Как установить и настроить pfSense -- межсетевой экран (брандмауэр / фаервол) корпоративного уровня

• Приветствие участников и проверка звука.  

• Предложение написать, чем занимаются участники.  

• Идея проведения мастер-классов для настройки различных сетевых технологий.  

• Константин Герасименко, инструктор академии ЦСКА Linux Professional Institute.  

• Цель мастер-класса по настройке PFSense.  

• PFSense как маршрутизатор с дополнительными функциями, такими как файервол и VPN.  

• Объяснение важности знания терминологии в сетевых технологиях.  

• Примеры различий в названиях технологий между Linux и Cisco.  

• Призыв к изучению терминологии для успешной настройки сетевых устройств.  

• Обсуждение проблем с домашними маршрутизаторами и их уязвимости.  

• Рекомендация использовать Cisco вместо домашних маршрутизаторов.  

• Введение дистрибутива PFSense на базе FreeBSD.  

• Переход к демонстрации схемы сети.  

• Описание подключения интернет-провайдера и коммутатора.  

• Использование гипервизора KVM для виртуализации.  

• Объяснение преимуществ KVM для стабильной работы виртуальных машин.  

• Примеры использования KVM в крупных облачных сервисах.  

• Рекомендация изучать KVM для освоения технологий, используемых в крупных облачных сервисах.  

• Использование обычного Linux и Ubuntu.  

• Установка KVM и добавление Bridge-Uplink и Vybrid.  

• Проблемы с провайдером из-за работы коммутатора в режиме авто.  

• Коммутатор работает в режиме Access, чтобы избежать проблем с провайдером.  

• Использование одной сетевой платы на сервере.  

• Необходимость в нескольких портах для виртуальных машин.  

• Использование утилиты virsh для управления виртуальными машинами.  

• Возможность запуска, остановки и редактирования виртуальных машин.  

• Настройка сети и интерфейсов с помощью программных коммутаторов.  

• Проблемы с коммутацией в гипервизоре.  

• Необходимость аппаратной коммутации.  

• Использование коммутаторов Cisco Nexus для решения проблемы.  

• Использование командной строки для управления гипервизором.  

• Управление виртуальными машинами через Ubuntu.  

• Возможность клонирования, приостановки и создания снапшотов виртуальных машин.  

• Установка возможна на виртуальном боксе или другом сервере.  

• Рекомендуется использовать выделенный сервер для шлюза и файервола.  

• Виртуальная машина используется для установки и настройки.  

• Используется образ с сайта pfSense.  

• Архитектура должна быть 64-битной, 32-битные компьютеры устарели.  

• Рекомендуется использовать старую материнскую плату для экономии.  

• Образ сжат с помощью gzip, распаковывается с опцией -d.  

• Много гайдов и документации по настройке.  

• Возможность использования в качестве маршрутизатора с Wi-Fi.  

• Выбор образа и типа операционной системы.  

• Установка версии FreeBSD 10.  

• Настройки хранятся в одном файле конфига, что упрощает бэкапы.  

• Выбор языка клавиатуры и файловой системы.  

• Рекомендуется использовать английский язык для удобства.  

• Использование стандартного файлового системы UFS.  

• FreeBSD стабильна и надежна.  

• pfSense добавляет IP-firewall и другие функции.  

• Удобство администрирования через интерфейс.  

• Получение IP-адреса и настройка интерфейсов.  

• Вопросы о различиях между pfSense и другими версиями FreeBSD.  

• Поддержка и обучение для пользователей pfSense.  

• Компьютер получил IP-адрес 192.168.1.1.  

• Проверка интернета: пинг работает, трафик идет через PFSense.  

• Провайдер дружит с Google, трафик идет через Google.  

• Вход в PFSense через браузер: ввод IP-адреса 192.168.1.1.  

• Включение HDPSS и настройка сертификата.  

• Смена пароля администратора для безопасности.  

• Указание имени системы и домена.  

• Использование OpenDNS для защиты локальной сети.  

• Настройка времени через NTP и выбор часового пояса.  

• Возможности PFSense: 20 Мбит/с и выше.  

• Совместимость с аппаратным обеспечением: проверка совместимости с FreeBSD.  

• Важность проверки совместимости перед покупкой сервера.  

• Получение IP-адреса от провайдера.  

