Do wpisu istnieje również rolka dostępna na social mediach:

Pewnie większości osób nie przyda się sprzętowy firewall. Takie osoby mają w domu router od dostawcy, może jakiś niezarządzalny switch żeby podłączyć więcej urządzeń. Co jednak gdy ktoś chce podzielić domową sieć na VLANy? Albo chce nadzorować swoją sieć bądź wystawiać jakieś usługi na świat? Tu może pomóc otwartoźródłowy system OPNsense.

W przypadku VLANów oczywiście, można kupić bardziej zaawansowany router, np. MikroTik. Albo nawet zbudować własny oparty na OpenWRT. Ale routery działają tylko w warstwie sieciowej, czyli mają tylko podstawowe informacje o pakiecie: adresy IP, trasy itp. Natomiast firewall działa w warstwie aplikacji. Każdy pakiet może rozszyfrować i sprawdzić zawartość, zanim dotrze do odbiorcy, skutecznie unieszkodliwiając niechciane lub podejrzane paczki danych.

Jak to działa?

Do takiego domowego firewalla wystarczy zwykły komputerek. Najlepiej żeby miał wydajny energetycznie procesor i co najmniej dwa złącza sieciowe RJ45. Jeżeli będzie tylko jedno złącze sieciowe, to może się przydać router z opcją VLANów albo najprostszy zarządzalny switch.

Instalujemy na tym komputerze system OPNsense, przeprowadzamy konfigurację interfejsów sieciowych i w zasadzie resztę konfiguracji można wykonać zdalnie. Po zalogowaniu się do panelu otwiera nam się szereg możliwości: logi, przechwytywanie pakietów, reguły filtrowania do poszczególnych urządzeń czy Suricata – system IPS służący do wykrywania zagrożeń i blokowania ataków w czasie rzeczywistym.

Zanim przejdziemy do jakichkolwiek działań trzeba zwrócić uwagę na jedną kwestię. To jest profesjonalny system, a każda zmiana powinna zostać wykonana z wiedzą o tym, co wprowadza i jakie niesie za sobą konsekwencje. Jedno niewłaściwe kliknięcie i udostępniamy całą naszą sieć w Internecie. Inne kliknięcie i tracimy zdalny dostęp do interfejsu. Jeśli nie posiada się odpowiedniej wiedzy, należy bardzo ostrożnie podchodzić do tematu, a najlepiej oddać kontrolę jakiemuś zaufanemu znajomemu który się na tym zna.

OPNsense w infrastrukturze domowej

Aby wszystko dobrze działało, a pakiety trafiały tam gdzie powinny, wszystkie reguły mapowania portów powinny być zapisane w firewallu. Jednak, samo wpisanie reguł w OPNsensie to za mało, gdy mamy jeszcze po drodze router. Tu mamy dwie możliwości.

Jeśli chcemy, aby nasz firewall działał na całej domowej sieci, przełączamy router w tryb mostu (czyli router robi tylko za modem dostawcy a to firewall obsługuje cały ruch). W takim scenariuszu zaleca się większą infrastrukturę za firewallem: switch, access pointy itp. Generuje to większe koszty a nasz komputerek będzie pod większym obciążeniem (większy ruch), jednak otrzymujemy w zamian większą kontrolę nad swoją siecią.

Jeżeli chcemy, aby firewall obsługiwał tylko nasz homelab (serwer NAS czy Apache), możemy skonfigurować w routerze tzw. DMZ. Sprawi on, że router robi to co robił do tej pory, a wszystko o czym nie wie wysyła do firewalla. Do samego firewalla podłączamy to co chcemy żeby obsługiwał i tam ustawiamy wszystkie reguły. Dzięki temu router obsługuje swoich klientów i nie wtrąca się w interesy OPNsensa. Problemem może tu być jedynie podwójny NAT (tłumaczenie adresów IP), który będzie mógł generować czasem drobne problemy.

Takie zabawy nie dla każdego?

Tak jak wcześniej pisałem, firewall daje fajne możliwości, ale konfiguracja to nie coś dla osoby która nie ma zielonego pojęcia o sieciach. Jeśli nie masz homelaba, a jedynie prostą sieć typu telefon, komputer, telewizor, to nie warto. Nie tylko zaoszczędzimy na prądzie, ale też będziemy mieli mniej punktów awarii. Pamiętajmy, że każde urządzenie może się zepsuć, a każda awaria może spowodować brak Internetu.

Proste sieci powinny polegać jedynie na routerze od dostawcy. Ktoś z bardziej rozbudowaną siecią (np. z monitoringiem) może zainwestować w bardziej zaawansowany router i ew. zarządzalny switch. Rozbudowane rozwiązania takie jak przedstawione w tym wpisie to coś dla osób, które znają się na temacie, albo mają specyficzne potrzeby lub wymagania.