OPNsense không chỉ là một trong những lựa chọn tốt nhất cho mạng gia đình của bạn, với khả năng xử lý các nhiệm vụ định tuyến và tường lửa để bảo vệ mạng của bạn khỏi internet rộng lớn. Nó còn dễ dàng mở rộng cho các chức năng mới, nhờ có một loạt các plugin và tiện ích mở rộng OPNsense để sử dụng. Những plugin này bổ sung các tính năng bảo mật mới, công cụ hữu ích, phần mềm giám sát và những thứ tiện lợi khác, và tất cả đều dễ dàng cài đặt chỉ với vài cú nhấp chuột.

Nhưng vì nó dựa trên FreeBSD, có rất nhiều plugin và gói hữu ích khác mà bạn có thể cài đặt từ các nguồn khác. Tôi đã sử dụng một số trong bản cài đặt OPNsense của mình, và chúng thêm nhiều tiện ích và tính năng mà tôi đã sử dụng trên các bản cài đặt mạng khác để làm cho mọi thứ dễ dàng hơn tổng thể.

Tất cả các plugin này đều từ kho cộng đồng cho OPNsense, chứ không phải là các plugin chính thức. Một số thậm chí không phải là plugin, nhưng các gói này có thể dễ dàng cài đặt từ CLI và cũng dễ sử dụng sau đó. Cũng cần lưu ý rằng các plugin này không đi kèm với kỳ vọng về hỗ trợ kỹ thuật nếu có vấn đề xảy ra, vì vậy nên sao lưu cài đặt OPNsense của bạn trước khi bắt đầu.

Cloudflared

Quản lý Cloudflare Tunnels trực tiếp từ router của bạn

Khả năng sử dụng Cloudflare Tunnels để kết nối an toàn với mạng gia đình của bạn thật tuyệt vời. OPNsense không có plugin để quản lý chúng dễ dàng, nhưng điều đó không thành vấn đề vì tất cả những gì bạn cần là dịch vụ Cloudflared. Điều này có thể được cài đặt từ kho không chính thức mà chúng ta đã đề cập trước đó, vì không có ứng dụng BSD gốc từ Cloudflare. Sau đó, chỉ cần chạy một số lệnh CLI khi SSH vào router.

Đi tới bảng điều khiển Cloudflare Zero Trust của bạn, như khi thiết lập bất kỳ Tunnel nào khác, và tạo một cho OPNsense. Đưa chi tiết cho token Tunnel đó vào CLI cho OPNsense cho phép bạn khởi động dịch vụ Cloudflared để kết nối với Tunnel, và thiết lập để tự động kết nối mỗi khi hộp OPNsense khởi động lại. Không còn lo lắng về việc bị khóa khỏi router khi xa nhà, và bạn sẽ có thể sử dụng Tunnel để sử dụng bất kỳ tài nguyên mạng nội bộ nào như thể bạn đang ở nhà.

AdGuard Home

Chặn phiền toái trước khi chúng đến với thiết bị của bạn

Có rất nhiều cách để giữ cho các quảng cáo, phần mềm độc hại và các tên miền không lành mạnh không xâm nhập vào thiết bị mạng của bạn, nhưng chẳng phải tốt hơn khi cắt nó ngay từ nguồn và chạy các chương trình chặn trên router của bạn? Đúng vậy, Pi-holes vẫn hoạt động, và bạn có thể chạy chúng trên NAS, máy chủ, hoặc bất cứ nơi nào khác trên mạng gia đình của bạn miễn là bạn hướng các bản ghi DNS thiết bị của bạn tới máy chủ DNS chặn, nhưng tôi thích có nó trên router của mình.

