Pular para conteúdo

Configuração OPNsense com a Partição Criptografada para Proxy Web e Auditoria

Objetivo: Adequação de infraestrutura de Firewall/Proxy aos requisitos do Artigo 12 do Provimento 213/2026 do CNJ, garantindo a criptografia de dados sensíveis (trilhas de auditoria) sem comprometer a alta disponibilidade (RTO) do equipamento em casos de reinicialização não assistida.

Arquitetura: * Disco 1 (SSD Primário): Sistema Operacional OPNsense em texto plano (garante o boot automático e subida da rede). * Disco 2 (SSD Secundário): Volume criptografado via geli destinado exclusivamente para logs de proxy, cache e auditoria.

🛠️ Pré-requisitos

  1. Equipamento com 2 discos SSD.
  2. Instalação padrão do OPNsense concluída no Disco 1 (SSD primário).

Passo 1: Criptografia do Disco Secundário

1.1 Identificar o Disco Secundário

Listar os discos para confirmar a nomenclatura do SSD secundário (geralmente ada1 para SATA ou nvd1 para NVMe):

camcontrol devlist
# ou
geom disk list
````

### 1.2 Inicializar a Criptografia (GELI)

Crie a estrutura de criptografia. O parâmetro `-s 4096` alinha os setores para melhor performance em SSDs.

geli init -s 4096 /dev/ada1


_Será solicitada a criação de uma senha mestra que será necessária a cada reboot do firewall._

### 1.3 Desbloquear e Anexar o Disco

Utilize a senha recém-criada para desbloquear o volume. Isso criará o dispositivo mapeado `/dev/ada1.eli`.

geli attach /dev/ada1


### 1.4 Formatar o Volume Criptografado

Formate o disco desbloqueado usando o sistema de arquivos UFS (altamente estável no FreeBSD).

newfs -U /dev/ada1.eli


### 1.5 Criar o Ponto de Montagem e Estrutura de Diretórios

Crie o diretório para os dados de auditoria e monte o disco.

mkdir -p /mnt/auditoria mount /dev/ada1.eli /mnt/auditoria


Crie os subdiretórios específicos para o Caddy (Proxy Web):

mkdir -p /mnt/auditoria/caddy_logs mkdir -p /mnt/auditoria/Caddy_cache


## Passo 2: Configuração do Caddy no OPNsense

Instalar o plugin os-caddy Acesse Services > Caddy Web Server > Configuration.

Global Settings: Habilite o serviço. Em Log Level, selecione INFO.

HTTP Server (Reverse Proxy/Forward Proxy): Crie uma nova regra de servidor.

Autenticação: Usar Basic Auth com credenciais cadastradas no plugin enquanto o controlador de dominio não esta pronto. Quando o AD estiver pronto, configurar o Forward Auth para integração. Logs: No campo de configuração de logs, insira o caminho: /mnt/auditoria/caddy_logs/access.json.

## Passo 3: Pós-Reboot

Após qualquer reinicialização física ou queda de energia, a rede do cartório subirá automaticamente, mas o proxy web apresentará falha (pois o disco de log estará trancado).

**Para restabelecer a auditoria e o proxy após um reboot, execute via SSH:**

1. Desbloqueie o disco (inserir a Passphrase do cofre):

geli attach /dev/ada1


2. Monte a partição:

mount /dev/ada1.eli /mnt/auditoria ```

  1. Reinicie o serviço do Caddy para ele reconhecer os diretórios: