بررسی Zema Board 2: ساخت یک آزمایشگاه خانگی قدرتمند و دستگاه فایروال

Zema Board 2 به عنوان یک دستگاه توانمند و جمع‌وجور معرفی شده است که ارتقاهای قابل توجهی نسبت به مدل قبلی خود در قدرت پردازش، سرعت RAM و قابلیت‌های شبکه‌سازی ارائه می‌دهد. این دستگاه به عنوان یک پایه عالی برای یک آزمایشگاه خانگی جامع عمل می‌کند و به خوبی از مجازی‌سازی، قابلیت‌های پیشرفته فایروال و کانتینرسازی پشتیبانی می‌کند.

خلاصه نکات کلیدی

• مقدمه و برداشت‌های اولیه از Zema Board 2

  Zema Board 2 با بسته‌بندی محکم، شامل یک هدبند محافظ و پیامی که بر کنترل مستقل داده‌ها و پیشگامی دیجیتال تاکید دارد، عرضه می‌شود. خود دستگاه به دلیل طراحی محکم، آینده‌نگر و نقره‌ای‌اش، که نشان‌دهنده ساختار قوی و زیبایی‌شناسی مدرن است، به عنوان یک گزینه قوی برای فایروال در نظر گرفته می‌شود.

• مقایسه با Zema Board 1

  Zema Board 2 همان فرم فاکتور جمع‌وجور مدل قبلی خود را حفظ کرده است، اما طراحی آینده‌نگرانه‌تر و معاصر‌تری دارد که با زیبایی‌شناسی رترو-فوتوریستیک Zema Board 1 در تضاد است. Zema Board 2 به دلیل بدنه فلزی سنگین‌تر است و انتخاب پورت‌های ارتقا یافته‌ای شامل یک اسلات PCIe، دو پورت SATA، دو پورت USB، یک پورت نمایشگر و دو پورت اترنت را ارائه می‌دهد.

• مشخصات Zema Board 2

  Zema Board 2 از یک پردازنده چهار هسته‌ای Intel N150 با سرعت تا 3.6 گیگاهرتز بهره می‌برد که نشان‌دهنده یک ارتقاء عملکرد قابل توجه است. این دستگاه دارای 8 گیگابایت RAM LPDDR5X با سرعت 4800 مگاهرتز است که عملاً سرعت مدل قبلی را دو برابر می‌کند و مدل 16 گیگابایتی نیز موجود است. شبکه‌سازی با دو پورت اترنت 2.5 گیگابیت با استفاده از تراشه‌های Intel تقویت شده است، که پیشرفت چشمگیری نسبت به پورت‌های 1 گیگابیت Realtek قبلی است. اسلات PCIe از 2.0 به 3.0 و پورت‌های USB از 3.0 به 3.1 ارتقا یافته‌اند. فرکانس گرافیکی به 1 گیگاهرتز افزایش می‌یابد و دستگاه از راه‌حل‌های خنک‌کننده بدون فن و فعال پشتیبانی می‌کند.

• قیمت‌گذاری و بسته‌ها

  قیمت اولیه (early bird) برای مدل پایه Zema Board 2، که دارای NICهای 2.5 گیگابیتی و یک پردازنده پیشرفته است، آن را به عنوان یک دستگاه ممتاز قرار می‌دهد. یک پیشنهاد ویژه Kickstarter تخفیف جزئی برای خریداران اولیه ارائه می‌دهد و نسخه 16 گیگابایتی RAM نیز موجود است. بسته‌های اضافی شامل یک آداپتور PCIe NVMe با یک قفسه HDD دو محفظه‌ای، یک کیت خانه هوشمند (شامل یک ایستگاه داک GPU و یک آداپتور USB Wi-Fi 6 با قیمت 400 دلار)، و یک کیت جامع Master با قیمت 769 دلار، که احتمالاً شامل دو واحد است.

• ارتقاءهای عملکردی دقیق

  پردازنده Intel N150 عملکردی 40 تا 70 درصد سریع‌تر نسبت به مدل قبلی خود، N3450، ارائه می‌دهد که به معماری هسته‌ای جدید Grace Mont آن نسبت داده می‌شود و 35 تا 45 درصد Instructions Per Cycle (IPC) بهتری دارد. RAM LPDDR5X با دو برابر سرعت کار می‌کند و عملکرد حافظه را به طور قابل توجهی افزایش می‌دهد. ادغام تراشه‌های اترنت Intel قابلیت hardware offloading را فعال می‌کند، که یک ویژگی حیاتی برای برنامه‌های فایروال با کارایی بالا است.

