У вас скопился старый системный блок, который пылится и больше не используется для игр или работы? Не выбрасывайте его! Вы можете максимально эффективно использовать свои старые ПК , превратив их в «мозг» вашей домашней сети . Настройка собственного брандмауэра с помощью OPNsense — это фантастическое решение, позволяющее отказаться от стандартных маршрутизаторов, которые навязывают нам интернет-провайдеры, — они склонны к перегрузке при малейшей нагрузке или перегреву летом, оставляя вас без доступа к сети в самый неподходящий момент.
Идея заключается в использовании мощности процессора ПК, который значительно превосходит возможности коммерческого маршрутизатора, для управления трафиком, фильтрации контента и сегментации сети . Для начала вам не нужно быть экспертом в области сетей, хотя вам потребуется некоторое умение настраивать систему и понимание того, что энергопотребление будет немного выше, чем у небольшого устройства, но контроль над вашей безопасностью выведет вас на совершенно новый уровень.
Оборудование, необходимое для сборки домашнего роутера.
Для идеальной работы подойдет не любой компьютер. В идеале вам нужен настольный компьютер с настольным ПК и свободными слотами PCI Express на материнской плате. Забудьте о ноутбуках или мини-ПК, так как нам нужно будет подключить физические сетевые карты. Для доступа в интернет настоятельно рекомендуется высокоскоростная сетевая карта (желательно 10 Гбит/с), поддерживающая современные оптоволоконные соединения.
Ключевым моментом являются порты Ethernet. Маршрутизатору необходимо как минимум два интерфейса: один для WAN (тот, который подключается к модему интернет-провайдера) и другой для LAN (тот, который распределяет интернет по вашему дому). Если вы хотите без проблем подключить несколько устройств по кабелю, лучше всего установить сетевую карту с несколькими портами (например, 4-портовую гигабитную карту). Это предотвратит перегрузку процессора при обработке каждого пакета и обеспечит отсутствие узких мест в вашем соединении.
Что касается внутренних компонентов, вам не нужно тратить целое состояние. Процессора Intel i3 или даже более старого двухъядерного будет более чем достаточно. Важно, чтобы энергопотребление было низким (умеренный TDP), поскольку компьютер будет работать круглосуточно. С 4 ГБ оперативной памяти и небольшим SSD для операционной системы вам будет более чем достаточно. Хитрость для экономии энергии и снижения уровня шума — это снижение частоты процессора в BIOS и, если возможно, отказ от дискретной видеокарты и использование вместо неё встроенной.
Установка и развертывание системы
OPNsense основан на FreeBSD, поэтому мы не будем использовать Windows. Для его установки вам понадобится USB-накопитель, отформатированный в FAT32, содержащий образ системы (выберите версию VGA, чтобы видеть, что вы делаете на экране). Важная деталь: отключите Secure Boot в BIOS, так как FreeBSD иногда плохо работает с этой опцией, и убедитесь, что USB-накопитель является первым загрузочным устройством.
В процессе установки система запросит у вас пароль для пользователя root; выберите надежный пароль, который вы не забудете. После установки компьютер перезагрузится, и вы попадете в текстовое меню. Здесь вам нужно назначить сетевые интерфейсы . Чтобы избежать путаницы, подключите кабель к каждому порту и посмотрите, какой из них активен на экране; это точно покажет вам, какой из них является WAN, а какой — LAN. Обычно WAN автоматически получает IP-адрес через DHCP от маршрутизатора вашего интернет-провайдера, а LAN получает IP-адрес по умолчанию, который обычно равен 192.168.1.1.
Виртуализация: OPNsense на Proxmox или KVM
Если у вас более мощный сервер, вам не нужно выделять целый ПК только под межсетевой экран. Вы можете использовать виртуализацию с помощью Proxmox или KVM. В Proxmox, например, можно создавать логические интерфейсы и мосты для управления трафиком. Это очень полезно, если вы хотите сегментировать свою сеть без необходимости использования нескольких физических сетевых карт, поскольку вы можете использовать стандарт 802.1Q для создания VLAN (виртуальных сетей).
В виртуализированной среде можно настроить сеть управления (Mgt) для связи с межсетевым экраном без прохождения через пользовательскую сеть. Это крайне важно для безопасности, поскольку позволяет ограничить доступ к администрированию системы только для доверенной команды, предотвращая доступ к панели управления маршрутизатора для ничего не подозревающих пользователей вашей сети Wi-Fi.
Проблема Wi-Fi и сегментации
Вот в чем загвоздка: OPNsense плохо работает с драйверами коммерчески доступных Wi-Fi-карт. Поэтому лучшее решение — использовать внешнюю точку доступа (AP) . Вы можете перепрофилировать старый маршрутизатор, настроив его в «режим точки доступа» или отключив DHCP-сервер, чтобы он работал только как беспроводной мост. Подключите эту точку доступа к одному из портов LAN на вашем ПК/маршрутизаторе, и все готово.
Если вы хотите пойти еще дальше, вы можете использовать управляемый коммутатор для создания изолированных сетей. Например, вы можете выделить VLAN 50 исключительно для гостевого Wi-Fi или устройств IoT, полностью отделив его от вашей рабочей сети (VLAN 10). В OPNsense вам потребуется настроить DHCP-сервер (например, Kea) для каждой подсети и создать специальные правила брандмауэра , которые разрешают трафик в WAN, но блокируют связь между сетью Wi-Fi и вашими личными файлами, применяя меры безопасности для домашней лаборатории с помощью VLAN.
Окончательная настройка и тонкая настройка
После загрузки системы вам больше не понадобится экран или клавиатура на вашем ПК. Все управление осуществляется через веб-браузер путем ввода IP-адреса локальной сети. Первым шагом является настройка исходящего NAT (маскирования) , чтобы устройства во внутренней сети могли получать доступ к интернету, используя публичный IP-адрес вашей WAN-сети. Если вы заметили, что у клиентов есть IP-адреса, но они не могут выходить в интернет, убедитесь, что DNS-сервер (исходящий) настроил списки доступа для прослушивания запросов из всех ваших подсетей.
Помните, что по умолчанию OPNsense блокирует весь трафик на новых интерфейсах. Вам нужно будет перейти в раздел правил и создать правило пропуска , чтобы разрешить трафик из вашей локальной сети (LAN) в глобальную сеть (WAN). Если ваш интернет-провайдер очень строг и использует MAC-адрес исходного маршрутизатора для чего-то другого, вы можете клонировать MAC-адрес в OPNsense, чтобы обмануть систему и получить доступ к вашему соединению.
Настройка этой системы дает вам полный контроль над тем, кто входит и выходит из вашей сети, позволяет управлять пропускной способностью, чтобы никто не занимал соединение для загрузки игр, и, что наиболее важно, помогает вам понять, как на самом деле работает интернет у вас дома. Хотя энергопотребление немного выше, чем у обычного роутера, вычислительная мощность и безопасность, обеспечиваемые выделенным оборудованием, с лихвой компенсируют небольшое увеличение счета за электроэнергию.
