ID.nl logo
Firewall op router installeren met open-source OPNsense
© PXimport
Huis

Firewall op router installeren met open-source OPNsense

Internet komt bij je binnen via de router van je provider, maar wat gebeurt er daarna? Wie een ‘verantwoordelijke huisvader’ wil zijn voor zijn thuisnetwerk, zou hier een firewall achter moeten zetten. Dat kan met OPNsense, een opensource besturingssysteem met webinterface dat als firewall en router functioneert. We leggen uit hoe.

OPNsense is een opensource, op FreeBSD gebaseerd besturingssysteem dat van een computer een firewall en router voor je thuisnetwerk maakt. De functionaliteit is ook uit te breiden met allerlei plug-ins. De drijvende kracht achter dit besturingssysteem is het Nederlandse beveiligingsbedrijf Deciso, dat ook hardware verkoopt om OPNsense op te draaien.

Met OPNsense haal je een krachtig en gebruiksvriendelijk systeem in huis om je thuisnetwerk te beveiligen. Bovendien heeft het uitstekende documentatie.

Hardware-benodigdheden

Allereerst dien je na te denken over de hardware. OPNsense ondersteunt zowel 32- als 64bit-processors (Intel-compatibel) en draait vanaf een sd-kaart, ssd of harde schijf. De ontwikkelaars raden wel aan om 64bit-hardware te gebruiken.

De verdere vereisten hangen uiteraard sterk af van de grootte van je netwerk en van welke functionaliteit je allemaal wilt gebruiken. Als je slechts een basisfirewall en -router wilt, volstaat een 32bit-processor op 500 MHz met 512 MB ram en een sd- of cf-kaart met een capaciteit van 4 GB. Hier ga je dan geen ‘caching proxy’ of indringingsdetectie op draaien.

Wil je alle functies kunnen gebruiken, dan heb je een dualcore-processor van 1 GHz nodig met 1 GB ram en een ssd van 40 GB. En als je netwerk een hoge belasting heeft of veel gebruikers, dan raden de ontwikkelaars aan om te upgraden naar een 1,5GHz-processor, 4 GB ram en een ssd van 120 GB.

Je kunt ook niet zomaar een willekeurige pc uit de kast halen en hopen dat alles werkt. FreeBSD heeft immers niet zo’n uitgebreide hardwareondersteuning als Linux. Je raadpleegt het best de hardwareondersteuning van de door OPNsense gebruikte FreeBSD-release.

Uiteraard kun je ook bij ontwikkelaar Deciso of een van zijn partners hardware kopen. Deze hardware is wel duurder, maar dan ben je tenminste zeker van een goede ondersteuning en investeer je ook mee in de ontwikkeling van OPNsense.

OPNsense downloaden en installeren

Lees eerst de documentatiepagina over de installatie. Kies op de downloadpagina een architectuur (32 of 64 bit), een installatietype (kies vga om te installeren vanaf een usb-stick en de initiële configuratie met een toetsenbord en beeldscherm uit te voeren) en Mirror-server.

Pak het resulterende bz2-bestand uit met een programma als 7-Zip en schrijf het image met een programma zoals Etcher naar de usb-stick. Start je systeem dan vanaf deze usb-stick op. Je kunt nu met de gebruikersnaam installer en het wachtwoord opnsense inloggen om het installatieprogramma te starten. Dat kan met een aangesloten toetsenbord en muis, of via ssh (zoals met het programma PuTTY in Windows) op het ip-adres 192.168.1.1. Je computer dient dan wel via een netwerkkabel met je OPNsense-machine verbonden te zijn.

©PXimport

Daarna vraagt het installatieprogramma je om de installatiemodus te kiezen. De optie Quick/Easy Install is in de meeste gevallen het beste, tenzij je OPNsense op hardware met minimale systeemvereisten installeert of meerdere schijven in je hardware hebt. Bevestig daarna dat je OPNsense op de eerste harde schijf of ssd wilt installeren en start opnieuw op.

Na de herstart configureer je de netwerkinterfaces: je lan-interface (die bijvoorbeeld aangesloten is op de switch waaraan alle apparaten in je thuisnetwerk hangen) en de wan-interface (die aan de lan-poort van je modem hangt). Je kunt ook VLAN’s toekennen. Nadat de installatie voltooid is, krijg je een aanmeldprompt te zien, waarop je met de gebruikersnaam root en het wachtwoord opnsense inlogt. Maar ook de webinterface is nu op het ip-adres van je OPNsense-machine toegankelijk met dezelfde aanmeldgegevens.

