У вас є старий корпус, що збирає пил, який ви більше не використовуєте для ігор чи роботи? Не викидайте його, бо ви можете... Отримайте максимум від своїх старих ПК перетворюючи його на мозок вашої домашньої мережіНалаштування власного брандмауера за допомогою OPNsense – це чудово, оскільки це дозволяє вам відмовитися від базових маршрутизаторів, які нам нав'язують інтернет-провайдери, і які, як правило, перевантажуються, коли ви вимагаєте від них мало навантаження, або перегріваються влітку, залишаючи вас у скрутному становищі в найневідповідніший момент.
Ідея полягає в тому, щоб використати потужність процесора ПК, який незрівнянно перевершує потужність комерційного маршрутизатора, для керування трафіком. фільтруйте контент і сегментуйте свою мережуВам не потрібно бути експертом з мереж, щоб розпочати, хоча вам потрібно бути трохи вправним у налаштуванні та знати, що споживання електроенергії буде дещо вищим, ніж у невеликого пристрою, але контроль, який ви отримуєте над своєю безпекою, просто кажучи, виходить на інший рівень.
Апаратне забезпечення, необхідне для створення домашнього маршрутизатора
Щоб це працювало ідеально, підійде не будь-який комп'ютер. В ідеалі вам потрібен корпус типу "tower", який має вільні слоти PCI Express на материнській платі. Забудьте про ноутбуки чи Mini, оскільки нам потрібно підключати фізичні мережеві карти. Для доступу до Інтернету наполегливо рекомендується високошвидкісна мережева карта (в ідеалі 10 Гбіт/с), яка підтримує сучасні оптоволоконні з’єднання.
Найважливішим моментом є порти Ethernet. Маршрутизатору потрібно щонайменше два інтерфейси: один для WAN (той, що підключається до модему інтернет-провайдера), а інший для LAN (тієї, що розповсюджує інтернет у вашому домі). Якщо ви хочете підключити кілька пристроїв через кабель без ускладнень, найкраще встановити багатопортова мережева карта (наприклад, 4-портове гігабітне з’єднання). Це запобігає перевантаженню процесора обробкою кожного пакета та гарантує відсутність вузьких місць у вашому з’єднанні.
Що стосується внутрішніх компонентів, вам не потрібно витрачати цілий статок. Процесора Intel i3 або навіть старішого двоядерного процесора більш ніж достатньо. Важливо те, що низьке споживання енергії (помірний TDP), оскільки комп'ютер працюватиме цілодобово. З 4 ГБ оперативної пам'яті та невеликим SSD-накопичувачем для операційної системи у вас буде більш ніж достатньо. Хитрощі для економії енергії та зменшення шуму... знизити частоту процесора з BIOS і, якщо можливо, обійтися без дискретної відеокарти, використовуючи інтегровану.
Встановлення та розгортання системи
OPNsense базується на FreeBSD, тому ми не використовуватимемо Windows. Щоб його встановити, вам знадобиться USB-накопичувач, відформатований у FAT32, з образом системи (виберіть версію VGA, щоб бачити, що ви робите на екрані). Одна ключова деталь... вимкнути Secure Boot у BIOS, оскільки FreeBSD іноді погано працює з цією опцією, і переконайтеся, що USB має перший пріоритет завантаження.
Під час встановлення система попросить вас створити пароль для користувача root; виберіть надійний пароль, який ви не забудете. Після встановлення ПК перезавантажиться, і ви перейдете до текстового меню. Саме тут вам слід призначити мережеві інтерфейсиЩоб уникнути плутанини, підключіть кабель до кожного порту та подивіться, який з них активується на екрані; це точно покаже вам, яка ваша WAN, а яка – LAN. Зазвичай WAN автоматично отримує IP-адресу через DHCP від маршрутизатора вашого інтернет-провайдера, тоді як LAN матиме IP-адресу за замовчуванням, яка зазвичай становить 192.168.1.1.
Віртуалізація: OPNsense на Proxmox або KVM
Якщо у вас потужніший сервер, вам не потрібно присвячувати весь ПК лише брандмауеру. Ви можете використовувати віртуалізацію за допомогою Proxmox або KVM. Наприклад, у Proxmox ви можете створювати логічні інтерфейси та мости для керування трафіком. Це дуже корисно, якщо ви хочете сегментувати мережу без необхідності використання кількох фізичних мережевих карт, оскільки ви можете використовувати стандарт 802.1Q для створення VLAN (віртуальні мережі).
У віртуалізованому середовищі можна налаштувати мережу керування (Mgt) для зв'язку з брандмауером без проходження через мережу користувача. Це життєво важливо для безпеки, оскільки дозволяє вам обмежити доступ до адміністрації системи лише вашій довіреній команді, що запобігає спробам будь-якого гостя вашої мережі Wi-Fi отримати доступ до панелі керування маршрутизатора.
Проблема Wi-Fi та сегментації
Ось у чому заковика: OPNsense погано працює з драйверами комерційних Wi-Fi-карт. Тому найкращим рішенням є використовувати зовнішню точку доступу (AP). Puedes reciclar un router viejo configurándolo en «modo AP» o desactivándole el servidor DHCP para que solo actúe como puente inalámbrico. Conectas este AP a uno de los puertos LAN de tu PC-Router y listo.
Якщо ви хочете піти далі, ви можете використовувати керований комутатор для створення ізольованих мереж. Наприклад, ви можете виділити VLAN 50 виключно для Wi-Fi для гостей або пристроїв Інтернету речей, повністю відокремлюючи їх від вашої робочої мережі (VLAN 10). В OPNsense вам потрібно буде налаштувати DHCP-сервер (наприклад, Kea) для кожної підмережі та створити певні правила брандмауера що дозволяють трафік до WAN, але блокують зв'язок між мережею Wi-Fi та вашими особистими файлами, застосовуючи загартовування домашньої лабораторії за допомогою VLAN.
Остаточна конфігурація та точне налаштування
Після запуску системи вам більше не потрібен екран чи клавіатура на вашому ПК. Усім керує ваш веб-браузер шляхом введення IP-адреси локальної мережі. Перший крок – налаштування Вихідний NAT (маскування) Щоб пристрої у вашій внутрішній мережі могли отримувати доступ до Інтернету, використовуючи публічну IP-адресу вашої глобальної мережі. Якщо ви помітили, що клієнти мають IP-адреси, але не можуть переглядати Інтернет, перевірте, чи DNS-сервер (без обмежень) має правильні IP-адреси. налаштовані списки доступу прослуховувати запити від усіх ваших підмереж.
Пам’ятайте, що за замовчуванням OPNsense блокує весь трафік на нових інтерфейсах. Вам потрібно буде перейти до розділу правил і створити правило пропуску щоб дозволити трафіку вашої локальної мережі досягати глобальної мережі. Якщо ваш інтернет-провайдер дуже обмежує доступ і використовує MAC-адресу оригінального маршрутизатора для чогось іншого, ви можете скористатися клонувати MAC-адресу в OPNsense, щоб обманом змусити систему призначити вам з’єднання.
Налаштування цієї системи надає вам повний контроль над тим, хто входить і виходить з вашої мережі, дозволяє керувати пропускною здатністю, щоб ніхто не перевантажував з’єднання, завантажуючи ігри, і, перш за все, допомагає вам зрозуміти, як насправді працює Інтернет у вашому домі. Хоча споживання енергії трохи вище, ніж у пластикового роутера, обчислювальна потужність і безпека, які він забезпечує, є значними перевагами. використання спеціалізованого обладнання Вони з лишком компенсують невелике збільшення рахунку за електроенергію.
