- Specifične zahteve glede strojne opreme, kot so omrežne kartice PCIe in učinkoviti procesorji za delovanje 24 ur na dan, 7 dni v tednu.
- Različne metode uvajanja, od izvorne namestitve na strojno opremo do virtualizacije s Proxmoxom ali KVM.
- Strategije segmentacije omrežja z uporabo VLAN-ov in konfiguriranje neodvisnih dostopnih točk Wi-Fi.
Imate star računalnik, ki nabira prah in ga ne uporabljate več za igranje iger ali delo? Ne zavrzite ga! Iz svojih starih računalnikov lahko izvlečete največ, če jih spremenite v možgane domačega omrežja . Nastavitev lastnega požarnega zidu z OPNsense je fantastična, saj vam omogoča, da se znebite osnovnih usmerjevalnikov, ki nam jih vsiljujejo ponudniki interneta in ki se ponavadi preobremenijo, ko jih malo obremenite, ali poleti pregrejejo, zaradi česar ste v najslabšem možnem trenutku nasedli.
Ideja je izkoristiti moč procesorja osebnega računalnika, ki je veliko boljši od moči komercialnega usmerjevalnika, za upravljanje prometa, filtriranje vsebine in segmentacijo omrežja . Za začetek vam ni treba biti strokovnjak za omrežja, čeprav morate biti nekoliko spretni pri konfiguraciji in razumeti, da bo poraba energije nekoliko višja kot pri majhni napravi, vendar je nadzor nad varnostjo, ki ga pridobite, preprosto na drugi ravni.
Strojna oprema, potrebna za izdelavo domačega usmerjevalnika
Da bi to delovalo brezhibno, ne bo zadostoval kar kateri koli računalnik. V idealnem primeru potrebujete namizni računalnik s prostimi režami PCI Express na matični plošči. Pozabite na prenosnike ali mini osebne računalnike, saj moramo priključiti fizične omrežne kartice. Za dostop do interneta je zelo priporočljiva visokohitrostna omrežna kartica (po možnosti 10 Gbps), ki podpira trenutne optične povezave.
Ključna točka so ethernetna vrata. Usmerjevalnik potrebuje vsaj dva vmesnika: enega za WAN (tistega, ki se povezuje z modemom ponudnika internetnih storitev) in drugega za LAN (tistega, ki distribuira internet v vaš dom). Če želite brez zapletov povezati več naprav prek kabla, je najbolje namestiti omrežno kartico z več vrati (na primer 4-vratno gigabitno kartico). To preprečuje preobremenitev procesorja pri upravljanju vsakega paketa in zagotavlja, da v vaši povezavi ni ozkih grl.
Kar zadeva notranje komponente, vam ni treba zapraviti premoženja. Intelov procesor i3 ali celo starejši dvojedrni procesor je več kot dovolj. Pomembno je, da je poraba energije nizka (zmeren TDP), saj bo računalnik vklopljen 24 ur na dan, 7 dni v tednu. S 4 GB RAM-a in majhnim SSD-jem za operacijski sistem boste imeli več kot dovolj. Trik za varčevanje z energijo in zmanjšanje hrupa je, da v BIOS-u znižate hitrost procesorja in, če je mogoče, se znebite namenske grafične kartice in namesto nje uporabite integrirano.
Namestitev in uvajanje sistema
OPNsense temelji na FreeBSD, zato ne bomo uporabljali sistema Windows. Za namestitev boste potrebovali USB-ključek, formatiran v FAT32, ki vsebuje sistemsko sliko (izberite različico VGA, da boste na zaslonu videli, kaj počnete). Ključna podrobnost je, da v BIOS-u onemogočite varni zagon , saj FreeBSD včasih ne deluje dobro s to možnostjo, in da je USB-ključek prva zagonska naprava.
Med namestitvijo vas bo sistem pozval, da ustvarite geslo za uporabnika root; izberite močno geslo, ki ga ne boste pozabili. Ko je namestitev končana, se bo računalnik znova zagnal in odprl se bo besedilni meni. Tukaj morate dodeliti omrežne vmesnike . Da se izognete zmedi, priključite kabel na vsaka vrata in na zaslonu preverite, kateri je aktiven; to vam bo natančno povedalo, kateri je vaš WAN in kateri LAN. Običajno bo WAN samodejno prejel IP-naslov prek DHCP od usmerjevalnika vašega ponudnika internetnih storitev, medtem ko bo imel LAN privzeti IP-naslov, ki je običajno 192.168.1.1.
