Cómo instalar y configurar el cortafuego básico de OpnSense


En un artículo anterior, se discutió una solución de firewall conocida como PfSense. A principios de 2015, se tomó la decisión de crear PfSense y se lanzó una nueva solución de firewall llamada OpnSense

OpnSense comenzó su vida como un simple enlace de PfSense pero se ha convertido en una solución de firewall completamente independiente. Este artículo cubrirá la instalación y la configuración inicial básica de una nueva instalación de OpnSense .

Al igual que PfSense , OpnSense es una solución de firewall de código abierto basada en FreeBSD. La distribución es gratuita para instalar en el equipo propio o en la empresa Decisio, que vende dispositivos de firewall preconfigurados.

OpnSense tiene un conjunto mínimo de requisitos y una torre doméstica más antigua típica se puede configurar fácilmente para que funcione como un cortafuegos OpnSense . Las especificaciones mínimas sugeridas son las siguientes:

  • 500 mhz CPU
  • 1 GB of RAM
  • 4GB of storage
  • 2 network interface cards
  • 1GHz CPU
  • 1 GB of RAM
  • 4GB of storage
  • 2 or more PCI-e network interface cards.

Si el lector desea utilizar algunas de las funciones más avanzadas de OpnSense (Suricata, ClamAV, servidor VPN, etc.), debería darse un mejor hardware al sistema.

Cuantos más módulos el usuario desee habilitar, más espacio debe ser RAM/CPU/Drive . Se sugiere que se cumplan los siguientes mínimos si hay planes para habilitar módulos avanzados en OpnSense.

  • Modern multi-core CPU running at least 2.0 GHz
  • 4GB+ of RAM
  • 10GB+ of HD space
  • 2 or more Intel PCI-e network interface cards

Instalación y configuración de OpnSense Firewall

Independientemente de qué hardware se elija, la instalación de OpnSense es un proceso simple, pero requiere que el usuario preste mucha atención a qué puertos de interfaz de red se utilizarán para qué propósito (LAN, WAN, inalámbrica, etc.)

Parte del proceso de instalación incluirá pedir al usuario que comience a configurar las interfaces LAN y WAN. El autor sugiere solo conectar la interfaz WAN hasta que OpnSense haya sido configurado y luego proceder a finalizar la instalación conectando la interfaz LAN.

El primer paso es obtener el software OpnSense y hay un par de opciones diferentes disponibles según el dispositivo y el método de instalación, pero esta guía utilizará el ' OPNsense-18.7-OpenSSL-dvd-amd64.iso.bz2 '.

La ISO se obtuvo utilizando el siguiente comando:

$ wget -c http://mirrors.nycbug.org/pub/opnsense/releases/mirror/OPNsense-18.7-OpenSSL-dvd-amd64.iso.bz2

Una vez que el archivo ha sido descargado, debe descomprimirse utilizando la herramienta bunzip de la siguiente manera:

$ bunzip OPNsense-18.7-OpenSSL-dvd-amd64.iso.bz2

Una vez que el instalador ha sido descargado y descomprimido, se puede grabar en un CD o se puede copiar en una unidad USB con la herramienta 'dd' incluido en la mayoría de las distribuciones de Linux.

El siguiente proceso es escribir el ISO en una unidad USB para iniciar el instalador. Para lograr esto, use la herramienta "dd" dentro de Linux.

Primero, el nombre del disco debe ubicarse con ‘ lsblk ‘.

$ lsblk

Con el nombre de la unidad USB determinado como '/ dev/sdc' , la OpnSense ISO se puede escribir en la unidad con la tecla Herramienta 'dd' .

$ sudo dd if=~/Downloads/OPNsense-18.7-OpenSSL-dvd-amd64.iso of=/dev/sdc

Una vez que dd haya terminado de escribir en la unidad USB, coloque los medios en la computadora que se configurará como el cortafuegos OpnSense . Arranque esa computadora en ese medio y aparecerá la siguiente pantalla.

Para continuar con el instalador, simplemente presione la tecla "Entrar" . Esto iniciará OpnSense en el Modo en vivo pero existe un usuario especial para instalar OpnSense en los medios locales.

Cuando el sistema inicie el indicador de inicio de sesión, use el nombre de usuario de ‘instalador’ con una contraseña de ‘opnsense’

Los medios de instalación iniciarán sesión e iniciarán el instalador real OpnSense . PRECAUCIÓN: si continúa con los siguientes pasos, se borrarán todos los datos del disco duro del sistema. Proceda con precaución o salga del instalador .

Al presionar la tecla "Entrar" se iniciará el proceso de instalación. El primer paso es seleccionar el mapa de teclas . El instalador probablemente detectará el mapa de teclas adecuado de forma predeterminada. Revise el mapa de teclas seleccionado y corrija según sea necesario.

La siguiente pantalla proporcionará algunas opciones para la instalación. Si el usuario desea realizar una partición avanzada o importar una configuración desde otro cuadro de OpnSense, esto se puede lograr en este paso. Esta guía supone una instalación nueva y seleccionará la opción " Instalación guiada ".

La siguiente pantalla mostrará los dispositivos de almacenamiento reconocidos para la instalación.

Una vez que se selecciona el dispositivo de almacenamiento, el usuario deberá decidir qué esquema de partición utiliza el instalador ( MBR o GPT/EFI ).

La mayoría de los sistemas modernos admitirán GPT/EFI , pero si el usuario está reutilizando una computadora más antigua, MBR puede ser la única opción compatible. Verifique dentro de la configuración de BIOS del sistema para ver si es compatible con EFI/GPT .

