cachito labsがZimaBoard 2でOPNsenseファイアウォールを構築する方法

cachito labsが、この考え抜かれたZimaBoard 2プロジェクトを記録してくれたことに感謝します。元の構築動画では、ISPの問題が、ルーティング、ファイアウォールポリシー、DNSプライバシー、VPNの出口経路について学ぶ実践的な題材になっています。重要なのは、単に1つの設定をコピーすることではありません。小型の専用コンピューターを、家庭内ネットワーク全体の制御ポイントに変えられる仕組みを理解することです。

この解説は、ISPのゲートウェイによってルーティングやプライバシーの制御がほとんどできない場合に、特に役立ちます。プロバイダー向けの接続から、OPNsenseを実行するZimaBoard 2へ移行する流れを追い、その後、ファイアウォールルール、DNSの選択、VPNルーティングによってネットワークの動作がどのように変わるかを説明します。以下のセクションでは、この構築を時系列の逐語的な記録ではなく、再利用可能な判断ガイドとしてまとめています。

コラボレーションに関する開示：元動画の説明欄には、構築で紹介されている可能性のある製品やサービスについて、アフィリエイトに関する開示が含まれています。以下の記事は、cachito labs自身の構成と想定用途を要約したものです。ソフトウェアのバージョン、インターフェースの詳細、ハードウェアのセット内容、互換性は公開後に変更される場合があります。

結果：ZimaBoard 2 ミニホームサーバー  は、多コアのラックサーバーを小型化した代替品ではありません。その強みは、静音動作、デュアル2.5GbEネットワーク、直接接続できるSATAストレージ、オープンなPCIe拡張を、小型のx86システムに組み合わせている点にあります。そして、専用のOPNsenseファイアウォール兼ルーティングアプライアンスという、明確に定義された家庭内ネットワークの役割を担わせることができます。

動画を見る際は、互いに関連する3つの変化に注目してください。ZimaBoard 2がネットワークゲートウェイになり、OPNsenseがファイアウォールとNATのポリシーをDNSの動作から分離し、VPNが選択したトラフィックに別の外向きの識別情報を与えます。これらの層があるからこそ、絶対的な匿名性を約束することなく、ISPから見える情報を減らせるのです。

ISPがエッジデバイスの制御を手放さない場合、本当に失われるのは可視性と選択肢です。別のファイアウォールを置けば、その両方を取り戻せます。ZimaBoard 2はプロバイダーからの接続と家庭内の他の機器の間に入り、OPNsenseが、どのトラフィックを許可し、どこへ送るか、どのサービスで名前を解決するか、VPN経由で外部へ出すかを決定します。この分離により、ネットワークの把握と後からの変更が容易になります。

ISPの問題がファイアウォールプロジェクトになった理由

この構築は、家庭内ネットワークでよくある不満から始まります。プロバイダーが、顧客自身のルーターをエッジに置くことを望まないのです。cachito labsは、ISPゲートウェイをネットワークの頭脳として扱う代わりに、ルーティングとポリシーを所有者が管理できるハードウェアへ移します。その結果、明確な境界が生まれます。ISPは接続性を提供し、ローカルファイアウォールがプライベートネットワークを管理するのです。

この違いが重要なのは、一体型ゲートウェイが複数の役割を1つのインターフェースの裏に隠しているからです。ルーティング、アドレス変換、DNSフォワーディング、無線アクセス、セキュリティルールが、すべて一体化されている場合があります。専用ファイアウォールなら、それらを個別の判断として扱えます。ルーターを交換せずにアクセスポイントを交換したり、特定のデバイスだけをVPN経由にしたり、LAN全体を再設計せずにDNSの動作を変更したりできます。

ZimaBoard 2がファイアウォールに適している理由

ファイアウォールは、デスクトップPCのような外観である必要はありません。信頼性の高いネットワークインターフェース、選択したサービスを動かすための十分な処理性能、そして24時間稼働できる物理的な形状が必要です。ZimaBoard 2は、デュアル2.5GbE接続を備えたコンパクトなx86プラットフォームであり、2つの側面を持つデバイスとして自然に使えます。片方のポートをISPまたは上流モデムに接続し、もう片方を内部スイッチに接続する構成です。

