OPNsense vs OpenWrt per un laboratorio domestico multi-VLAN con servizi self-hosted

Eva Wong

IceWhale author

Eva Wong è la Technical Writer e smanettatrice residente di ZimaSpace. Una geek da sempre con una passione per homelab e software open-source, si specializza nel tradurre concetti tecnici complessi in guide accessibili e pratiche. Eva crede che l'auto-ospitare debba essere divertente, non intimidatorio. Attraverso i suoi tutorial, dà potere alla comunità di demistificare le configurazioni hardware, dalla costruzione del loro primo NAS al dominio dei container Docker.

OPNsense vs OpenWrt for a Multi-VLAN Home Lab With Self-Hosted Services

Per un home lab multi-VLAN con servizi self-hosted, OPNsense è in genere la scelta più solida quando il gateway è un firewall x86 dedicato il cui compito principale è gestire routing, policy, VPN, logging e ispezione di sicurezza. OpenWrt è in genere più adatto quando vuoi riutilizzare hardware router supportato, mantenere Wi-Fi e routing in un unico dispositivo compatto oppure creare ruoli flessibili di access point e router edge basati sul networking Linux.

Nessuna delle due piattaforme prevale perché una «supporta le VLAN» e l’altra no: le supportano entrambe. La scelta riguarda il modello operativo. OPNsense offre un flusso di lavoro incentrato sul firewall, con interfacce, alias, gruppi, policy stateful, VPN e IPS organizzati attorno a un’appliance di sicurezza dedicata. OpenWrt offre una piattaforma Linux incentrata sul router, con switching DSA, bridge compatibili con le VLAN, zone firewall, pacchetti e ampia flessibilità per l’hardware embedded.

Confronta il ruolo del gateway prima delle funzionalità

Un home lab multi-VLAN svolge in genere almeno quattro funzioni sul gateway: instradare il traffico tra sottoreti, stabilire quali zone possono avviare connessioni, fornire accesso a Internet ed esporre o instradare tramite tunnel determinati servizi self-hosted. Quando il gateway gestisce anche le policy DNS, l’accesso remoto, i log del traffico, la prevenzione delle intrusioni o diverse eccezioni tra dispositivi IoT, client attendibili, server e ospiti, la facilità di manutenzione diventa importante quanto il throughput puro.

Il confronto esistente di ZimaSpace tra un router consumer e un firewall dedicato stabilisce questo confine architetturale. Questo confronto scende di un livello: se hai già bisogno di un gateway open source compatibile con le VLAN, quale modello software si adatta meglio al lavoro?

Criterio di scelta	OPNsense	OpenWrt
Orientamento progettuale principale	Appliance firewall/router dedicata	Router, AP, switch o gateway Linux embedded flessibile
Hardware tipico	Appliance o PC x86-64	Molti router, SBC e sistemi x86 supportati
Flusso di lavoro delle policy multi-VLAN	Regole per le interfacce, gruppi, alias e firewall stateful	Interfacce/bridge, oltre a zone firewall e inoltro
Funzione Wi-Fi integrata	Di solito affidato ad access point esterni	Spesso un punto di forza sui router hardware supportati
Flusso di lavoro IDS/IPS	Integrazione Suricata documentata e integrata	Possibile tramite pacchetti, ma più dipendente dal dispositivo
Ideale per	Gateway di sicurezza centralizzato	Router/AP/nodo edge flessibile

Entrambi possono creare VLAN, ma rappresentano la rete in modo diverso

L'attuale modello DSA di OpenWrt espone le porte dello switch tramite il networking Linux e supporta più reti usando bridge consapevoli delle VLAN e trunk con tag. Il tutorial DSA del progetto mostra VLAN bridge separate, porte con e senza tag e l'assegnazione a zone firewall per le interfacce VLAN instradate. È sufficiente per creare reti attendibili, IoT, guest, server e di gestione su hardware adatto.

OPNsense affronta lo stesso problema dalla prospettiva di un'appliance firewall. Supporta interfacce VLAN 802.1Q, mentre le sue regole del firewall stateful sono raggruppate per interfaccia e possono essere combinate con alias e gruppi di interfacce. I suoi alias consentono di rappresentare più host, reti o porte come oggetti di policy riutilizzabili.

Per un laboratorio con tre VLAN e una dozzina di regole, entrambi i modelli sono gestibili. Con la crescita del ruleset, la domanda diventa quale modello mentale si preferisca per ripristinare il sistema alle 2 di notte: una configurazione di router Linux costruita a partire da dispositivi, interfacce, bridge VLAN, zone, pacchetti e UCI, oppure una configurazione firewall dedicata basata su interfacce, gruppi, alias, policy e servizi di sicurezza.

