Trasformare un Mini PC in router e firewall con OPNsense

Il router del tuo operatore fa il minimo sindacale: NAT, un firewall giocattolo, e basta. Se vuoi VLAN separate per gli IoT, un controllo vero del traffico o smettere di fidarti del firmware chiuso che il provider aggiorna quando gli pare, un Mini PC con OPNsense o pfSense ti da il controllo di un router professionale a un costo energetico ridicolo. Non stiamo parlando di un progetto per pochi smanettoni: è più semplice di quanto sembri, a patto di partire dall’hardware giusto.

Il dettaglio che conta: quante porte e di che marca

Ti servono almeno due porte Ethernet fisiche: una per il WAN, verso il modem, una per il LAN, verso la rete di casa. Senza due NIC non hai un firewall vero, hai un PC con un cavo attaccato.

Per questo uso non stai comprando un Mini PC generico e sperando che vada bene. Esiste una fascia di prodotto dedicata: i Mini PC firewall, con marchi come CWWK, MOGINSOK, Protectli, Topton. Sono scatole pensate da zero per fare da router: niente GPU, niente RAM esagerata, tutto il budget concentrato sulle porte di rete. I modelli entry montano 4 porte da 2,5GbE con un Intel N100, quelli più spinti arrivano a 6 porte o aggiungono uscite 10GbE SFP+ con CPU N305 o Core i3/i5, pensati per chi ha già una rete casalinga oltre il gigabit. Questi modelli restano una nicchia rispetto ai Mini PC generalisti che trattiamo di solito sul sito: si trovano più facilmente cercando direttamente il nome del marchio piuttosto che tramite le categorie standard dei marketplace generalisti.

Il motivo per cui questi modelli funzionano meglio di un Mini PC da ufficio riadattato è il controller di rete: montano quasi sempre Intel i225-V o i226-V di serie, i chip che la community OPNsense/pfSense consiglia senza esitazione perché hanno driver maturi e stabili su FreeBSD, il sistema operativo su cui girano entrambi i firewall. I Mini PC da ufficio economici, invece, montano quasi sempre schede Realtek, che su base BSD hanno avuto per anni problemi di stabilità dei driver: firewall che si pianta sotto carico, pacchetti persi nei momenti peggiori. Su un Mini PC firewall dedicato questo problema non esiste, perché il produttore ha già scelto lui il controller giusto.

Come verificarlo se stai valutando un modello specifico: cerca nella scheda tecnica il modello esatto del controller di rete, non fermarti a “Gigabit LAN” generico scritto nell’annuncio. Se il venditore non lo specifica, è quasi sempre un brutto segno. Se hai già un Mini PC e vuoi solo controllare cosa monta, da terminale Linux basta lspci | grep -i ethernet, che ti mostra il controller esatto in due secondi.

Hai già un Mini PC con una sola porta? C’è un’alternativa

Se non vuoi comprare hardware nuovo, puoi usare le VLAN: con uno switch gestito che supporta il tagging VLAN, una singola porta fisica può portare più reti logiche separate, per esempio rete principale, rete IoT isolata, rete ospiti. Non è la stessa cosa di due porte fisiche separate per WAN e LAN: il collegamento verso il modem ha comunque bisogno di un’interfaccia sua nella maggior parte dei casi domestici. Ma se parti da zero e vuoi solo segmentare la rete di casa senza spendere altro, è una strada valida, e un buon modo per capire se il progetto ti piace prima di investire in hardware dedicato.

Quanta potenza ti serve

Qui la notizia è buona: non serve molto. Un Intel N100 gestisce 1 Gbps di NAT usando meno del 10% della CPU, quindi se la tua fibra è sotto quella soglia sei ampiamente coperto anche con hardware economico e a basso consumo. Le cose cambiano se punti oltre i 2,5 Gbps o se attivi funzioni pesanti come l’IDS/IPS con Suricata, che analizza ogni pacchetto contro migliaia di regole di sicurezza: lì servono almeno 6 core per non strozzare il traffico durante l’analisi. Per il WireGuard VPN bastano 1-2 core anche a 1 Gbps di throughput, mentre OpenVPN senza accelerazione hardware ne vuole 3-4 per lo stesso carico, differenza da tenere a mente se pensi di usare la VPN spesso.

