Mayroon ka bang lumang tore na namumuo ng alikabok na hindi mo na ginagamit para sa paglalaro o trabaho? Huwag mo itong itapon, dahil mas masusulit mo ang iyong mga lumang PC sa pamamagitan ng paggawa sa mga ito bilang utak ng iyong home network . Napakaganda ng pag-set up ng sarili mong firewall gamit ang OPNsense, dahil pinapayagan ka nitong iwanan ang mga pangunahing router na ipinipilit sa atin ng mga internet provider, na may posibilidad na mag-overload kapag medyo itinulak mo ang mga ito o uminit nang sobra sa tag-araw, na nag-iiwan sa iyo na stranded sa pinakamasamang posibleng sandali.
Ang ideya rito ay gamitin ang lakas ng isang PC processor, na lubhang nakahihigit sa isang komersyal na router, upang pamahalaan ang trapiko, i-filter ang nilalaman, at i-segment ang iyong network . Hindi mo kailangang maging eksperto sa networking para makapagsimula, bagama't kailangan mong maging medyo bihasa sa pag-configure at maunawaan na ang pagkonsumo ng kuryente ay bahagyang mas mataas kaysa sa isang maliit na device, ngunit ang kontrol na makukuha mo sa iyong seguridad ay nasa ibang antas lamang.
Ang hardware na kailangan para mabuo ang router ng iyong bahay
Para gumana ito nang perpekto, hindi basta-basta computer ang makakagawa nito. Sa isip, kailangan mo ng desktop tower na may libreng PCI Express slots sa motherboard. Kalimutan na ang mga laptop o mini PC, dahil kailangan nating ikonekta ang mga pisikal na network card. Para sa koneksyon sa internet, lubos na inirerekomenda ang isang high-speed network card (mas mabuti kung may sumusuporta sa 10 Gbps) na sumusuporta sa kasalukuyang fiber optic connections.
Ang kritikal na punto ay ang mga Ethernet port. Ang isang router ay nangangailangan ng kahit dalawang interface: isa para sa WAN (ang kumokonekta sa modem ng ISP) at isa pa para sa LAN (ang namamahagi ng internet sa iyong tahanan). Kung gusto mong magkonekta ng ilang device gamit ang cable nang walang komplikasyon, pinakamahusay na mag-install ng network card na may maraming port (halimbawa, isang 4-port Gigabit card). Pinipigilan nito ang processor na maging overloaded sa pamamahala ng bawat packet at tinitiyak na walang mga bottleneck sa iyong koneksyon.
Kung tungkol naman sa mga panloob na bahagi, hindi mo kailangang gumastos nang malaki. Ang isang Intel i3 processor, o kahit isang mas lumang dual-core processor, ay sapat na. Ang mahalaga ay mababa ang konsumo ng kuryente (katamtaman ang TDP) dahil ang computer ay naka-on 24/7. Sa pamamagitan ng 4 GB ng RAM at isang maliit na SSD para sa operating system, magkakaroon ka ng sapat na kuryente. Ang isang paraan para makatipid ng kuryente at mabawasan ang ingay ay ang pagpapababa ng bilis ng CPU sa BIOS at, kung maaari, huwag gumamit ng nakalaang graphics card at gamitin na lang ang integrated card.
Pag-install at pag-deploy ng sistema
Ang OPNsense ay batay sa FreeBSD, kaya hindi natin gagamitin ang Windows. Para mai-install ito, kakailanganin mo ng USB drive na naka-format sa FAT32 na naglalaman ng system image (piliin ang VGA version para makita mo ang ginagawa mo sa screen). Isang mahalagang detalye ay ang pag-disable ng Secure Boot sa BIOS, dahil minsan ay hindi gumagana nang maayos ang FreeBSD sa opsyong ito, at siguraduhing ang USB drive ang unang boot device.
Habang nag-i-install, hihilingin sa iyo ng system na gumawa ng password para sa root user; pumili ng malakas na password na hindi mo malilimutan. Kapag na-install na, magre-restart ang PC at papasok ka sa text-mode menu. Dito mo kailangang italaga ang mga network interface . Para maiwasan ang kalituhan, ikonekta ang isang cable sa bawat port at tingnan kung alin ang aktibo sa screen; sasabihin nito sa iyo nang eksakto kung alin ang iyong WAN at alin ang iyong LAN. Karaniwan, awtomatikong makakatanggap ang WAN ng IP address sa pamamagitan ng DHCP mula sa router ng iyong ISP, habang ang LAN ay magkakaroon ng default na IP address, na karaniwang 192.168.1.1.
Birtwalisasyon: OPNsense sa Proxmox o KVM
Kung mayroon kang mas malakas na server, hindi mo kailangang ilaan ang isang buong PC para lamang sa firewall. Maaari mong gamitin ang virtualization gamit ang Proxmox o KVM. Sa Proxmox, halimbawa, maaari kang lumikha ng mga logical interface at bridge upang pamahalaan ang trapiko. Ito ay lubhang kapaki-pakinabang kung gusto mong i-segment ang iyong network nang hindi nangangailangan ng maraming pisikal na network card, dahil maaari mong gamitin ang 802.1Q standard upang lumikha ng mga VLAN (virtual network).
Sa isang virtualized na kapaligiran, maaari mong i-configure ang isang management (Mgt) network upang makipag-ugnayan sa firewall nang hindi dumadaan sa user network. Mahalaga ito para sa seguridad, dahil pinapayagan ka nitong limitahan ang access ng system administration sa iyong pinagkakatiwalaang team lamang, na pumipigil sa sinumang walang kamalay-malay na user sa iyong Wi-Fi na ma-access ang control panel ng router.
Ang problema ng Wi-Fi at segmentasyon
Narito ang problema: Hindi gumagana nang maayos ang OPNsense sa mga driver ng mga Wi-Fi card na mabibili sa merkado. Samakatuwid, ang pinakamahusay na solusyon ay ang paggamit ng external Access Point (AP) . Maaari mong gamitin muli ang isang lumang router sa pamamagitan ng pag-configure nito sa "AP mode" o pag-disable sa DHCP server nito upang ito ay magsilbing wireless bridge na lamang. Ikonekta ang AP na ito sa isa sa mga LAN port sa iyong PC/router, at handa ka na.
Kung gusto mo pang gumawa ng mas malalim na hakbang, maaari kang gumamit ng managed switch para lumikha ng mga nakahiwalay na network. Halimbawa, maaari mong ilaan ang VLAN 50 nang eksklusibo sa mga guest Wi-Fi o IoT device, na ganap na ihihiwalay ito mula sa iyong work network (VLAN 10). Sa OPNsense, kakailanganin mong i-configure ang DHCP server (tulad ng Kea) para sa bawat subnet at lumikha ng mga partikular na firewall rule na nagpapahintulot sa trapiko papunta sa WAN ngunit harangan ang komunikasyon sa pagitan ng Wi-Fi network at ng iyong mga personal na file, na naglalapat ng homelab hardening gamit ang mga VLAN.
Pangwakas na pagsasaayos at pagpipino
Kapag nag-boot na ang system, hindi mo na kakailanganin ng screen o keyboard sa iyong PC. Ang lahat ay pinamamahalaan sa pamamagitan ng isang web browser sa pamamagitan ng paglalagay ng LAN IP address. Ang unang hakbang ay i-configure ang Outbound NAT (masking) upang ang mga device sa iyong internal network ay maka-access sa internet gamit ang pampublikong IP address ng iyong WAN. Kung mapapansin mo na ang mga client ay may mga IP address ngunit hindi makapag-browse sa internet, tiyaking ang DNS (Outbound) server ay may mga access list na naka-configure upang makinig sa mga kahilingan mula sa lahat ng iyong mga subnet.
Tandaan na, bilang default, hinaharangan ng OPNsense ang lahat ng trapiko sa mga bagong interface. Kakailanganin mong pumunta sa seksyon ng mga panuntunan at lumikha ng pass rule upang payagan ang trapiko mula sa iyong LAN na makarating sa WAN. Kung ang iyong ISP ay napakahigpit at ginagamit ang MAC address ng orihinal na router para sa ibang bagay, maaari mong i-clone ang MAC address sa OPNsense upang linlangin ang system na magtalaga sa iyo ng koneksyon.
Ang pag-set up ng sistemang ito ay nagbibigay sa iyo ng kumpletong kontrol sa kung sino ang papasok at lalabas sa iyong network, nagbibigay-daan sa iyong pamahalaan ang bandwidth nang sa gayon ay walang sinuman ang sagabal sa koneksyon habang nagda-download ng mga laro, at, higit sa lahat, nakakatulong ito sa iyong matutunan kung paano talaga gumagana ang internet sa iyong tahanan. Bagama't ang konsumo ng kuryente ay bahagyang mas mataas kaysa sa isang plastik na router, ang lakas ng pagproseso at seguridad na ibinibigay ng nakalaang hardware ay higit pa sa nakakabawi sa maliit na pagtaas sa iyong singil sa kuryente.