• راه‌اندازی اولیه Proxmox

  معماری X86 Zema Board 2 یک مزیت کلیدی است که نصب آسان Proxmox را تسهیل می‌کند، برخلاف کامپیوترهای تک‌بردی مبتنی بر ARM. این دستگاه از پشتیبانی کامل مجازی‌سازی (VT-x و VT-d) برخوردار است، که آن را به یک پلتفرم ایده‌آل برای میزبانی یک آزمایشگاه خانگی قدرتمند با چندین ماشین مجازی و کانتینر تبدیل می‌کند.

• برنامه عملیاتی آزمایشگاه خانگی

  برنامه استراتژیک شامل نصب Proxmox به عنوان یک hypervisor نوع 1 است. این تنظیمات میزبان دو ماشین مجازی اصلی خواهد بود: pfSense، که به عنوان یک فایروال قدرتمند با ویژگی‌های پیشرفته مانند سیستم‌های تشخیص/جلوگیری از نفوذ (IDS/IPS) و بازرسی عمیق بسته‌ها پیکربندی شده است، و یک Ubuntu VM که به عنوان یک ماشین آزمایشگاهی چندکاره در نظر گرفته شده است. علاوه بر این، LXC (کانتینرهای لینوکس)، ویژگی‌ای که مستقیماً در Proxmox ادغام شده است، برای اجرای خدمات مختلف دیگر با حداقل سربار استفاده خواهد شد.

• پیکربندی و عیب‌یابی Proxmox

  راه‌اندازی Proxmox نیاز به دسترسی به BIOS با فشردن کلید Escape داشت تا اطمینان حاصل شود که تنظیمات مجازی‌سازی فعال هستند، و سپس بوت از یک درایو USB حاوی ISO Proxmox انجام شد. دسترسی به رابط کاربری گرافیکی وب Proxmox شامل پیکربندی یک آدرس IP استاتیک بر روی لپ‌تاپ متصل بود که مدیریت از راه دور دستگاه را تسهیل می‌کرد.

• راه‌اندازی ماشین مجازی pfSense

  ISO pfSense دانلود شد، فرایندی که نیاز به ثبت‌نام حساب کاربری داشت. سپس یک ماشین مجازی برای pfSense ایجاد شد که 50 گیگابایت فضای ذخیره‌سازی، دو هسته CPU و 3 گیگابایت RAM به آن اختصاص یافت. هدف اولیه استفاده از PCI passthrough برای اختصاص مستقیم هر دو رابط شبکه 2.5 گیگابیتی به pfSense VM برای عملکرد بهینه بود.

• چالش‌ها و راه‌حل‌های PCI Passthrough

  تلاش برای عبور مستقیم هر دو رابط شبکه به pfSense به طور ناخواسته باعث شد Proxmox دسترسی به شبکه را از دست بدهد. راه‌حل فوری شامل حذف pfSense VM و استفاده موقت از یک کارت اترنت PCIe خارجی برای بازگرداندن مدیریت Proxmox بود. متعاقباً، یک Linux Bridge مجازی برای شبکه مدیریت Proxmox برنامه‌ریزی شد. شناسایی پورت‌های اترنت خاص در پیکربندی Proxmox، که فاقد نشانه‌های واضح بود، با استفاده از ابزارهای خاص خط فرمان حل شد.

• پیکربندی WAN/LAN pfSense و عیب‌یابی

  پس از مشکلات اولیه اتصال شبکه در پورت WAN، که پس از راه‌اندازی مجدد سیستم حل شد، pfSense با موفقیت نصب گردید. پورت WAN برای دریافت آدرس IP از طریق DHCP پیکربندی شد و یک پورت LAN برای شبکه محلی تنظیم شد.

• ادغام Snort IDS/IPS

  Snort، یک سیستم تشخیص و جلوگیری از نفوذ (Intrusion Detection and Prevention System)، در pfSense نصب و پیکربندی شد. تمام قوانین موجود برای ایجاد حداکثر سربار جهت تست عملکرد فعال شدند و از یک حساب رایگان Snort برای دریافت مجموعه قوانین به‌روز استفاده گردید. سپس Snort بر روی هر دو رابط شبکه فعال شد.

• راه‌اندازی شبکه مدیریت Proxmox بدون کارت خارجی

  برای حذف نیاز به کارت PCIe خارجی، یک Linux Bridge (VBR7) در Proxmox ایجاد شد و یک آدرس IP اختصاصی (10.64.0.10) به آن اختصاص یافت. یک رابط در pfSense VM با یک IP در همین شبکه (10.64.0.1) پیکربندی شد، که عملاً pfSense را دروازه پیش‌فرض (default gateway) برای Proxmox قرار داد. این تنظیمات 'شبیه به تلقین' دسترسی مدیریت Proxmox را از طریق pfSense بازیابی کرد.

