Install Opnsense 2.7 on Zotac mini pc - zbox-mi547nano

Install Opnsense 2.7 on Zotac mini pc - zbox-mi547nano

OPNsense on the Lenovo V530s (Machine Type 11B) with the Intel i210-T1 NIC

以下是 Lenovo V530s（Machine Type 11B）安裝 Intel i210-T1 並運行 OPNsense 的配置要點，請照此佈線與設定介面。

Here is the setup guide for running OPNsense on the Lenovo V530s (Machine Type 11B) with the Intel i210-T1 NIC. Please follow the cabling and interface assignment below.

1. 硬體前置作業 / Hardware Prerequisite

• Intel i210-T1 必須更換為 Low-Profile（矮擋板）Bracket。
  The V530s uses a low-profile PCIe slot, so the i210-T1 (which ships with a full-height bracket) must be swapped to a low-profile bracket before installation, otherwise it will not fit the chassis.
• 主機板內建網路埠：Realtek RTL8111（建議作為 LAN 局域網 端）。
  Onboard port: Realtek RTL8111 (recommended as the LAN side).
• Intel i210-T1 網路埠：穩定度極高，強烈建議作為 WAN 網際網路 端，直接連線至你的數據機 / Modem。
  Intel i210-T1: extremely stable, strongly recommended as the WAN side, connected directly to your modem.

2. OPNsense 介面對應 / Interface Mapping



OPNsense 設備名	實體網卡	建議角色	連接對象
igb0	Intel i210-T1	WAN	Modem / 數據機
re0	Realtek RTL8111 (onboard)	LAN	內部交換機 / 設備

3. 安裝與指派步驟 / Setup Steps

1. 關機斷電，將 i210-T1（已裝矮擋板）插入 V530s 的 PCIe 槽。
   Power off, install the i210-T1 (with low-profile bracket) into the PCIe slot.
2. 佈線：Modem → i210-T1 埠（WAN）；內網交換機/PC → 主機板 RJ45（LAN）。
   Cabling: Modem → i210-T1 port (WAN); LAN switch/PC → onboard RJ45 (LAN).
3. 開機進 OPNsense 初始設定，依提示指派介面：
   On first boot, when prompted to assign interfaces:
• 輸入 igb0 作為 WAN
• 輸入 re0 作為 LAN
4. 若 re0（Realtek）出現斷流/不穩，建議在 OPNsense 安裝官方 Realtek 驅動插件 os-realtek-re，提升 RTL8111 穩定度。
   If re0 is unstable, install the os-realtek-re plugin for better RTL8111 support.

OPNsense on the Lenovo V530s (Machine Type 11B) with the Intel i210-T1 NIC

Omada ER605 v2

Simple speed test on Omada ER605 v2 (TP-Link ER605 v2) - 1 Gbps broadband.  

Omada ER605 v2

Install Sysmon with SwiftOnSecurity

# Download Sysmon

 

Invoke-WebRequest -Uri https://live.sysinternals.com/Sysmon64.exe -OutFile "C:\tools\Sysmon64.exe"

 

# Use SwiftOnSecurity community configuration file to install

 

Invoke-WebRequest -Uri https://raw.githubusercontent.com/SwiftOnSecurity/sysmon-config/master/sysmonconfig-export.xml -OutFile "C:\tools\sysmonconfig.xml"

 

# Install sysmon by apply those configuration (Required administrator right)

 

C:\tools\Sysmon64.exe -accepteula -i "C:\tools\sysmonconfig.xml"

 

 

 

Install Sysmon with SwiftOnSecurity

ASUS Ascent GX10 — USB 開機重灌指南

 NVIDIA DGX OS 7.4.0-3 安裝流程

前置準備

• USB 隨身碟：至少 16 GB
• 有線 USB 鍵盤：直接插 GX10 後方 USB 孔（開機階段禁用藍牙/無線接收器）
• DGX OS ISO：從 ASUS 官方下載頁 (https://www.asus.com/hk/networking-iot-servers/desktop-ai-supercomputer/ultra-small-ai-supercomputers/asus-ascent-gx10/helpdesk_download?model2Name=ASUS-Ascent-GX10) 下載 NVIDIA DGX OS for ASUS Ascent GX10 7.4.0-3（約 9.27 GB）
• SHA-256 校驗：E9A8AF7379F258A5781EC5E735A30784DFCB2913FE6417DBFC8E438A86CBEB5D

