简介

目标

通过2台 Opnsense 实现高可用配置

准备

两台电脑（双网口以上）

大于20G存储（推荐50G）

RJ45网线

显示器和键盘

配置建议

标准配置：运行所有OPNsense标准功能，但没有大量用户或高负载的情况。

推荐配置：能够流畅运行所有OPNsense标准功能，适合大多数的使用情况。

评估建议

虽然大多数功能不会影响硬件性能，但有一些功能会产生巨大影响。比如：

吞吐量评估

OPNsense 设置 的主要硬件因素是 CPU、RAM ，大容量存储，网络接口的数量和质量。

支持的硬件FreeBSD 14.1-RELEASE 是 OPNsense 的基础（2024年）。所有 FreeBSD驱动程序 都包含在 OPNsense内核中，硬件兼容性相同。如需进一步的帮助和支持，请参阅

• FreeBSD 14.1-RELEASE硬件兼容性列表

安装

镜像下载

先从官网下载新版的安装镜像

安装 OPNsense

1. 系统选择 FreeBSD 14
2. CPU 尽量分配较多的核心，如果是 1G 外网，可以限制 CPU 份额 5000MHZ
3. 内存也是尽量往大了选（ 4G 朝上），如果开启 入侵检测 ，规则集多了，很吃内存和硬盘
4. 硬盘大小选择 50G 如果使用 ESXI或者 PVE ，硬盘最好使用 厚置备，置零

启动虚拟机或者物理机，等待至让 输入账号 画面（显示 login:），中途请勿随意按键盘，否则就会进入 配置 VLAN 、 配置 LAGG 画面。

输入账号：installer 密码：opnsense，进入选择 键位图（Keymap Selection）

选择合适的 键位（默认回车就行）

1. 选择 Install (UFS)
2. FreeBSD 硬盘一般是 da 开头，如果是单硬盘，选择 da0 就行
3. 它会问你是否新建 8G 交换空间，看需求
4. 它会问你是否安装在 da0 硬盘上
5. 等待系统安装完成
6. 更改 ROOT 密码
7. 重启 拔出安装介质 进入 OPNsense

基础应用

基础配置

输入 https://192.168.1.1 进入 OPNsense 后台设置。【自行设置电脑或者手机与 OPNsense 同网段 192.168.1.0/24】

1、默认会跳转到向导界面，点击 下一步（Next） 进行设置 

2、 时区设置为 Asia/Shanghai，下一步

3、设置 WAN 口

4、设置 LAN 口

5、确定 ROOT 密码，为空则不修改

6、重载系统

更换镜像源

默认的镜像速度很慢，所以我们需要更换镜像源

点击【系统: 固件】 ，然后点击【设置】 ，在 【镜像】 选项选择 Aivian (HTTPS,Shangxing,CN)，然后保存

点击 【状态】 ，点击【检查升级】

接口设置

接口分配

点击 【接口: 分配 】，在这可以看到 【接口描述】 、【 标识符 】和 【接口设备】（接口在系统名称）

如果没有 WAN口 ，可以在下面 Assign a new interface ，选择 【设备 vmx*】 （虚拟机一般是 vmx 开头）， 然后在【 描述 】里输入描述内容（全英文和数字，不要有特殊符号，可以全大写）

WAN口设置

1、点击 【接口: [WAN]】

2、勾选 【阻止私有网络 】（私有网络IP，更多详情点击 阻止私有网络 旁的感叹号） 和 【拦截bogon网络 】（保留IP，更多详情点击 拦截bogon网络 旁的感叹号）

3、如果是 PPPOE拨号 上网，则在 【IPv4配置类型】 选择 PPPoE

• 如果是 DHCP 上网，则在 【IPv4配置类型 】选择 DHCP
• 如果是 静态V4 上网，则在 【IPv4配置类型】 选择 静态IPV4

4、如果是 PPPOE拨号 上网，下滑到 【PPPoE配置 】，在 【用户名】 【密码】 填入对应参数，更多高级设置，请进入 【接口: 点对点: 设备】，保存

• 如果是 DHCP 上网，下滑到 【DHCP客户端配置 】查看是否有需要设置的，然后保存
• 如果是 静态V4 上网，下滑到【 静态IPv4配置 】，填入【 IPv4地址和掩码】 ，点击 IPv4上游网关 那一行的 + 号，勾选 【默认网关】 ，填入【 IPv4网关】 ，网关名称 根据需求修改，保存
  有关 IPV6设置 ，请看本文这里

LAN口设置

1、点击 【接口: [LAN]】

2、取消勾选 【阻止私有网络】 （私有网络IP，更多详情点击 阻止私有网络 旁的感叹号） 和 【拦截bogon网络 】（保留IP，更多详情点击 拦截bogon网络 旁的感叹号）

3、【IPv4配置类型】 选择 【静态IPV4】

4、下滑到 【静态IPv4配置 】， 填入 IPv4地址 （在 10.0.0.0/8 、 172.16.0.0/12 、 192.168.0.0/16 中任选） ，并选择对应 【子网掩码 】（影响 DHCPV4 分配），保存