ハードウェアはあくまで土台です。専用のエッジボックスを置くと、障害時の状況も変わります。再起動や停電が起きると、家庭全体が接続を失う可能性があるため、既知の正常な設定バックアップを保管し、両方のEthernet経路にラベルを付け、WANが利用できない場合でもローカル管理が可能であることを確認しておくべきです。小型ハードウェアは便利ですが、インフラとしての配慮は必要です。

ルールより先にネットワークアーキテクチャを正しくする

ファイアウォールルールを書く前に、パケットが通るべき経路を図にしてください。上流インターフェースがプロバイダー側のアドレスを受け取り、下流インターフェースがプライベートサブネットを管理し、すべてのクライアントがZimaBoard 2のアドレスをデフォルトゲートウェイとして使用します。この関係が正しくなければ、見た目が完璧なルールセットでもトポロジーの問題は解決できません。

このゲートウェイの位置により、ファイアウォールは管理対象となるすべてのデバイスのトラフィックを確認できます。家庭全体に1つのポリシーを適用することも、VLAN、サーバー、ワークステーション、スマートホーム機器ごとに、より細かなポリシーを適用することも可能です。また、トラブルシューティングも体系的になります。まずWAN、次にLANゲートウェイ、続いてDNSを確認し、その後で初めてアプリケーションレベルの問題を調べます。

専用エッジデバイスへのOPNsenseのインストール

小型のx86コンピューターにOPNsenseをインストールすれば、汎用ハードウェアを専用ルーターに変えられます。イメージを起動可能なドライブに書き込み、デバイスをそのメディアから起動し、インストーラーでOSを内部ストレージに配置します。初回起動が完了したら、コンソールで物理インターフェースを割り当て、その後はWebダッシュボードで管理します。

インターフェースの割り当てでは、作業を急がないことが重要です。「WAN」や「LAN」といったラベルは、実際のケーブルやポートと一致して初めて意味を持ちます。リンク状態を確認し、一度に片側ずつ接続し、最初はシンプルな構成にしておきましょう。後から追加のネットワークやサービスを導入する際も、どの物理インターフェースを通っているのか推測せずに済みます。

インターフェース、ゲートウェイ、NAT、最初に機能する経路

インターフェースの割り当てが終わると、OPNsenseには上流ゲートウェイとプライベートLANアドレスが必要になります。LANアドレスはクライアントのデフォルトルートになり、WANゲートウェイはISP機器を指します。アドレス変換によって、プライベートクライアントは上流接続を共有できます。これは、1つのパブリックアドレスの背後にある家庭内ネットワークで一般的な構成です。

この段階では、プライバシー機能を追加する前に基本的な接続性を確認します。クライアントがアドレスを取得し、ファイアウォールのダッシュボードにアクセスし、テスト用の名前を解決し、パブリックインターネットへ接続できることを確認してください。これらの層を個別にテストすれば、VPNやDNSの変更によって、ケーブル、DHCP、ゲートウェイといった単純なミスが見えなくなるのを防げます。

ファイアウォールルールとDNSプライバシーは別の層

ファイアウォールルールは「どのトラフィックを許可するか」を答えます。NATは「プライベートトラフィックがどのように上流アドレスを共有するか」を答えます。DNS設定は「名前解決をどのリゾルバーが処理するか」を答えます。これらの制御は相互に作用しますが、同じものではありません。外向きのトラフィックを許可してもDNSが暗号化されるわけではなく、暗号化されたリゾルバーを選んでも、すべてのアプリケーションのトラフィックが自動的にVPNを経由するわけではありません。

基本方針としては、確立済みの戻りトラフィックを許可し、ネットワークに必要な外向きサービスだけを許可し、信頼できる管理セグメントからの管理アクセスを維持するのがよいでしょう。そのうえで、DNSを選択したリゾルバーへ向け、対応している場合は暗号化トランスポートを有効にします。目的は、ネットワークを魔法のように「不可視」にすることではありません。各層を観測または操作できる関係者を、より少なく、より意図的なものにすることです。

