Como é que a cachito labs cria uma firewall OPNsense no ZimaBoard 2

Obrigado ao cachito labs por documentar este interessante projeto com o ZimaBoard 2. No seu vídeo original do projeto, um problema com o ISP transforma-se numa lição prática sobre encaminhamento, políticas de firewall, privacidade do DNS e saída através de VPN. A ideia útil não é simplesmente copiar uma configuração; é compreender como um pequeno computador dedicado pode tornar-se o ponto de controlo de toda uma rede doméstica.

Este guia é especialmente útil se o gateway do seu ISP lhe der pouco controlo sobre o encaminhamento ou a privacidade. Acompanha a transição de uma ligação voltada para o fornecedor para um ZimaBoard 2 a executar OPNsense e mostra depois como as regras da firewall, as opções de DNS e o encaminhamento através de VPN alteram o comportamento da rede. As secções abaixo transformam esse projeto num guia de decisão reutilizável, em vez de uma transcrição minuto a minuto.

Divulgação da colaboração: A descrição do vídeo original inclui uma divulgação de afiliados relativa a produtos ou serviços que podem ser mencionados no projeto. O artigo abaixo resume a configuração e a utilização pretendida pelo cachito labs; as versões de software, os detalhes da interface, os conjuntos de hardware e a compatibilidade podem mudar após a publicação.

O resultado: Mini servidor doméstico ZimaBoard 2  não é um substituto em miniatura para um servidor de rack com muitos núcleos. A sua força está em combinar funcionamento silencioso, rede dupla de 2,5 GbE, armazenamento SATA direto e expansão PCIe aberta num pequeno sistema x86 que pode assumir uma função doméstica bem definida: um dispositivo dedicado de firewall e encaminhamento OPNsense.

Ao ver o vídeo, concentre-se em três alterações ligadas entre si: o ZimaBoard 2 torna-se o gateway da rede, o OPNsense separa as políticas de firewall e NAT do comportamento do DNS, e a VPN cria uma identidade de saída diferente para o tráfego selecionado. Estas camadas explicam por que razão o projeto pode reduzir a visibilidade do ISP sem prometer anonimato absoluto.

Quando um ISP insiste em controlar o dispositivo de acesso, a verdadeira perda é de visibilidade e escolha. Uma firewall separada recupera ambas. O ZimaBoard 2 fica entre a ligação do fornecedor e o resto da casa, enquanto o OPNsense decide qual o tráfego permitido, para onde vai e quais os serviços que devem resolver nomes ou sair através de uma VPN. Esta separação torna a rede mais fácil de compreender e de alterar posteriormente.

Como um problema com o ISP se tornou um projeto de firewall

O projeto começa com uma frustração comum nas redes domésticas: o fornecedor não quer que o cliente utilize o seu próprio router na extremidade da rede. Em vez de tratar o gateway do ISP como o cérebro da rede, o cachito labs transfere o encaminhamento e as políticas para hardware controlado pelo proprietário. O resultado é uma fronteira clara: o ISP fornece a conectividade, enquanto a firewall local gere a rede privada.

Esta distinção é importante porque um gateway tudo-em-um oculta várias funções atrás de uma única interface. O encaminhamento, a tradução de endereços, o reencaminhamento de DNS, o acesso sem fios e as regras de segurança podem estar todos agrupados. Uma firewall dedicada expõe essas funções como decisões separadas. Pode substituir o ponto de acesso sem substituir o router, enviar apenas determinados dispositivos através de uma VPN ou alterar o comportamento do DNS sem redesenhar toda a LAN.

Por que razão o ZimaBoard 2 é adequado para a função de firewall

Uma firewall não precisa de se parecer com um PC de secretária. Precisa de interfaces de rede fiáveis, capacidade de processamento suficiente para os serviços escolhidos e um formato físico que possa permanecer ligado 24 horas por dia. O ZimaBoard 2 é uma plataforma x86 compacta com conectividade dupla de 2,5 GbE, o que o torna naturalmente adequado para funcionar dos dois lados: uma porta liga ao ISP ou ao modem a montante e a outra serve o switch interno.

