Haben Sie einen alten Tower-PC, der nur noch Staub fängt und den Sie weder zum Spielen noch für die Arbeit nutzen? Werfen Sie ihn nicht weg! Sie können das volle Potenzial Ihrer alten PCs ausschöpfen, indem Sie sie zum Herzstück Ihres Heimnetzwerks machen . Die Einrichtung einer eigenen Firewall mit OPNsense ist fantastisch, denn so können Sie die Standardrouter der Internetanbieter hinter sich lassen, die oft schon bei geringer Belastung überlastet sind oder im Sommer überhitzen und Sie im ungünstigsten Moment im Stich lassen.
Die Idee besteht darin, die Leistung eines PC-Prozessors zu nutzen, der dem eines handelsüblichen Routers deutlich überlegen ist, um den Datenverkehr zu steuern, Inhalte zu filtern und Ihr Netzwerk zu segmentieren . Sie müssen kein Netzwerkexperte sein, um loszulegen, sollten aber über gewisse Konfigurationskenntnisse verfügen und sich darüber im Klaren sein, dass der Stromverbrauch etwas höher ist als bei einem kleinen Gerät. Die dadurch gewonnene Kontrolle über Ihre Sicherheit ist jedoch unvergleichlich.
Die Hardware, die zum Bau Ihres Heimrouters benötigt wird
Damit dies einwandfrei funktioniert, ist nicht jeder Computer geeignet. Idealerweise benötigen Sie einen Desktop-Tower mit freien PCI-Express-Steckplätzen auf dem Mainboard. Laptops oder Mini-PCs sind nicht geeignet, da wir physische Netzwerkkarten benötigen. Für den Internetzugang wird eine Hochgeschwindigkeits-Netzwerkkarte (vorzugsweise 10 Gbit/s) empfohlen, die aktuelle Glasfaserverbindungen unterstützt.
Entscheidend sind die Ethernet-Anschlüsse. Ein Router benötigt mindestens zwei Schnittstellen: eine für das WAN (die Verbindung zum Modem des Internetanbieters) und eine für das LAN (die Internetverbindung im Haus bereitstellt). Um mehrere Geräte problemlos per Kabel anzuschließen, empfiehlt sich eine Netzwerkkarte mit mehreren Ports (z. B. eine Gigabit-Karte mit 4 Ports). Dadurch wird verhindert, dass der Prozessor durch die Verarbeitung der einzelnen Datenpakete überlastet wird und Engpässe in der Verbindung entstehen.
Was die internen Komponenten angeht, müssen Sie kein Vermögen ausgeben. Ein Intel i3-Prozessor oder sogar ein älterer Dual-Core-Prozessor reicht völlig aus. Wichtig ist ein geringer Stromverbrauch (moderate TDP), da der Computer rund um die Uhr läuft. Mit 4 GB RAM und einer kleinen SSD für das Betriebssystem sind Sie bestens gerüstet. Ein Trick, um Strom zu sparen und die Lautstärke zu reduzieren, ist, die CPU-Geschwindigkeit im BIOS zu senken und, wenn möglich, auf die dedizierte Grafikkarte zu verzichten und stattdessen die integrierte Grafikkarte zu verwenden.
Systeminstallation und -bereitstellung
OPNsense basiert auf FreeBSD, daher verwenden wir kein Windows. Zur Installation benötigen Sie einen mit FAT32 formatierten USB-Stick mit dem Systemabbild (wählen Sie die VGA-Version, damit Sie die Einstellungen auf dem Bildschirm sehen können). Wichtig: Deaktivieren Sie Secure Boot im BIOS, da FreeBSD mit dieser Option manchmal Probleme hat. Stellen Sie außerdem sicher, dass der USB-Stick als erstes Startgerät ausgewählt ist.
Während der Installation werden Sie aufgefordert, ein Passwort für den Root-Benutzer festzulegen. Wählen Sie ein sicheres Passwort, das Sie sich gut merken können. Nach der Installation startet der PC neu und Sie gelangen in ein Textmenü. Hier müssen Sie die Netzwerkschnittstellen zuweisen . Um Verwechslungen zu vermeiden, schließen Sie an jeden Port ein Kabel an und prüfen Sie, welche Schnittstelle auf dem Bildschirm aktiv ist. So erkennen Sie genau, welche Schnittstelle Ihr WAN und welche Ihr LAN ist. Normalerweise erhält das WAN automatisch eine IP-Adresse per DHCP vom Router Ihres Internetanbieters, während das LAN die Standard-IP-Adresse verwendet, üblicherweise 192.168.1.1.