OPNsense è più efficace quando la policy diventa il prodotto principale

Supponiamo che il laboratorio disponga di una LAN attendibile, una VLAN IoT, una VLAN per le telecamere, una VLAN per i server, una rete guest, una rete di gestione e utenti VPN. Il lavoro difficile non consiste più nel creare tag VLAN. Consiste nel mantenere eccezioni come:

Home Assistant può avviare connessioni selezionate verso i dispositivi IoT.
I dispositivi IoT possono usare DNS e NTP, ma non possono avviare sessioni verso la VLAN dei server.
Le telecamere possono raggiungere l'NVR, ma non Internet.
Gli utenti VPN remoti possono raggiungere i servizi di gestione, ma non i client della rete guest.
Il traffico pubblico del reverse proxy può raggiungere solo le porte delle applicazioni previste.

OPNsense è particolarmente adatto in questo caso perché il firewall costituisce la sua interfaccia principale. Offre ordinamento documentato delle regole, monitoraggio dello stato, gruppi, categorie, registrazione, alias, NAT e routing basato su policy. I suoi gruppi di interfacce possono applicare una policy comune a più interfacce di rete senza duplicare la stessa regola ovunque.

Ciò non significa che OpenWrt non possa applicare le stesse policy. Può farlo. La differenza riguarda l'approccio operativo: OPNsense presuppone che il dispositivo esista per fungere da firewall, mentre OpenWrt è una distribuzione router generica che può essere adattata a molti ruoli di rete.

Featured

ZimaCube 2 NAS personale cloud domestico

ZimaCube2

OpenWrt è più forte quando contano la flessibilità hardware e il Wi-Fi

Il vantaggio di OpenWrt emerge quando il gateway è anche un access point, un router da viaggio, un dispositivo edge a basso consumo o un router consumer ricondizionato. Il suo modello di VLAN e switch riflette la varietà dell'hardware degli switch integrati e degli stati di migrazione DSA tra i diversi dispositivi.

Questo ampio modello hardware è utile, ma introduce un requisito che gli utenti OPNsense incontrano meno spesso: verificare il dispositivo esatto, l'architettura dello switch, il supporto del chipset Wi-Fi, la capacità di flash e RAM e il percorso di aggiornamento prima di progettare la rete attorno a esso. Due router che eseguono OpenWrt possono avere capacità molto diverse in termini di porte, radio e accelerazione.

Se possiedi già un router OpenWrt ben supportato, in grado di instradare la connessione Internet alla velocità richiesta, gestire le VLAN necessarie e ospitare i pacchetti VPN richiesti, sostituirlo solo perché OPNsense offre un'interfaccia più orientata al firewall potrebbe aggiungere hardware senza risolvere un problema reale.

OPNsense presuppone hardware più dedicato

Attualmente OPNsense è destinato ai sistemi x86-64. La sua guida hardware ufficiale indica 8 GB di RAM e una CPU multicore da 1,5 GHz come configurazione consigliata per eseguire il set di funzionalità standard nei casi d'uso tipici, mentre specifiche inferiori possono supportare configurazioni ridotte o più leggere.

Questa è una filosofia di implementazione diversa dal flashare OpenWrt su un router compatto. Un piccolo firewall x86 con più NIC di qualità costa di più e consuma un'altra presa di corrente, ma separa anche il routing e la sicurezza dal Wi-Fi. In questo modo gli access point possono essere aggiornati, riavviati o spostati senza sostituire il gateway principale.

Per un ambiente server domestico che sta già diventando un'infrastruttura complessa, questa separazione è spesso un vantaggio. Per un piccolo appartamento con un solo access point e tre VLAN, può invece rappresentare una complessità superflua.

Il supporto VPN è solido su entrambe le piattaforme

WireGuard non impone nemmeno una scelta definitiva. OpenWrt offre indicazioni aggiornate sulla configurazione di WireGuard, mentre OPNsense documenta sia i flussi WireGuard per gli utenti in mobilità sia quelli da sito a sito nella sua documentazione VPN.

La vera differenza sta in ciò che accade intorno al tunnel. Se gli utenti VPN hanno bisogno di propri oggetti di policy, più gruppi di destinazioni, routing selettivo, registrazione dettagliata o diverse zone interne, il flusso di lavoro incentrato sul firewall di OPNsense diventa interessante. Se la VPN serve semplicemente a consentire ad alcuni dispositivi personali di raggiungere la LAN attraverso un router compatto, OpenWrt può rimanere il sistema più semplice.

IDS/IPS sposta la scelta verso OPNsense

Quando il gateway deve ispezionare il traffico anziché limitarsi a instradarlo e filtrarlo, il dimensionamento dell'hardware diventa più importante. OPNsense dispone di un flusso di lavoro documentato per la prevenzione delle intrusioni con Suricata, che include la selezione dell'interfaccia e considerazioni sull'offload hardware specifiche per l'IPS.

OpenWrt può eseguire pacchetti di sicurezza aggiuntivi su hardware sufficientemente potente, ma il risultato effettivamente utilizzabile dipende molto di più dalla CPU, dalla RAM, dall'archiviazione e dal supporto all'accelerazione del router specifico. Se IDS/IPS sempre attivo è un requisito reale, scegliere insieme il software firewall e l'hardware x86 è generalmente più semplice da valutare che trattare l'ispezione come un altro pacchetto su un router Wi-Fi con risorse limitate.

