Mini PC ile OPNsense veya pfSense Firewall Kurmak: Donanım ve Kurulum

Mini PC Firewall Nasıl Çalışır?

Firewall yazılımı, mini PC'deki her ağ portunu bir arayüz (interface) olarak görür. En basit kurulumda bir port WAN (modem veya ONT tarafı), bir port LAN (switch veya access point tarafı) olur. Yazılım LAN tarafına DHCP ile adres dağıtır, internete çıkan trafiğe NAT uygular ve tanımladığınız kurallara göre bağlantılara izin verir ya da engeller. NAT ve port yönlendirme mantığı için NAT nedir, ağ bölümleme için VLAN nedir yazılarına bakabilirsiniz.

Operatörün verdiği cihazı modem/köprü (bridge) modunda bırakıp yönlendirmeyi mini PC'ye devretmek yaygın bir yöntemdir; bu ayarın nasıl yapılacağı operatörünüzün cihazına bağlıdır.

Resmi Donanım Gereksinimleri

OPNsense

OPNsense belgeleri yalnızca x86-64 (amd64) mimariyi destekler ve donanımın 64 bit işletim sistemi çalıştırabilmesi gerekir. Belgede dört seviye tanımlanır; "basic" seviye işlevleri belirgin biçimde daraltılmış kullanım içindir, diğer üçü şöyledir:

Belgedeki throughput tablosu, 11-150 Mbps için minimum, 151-350 Mbps için reasonable, 350-750+ Mbps için recommended spesifikasyonu eşleştirir. Minimum seviyede önbellekli proxy ve IDS/IPS (alarm veritabanı) gibi diske yazan özellikler hariç tutulur.

pfSense

pfSense belgesine göre Netgate dışı donanım için minimum gereksinimler: 64 bit amd64 (x86-64) uyumlu işlemci, 1 GB veya daha fazla RAM, 8 GB veya daha büyük disk (SSD, HDD vb.), bir veya daha fazla uyumlu ağ kartı ve ilk kurulum için önyüklenebilir USB bellek ya da optik sürücü. Belge, bu minimumun her ortama uygun olmadığını ve boyutlandırma rehberine bakılması gerektiğini vurgular.

RAM hesabı: state tablosu

Her iki projenin belgesi de firewall'un takip ettiği her bağlantı durumunun (state) yaklaşık 1 KB RAM kullandığını belirtir. pfSense belgesine göre her bağlantı iki state tüketir; 500.000 state için yaklaşık 488 MB RAM gerekir ve işletim sistemi ile diğer servisler için en az 175-256 MB ek bellek hesaplanmalıdır. Ev ve küçük ofis kullanımında bu değerler genellikle sorun olmaz; ancak çok sayıda eş zamanlı bağlantı bekleniyorsa RAM'i buna göre seçin.

Ağ Kartı (NIC) Seçimi Neden Bu Kadar Önemli?

Mini PC firewall'da en sık yapılan hata, işlemciye odaklanıp ağ kartlarını gözden kaçırmaktır. Belgeler bu konuda oldukça net:

• Intel NIC önerisi: pfSense belgesi Intel ağ kartlarının FreeBSD'de sağlam sürücülere sahip olduğunu ve iyi performans verdiğini, en iyi uygulamanın Intel NIC kullanmak olduğunu yazar. OPNsense belgesi de Intel yonga setli kartların daha düşük işlemci yüküyle daha yüksek throughput sağladığını belirtir.
• Kalite farkı: pfSense boyutlandırma rehberine göre ucuz, düşük seviye kartlar Intel gibi kaliteli kartlardan belirgin biçimde fazla işlemci gücü tüketir. Daha iyi bir NIC yavaş işlemcide bile throughput'u ciddi artırır; düşük kaliteli bir NIC ile işlemciyi hızlandırmak ise orantılı bir kazanç sağlamaz.
• USB ağ adaptörü kullanmayın: pfSense belgesi, güvenilmezlikleri ve zayıf performansları nedeniyle hangi marka/model olursa olsun USB ağ adaptörlerinin kullanılmaması gerektiğini söyler.
• VLAN: VLAN kullanacaksanız pfSense belgesi VLAN işlemeyi donanımda yapabilen kartları seçmenizi önerir.
• FreeBSD uyumluluğu: Her iki yazılım da FreeBSD tabanlıdır. OPNsense belgesine göre tüm FreeBSD sürücüleri OPNsense çekirdeğine dahildir ve donanım uyumluluğu FreeBSD ile aynıdır. pfSense belgesi de kendi derlemesinin dayandığı FreeBSD sürümünün donanım notlarına bakmayı önerir.

VPN için işlemci özellikleri

pfSense boyutlandırma rehberine göre her tür VPN'de şifreleme işlemcisi yoğun bir iştir ve donanımsal şifreleme hızlandırma yüksek VPN hızları için çok önemlidir. AES-GCM şifrelemesi AES-NI ile hızlanır. Uzaktan erişim veya şubeler arası VPN düşünüyorsanız işlemcinin AES-NI desteklediğini kontrol edin. VPN protokolleri için WireGuard ve OpenVPN karşılaştırması yazısına bakabilirsiniz.

