- Requisiti hardware specifici, come schede di rete PCIe e processori efficienti per il funzionamento 24 ore su 24, 7 giorni su 7.
- Diversi metodi di implementazione, dall'installazione nativa sull'hardware alla virtualizzazione con Proxmox o KVM.
- Strategie di segmentazione della rete tramite VLAN e configurazione di punti di accesso Wi-Fi indipendenti.
Avete un vecchio computer fisso che prende polvere e che non usate più per giocare o lavorare? Non buttatelo via! Potete sfruttare al massimo i vostri vecchi PC trasformandoli nel cuore della vostra rete domestica . Configurare un firewall personale con OPNsense è fantastico, perché vi permette di abbandonare i router di base che i provider internet ci impongono, che tendono a sovraccaricarsi al minimo sforzo o a surriscaldarsi d'estate, lasciandovi a piedi nel momento meno opportuno.
L'idea è quella di sfruttare la potenza di un processore per PC, di gran lunga superiore a quella di un router commerciale, per gestire il traffico, filtrare i contenuti e segmentare la rete . Non è necessario essere esperti di reti per iniziare, anche se bisogna avere una certa dimestichezza con la configurazione e comprendere che il consumo energetico sarà leggermente superiore a quello di un dispositivo di piccole dimensioni, ma il controllo che si ottiene sulla sicurezza è semplicemente di un altro livello.
L'hardware necessario per costruire il router di casa
Perché funzioni alla perfezione, non basta un computer qualsiasi. Idealmente, serve un computer desktop con slot PCI Express liberi sulla scheda madre. Dimenticatevi dei portatili o dei mini PC, perché dovremo collegare delle schede di rete fisiche. Per l'accesso a Internet, è vivamente consigliata una scheda di rete ad alta velocità (preferibilmente da 10 Gbps) che supporti le attuali connessioni in fibra ottica.
Il punto cruciale sono le porte Ethernet. Un router necessita di almeno due interfacce: una per la WAN (quella che si collega al modem del provider) e un'altra per la LAN (quella che distribuisce la connessione internet alla tua abitazione). Se desideri collegare più dispositivi via cavo senza problemi, è consigliabile installare una scheda di rete con più porte (ad esempio, una scheda Gigabit a 4 porte). Questo evita che il processore si sovraccarichi gestendo ogni singolo pacchetto e garantisce che non vi siano colli di bottiglia nella connessione.
Per quanto riguarda i componenti interni, non è necessario spendere una fortuna. Un processore Intel i3, o anche un vecchio dual-core, è più che sufficiente. L'importante è che il consumo energetico sia basso (un TDP moderato) perché il computer rimarrà acceso 24 ore su 24, 7 giorni su 7. Con 4 GB di RAM e un piccolo SSD per il sistema operativo, avrete più che a sufficienza. Un trucco per risparmiare energia e ridurre la rumorosità è quello di abbassare la velocità della CPU nel BIOS e, se possibile, fare a meno della scheda grafica dedicata e utilizzare quella integrata.
Installazione e implementazione del sistema
OPNsense è basato su FreeBSD, quindi non useremo Windows. Per installarlo, avrai bisogno di un'unità USB formattata in FAT32 contenente l'immagine di sistema (scegli la versione VGA per poter vedere cosa stai facendo sullo schermo). Un dettaglio fondamentale è disabilitare Secure Boot nel BIOS, poiché FreeBSD a volte non funziona correttamente con questa opzione, e assicurarsi che l'unità USB sia il primo dispositivo di avvio.
Durante l'installazione, il sistema ti chiederà di creare una password per l'utente root; scegline una complessa che non dimenticherai. Una volta completata l'installazione, il PC si riavvierà e accederai a un menu in modalità testo. Qui dovrai assegnare le interfacce di rete . Per evitare confusione, collega un cavo a ciascuna porta e verifica quale risulta attiva sullo schermo; questo ti indicherà con precisione qual è la tua WAN e quale la tua LAN. Normalmente, la WAN riceverà automaticamente un indirizzo IP tramite DHCP dal router del tuo provider di servizi Internet, mentre la LAN avrà l'indirizzo IP predefinito, che di solito è 192.168.1.1.