Non dare per scontato che OPNsense sia automaticamente più veloce

Le prestazioni dipendono dall'architettura della CPU, dalla qualità delle schede di rete, dalla dimensione dei pacchetti, dal NAT, dalla crittografia VPN, da IDS/IPS, dal traffic shaping, da PPPoE, dall'accelerazione hardware e dal dispositivo OpenWrt effettivo. Un potente dispositivo OpenWrt x86 può superare un'appliance OPNsense poco potente, mentre una macchina OPNsense adeguatamente dimensionata può superare un router embedded economico quando sono attivi il routing multi-gigabit e l'ispezione.

Pertanto, confronta l'hardware necessario per supportare il tuo insieme reale di funzionalità. Testa il routing Internet, il routing tra VLAN, la velocità VPN e l'utilizzo della CPU con gli stessi servizi che intendi lasciare attivi. Un valore di routing dichiarato senza le regole del firewall e le funzionalità VPN/ispezione non corrisponde a ciò che vedrai nel tuo laboratorio domestico.

Spesso l'architettura migliore prevede OPNsense al centro e OpenWrt ai margini

Queste piattaforme non devono necessariamente sostituirsi a vicenda. Un'architettura multi-VLAN particolarmente ordinata è:

Internet
   |
Gateway OPNsense x86
   |
Trunk 802.1Q
   |
Switch gestito
   |---------------- Server domestici / NAS
   |---------------- Client cablati
   |
Punto/i di accesso OpenWrt
   |---------------- Wi-Fi affidabile
   |---------------- Wi-Fi IoT
   |---------------- Wi-Fi ospiti

In questa topologia OPNsense gestisce l’instradamento tra le VLAN, le policy, la VPN, i registri e l’IPS opzionale. OpenWrt fornisce le reti Wi-Fi e associa gli SSID alle VLAN senza dover essere l’appliance di sicurezza centrale. Questo è inoltre in linea con le indicazioni di ZimaSpace sulle reti guest rispetto alle VLAN: il tag VLAN è solo il meccanismo di segmentazione; è la policy del firewall instradato a determinare quali risorse le zone possano effettivamente raggiungere.

Matrice decisionale per un home lab autogestito

La tua priorità	Punto di partenza migliore	Perché
Firewall centrale dedicato con numerose policy VLAN	OPNsense	Workflow incentrato sul firewall per regole, alias, registri e interfacce
Riutilizzare un router Wi-Fi supportato	OpenWrt	Ruolo integrato di router/punto di accesso e ampio ecosistema di dispositivi
IDS/IPS sul gateway	OPNsense	Workflow Suricata documentato e dimensionamento x86 più semplice
Un unico dispositivo compatto per routing e Wi-Fi	OpenWrt	Progettato per l’hardware dei router integrati
Diversi punti di accesso più uno switch gestito	Core OPNsense + punti di accesso OpenWrt	Separa la policy di sicurezza dall’hardware radio
Approfondire il networking Linux	OpenWrt	DSA, bridge, UCI, pacchetti e gestione della rete Linux sono visibili

Verdetto finale

Scegli OPNsense quando il gateway multi-VLAN è diventato un’infrastruttura di sicurezza; scegli OpenWrt quando il gateway è ancora principalmente un router o un punto di accesso flessibile. Per un home lab autogestito con diverse VLAN, servizi pubblici, utenti VPN ed eccezioni alle policy, un dispositivo OPNsense dedicato offre solitamente un modello operativo più chiaro nel lungo periodo.

OpenWrt rimane un’ottima scelta per le reti più piccole e spesso è il complemento migliore, non un concorrente: usalo sui punti di accesso o sui router perimetrali, mentre il firewall dedicato gestisce le policy tra le VLAN.

Domande frequenti

OpenWrt può instradare più VLAN?

Sì. Le versioni attuali di OpenWrt supportano configurazioni bridge compatibili con le VLAN tramite DSA, trunk con tagging, interfacce separate e zone firewall sull’hardware supportato.

OPNsense richiede uno switch gestito?

Non per ogni configurazione, ma normalmente è necessario uno switch gestito compatibile con le VLAN quando un unico trunk fisico deve trasportare diverse VLAN cablate oltre all’appliance firewall.

Qual è la soluzione più semplice per le VLAN Wi-Fi?

OpenWrt è spesso più semplice quando lo stesso dispositivo supportato fornisce le reti wireless. OPNsense viene comunemente abbinato a punti di accesso separati compatibili con le VLAN.

Dovrei sostituire OpenWrt funzionante con OPNsense?

Solo se il modello con firewall dedicato risolve un limite reale, come la complessità delle regole, l’ispezione, il ripristino indipendente del gateway o la velocità dell’hardware. Un gateway OpenWrt funzionante non deve essere sostituito solo per una questione di purezza architetturale.