Hoe The Social Dork een OPNsense-thuisfirewall bouwt

Bedankt aan The Social Dork | Cybersecurity voor het delen van een OPNsense-thuisfirewall op ZimaBoard 2. Een virtuele machine verzorgt de routering en firewallregels, een access point levert wifi en Pi-hole filtert DNS-verkeer voor verbonden clients. Bekijk de oorspronkelijke YouTube-uitleg voor de volledige demonstratie.

Bekijk dit voordat je verder leest: Deze video van ongeveer tien minuten is handig als je de netwerkgateway en het draadloze access point van elkaar wilt scheiden. De maker legt de topologie uit, start OPNsense in Zima Virtual Machine, wijst interfaces en DHCP toe en controleert vervolgens een draadloze laptop en de DNS-filtering daarvan.

De getoonde mijlpaal is een laptop die via de nieuwe firewall verbinding maakt met het netwerk en de gekozen DNS-filter gebruikt. De video laat zien hoe je een eerste client aansluit. De inleiding noemt kwetsbare IoT-apparaten; daarvoor zijn aanvullende netwerkscheiding en toegangsregels nodig. Apparaten op één nieuwe SSID plaatsen zorgt er op zichzelf niet voor dat ze van elkaar worden geïsoleerd.

Bepaal welke functies de bestaande gateway moet behouden

Bij de bespreking van de topologie worden drie functies onderscheiden die bij een alles-in-één-router vaak verborgen blijven: de providerverbinding, de gerouteerde firewallgrens en draadloze toegang. Een Ethernetverbinding kan de nieuwe firewall van internet voorzien, terwijl een DSL- of kabelverbinding nog steeds de juiste modem of providerapparatuur vereist. De routeringsfunctie vervangen neemt die vereiste fysieke verbinding niet weg.

In de werkende configuratie van de maker is de bestaande thuisrouter verbonden met de WAN-poort van de firewall en staat er een access point aan de LAN-kant. Als de upstream-gateway ook netwerkadresvertaling uitvoert, ontstaat dubbele NAT. Dat kan prima zijn voor een eerste test, maar kan inkomende diensten en probleemoplossing bemoeilijken. Of de bridge- of passthroughmodus beschikbaar is, hangt af van de apparatuur en dienst van de provider; controleer dit voordat je de productieverbinding wijzigt.

Noteer de huidige instellingen aan de providerzijde voordat je overschakelt. Een video waarin een Ethernetverbinding wordt getoond, zegt niets over de authenticatie-, VLAN- of modemvereisten van je internetprovider. Houd de configuratie van de oude gateway beschikbaar terwijl je het nieuwe pad met één client test. Zo kun je een probleem met de upstreamdienst onderscheiden van een fout in het nieuwe LAN.

Dubbele NAT beschrijft twee routerende vertaallagen; dat is iets anders dan simpelweg een toegangspunt downstream hebben. Als het draadloze apparaat ook blijft routeren, kan het een extra laag en een extra DHCP-service introduceren. Controleer de daadwerkelijke gebruiksmodus en de kabels in plaats van de rol af te leiden uit het productlabel op de behuizing.

Koppel de virtuele interfaces aan een echte WAN- en LAN-grens

The Social Dork downloadt een OPNsense-installatie-image en start deze in Zima Virtual Machine op ZimaBoard 2. Dit is een demonstratie van een gevirtualiseerde firewall. Op de host draait nog steeds ZimaOS, dus ook de netwerkconfiguratie daarvan maakt deel uit van het ontwerp, naast de OPNsense-instellingen in de gastmachine.

Koppel voor een vergelijkbare configuratie elke virtuele interface expliciet aan de beoogde fysieke poort of het geïsoleerde hostnetwerk. Twee netwerkaansluitingen zorgen niet automatisch voor die koppeling. Houd het WAN-gerichte pad gescheiden van gewone hostservices en zorg ervoor dat LAN-clientverkeer door de firewall moet om de upstreamverbinding te bereiken. Als een client de VM kan omzeilen via een andere route, kan de firewall dat verkeer niet aan regels onderwerpen.