O hardware é apenas a base. Um dispositivo dedicado na extremidade da rede também altera o modelo de falhas. Se reiniciar ou ficar sem energia, toda a casa poderá perder a conectividade, pelo que o projeto deve incluir um plano de recuperação: mantenha uma cópia de segurança de uma configuração comprovadamente funcional, identifique ambos os caminhos Ethernet e certifique-se de que a administração local continua possível quando a WAN estiver indisponível. O hardware pequeno é conveniente, mas continua a merecer cuidados ao nível de uma infraestrutura.

A arquitetura da rede tem de estar correta antes de as regras serem importantes

Antes de escrever uma regra de firewall, desenhe o caminho que um pacote deve seguir. A interface a montante recebe o endereço do fornecedor, a interface a jusante é proprietária da sub-rede privada e todos os clientes utilizam o endereço do ZimaBoard 2 como gateway predefinido. Se estas relações estiverem erradas, um conjunto de regras aparentemente perfeito não corrigirá a topologia.

É essa posição de gateway que permite à firewall ver o tráfego de todos os dispositivos geridos. Pode aplicar uma política a toda a casa ou políticas mais específicas a VLANs, servidores, estações de trabalho e equipamentos domésticos inteligentes. O design também torna a resolução de problemas mais sistemática: teste a WAN, depois o gateway da LAN, em seguida o DNS e só depois investigue problemas ao nível das aplicações.

Instalar o OPNsense num dispositivo dedicado na extremidade da rede

Instalar o OPNsense num pequeno computador x86 é uma forma prática de transformar hardware genérico num router concebido para uma função específica. A imagem é gravada numa unidade de arranque, o dispositivo inicia a partir desse suporte e o instalador coloca o sistema operativo no armazenamento interno. Depois de concluído o primeiro arranque, a consola é utilizada para atribuir as interfaces físicas antes de o painel Web assumir o controlo.

A atribuição das interfaces é o momento para abrandar. Uma etiqueta como “WAN” ou “LAN” só é útil se corresponder ao cabo e à porta reais. Confirme o estado da ligação, ligue um lado de cada vez e mantenha a disposição inicial simples. Mais tarde, pode adicionar redes e serviços sem ter de adivinhar qual a interface física que os transporta.

Interfaces, gateways, NAT e a primeira rota funcional

Com as interfaces atribuídas, o OPNsense precisa de um gateway a montante e de um endereço de LAN privado. O endereço da LAN torna-se a rota predefinida dos clientes, enquanto o gateway da WAN aponta para o equipamento do ISP. A tradução de endereços permite então que os clientes privados partilhem a ligação a montante, o padrão normal numa rede doméstica que utiliza um único endereço público.

Nesta fase, verifique a conectividade básica antes de adicionar funcionalidades de privacidade. Um cliente deve receber um endereço, aceder ao painel da firewall, resolver um nome de teste e aceder à Internet pública. Testar estas camadas separadamente evita que uma alteração na VPN ou no DNS esconda um erro mais simples de cablagem, DHCP ou gateway.

As regras da firewall e a privacidade do DNS são camadas diferentes

As regras da firewall respondem à pergunta “que tráfego é permitido?”. O NAT responde à pergunta “como é que o tráfego privado partilha o endereço a montante?”. As definições de DNS respondem à pergunta “qual o resolvedor que trata da consulta de nomes?”. Estes controlos interagem, mas não são equivalentes. Permitir tráfego de saída não encripta o DNS, e selecionar um resolvedor encriptado não envia automaticamente todo o tráfego das aplicações através de uma VPN.

Uma base sensata consiste em permitir tráfego de resposta já estabelecido, autorizar apenas os serviços de saída de que a rede necessita e manter a administração acessível a partir de um segmento de gestão de confiança. O DNS pode então ser direcionado para um resolvedor escolhido, ativando o transporte encriptado quando suportado. O objetivo não é criar uma rede magicamente “invisível”; é reduzir e tornar mais deliberado o conjunto de entidades que podem observar ou influenciar cada camada.

