Настройка полноценной сети с помощью OPNsense (Часть 2: OPNsense)

• Приветствие и анонс второго видео о создании домашней сети с помощью OpenSense.  

• Необходимое оборудование: мини-ПК VP 2410, USB-накопитель, клавиатура или консольный порт.  

• Установка OpenSense будет выполнена через веб-интерфейс.  

• Загрузка OpenSense с сайта opsense.org.  

• Поддержка только 64-разрядной архитектуры.  

• Варианты изображений: nano, DVD, VGA, serial.  

• Выбор VGA для установки на USB-накопитель.  

• Использование Etcher для перепрошивки USB-накопителя.  

• Выбор образа и цели для записи.  

• Подключение USB-накопителя, монитора и клавиатуры.  

• Важность использования стандартного BIOS AMI.  

• Различия в процессе установки при использовании Coreboot BIOS.  

• Начало установки OpenSense и настройка интерфейсов.  

• Перенастройка интерфейсов по умолчанию.  

• Удобство расположения интерфейсов для удобства управления.  

• Соответствие написанному руководству и предыдущим видео.  

• Устройство воспроизводит мелодию при загрузке и перезагрузке.  

• Возможность отключения звуковых сигналов.  

• Устройство имеет динамик для звуковых сигналов.  

• Ввод имени пользователя и пароля для входа.  

• Возможность использования файловых систем UFS или ZFS.  

• ZFS предлагает более надежные функции и возможность создания моментальных снимков.  

• Рекомендация создать резервную копию конфигурационного файла.  

• Установка файловой системы ZFS и создание моментальных снимков.  

• Возможность использования RAID-Z для повышения надежности.  

• Процесс клонирования текущей системы.  

• Использование USB-накопителя для установки.  

• Проверка и клонирование файловой системы.  

• Запрос на смену пароля root перед перезагрузкой.  

• Рекомендация сменить пароль сразу после установки.  

• Завершение установки и доступ к веб-интерфейсу.  

• Изменение назначения интерфейсов LAN и WAN.  

• Настройка интерфейсов в веб-интерфейсе.  

• Перенастройка интерфейсов для корректной работы.  

• Подключение устройств для настройки.  

• Использование Go R 806s для рабочего стола Ubuntu.  

• Подключение портов для обслуживания трафика VLAN.  

• Подключение и настройка OpenSense.  

• Проверка подключения к локальной сети через IP-адрес.  

• Вход в систему с правами root и ввод пароля.  

• Пропуск мастера настройки и переход к фактическим настройкам.  

• Настройка имени хоста и доменного имени.  

• Использование настоящих доменных имен для разделения DNS.  

• Изменение часового пояса.  

• Выбор темы интерфейса, включая темные темы.  

• Настройка DNS-сервера.  

• Использование DHCP для получения DNS-серверов от интернет-провайдера.  

• Возможность изменения DNS-сервера позже.  

• Использование HTTPS и самозаверяющего сертификата.  

• Включение HSTS для дополнительной безопасности.  

• Настройка веб-интерфейса для прослушивания только в локальной сети.  

• Разрешение SSH для дополнительного доступа.  

• Использование ключа для root-доступа вместо пароля.  

• Настройка драйвера консоли VGA.  

• Использование тепловых датчиков и выбор оборудования.  

• Создание резервных копий отчетов и использование powerd для экономии энергии.  

• Адаптивный режим увеличивает и уменьшает нагрузку на процессор для экономии энергии.  

• Можно настроить минимальную мощность для максимальной производительности.  

• Powerd может улучшить производительность процессора, позволяя ему работать быстрее.  

• Автор использует минимальные опции для начала работы.  

• Планирует вернуться к настройкам для повышения безопасности.  

• Объясняет, как перейти к сути дела и настроить интерфейсы.  

• Создание задержки полезно для гигабитных устройств.  

• Задержка помогает устранить узкие места и увеличить пропускную способность.  

• Важно создать задержку перед назначением интерфейсов.  

• Создание мостов, задержек и VLAN требует создания логических сетей.  

• Протокол LACP автоматически распределяет нагрузку между интерфейсами.  

• Рекомендуется использовать уровни хэширования L2, L3 и L4 для балансировки трафика.  

• Важно добавить описание для задержки.  

• Назначение виртуальных сетей перед настройкой интерфейсов.  

• Автор планирует назначить все интерфейсы и настроить их позже.  

• Устройство автоматически генерирует имя интерфейса.  