Gebruik de actuele installatie-instructies voor OPNsense en handleiding voor virtuele machines voor de geselecteerde image en het platform. Noteer hoe je de host en de VM-console kunt bereiken voordat je interfaces wijzigt. Een herstart van de host, een opslagprobleem of het afsluiten van de VM kan deze gateway onderbreken. Plan het onderhoud daarom met de internetverbinding van het huishouden in gedachten.

Leg het interfaceplan duidelijk vast

1. Identificeer de fysieke poorten van de host en noteer welke kabel naar de upstreamverbinding loopt.
2. Koppel de WAN-interface van de gastmachine aan het beoogde upstreamnetwerk.
3. Koppel de LAN-interface aan een apart downstreamnetwerk.
4. Controleer of het beheerpad en gewone hostservices niet onbedoeld vanaf de WAN-zijde toegankelijk zijn.
5. Verbind één testclient stroomafwaarts en controleer de daadwerkelijke standaardgateway voordat je andere apparaten aansluit.

Een interfacenaam in de gast-VM komt mogelijk niet overeen met een label naast een fysieke poort. Gebruik de netwerktoewijzing van de hypervisor en de console van de gast-VM om vast te stellen hoe ze met elkaar overeenkomen. Controleer dit opnieuw nadat je virtuele adapters hebt gewijzigd. De video laat een werkende configuratie op de machine van de maker zien, maar bevat geen volledig overzicht van alle hostbridges of adapterinstellingen die je kunt tegenkomen.

Wijs resources toe aan de firewall en zorg dat er voldoende capaciteit overblijft voor ZimaOS en de andere services op de host. De actuele OPNsense-virtualisatiegids vermeldt een minimum van 3 GB RAM, een aanbevolen minimale virtuele schijf van 8 GB en richtlijnen voor netwerkcompatibiliteit. Dit zijn uitgangspunten, geen garantie voor een bepaalde doorvoersnelheid. Logs, VPN's, inspectiefuncties en andere workloads kunnen de benodigde speelruimte veranderen.

Dit is een praktische afweging als je één machine deelt: door een update of herstart van de host kan ook de gateway-VM uitvallen. Bepaal hoe de VM na het opstarten wordt gestart en hoe je deze herstelt als dat niet lukt. Een stabiele consoleverbinding is vooral handig wanneer een verkeerde netwerkinstelling de webinterface onbereikbaar maakt.

Laat één DHCP-service elk clientnetwerk beheren

De maker gebruikt verschillende upstream- en downstream-IPv4-netwerken: aan de upstreamzijde worden 192.168.0.x-adressen gebruikt en het client-LAN gebruikt 192.168.1.x-adressen. Dit zijn voorbeelden uit de video. Kies niet-overlappende subnetten die bij je eigen netwerk passen, in plaats van adressen over te nemen die mogelijk al in gebruik zijn.

Het accesspoint verzorgt de draadloze verbinding, terwijl OPNsense de DHCP-leases aan de downstreamclients verstrekt. In de uitleg komen de AP-modus en het uitschakelen van de DHCP-service van de oude draadloze router aan bod. Bij apparatuur zonder speciale AP-modus biedt alleen DHCP uitschakelen geen garantie op transparante werking als accesspoint: controleer de vereisten van de fabrikant voor de LAN-naar-LAN-bekabeling en routing/NAT. Zorg dat het beheeradres bereikbaar blijft en niet conflicteert met de DHCP-pool.

Test de resulterende DHCP-lease op één laptop. De laptop hoort een adres op het beoogde LAN te krijgen, het LAN-adres van de firewall als standaardgateway en de beoogde DNS-server. Een geslaagde wifi-verbinding bewijst alleen dat de draadloze verbinding werkt. Het adres, de gateway en de DNS-resolver laten zien of de client daadwerkelijk gebruikmaakt van het nieuwe netwerkpad.

