J'ai transformé un mini PC à moins de 500 $ en un routeur qui détecte les attaques sans ralentir

« Ai-je commis une erreur en choisissant mon réseau UniFi plutôt que de créer le mien ? C’est une pensée qui m’a traversé l’esprit à plusieurs reprises auparavant. J’ai donc décidé de le tester en déployant mon propre routeur DIY dans mon homelab. L'objectif était de voir à quel point OPNsense était performant et s'il pouvait raisonnablement remplacer ma configuration UniFi. Honnêtement, il avait bien plus de fonctionnalités que ce à quoi je m'attendais – plus de fonctionnalités que mon système UniFi, en fait.

En fin de compte, j'ai choisi de m'en tenir à UniFi, mais uniquement parce que je suis déjà très investi dans l'écosystème. Si vous recherchez un nouveau routeur pour assurer la sécurité de votre homelab, OPNsense pourrait être l'option parfaite pour vous.

Je me demandais si ma passerelle UniFi en valait la peine ou si je devais utiliser mon propre matériel pour mon réseau

J'ai donc utilisé un mini PC à moins de 500 $ comme routeur pendant une journée avant de m'engager dans quoi que ce soit.

J'utilise un réseau domestique basé sur UniFi depuis près de deux ans maintenant. La seule chose que je me suis toujours demandée est si j'aurais dû opter pour un routeur DIY au lieu d'un système prêt à l'emploi ? J'ai donc décidé de l'essayer avec un mini PC bon marché pour voir comment il fonctionnerait comme routeur. J'ai dû trouver un mini PC doté de deux ports Ethernet, ce qui est en fait un peu plus difficile que vous ne le pensez.

Vous voyez, un routeur spécialement conçu dispose d'un port WAN (réseau étendu) et de ports LAN (réseau local). Cela se présente sous la forme d’au moins deux ports Ethernet, mais souvent bien plus. Chaque port est un autre point de connexion que le routeur peut contrôler.

Mon UniFi Dream Router 7, par exemple, dispose de quatre ports Ethernet à l'arrière ainsi que d'un port SFP+. Ceux-ci se combinent pour fournir jusqu'à quatre connexions WAN et le reste sous forme de LAN. Chaque connexion LAN est « gérée » avec un commutateur UniFi, ce qui signifie que la connexion peut être contrôlée de manière telle que la configuration d'un VLAN (réseau local virtuel) ou modifiée et suivie d'une autre manière.

J'ai finalement trouvé le BOSGAME Eco E6 (que BOSGAME a eu la gentillesse de m'envoyer pour que je le teste). Le mini PC dispose de deux ports Ethernet Gigabit, est livré avec 12 Go de RAM et un processeur Core 3 304. Il est faible consommation, très performant et assez abordable compte tenu de ses spécifications et fonctionnalités.

OPNsense était le choix évident

Il est open source et fait tout ce qu'un homelab peut souhaiter du point de vue du réseau.

Une fois que j’étais prêt à franchir le pas et que j’avais trié mon matériel, il me fallait trouver le logiciel à utiliser. Il existe deux options que la plupart des gens choisissent : pfSense et OPNsense. Je ne sais pas vraiment pourquoi j'ai choisi OPNsense plutôt que pfSense, mis à part le fait qu'il possède une interface plus moderne et qu'il est globalement un peu plus facile à utiliser.

J'ai commencé le voyage là où tout le monde le fait : l'installation. J'ai commencé par charger l'ISO OPNsense sur ma clé USB Ventoy et j'ai commencé la procédure d'installation. J'ai été arrêté net dans mon élan à peine une minute environ après le démarrage de l'ISO. Ventoy a calé au mountroot> rapide et je n'ai pas pu le faire aller au-delà de cela.

J'ai fini par devoir écrire le fichier vga .img réel avec balenaEtcher sur un lecteur flash dédié pour installer OPNsense. J'ai également dû désactiver Secure Boot, mais c'est normal pour installer des systèmes d'exploitation comme celui-ci. Une fois que j’ai eu le disque dédié, les choses se sont déroulées beaucoup plus facilement à partir de là.

Comme j'utilisais OPNsense derrière mon routeur UniFi existant pour accéder à Internet, j'ai dû placer le routeur OPNsense sur son propre sous-réseau. J'ai donc choisi 10.10.10.x de cette façon, il pourrait fonctionner complètement séparément d'UniFi. Cela a fonctionné, mais la configuration m'a pris une minute pour comprendre.

Je n'ai jamais mis en place une pile réseau comme celle-ci, j'ai donc dû passer par le terminal d'OPNsense sur un moniteur connecté pour tout configurer. Déterminer les tâches à confier pour le WAN et le LAN m'a pris 20 ou 30 bonnes minutes. J'ai certainement eu un peu de mal ici, mais j'ai finalement compris.