Phần tuyệt vời nhất là trên OPNsense, AdGuard Home là một plugin, nên nó tích hợp liền mạch với GUI, và bạn có thể quản lý nó bằng cách kết nối với phía LAN của bạn trên cổng 3000. Tôi đã sử dụng máy chủ DNS của AdGuard trên iPad Pro của mình và một vài thiết bị khác không thể chạy phần mềm chặn quảng cáo gốc, và nó hoạt động tốt. Tôi không quá quan tâm đến quảng cáo xâm phạm vì bản thân, nhưng tôi có một đứa trẻ nhỏ, và tôi không thích luồng tiêu dùng tràn ngập khi duyệt trên máy tính bảng.

AdGuard còn cung cấp điểm cộng với máy chủ DNS IPv6 để thêm vào, cũng như địa chỉ vòng lặp cục bộ, để mọi khía cạnh của mạng của bạn có thể được bảo vệ. Nếu bạn không sử dụng OPNsense, bạn thậm chí có thể thiết lập nó như một máy chủ DHCP, vì vậy nó là một công cụ chặn rất linh hoạt. Thêm vào đó, bạn có thể tận dụng lọc DNS tùy chỉnh để sử dụng tên miền cục bộ cho các dịch vụ tự lưu trữ của bạn. Đúng, OPNsense có Unbound nơi bạn có thể làm điều tương tự, nhưng thật tốt khi có các tùy chọn, và đôi khi AdGuard dễ sử dụng hơn.

Home Assistant

Thêm tích hợp sâu cho nhu cầu tự động hóa gia đình của bạn

Chúng tôi thích thêm các thứ vào bảng điều khiển Home Assistant của mình, vậy tại sao không kiểm soát OPNsense ở đó? Plugin cho OPNsense chỉ là một phần của phương trình; bạn cũng cần thêm một kho mới vào HACS và kết nối nó với OPNsense qua cặp khóa API được tạo trong bảng điều khiển người dùng OPNsense. Nếu bạn không muốn API được liên kết với vai trò quản trị chính, bạn sẽ cần tạo một tài khoản người dùng phụ, nhưng nó phải có vai trò quản trị; nếu không, tích hợp sẽ gặp khó khăn trong việc kiểm soát các thứ.

Bạn sẽ có một thẻ bảng điều khiển mới, với nhiều thông tin về router của bạn. Những thứ như trạng thái CARP, thông báo hệ thống, và thông báo về cập nhật firmware, một máy quét để thêm thiết bị mới từ bảng ARP của OPNsense, cảm biến cho thời gian khởi động, nhiệt độ, chi tiết CPU, và nhiều hơn nữa.

OPNarp

Bảo vệ khỏi các cuộc tấn công ARP poisoning và các mối nguy hiểm khác

OPN-Arp là một plugin đơn giản nhưng hữu ích, kiểm tra bộ nhớ đệm ARP và ghi một mục nhật ký mỗi khi nó phát hiện một địa chỉ IP và địa chỉ MAC mới được ghép đôi. Điều này sẽ hiển thị những thay đổi mạng, dù là kế hoạch, tự động hay không được phép, cung cấp cho bạn một công cụ khác để gỡ lỗi và phản ứng sự cố. Nó ghi lại hoạt động trạm mới, thay đổi và sử dụng lại các địa chỉ cũ,

Có lẽ một trong các thiết bị mạng của bạn bị cấu hình sai, điều này có thể biểu hiện theo nhiều cách, bao gồm việc rớt khỏi mạng, sau đó kết nối lại liên tục, hoặc thay đổi địa chỉ IP khi nó thực hiện điều đó. Nó có thể phát hiện hacker đang giả mạo MAC để truy cập vào mạng Wi-Fi của bạn, hoặc cung cấp danh sách tất cả các thiết bị và thiết bị mạng của bạn cho mục đích quản trị. Và bằng cách kết nối nó với Monit, bạn có thể nhận thông báo email về những mục nhật ký đó, tiện lợi hơn là phải xem qua các nhật ký.

