Firewall, VPN i monitoring sieci domowej

Wprowadzenie

Wyobraź sobie sytuację: twój router domowy jest podłączony do internetu 24/7, a do twojej sieci WiFi podpięte są nie tylko laptopy i telefony, ale także lodówka, czujnik temperatury, smart TV i kilka żarówek. Każde z tych urządzeń to potencjalna furtka dla atakującego. Bez odpowiedniej ochrony twoja sieć domowa jest jak dom bez zamków — przechodzień może wejść i zabrać, co chce. Firewall, VPN i monitoring sieci to trzy filary, które zmieniają tę sytuację.

W tej lekcji dowiesz się, jak skonfigurować podstawowy firewall na routerze domowym, postawić własny serwer VPN do bezpiecznego dostępu zdalnego, zablokować reklamy i trackery na poziomie całej sieci za pomocą Pi-hole, oraz jak monitorować ruch w sieci, by wykryć intruza, zanim ten zdąży wyrządzić szkody. Każde z tych zagadnień omówimy na konkretnych przykładach — nie teorii, tylko działających rozwiązań.

Firewall na routerze domowym — pierwsza linia obrony

Firewall to podstawowe narzędzie kontroli ruchu sieciowego. Większość routerów domowych ma wbudowany firewall, ale domyślnie jest on skonfigurowany bardzo liberalnie — przepuszcza prawie wszystko. Celem świadomej konfiguracji jest zmiana tego stanu: blokowanie wszystkiego, co nie jest wyraźnie dozwolone.

Reguły przychodzące (inbound)

Reguły przychodzące kontrolują, kto z zewnątrz może zainicjować połączenie z twoimi urządzeniami. Domyślnie powinny blokować wszystko oprócz odpowiedzi na połączenia, które sam zainicjowałeś. W praktyce: jeśli nie hostujesz serwera WWW ani gry, nie potrzebujesz żadnego przekierowania portów. Sprawdź w panelu routera zakładkę „Port Forwarding” lub „Virtual Server” — jeśli są tam jakieś reguły, których nie pamiętasz, usuń je.

Reguły wychodzące (outbound)

Tu zaczyna się prawdziwa kontrola. Firewall wychodzący decyduje, które urządzenia w twojej sieci mogą łączyć się z internetem i na jakie porty. Przykład: smart lodówka nie ma żadnego powodu, by łączyć się z serwerem w Chinach. Blokując ruch wychodzący do nieznanych lokalizacji, zatrzymujesz ransomware, które próbuje wysłać dane do command & control, oraz niechciane telemetrie wysyłane przez IoT.

Praktyczna konfiguracja: W routerach z OpenWrt lub FreshTomato możesz tworzyć reguły iptables. W routerze TP-Link lub ASUS (stockowy firmware) szukaj opcji „Access Control” lub „Firewall — Outbound Filter”. Zalecany zestaw reguł:

• Zezwól na DNS (port 53 UDP/TCP) do zaufanego DNS (np. własny Pi-hole).
• Zezwól na DHCP (port 67-68 UDP).
• Zezwól na NTP (port 123 UDP) do synchronizacji czasu.
• Zezwól na HTTPS (port 443 TCP) i HTTP (port 80 TCP) — niezbędne do przeglądania stron.
• Dla IoT: zezwól tylko na ruch do twojego własnego serwera VPN i do producenta urządzenia (jeśli konieczne).
• Resztę: DROP.

DMZ dla IoT — wydzielona strefa

Jeśli twój router obsługuje VLAN-y, utwórz osobną podsieć VLAN dla urządzeń IoT. Routery z OpenWrt robią to bez problemu. Urządzenia w VLAN IoT nie mają dostępu do twojego głównego VLAN (komputery, telefony), ale mogą łączyć się z internetem. Dzięki nawet zhakowana żarówka nie ma dostępu do twoich plików na laptopie.