Als je in de webinterface aangemeld bent, wordt de eerste keer de wizard opgestart. Die leidt je door de initiële configuratie. Je hoeft deze overigens niet volledig te doorlopen: op elk moment kun je met een klik op het logo van OPNsense linksboven de wizard verlaten. Daarna kun je hem opnieuw opstarten in het menu System / Wizard.

Maar de wizard is wel nuttig om vanaf het begin een goede basisconfiguratie te hebben. Zo kun je hier de hostname en het domein van je lokale netwerk, en de dns-servers invullen. Allow DNS servers to be overridden by DHCP/PPP on WAN vink je het best uit als je graag de controle hebt over welke dns-servers je gebruikt (zie ook de masterclass over versleuteld dns in dit nummer). De DNSSEC-ondersteuning kun je inschakelen, al leidt die optie bij verkeerde serverconfiguraties soms tot onbereikbare websites.

©PXimport

In de volgende stap stel je je tijdzone correct in. Daarna komen de instellingen van je wan-interface. Voor een PPPoE-configuratie dien je hier je gebruikersnaam en wachtwoord in te voeren, maar als je dhcp gebruikt voor de verbinding met je modem, hoef je op deze pagina niets te veranderen. In de laatste stap van de wizard verander je ook het root-wachtwoord.

OPNsense stelt het domein van je netwerk standaard in op localdomain. Kies hier gerust iets anders, maar zeker niet local, want dan ontstaat er een conflict met mDNS, dat dit domein ook gebruikt. Als je wilt dat je computers daarna op je thuisnetwerk bereikbaar zijn onder de naam hostname.domein, dien je in Services / Unbound DNS / General nog Register DHCP leases aan te vinken. En als je in de dhcp-instellingen (Services / DHCPv4 / [LAN]) aan je computers een statisch ip-adres op basis van hun mac-adres hebt toegewezen met een bijbehorende hostname (wat sterk aan te raden is), dien je ook Register DHCP static mappings aan te vinken.

Daarna kun je doorklikken naar het dashboard, wat je een overzicht geeft van de toestand van je OPNsense-systeem: wat systeeminformatie, de diensten die draaien en de status van je interfaces. Klik eerst eens bij updates op Click to check for updates. Je krijgt een aantal updates te zien. Klik rechtsboven op Update now om ze te installeren.

Na de update is je systeem klaar om te verkennen. Links vind je allerlei menu’s en in het zoekveld rechtsboven kun je ook zoeken op specifieke trefwoorden, waarna een klik op een zoekresultaat je onmiddellijk naar het juiste menu brengt. Kijk zelf eens rond in de menu’s. Je vindt er de basisfunctionaliteit van een router en firewall. Daar gaan we nu verder niet op in, want we hebben heel wat spannendere zaken te vertellen!

Netwerk analyseren

OPNsense bevat Netflow, een netwerkmonitoringtechnologie die door Cisco ontwikkeld is. Het biedt een krachtige manier om op je router te analyseren wat er in je netwerk gebeurt. Om het in te schakelen, ga je naar Reporting / Netflow, vink je bij LAN interfaces je lan-interface aan, vink je Capture local aan en klik je op Apply. Daarna krijg je de analyses te zien in Reporting / Insight.

Deze ene pagina biedt ongelooflijk veel inzicht in je netwerk. Bovenaan rechts kies je de periode die je wilt bekijken. Je krijgt van je interfaces de in- en uitgaande bandbreedte over die periode te zien. Daaronder zie je taartdiagrammen met het percentage netwerkverkeer per poort en per bron.

Klik je op een punt van een taartdiagram, dan verschijnt er een gedetailleerde lijst van alle verbindingen in die taartpunt, bijvoorbeeld met de poort of het bronadres waarop je hebt geklikt. En als je in de legenda op een poort of adres klikt, kun je die uit de taart filteren. Vink je Reverse lookup aan, dan worden de domeinnamen getoond in plaats van de ip-adressen. Wellicht zegt dat iets meer.

Wat de pagina Insight niet doet, is netwerkpakketjes tot op individueel niveau tonen. Wil je dat zien, ga dan naar de pagina Firewall / Log Files / Live View, waar je realtime het netwerkverkeer kunt bekijken en hoe ze door de firewallregels verwerkt worden.