OPNsense có rất nhiều plugin hữu ích, hoặc bạn có thể tự viết plugin của mình

Bản chất mã nguồn mở của OPNsense có nghĩa là bất kỳ ai cũng có thể viết plugin cho nó, và các công cụ từ các hệ điều hành dựa trên *nix khác có thể được chuyển đổi thành các gói FreeBSD để cài đặt. Điều này làm cho nó trở thành một nền tảng mạnh mẽ hơn, vì router của bạn có thể chạy phát hiện xâm nhập, giải pháp truy cập từ xa, và các công cụ liên quan khác. Tùy bạn quyết định có bao nhiêu công cụ này bạn muốn chạy trên cùng một hộp, vì một số có thể hợp lý hơn khi đặt trên máy chủ của bạn, hoặc không cần thiết, tùy theo nhu cầu mạng cụ thể của bạn.

Dịch vụ Tên Miền (DNS) chịu trách nhiệm chuyển đổi tên miền thành địa chỉ IP, giúp thiết bị xác định nơi mà một tên miền trỏ tới và kết nối trực tiếp với mạng từ xa đó. Thông tin này được tải khi bạn kết nối với các nguồn khác nhau và tất cả dữ liệu được lưu trữ cục bộ để tránh phải thực hiện lại quá trình này cho mỗi yêu cầu. Sử dụng máy chủ DNS do Google, Cloudflare, hoặc một công ty khác cung cấp rất đáng tin cậy, nhưng không hoàn toàn riêng tư.

Nếu bạn muốn bảo mật kết nối của mình với thế giới bên ngoài hoàn toàn, bạn nên cân nhắc tạo máy chủ DNS của riêng mình. Tôi đã thực hiện điều này chỉ với OPNsense, Unbound và một vài phút rảnh rỗi.

Unbound là gì?

Và tại sao bạn cần một máy chủ DNS tùy chỉnh?

Unbound là một công cụ mạnh mẽ trong OPNsense, có thể được sử dụng như một máy chủ DNS đầy đủ chức năng. Bạn cũng có thể dùng Unbound cho các tác vụ nhỏ hơn như ghi đè để sử dụng tên miền cho các dịch vụ nội bộ, giúp chúng hoạt động cả trên mạng LAN và bên ngoài mà không cần chuyển đổi giữa địa chỉ IP cục bộ và tên miền. Sử dụng Unbound như một máy chủ DNS thay vì của nhà cung cấp dịch vụ, Google, hay công ty khác chủ yếu liên quan đến quyền riêng tư, hiệu suất, bảo mật, và mong muốn tự quản lý mọi thứ.

Có một vài yếu tố khiến việc này đáng cân nhắc, nhưng quan trọng nhất đối với tôi là bảo mật, chủ yếu là DNS-over-TLS (DoT) và DNS-over-HTTPS (DoH). Unbound (cũng như OPNsense) hỗ trợ các giao thức DNS mã hóa này từ đầu, và mọi thứ có thể được cấu hình trong vài phút, ngăn chặn bất kỳ bên thứ ba nào theo dõi truy vấn DNS của bạn. Mặc dù kết nối của bạn có thể được mã hóa, điều đó không có nghĩa là các tra cứu DNS của bạn cũng vậy.

Chắc hẳn bạn đã quen với Pi-hole và tôi là một người hâm mộ việc sử dụng nền tảng này để chặn quảng cáo không mong muốn, nhưng Unbound cũng có thể xử lý điều này với danh sách đen tùy chỉnh, tùy thuộc vào mức độ tinh chỉnh mà bạn muốn thực hiện. Hiệu suất cũng được đảm bảo, vì tất cả đều là cục bộ, và Unbound có thể làm việc với các máy chủ gốc để tạo bộ nhớ cache các mục nhập cho thời gian tải nhanh chóng. Và vì nó được tích hợp vào OPNsense, Unbound nhẹ và dễ dàng cài đặt và sử dụng.