 

Step 1：製作可開機 USB

標準的直接複製檔案或基本 Rufus 設定，往往會破壞 NVIDIA DGX Spark 架構所需的 EFI 分區配置。請嚴格按照以下設定操作：

1. 打開 Rufus（Windows）
2. 裝置：選擇目標 USB 隨身碟
3. 開機選項：點「選取」→ 載入 DGX OS .iso 檔案
4. 關鍵設定：
• 分割配置類型：GPT
• 目標系統：UEFI（非 CS M）
• 檔案系統：FAT32
5. 點擊 開始 → ISO 映像模式寫入（非 DD 模式）

 

Step 2：清除並調整 UEFI/BIOS 設定

GX10 會在系統金鑰或 Secure Boot 配置處於無效狀態時，封鎖恢復媒體。必須重置這些設定：

2a. 重置 UEFI 預設值

1. 開機 → 反覆按 [Del] 進入 BIOS
2. 導航至 Save & Exit 頁籤
3. 選擇 Restore Defaults（Load Optimized Defaults）→ 確認

2b. 修復 Secure Boot 金鑰

1. 進入 Security → Secure Boot
2. 將 Secure Boot 改為 Custom
3. 選擇 Restore Factory Keys → 確認
4. 將 Secure Boot 改回 Enabled / Standard
5. 按 [F4] 儲存變更並重啟

 

Step 3：使用 Boot Override 啟動安裝程式

GX10 預設優先載入內部 NVMe 儲存，如果先前發生過開機錯誤，標準的開機優先順序設定會被忽略。必須使用 Boot Override：

1. 保持 USB 已插入 → 重啟時反覆按 [Del] 進入 BIOS
2. 直接導航至 Save & Exit 頁籤
3. 向下捲動至 Boot Override 區塊
4. 選擇標示為 UEFI: USB... Partition 1 的項目 → 按 Enter
5. GRUB 選單載入後：
• 選 DGX Spark Installation Options
• 選 Install DGX OS 7.4.0 for DGX Spark
6. 等待安裝完成

ASUS Ascent GX10 — USB 開機重灌指南

Fortinet Fortigate Firewall - SSL Inspection - Certificate Inspection and Deep (Full) Inspection

 

Fortinet Fortigate Firewall - SSL Inspection - Certificate Inspection and Deep (Full) Inspection

oCam suddenly required administrator right to open under normal user right account

 Solution:

1. Go to %AppData%\bxview under normal user right account, rename the folder "bxview".

2. Change normal user right account from "Users" group to "Administrators" group. Reboot the machine.

3. Logout the normal user right account, login again and open the oCam app.

4. It should able to open the app.

5. Change the normal user right account from "Administrators" group back to "Users". Reboot the machine.

6. Open the oCam app again. It should back to normal.

oCam suddenly required administrator right to open under normal user right account

Unable to establish secure connection to Zoom

Reason:

Windows System Time incorrect

Solution:

Enable auto time sync or manual set the correct system time.

Unable to establish secure connection to Zoom

Enable Windows Firewall logging for drop connection and enable audit log for RDP failed

 PS C:\WINDOWS\system32> Set-NetFirewallProfile -All -LogBlocked True -LogMaxSizeKilobytes 20480

>> # Enable logging for blocked (dropped) packets across all profiles

PS C:\WINDOWS\system32> auditpol /set /subcategory:"Logon" /success:enable /failure:enable

>> # Enable auditing for both successful and failed logon attempts

The command was successfully executed.