©PXimport

Bedreigingen buitenhouden

OPNsense bevat ook een indringingspreventiesysteem (IPS) genaamd Suricata. Daarmee houd je bedreigingen buiten. In Services / Intrusion Detection / Administration schakel je het in. Vink daar Enabled en IPS mode aan, zorg dat WAN bij Interfaces staat en klik onderaan op Apply.

Dan dien je nu nog te definiëren welke bedreigingen je wilt blokkeren. Onder het tabblad Download kun je aanvinken welke lijsten met firewallregels je wilt downloaden. Zo’n lijst bevat regels die bepalen welke netwerkpakketjes geblokkeerd worden.

Als je op het edit-knopje naast een lijst klikt, krijg je meer info, waaronder een url waarop je meer uitleg vindt over de lijst. Zo blokkeert de lijst ET open/botcc bekende botnets, terwijl ET open/drop de grote spammers blokkeert. Vink aan wat je nodig hebt, klik bovenaan op Enable selected en onderaan op Download & Update Rules om de lijsten te downloaden.

Klik dan bij elke lijst die je ingeschakeld hebt op het edit-knopje en verander bij Input Filter de standaardwaarde none naar Change all alerts to drop actions om netwerkpakketten die aan een regel in de lijst voldoen te blokkeren. Klik daarna op Save changes. Als je dat voor al je lijsten hebt gedaan, klik je nog eens op Download & Update Rules om dit toe te passen.

Als er daarna een bedreiging geblokkeerd wordt, krijg je die te zien in het tabblad Alerts. Overigens kun je in het tabblad Schedule het best instellen dat je lijsten elke dag een update krijgen. Als je enabled aanvinkt, de rest van de instellingen hetzelfde laat en op Save changes klikt, worden je lijsten dagelijks om middernacht bijgewerkt.

Met deze spoedcursus heb je de basis van OPNsense door, maar er is nog veel meer mogelijk. In het vervolgartikel lees je meer over geavanceerde opties.

▼ Volgende artikel
De juiste stofzuiger voor jouw huis: zo vind je 'm
Huis

De juiste stofzuiger voor jouw huis: zo vind je 'm

Een stofzuiger is zo vanzelfsprekend dat je bijna vergeet wat een handig en onmisbaar apparaat het eigenlijk is. Maar als je een nieuwe zoekt, zie je al snel: er is ontzettend veel keuze. Welke stofzuiger past nu echt bij jouw vloer, gezin en manier van wonen?

Dit artikel in het kort

• Wat voor soorten stofzuigers er zijn • Hoe je een stofzuiger voor harde vloeren kiest • Hoe je een stofzuiger voor tapijt kies • Hoe je een stofzuiger kiest wanneer je huisdieren hebt • Hoe je een stofzuiger kiest wanneer je last hebt van allergieën • Wat je moet weten over het energieverbruik van stofzuigers • Hoe het zit met oplaadtijd en gebruiksduur

Verschillende soorten stofzuigers

Zoals gezegd: de keuze is enorm. Wanneer je een nieuwe stofzuiger zoekt, kun je kiezen tussen traditionele sledestofzuigers met of zonder zak, draadloze steelstofzuigers, robotstofzuigers, kruimeldieven en modellen die speciaal zijn ontworpen voor mensen met allergieën of huisdieren. Elk type heeft z'n eigen voordelen, zoals je in de tabel hieronder ziet. Wat bij jou past, hangt af van hoe en waar je het apparaat wilt gebruiken.

Type stofzuigerVoordelenNadelen
Sledestofzuiger met zakSterke zuigkracht, grote stofcapaciteit, vaak stil, goed voor allergieënZwaar en minder wendbaar, moet vaak van stopcontact wisselen
Sledestofzuiger zonder zakGeen kosten voor zakken, meestal doorzichtige opvangbak, goede zuigkrachtLeegmaken kan stoffig zijn, filter vraagt onderhoud
Draadloze steelstofzuigerWendbaar, snoerloos, compact, handig voor snel gebruikBeperkte accuduur, kleinere stofbak, vaak luidruchtig
RobotstofzuigerVolledig automatisch, ideaal voor dagelijks onderhoud, programmeerbaarKomt niet in hoeken of op trappen, werkt alleen op één verdieping
KruimeldiefHandzaam, snel inzetbaar, ideaal voor kleine klusjes en hoekjesKleine opvangcapaciteit, korte gebruiksduur, minder krachtig

©Starcom

Je vloer is grotendeels bepalend

Stofzuigen doe je vooral om je vloer schoon te houden. Het soort vloer in huis bepaalt daarom voor een groot deel welke stofzuiger handig is. Bij harde vloeren let je op andere dingen dan bij tapijt. Handig om vooraf te bedenken waar de stofzuiger het meeste werk moet verrichten.