Une fois que j'ai tout configuré, j'ai pu commencer à tester les différentes fonctions d'OPNsense pour voir comment elles se comparent à UniFi. Bien que l'interface ne soit pas aussi simplifiée qu'UniFi, j'ai l'impression qu'OPNsense offre beaucoup plus de capacités et de fonctions pour la défense du réseau, et j'aime particulièrement pouvoir choisir le matériel sur lequel il fonctionne, ce qui signifie qu'il peut être aussi puissant que j'en ai besoin.

Suricata a détecté ma fausse attaque sans coûter un seul mégabit

941 Mbit/s avec l'appareil éteint, 941 Mbit/s avec l'appareil allumé

L'une des principales raisons pour lesquelles je souhaitais obtenir une meilleure configuration réseau pour mon homelab était l'IDS et l'IPS. IDS est un système de détection d'intrusion et IPS est un système de prévention des intrusions. Ces deux technologies peuvent aider à sécuriser un homelab contre les mauvais acteurs accédant au réseau.

Mon UniFi Dream Router 7 est capable d'un débit de 2,3 Gb/s sur IDS/IPS, ce qui convient à mon réseau Gigabit, mais commencerait à s'effondrer si je passais à un réseau de 2,5 Gb/s ou plus rapide. Même si je ne dispose pas actuellement d'un réseau plus rapide, j'aime l'idée de pouvoir mettre à niveau le matériel pour gérer plus de débit.

Avec OPNsense, c'est aussi puissant que vous fabriquez le matériel. J'ai exécuté iperf3 entre deux machines connectées à OPNsense avec et sans Suricata (IPS/IDS) activé, et j'ai constaté une baisse de vitesse nulle. Sur mon réseau UniFi, j'ai en fait désactivé IDS/IPS car, même sur ma connexion Gigabit, cela me ralentissait légèrement, et je ne voulais vraiment pas cela. Donc, même si je peut j'utilise IDS/IPS sur UniFi, je ne le fais pas.

Après avoir activé IDS, j'ai simulé une attaque sur le réseau depuis l'un des appareils connectés. J'avais uniquement activé IDS pour cela car il était simulé, mais il a immédiatement trouvé et enregistré l'attaque. Honnêtement, la journalisation des attaques est tout aussi importante que leur blocage. Personnellement, je n'ai pas l'intention d'utiliser IPS car il y a une chance de détecter de faux signaux, mais l'IDS avec des notifications configurées alerterait en cas d'intrusion et me permettrait de décider de le bloquer ou non.

J'utilise également actuellement un bloqueur de publicités/contenu complètement séparé sur mon réseau UniFi parce que je n'aime pas le fait que je n'ai pas un contrôle aussi précis sur celui d'origine intégré à mon Dream Router 7. J'utilise Pi-hole pour cela, et honnêtement, cela fonctionne très bien. Mais c'était bien qu'avec OPNsense, je puisse configurer tout cela directement dans l'interface utilisateur du routeur.

Certaines options de liste de blocage préconfigurées sont disponibles, mais vous pouvez également bloquer ou autoriser des domaines spécifiques que vous pourriez souhaiter. C'est idéal pour que les parents puissent bloquer les sites pour adultes au niveau du routeur sans avoir à se soucier d'un autre équipement à entretenir. Il s'agit d'une autre grande victoire pour OPNsense.

Marque

BOSGAME

Processeur

Intel Core 3 304 (Wildcat Lake), 5 cœurs / 5 threads (1 cœur P jusqu'à 4,3 GHz, 4 cœurs LP E jusqu'à 3,3 GHz), 6 Mo L3

Graphique

Graphiques Intel (1 cœur Xe3)

Mémoire

12 Go LPDDR5X-6400 (soudé, non évolutif)

Stockage

Disque SSD PCIe 3.0 NVMe M.2 2242 de 512 Go ; deuxième emplacement M.2 2242 (PCIe 4.0 x1) ; jusqu'à 4 To

Ports

Avant : 2x USB-A 10 Gbit/s, 1x USB-C (DisplayPort Alt Mode, entrée USB PD), prise combo 3,5 mm. Arrière : 2x Ethernet RJ45, HDMI 2.0, DisplayPort 1.4, 2x USB 2.0, prise 19V DC

Le BOSGAME E6 ECO est un mini PC qui a du punch pour sa gamme de prix. Avec le processeur Core 3 304 et 12 Go de RAM LPDDR5X, ce petit ordinateur de bureau offre Wi-Fi 7, double RJ45 Gigabit Ethernet et prend en charge jusqu'à trois écrans 4K.

Je vais continuer à utiliser UniFi, mais uniquement parce que je suis déjà investi dans l'écosystème

Honnêtement, OPNsense est bien plus performant que ce à quoi je m'attendais, et le faire fonctionner était un projet amusant que je suis heureux de l'avoir fait. Vraiment, si je n'avais pas déjà de système UniFi chez moi, j'utiliserais certainement OPNsense sur ce mini PC comme routeur quotidien. C'est simple et efficace et fait tout ce dont j'ai besoin.