Onko sinulla vanha tornitalo, joka kerää pölyä ja jota et enää käytä pelaamiseen tai työskentelyyn? Älä heitä sitä pois! Voit saada kaiken irti vanhoista tietokoneistasi muuttamalla ne kotiverkkosi aivoiksi . Oman palomuurin asentaminen OPNsensen avulla on fantastista, sillä sen avulla voit jättää taaksesi internet-palveluntarjoajien meille pakottamat perusreitittimet, jotka yleensä ylikuormittuvat, kun niitä rasittaa vähän, tai ylikuumenevat kesällä, jolloin olet pulassa pahimmalla mahdollisella hetkellä.
Ajatuksena on hyödyntää PC-prosessorin tehoa, joka on huomattavasti kaupallisen reitittimen tehoa parempi, liikenteen hallintaan, sisällön suodattamiseen ja verkon segmentointiin . Sinun ei tarvitse olla verkkoasiantuntija aloittaaksesi, vaikka sinun onkin oltava jonkin verran kätevä konfiguroinnin suhteen ja ymmärrettävä, että virrankulutus on hieman suurempi kuin pienen laitteen, mutta saat aivan toisenlaista hallintaa tietoturvaasi.
Kotireitittimen rakentamiseen tarvittava laitteisto
Jotta tämä toimisi täydellisesti, mikä tahansa tietokone ei kelpaa. Ihannetapauksessa tarvitset pöytätietokoneen, jossa on vapaat PCI Express -paikat emolevyllä. Unohda kannettavat tietokoneet tai minitietokoneet, sillä meidän on liitettävä fyysiset verkkokortit. Internet-yhteyttä varten suositellaan nopeaa verkkokorttia (mieluiten 10 Gbps), joka tukee nykyisiä valokuituyhteyksiä.
Kriittinen kohta ovat Ethernet-portit. Reitittimessä on oltava vähintään kaksi liitäntää: yksi WAN-verkkoa varten (se, joka yhdistää internet-palveluntarjoajan modeemiin) ja toinen lähiverkkoa varten (se, joka jakaa internetin kotiisi). Jos haluat yhdistää useita laitteita kaapelin kautta ilman ongelmia, on parasta asentaa verkkokortti, jossa on useita portteja (esimerkiksi 4-porttinen gigabittikortti). Tämä estää prosessorin ylikuormituksen kunkin paketin hallinnassa ja varmistaa, ettei yhteydessäsi ole pullonkauloja.
Sisäisten komponenttien osalta ei tarvitse käyttää omaisuuksia. Intel i3 -prosessori tai jopa vanhempi kaksiydinprosessori on enemmän kuin tarpeeksi. Tärkeintä on, että virrankulutus on alhainen (kohtalainen TDP), koska tietokone on päällä 24/7. 4 Gt:n RAM-muistilla ja pienellä SSD-levyllä käyttöjärjestelmälle on enemmän kuin tarpeeksi. Yksi keino säästää virtaa ja vähentää melua on alentaa suorittimen nopeutta BIOSissa ja, jos mahdollista, luopua erillisestä näytönohjaimesta ja käyttää integroitua näytönohjainta.
Järjestelmän asennus ja käyttöönotto
OPNsense perustuu FreeBSD:hen, joten emme käytä Windowsia. Asennusta varten tarvitset FAT32-muotoon alustetun USB-aseman, joka sisältää järjestelmäkuvan (valitse VGA-versio, jotta näet näytöllä, mitä teet). Ratkaisevaa on poistaa Secure Boot käytöstä BIOSissa, koska FreeBSD ei aina toimi hyvin tämän asetuksen kanssa, ja varmistaa, että USB-asema on ensimmäinen käynnistyslaite.
Asennuksen aikana järjestelmä pyytää sinua luomaan pääkäyttäjälle salasanan; valitse vahva salasana, jota et unohda. Asennuksen jälkeen tietokone käynnistyy uudelleen ja avautuu tekstitilavalikko. Tässä sinun on määritettävä verkkoliitännät . Vältä sekaannusta kytkemällä kaapeli jokaiseen porttiin ja katsomalla näytöltä, mikä niistä on aktiivinen. Tämä kertoo tarkalleen, kumpi on WAN- ja kumpi lähiverkko. Normaalisti WAN-verkko saa IP-osoitteen automaattisesti DHCP:n kautta internet-palveluntarjoajasi reitittimeltä, kun taas lähiverkolla on oletus-IP-osoite, joka on yleensä 192.168.1.1.