• Возможность выбора родительского интерфейса для VLAN.  

• VLAN будут располагаться поверх задержки для распределения трафика.  

• Использование задержки для VLAN вместо IGMP.  

• Возможность установки приоритетов для VLAN.  

• Влияние на производительность сети требует тестирования.  

• Создание виртуальных сетей с разными тегами VLAN.  

• Использование IP-адресов для соответствия тегам VLAN.  

• Разделение сетей по функциональным доменам для группировки устройств.  

• Создание гостевой сети и правил брандмауэра.  

• Применение правил к разным сетям для демонстрации.  

• Использование одного описания для всех VLAN.  

• Настройка WAN и локальной сети.  

• Изменение размера делегирования префикса IPv6.  

• Создание интерфейса отслеживания для глобальной сети.  

• Создание статических IP-адресов для локальной сети.  

• Использование префиксных идентификаторов для IPv6.  

• Применение изменений и настройка DHCPv6.  

• Применение изменений на более быстрой системе происходит быстрее.  

• Важно предотвратить случайное удаление интерфейса.  

• Для IPv6 рекомендуется разрешать ручную настройку маршрутизатора и DHCPv6.  

• Переход к пользовательской сети и настройка IPv4 интерфейса отслеживания.  

• Выбор статических интерфейсов и IP-адресов.  

• Важно сохранять изменения перед применением.  

• Настройка статических интерфейсов и IP-адресов для IPv4.  

• Объяснение важности организации сетей.  

• Рассмотрение возможности разделения видео на части для более детальной настройки.  

• Настройка DHCP для каждой сети, включая VLAN.  

• Выбор диапазона IP-адресов для каждой сети.  

• Важность соответствия диапазонов для всех сетей.  

• Включение DHCPv6 и настройка диапазона IP-адресов.  

• Использование assisted для получения IPv6-адресов.  

• Важность подключения к сети для завершения настройки.  

• Включение DHCP позволяет подключать устройства и объединять сеть.  

• Несвязанный DNS позволяет просматривать настройки и регистрировать аренды DHCP.  

• Рекомендуется включать регистрацию статических DHCP-аренд для удобства использования имен хостов.  

• Очистка кэша DNS может замедлить запросы, но полезна при смене DNS или IP-адресов.  

• Это помогает избежать проблем с привязкой старых IP-адресов к новым устройствам.  

• При временном подключении устройства к сети можно использовать системные серверы имен.  

• Это может улучшить работу DNS, особенно если устройство находится за маршрутизатором.  

• Создание статических DHCP-аренд для устройств в сети помогает в управлении доступом.  

• Это позволяет создавать более детализированные правила брандмауэра для каждого устройства.  

• Использование статических IP-адресов для устройств в сети делает правила брандмауэра более надежными.  

• Создание статических DHCP-аренд и псевдонимов для устройств помогает избежать проблем с динамическими IP-адресами.  

• Пример создания статических DHCP-аренд для веб-сервера и других устройств.  

• Использование последовательных IP-адресов для создания правил брандмауэра.  

• Использование веб-сайта для генерации случайных MAC-адресов.  

• Это помогает избежать проблем с уникальными MAC-адресами для устройств.  

• Псевдонимы позволяют сделать правила брандмауэра более повторяемыми и удобочитаемыми.  

• Они облегчают поддержку правил и делают их более удобными.  

• В разделе брандмауэра можно создать псевдонимы для правил.  

• В разделе псевдонимов отображаются существующие псевдонимы, созданные "из коробки".  

• Псевдонимы фильтруются по IP-адресам глобальной сети и обновляются ежемесячно.  

• Псевдонимы используются для создания правил брандмауэра, особенно при использовании IPv6.  

• Создаем псевдоним для изоляции всех частных сетей.  

• Псевдоним блокирует все, что связано с частной сетью на каждом интерфейсе.  

• Интерфейсы и сети взаимозаменяемы в брандмауэре.  

• Для IPv4 используется диапазон частных IP-адресов RFC 1918.  

• Псевдоним блокирует все существующие сети друг от друга.  

• Это упрощает техническое обслуживание и предотвращает необходимость добавления новых сетей вручную.  

• Для IPv6 используется динамический диапазон адресов.  

• Псевдоним блокирует все IPv4 и IPv6 сети.  

• Это позволяет изолировать сети, несмотря на доступность IPv6 для публичной адресации.  

• Добавляем все сети в псевдоним для блокировки и изоляции.  