Plan vaste adressen en de leasepool afzonderlijk

Hieronder staat een illustratief LAN-plan met subnetmasker /24, geen weergave van de exacte adressen van de maker. Pas het aan je bestaande netwerken aan. Reserveer vaste infrastructuuradressen buiten de dynamisch toegewezen pool en zorg dat het upstreamnetwerk verschilt van het downstream-LAN.

Als Pi-hole zich daadwerkelijk op een ander subnet of op een virtueel netwerk aan de hostzijde bevindt, gebruik dan het echte, bereikbare eindpunt en zorg voor de benodigde routering en beleidsregels. Door het voorbeeldadres wordt de dienst niet vanzelf beschikbaar op het LAN. Een DHCP-vermelding vertelt clients waar ze een verzoek naartoe moeten sturen; daarmee wordt de route niet ingesteld en de server niet gestart.

Controleer na het wijzigen van DHCP de lease op de laptop in plaats van alleen de configuratiepagina van de server te bekijken. Controleer het toegewezen adres, subnetmasker, de gateway en de DNS-vermeldingen. Een client die nog een oude lease heeft, kan een correcte nieuwe configuratie defect laten lijken. Een onverwacht adres of een onverwachte gateway is ook een nuttige aanwijzing dat er nog een andere DHCP-server actief is.

Gebruik de eerste toestemmingsregel als verbindingstest

De maker begint met een permissieve uitgaande regel voor de enige testlaptop en bespreekt hoe je ongewenste verbindingen vanaf het WAN naar het LAN voorkomt. OPNsense gebruikt stateful filtering, zodat antwoorden op een toegestane verbinding worden afgehandeld op basis van de verbindingsstatus. In de documentatie over OPNsense-firewallregels wordt uitgelegd welke invloed de interface, richting en regelvolgorde hierop hebben.

In de video wordt de webinterface ook geopend vanuit het particuliere upstreamnetwerk. Beperk in je eigen implementatie de beheerstoegang tot een vertrouwd beheerpad en zorg dat herstel via de console mogelijk blijft. Het label WAN beschrijft een rol ten opzichte van deze firewall; een upstream particulier labsegment en het openbare internet zijn verschillende blootstellingssituaties.

Om het IoT-probleem aan te pakken dat aan het begin werd genoemd, maak je afzonderlijke netwerken met apparatuur die dit ondersteunt en bepaal je vervolgens welk verkeer ertussen is toegestaan. Apparaten die verkeer uitwisselen binnen hetzelfde lokale segment kunnen communiceren zonder de gerouteerde firewall te passeren. Zie voor een andere praktische kijk op gateway- en privacykeuzes de OPNsense-firewallconfiguratie van cachito labs.

Connectiviteit scheiden van isolatie

Bepaal de bron, bestemming, het protocol en het beoogde doel voordat je een regel toevoegt. Een regel die aantoont dat één laptop toegang heeft tot internet, is geen beleid voor elk apparaat in een huishouden. Gebruik voor netwerksegmentatie afzonderlijke netwerken en een firewallverbinding ertussen. Verkeer dat lokaal binnen hetzelfde segment wordt uitgewisseld, bereikt de gateway mogelijk helemaal niet.

Als een regelwijziging geen effect lijkt te hebben, test dan een nieuwe verbinding en houd rekening met de verbindingsstatus. De handleiding voor OPNsense-regels legt stateful verwerking uit. Bestaande statussen kunnen een nieuwe test beïnvloeden, terwijl het resetten van alle statussen andere actieve verbindingen zou onderbreken. Identificeer de specifieke testverbinding voordat je een brede diagnostische wijziging doorvoert.

Pi-hole via DHCP verbinden zonder een DNS-lus te veroorzaken

Tegen het einde stelt The Social Dork de via DHCP toegewezen DNS-server in op het adres van Pi-hole. Zo wordt het eerdere advertentieblokkeringsproject met Pi-hole en Tailscale opgenomen in het nieuwe draadloze netwerk. OPNsense beheert de gerouteerde verkeersstroom; Pi-hole controleert de DNS-namen die via zijn dienst worden opgevraagd. De twee componenten hebben verschillende verantwoordelijkheden.