WireGuard i OpenVPN — własny VPN w domu

Korzystanie z gotowych komercyjnych VPN-ów (NordVPN, Surfshark) ma swoje miejsce, ale gdy potrzebujesz bezpiecznego dostępu do domowej sieci z zewnątrz, najlepszym rozwiązaniem jest postawienie własnego serwera VPN. Dwa najpopularniejsze protokoły to WireGuard (nowoczesny, szybszy) i OpenVPN (bardziej kompatybilny, ale wolniejszy).

WireGuard — VPN nowej generacji

WireGuard jest wbudowany w jądro Linuxa od wersji 5.6, co oznacza, że działa niezwykle wydajnie. Składa się z zaledwie kilku tysięcy linii kodu (w porównaniu do setek tysięcy w OpenVPN), co radykalnie zmniejsza powierzchnię ataku. Nie ma skomplikowanej konfiguracji — wszystko opiera się na parze kluczy kryptograficznych.

Jak postawić WireGuard na Raspberry Pi w domu:

1. Zainstaluj: sudo apt install wireguard
2. Wygeneruj parę kluczy: wg genkey | tee privatekey | wg pubkey > publickey
3. Utwórz plik konfiguracyjny /etc/wireguard/wg0.conf z definicją interface’u (prywatny IP, port, klucz prywatny) i peerów (klucze publiczne klientów, dozwolone IP).
4. Włącz forwardowanie IP: net.ipv4.ip_forward=1 w /etc/sysctl.conf.
5. W routerze przekieruj port UDP (np. 51820) na Raspberry Pi.
6. Uruchom: wg-quick up wg0 i dodaj do autostartu.

Na kliencie (telefon, laptop) instalujesz WireGuard, dodajesz konfigurację z wygenerowanym kluczem prywatnym i adresem publicznym serwera. Po połączeniu masz pełny dostęp do domowej sieci, a cały ruch jest szyfrowany.

OpenVPN — gdy potrzebujesz kompatybilności

OpenVPN działa na praktycznie każdym systemie, a wiele routerów ASUS i Synology ma go wbudowanego. Konfiguracja jest bardziej rozbudowana — wymaga certyfikatów TLS (EasyRSA), plików .ovpn na klientach i decyzji, czy używasz tunelu (L3) czy tapu (L2). Zalecam tryb tunel z szyfrowaniem AES-256-GCM. Wydajność jest niższa niż WireGuard, ale OpenVPN lepiej radzi sobie z restrykcyjnymi sieciami (hotel, kawiarnia), gdzie UDP może być blokowany — wtedy przełączasz się na TCP port 443, który wygląda jak ruch HTTPS.

Pi-hole i AdGuard Home — adblocking na poziomie sieci

Reklamy i trackery to nie tylko irytacja — to zagrożenie bezpieczeństwa. Sieci reklamowe są regularnie wykorzystywane do dystrybucji złośliwego oprogramowania (malvertising). Blokowanie ich na poziomie całej sieci, zamiast na każdym urządzeniu z osobna, daje ogromną przewagę.

Pi-hole — jak to działa

Pi-hole to serwer DNS, który filtruje zapytania. Gdy twoja przeglądarka chce załadować reklamę z domeny ads.example.com, wysyła zapytanie DNS. Pi-hole sprawdza tę domenę z listą blokowanych (blocklist). Jeśli domena jest na liście, Pi-hole odpowiada adresem 0.0.0.0 lub NXDOMAIN — przeglądarka myśli, że serwer nie istnieje, i reklama nie zostaje załadowana.

Instalacja w 5 minut: Pobierz obraz na Raspberry Pi Zero W (wystarczy) z oficjalnego repozytorium lub zainstaluj na istniejącym Linuxie: curl -sSL https://install.pi-hole.net | bash. Po instalacji ustaw Pi-hole jako główny DNS w routerze — wtedy każde urządzenie w sieci automatycznie korzysta z filtrowania. Od tego momentu reklamy w aplikacjach na telefonie, na Smart TV, w grach — znikają. Zero konfiguracji na poszczególnych urządzeniach.