Virtualizacija: OPNsense na Proxmoxu ali KVM-ju
Če imate zmogljivejši strežnik, vam ni treba nameniti celotnega računalnika samo požarnemu zidu. Virtualizacijo lahko uporabite s Proxmoxom ali KVM. V Proxmoxu lahko na primer ustvarite logične vmesnike in mostove za upravljanje prometa. To je zelo uporabno, če želite segmentirati omrežje brez potrebe po več fizičnih omrežnih karticah, saj lahko s standardom 802.1Q ustvarite VLAN-e (virtualna omrežja).
V virtualiziranem okolju lahko konfigurirate upravljalno omrežje (Mgt) tako, da komunicira s požarnim zidom, ne da bi pri tem prečkalo uporabniško omrežje. To je ključnega pomena za varnost, saj vam omogoča, da dostop za skrbništvo sistema omejite le na svojo zaupanja vredno ekipo in preprečite vsem nič hudega slutečim uporabnikom v vašem omrežju Wi-Fi dostop do nadzorne plošče usmerjevalnika.
Problem Wi-Fi-ja in segmentacije
Tukaj je kvačka: OPNsense ne deluje dobro z gonilniki komercialno dostopnih kartic Wi-Fi. Zato je najboljša rešitev uporaba zunanje dostopne točke (AP) . Star usmerjevalnik lahko spremenite tako, da ga konfigurirate v »načinu AP« ali onemogočite njegov strežnik DHCP, tako da deluje le kot brezžični most. To dostopno točko priključite na ena od vrat LAN na računalniku/usmerjevalniku in pripravljeni ste.
Če želite iti še korak dlje, lahko uporabite upravljano stikalo za ustvarjanje izoliranih omrežij. Na primer, VLAN 50 lahko namenite izključno za gostujoče Wi-Fi ali IoT naprave in ga popolnoma ločite od svojega delovnega omrežja (VLAN 10). V OPNsense boste morali konfigurirati strežnik DHCP (na primer Kea) za vsako podomrežje in ustvariti posebna pravila požarnega zidu , ki dovoljujejo promet v WAN, vendar blokirajo komunikacijo med omrežjem Wi-Fi in vašimi osebnimi datotekami, pri čemer uporabite utrjevanje domačega laboratorija z VLAN-i.
Končna konfiguracija in fina nastavitev
Ko se sistem zažene, na računalniku ne potrebujete več zaslona ali tipkovnice. Vse se upravlja prek spletnega brskalnika z vnosom naslova IP lokalnega omrežja. Prvi korak je konfiguracija odhodnega NAT-a (maskiranja) , tako da lahko naprave v vašem notranjem omrežju dostopajo do interneta z uporabo javnega naslova IP vašega omrežja WAN. Če opazite, da imajo odjemalci naslove IP, vendar ne morejo brskati po internetu, preverite, ali ima strežnik DNS (odhodni) konfigurirane sezname dostopa za poslušanje zahtev iz vseh vaših podomrež.
Ne pozabite, da OPNsense privzeto blokira ves promet na novih vmesnikih. Pojdite v razdelek s pravili in ustvarite pravilo za prenos , ki bo omogočilo promet iz vašega lokalnega omrežja (LAN) v omrežje WAN. Če je vaš ponudnik internetnih storitev zelo omejen in uporablja naslov MAC izvirnega usmerjevalnika za nekaj drugega, lahko v OPNsense klonirate naslov MAC , da sistem prelisičite in vam dodeli povezavo.
Z nastavitvijo tega sistema dobite popoln nadzor nad tem, kdo vstopa in izstopa iz vašega omrežja, upravljate pasovno širino, da nihče ne zaseda povezave s prenosom iger, in kar je najpomembneje, vam pomaga spoznati, kako internet dejansko deluje v vašem domu. Čeprav je poraba energije nekoliko višja kot pri plastičnem usmerjevalniku, procesorska moč in varnost, ki ju zagotavlja namenska strojna oprema, več kot nadomestita majhno povečanje vašega računa za elektriko.
