Имате ли стар компютър, който събира прах и вече не го използвате за игри или работа? Не го изхвърляйте, защото можете да извлечете максимума от старите си компютри, като ги превърнете в мозъка на домашната си мрежа . Настройването на собствена защитна стена с OPNsense е фантастично, тъй като ви позволява да се откажете от основните рутери, които ни налагат интернет доставчиците, които са склонни да се претоварват, когато ги натоварите малко, или да прегряват през лятото, оставяйки ви блокирани в най-лошия възможен момент.
Идеята тук е да се използва мощността на компютърен процесор, който е значително по-добър от този на търговски рутер, за да се управлява трафикът, да се филтрира съдържанието и да се сегментира мрежата . Не е нужно да сте мрежов експерт, за да започнете, въпреки че е необходимо да сте донякъде сръчни с конфигурацията и да разбирате, че консумацията на енергия ще бъде малко по-висока от тази на малко устройство, но контролът, който получавате върху сигурността си, е просто на съвсем друго ниво.
Хардуерът, необходим за изграждане на вашия домашен рутер
За да работи това перфектно, не всеки компютър ще свърши работа. В идеалния случай ви е необходим настолен компютър тип „кула“ със свободни PCI Express слотове на дънната платка. Забравете за лаптопи или мини компютри, тъй като трябва да свързваме физически мрежови карти. За достъп до интернет силно се препоръчва високоскоростна мрежова карта (за предпочитане 10 Gbps), която поддържа съвременни оптични връзки.
Критичният момент са Ethernet портовете. Рутерът се нуждае от поне два интерфейса: един за WAN (този, който се свързва с модема на интернет доставчика) и друг за LAN (тази, която разпространява интернет до дома ви). Ако искате да свържете няколко устройства чрез кабел без усложнения, най-добре е да инсталирате мрежова карта с множество портове (например, 4-портова гигабитова карта). Това предотвратява претоварването на процесора при обработката на всеки пакет и гарантира, че няма да има пречки във връзката ви.
Що се отнася до вътрешните компоненти, не е нужно да харчите цяло състояние. Процесор Intel i3 или дори по-стар двуядрен е повече от достатъчен. Важното е консумацията на енергия да е ниска (умерено TDP), защото компютърът ще бъде включен 24/7. С 4 GB RAM и малък SSD за операционната система ще имате повече от достатъчно. Трик за пестене на енергия и намаляване на шума е да намалите честотата на процесора в BIOS и, ако е възможно, да се откажете от специалната графична карта и да използвате вместо това интегрираната.
Инсталиране и внедряване на системата
OPNsense е базиран на FreeBSD, така че няма да използваме Windows. За да го инсталирате, ще ви е необходимо USB устройство, форматирано във FAT32, съдържащо системния образ (изберете VGA версия, за да можете да виждате какво правите на екрана). Важен детайл е да деактивирате Secure Boot в BIOS, тъй като FreeBSD понякога не работи добре с тази опция и да се уверите, че USB устройството е първото устройство за зареждане.
По време на инсталацията системата ще ви помоли да създадете парола за root потребителя; изберете силна, която няма да забравите. След инсталирането компютърът ще се рестартира и ще влезете в текстово меню. Тук трябва да зададете мрежовите интерфейси . За да избегнете объркване, свържете кабел към всеки порт и вижте кой е активен на екрана; това ще ви покаже точно коя е вашата WAN и кой е вашата LAN мрежа. Обикновено WAN автоматично ще получи IP адрес чрез DHCP от рутера на вашия интернет доставчик, докато LAN мрежата ще има IP адреса по подразбиране, който обикновено е 192.168.1.1.
Виртуализация: OPNsense на Proxmox или KVM
Ако имате по-мощен сървър, не е нужно да отделяте цял компютър само за защитната стена. Можете да използвате виртуализация с Proxmox или KVM. В Proxmox, например, можете да създавате логически интерфейси и мостове за управление на трафика. Това е много полезно, ако искате да сегментирате мрежата си, без да се нуждаете от множество физически мрежови карти, тъй като можете да използвате стандарта 802.1Q за създаване на VLAN (виртуални мрежи).
Във виртуализирана среда можете да конфигурирате мрежа за управление (Mgt), която да комуникира със защитната стена, без да преминава през потребителската мрежа. Това е жизненоважно за сигурността, тъй като ви позволява да ограничите достъпа на системната администрация само до вашия доверен екип, предотвратявайки достъпа на нищо неподозиращ потребител във вашата Wi-Fi мрежа до контролния панел на рутера.
Проблемът с Wi-Fi и сегментацията
Ето в какво е уловката: OPNsense не работи добре с драйверите на предлаганите в търговската мрежа Wi-Fi карти. Следователно, най-доброто решение е да използвате външна точка за достъп (AP) . Можете да пренастроите стар рутер, като го конфигурирате в „AP режим“ или деактивирате DHCP сървъра му, така че да действа само като безжичен мост. Свържете тази точка за достъп към един от LAN портовете на вашия компютър/рутер и сте готови.
Ако искате да отидете още една крачка напред, можете да използвате управляван комутатор, за да създадете изолирани мрежи. Например, можете да посветите VLAN 50 изключително на гостеви Wi-Fi или IoT устройства, като го отделите напълно от работната си мрежа (VLAN 10). В OPNsense ще трябва да конфигурирате DHCP сървъра (като Kea) за всяка подмрежа и да създадете специфични правила за защитната стена , които позволяват трафик към WAN, но блокират комуникацията между Wi-Fi мрежата и личните ви файлове, прилагайки домашно укрепване с VLAN.
Финална конфигурация и фина настройка
След като системата се стартира, вече няма да ви е необходим екран или клавиатура на вашия компютър. Всичко се управлява чрез уеб браузър чрез въвеждане на LAN IP адреса. Първата стъпка е да конфигурирате Outbound NAT (маскиране), така че устройствата във вашата вътрешна мрежа да имат достъп до интернет, използвайки публичния IP адрес на вашата WAN мрежа. Ако забележите, че клиентите имат IP адреси, но не могат да сърфират в интернет, проверете дали DNS (Outbound) сървърът има конфигурирани списъци за достъп да слуша заявки от всички ваши подмрежи.
Не забравяйте, че по подразбиране OPNsense блокира целия трафик на нови интерфейси. Ще трябва да отидете в секцията с правила и да създадете правило за преминаване , за да позволите на трафика от вашата локална мрежа да достигне до WAN. Ако вашият интернет доставчик е много рестриктивен и използва MAC адреса на оригиналния рутер за нещо друго, можете да клонирате MAC адреса в OPNsense, за да подмамите системата да ви присвои връзка.
Настройването на тази система ви дава пълен контрол върху това кой влиза и излиза от вашата мрежа, позволява ви да управлявате честотната лента, така че никой да не претоварва връзката, изтегляйки игри, и най-важното - помага ви да научите как всъщност работи интернетът във вашия дом. Въпреки че консумацията на енергия е малко по-висока от тази на пластмасов рутер, процесорната мощност и сигурността, осигурени от специализиран хардуер, компенсират повече от малкото увеличение на сметката ви за ток.