Virtualisointi: OPNsense Proxmoxilla tai KVM:llä
Jos sinulla on tehokkaampi palvelin, sinun ei tarvitse omistaa koko tietokonetta pelkästään palomuurille. Voit käyttää virtualisointia Proxmoxin tai KVM:n avulla. Esimerkiksi Proxmoxissa voit luoda loogisia rajapintoja ja siltoja liikenteen hallintaan. Tämä on erittäin hyödyllistä, jos haluat segmentoida verkkosi ilman useita fyysisiä verkkokortteja, koska voit käyttää 802.1Q-standardia VLANien (virtuaaliverkkojen) luomiseen.
Virtualisoidussa ympäristössä voit määrittää hallintaverkon (Mgt) kommunikoimaan palomuurin kanssa kulkematta käyttäjäverkon kautta. Tämä on elintärkeää turvallisuuden kannalta, koska se antaa sinun rajoittaa järjestelmänvalvojan pääsyn vain luotettuun tiimiisi estäen tietämättömiä Wi-Fi-verkon käyttäjiä pääsemästä reitittimen ohjauspaneeliin.
Wi-Fi-ongelmat ja segmentointi
Tässä on juju: OPNsense ei toimi hyvin kaupallisesti saatavilla olevien Wi-Fi-korttien ajureiden kanssa. Siksi paras ratkaisu on käyttää ulkoista tukiasemaa (AP) . Voit muuttaa vanhan reitittimen käyttötarkoitusta määrittämällä sen "AP-tilaan" tai poistamalla sen DHCP-palvelimen käytöstä, jotta se toimii vain langattomana siltana. Liitä tämä tukiasema johonkin tietokoneesi/reitittimesi LAN-porteista, niin olet valmis.
Jos haluat mennä askeleen pidemmälle, voit käyttää hallittua kytkintä erillisten verkkojen luomiseen. Voit esimerkiksi omistaa VLAN 50:n yksinomaan vieras-Wi-Fi- tai IoT-laitteille ja erottaa sen täysin työverkostasi (VLAN 10). OPNsensessä sinun on määritettävä DHCP-palvelin (kuten Kea) jokaiselle aliverkolle ja luotava erityiset palomuurisäännöt , jotka sallivat liikenteen WAN-verkkoon, mutta estävät tiedonsiirron Wi-Fi-verkon ja henkilökohtaisten tiedostojesi välillä, soveltaen kotilaboratorion suojausta VLAN-verkoissa.
Lopullinen kokoonpano ja hienosäätö
Kun järjestelmä käynnistyy, et enää tarvitse näyttöä tai näppäimistöä tietokoneellasi. Kaikkea hallitaan verkkoselaimen kautta syöttämällä lähiverkon IP-osoite. Ensimmäinen vaihe on määrittää lähtevän liikenteen NAT (masking) siten, että sisäisen verkkosi laitteet voivat käyttää internetiä WAN-verkkosi julkisen IP-osoitteen avulla. Jos huomaat, että asiakkailla on IP-osoitteet, mutta he eivät voi selata internetiä, tarkista, että DNS-palvelimella (lähtevällä liikenteellä) on käyttöoikeusluettelot määritetty kuuntelemaan pyyntöjä kaikista aliverkoistasi.
Muista, että OPNsense estää oletuksena kaiken liikenteen uusissa rajapinnoissa. Sinun on mentävä sääntöosioon ja luotava pääsysääntö, jotta lähiverkon liikenteellä on pääsy laajaverkkoon (WAN). Jos internet-palveluntarjoajasi on erittäin rajoittava ja käyttää alkuperäisen reitittimen MAC-osoitetta johonkin muuhun, voit kloonata MAC-osoitteen OPNsensessä huijataksesi järjestelmän määrittämään sinulle yhteyden.
Tämän järjestelmän asentaminen antaa sinulle täyden hallinnan siitä, kuka tulee ja lähtee verkkoosi, mahdollistaa kaistanleveyden hallinnan, jotta kukaan ei kuluta yhteyttä pelien lataamiseen, ja mikä tärkeintä, auttaa sinua oppimaan, miten internet todellisuudessa toimii kotonasi. Vaikka virrankulutus on hieman suurempi kuin muovisella reitittimellä, erillisen laitteiston tarjoama prosessointiteho ja turvallisuus kompensoivat sähkölaskusi pienen nousun ylivoimaisesti.
