Har du et gammelt computertårn, der samler støv, som du ikke længere bruger til spil eller arbejde? Smid det ikke væk! Du kan få mest muligt ud af dine gamle pc'er ved at forvandle dem til hjernen i dit hjemmenetværk . Det er fantastisk at opsætte din egen firewall med OPNsense, da det giver dig mulighed for at lægge de grundlæggende routere bag dig, som internetudbydere påtvinger os. Routerne har en tendens til at blive overbelastet, når du presser dem lidt, eller de bliver overophedet om sommeren, hvilket efterlader dig strandet på det værst tænkelige tidspunkt.
Ideen her er at udnytte kraften i en pc-processor, som er langt bedre end en kommerciel router, til at administrere trafik, filtrere indhold og segmentere dit netværk . Du behøver ikke at være netværksekspert for at komme i gang, selvom du skal være lidt praktisk med konfiguration og forstå, at strømforbruget vil være en smule højere end for en lille enhed, men den kontrol, du får over din sikkerhed, er simpelthen på et andet niveau.
Den nødvendige hardware til at bygge din hjemmerouter
For at dette kan fungere perfekt, er det ikke en hvilken som helst computer, der kan bruges. Ideelt set har du brug for en stationær computer med ledige PCI Express-slots på bundkortet. Glem alt om bærbare computere eller mini-pc'er, da vi skal tilslutte fysiske netværkskort. Til internetforbindelsen anbefales et højhastighedsnetværkskort (helst et, der understøtter 10 Gbps), der understøtter nuværende fiberoptiske forbindelser.
Det kritiske punkt er Ethernet-portene. En router skal bruge mindst to grænseflader: en til WAN (den der forbinder til internetudbyderens modem) og en anden til LAN (den der distribuerer internet til dit hjem). Hvis du vil forbinde flere enheder via kabel uden komplikationer, er det bedst at installere et netværkskort med flere porte (f.eks. et 4-ports Gigabit-kort). Dette forhindrer processoren i at blive overbelastet ved håndtering af hver pakke og sikrer, at der ikke er flaskehalse i din forbindelse.
Hvad angår de interne komponenter, behøver du ikke at bruge en formue. En Intel i3-processor, eller endda en ældre dual-core-processor, er mere end rigeligt. Det vigtige er, at strømforbruget er lavt (en moderat TDP), fordi computeren vil være tændt 24/7. Med 4 GB RAM og en lille SSD til operativsystemet har du mere end rigeligt. Et trick til at spare strøm og reducere støj er at sænke CPU-hastigheden i BIOS og, hvis det er muligt, undvære det dedikerede grafikkort og i stedet bruge det integrerede.
Systeminstallation og implementering
OPNsense er baseret på FreeBSD, så vi bruger ikke Windows. For at installere det skal du bruge et USB-drev formateret i FAT32, der indeholder systembilledet (vælg VGA-versionen, så du kan se, hvad du laver på skærmen). En afgørende detalje er at deaktivere Secure Boot i BIOS, da FreeBSD nogle gange ikke fungerer godt med denne indstilling, og sørg for, at USB-drevet er den første boot-enhed.
Under installationen vil systemet bede dig om at oprette en adgangskode til root-brugeren. Vælg en stærk en, som du ikke vil glemme. Når den er installeret, genstarter pc'en, og du åbner en tekstmenu. Det er her, du skal tildele netværksgrænsefladerne . For at undgå forvirring skal du tilslutte et kabel til hver port og se, hvilken der er aktiv på skærmen. Dette vil fortælle dig præcis, hvilket der er dit WAN, og hvilket der er dit LAN. Normalt modtager WAN'et automatisk en IP-adresse via DHCP fra din internetudbyders router, mens LAN'et har standard-IP-adressen, som normalt er 192.168.1.1.
Virtualisering: OPNsense på Proxmox eller KVM
Hvis du har en kraftigere server, behøver du ikke at dedikere en hel pc kun til firewallen. Du kan bruge virtualisering med Proxmox eller KVM. I Proxmox kan du for eksempel oprette logiske grænseflader og broer til at styre trafik. Dette er meget nyttigt, hvis du vil segmentere dit netværk uden at have brug for flere fysiske netværkskort, da du kan bruge 802.1Q-standarden til at oprette VLAN'er (virtuelle netværk).
I et virtualiseret miljø kan du konfigurere et administrationsnetværk (Mgt) til at kommunikere med firewallen uden at gå gennem brugernetværket. Dette er afgørende for sikkerheden, da det giver dig mulighed for at begrænse adgangen til systemadministration til kun dit betroede team, hvilket forhindrer intetanende brugere på dit Wi-Fi i at få adgang til routerens kontrolpanel.
Problemet med Wi-Fi og segmentering
Her er hage: OPNsense fungerer ikke godt med driverne til kommercielt tilgængelige Wi-Fi-kort. Derfor er den bedste løsning at bruge et eksternt adgangspunkt (AP) . Du kan genbruge en gammel router ved at konfigurere den i "AP-tilstand" eller deaktivere dens DHCP-server, så den kun fungerer som en trådløs bro. Tilslut dette adgangspunkt til en af LAN-portene på din pc/router, og så er du klar.
Hvis du vil gå et skridt videre, kan du bruge en administreret switch til at oprette isolerede netværk. For eksempel kan du dedikere VLAN 50 udelukkende til gæste-Wi-Fi eller IoT-enheder og dermed fuldstændigt adskille det fra dit arbejdsnetværk (VLAN 10). I OPNsense skal du konfigurere DHCP-serveren (f.eks. Kea) for hvert undernet og oprette specifikke firewallregler , der tillader trafik til WAN'et, men blokerer kommunikation mellem Wi-Fi-netværket og dine personlige filer, ved at anvende homelab-hærdning med VLAN'er.
Endelig konfiguration og finjustering
Når systemet starter op, behøver du ikke længere en skærm eller et tastatur på din pc. Alt styres via en webbrowser ved at indtaste LAN'ens IP-adresse. Det første trin er at konfigurere Outbound NAT (maskering) , så enheder på dit interne netværk kan få adgang til internettet ved hjælp af dit WAN's offentlige IP-adresse. Hvis du bemærker, at klienter har IP-adresser, men ikke kan surfe på internettet, skal du kontrollere, at DNS-serveren (Outbound) har adgangslisterne konfigureret til at lytte efter anmodninger fra alle dine undernet.
Husk, at OPNsense som standard blokerer al trafik på nye grænseflader. Du skal gå til regelafsnittet og oprette en godkendelsesregel for at tillade trafik fra dit LAN at nå WAN'et. Hvis din internetudbyder er meget restriktiv og bruger den oprindelige routers MAC-adresse til noget andet, kan du klone MAC-adressen i OPNsense for at narre systemet til at tildele dig en forbindelse.
Opsætningen af dette system giver dig fuld kontrol over, hvem der går ind og ud af dit netværk, giver dig mulighed for at styre båndbredden, så ingen bruger internettet på at downloade spil, og vigtigst af alt hjælper det dig med at lære, hvordan internettet rent faktisk fungerer i dit hjem. Selvom strømforbruget er en smule højere end en plastikrouter, kompenserer processorkraften og sikkerheden, som dedikeret hardware leverer , mere end rigeligt for den lille stigning i din elregning.
