Virtualisasi OPNsense Firewall di Proxmox VE 8: Arsitektur Dual-NIC, Multi-VLAN Segmentation, dan Integrasi Intrusion Detection System (IDS) Suricata

Mengintegrasikan fungsi perutean (routing) dan dinding api (firewall) kelas enterprise langsung di dalam hypervisor merupakan strategi po...

Mengintegrasikan fungsi perutean (routing) dan dinding api (firewall) kelas enterprise langsung di dalam hypervisor merupakan strategi populer dalam arsitektur homelab dan infrastruktur server modern. OPNsense adalah sistem operasi router/firewall open-source berbasis FreeBSD (HardenedBSD) yang menawarkan stabilitas tingkat tinggi, antarmuka web modern, serta dukungan paket keamanan mendalam seperti Suricata IDS/IPS, Unbound DNS, dan OpenVPN/WireGuard.

Dengan memvirtualisasikan OPNsense di atas Proxmox Virtual Environment (PVE) 8, administrator dapat menghemat biaya perangkat keras terdedikasi, memanfaatkan snapshot live backup otomatis melalui Proxmox Backup Server, serta melakukan segmentasi jaringan internal antar-VM secara fleksibel menggunakan Linux Bridge VLAN-Aware.

1. Arsitektur Jaringan Dual-Bridge di Proxmox VE

Kunci keberhasilan virtualisasi firewall adalah pemisahan antarmuka fisik WAN (internet eksternal) dan LAN (jaringan privat internal) di tingkat hypervisor:

• vmbr0 (WAN Bridge): Terhubung ke port fisik NIC 1 yang mengarah ke modem ISP (atau ont router) dengan mode Bridge/PPPoE.
• vmbr1 (LAN / Trunk Bridge): Terhubung ke port fisik NIC 2 yang mengarah ke switch terkelola (managed switch) atau virtual bridge VM lokal dengan fitur VLAN aware aktif.

Konfigurasi berkas /etc/network/interfaces pada host Proxmox VE diatur sebagai berikut:

# WAN Bridge (Menghubungkan OPNsense WAN ke Modem ISP)
auto vmbr0
iface vmbr0 inet manual
    bridge-ports enp2s0
    bridge-stp off
    bridge-fd 0

# LAN / VLAN Trunk Bridge (VLAN-Aware untuk segmentasi VM & Host)
auto vmbr1
iface vmbr1 inet manual
    bridge-ports enp3s0
    bridge-stp off
    bridge-fd 0
    bridge-vlan-aware yes
    bridge-vids 2-4094

2. Pembuatan Virtual Machine OPNsense di Proxmox VE

Saat membuat VM OPNsense di antarmuka web Proxmox, ikuti parameter optimasi performa berikut:

• OS: Type: Other (Kernel FreeBSD).
• System: QEMU Agent: Centang, SCSI Controller: VirtIO SCSI.
• Disks: Bus/Device: SCSI, Cache: Write back, Discard: Centang (SSD/NVMe). Ukuran minimal 32 GB.
• CPU: Cores minimal 2 (disarankan 4 core untuk inspeksi IDS/IPS), Type: host (untuk memaksimalkan performa instruksi AES-NI).
• Memory: 4096 MB RAM (disable Ballooning untuk menghindari latensi alokasi memori dinamis di FreeBSD).
• Network: Tambahkan 2 antarmuka jaringan:
  • Net0: Bridge vmbr0, Model VirtIO (paravirtualized) -> Untuk interface WAN.
  • Net1: Bridge vmbr1, Model VirtIO (paravirtualized) -> Untuk interface LAN.

3. Proses Instalasi OPNsense dan Konfigurasi Interface

Nyalakan VM, buka NoVNC Console, dan login sebagai user installer (password default: opnsense). Pilih skema partisi ZFS atau UFS standar. Setelah reboot, Anda akan disambut menu konfigurasi antarmuka konsol:

# Tetapkan Interface OPNsense di Console Wizard:
WAN -> vtnet0
LAN -> vtnet1

Secara default, interface LAN akan memiliki alamat IP 192.168.1.1/24 dengan DHCP server aktif. Sambungkan laptop atau VM lain ke vmbr1 untuk mengakses Web GUI OPNsense di https://192.168.1.1.

PERINGATAN KRUSIAL - Nonaktifkan Hardware Offloading di FreeBSD: Driver virtual VirtIO pada FreeBSD dapat mengalami drop paket atau latensi tinggi jika fitur Hardware Checksum Offloading dibiarkan aktif. Segera setelah masuk ke Web GUI OPNsense, navigasi ke Interfaces > Settings, lalu centang ketiga opsi berikut:
1. Disable hardware checksum offload
2. Disable hardware TCP segmentation offload (TSO)
3. Disable hardware large receive offload (LRO)
Simpan dan lakukan reboot pada OPNsense VM.

4. Konfigurasi Multi-VLAN Trunking

Untuk memisahkan lalu lintas jaringan antara VM Database, Server Publik, dan Perangkat IoT:

1. Masuk ke menu Interfaces > Other Types > VLAN, lalu klik tanda tambah (+).
2. Pilih parent interface vtnet1 (LAN), masukkan VLAN Tag (misal: 20 untuk SERVER_ZONE), lalu beri deskripsi.
3. Navigasi ke Interfaces > Assignments, tambahkan interface VLAN baru tersebut, lalu aktifkan DHCP server di masing-masing segmen (misal: 10.20.0.1/24).
4. Di Proxmox VE, setiap VM baru cukup diarahkan ke bridge vmbr1 dengan mengisi kolom VLAN Tag: 20 untuk otomatis bergabung ke segmen tersebut tanpa konfigurasi rumit di tingkat guest OS!

5. Mengaktifkan Intrusion Detection & Prevention System (Suricata)

Salah satu fitur unggulan OPNsense adalah mesin IDS/IPS Suricata bawaan:

• Navigasi ke Services > Intrusion Detection > Administration.
• Centang Enabled dan IPS mode (untuk memblokir serangan secara aktif, bukan sekadar mencatat log).
• Pilih interface yang ingin dipantau (biasanya interface WAN atau LAN).
• Buka tab Download, aktifkan rule set standar industri seperti ET Open (Emerging Threats) dan Abuse.ch SSL Blacklist, lalu klik Download & Update Rules.

Kini sistem keamanan jaringan virtual Anda memiliki perlindungan Layer 7 mendalam yang mampu mendeteksi pemindaian port, eksploitasi zero-day, dan komunikasi botnet secara otomatis.

Bagikan Artikel:

WhatsApp Telegram X LinkedIn Facebook