Stofzuigers voor harde vloeren

Laminaat, parket, plavuizen of een gietvloer? Dan is een model dat goed scoort op 'stofopname harde vloer' belangrijk. Op het label zie je hoe goed een stofzuiger presteert, van D (minimaal 98 procent opname) tot A+++ (nog beter). Voor kwetsbare vloeren is een parketborstel aan te raden: die voorkomt krassen en glijdt soepel over het oppervlak. Soms wordt een parketzuigmond meteen meegeleverd, soms moet je hem los kopen. In het laatste geval is het wel belangrijk dat je goed controleert of 'ie op jouw stofzuiger past.

Stofzuigers voor tapijt

Tapijt vraagt om een krachtigere aanpak. Vooral bij hoogpolig tapijt is een turboborstel handig: een opzetstuk met een draaiende borstel die diep liggend vuil omhoog haalt. Bij laagpolig tapijt kun je uit de voeten met een combiborstel. Ook de stofopname voor tapijt wordt genoemd op het label: bij het laagste classificering (D) moet de stofopname minimaal 75 procent zijn. Dat is minder dan bij harde vloeren, dus een label A of hoger loont. Let ook op het vermogen van de stofzuiger: hoe krachtiger, hoe beter voor dik tapijt.

©gunnar3000

Robotstofzuigers en tapijt

Een robotstofzuiger op tapijt Veel robotstofzuigers kunnen prima overweg met tapijt, zeker als het laagpolig is. Modellen met een instelbare zuigkracht of een ingebouwde turbomotor doen het beter op deze ondergrond. Vloerkleden zijn meestal geen probleem. Bij hoogpolig tapijt wordt het lastiger: daar hebben zelfs de duurdere modellen moeite mee.

Stofzuigers voor huisdieren

Haren van hond of kat vind je overal terug. Een turboborstel is dan bijna onmisbaar, zeker als je huisdieren op de bank of in het kleed liggen. Ook voor steelstofzuigers zijn er turboborstels te koop. Let op het vermogen: 800 watt of meer is aan te raden. En hoewel een zak niet verplicht is, is het wel zo prettig met al die losse haren. Het legen van een zakloze stofzuiger kan in dit geval een stoffige klus zijn.

Houd ook rekening met het geluid. Sommige stofzuigers halen makkelijk 80 decibel, wat vervelend kan zijn voor gevoelige huisdieren. Op het label zie je het geluidsniveau. Minder dan 60 decibel is prettig stil: dan kun je zelfs stofzuigen terwijl de tv aanstaat.

Robotstofzuigers voor dierenharen

Robotstofzuigers voor dierenharen Er zijn robotstofzuigers met een ronddraaiende middenborstel, speciaal voor het opzuigen van dierenharen. Deze modellen zijn meestal ook geschikt voor tapijt, maar de combinatie van hoogpolig tapijt én veel dierenhaar is voor veel robotstofzuigers nog een uitdaging.

©Надія Коваль - stock.adobe.com

Stofzuigers voor allergieën

Heb je een stofallergie, astma of hooikoorts? Let dan extra op de stofuitstoot van de stofzuiger. Die staat op het label, van A+++ (minimaal) tot D (maximaal 1 procent). Een model met HEPA-filter is extra handig: die filtert zelfs de kleinste stofdeeltjes uit de lucht. Zo voorkom je dat je tijdens het stofzuigen juist meer klachten krijgt.

Energieverbruik van stofzuigers

Hoewel stofzuigers momenteel geen verplicht energielabel hebben, is het energieverbruik wel iets om op te letten. De zuigkracht en het vermogen van een stofzuiger zeggen niet automatisch iets over hoe zuinig hij is. Sommige modellen leveren goede prestaties bij een relatief laag wattage. Er zijn fabrikanten die zuinigere motoren of een eco-stand gebruiken. Het wattage zegt iets over het energieverbruik van de motor, maar niet direct over de zuigkracht. Een hoger wattage betekent dus niet automatisch dat een stofzuiger beter schoonmaakt. Sommige modellen met een lagere wattage zijn juist efficiënter ontworpen en leveren alsnog krachtige prestaties. Naar verwachting wordt het energielabel in 2026 opnieuw ingevoerd voor stofzuigers, zodat je beter kunt vergelijken