• ایجاد ماشین مجازی Ubuntu

  یک ماشین مجازی Ubuntu، به همراه رابط کاربری گرافیکی، با دو هسته CPU و سه گیگابایت RAM پیکربندی شد. این VM به شبکه جدید pfSense اختصاص یافت، که تمام نیازهای مسیریابی آن را بر عهده دارد. سپس DHCP بر روی این شبکه در pfSense فعال شد تا آدرس‌های IP را به طور خودکار به کلاینت‌های متصل مانند Ubuntu VM اختصاص دهد.

• راه‌اندازی LXC Container و نصب Pi-hole

  کانتینرهای LXC به عنوان جایگزینی کم‌سربار برای Docker بررسی شدند. یک الگوی Rocky Linux برای یک کانتینر 'my little buddy' دانلود شد. به دلیل مشکلات ناسازگاری Pi-hole با Rocky Linux، سپس یک کانتینر Ubuntu ایجاد و 'Pi-hole' نامگذاری شد. Pi-hole، یک سرور DNS برای مسدود کردن تبلیغات، با موفقیت بر روی این کانتینر Ubuntu نصب و پیکربندی شد، و pfSense برای استفاده از آن به عنوان سرور DNS اصلی به‌روزرسانی شد.

• تست پهنای باند بدون IDS/IPS

  تست‌های اولیه پهنای باند iPerf بین Ubuntu VM و یک لپ‌تاپ که از طریق یک سوئیچ Gigabit غیرمدیریت‌شده متصل بود، تقریباً 100 مگابیت بر ثانیه را نشان داد که نشانگر گلوگاه بودن سوئیچ بود. هنگامی که لپ‌تاپ، دارای پورت 2.5 گیگابیتی، مستقیماً به پورت LAN Zema Board 2 متصل شد، پهنای باند به 1.09 گیگابیت بر ثانیه افزایش یافت، به طور شگفت‌انگیزی با استفاده کمتر از CPU در Zema Board 2.

• تست پهنای باند با فعال بودن IDS/IPS

  با فعال بودن Snort IDS/IPS بر روی هر دو رابط pfSense، پهنای باند همچنان در طول تست iPerf به بیش از 1 گیگابیت بر ثانیه رسید. با این حال، استفاده از CPU به طور قابل توجهی افزایش یافت و اغلب از 100% فراتر رفت، که نشان‌دهنده سربار قابل توجه ناشی از بازرسی عمیق بسته‌ها است. علیرغم بار زیاد CPU، Zema Board 2 پهنای باند چشمگیری را برای اندازه و قابلیت‌های خود حفظ کرد.

• حریم خصوصی داده‌های شخصی و حمایت Incogni

  تجربه نقض داده‌های شخصی، مشکل گسترده دلالان داده (data brokers) را در جمع‌آوری و فروش اطلاعات شخصی، و همچنین تکنیک‌های پیشرفته‌ای مانند OSINT و AI که توسط هکرها استفاده می‌شود، برجسته می‌کند. Incogni، حامی مالی ویدیو، خدماتی را برای درخواست و مدیریت خودکار حذف داده‌های شخصی از وب‌سایت‌های دلالان داده ارائه می‌دهد که راه‌حلی برای محافظت از هویت و صرفه‌جویی در زمان قابل توجهی فراهم می‌کند.

• جمع‌بندی کلی و محدودیت‌ها

  Zema Board 2 به دلیل توانایی‌اش در اجرای یک محیط کامل آزمایشگاه خانگی، از جمله Proxmox، pfSense با IDS/IPS، چندین VM و کانتینر، همگی در یک فرم فاکتور قابل حمل، بسیار مورد تحسین قرار گرفته است. محدودیت اصلی آن 8 گیگابایت RAM ثابت در مدل پایه است که می‌تواند برای مجازی‌سازی گسترده یک گلوگاه باشد؛ مدل 16 گیگابایتی RAM برای تنظیمات پرتقاضاتر توصیه می‌شود.

• موارد استفاده بالقوه

  Zema Board 2 به شدت برای استفاده به عنوان یک دستگاه اصلی آزمایشگاه خانگی، یک آزمایشگاه مسافرتی قابل حمل، یا برای ایجاد یک شبکه ایزوله و air-gapped مناسب است. می‌تواند یک کنترلر UniFi را در یک کانتینر میزبانی کند، که امکان اتصال یک نقطه دسترسی (access point) را برای ایجاد یک شبکه Wi-Fi اختصاصی جدا از زیرساخت موجود فراهم می‌آورد.

زیر جزئیات