- דרישות חומרה ספציפיות כגון כרטיסי רשת PCIe ומעבדים יעילים לפעולה 24/7.
- שיטות פריסה שונות, החל מהתקנה מקורית על החומרה ועד וירטואליזציה עם Proxmox או KVM.
- אסטרטגיות פילוח רשת באמצעות רשתות VLAN וקביעת תצורה של נקודות גישה Wi-Fi עצמאיות.
יש לכם מגדל רשת ישן שאוסף אבק שאתם כבר לא משתמשים בו למשחקים או עבודה? אל תזרקו אותו! אתם יכולים להפיק את המרב מהמחשבים הישנים שלכם על ידי הפיכתם למוח של הרשת הביתית שלכם . הגדרת חומת אש משלכם עם OPNsense היא פנטסטית, מכיוון שהיא מאפשרת לכם להשאיר מאחור את הנתבים הבסיסיים שספקי האינטרנט כופים עלינו, אשר נוטים להעמיס עליהם כשלוחצים עליהם קצת או להתחמם יתר על המידה בקיץ, ומשאירים אתכם תקועים ברגע הגרוע ביותר.
הרעיון כאן הוא למנף את העוצמה של מעבד מחשב, שהוא עדיף בהרבה על זה של נתב מסחרי, כדי לנהל תעבורה, לסנן תוכן ולפלח את הרשת שלך . אינך צריך להיות מומחה רשת כדי להתחיל, למרות שאתה צריך להיות קצת שימושי בתצורה ולהבין שצריכת החשמל תהיה מעט גבוהה יותר מזו של מכשיר קטן, אבל השליטה שאתה מקבל על האבטחה שלך היא פשוט ברמה אחרת.
החומרה הדרושה לבניית הראוטר הביתי שלך
כדי שזה יעבוד בצורה מושלמת, לא כל מחשב יתאים. באופן אידיאלי, תזדקק ל-Tower Desktop עם חריצי PCI Express פנויים בלוח האם. שכחו ממחשבים ניידים או מיני PC, מכיוון שעלינו לחבר כרטיסי רשת פיזיים. לגישה לאינטרנט, מומלץ מאוד כרטיס רשת במהירות גבוהה (רצוי 10 Gbps) התומך בחיבורי סיבים אופטיים קיימים.
הנקודה הקריטית היא יציאות ה-Ethernet. נתב זקוק לפחות לשני ממשקים: אחד עבור ה-WAN (זה שמתחבר למודם של ספק האינטרנט) ואחד עבור ה-LAN (זה שמחלק את האינטרנט לביתך). אם ברצונך לחבר מספר מכשירים באמצעות כבל ללא סיבוכים, עדיף להתקין כרטיס רשת עם מספר יציאות (לדוגמה, כרטיס Gigabit בעל 4 יציאות). זה מונע עומס יתר על המעבד בניהול כל חבילה ומבטיח שלא יהיו צווארי בקבוק בחיבור שלך.
לגבי הרכיבים הפנימיים, אין צורך להוציא הון תועפות. מעבד Intel i3, או אפילו מעבד כפול ליבה ישן יותר, מספיק בהחלט. חשוב שצריכת החשמל תהיה נמוכה (TDP בינוני) מכיוון שהמחשב יהיה דלוק 24/7. עם 4 ג'יגה-בייט של זיכרון RAM ו-SSD קטן למערכת ההפעלה, יהיה לכם יותר ממספיק. טריק לחסוך בחשמל ולהפחית רעש הוא להוריד את מהירות המעבד ב-BIOS , ואם אפשר, להסתדר בלי כרטיס המסך הייעודי ולהשתמש בכרטיס המסך המשולב במקום.
התקנה ופריסה של המערכת
OPNsense מבוסס על FreeBSD, כך שלא נשתמש ב-Windows. כדי להתקין אותו, תזדקקו לכונן USB מפורמט ב-FAT32 המכיל את תמונת המערכת (בחרו את גרסת ה-VGA כדי שתוכלו לראות מה אתם עושים על המסך). פרט חשוב הוא להשבית את Secure Boot ב-BIOS, מכיוון שלפעמים FreeBSD לא עובד טוב עם אפשרות זו, ולוודא שכונן ה-USB הוא התקן האתחול הראשון.
במהלך ההתקנה, המערכת תבקש ממך ליצור סיסמה עבור משתמש ה-root; בחר סיסמה חזקה שלא תשכח. לאחר ההתקנה, המחשב יופעל מחדש ותכנס לתפריט טקסט. כאן עליך להקצות את ממשקי הרשת . כדי למנוע בלבול, חבר כבל לכל יציאה ובדוק איזה מהם פעיל על המסך; זה יגיד לך בדיוק איזה הוא ה-WAN שלך ואיזה הוא ה-LAN שלך. בדרך כלל, ה-WAN יקבל אוטומטית כתובת IP דרך DHCP מהנתב של ספק האינטרנט שלך, בעוד של-LAN תהיה כתובת ה-IP המוגדרת כברירת מחדל, שהיא בדרך כלל 192.168.1.1.