Klein maar handig: de kruimeldief

Een kruimeldief is perfect voor kleine klusjes: even wat kruimels van tafel, haren van de bank of stof uit een lastig hoekje. Ze werken meestal op een accu, dus let op de accuduur. Ook het soort accu speelt mee in de prestaties. Sommige kruimeldieven maken behoorlijk wat herrie. En kijk of er accessoires bijzitten zoals een verlengstuk of borstel. Nat-droogmodellen kunnen ook vocht opzuigen, bijvoorbeeld gemorste koffie. Dat maakt ze net wat veelzijdiger.

©sebra

Let ook op oplaadtijd en gebruiksduur

Bij oplaadbare modellen – zoals steelstofzuigers en kruimeldieven – is het slim om te checken hoe lang ze meegaan op een volle accu. Je wilt niet halverwege moeten stoppen om op te laden. Minstens zo belangrijk is de oplaadtijd: hoe lang moet het apparaat aan de lader voordat je 'm weer kunt gebruiken? Bij sommige modellen is dat een paar uur, terwijl andere pas na een nacht opladen weer inzetbaar zijn.

Tot slot

Welke stofzuiger het beste bij je past, hangt af van jouw woning, vloer, gezinssamenstelling en wensen. Denk na over waar je hem het vaakst gebruikt, wat je belangrijk vindt – zoals zuigkracht, geluid, accuduur of een HEPA-filter – en waar je eventueel concessies kunt doen. Door goed te vergelijken voordat je een nieuwe stofzuiger kopen gaat, voorkom je frustratie achteraf. En heb je eenmaal de juiste stofzuiger gevonden, dan wordt schoonmaken net een stukje makkelijker.

▼ Volgende artikel
Maak kans op een snelle, stille en supercompacte SSD van Philips!
© Yuri A/Shutterstock
Huis

Maak kans op een snelle, stille en supercompacte SSD van Philips!

Werk je veel met grote bestanden, ben je vaak onderweg of wil je gewoon nooit meer wachten tot je data eindelijk gekopieerd zijn? Dan is een externe SSD precies wat je nodig hebt! De nieuwe Philips Draagbare SSD met usb-c combineert snelheid, betrouwbaarheid en een slank design in één krachtig pakket – en wij mogen drie exemplaren van 1 TB weggeven!

Voor creatieve geesten en snelle denkers

Of je nu fotograaf bent die RAW-bestanden bewerkt, een videomaker met 4K-projecten of een gamer die zijn bibliotheek altijd bij de hand wil hebben, deze SSD is ontworpen voor jou. Met overdrachtssnelheden tot 550 MB/s verplaats je grote bestanden in een oogwenk, en dankzij het compacte formaat (net een tikkie groter dan een oldskool usb-stick) neem je deze SSD overal mee naartoe. Plug-and-play, dus geen installatie nodig. Gewoon aansluiten en gaan.

©Philips

Alleskunner voor onderweg én thuis

Ook voor mobiele professionals en thuisgebruikers is dit een ideale oplossing. Werk je vaak op verschillende locaties? De Philips SSD past moeiteloos in je tas of jaszak. Wil je back-ups maken van al je foto's, video's en documenten? Geen probleem. Deze SSD werkt met Windows, macOS, Linux én Android, dus je koppelt 'm dankzij de usb-c 3.2 Gen 1-aansluiting aan vrijwel elk apparaat – van laptops tot smartphones.

De Philips Externe SSD is beschikbaar in drie capaciteiten: 500 GB voor € 50,99, 1 TB voor € 90,99 en 2 TB voor € 175,99. Meer informatie vind je op www.philips-media.com.

Winactie: maak kans op een 1 TB Philips SSD!

Wil jij zo'n razendsnelle SSD winnen? We geven drie stuks van 1 terabyte weg!

Zo doe je mee:

  • Beantwoord de volgende vraag: Wat zou jij als eerste opslaan op jouw gloednieuwe Philips SSD?
  • Mail je antwoord vóór 10 juli naar winnen@id.nl o.v.v. Philips SSD-winactie
  • Vergeet niet je naam en adres in de mail te vermelden!

De drie origineelste inzendingen winnen. Veel succes, en vergeet niet: snel zijn is niet alleen iets voor SSD's!