Imate li stari toranj koji skuplja prašinu i koji više ne koristite za igranje ili posao? Nemojte ga bacati! Možete maksimalno iskoristiti svoja stara računala tako što ćete ih pretvoriti u mozak svoje kućne mreže . Postavljanje vlastitog vatrozida s OPNsenseom je fantastično jer vam omogućuje da zaboravite na osnovne usmjerivače koje nam nameću davatelji internetskih usluga, a koji se obično preopterete kada ih malo pritisnete ili pregriju ljeti, ostavljajući vas nasukane u najgorem mogućem trenutku.
Ideja je iskoristiti snagu procesora osobnog računala, koji je znatno superiorniji od onog komercijalnog usmjerivača, za upravljanje prometom, filtriranje sadržaja i segmentaciju mreže . Ne morate biti stručnjak za mreže da biste započeli, iako morate biti donekle vješti s konfiguracijom i razumjeti da će potrošnja energije biti nešto veća nego kod malog uređaja, ali kontrola koju dobivate nad sigurnošću je jednostavno na drugoj razini.
Hardver potreban za izgradnju kućnog rutera
Da bi ovo savršeno funkcioniralo, neće biti dovoljno bilo koje računalo. Idealno bi bilo da vam je potreban stolni toranj sa slobodnim PCI Express utorima na matičnoj ploči. Zaboravite na prijenosna računala ili mini računala, jer moramo spojiti fizičke mrežne kartice. Za pristup internetu preporučuje se brza mrežna kartica (po mogućnosti 10 Gbps) koja podržava trenutne optičke veze.
Kritična točka su Ethernet portovi. Ruteru su potrebna barem dva sučelja: jedno za WAN (ono koje se spaja na modem davatelja internetskih usluga) i drugo za LAN (ono koje distribuira internet u vaš dom). Ako želite spojiti nekoliko uređaja putem kabela bez komplikacija, najbolje je instalirati mrežnu karticu s više portova (na primjer, gigabitnu karticu s 4 porta). To sprječava preopterećenje procesora pri upravljanju svakim paketom i osigurava da nema uskih grla u vašoj vezi.
Što se tiče unutarnjih komponenti, ne morate potrošiti bogatstvo. Intel i3 procesor, ili čak stariji dvojezgreni, više je nego dovoljan. Važno je da je potrošnja energije niska (umjereni TDP) jer će računalo biti uključeno 24/7. S 4 GB RAM-a i malim SSD-om za operativni sustav, imat ćete više nego dovoljno. Trik za uštedu energije i smanjenje buke je smanjenje brzine CPU-a u BIOS-u i, ako je moguće, izbjegavanje namjenske grafičke kartice i korištenje integrirane.
Instalacija i implementacija sustava
OPNsense se temelji na FreeBSD-u, tako da nećemo koristiti Windows. Za instalaciju će vam trebati USB pogon formatiran u FAT32 koji sadrži sliku sustava (odaberite VGA verziju kako biste mogli vidjeti što radite na zaslonu). Ključan detalj je onemogućavanje Secure Boot-a u BIOS-u, jer FreeBSD ponekad ne radi dobro s ovom opcijom i provjerite je li USB pogon prvi uređaj za pokretanje.
Tijekom instalacije, sustav će vas zatražiti da kreirate lozinku za root korisnika; odaberite jaku koju nećete zaboraviti. Nakon instalacije, računalo će se ponovno pokrenuti i ući ćete u tekstualni izbornik. Ovdje trebate dodijeliti mrežna sučelja . Kako biste izbjegli zabunu, spojite kabel na svaki priključak i na zaslonu pogledajte koji je aktivan; to će vam točno reći koji je vaš WAN, a koji LAN. Obično će WAN automatski dobiti IP adresu putem DHCP-a od usmjerivača vašeg davatelja internetskih usluga, dok će LAN imati zadanu IP adresu, koja je obično 192.168.1.1.