Pi-hole oferuje także statystyki: ile zapytań dziennie jest blokowanych, które domeny najczęściej pytają o reklamy, które urządzenia generują najwięcej ruchu DNS. To samo w sobie jest narzędziem monitoringu — nagle widzisz, że „inteligentna” lodówka wysyła zapytania co 30 sekund do serwera w Shenzhen.

AdGuard Home — alternatywa z interfejsem

AdGuard Home to nowocześniejsza alternatywa dla Pi-hole. Ma wbudowany serwer DHCP, szyfrowanie DNS-over-HTTPS (DoH) i DNS-over-TLS (DoT), oraz ładniejszy interfejs webowy. Działa na tym samym sprzęcie. Jeśli dopiero zaczynasz, polecam właśnie AdGuard Home — instalacja przez Docker to jedna komenda: docker run --name adguardhome -p 53:53/tcp -p 53:53/udp -p 784:784/udp -p 3000:3000/tcp adguard/adguardhome.

Monitorowanie sieci — wykryj intruza, zanim będzie za późno

Firewall i VPN to obrona pasywna. Monitoring to obrona aktywna — pozwala wykryć, że ktoś jest już w twojej sieci, lub że dzieje się coś podejrzanego. W domu nie potrzebujesz od razu pełnego stacka SIEM klasy enterprise — wystarczą proste, ale skuteczne narzędzia.

Nagios i Zabbix — monitoring pełną gębą

Nagios Core i Zabbix to narzędzia klasy enterprise, które w domu możesz postawić na tym samym Raspberry Pi. Monitorują dostępność urządzeń (ping), obciążenie CPU, pamięć, temperaturę. Zabbix ma lepszy interfejs i automatyczne wykrywanie urządzeń w sieci — po zainstalowaniu agenta na serwerze zobaczy ci dashboard z listą wszystkich podłączonych urządzeń. Jeśli nagle pojawi się nowe urządzenie MAC spoza listy — dostajesz alert.

Nagios jest lżejszy, ale konfiguracja opiera się na plikach tekstowych. Jeśli masz 5-10 urządzeń w domu, postawienie Zabbixa na Dockerze (docker compose z obrazem zabbix/zabbix-server-mysql) zajmuje 20 minut i daje solidny wgląd w stan sieci.

Prostsze rozwiązania — dla każdego

Nie musisz od razu stawiać Zabbixa. Oto trzy prostsze narzędzia, które dają 80% wartości przy 20% nakładu pracy:

• Fing (aplikacja na telefon): Skanuje sieć, pokazuje wszystkie podłączone urządzenia z nazwą producenta (na podstawie MAC). Idealne do szybkiego sprawdzenia, czy ktoś nie podłączył się do twojego WiFi.
• ntopng: Narzędzie do analizy ruchu sieciowego w czasie rzeczywistym. Pokazuje, które urządzenia generują najwięcej ruchu, do jakich krajów wysyłane są pakiety, jakie protokoły są używane. Uruchomisz przez Docker: docker run -d --net=host ntop/ntopng.
• Wireshark / tcpdump: Analityczne narzędzia do przechwytywania pakietów. Gdy podejrzewasz, że coś jest nie tak, uruchamiasz tcpdump na interfejsie i analizujesz logi. W domu wystarczy chwilowy capture na routerze z OpenWrt.

Analiza logów i alerty

Sercem monitoringu są logi. Router z OpenWrt loguje wszystkie próby połączeń odrzucone przez firewall. Pi-hole loguje każde zapytanie DNS. Możesz to scalić w jedną usługę: rsyslog zbierający logi z kilku urządzeń. W praktyce:

1. Skonfiguruj router, by wysyłał logi syslog do Raspberry Pi.
2. Na Raspberry Pi postaw Graylog (lub prostszy Loki + Promtail).
3. Ustaw alerty: „Jeśli w ciągu 5 minut pojawi się 10+ prób połączenia SSH z zewnątrz → wyślij powiadomienie na telefon przez Pushover lub Telegram”.
4. Regularnie przeglądaj logi Pi-hole pod kątem nagłych skoków zapytań DNS do nowych domen — to częsty symptom infekcji malware.

