كيف تبني مختبرات Cachito جدارًا ناريًا باستخدام OPNsense على ZimaBoard 2

شكرًا لـ cachito labs على توثيق مشروع ZimaBoard 2 المدروس هذا. في فيديو البناء الأصلي، تتحول مشكلة مع مزود خدمة الإنترنت إلى درس عملي في التوجيه، وسياسات جدار الحماية، وخصوصية DNS، والخروج عبر VPN. الفكرة المفيدة ليست نسخ إعداد واحد فحسب، بل فهم كيف يمكن لحاسوب صغير مخصص أن يصبح نقطة التحكم في شبكة منزلية بأكملها.

يُعد هذا الشرح مفيدًا خصوصًا إذا كان جهاز البوابة الذي يوفره مزود خدمة الإنترنت يمنحك تحكمًا محدودًا في التوجيه أو الخصوصية. فهو يتابع الانتقال من اتصال مواجه للمزود إلى ZimaBoard 2 يعمل بنظام OPNsense، ثم يوضح كيف تغير قواعد جدار الحماية، وخيارات DNS، وتوجيه VPN سلوك الشبكة. وتحول الأقسام أدناه ذلك البناء إلى دليل قرارات قابل لإعادة الاستخدام بدلًا من كونه نصًا منقولًا بحسب الطوابع الزمنية.

إفصاح التعاون: يتضمن وصف الفيديو الأصلي إفصاحًا عن روابط التسويق بالعمولة لمنتجات أو خدمات قد يشار إليها في عملية البناء. تلخص المقالة أدناه إعداد cachito labs نفسه والاستخدام المقصود؛ وقد تتغير إصدارات البرامج، وتفاصيل الواجهة، وحزم الأجهزة، والتوافق بعد النشر.

النتيجة: خادم المنزل المصغر ZimaBoard 2  ليس بديلًا مصغرًا لخادم رفوف متعدد الأنوية. تكمن قوته في الجمع بين التشغيل الصامت، واتصال مزدوج بسرعة 2.5GbE، وتخزين SATA مباشر، وتوسعة PCIe مفتوحة ضمن نظام x86 صغير يمكن تخصيصه لدور منزلي واضح المعالم: جهاز مخصص لجدار الحماية والتوجيه باستخدام OPNsense.

أثناء المشاهدة، ركز على ثلاثة تغييرات مترابطة: يصبح ZimaBoard 2 بوابة الشبكة، ويفصل OPNsense بين سياسات جدار الحماية وNAT وسلوك DNS، وينشئ VPN هوية مختلفة للخروج بالنسبة إلى حركة المرور المحددة. توضح هذه الطبقات سبب قدرة المشروع على تقليل مستوى رؤية مزود خدمة الإنترنت، من دون أن يعد بإخفاء الهوية بشكل مطلق.

عندما يصر مزود خدمة الإنترنت على التحكم في جهاز الحافة، تكون الخسارة الحقيقية في الرؤية والاختيار. ويستعيد جدار حماية منفصل كليهما. يقع ZimaBoard 2 بين اتصال المزود وبقية المنزل، بينما يقرر OPNsense حركة المرور المسموح بها، ووجهتها، والخدمات التي ينبغي أن تحل الأسماء أو تخرج عبر VPN. يجعل هذا الفصل الشبكة أسهل في الفهم وأسهل في التغيير لاحقًا.

كيف تحولت مشكلة مع مزود خدمة الإنترنت إلى مشروع جدار حماية

يبدأ البناء بإحباط مألوف في الشبكات المنزلية: لا يرغب المزود في أن يضع العميل جهاز التوجيه الخاص به على الحافة. وبدلًا من التعامل مع بوابة مزود خدمة الإنترنت باعتبارها عقل الشبكة، ينقل cachito labs التوجيه والسياسات إلى أجهزة يتحكم فيها المالك. والنتيجة حد فاصل واضح: يوفر مزود الخدمة الاتصال، بينما يتولى جدار الحماية المحلي إدارة الشبكة الخاصة.

