауер і платформа маршрутизації, побудована на FreeBSD. Ви встановлюєте його на власне обладнання — запасний ПК, міні-ПК або невеликий пристрій — і воно розташовується між вашим модемом і мережею, вирішуючи, який трафік може проходити. Апаратне забезпечення має бути 64-розрядним ПК із принаймні двома мережевими портами: один стає WAN (інтернет), інший – LAN (ваша мережа). Офіційні вказівки складають приблизно 2 ГБ оперативної пам’яті як мінімум, 4 ГБ або більше для комфортного використання, а твердотільного накопичувача на 40 ГБ або більше цілком достатньо для більшості домівок і невеликих офісів. Настільки перевага віддається мережевим картам Intel, оскільки їхні драйвери FreeBSD є найнадійнішими — дешеві порти Realtek є єдиною найпоширенішою причиною дивних падінь мережі. Міні-ПК без вентиляторів із подвійними портами Intel є популярним вибором на тривалий термін: вони тихі й енергоспоживаючі.

Завантажте офіційне зображення та перевірте контрольну суму

Перейдіть на офіційну сторінку завантаження OPNsense на opnsense.org і виберіть дзеркало поблизу. Для звичайного встановлення на комп’ютер із флеш-накопичувача виберіть amd64 VGA-образ для USB — ім’я файлу закінчується на -vga.img.bz2. VGA означає, що він відображається на звичайному моніторі; серійний образ призначений для безголових пристроїв із консольним кабелем, а DVD ISO — для віртуальних машин і оптичних носіїв. Файл стиснутий, тому спочатку розпакуйте його (7-Zip підтримує формат .bz2). Потім перевірте завантаження: контрольна сума SHA-256 опублікована поруч із зображенням на сторінці завантаження — порівняйте її з контрольною сумою завантаженого файлу, перш ніж щось писати. Відповідна контрольна сума доводить, що файл надійшов повним і непідробленим.

Запишіть зображення на USB-накопичувач

Запишіть вилучене зображення на флеш-накопичувач за допомогою програми для запису необроблених зображень, наприклад balenaEtcher або Rufus у режимі DD. Це не копія файлу — флешка стає завантажувальним інсталятором FreeBSD, і все, що на ній є, знищується, тому використовуйте флешку, яка вам не потрібна; Достатньо 4 ГБ або більше. Потім перед завантаженням підключіть кабелі: модем до порту, який ви плануєте використовувати як WAN, а ноутбук або комутатор — до порту, який ви плануєте використовувати як LAN. Вставте флешку та завантажте комп’ютер із USB — зазвичай це клавіша меню завантаження, наприклад F8, F11 або F12 під час увімкнення; це залежить від дошки.

Установіть OPNsense та встановіть надійний пароль адміністратора

Жива система завантажується за запитом входу в консоль. Увійдіть за допомогою імені користувача installer і пароля opnsense, після чого запуститься інсталятор. Прийміть розкладку клавіш, виберіть Встановити, виберіть цільовий диск — ще раз перевірте його — прийміть файлову систему за замовчуванням, яку пропонує інсталятор, і дайте йому скопіювати систему. Коли він завершиться, перезавантажте та вийміть USB-накопичувач. Під час першого завантаження консоль може попросити вас призначити інтерфейси: вибрати, який фізичний порт є LAN, а який – WAN, і для нормального налаштування однієї мережі відповідайте ні VLAN.

Під час інсталяції вас попросять встановити пароль адміністратора — зробіть його довгим і унікальним і збережіть його в менеджері паролів. Поки ви не встановите власний, свіжий OPNsense все одно відповідає на добре відомий пароль за замовчуванням opnsense для кореневого облікового запису, який може знайти кожен. Встановлення не завершено, поки стандартний параметр ще активний.

Перший вхід і майстер налаштування

Підключіть ноутбук до порту LAN. Він має отримати адресу автоматично, оскільки OPNsense за замовчуванням запускає сервер DHCP у локальній мережі, роздаючи адреси в діапазоні 192.168.1.x. Відкрийте веб-інтерфейс у браузері:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

Зрозумійте стандартні правила, а потім додайте власні

Перш ніж додавати власні правила, зрозумійте вихідну точку: OPNsense вже готовий до розумного брандмауера. Усе, що надходить з Інтернету, блокується, пристроям у вашій локальній мережі дозволено виходити, а автоматичне правило антиблокування в локальній мережі зберігає ваш доступ до веб-інтерфейсу, навіть якщо ви помилилися правилами. Правила читаються зверху вниз, і виграє перше відповідне правило. Тому не починайте з додавання скрізь правил блокування. Перегляньте журнал у реальному часі протягом дня (Брандмауер → Файли журналів → Перегляд у реальному часі), дізнайтеся, як виглядає звичайний трафік у вашій мережі, і лише тоді додайте правила — по одному, кожне з певною метою.

Налаштування DHCP і DNS

Відкривши брандмауер, завершіть повсякденні основи. Вбудований DNS-розпізнавач OPNsense (без зв’язку) увімкнено за замовчуванням, і це все, що потрібно більшості мереж — ваші пристрої вже використовують брандмауер як DNS-сервер. Те, що ви додаєте вручну, — це надійність для пристроїв, які ніколи не повинні рухатися: принтери, NAS і камери отримують статичне відображення DHCP, тому кожен завжди отримує ту саму адресу (в останніх версіях у розділі «Служби» → DHCP — Kea DHCP; ISC DHCP у старіших). Статичні зіставлення також дозволяють давати локальні назви вашим пристроям, тож ви можете зв’язуватися з ними за назвою, а не запам’ятовувати номери.

Безпечний віддалений доступ — лише VPN

Рано чи пізно ви захочете перевірити брандмауер ззовні. Робіть це безпечно: веб-інтерфейс і SSH є ключами до всієї мережі, тому вони ніколи не відкриваються безпосередньо в Інтернеті. Безпечним маршрутом є VPN — спочатку підключіться до своєї мережі за допомогою VPN, а потім відкрийте веб-інтерфейс так, ніби ви сидите вдома. Сам по собі надійний пароль не замінить: сторінку адміністратора, доступну в Інтернеті, знаходять сканери протягом кількох годин і цілодобово атакують.

Оновіть, створіть резервну копію конфігурації та запустіть

Налаштування завершують дві звички. По-перше, оновлення: нова інсталяція ніколи не є повністю актуальною, а брандмауер — це саме той пристрій, на якому не можна запускати старе програмне забезпечення — перейдіть до Система → Програмне забезпечення та запустіть оновлення. По-друге, резервна копія конфігурації: завантажте її в меню Система → Конфігурація → Резервні копії та збережіть файл із коробки. Цей один невеликий файл відновлює всю вашу установку за лічені хвилини, якщо апаратне забезпечення коли-небудь вимикається, тому створюйте резервні копії після кожної суттєвої зміни, а не лише один раз. І якщо ви колись заблокуєте себе у веб-інтерфейсі через помилку налаштувань, фізична консоль є мережею безпеки — монітор і клавіатура на коробці, увійдіть як root і виправте адреси інтерфейсу або скиньте пароль з меню консолі. Ніколи не панікуйте, перевстановіть; консоль виправляє майже все.