Przykłady praktyczne

Przykład 1: Intruz w sieci WiFi. Wracasz z pracy, a twój Fing pokazuje nowe urządzenie „Xiaomi Device” w sieci. Nie masz żadnego Xiaomi. Sprawdzasz adres IP w logach firewalla — urządzenie próbowało łączyć się z serwerami w Rosji. Blokujesz je natychmiast w panelu routera przez Access Control (blokada MAC i IP) i zmieniasz hasło WiFi. Gdybyś nie miał monitoringu, mógłbyś nie zauważyć intruza przez tygodnie.

Przykład 2: Praca zdalna przez WireGuard. Pracujesz w kawiarni w Warszawie. Publiczne WiFi jest podejrzane. Łączysz się przez WireGuard ze swoim domowym Raspberry Pi. Cały ruch z twojego laptopa przechodzi przez tunel — szyfrowany od laptopa do twojego domu, a dopiero stamtąd do internetu. Nawet jeśli w kawiarni ktoś nasłuchuje, widzi tylko zaszyfrowane pakiety WireGuard. Dodatkowo masz dostęp do domowego NAS-a i drukarki.

Przykład 3: Pi-hole w polskiej sieci. Twoje dziecko gra na telefonie w darmową grę pełną reklam. Pi-hole blokuje nie tylko domeny reklamowe (doubleclick.net, googleadservices.com), ale też trackery analityczne (facebook.com/tr, app.adjust.com). Zużycie danych spada o 30%, a gra przestaje wysyłać dane o lokalizacji i zachowaniu gracza do zewnętrznych serwerów. Sprawdzasz statystyki Pi-hole i widzisz, że 18% zapytań DNS w sieci było blokowanych.

Podsumowanie

• Firewall to podstawa – zacznij od domyślnego blokowania ruchu przychodzącego i wychodzącego, a następnie dodawaj reguły dla niezbędnych usług.
• WireGuard to obecnie najlepszy wybór dla własnego VPN w domu – prosty, szybki i bezpieczny. Raspberry Pi za 150 zł wystarczy za serwer.
• Pi-hole lub AdGuard Home blokują reklamy i trackery na poziomie całej sieci – to nie tylko wygoda, ale realne zwiększenie bezpieczeństwa przez eliminację malvertisement.
• Monitoring sieci nie wymaga enterprise narzędzi – Fing, ntopng i analiza logów syslog dają 80% potrzebnej widoczności.
• Połącz te trzy elementy w system: firewall odcina niechciany ruch, VPN umożliwia bezpieczny dostęp zdalny, a monitoring informuje, gdy coś jest nie tak.

Ćwiczenia

1. Skonfiguruj własny serwer WireGuard: Na Raspberry Pi (lub dowolnym Linuxie w domu) zainstaluj WireGuard, wygeneruj klucze i skonfiguruj połączenie ze swojego telefonu. Przetestuj, czy po włączeniu VPN widzisz zasoby w domowej sieci (np. panel routera pod adresem 192.168.1.1). Zmierz różnicę w szybkości łącza z VPN i bez.
2. Przeprowadź audyt reguł firewalla: Zaloguj się do panelu routera. Zrób zrzut ekranu wszystkich reguł Port Forwarding i Access Control. Dla każdej reguły zapisz: „do czego służy”, „czy jest nadal potrzebna”. Usuń niepotrzebne. Następnie przez tydzień analizuj log firewalla – zidentyfikuj co najmniej 3 nietypowe próby połączeń z zewnątrz.