يهم هذا التمييز لأن البوابة متعددة الوظائف تخفي عدة مهام خلف واجهة واحدة. فقد يكون التوجيه، وترجمة العناوين، وإعادة توجيه DNS، والوصول اللاسلكي، وقواعد الأمان مجمعة كلها معًا. أما جدار الحماية المخصص فيعرض هذه المهام كقرارات منفصلة. ويمكنك استبدال نقطة الوصول من دون استبدال جهاز التوجيه، أو إرسال أجهزة محددة فقط عبر VPN، أو تغيير سلوك DNS من دون إعادة تصميم شبكة LAN بالكامل.

لماذا يناسب ZimaBoard 2 دور جدار الحماية

لا يحتاج جدار الحماية إلى أن يبدو كحاسوب مكتبي. بل يحتاج إلى واجهات شبكة موثوقة، وقدرة معالجة كافية للخدمات المختارة، وتصميم مادي يمكنه البقاء قيد التشغيل على مدار الساعة. ZimaBoard 2 منصة x86 مدمجة مزودة باتصال مزدوج بسرعة 2.5GbE، ما يجعلها جهازًا طبيعيًا ذا جانبين: يواجه أحد المنفذين مزود خدمة الإنترنت أو المودم العلوي، بينما يخدم الآخر المحول الداخلي.

الأجهزة ليست سوى الأساس. يغير صندوق الحافة المخصص أيضًا نموذج الأعطال. فإذا أعيد تشغيله أو انقطعت عنه الطاقة، فقد يفقد المنزل بأكمله الاتصال؛ لذلك ينبغي أن يتضمن البناء خطة استرداد: احتفظ بنسخة احتياطية معروفة الصلاحية من الإعدادات، وضع علامات على مساري Ethernet، وتأكد من استمرار إمكانية الإدارة محليًا عند تعذر الوصول إلى WAN. الأجهزة الصغيرة مريحة، لكنها لا تزال تستحق عناية بمستوى البنية التحتية.

يجب أن تكون بنية الشبكة صحيحة قبل أن تصبح القواعد مهمة

قبل كتابة قاعدة لجدار الحماية، ارسم المسار الذي ينبغي أن تسلكه الحزمة. تستقبل الواجهة العلوية عنوان الجهة المواجهة للمزود، وتمتلك الواجهة السفلية الشبكة الفرعية الخاصة، ويستخدم كل عميل عنوان ZimaBoard 2 بوصفه البوابة الافتراضية. وإذا كانت هذه العلاقات خاطئة، فلن تصلح البنية الصحيحة ظاهريًا للقواعد هذا الهيكل.

هذا الموقع كبوابة هو ما يتيح لجدار الحماية رؤية حركة المرور من كل جهاز تتم إدارته. ويمكنه تطبيق سياسة واحدة على المنزل بأكمله، أو سياسات أكثر تحديدًا على شبكات VLAN، والخوادم، ومحطات العمل، وأجهزة المنزل الذكي. كما يجعل التصميم استكشاف الأخطاء وإصلاحها أكثر منهجية: اختبر WAN، ثم بوابة LAN، ثم DNS، وبعد ذلك فقط انتقل إلى مشكلات مستوى التطبيقات.

تثبيت OPNsense على جهاز حافة مخصص

يُعد تثبيت OPNsense على حاسوب x86 صغير طريقة عملية لتحويل الأجهزة العامة إلى جهاز توجيه مخصص لغرض محدد. تُكتب الصورة على محرك قابل للإقلاع، ويبدأ الجهاز من تلك الوسيطة، ثم يضع المثبت نظام التشغيل على وحدة التخزين الداخلية. وبعد اكتمال الإقلاع الأول، تُستخدم وحدة التحكم لتعيين الواجهات الفعلية قبل أن تتولى لوحة الويب المهمة.

يُعد تعيين الواجهات اللحظة التي ينبغي فيها التمهل. فالاسم مثل «WAN» أو «LAN» لا يكون مفيدًا إلا إذا تطابق مع الكابل والمنفذ الفعليين. تحقق من حالة الارتباط، ووصل كل جانب على حدة، وحافظ على بساطة التخطيط الأولي. ويمكن إضافة شبكات وخدمات أخرى لاحقًا من دون التخمين بشأن الواجهة الفعلية التي تحملها.