• Псевдоним описывает диапазоны частных IP-сетей.  

• Это помогает блокировать и изолировать сети для IPv4 и IPv6.  

• Создаем псевдонимы для хостов, чтобы ссылаться на них в правилах брандмауэра.  

• Это минимизирует необходимость редактирования IP-адресов при изменении их местоположения.  

• Псевдонимы помогают поддерживать правила брандмауэра в актуальном состоянии.  

• Можно использовать диапазоны IP-адресов для IP-камер.  

• Пример: 160.99.2.168.5.12.  

• Важно правильно вводить IP-адреса в соответствующие поля.  

• Плавающие правила могут применяться ко всем интерфейсам.  

• Можно выбрать набор интерфейсов для применения правил.  

• Openshift добавила отображение правил для каждого интерфейса.  

• IPv6 требует включения определенных аспектов ICMP.  

• Разрешение всех ICMP улучшает работу сети и результаты тестов.  

• Важно разрешить ICMP для интерфейса глобальной сети.  

• Разрешить доступ только к нужным сетям.  

• Ограничить доступ из сети управления для повышения безопасности.  

• Удалить ненужные правила для предотвращения блокировки.  

• Использовать псевдоним для частной сети.  

• Объединить правила для IPv4 и IPv6.  

• Разрешить доступ только к Интернету из локальной сети.  

• Все, что поступает из наземной сети и направляется в частную сеть, разрешено.  

• Удаление всех правил блокирует весь трафик, кроме локального.  

• Если правило не соответствует ни одному из правил, оно будет заблокировано.  

• Рекомендуется использовать пропуски чаще, чем блокировки.  

• Блокировки используются только для вредоносных IP-адресов.  

• Для изоляции сети достаточно одного правила пропуска.  

• Правило должно блокировать все частные сети.  

• Необходимо добавить правило для разрешения DNS.  

• Добавление новых сетей должно быть заблокировано по умолчанию.  

• Правило пропуска для DNS должно использовать IPv4 и IPv6.  

• Протокол должен быть UDP, а источником - наземная сеть.  

• Правила выполняются в порядке их расположения в списке.  

• Новые правила добавляются в конец списка.  

• Правила для локальной сети должны быть перемещены в правильное место.  

• Правило для протокола ICMP IPv4 позволяет проверять устройства в сети.  

• Разрешается доступ к сети управления для устранения неполадок.  

• Правило должно быть перемещено в правильное место в списке.  

• Правила для локальной сети можно клонировать для других интерфейсов.  

• Это экономит время и позволяет избежать дублирования.  

• Клонированные правила должны быть адаптированы для каждой сети.  

• Клонированные правила для локальной сети переносятся в сеть DMZ.  

• DMZ должна иметь доступ только к Интернету.  

• Правила для DMZ должны быть адаптированы для изоляции сети.  

• Пользовательская сеть должна иметь доступ к веб-серверу и принтеру.  

• Правила для пользовательской сети включают разрешение доступа к устройствам.  

• Правила создаются с использованием протокола TCP и IPv4.  

• Создание псевдонимов для веб-сервера для удобства.  

• Разрешение доступа к веб-серверу через порт hcps.  

• Размещение правил доступа между сетями в середине списка.  

• Разрешение использования всех портов для принтера.  

• Назначение псевдонима принтера и порта назначения.  

• Перемещение правила вверх в списке.  

• Копирование правил для интернета вещей.  

• Разрешение доступа к веб-серверу для устройств интернета вещей.  

• Использование протокола tcp для доступа к веб-серверу.  

• Разрешение доступа к записям с камер для интернета вещей.  

• Использование протокола tcp или udp в зависимости от типа видеопотока.  

• Назначение порта 554 для доступа к записям с камер.  

• Разрешение доступа к принтеру для интернета вещей.  

• Использование протоколов tcp и udp.  

• Изоляция доступа между сетями для безопасности.  

• Создание гостевой сети и предоставление ей доступа к принтеру.  

• Разрешение печати для гостей.  

• Использование протоколов tcp и udp для доступа к принтеру.  

• Настройка правил для сети IP-камер.  

• Разрешение только dns для уменьшения спама и трафика.  

• Завершение настройки правил брандмауэра для open sense.  

• Обзор основных настроек для open sense.  

• Настройка интерфейсов, задержки, виртуальных сетей, dhcp v4 и v6.  

• Создание псевдонимов и правил брандмауэра.  

• Обещание более подробных видео и руководства по безопасности.