RAM e storage

4GB di RAM sono il minimo pratico per un firewall di base. 8GB ti danno margine reale se vuoi installare plugin aggiuntivi o attivare l’IDS. Per lo storage, SSD sempre, mai HDD: OPNsense scrive log e tabelle di stato in continuazione, un SSD regge quel carico di scritture senza problemi di usura nel tempo, un HDD ti rallenta l’avvio e basta senza portare nessun vantaggio. 16GB di SSD sono il minimo funzionale, 32GB ti tolgono ogni pensiero per anni. I modelli firewall dedicati montano quasi sempre SSD NVMe già di serie, quindi su questo fronte in genere non devi nemmeno pensarci.

OPNsense o pfSense: quale scegliere

Girano sulla stessa base FreeBSD e hanno requisiti hardware praticamente identici, quindi la scelta tra i due non è tecnica, è filosofica.

OPNsense è un fork completamente open source, con ciclo di rilascio più frequente e una community molto attiva sullo sviluppo dei plugin. pfSense ha una Community Edition gratuita, ma l’azienda che lo sviluppa, Netgate, spinge parallelamente una versione Plus a pagamento pensata per il mondo business, e negli ultimi anni buona parte delle nuove funzionalità è finita lì. Per un uso domestico consiglio OPNsense senza troppi dubbi: sviluppo attivo, community solida, nessun rischio di trovarti in futuro funzionalità utili spinte dietro un abbonamento.

Come si installa, in breve

Scarichi l’immagine ufficiale dal sito di OPNsense, la scrivi su una chiavetta USB con uno strumento come Ventoy o BalenaEtcher, avvii il Mini PC da quella chiavetta e segui l’installer testuale, più semplice di quanto sembri. Alla prima accensione post-installazione, OPNsense ti mostra un menu da console dove assegni manualmente quale porta fisica fa da WAN e quale da LAN: è il passaggio più delicato di tutto il processo, sbagliarlo qui significa non riuscire a raggiungere internet o l’interfaccia di gestione. Fatto questo, ti colleghi con un browser all’IP della LAN (di solito 192.168.1.1) e configuri tutto il resto (regole del firewall, DHCP, eventuali VLAN) tramite un’interfaccia grafica pulita, senza toccare la riga di comando per l’uso quotidiano.

Il consumo energetico

Un setup di questo tipo si assesta tipicamente tra gli 8 e i 12 watt in condizioni normali, cifra che rende sensato tenerlo acceso 24 ore su 24, tutti i giorni dell’anno. Questo dato varia con l’hardware specifico e la tariffa elettrica di casa tua, quindi prendilo come riferimento indicativo da riverificare con il tuo contatore, non come costo esatto garantito.

Come si collega al resto di quello che avete già in casa

Se hai già seguito le nostre guide per trasformare un Mini PC in server domestico, questo progetto si aggancia perfettamente al quadro che stai costruendo. 👉 Leggi qui: NAS fai da te: la guida completa. Con le VLAN puoi isolare la rete dei dispositivi smart gestiti da 👉 Leggi qui: Home Assistant su Mini PC: la guida completa, tenendola separata dalla rete principale dove giri 👉 Leggi qui: Jellyfin: il media center sul tuo Mini PC.

Vale la pena farlo

Se hai già un minimo di dimestichezza con Linux e con le reti di casa, sì, senza dubbio, e il salto di controllo rispetto al router del provider è enorme. Se sei alle prime armi con questo mondo, parti dalle VLAN su hardware che hai già prima di comprare un Mini PC dedicato: capisci se il progetto ti piace davvero senza aver anticipato soldi su hardware specifico.

IncastroPC partecipa al Programma Affiliazione Amazon EU. Prezzi e disponibilità soggetti a variazione.