Mini PC Seçim Kontrol Listesi

Kurulum Adımları (Özet)

OPNsense

• İmajı indirin: OPNsense belgesi dört imaj türü tanımlar: dvd (ISO), vga (USB, VGA konsol), serial (USB, 115200 seri konsol) ve nano (gömülü cihazlar için). Mini PC için belgeye göre en kolay yöntem USB "vga" imajıdır.
• Doğrulayın: SHA-256 özeti ve imzayı OpenSSL ile kontrol edin. Belge, açık anahtarı yalnızca indirdiğiniz yansıdan değil başka kaynaklardan da karşılaştırmanızı önerir.
• USB'ye yazın: İmajı bzip2 ile açın; Linux'ta dd, Windows'ta Etcher veya Rufus gibi bir araçla en az 1 GB'lık USB belleğe yazın.
• Önyükleyin: BIOS/UEFI önyükleme menüsünden USB'yi seçin. Sistem canlı ortama (live environment) açılır.
• Kurun: installer kullanıcısı ve opnsense parolasıyla giriş yapıp kurulumu başlatın; UFS veya ZFS seçin, diski seçin ve yeni root parolasını belirleyin.
• İlk yapılandırma: Varsayılan olarak web arayüzü https://192.168.1.1/ adresindedir; belgeye göre varsayılan kullanıcı root, parola opnsense'dir (kurulumda değiştirdiyseniz yeni parolanız).

# OPNsense belgesindeki Linux örneği (X yerine USB aygıtınızı yazın)
bzip2 -d OPNsense-<filename>.bz2
sudo dd if=OPNsense-##.#.##-[Type]-[Architecture].img of=/dev/sdX bs=16k

pfSense

• Netgate Installer: pfSense belgesine göre kurulum imajları Netgate Store hesabıyla indirilir; yükleyici ücretsizdir ancak teslim için mağazanın ödeme adımı kullanılır.
• İmaj seçimi: USB ile kurulum yapılacak çoğu üçüncü taraf x86-64 donanım için doğru seçim AMD64 Memstick'tir; hem seri hem VGA konsolla çalışır.
• Doğrulama: İndirilen sıkıştırılmış dosyanın SHA-256 değerini Netgate'in checksum sayfasıyla karşılaştırın. Belge, macOS Safari'nin dosyaları otomatik açtığını ve bunun doğrulamayı bozduğunu hatırlatır.
• Kurulum ve arayüz ataması: Kurulum medyası hazırlandıktan sonra kurulum yapılır ve WAN/LAN arayüzleri atanır; belgenin "Assign Interfaces" bölümünü takip edin.

Gömülü (embedded) ve tam kurulum farkı

OPNsense belgesine göre embedded (nano) imaj log ve önbellek verisini yalnızca bellekte tutar, yeniden başlatmada loglar kaybolur; tam kurulum ise veriyi yerel diskte saklar. Belge, flash kartların sınırlı sayıda yazmaya dayandığını hatırlatır ve nano imajda harici bir syslog sunucusu kullanmayı önerir. Mini PC'de SSD varsa tam kurulum daha uygundur.

Sınırlamalar

• Throughput tahmini zordur: pfSense belgesi üçüncü taraf donanımın performansını tahmin etmenin zor ve yanıltıcı olduğunu belirtir; ölçümü kendi trafiğinizle yapın.
• Garanti ve destek mini PC üreticisine bağlıdır; firewall yazılımı için üretici desteği almak isterseniz ilgili ticari seçeneklere (pfSense Plus, OPNsense Business Edition) bakın.
• Tek cihaz tek arıza noktasıdır; kesintisiz çalışma gerekiyorsa yedekli (HA) yapı ve yapılandırma yedeği planlayın.

Sık Sorulan Sorular

Tek portlu mini PC ile firewall kurulabilir mi?

pfSense minimum gereksinimi "bir veya daha fazla" uyumlu ağ kartı der. Tek portla WAN ve LAN'ı ayırmak ancak VLAN destekli bir switch ile mümkündür ve kurulumu karmaşıklaştırır. USB ağ adaptörü ile port eklemek ise pfSense belgesine göre önerilmez.

Raspberry Pi ile OPNsense veya pfSense kurulur mu?

Hayır. pfSense belgesi Raspberry Pi'yi uyumsuz donanımlar arasında sayar; OPNsense ise yalnızca x86-64 mimari için yayımlanır.

Ne kadar RAM yeterli?

OPNsense belgesi tüm özellikler için 4 GB'ı makul, 8 GB'ı önerilen seviye olarak verir. IDS/IPS, önbellekli proxy veya çok sayıda captive portal kullanıcısı gibi özellikler kaynak ihtiyacını artırır.

Fiziksel cihaz yerine sanal makine olur mu?

Olur; OPNsense ve pfSense birçok hipervizörde çalışır. Ayrıntılar ve bulut tarafındaki sınırlamalar için OPNsense'i sanal makinede çalıştırmak yazısına bakın.

Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: Firewall nedir · pfSense ve OPNsense nedir · Netgate ve Deciso cihazları · OPNsense sanal makinede · IDS/IPS nedir · NAT nedir · VLAN nedir