Virtualizzazione: OPNsense su Proxmox o KVM
Se disponete di un server più potente, non è necessario dedicare un intero PC esclusivamente al firewall. Potete utilizzare la virtualizzazione con Proxmox o KVM. In Proxmox, ad esempio, è possibile creare interfacce logiche e bridge per gestire il traffico. Questo è molto utile se si desidera segmentare la rete senza bisogno di più schede di rete fisiche, poiché è possibile utilizzare lo standard 802.1Q per creare VLAN (reti virtuali).
In un ambiente virtualizzato, è possibile configurare una rete di gestione (Mgt) per comunicare con il firewall senza passare attraverso la rete degli utenti. Questo è fondamentale per la sicurezza, in quanto consente di limitare l'accesso all'amministrazione del sistema solo al team di fiducia, impedendo a qualsiasi utente non autorizzato sulla rete Wi-Fi di accedere al pannello di controllo del router.
Il problema del Wi-Fi e della segmentazione
Ecco il problema: OPNsense non funziona bene con i driver delle schede Wi-Fi commerciali. Pertanto, la soluzione migliore è utilizzare un Access Point (AP) esterno . È possibile riutilizzare un vecchio router configurandolo in "modalità AP" o disabilitando il suo server DHCP in modo che funzioni solo come bridge wireless. Collega questo AP a una delle porte LAN del tuo PC/router e il gioco è fatto.
Se vuoi fare un ulteriore passo avanti, puoi utilizzare uno switch gestito per creare reti isolate. Ad esempio, puoi dedicare la VLAN 50 esclusivamente al Wi-Fi per gli ospiti o ai dispositivi IoT, separandola completamente dalla rete aziendale (VLAN 10). In OPNsense, dovrai configurare il server DHCP (come Kea) per ogni sottorete e creare regole firewall specifiche che consentano il traffico verso la WAN ma blocchino la comunicazione tra la rete Wi-Fi e i tuoi file personali, applicando la protezione homelab con le VLAN.
Configurazione finale e messa a punto
Una volta avviato il sistema, non avrai più bisogno di schermo o tastiera sul tuo PC. Tutto viene gestito tramite un browser web inserendo l'indirizzo IP della LAN. Il primo passo consiste nel configurare il NAT in uscita (mascheramento) in modo che i dispositivi sulla tua rete interna possano accedere a Internet utilizzando l'indirizzo IP pubblico della tua WAN. Se noti che i client hanno indirizzi IP ma non riescono a navigare in Internet, verifica che il server DNS (in uscita) abbia le liste di controllo degli accessi configurate per ricevere richieste da tutte le tue sottoreti.
Ricorda che, per impostazione predefinita, OPNsense blocca tutto il traffico sulle nuove interfacce. Dovrai accedere alla sezione delle regole e creare una regola di passaggio per consentire al traffico dalla tua LAN di raggiungere la WAN. Se il tuo ISP è molto restrittivo e utilizza l'indirizzo MAC del router originale per altri scopi, puoi clonare l'indirizzo MAC in OPNsense per ingannare il sistema e ottenere una connessione.
Configurare questo sistema ti offre il controllo completo su chi entra ed esce dalla tua rete, ti permette di gestire la larghezza di banda in modo che nessuno monopolizzi la connessione scaricando giochi e, soprattutto, ti aiuta a capire come funziona effettivamente Internet a casa tua. Sebbene il consumo energetico sia leggermente superiore a quello di un router in plastica, la potenza di elaborazione e la sicurezza offerte dall'hardware dedicato compensano ampiamente il piccolo aumento della bolletta elettrica.
