יש לכם מגדל ישן שזור ואוסף אבק שאתם כבר לא משתמשים בו למשחקים או לעבודה? ובכן, אל תזרקו אותו, כי אתם יכולים. נצלו את המרב מהמחשבים הישנים שלכם להפוך אותו ל- המוח של הרשת הביתית שלךהגדרת חומת אש משלכם עם OPNsense היא פנטסטית, מכיוון שהיא מאפשרת לכם להשאיר מאחור את הנתבים הבסיסיים שספקי האינטרנט כופים עלינו, אשר נוטים להיות עמוסים כשאתם דורשים מהם קצת או מתחממים יתר על המידה בקיץ, ומשאירים אתכם תקועים ברגע הגרוע ביותר.
הרעיון כאן הוא למנף את העוצמה של מעבד מחשב, שהוא עדיף לאין שיעור על זה של נתב מסחרי, כדי לנהל תעבורה. סנן תוכן ופלח את הרשת שלךאינכם צריכים להיות מומחי רשתות כדי להתחיל, למרות שאתם צריכים להיות קצת ידידותיים עם התצורה ולהיות מודעים לכך שצריכת החשמל תהיה גבוהה במקצת מזו של מכשיר קטן, אבל השליטה שאתם מקבלים על האבטחה שלכם היא, בפשטות, ברמה אחרת.
החומרה הדרושה לבניית הראוטר הביתי שלך
כדי שזה יעבוד בצורה מושלמת, לא כל מחשב יעבוד. באופן אידיאלי, אתם צריכים מגדל שיש לו חריצי PCI Express פנויים על לוח האם. שכחו ממחשבים ניידים או מיני, מכיוון שעלינו לחבר כרטיסי רשת פיזיים. לגישה לאינטרנט, מומלץ מאוד כרטיס רשת במהירות גבוהה (רצוי של 10 ג'יגה-ביט לשנייה) התומך בחיבורי סיבים אופטיים קיימים.
הנקודה הקריטית היא יציאות ה-Ethernet. נתב זקוק לפחות לשני ממשקים: אחד עבור ה-WAN (זה שמתחבר למודם של ספק האינטרנט) ואחד עבור ה-LAN (זה שמפיץ אינטרנט לביתך). אם ברצונך לחבר מספר מכשירים באמצעות כבל ללא סיבוכים, עדיף להתקין... כרטיס רשת רב-פורטים (לדוגמה, חיבור ג'יגה-ביט בעל 4 פורטים). זה מונע עומס יתר על המעבד עקב טיפול בכל חבילה ומבטיח שלא יהיו צווארי בקבוק בחיבור שלך.
לגבי הרכיבים הפנימיים, אינכם צריכים להוציא הון תועפות. מעבד Intel i3, או אפילו מעבד כפול ליבה ישן יותר, מספיק בהחלט. הדבר החשוב הוא ש- צריכת אנרגיה נמוכה (TDP בינוני) מכיוון שהמחשב יהיה דלוק 24/7. עם 4GB של זיכרון RAM ו-SSD קטן למערכת ההפעלה, יהיה לך יותר ממספיק. טריק לחסוך בחשמל ולהפחית רעש הוא... להוריד את מהירות המעבד דרך ה-BIOS ואם אפשר, להסתדר בלי כרטיס המסך הייעודי על ידי שימוש בכרטיס המסך המובנה.
התקנה ופריסה של המערכת
OPNsense מבוסס על FreeBSD, כך שלא נשתמש ב-Windows. כדי להתקין אותו, תזדקקו לכונן USB שפורמט ב-FAT32 עם תמונת המערכת (בחרו את גרסת ה-VGA כדי שתוכלו לראות מה אתם עושים על המסך). פרט מפתח אחד הוא השבת את אתחול מאובטח ב-BIOS, מכיוון ש-FreeBSD לפעמים לא עובד טוב עם אפשרות זו, וודאו שה-USB הוא בעדיפות האתחול הראשונה.
במהלך ההתקנה, המערכת תבקש ממך ליצור סיסמה עבור משתמש ה-root; בחר סיסמה חזקה שלא תשכח. לאחר ההתקנה, המחשב יופעל מחדש ותכנס לתפריט טקסט. כאן עליך הקצאת ממשקי רשתכדי למנוע בלבול, חברו כבל לכל יציאה וראו איזה מהם מופעל על המסך; פעולה זו תראה לכם בדיוק איזה הוא ה-WAN שלכם ואיזה הוא ה-LAN שלכם. בדרך כלל, ה-WAN יקבל אוטומטית כתובת IP דרך DHCP מהנתב של ספק האינטרנט שלכם, בעוד של-LAN תהיה כתובת ה-IP המוגדרת כברירת מחדל, שהיא בדרך כלל 192.168.1.1.