Check firewall log:

PS C:\WINDOWS\system32> Get-Content C:\Windows\System32\LogFiles\Firewall\pfirewall.log -Tail 20

Check RDP/Logon attempts

PS C:\WINDOWS\system32> Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625} -MaxEvents 10 | Select-Object TimeCreated, Message | Format-List

>> # Find the last 10 failed RDP/Logon attempts

Enable Windows Firewall logging for drop connection and enable audit log for RDP failed

Windows 10 hardening by Microsoft Security Baseline

1. Download the Microsoft Security Compliance Toolkit 1.0 

 https://www.microsoft.com/en-us/download/details.aspx?id=55319 

2. Copy the LGPO.exe to the folder under script

2. Run Powershell command:

Get-ChildItem -Path "C:\Source\Windows-10-v22H2-Security-Baseline" -Recurse | Unblock-File

PowerShell.exe -ExecutionPolicy RemoteSigned -File .\Baseline-LocalInstall.ps1 -Win10NonDom

3. Reboot the machine

Reference:

Applying Microsoft Security Baselines | STIG and Microsoft Security Baseline-Based Hardening of a VMware Horizon on VxRail-Based VDI Environment | Dell Technologies Info Hub

https://infohub.delltechnologies.com/en-us/l/stig-and-microsoft-security-baseline-based-hardening-of-a-vmware-horizon-on-vxrail-based-vdi-environment/applying-microsoft-security-baselines/

Windows 10 hardening by Microsoft Security Baseline

Windows 10 hardening by HardeningKitty - CIS Benchmarks

 

    

Reference:

BEST WINDOWS HARDENING TOOLS | ConfigureDefender, HotCakeX, HardeningKitty - Setup Guides

https://www.youtube.com/watch?v=SoceWcFh4z0

Windows 10 hardening by HardeningKitty - CIS Benchmarks

自動化工具與指令碼 - 加固與稽核

• 如果您要加固 Windows 伺服器：首選 PowerSTIG (免費/開源) 或 ConfigOS (商業)。
• 如果您要進行掃描與稽核：首選 DISA SCC 或 OpenSCAP。
• 如果您在 Azure 雲端：直接使用 Microsoft Defender for Cloud，它內建了 NIST 與 STIG 的自動化監控儀表板。

核心自動化方案

• 針對 STIG/NIST：強烈建議使用 PowerSTIG (GitHub)。這是 Microsoft 工程師開發的 PowerShell 模組，能將複雜的 STIG 文件直接轉換為可執行的 DSC 代碼，非常適合大規模部署。
• 針對 CIS：可利用 Ansible Lockdown。它提供現成的 Playbooks，能自動將 Windows 或 Linux 加固至符合 CIS Benchmark 的狀態。
• 針對 PCI DSS/HIPAA：這兩者多為「合規框架」。建議使用 Microsoft Purview 合規性管理員，它會自動掃描您的 M365 與 Azure 設定，並根據 PCI/HIPAA 要求提供一鍵式的改善建議。

如果您追求最高安全性（政府級），請選擇 DISA STIG + PowerSTIG；如果您追求業界通用性（商用級），請選擇 CIS + Ansible。

中國的標準更強調「合規性」與「管理+技術」的雙重考核。

等級保護 2.0 (MLPS 2.0)

• 阿里雲加固基準：各大雲平台提供符合 MLPS 2.0 的自動化加固指南，例如「ACK 等保加固」會自動執行密碼複雜度、限制 root 權限、審計開啟等操作。
• OpenSCAP (中國適配)：在國產作業系統（如 Kylin 麒麟、UnionTech UOS）中，常用 OpenSCAP 載入針對等級保護或行業標準的 XML 設定檔來進行自動化加固。

• GB/T 22239-2019《信息安全技術 網絡安全等級保護基本要求》：這是中國版的「加固清單基礎」，將系統分為一至五級。
• 加固重點：包含身份鑑別（強密碼、MFA）、存取控制（最小權限原則）、安全審計（日誌完整性）、入侵防範、惡意代碼防護及數據完整性。
• GB/T 25070-2019《信息安全技術 網絡安全等級保護設計技術要求》：指導如何在設計階段加入「可信驗證」等加固技術。

中國標準 (GB/T)	對應國際/美國標準	加固範圍
GB/T 22239 (等保 2.0)	NIST SP 800-53	系統、網絡、雲、IoT 等全維度加固
GB/T 18336 (CC)	ISO 15408 / Common Criteria	產品安全性設計認證
GB/T 35273 (隱私規範)	GDPR / NIST Privacy Framework	個人敏感數據保護與加密

自動化工具與指令碼 - 加固與稽核