וירטואליזציה: OPNsense על Proxmox או KVM
אם יש לכם שרת חזק יותר, אינכם צריכים להקדיש מחשב שלם רק לחומת האש. אתם יכולים להשתמש בווירטואליזציה עם Proxmox או KVM. ב-Proxmox, לדוגמה, תוכלו ליצור ממשקים לוגיים וגשרים לניהול תעבורה. זה מאוד שימושי אם אתם רוצים לפלח את הרשת שלכם מבלי להזדקק למספר כרטיסי רשת פיזיים, מכיוון שאתם יכולים להשתמש בתקן 802.1Q כדי ליצור VLAN (רשתות וירטואליות).
בסביבה וירטואלית, ניתן להגדיר רשת ניהול (Mgt) שתתקשר עם חומת האש מבלי לעבור דרך רשת המשתמשים. זה חיוני לאבטחה, מכיוון שזה מאפשר לך להגביל את גישת ניהול המערכת לצוות המהימן שלך בלבד, ולמנוע מכל משתמש תמים ב-Wi-Fi שלך לגשת ללוח הבקרה של הנתב.
בעיית ה-Wi-Fi והסגמנטציה
הנה הבעיה: OPNsense לא עובד טוב עם הדרייברים של כרטיסי Wi-Fi הזמינים מסחרית. לכן, הפתרון הטוב ביותר הוא להשתמש בנקודת גישה (AP) חיצונית . ניתן לשנות את ייעודו של נתב ישן על ידי הגדרתו ב"מצב AP" או השבתת שרת ה-DHCP שלו כך שיפעל רק כגשר אלחוטי. חברו את נקודת הגישה הזו לאחת מיציאות ה-LAN במחשב/נתב שלכם, ואתם מוכנים.
אם אתם רוצים ללכת צעד קדימה, תוכלו להשתמש במתג מנוהל כדי ליצור רשתות מבודדות. לדוגמה, תוכלו להקדיש את VLAN 50 באופן בלעדי למכשירי Wi-Fi או IoT של אורחים, ולהפריד אותו לחלוטין מרשת העבודה שלכם (VLAN 10). ב-OPNsense, תצטרכו להגדיר את שרת ה-DHCP (כגון Kea) עבור כל תת-רשת וליצור כללי חומת אש ספציפיים המאפשרים תעבורה ל-WAN אך חוסמים תקשורת בין רשת ה-Wi-Fi לקבצים האישיים שלכם, תוך יישום הקשחת Homelab עם VLANs.
תצורה סופית וכיוונון עדין
לאחר אתחול המערכת, אינך זקוק עוד למסך או למקלדת במחשב. הכל מנוהל דרך דפדפן אינטרנט על ידי הזנת כתובת ה-IP של ה-LAN. הצעד הראשון הוא להגדיר את Outbound NAT (מיסוך) כך שמכשירים ברשת הפנימית שלך יוכלו לגשת לאינטרנט באמצעות כתובת ה-IP הציבורית של ה-WAN שלך. אם אתה מבחין שלקוחות יש כתובות IP אך אינם יכולים לגלוש באינטרנט, ודא ששרת ה-DNS (יוצא) מוגדר עם רשימות גישה להאזנה לבקשות מכל רשתות המשנה שלך.
זכרו שכברירת מחדל, OPNsense חוסם את כל התעבורה בממשקים חדשים. תצטרכו לעבור למקטע הכללים וליצור כלל מעבר כדי לאפשר לתעבורה מהרשת המקומית שלכם להגיע לרשת ה-WAN. אם ספק האינטרנט שלכם מגביל מאוד ומשתמש בכתובת ה-MAC של הנתב המקורית למשהו אחר, תוכלו לשכפל את כתובת ה-MAC ב-OPNsense כדי להערים על המערכת להקצות לכם חיבור.
הגדרת מערכת זו מעניקה לך שליטה מלאה על מי נכנס ויוצא מהרשת שלך, מאפשרת לך לנהל את רוחב הפס כך שאף אחד לא יגזול את החיבור בהורדת משחקים, וחשוב מכל, עוזרת לך ללמוד איך האינטרנט עובד בפועל בביתך. בעוד שצריכת החשמל גבוהה מעט יותר מנתב פלסטיק, כוח העיבוד והאבטחה המסופקים על ידי חומרה ייעודית מפצים יותר מדי על העלייה הקטנה בחשבון החשמל שלך.