VPN経由のルーティングで出口の識別情報が変わる

このプロジェクトのVPN部分では、ネットワークの出口経路が変わります。選択したトラフィックをISPへ直接送る代わりに、OPNsenseがトンネルを確立し、対象となるクライアントや宛先をそこへルーティングします。外部サービスからは、家庭で通常使うパブリックアドレスではなく、VPNプロバイダーの出口アドレスが見えるようになります。

これによりISPとの分離は強化されますが、完全な匿名性とは異なります。ISPはVPNサービスへの接続や、トラフィックのおおまかな特徴を確認できます。VPNプロバイダーが新たな信頼先となり、Webサイトはアカウント、Cookie、ブラウザー、デバイスフィンガープリントなどによってユーザーを識別できる場合があります。したがって、適切なポリシーはまず、「どのトラフィックに別の出口経路が必要なのか、そしてその理由は何か」という明確な問いから始まります。

3Dプリントケースとラック配置で構築を実用的にする

筐体は単なる装飾ではありません。ボードを保護し、Ethernet経路を安定させ、モデムやスイッチが設置されている場所にファイアウォールを取り付けやすくします。ラックに配置すれば、エッジデバイス、無線アクセスポイント、ストレージ、その他のサーバーをきれいに分離することもできます。

ボードを連続稼働させる場合は、通気と保守のためのスペースを確保してください。電源アダプターと2本のネットワークケーブルに印を付け、少し引っ張っただけでWANが切断される場所への設置は避けましょう。コンパクトなネットワークアプライアンスは、構築から6か月後も仕組みを理解できる状態を保ってこそ成功です。

この構成で隠せるもの、隠せないもの

ZimaBoard 2にOPNsenseを配置すると、家庭内ネットワークの内部構成をISPから見えにくくできます。プロバイダーは個々のプライベートクライアントを管理する必要がなくなり、外部からはエッジファイアウォールが制御された境界として見えます。DNSの選択とVPNルーティングにより、通常の経路を通じて公開される宛先情報の量を減らすこともできます。

ただし、効果には限界があります。ISPは物理回線を提供しているため、接続がアクティブであることや、VPNエンドポイントなどのメタデータを確認できる場合があります。ファイアウォールは、侵害されたクライアントを保護したり、ログイン済みサービスによる追跡を止めたり、すべてのアプリケーションが意図した経路に従うことを保証したりはできません。このプロジェクトは、絶対的なプライバシーの約束ではなく、ネットワークの制御とセグメンテーションとして捉えてください。

ZimaBoard 2でOPNsenseファイアウォールを構築すべき人

この構成は、大型のエンタープライズアプライアンスを購入せずに、ルーティング、DNS、VPNポリシー、将来的なセグメンテーションを管理したい、技術に関心のある家庭に適しています。また、複数のサービスに予測可能なネットワーク環境が必要で、各パケットが通る経路を理解したいラボにも役立ちます。

一方、メンテナンスを一切したくない場合には、あまり適していません。アップデート、バックアップ、証明書、VPN認証情報、復旧手順を管理したくない人には、マネージドゲートウェイのほうがよい選択でしょう。それ以外の人にとって、低消費電力のボードと透明性の高いファイアウォールプラットフォームの組み合わせは、ISPボックスと本格的なラックサーバーの中間にある実用的な選択肢です。

まとめ

cachito labsのプロジェクトは、小型コンピューターが家庭内ネットワークに大きな影響を与えられる理由を示しています。ZimaBoard 2がコンパクトなデュアルインターフェースのプラットフォームを提供し、OPNsenseがポリシーエンジンを提供し、所有者がDNS、NAT、ファイアウォールルール、VPNルートの組み合わせ方を決めます。最も長く役立つ教訓は、アーキテクチャに関するものです。まず正しいゲートウェイを構築し、各層を個別にテストし、そのうえで、それぞれが何を隠せるのか、そして何を隠せないのかを理解したうえで、プライバシー機能とルーティング機能を追加してください。

同様の低消費電力エッジ構成を検討するなら、ZimaBoard 2ミニホームサーバー をご覧ください。ファイアウォールのドキュメントについては、OPNsense公式Webサイトをご確認ください。構成を比較したり、自分のホームサーバー環境を共有したりしたい場合は、ZimaSpace Discordコミュニティに参加してください。