O encaminhamento através de uma VPN altera a identidade de saída

A parte do projeto relativa à VPN altera o caminho de saída da rede. Em vez de enviar determinado tráfego diretamente para o ISP, o OPNsense estabelece um túnel e encaminha através dele os clientes ou destinos correspondentes. Os serviços externos passam então a ver o endereço de saída do fornecedor de VPN, em vez do endereço público habitual da casa.

Isto melhora a separação em relação ao ISP, mas não equivale a anonimato total. O ISP pode continuar a observar a ligação ao serviço VPN e as características gerais do tráfego. O fornecedor de VPN torna-se outro ponto de confiança, e os sites podem continuar a identificar os utilizadores através de contas, cookies, navegadores ou impressões digitais dos dispositivos. Uma boa política começa, por isso, com uma pergunta precisa: que tráfego precisa de uma saída diferente e porquê?

Uma caixa impressa em 3D e a instalação num rack tornam o projeto mais prático

A caixa física é mais do que uma decoração. Protege a placa, mantém os cabos Ethernet estáveis e facilita a montagem da firewall junto do modem e do switch. A instalação num rack também incentiva uma separação organizada entre o dispositivo de acesso, os pontos de acesso sem fios, o armazenamento e os restantes servidores.

Deixe espaço para a circulação de ar e para o acesso durante a manutenção, especialmente se a placa funcionar continuamente. Identifique o adaptador de corrente e ambos os cabos de rede e evite colocar a firewall num local onde um puxão acidental possa desligar a WAN. Um dispositivo de rede compacto é bem-sucedido quando continua a ser compreensível seis meses após a montagem inicial.

O que esta configuração oculta — e o que não oculta

Colocar o OPNsense no ZimaBoard 2 pode ocultar do ISP a estrutura interna da rede doméstica. O fornecedor deixa de precisar de gerir cada cliente privado individualmente; do exterior, a firewall de acesso apresenta uma fronteira controlada. As opções de DNS e o encaminhamento através de VPN podem reduzir a quantidade de informação sobre os destinos exposta através do caminho predefinido.

Estes benefícios têm limites. O ISP continua a fornecer a ligação física, consegue ver que a ligação está ativa e pode identificar o ponto final da VPN ou outros metadados. A firewall não protege um cliente comprometido, não impede o rastreio realizado por um serviço com sessão iniciada nem garante que todas as aplicações respeitam a rota pretendida. Encare o projeto como uma forma de controlar e segmentar a rede, não como uma promessa de privacidade absoluta.

Quem deve construir uma firewall OPNsense com o ZimaBoard 2?

Este design é uma boa escolha para uma casa tecnicamente curiosa que pretende controlar o encaminhamento, o DNS, as políticas de VPN e a futura segmentação sem comprar um dispositivo empresarial de grandes dimensões. Também é útil num laboratório onde vários serviços precisam de uma rede previsível e o proprietário quer compreender o caminho seguido por cada pacote.

É menos adequado quando a prioridade é não ter qualquer manutenção. Um gateway gerido pode ser uma escolha melhor para quem não quer manter atualizações, cópias de segurança, certificados, credenciais VPN e procedimentos de recuperação. Para todos os outros, a combinação de uma placa de baixo consumo e de uma plataforma de firewall transparente oferece um meio-termo prático entre um equipamento do ISP e um servidor de rack completo.

Conclusão

O projeto do cachito labs mostra por que razão um pequeno computador pode ter um impacto desproporcionado numa rede doméstica. O ZimaBoard 2 fornece a plataforma compacta com duas interfaces; o OPNsense fornece o motor de políticas; e o proprietário decide como combinar o DNS, o NAT, as regras da firewall e as rotas VPN. A lição mais duradoura é arquitetural: estabeleça primeiro um gateway correto, teste cada camada de forma independente e só depois adicione funcionalidades de privacidade e encaminhamento, compreendendo claramente o que cada uma pode — e não pode — ocultar.

Para uma configuração semelhante de baixo consumo na extremidade da rede, explore o Mini servidor doméstico ZimaBoard 2. Para consultar a documentação da firewall, visite o site oficial do OPNsense. Se quiser comparar configurações e partilhar a sua própria configuração de servidor doméstico, junte-se à comunidade ZimaSpace no Discord.