從自建防火牆到家用防火牆＋Raspberry Pi：一次務實的 IDP 架構調整

原本的計畫：全部自己建

我原本打算自己架設一台防火牆，主要目的是為了日後能加上入侵偵測（IDS）與入侵防禦（IDP）功能。硬體規格選的是 N150 處理器、16GB RAM 與 512GB SSD，這樣的配置在運算與儲存上都有足夠的餘裕。

不過實際試算之後，光是硬體就要花費 NT$15,000～22,000。這還沒算進組裝、系統調校、除錯與長期維護的時間成本。對於一個家用或小型環境來說，這個投入實在不太划算。

調整後的架構

於是我改變策略，改採以下組合：

• 防火牆：購買風評不錯的家用防火牆，負責 NAT 轉換與內網路由。
• IDP 分析：以 Raspberry Pi 4 獨立運行入侵偵測與防禦系統。
• 流量來源：透過防火牆的 Port Mirror 功能，將封包複製並旁路送至 Raspberry Pi 4，不影響主要的轉送路徑。
• 內網設備：NAS、PC 以及 Docker 伺服器維持原本的區域網路配置。

整體的網路拓樸維持不變：外部流量經過防火牆後，防火牆一方面進行 NAT 並引導對內流量至內網設備，另一方面將封包複製一份給 Raspberry Pi 分析。

為什麼這樣做比較好

這個架構最大的優點是職責分離：

1. 防火牆專注在轉發與 NAT，不需要同時承擔深度封包檢測的運算負擔。
2. IDP 獨立運行，可以單獨升級、替換或除錯。
3. 故障隔離：即使 Raspberry Pi 當機，也不會影響內網的基本連線。

對於家用環境，這種「旁路監控」的方式也比「直接串接在路徑上」來得安全。IDP 本身出問題時，流量仍能正常通過。

下一步：AI 輔助的主動防禦

有了 IDP 產生的告警日誌，我開始思考一個更進一步的問題：如果偵測到入侵行為，能不能讓 AI 主動協助防禦？

目前的構想大致是這樣的流程：

1. IDP 產生告警日誌：Raspberry Pi 上的 IDP 記錄可疑行為。
2. AI 比對內部資產：分析告警內容，檢查內網中是否真的存在相對應的漏洞或受影響的服務。
3. AI 蒐集相關文件：自動下載該漏洞的公告、修補方式與技術說明。
4. 派工給 AI agent：由 agent 根據蒐集到的資訊，產生處置建議或執行後續分析。

最大的風險：誤判

自動化處置最大的風險是誤判。如果 AI 把正常流量判定為攻擊並自動封鎖，可能造成服務中斷；反過來，若漏掉真正的攻擊，也會帶來安全疏失。

因此我目前的底線是：

AI 負責蒐集與分析，封鎖或修補等關鍵動作仍由人工確認。

這個原則在目前的規劃中很重要。自動化能大幅減少人工蒐集資料的時間，但最終的決策權應該保留在人的手上，至少在系統經過足夠時間的驗證之前是如此。

結語

這次的調整讓我體會到，資安架構並不一定要追求最完整、最昂貴的方案。在家用或小型環境中，適當的取捨往往比追求規格更重要：

• 用成熟的家用設備負責基本的防火牆功能
• 用低成本的 Raspberry Pi 專職做流量分析
• 把自動化的重點放在「加速分析」，而非「取代判斷」

未來如果 AI 輔助防禦的流程有進一步的成果，我會再撰文記錄。

如果你在家用網路或小型環境中也有類似的資安實作經驗，歡迎留言分享，一起交流不同的做法。

本文記錄的是個人實驗中的架構與想法，並非正式的資安建議。實際部署前，請依自身環境評估風險。