Cách tôi cấu hình nhanh Unbound trên OPNsense

Dễ hơn bạn nghĩ

Tất cả những gì bạn cần làm là đăng nhập vào tường lửa OPNsense của mình và điều hướng đến Unbound. Kích hoạt plugin (Services > Unbound) và bỏ chọn hộp “Forwarding Mode”. Điều này sẽ buộc tất cả các yêu cầu được xử lý bởi Unbound, giải quyết thông qua các máy chủ gốc thay vì dựa vào các dịch vụ bên ngoài như Google và Cloudflare. Chúng ta gần như đã hoàn thành! Tất cả những gì còn lại là thiết lập kiểm soát truy cập phù hợp cho mạng LAN (có thể là 192.168.1.0 trừ khi được cấu hình khác), cho phép lưu thông.

Tôi cũng rất khuyến khích kích hoạt hỗ trợ Domain Name System Security Extensions (DNSSEC) để đảm bảo các phản hồi được xác thực mã hóa. Điều này quan trọng đối với những ai coi trọng quyền riêng tư của mình (và tại sao bạn lại thiết lập máy chủ DNS của riêng mình nếu không phải vì lý do này?) bằng cách đảm bảo mọi thứ đều được bảo mật chống lại các cuộc tấn công tiềm tàng. Cuối cùng, nhưng không kém phần quan trọng, chúng ta cần truy cập vào cấu hình của OPNsense để xóa tất cả các mục nhập máy chủ DNS và vô hiệu hóa danh sách máy chủ DNS bị ghi đè bởi DHCP/PPP trên WAN.

Nếu bạn muốn bảo mật hơn nữa, chúng ta có thể chặn cổng 53 để ngăn chặn bất kỳ rò rỉ nào từ mạng LAN, nhưng mọi thứ sẽ bắt đầu sử dụng máy chủ DNS được cung cấp bởi Unbound trên tường lửa OPNsense thông qua DHCP. Đó là tất cả những gì cần làm! OPNsense ngay lập tức tiếp quản, và mọi thứ bắt đầu được định tuyến thông qua máy chủ DNS Unbound mới của tôi. Điều tuyệt vời nhất khi sử dụng Unbound là nó có thể chạy trên hầu hết mọi thứ có CPU được hỗ trợ.

Chạy DNS của riêng bạn rất tuyệt vời cho phòng thí nghiệm tại nhà

Và cho ngôi nhà thông minh của bạn

Bạn có thể đang để mắt tới một vài container Docker và dịch vụ nếu bạn thực sự nghiêm túc về việc vận hành một phòng thí nghiệm tại nhà. Thêm một DNS vào hỗn hợp là một cách tuyệt vời để bảo vệ ngôi nhà của bạn và cơ sở hạ tầng được lên kế hoạch tỉ mỉ khỏi các cuộc tấn công tiềm ẩn. Mục tiêu của việc tự quản lý là để bạn không phải rời khỏi mạng LAN tại nhà để làm bất cứ điều gì. Sử dụng máy chủ DNS do công ty khác quản lý yêu cầu tất cả các thiết bị mạng của bạn phải liên hệ để được hỗ trợ kết nối với các máy chủ khác.

Đó là lúc máy chủ DNS tùy chỉnh của chúng ta phát huy tác dụng. Nó loại bỏ nhu cầu cho mọi thứ phải liên hệ với thế giới bên ngoài để thực hiện các truy vấn DNS. Và vì Unbound xử lý các máy chủ gốc và xây dựng bộ nhớ cache riêng, bạn sẽ không phải liên tục gửi đi các truy vấn. Khả năng cấu hình việc sử dụng tên miền cho các kết nối nội bộ giúp mọi thứ trong ngôi nhà thông minh dễ dàng hơn, và Unbound rất tuyệt vời trong việc cung cấp các phương tiện để thiết lập ghi đè.

Tính đến nay, đây là một trải nghiệm tuyệt vời và tôi không thấy mình sẽ chuyển lại.

OPNsense – Nhật Phúc

Tăng cường bảo mật mạng với các plugin và tiện ích mở rộng OPNsense