Masz starą, kurzącą się wieżę, której już nie używasz do gier ani pracy? Nie wyrzucaj jej, bo możesz w pełni wykorzystać potencjał swoich starych komputerów , zamieniając je w mózg swojej sieci domowej . Konfiguracja własnej zapory sieciowej z OPNsense to świetny pomysł, ponieważ pozwala zrezygnować z podstawowych routerów, które dostawcy internetu narzucają nam w sposób, który ma tendencję do przeciążania się, gdy są one zbyt mocno eksploatowane, lub przegrzewania się latem, pozostawiając Cię bez dostępu do sieci w najgorszym możliwym momencie.
Pomysł polega na wykorzystaniu mocy procesora komputera PC, który jest znacznie lepszy od mocy komercyjnego routera, do zarządzania ruchem, filtrowania treści i segmentowania sieci . Nie musisz być ekspertem od sieci, aby zacząć, choć musisz mieć pewne umiejętności konfiguracyjne i rozumieć, że pobór mocy będzie nieco wyższy niż w przypadku małego urządzenia. Jednak kontrola nad bezpieczeństwem, jaką zyskujesz, jest po prostu na zupełnie innym poziomie.
Sprzęt potrzebny do zbudowania domowego routera
Aby to działało idealnie, nie wystarczy dowolny komputer. Idealnie, potrzebny jest komputer stacjonarny z wolnymi gniazdami PCI Express na płycie głównej. Zapomnij o laptopach i minikomputerach, ponieważ potrzebujemy fizycznych kart sieciowych. Aby uzyskać dostęp do internetu, zdecydowanie zaleca się szybką kartę sieciową (najlepiej 10 Gb/s) obsługującą obecne połączenia światłowodowe.
Kluczowym punktem są porty Ethernet. Router potrzebuje co najmniej dwóch interfejsów: jednego dla sieci WAN (tej, która łączy się z modemem dostawcy usług internetowych) i drugiego dla sieci LAN (tej, która rozprowadza internet po domu). Jeśli chcesz bezproblemowo podłączyć kilka urządzeń kablem, najlepiej zainstalować kartę sieciową z wieloma portami (na przykład 4-portową kartę gigabitową). Zapobiega to przeciążeniu procesora podczas obsługi każdego pakietu i eliminuje wąskie gardła w połączeniu.
Jeśli chodzi o podzespoły wewnętrzne, nie trzeba wydawać fortuny. Procesor Intel i3, a nawet starszy, dwurdzeniowy, w zupełności wystarczy. Ważne jest niskie zużycie energii (umiarkowane TDP), ponieważ komputer będzie działał 24/7. Z 4 GB pamięci RAM i małym dyskiem SSD na system operacyjny, będziesz miał więcej niż wystarczająco. Sposobem na oszczędzanie energii i redukcję hałasu jest obniżenie częstotliwości procesora w BIOS-ie i, jeśli to możliwe, zrezygnowanie z dedykowanej karty graficznej na rzecz zintegrowanej.
Instalacja i wdrożenie systemu
OPNsense bazuje na FreeBSD, więc nie będziemy używać systemu Windows. Aby go zainstalować, potrzebny będzie dysk USB sformatowany w systemie FAT32 zawierający obraz systemu (wybierz wersję VGA, aby móc widzieć, co robisz na ekranie). Kluczowe jest wyłączenie funkcji Secure Boot w BIOS-ie, ponieważ FreeBSD czasami nie działa poprawnie z tą opcją, oraz upewnienie się, że dysk USB jest pierwszym urządzeniem rozruchowym.
Podczas instalacji system poprosi Cię o utworzenie hasła dla użytkownika root; wybierz silne, którego nie zapomnisz. Po zainstalowaniu komputer uruchomi się ponownie, a Ty przejdziesz do menu tekstowego. To tutaj musisz przypisać interfejsy sieciowe . Aby uniknąć pomyłek, podłącz kabel do każdego portu i sprawdź, który z nich jest aktywny na ekranie; dzięki temu dowiesz się dokładnie, która sieć to WAN, a która LAN. Zazwyczaj sieć WAN automatycznie otrzymuje adres IP przez DHCP od routera Twojego dostawcy usług internetowych, podczas gdy sieć LAN ma domyślny adres IP, który zazwyczaj wynosi 192.168.1.1.