וירטואליזציה: OPNsense על Proxmox או KVM
אם יש לכם שרת חזק יותר, אינכם צריכים להקדיש מחשב שלם רק לחומת האש. אתם יכולים להשתמש בווירטואליזציה עם Proxmox או KVM. ב-Proxmox, לדוגמה, אתם יכולים ליצור ממשקים לוגיים וגשרים לניהול תעבורה. זה מאוד שימושי אם ברצונך לפלח את הרשת מבלי להזדקק למספר כרטיסי רשת פיזיים, מכיוון שניתן להשתמש בתקן 802.1Q כדי ליצור VLAN (רשתות וירטואליות).
בסביבה וירטואלית, ניתן להגדיר רשת ניהול (Mgt) שתתקשר עם חומת האש מבלי לעבור דרך רשת המשתמש. זה חיוני לאבטחה, מכיוון שזה מאפשר לך להגביל את הגישה למנהל של המערכת רק לצוות המהימן שלך, ובכך למנוע מכל אורח ב-Wi-Fi שלך לנסות לגשת ללוח הבקרה של הנתב.
בעיית ה-Wi-Fi והסגמנטציה
הנה הבעיה: OPNsense לא עובד טוב עם הדרייברים של כרטיסי Wi-Fi מסחריים. לכן, הפתרון הטוב ביותר הוא השתמש בנקודת גישה חיצונית (AP). Puedes reciclar un router viejo configurándolo en «modo AP» o desactivándole el servidor DHCP para que solo actúe como puente inalámbrico. Conectas este AP a uno de los puertos LAN de tu PC-Router y listo.
אם אתם רוצים ללכת צעד קדימה, תוכלו להשתמש במתג מנוהל כדי ליצור רשתות מבודדות. לדוגמה, תוכלו להקדיש את VLAN 50 באופן בלעדי עבור Wi-Fi עבור אורחים או מכשירי IoT, תוך הפרדה מוחלטת מרשת העבודה שלך (VLAN 10). ב-OPNsense, תצטרך להגדיר את שרת ה-DHCP (כמו Kea) עבור כל תת-רשת וליצור כללי חומת אש ספציפיים שמאפשרים תעבורה לרשת ה-WAN אך חוסמים תקשורת בין רשת ה-Wi-Fi לקבצים האישיים שלך, תוך יישום הקשחת מעבדת בית עם VLAN.
תצורה סופית וכיוונון עדין
לאחר הפעלת המערכת, אינך זקוק עוד למסך או למקלדת במחשב. הכל מנוהל מדפדפן האינטרנט שלך על ידי הזנת כתובת ה-IP של הרשת המקומית. הצעד הראשון הוא להגדיר את NAT יוצא (מיסוך) כך שמכשירים ברשת הפנימית שלך יוכלו לגשת לאינטרנט באמצעות כתובת ה-IP הציבורית של ה-WAN שלך. אם אתה מבחין שללקוחות יש כתובות IP אך אינם יכולים לגלוש באינטרנט, ודא שלשרת ה-DNS (לא קשור) יש את כתובות ה-IP הנכונות. רשימות גישה מוגדרות כדי להאזין לבקשות מכל תת-הרשתות שלך.
זכור שכברירת מחדל, OPNsense חוסם את כל התעבורה בממשקים חדשים. תצטרך לעבור למקטע הכללים וליצור כלל המעבר כדי לאפשר לתעבורת ה-LAN שלך להגיע ל-WAN. אם ספק האינטרנט שלך מגביל מאוד ומשתמש בכתובת ה-MAC של הנתב המקורית למשהו אחר, תוכל להשתמש שכפול ה-MAC ב-OPNsense כדי להערים על המערכת להקצות לך חיבור.
הגדרת מערכת זו מעניקה לך שליטה מלאה על מי נכנס ויוצא מהרשת שלך, מאפשרת לך לנהל את רוחב הפס כך שאף אחד לא יגזול את החיבור בהורדת משחקים, ומעל הכל, עוזרת לך ללמוד איך האינטרנט באמת עובד בבית שלך. למרות שצריכת החשמל מעט גבוהה יותר מנתב פלסטיק, כוח העיבוד והאבטחה שהוא מספק הם יתרונות משמעותיים. שימוש בחומרה ייעודית הם מפצים יותר מכך על העלייה הקטנה בחשבון החשמל.