In de handleiding voor OPNsense-integratie van Pi-hole worden rechtstreekse distributie via DHCP en doorsturen via de firewall beschreven als alternatieve configuraties. Kies een consistente route en zorg ervoor dat de resolvers elkaars aanvragen niet in een lus naar elkaar terugsturen. Controleer ook of clients toegang hebben tot het Pi-hole-adres als dat zich op een ander netwerk bevindt.

Kies één resolverpad en breng het van begin tot eind in kaart

In de video wordt het door DHCP verstrekte Pi-hole-adres gebruikt voor clients. De doorstuurconfiguratie in de gekoppelde officiële handleiding is een alternatief. Als je daarvoor kiest, zorg er dan voor dat Pi-hole de aanvraag niet rechtstreeks terugstuurt naar dezelfde doorstuurketen. Met een duidelijk pad is het veel eenvoudiger om een ontbrekend antwoord op te sporen.

DNS is ook afhankelijk van transport en routering. Als de client en de resolver zich op verschillende netwerken bevinden, controleer dan het pad en het beleid voor TCP/UDP-poort 53. Controleer IPv6-DNS-advertenties en afzonderlijke DNS-instellingen van clients als het waargenomen resultaat afwijkt van de DHCP-configuratie. Alleen toegang tot de Pi-hole-webinterface is geen voldoende bewijs.

Wil je buitenshuis filteren? Bekijk dan opnieuw de bijbehorende stapsgewijze uitleg over Pi-hole en Tailscale. Externe DNS-toegang, lokaal gatewaybeleid en al het uitgaande internetverkeer via een VPN zijn afzonderlijke keuzes. Test elk ervan op de verbinding waarop je het daadwerkelijk gaat gebruiken.

Controleer het hele netwerkpad voordat je alle apparaten verhuist

In de laatste demonstratie wordt het wifi-netwerk van de laptop gewijzigd en wordt dezelfde website vergeleken met en zonder de filterconfiguratie. Dit laat het gekozen clientpad zien, maar bewijst niet dat alle websites advertentievrij zijn of dat alle apparaten van elkaar zijn geïsoleerd. Controleer eerst de internettoegang en DNS en bekijk vervolgens de relevante firewall- en Pi-hole-logboeken om elk resultaat aan de beoogde client te koppelen.

Test voordat je het huishouden overschakelt het vernieuwen van een clientlease, een toegestane verbinding en, als segmentatie deel uitmaakt van je ontwerp, een opzettelijk geweigerde verbinding tussen afzonderlijke netwerken. Exporteer een werkende firewallconfiguratie en controleer het herstelpad. Het doel is een gateway waarvan je de routering, DHCP, filtering en het beheer kunt uitleggen en onderhouden. Bekijk De complete OPNsense-thuisfirewallhandleiding van The Social Dork voor de oorspronkelijke topologie en installatievolgorde.

Voer een gefaseerde acceptatietest uit

1. Maak verbinding met het beoogde draadloze netwerk en bekijk de nieuwe clientlease.
2. Controleer de standaardgateway en test vervolgens waar passend een toegestane verbinding op basis van een IP-adres.
3. Zoek een toegestane hostnaam op via de geselecteerde resolver en controleer of de query wordt geregistreerd.
4. Test een domein in het actieve Pi-hole-beleid en controleer of het verwachte antwoord wordt gegeven.
5. Als je segmentatie hebt ingesteld, test dan zowel een toegestane als een geweigerde verbinding over de gerouteerde grens.
6. Verbind de client opnieuw of vernieuw de lease en controleer of de beoogde instellingen terugkomen.
7. Controleer tijdens een gepland onderhoudsvenster het opstartpad van de host en gateway-VM voordat je er continu op vertrouwt.