الواجهات، والبوابات، وNAT، وأول مسار عامل

بعد تعيين الواجهات، يحتاج OPNsense إلى بوابة علوية وعنوان LAN خاص. يصبح عنوان LAN المسار الافتراضي للعملاء، بينما تشير بوابة WAN إلى أجهزة مزود خدمة الإنترنت. وتتيح ترجمة العناوين بعد ذلك للعملاء الخاصين مشاركة الاتصال العلوي، وهو النمط المعتاد لشبكة منزلية خلف عنوان عام واحد.

في هذه المرحلة، تحقق من الاتصال الأساسي قبل إضافة ميزات الخصوصية. ينبغي أن يحصل العميل على عنوان، وأن يصل إلى لوحة جدار الحماية، وأن يحل اسمًا تجريبيًا، وأن يصل إلى الإنترنت العام. ويمنع اختبار هذه الطبقات منفصلةً تغيير VPN أو DNS من إخفاء خطأ أبسط في التوصيل أو DHCP أو البوابة.

قواعد جدار الحماية وخصوصية DNS طبقتان مختلفتان

تجيب قواعد جدار الحماية عن سؤال «ما حركة المرور المسموح بها؟» ويجيب NAT عن سؤال «كيف تشارك حركة المرور الخاصة العنوان العلوي؟» بينما تجيب إعدادات DNS عن سؤال «أي محلل يتولى البحث عن الاسم؟» تتفاعل عناصر التحكم هذه، لكنها ليست قابلة للتبادل. فالسماح بحركة المرور الصادرة لا يشفر DNS، واختيار محلل مشفر لا يرسل تلقائيًا كل حركة مرور التطبيقات عبر VPN.

تتمثل نقطة البداية المعقولة في السماح بحركة المرور المرتجعة الخاصة بالاتصالات القائمة، والسماح فقط بالخدمات الصادرة التي تحتاج إليها الشبكة، والحفاظ على إمكانية الوصول إلى الإدارة من جزء موثوق مخصص للإدارة. ويمكن بعد ذلك توجيه DNS إلى محلل مختار، مع تفعيل النقل المشفر حيثما كان مدعومًا. الهدف ليس إنشاء شبكة «غير مرئية» بطريقة سحرية، بل تقليص عدد الجهات التي يمكنها مراقبة كل طبقة أو التأثير فيها، وجعلها أكثر تحديدًا وتعمدًا.

التوجيه عبر VPN يغير هوية الخروج

يغير جزء VPN من المشروع مسار خروج الشبكة. فبدلًا من إرسال حركة المرور المحددة مباشرة إلى مزود خدمة الإنترنت، ينشئ OPNsense نفقًا ويوجه العملاء أو الوجهات المطابقة عبره. وبذلك ترى الخدمات الخارجية عنوان الخروج الخاص بمزود VPN بدلًا من العنوان العام المعتاد للمنزل.

يحسن ذلك الفصل عن مزود خدمة الإنترنت، لكنه لا يعادل إخفاء الهوية التام. فما يزال بإمكان المزود رؤية الاتصال بخدمة VPN وخصائص حركة المرور العامة. ويصبح مزود VPN نقطة ثقة أخرى، كما يمكن للمواقع تحديد هوية المستخدمين عبر الحسابات، وملفات تعريف الارتباط، والمتصفحات، أو بصمات الأجهزة. لذلك تبدأ السياسة الجيدة بسؤال دقيق: ما حركة المرور التي تحتاج إلى مسار خروج مختلف، ولماذا؟

يجعل الغلاف المطبوع ثلاثي الأبعاد ووضع الجهاز في الرف البناء عمليًا

الغلاف المادي أكثر من مجرد زينة. فهو يحمي اللوحة، ويحافظ على ثبات مسارات Ethernet، ويسهل تثبيت جدار الحماية في المكان الذي يوجد فيه المودم والمحول أصلًا. كما يشجع وضعه في الرف على الفصل الواضح بين جهاز الحافة، ونقاط الوصول اللاسلكية، ووحدات التخزين، والخوادم الأخرى.