终端中配置网卡

有时一不小心删除了管理网口，这个时候可以通过终端配置网卡

1、在终端中输入 账号密码 ，进入 管理选项

2、输入数字1 ，进入接口分配

3、先问你是否需要配置 LAGGs VLANs ，回车即可跳过

4、接下来会问 WAN 分配的网卡，输入网卡名称

5、然后问你 LAN 分配的网卡，输入 网卡名称（也可回车跳过）

6、后面就是问你 OPTN（N代表数字） 分配的网卡，输入 网卡名称（不填则代表配置结束）

7、最后问你 是否保存 ，输入 y 并回车确定

8、输入 数字2 ，进入 接口设置

9、输入配置接口的 数字

10、先问你是否要 配置DHCP

11、后问你这个接口 地址，请填入 IPV4地址

12、接下来问你是否配置 IPV6地址跟踪WAN

13、然后问你是否将 HTTPS改为HTTP

14、后问你是否创建新的 HTTPS证书

15、最后问你是否 重启组件

16、测试一下是否能够访问，能访问为配置完成

防火墙规则配置

OPNsense 作为开源防火墙，怎么能少了防火墙配置呢。

创建简单的允许互访的规则

一般在 添加 、 分配 、 配置 接口后，需要在防火墙规则上配置允许访问的规则，否则无法与防火墙通讯（自动创建规则 允许SSH和WEB 访问）

1、点击【 防火墙: 规则: LAN 】（点击 对应接口 选项卡，这里以 LAN 为例子）

2、点击 橙色的加号 添加规则，这里创建最简单的互访规则（允许 LAN网络 访问 防火墙及其它网络 ）参考如下设置：

3、点击保存。确认无误后，应用更改

创建简单的阻断规则

有时候需要禁止访问一些IP，设置一些阻止规则丢弃这些包

1、点击 防火墙: 规则: LAN （点击 对应接口 选项卡，这里以 LAN 为例子，禁止 LAN设备 访问 阿里的DNS ）

2、点击 橙色的加号 添加规则，这里创建最简单的阻止规则（禁止 LAN设备 访问 阿里的DNS ）参考如下设置：

3、点击保存。确认无误后，应用更改。

网页设置

反代理设置

主要针对的是通过 nginx 对 OPNsense 进行反代理，需要在 OPNsense 修改选项。

点击 【系统: 设置: 管理 】，勾选【 禁用Web GUI重定向规则】 、【 禁用DNS重绑定检查】 、 【禁用HTTP_REFERER强制检查】，然后保存。如果遇到 CSRF check failure 请尝试清理浏览器缓存或重启防火墙服务。

开启安全Shell

点击 【系统: 设置: 管理 】，勾选 【启用安全Shell】 、 【允许root用户登录】 、 【允许密码登录】 ，并 【监听接口】 【全部接口】，然后保存

系统DNS设置

设置网关DNS

这个一般用于系统的DNS

打开【 系统: 设置: 常规 】， 下滑到 【网络 】，找到 【DNS服务器】 选项并填入 DNS （阿里：223.5.5.5 腾讯：119.29.29.29 更多请百度）文本框 后面选择你的 WAN网关 ，保存。设置参考：

设置Unbound DNS

这个主要是给局域网用的，支持 dot 加密查询，功能比较多

1、打开 【服务: Unbound DNS: 常规 】，点击 【启用Unbound】 和 【启用DNSSEC支持 】，保存

2、打开 【服务: Unbound DNS: 查询转发】 ，取消勾选【 使用系统DNS服务器】 ，在下面 添加一条 ，并填入 DNS （阿里：223.5.5.5 腾讯：119.29.29.29 更多请百度），然后【保存】 应用。

3、DOT查询设置（没需求这条可以跳过），打开【 服务: Unbound DNS: DoT】 ，取消勾选 【使用系统DNS服务器】 ，在下面 添加一条 ，勾选 【启用】，服务器IP 填入 DNS服务商IP （官网一般会写）， 服务器端口 填入 853 （dot 默认端口）， 验证CN 填入 DNS服务商域名` （官网一般会写），然后【保存】 应用。DOT 设置参考：

DHCPv4 设置

OPNsense 的 DHCPv4 分配IP只能在网段内

1、打开 【服务: DHCPv4: [LAN]】

2、参考如下，请自行设置，网关 和 DNS 可以不填，默认为路由器本机

端口限制型 NAT

OPNsense 默认只支持到 对称型NAT ，在打洞等方面极其不友好

1、通过 【防火墙: NAT: 出站】 的 【混合生成出站NAT规则】 添加 【手动规则】 实现【 端口限制型 NAT】

2、设置参考本文这里 第四点 和 第五点，必须打开 IPV4 的 静态端口 选项（这个是重点），如果没有 NATv6需求 无需添加 IPV6出站规则，IPV4设置如下：

IPV6设置