Problemen oplossen in netwerkvolgorde

Gebruik logboeken om één vraag tegelijk te beantwoorden. In de documentatie over firewallregistratie van OPNsense staat dat een statusvolle verbinding niet noodzakelijkerwijs voor elk pakket een nieuwe regel in het live-logboek oplevert. De handleiding voor firewalldiagnostiek geeft de status weer. Een stil logboek bewijst op zichzelf niet dat er geen verkeer door de firewall is gegaan.

Sla een werkende configuratie op voordat je een ingrijpende wijziging doorvoert en houd een duidelijk terugdraaiplan achter de hand. Houd tijdens het testen de oude verbinding afzonderlijk beschikbaar; voorkom dat upstream- en downstream-netwerken per ongeluk buiten de firewall om met elkaar worden verbonden. Met een bruikbaar terugdraaiplan herstel je een bekende gateway- en clientconfiguratie, in plaats van twee routers in hetzelfde clientsegment met elkaar te laten concurreren.

Veelgestelde vragen

Kan ZimaBoard 2 zelf de wifi-radio vervangen?

In deze video zorgt een afzonderlijk access point voor wifi. Het board host de gevirtualiseerde gateway en bijbehorende diensten. Routering en draadloze toegang zijn verschillende functies.

Kan ik het modem van mijn internetprovider weghalen?

Alleen als je de oorspronkelijke apparatuur niet meer nodig hebt voor de verbinding met je provider. Bij DSL, kabel en providergebonden configuraties kan de bestaande aansluiting nog steeds nodig zijn. Controleer de fysieke vereisten en de vereisten van de dienst voordat je een gateway vervangt.

Isoleert een regel die uitgaand verkeer toestaat IoT-apparaten?

Hierdoor worden netwerken niet van elkaar gescheiden. Apparaten op één lokaal segment kunnen met elkaar communiceren zonder dat het verkeer door de gerouteerde firewall gaat. Voor isolatie zijn afzonderlijke netwerken en een getest beleid daartussen nodig.

Moet Pi-hole in OPNsense draaien?

Het gedemonstreerde project gebruikt naast de gevirtualiseerde firewall een Pi-hole-service en geeft het adres daarvan door via DHCP. De belangrijkste vereiste is een bereikbaar en consistent DNS-pad; ga er niet van uit dat je die service ook installeert wanneer je OPNsense installeert.

Waarom heeft de firewall-VM twee netwerkpaden nodig?

Voor het gerouteerde ontwerp zijn een pad naar het upstream-netwerk en een afzonderlijk pad naar het downstream-netwerk nodig. Met de juiste koppeling tussen gast en host worden die netwerken van elkaar gescheiden. Twee zichtbare adapternamen bewijzen op zichzelf niet dat de netwerken geïsoleerd zijn.

Wat gebeurt er wanneer de ZimaOS-host opnieuw wordt opgestart?

De firewall voor gasten en andere gehoste diensten kunnen uitvallen. Plan het opstarten en herstellen van de VM en controleer dit tijdens een onderhoudsvenster. Bij gedeelde hardware maakt onderhoud aan de host deel uit van de beschikbaarheid van de gateway.

Conclusie

De build van The Social Dork is nuttig omdat die één alles-in-ééngateway opdeelt in begrijpelijke functies: verbinding met de provider, gevirtualiseerde routering, draadloze toegang, adresuitgifte en DNS-filtering. De eerste geslaagde test met een laptop biedt een startpunt. Voor een goed onderhouden thuisgateway zijn ook gecontroleerde netwerkgrenzen, beleid dat is afgestemd op elke clientgroep en een herstelplan nodig.

Voer de controles voor één client volledig uit voordat je het hele huishouden overzet. Test eventuele extra segmentatie of VPN-functionaliteit vervolgens afzonderlijk. Houd de OPNsense-videohandleiding bij de hand, samen met je eigen interfaceplan en de actuele officiële documentatie. Streef naar een netwerk waarvan je het gedrag kunt uitleggen, testen en herstellen.