Una vez que se elige el esquema de partición, el instalador comenzará los pasos de instalación. El proceso no lleva mucho tiempo y solicitará al usuario información periódicamente, como la contraseña del usuario root

Una vez que el usuario haya configurado la contraseña del usuario root, la instalación se completará y el sistema deberá reiniciarse para configurar la instalación. Cuando el sistema se reinicia, debería iniciarse automáticamente en la instalación de OpnSense (asegúrese de eliminar el medio de instalación cuando la máquina se reinicia).

Cuando el sistema se reinicia, se detendrá en el indicador de inicio de sesión de la consola y esperará a que el usuario inicie sesión.

Ahora, si el usuario estaba prestando atención durante la instalación, podría haber notado que podría haber configurado previamente las interfaces durante la instalación. Sin embargo, supongamos para este artículo que las interfaces no se asignaron en la instalación.

Después de iniciar sesión con el usuario root y la contraseña configurados durante la instalación, se puede observar que OpnSense solo utilizó una de las tarjetas de interfaz de red (NIC) en esta máquina. En la imagen de abajo se llama "LAN (em0)" .

OpnSense usará la red estándar “192.168.1.1/24” para la LAN. Sin embargo, en la imagen anterior, falta la interfaz WAN. Esto se corrige fácilmente escribiendo ‘1’ en el indicador y presionando Intro.

Esto permitirá la reasignación de las NIC en el sistema. Observe en la siguiente imagen que hay dos interfaces disponibles: ‘em0’ y ‘em1’ .

El asistente de configuración también permitirá configuraciones muy complejas con VLAN, pero por ahora, esta guía supone una configuración básica de dos redes; (es decir, un lado WAN/ISP y un lado LAN).

Ingrese ‘N’ para no configurar ninguna VLAN en este momento. Para esta configuración en particular, la interfaz WAN es "em0" y la interfaz LAN es "em1" como se muestra a continuación.

Confirme los cambios en las interfaces escribiendo ‘Y’ en el indicador. Esto hará que OpnSense vuelva a cargar muchos de sus servicios para reflejar los cambios en la asignación de la interfaz.

Una vez hecho esto, conecte una computadora con un navegador web a la interfaz del lado LAN. La interfaz LAN tiene un servidor DHCP que escucha en la interfaz para los clientes, por lo que la computadora podrá obtener la información de direccionamiento necesaria para conectarse a la página de configuración web de OpnSense.

Una vez que la computadora esté conectada a la interfaz LAN, abra un navegador web y navegue a la siguiente url: http://192.168.1.1 .

Para iniciar sesión en la consola web; use el nombre de usuario ‘root’ y la contraseña que se configuró durante el proceso de instalación. Una vez iniciada la sesión, se completará la parte final de la instalación.

El primer paso del instalador se utiliza para recopilar más información, como el nombre de host, el nombre de dominio y los servidores DNS. La mayoría de los usuarios pueden dejar seleccionada la opción " Anular DNS ".

Esto permitirá que el firewall de OpnSense obtenga información de DNS del ISP a través de la interfaz WAN.

La siguiente pantalla solicitará servidores NTP . Si el usuario no tiene sus propios sistemas NTP, OpnSense proporcionará un conjunto predeterminado de grupos de servidores NTP.

La siguiente pantalla es la configuración de la interfaz WAN . La mayoría de los ISP para usuarios domésticos utilizarán DHCP para proporcionar a sus clientes la información de configuración de red necesaria. Simplemente dejando el Tipo seleccionado como "DHCP" le indicará a OpnSense que intente recopilar su configuración de WAN desde el ISP.

Desplácese hasta la parte inferior de la pantalla de configuración de WAN para continuar. *** Nota *** en la parte inferior de esta pantalla hay dos reglas predeterminadas para bloquear los rangos de red que generalmente no deberían verse en la interfaz WAN Se recomienda dejarlos verificados a menos que exista una razón conocida para permitir estas redes a través de la interfaz WAN.

La siguiente pantalla es la pantalla de configuración de LAN. La mayoría de los usuarios pueden simplemente dejar los valores predeterminados. Tenga en cuenta que hay rangos de red especiales que se deben usar aquí, comúnmente denominados RFC 1918 . ¡Asegúrese de dejar el valor predeterminado o elija un rango de red dentro del rango RFC1918 para evitar conflictos/problemas!

La pantalla final de la instalación le preguntará si el usuario desea actualizar la contraseña de root. Esto es opcional, pero si no se creó una contraseña segura durante la instalación, ¡ahora sería un buen momento para corregir el problema!

Una vez pasada la opción de cambio de contraseña, OpnSense le pedirá al usuario que vuelva a cargar los ajustes de configuración. Simplemente haga clic en el botón "Recargar" y dé a OpnSense un segundo para actualizar la configuración y la página actual

Cuando todo esté hecho, OpnSense dará la bienvenida al usuario. Para volver al panel principal, haga clic en "Panel de control" en la esquina superior izquierda de la ventana del navegador web.

En este punto, el usuario será llevado al panel principal y podrá continuar instalando/configurando cualquiera de los complementos o funcionalidades útiles de OpnSense. El autor recomienda verificar y actualizar el sistema si hay actualizaciones disponibles. Simplemente haga clic en el botón ‘ Haga clic para buscar actualizaciones ’ en el panel principal.

Luego, en la siguiente pantalla, se puede usar ‘ Buscar actualizaciones ’ para ver una lista de actualizaciones o se puede usar ‘ Actualizar ahora ’ para aplicar las actualizaciones disponibles.

En este punto, una instalación básica de OpnSense debe estar en funcionamiento y completamente actualizada. En futuros artículos, la agregación de enlaces y el enrutamiento entre VLAN se cubrirán para mostrar más de las capacidades avanzadas de OpnSense.