اترك مساحة لتدفق الهواء والوصول إلى مكونات الصيانة، خصوصًا إذا كانت اللوحة ستعمل باستمرار. ضع علامات على محول الطاقة وكابلي الشبكة، وتجنب وضع جدار الحماية في مكان قد تؤدي فيه سحبة عرضية واحدة إلى فصل WAN. ينجح جهاز الشبكة المدمج عندما يظل مفهومًا بعد ستة أشهر من البناء الأولي.

ما الذي يخفيه هذا الإعداد، وما الذي لا يخفيه؟

يمكن أن يؤدي وضع OPNsense على ZimaBoard 2 إلى إخفاء البنية الداخلية للشبكة المنزلية عن مزود خدمة الإنترنت. فلن يعود المزود بحاجة إلى إدارة كل عميل خاص على حدة؛ إذ يعرض جدار حماية الحافة حدًا مضبوطًا من الخارج. ويمكن لخيارات DNS وتوجيه VPN تقليل مقدار معلومات الوجهات المكشوفة عبر المسار الافتراضي.

لكن لهذه الفوائد حدودًا. فما يزال مزود خدمة الإنترنت يوفر الرابط الفعلي، ويمكنه رؤية أن الاتصال نشط، وقد يحدد نقطة نهاية VPN أو غيرها من البيانات الوصفية. ولا يستطيع جدار الحماية حماية عميل مخترق، أو إيقاف التتبع الذي تنفذه خدمة سجّل المستخدم الدخول إليها، أو ضمان التزام كل تطبيق بالمسار المقصود. تعامل مع المشروع باعتباره وسيلة للتحكم في الشبكة وتقسيمها، لا وعدًا بخصوصية مطلقة.

من ينبغي له بناء جدار حماية OPNsense باستخدام ZimaBoard 2؟

يناسب هذا التصميم منزلًا يضم أفرادًا لديهم فضول تقني ويريدون التحكم في التوجيه، وDNS، وسياسات VPN، والتقسيم المستقبلي، من دون شراء جهاز مؤسسي كبير. كما أنه مفيد لمختبر تحتاج فيه عدة خدمات إلى شبكة يمكن التنبؤ بها، ويريد مالكه فهم المسار الذي تسلكه كل حزمة.

ويكون أقل ملاءمة عندما تكون الأولوية هي انعدام الصيانة. فقد تكون البوابة المُدارة خيارًا أفضل لمن لا يريد صيانة التحديثات، والنسخ الاحتياطية، والشهادات، وبيانات اعتماد VPN، وإجراءات الاسترداد. أما بالنسبة إلى الآخرين، فيوفر الجمع بين لوحة منخفضة استهلاك الطاقة ومنصة جدار حماية شفافة حلًا عمليًا متوسطًا بين جهاز مزود خدمة الإنترنت وخادم رفوف كامل.

الخلاصة

يوضح مشروع cachito labs سبب قدرة حاسوب صغير على إحداث تأثير كبير في شبكة منزلية. يوفر ZimaBoard 2 منصة مدمجة ذات واجهتين؛ ويوفر OPNsense محرك السياسات؛ ويقرر المالك كيفية تكامل DNS وNAT وقواعد جدار الحماية ومسارات VPN. والدرس الأكثر استمرارية معماري: أنشئ بوابة صحيحة أولًا، واختبر كل طبقة بشكل مستقل، ثم أضف ميزات الخصوصية والتوجيه مع فهم واضح لما يمكن لكل منها إخفاؤه وما لا يمكنه إخفاؤه.

لبناء حافة مشابه منخفض استهلاك الطاقة، استكشف خادم المنزل المصغر ZimaBoard 2. وللاطلاع على وثائق جدار الحماية، راجع الموقع الرسمي لـ OPNsense. وإذا أردت مقارنة الإعدادات ومشاركة إعداد خادمك المنزلي، فانضم إلى مجتمع ZimaSpace على Discord.