OPNsense 防火墙设置

选择硬件 - 至少两个网络端口

OPNsense 是一个基于 FreeBSD 构建的防火墙和路由平台。您可以将其安装在自己的硬件上（备用 PC、迷你 PC 或小型设备），并且它位于调制解调器和网络之间，决定可以通过哪些流量。硬件必须是一台具有至少两个网络端口的 64 位 PC：一个成为 WAN（互联网端），另一个成为 LAN（您的网络）。官方指导是至少大约 2 GB RAM，4 GB 或更多才能舒适使用，40 GB 或更多 SSD 对于大多数家庭和小型办公室来说已经足够了。 Intel 网卡受到强烈青睐，因为它们的 FreeBSD 驱动程序是最可靠的——廉价的 Realtek 端口是奇怪的网络掉线的最常见原因。配备双英特尔端口的无风扇迷你电脑是流行的长期选择：安静且低功耗。

下载官方镜像并验证校验和

前往 opnsense.org 上的官方 OPNsense 下载页面并选择您附近的镜像。对于从笔式驱动器进行普通 PC 安装，请选择 USB 的 amd64 VGA 映像 - 文件名以 -vga.img.bz2 结尾。 VGA表示在普通显示器上显示；串行映像适用于带有控制台电缆的无头设备，DVD ISO 适用于虚拟机和光学介质。该文件已压缩，因此请先将其解压（7-Zip 处理 .bz2 格式）。然后验证下载：SHA-256 校验和发布在下载页面上的图像旁边 - 在写入任何内容之前将其与下载文件的校验和进行比较。匹配的校验和证明文件到达时完整且未被篡改。

将图像写入 USB 记忆棒

使用原始图像写入器（例如 balenaEtcher 或 DD 模式下的 Rufus）将提取的图像写入笔式驱动器。这不是文件副本 — 该棒将成为可启动的 FreeBSD 安装程序，并且其上已有的所有内容都会被破坏，因此请使用您不关心的棒； 4 GB 或更大就足够了。然后在启动前连接电缆：将调制解调器插入您打算用作 WAN 的端口，将笔记本电脑或交换机插入您打算用作 LAN 的端口。插入 U 盘并从 USB 启动 PC — 通常是开机时的启动菜单键，如 F8、F11 或 F12；它因板而异。

安装 OPNsense 并设置强 root 密码

实时系统启动至控制台登录提示符。使用用户名 installer 和密码 opnsense 登录，安装程序将启动。接受键盘映射，选择安装，选择目标磁盘 - 仔细检查 - 接受安装程序提供的文件系统默认值，并让它复制系统。完成后，重新启动并移除 USB 记忆棒。第一次启动时，控制台可能会要求您分配接口：选择哪个物理端口是 LAN，哪个是 WAN，对于正常的单网络设置，请对 VLAN 回答“否”。

在安装过程中，系统会要求您设置根密码 - 使其长且唯一，并将其存储在密码管理器中。在您设置自己的密码之前，新的 OPNsense 仍会响应 root 帐户众所周知的默认密码 opnsense，任何人都可以查找该密码。当默认值仍然有效时，安装尚未完成。

首次登录和设置向导

将笔记本电脑连接到 LAN 端口。它应该自动接收地址，因为 OPNsense 默认在 LAN 上运行 DHCP 服务器，分发 192.168.1.x 范围内的地址。在浏览器中打开Web界面：

设置 DHCP 和 DNS

防火墙启动后，完成日常基础知识。 OPNsense 的内置 DNS 解析器（未绑定）默认启用，并且满足大多数网络的所有需求 - 您的设备已使用防火墙作为其 DNS 服务器。您手动添加的内容对于永远不能移动的设备来说是确定性的：打印机、NAS 和相机获得静态 DHCP 映射，因此每个设备始终接收相同的地址（在最近的版本中位于“服务”→“DHCP — Kea DHCP”下；在旧版本中为“ISC DHCP”）。静态映射还允许您为设备指定本地名称，这样您就可以通过名称来访问它们，而无需记住数字。

安全远程访问 - 仅 VPN

迟早您会想要从外部检查防火墙。以安全的方式进行：Web 界面和 SSH 是整个网络的密钥，因此它们永远不会直接向互联网开放。安全的路线是 VPN — 首先使用 VPN 连接到您的网络，然后打开 Web 界面，就像您坐在家里一样。仅靠强密码并不能替代：暴露在互联网上的管理页面会在数小时内被扫描仪发现并全天候受到攻击。

更新、备份配置并上线

两个习惯完成了设置。首先，更新：全新安装永远不会是完全最新的，而防火墙正是不得运行旧软件的设备 - 转到系统→固件并运行更新。二、配置备份：从系统→配置→备份下载并保存文件。如果硬件出现故障，这个小文件会在几分钟内重建您的整个设置，因此在每次有意义的更改后再次备份，而不仅仅是一次。如果您因设置错误而将自己锁定在 Web 界面之外，那么物理控制台就是安全网——盒子上的显示器和键盘，以 root 身份登录，并从控制台菜单修复界面地址或重置密码。切勿恐慌重新安装；控制台几乎修复了所有问题。