Virtualisierung: OPNsense auf Proxmox oder KVM
Bei einem leistungsstärkeren Server ist es nicht nötig, einen separaten PC nur für die Firewall zu verwenden. Mit Virtualisierung, beispielsweise mit Proxmox oder KVM, lässt sich dies realisieren. In Proxmox können Sie beispielsweise logische Schnittstellen und Bridges erstellen, um den Datenverkehr zu steuern. Dies ist besonders nützlich, wenn Sie Ihr Netzwerk segmentieren möchten, ohne mehrere physische Netzwerkkarten zu benötigen, da Sie den 802.1Q-Standard zur Erstellung von VLANs (virtuellen Netzwerken) nutzen können.
In einer virtualisierten Umgebung können Sie ein Management-Netzwerk (Mgt-Netzwerk) konfigurieren, das direkt mit der Firewall kommuniziert, ohne das Benutzernetzwerk zu durchlaufen. Dies ist aus Sicherheitsgründen unerlässlich, da Sie so den Systemadministrationszugriff auf Ihr vertrauenswürdiges Team beschränken und verhindern können, dass unbefugte Benutzer in Ihrem WLAN auf das Bedienfeld des Routers zugreifen.
Das Problem von WLAN und Segmentierung
Hier der Haken: OPNsense funktioniert nicht optimal mit den Treibern handelsüblicher WLAN-Karten. Daher ist die beste Lösung die Verwendung eines externen Access Points (AP) . Sie können einen alten Router umfunktionieren, indem Sie ihn im „AP-Modus“ konfigurieren oder seinen DHCP-Server deaktivieren, sodass er nur noch als WLAN-Brücke fungiert. Verbinden Sie diesen AP mit einem der LAN-Anschlüsse Ihres PCs/Routers, und schon kann es losgehen.
Für eine noch umfassendere Absicherung können Sie einen Managed Switch verwenden, um isolierte Netzwerke zu erstellen. Beispielsweise können Sie VLAN 50 exklusiv für Gast-WLAN oder IoT-Geräte reservieren und es so vollständig von Ihrem Arbeitsnetzwerk (VLAN 10) trennen. In OPNsense müssen Sie den DHCP-Server (z. B. Kea) für jedes Subnetz konfigurieren und spezifische Firewall-Regeln erstellen , die den Datenverkehr zum WAN zulassen, aber die Kommunikation zwischen dem WLAN und Ihren persönlichen Dateien blockieren. So optimieren Sie die Sicherheit Ihres Heimnetzwerks mithilfe von VLANs.
Endgültige Konfiguration und Feinabstimmung
Sobald das System hochgefahren ist, benötigen Sie weder Bildschirm noch Tastatur an Ihrem PC. Die gesamte Steuerung erfolgt über einen Webbrowser durch Eingabe der LAN-IP-Adresse. Im ersten Schritt konfigurieren Sie Outbound-NAT (Maskierung) , damit Geräte in Ihrem internen Netzwerk über die öffentliche IP-Adresse Ihres WANs auf das Internet zugreifen können. Sollten Clients zwar IP-Adressen haben, aber nicht im Internet surfen können, überprüfen Sie, ob der DNS-Server (Outbound) die Zugriffslisten so konfiguriert hat , dass er Anfragen aus allen Ihren Subnetzen entgegennimmt.
Beachten Sie, dass OPNsense standardmäßig den gesamten Datenverkehr über neue Schnittstellen blockiert. Sie müssen im Regelbereich eine Durchlassregel erstellen , um den Datenverkehr von Ihrem LAN zum WAN zu ermöglichen. Falls Ihr Internetanbieter sehr restriktiv ist und die ursprüngliche MAC-Adresse des Routers anderweitig verwendet, können Sie die MAC-Adresse in OPNsense klonen , um das System dazu zu bringen, Ihnen eine Verbindung zuzuweisen.
Mit diesem System haben Sie die volle Kontrolle darüber, wer Ihr Netzwerk betritt und verlässt. Sie können die Bandbreite verwalten, sodass niemand die Verbindung durch das Herunterladen von Spielen blockiert. Und vor allem lernen Sie so, wie das Internet in Ihrem Heimnetzwerk tatsächlich funktioniert. Der Stromverbrauch ist zwar etwas höher als bei einem herkömmlichen Router, doch die Rechenleistung und Sicherheit der dedizierten Hardware gleichen den geringen Mehraufwand auf Ihrer Stromrechnung mehr als aus.