Wirtualizacja: OPNsense na Proxmox lub KVM
Jeśli posiadasz bardziej wydajny serwer, nie musisz przeznaczać całego komputera tylko na zaporę sieciową. Możesz skorzystać z wirtualizacji z Proxmox lub KVM. Na przykład w Proxmox możesz tworzyć logiczne interfejsy i mosty do zarządzania ruchem. Jest to bardzo przydatne, jeśli chcesz segmentować sieć bez potrzeby stosowania wielu fizycznych kart sieciowych, ponieważ standard 802.1Q umożliwia tworzenie sieci VLAN (sieci wirtualnych).
W środowisku zwirtualizowanym można skonfigurować sieć zarządzania (Mgt) do komunikacji z zaporą sieciową bez pośrednictwa sieci użytkownika. Jest to kluczowe dla bezpieczeństwa, ponieważ pozwala ograniczyć dostęp do administracji systemem wyłącznie do zaufanego zespołu, uniemożliwiając nieświadomym użytkownikom sieci Wi-Fi dostęp do panelu sterowania routera.
Problem Wi-Fi i segmentacji
Oto haczyk: OPNsense nie współpracuje dobrze ze sterownikami dostępnych komercyjnie kart Wi-Fi. Dlatego najlepszym rozwiązaniem jest użycie zewnętrznego punktu dostępowego (AP) . Możesz wykorzystać stary router, konfigurując go w trybie „AP” lub wyłączając serwer DHCP, tak aby działał jedynie jako most bezprzewodowy. Podłącz ten punkt dostępowy do jednego z portów LAN komputera/routera i gotowe.
Jeśli chcesz pójść o krok dalej, możesz użyć przełącznika zarządzanego do tworzenia odizolowanych sieci. Na przykład, możesz przeznaczyć sieć VLAN 50 wyłącznie dla gościnnego Wi-Fi lub urządzeń IoT, całkowicie oddzielając ją od sieci firmowej (VLAN 10). W OPNsense musisz skonfigurować serwer DHCP (taki jak Kea) dla każdej podsieci i utworzyć specjalne reguły zapory sieciowej , które zezwalają na ruch do sieci WAN, ale blokują komunikację między siecią Wi-Fi a plikami osobistymi, stosując zabezpieczenie homelab za pomocą sieci VLAN.
Ostateczna konfiguracja i dostrajanie
Po uruchomieniu systemu nie potrzebujesz już ekranu ani klawiatury na komputerze. Wszystkim zarządza się za pomocą przeglądarki internetowej, wprowadzając adres IP sieci LAN. Pierwszym krokiem jest skonfigurowanie NAT wychodzącego (maskowania) , aby urządzenia w sieci wewnętrznej mogły uzyskiwać dostęp do internetu za pomocą publicznego adresu IP sieci WAN. Jeśli zauważysz, że klienci mają adresy IP, ale nie mogą przeglądać internetu, sprawdź, czy serwer DNS (wychodzący) ma skonfigurowane listy dostępu do nasłuchiwania żądań ze wszystkich podsieci.
Pamiętaj, że domyślnie OPNsense blokuje cały ruch na nowych interfejsach. Musisz przejść do sekcji reguł i utworzyć regułę przepuszczającą , aby ruch z Twojej sieci LAN dotarł do sieci WAN. Jeśli Twój dostawca usług internetowych jest bardzo restrykcyjny i używa adresu MAC oryginalnego routera do czegoś innego, możesz sklonować adres MAC w OPNsense, aby oszukać system i nawiązać połączenie.
Konfiguracja tego systemu daje Ci pełną kontrolę nad tym, kto wchodzi i wychodzi z Twojej sieci, pozwala zarządzać przepustowością, aby nikt nie blokował połączenia, pobierając gry, a co najważniejsze, pomaga Ci zrozumieć, jak działa internet w Twoim domu. Chociaż pobór mocy jest nieco wyższy niż w przypadku plastikowego routera, moc obliczeniowa i bezpieczeństwo oferowane przez dedykowany sprzęt z nawiązką rekompensują niewielki wzrost rachunku za prąd.