Virtualizacija: OPNsense na Proxmoxu ili KVM-u
Ako imate snažniji poslužitelj, ne morate posvetiti cijelo računalo samo vatrozidu. Možete koristiti virtualizaciju s Proxmoxom ili KVM-om. U Proxmoxu, na primjer, možete stvoriti logička sučelja i mostove za upravljanje prometom. To je vrlo korisno ako želite segmentirati mrežu bez potrebe za više fizičkih mrežnih kartica, budući da možete koristiti 802.1Q standard za stvaranje VLAN-ova (virtualnih mreža).
U virtualiziranom okruženju možete konfigurirati upravljačku (Mgt) mrežu za komunikaciju s vatrozidom bez prolaska kroz korisničku mrežu. To je ključno za sigurnost, jer vam omogućuje ograničavanje pristupa administracije sustava samo vašem pouzdanom timu, sprječavajući bilo kojeg nesumnjivog korisnika na vašoj Wi-Fi mreži da pristupi upravljačkoj ploči usmjerivača.
Problem Wi-Fi-ja i segmentacije
Evo u čemu je kvaka: OPNsense ne radi dobro s upravljačkim programima komercijalno dostupnih Wi-Fi kartica. Stoga je najbolje rješenje korištenje vanjske pristupne točke (AP) . Stari usmjerivač možete prenamijeniti tako da ga konfigurirate u "AP načinu rada" ili onemogućite njegov DHCP poslužitelj tako da djeluje samo kao bežični most. Spojite ovu pristupnu točku na jedan od LAN priključaka na računalu/usmjerivaču i spremni ste.
Ako želite ići korak dalje, možete koristiti upravljani preklopnik za stvaranje izoliranih mreža. Na primjer, VLAN 50 možete namijeniti isključivo za gostujuće Wi-Fi ili IoT uređaje, potpuno ga odvajajući od svoje radne mreže (VLAN 10). U OPNsenseu ćete morati konfigurirati DHCP poslužitelj (kao što je Kea) za svaku podmrežu i stvoriti specifična pravila vatrozida koja dopuštaju promet prema WAN-u, ali blokiraju komunikaciju između Wi-Fi mreže i vaših osobnih datoteka, primjenjujući homelab hardening s VLAN-ovima.
Konačna konfiguracija i fino podešavanje
Nakon što se sustav pokrene, više vam ne treba ekran ili tipkovnica na računalu. Sve se upravlja putem web preglednika unosom LAN IP adrese. Prvi korak je konfiguriranje Outbound NAT-a (maskiranja) kako bi uređaji na vašoj internoj mreži mogli pristupiti internetu koristeći javnu IP adresu vaše WAN mreže. Ako primijetite da klijenti imaju IP adrese, ali ne mogu pretraživati internet, provjerite ima li DNS (Outbound) poslužitelj konfigurirane popise pristupa za slušanje zahtjeva iz svih vaših podmreža.
Imajte na umu da OPNsense prema zadanim postavkama blokira sav promet na novim sučeljima. Morat ćete otići u odjeljak s pravilima i stvoriti pravilo prolaza kako biste omogućili promet s vaše LAN mreže da dođe do WAN mreže. Ako je vaš davatelj internetskih usluga vrlo strog i koristi MAC adresu izvornog usmjerivača za nešto drugo, možete klonirati MAC adresu u OPNsenseu kako biste prevarili sustav da vam dodijeli vezu.
Postavljanje ovog sustava daje vam potpunu kontrolu nad time tko ulazi i izlazi iz vaše mreže, omogućuje vam upravljanje propusnošću kako nitko ne bi zauzeo vezu preuzimanjem igara i, što je najvažnije, pomaže vam da naučite kako internet zapravo funkcionira u vašem domu. Iako je potrošnja energije nešto veća od plastičnog usmjerivača, procesorska snaga i sigurnost koje pruža namjenski hardver više nego nadoknađuju malo povećanje vašeg računa za struju.
