BT
← Назад к Проекты

Безопасность сети

Лаборатория сегментации сети

Создание выделенного межсетевого экрана OPNsense и сегментированной лаборатории с сохранением домашних подключений через eero.

В разработке

Кратко о проекте

В разработке
Цель
Создание выделенного межсетевого экрана OPNsense и сегментированной лаборатории с сохранением домашних подключений через eero.
Моя роль
Самостоятельное исследование, проектирование и документирование лаборатории.
Состояние реализации
Установка OPNsense завершена; настройка VLAN, контроль доступа и проверка восстановления запланированы.
Следующий этап
Перед публикацией результатов проверить изоляцию, административный доступ, надёжность адаптера и восстановление.
Исходный код кейса (портфолио) ↗

Репозиторий реализации: ещё не опубликован.

Состояние реализации

Я установил OPNsense и подтвердил обнаружение обоих интерфейсов Ethernet. Следующие шаги — настройка интерфейсов, сегментация и проверка восстановления.

Завершено

  • Выбран Lenovo M90n-1 с Intel i5 восьмого поколения, 8 ГБ RAM и накопителем на 256 ГБ.
  • Во время настройки обнаружены встроенный и USB-интерфейсы Ethernet.
  • OPNsense установлен на внутренний накопитель; выполнена перезагрузка без установочного USB.

Запланировано

  • Назначить USB Ethernet-адаптер UGREEN интерфейсом WAN, а встроенный Ethernet — LAN.
  • Настроить VLAN и правила доступа с помощью OPNsense и USW-Lite-8-PoE.
  • Перед публикацией результатов проверить изоляцию, административный доступ, надёжность адаптера и восстановление.

Предлагаемая архитектура

  1. Внешнее подключение: eero Pro 6E

    Домашние устройства остаются подключёнными к eero. Межсетевой экран лаборатории получает внешнее подключение через USB WAN-адаптер.

  2. Межсетевой экран: Lenovo M90n-1

    OPNsense маршрутизирует и фильтрует трафик лаборатории. Встроенный Ethernet обслуживает планируемый VLAN-транк LAN.

  3. Коммутатор: USW-Lite-8-PoE

    Управляемый коммутатор распределяет устройства лаборатории по VLAN. Подключения через него ограничены 1 GbE на порт.

  • VLAN управления — запланировано
  • VLAN приложений — запланировано
  • VLAN ИИ — запланировано
  • VLAN тестирования безопасности — запланировано
Это проект архитектуры, а не подтверждённое развёртывание. Идентификаторы VLAN, подсети, физические подключения и исключения для трафика будут записаны после настройки.

Первоначальный проект использует двойной NAT за eero. Доступ лаборатории к домашним устройствам требует явных правил межсетевого экрана; дополнительный маршрутизатор сам по себе не обеспечивает изоляцию.

Список проверок

Все проверки ожидают выполнения. Ниже определено ожидаемое поведение; измерения и подлинные снимки экрана будут добавлены после тестирования.

Ожидает проверки

Доступ в интернет

Тестовый клиент получает адрес лаборатории, разрешает DNS и открывает внешний HTTPS-сайт. Записать адрес, шлюз и наблюдаемый результат.

Ожидает проверки

Изоляция домашней сети

Клиенты лаборатории не могут обращаться к домашним устройствам без явно разрешённого исключения. Проверить разрешённые и запрещённые пути.

Ожидает проверки

Контроль между VLAN

Между VLAN лаборатории проходит только документированный трафик. Записать источник, назначение, протокол, ожидаемый результат и соответствующий журнал межсетевого экрана.

Ожидает проверки

Административный доступ

Управление межсетевым экраном и коммутатором доступно из выделенной сети управления и запрещено из тестовых сетей.

Ожидает проверки

Восстановление после перезагрузки

После перезагрузки межсетевого экрана оба интерфейса возвращаются, а тестовый клиент восстанавливает ожидаемое соединение. Записать время восстановления.

Ожидает проверки

Надёжность USB-адаптера

WAN-адаптер остаётся доступным при длительной нагрузке и возвращается после повторного подключения. Записать длительность, ошибки и перерывы.

Ожидает проверки

Восстановление конфигурации

Экспортировать резервную копию конфигурации и проверить восстановление в ходе контролируемого упражнения. Записать процедуру и результат.

Доказательства для публикации

Опубликовать снимки экрана без конфиденциальных данных, настроенную топологию, матрицу трафика и инструкцию восстановления. Не заявлять об улучшении производительности, доступности или безопасности до измерений.

Прочтите соответствующие примечания →