• Настройка MAC-адреса и размера пакета.  

• Блокировка внутренних сетей и настройка внутренней сети.  

• Установка пароля администратора.  

• Проверка обновлений и завершение установки.  

• Проверка подключения и использования ресурсов системы.  

• Можно создать двойную сеть в интерфейсах.  

• Можно добавлять виджеты, такие как график трафика.  

• Новости можно свернуть для удобства.  

• Для 130 секунд нужно железо с 100 мегабитами.  

• Можно использовать PFS в Amazon, Microsoft Azure и других сервисах.  

• Минимальные требования: процессор 600 МГц, память 512 МБ.  

• Оперативная память играет ключевую роль в производительности.  

• Программный коммутатор требует много памяти для хранения таблиц.  

• Для 1.5 миллиона соединений требуется 3 ГБ памяти, для 4 миллионов - 8 ГБ.  

• Поддерживается аппаратная обработка и обратная обработка IPsec.  

• Криптоядро должно быть включено в гипервизоре.  

• Процессоры с криптоядром по умолчанию поддерживают эти функции.  

• Можно создать пользователя с правами только на просмотр.  

• Пользователь без группы администратор будет работать только для просмотра.  

• Для VPN пользователей нужно использовать локальную базу данных.  

• Можно добавлять статические маршруты и настраивать таблицу маршрутизации.  

• Важно создавать и управлять сертификатами для VPN.  

• В 20 можно менять настройки авторизации по ключу и настраивать файервол.  

• Важные элементы: юзер-менеджер и сертификат-менеджер.  

• Пакет-менеджер позволяет устанавливать дополнения к pfSense.  

• Примеры: добавление Let's Encrypt, установка драйверов для Huawei модема.  

• Возможность установки служб, таких как Avahi DNS и DHCP.  

• Управление кроном и поддержка FreeRADIUS.  

• Установка и использование различных утилит, таких как iPerf и LightSquid.  

• Установка и использование SNMP-демона для мониторинга сети.  

• Возможность отправки отчетов на Nagios и OpenVPN.  

• Установка и использование IPS/IDS систем, таких как Snort.  

• Обзор установки и настройки Squid на pfSense.  

• Возможность фильтрации URL и мониторинга трафика.  

• Установка дополнительных пакетов для корректной работы Squid.  

• Использование Squid для контроля трафика и доступа к ресурсам.  

• Возможность ограничения скорости и фильтрации контента.  

• Установка и настройка трафика-шейпера для управления трафиком.  

• Важность самостоятельного изучения и настройки оборудования.  

• Переход к следующему пункту меню - интерфейс.  

• В интерфейсах можно выбирать типы интерфейсов и группировать их.  

• Можно настраивать Wi-Fi и VLAN для контроля трафика между отделами.  

• Программные коммутаторы позволяют объединять интерфейсы для различных нужд.  

• Файервол позволяет назначать несколько IP-адресов на один интерфейс.  

• Проброс портов позволяет перенаправлять порты между интерфейсами.  

• Можно указывать IP-адреса назначения для пересылки пакетов.  

• Файервол позволяет создавать правила для разрешения или запрета трафика.  

• Можно указывать протоколы, порты и IP-адреса для конкретных правил.  

• Правила можно настраивать вручную, что требует знаний и опыта.  

• Прокси-сервер позволяет запрещать доступ к определенным сайтам и приложениям.  

• Файервол работает на уровне пакетов, но прокси-сервер может фильтровать трафик более эффективно.  

• Для настройки прокси-сервера рекомендуется использовать Internet Explorer.  

• Можно создавать пользователей для фильтрации трафика.  

• Фильтрация включает баннет хост-адреса, белые и черные списки, блокировку по пользовательскому агенту.  

• Для установки и настройки фильтрации рекомендуется использовать Squid Guard.  

• Рекомендуется использовать связку роутеров 29-11 и CSC Plus с PF Sense.  

• Все сетевые дела лучше отдать на маршрутизатор, а на PF Sense настроить систему анти-вторжений и фильтрацию трафика с помощью Squid и Squid Guard.  

• Это позволит эффективно использовать ресурсы и улучшить безопасность сети.  

• В меню появился новый пункт Squid Guard Proxy Filter.  

• Можно включать и выключать списки, фильтровать трафик по домену, логину и другим параметрам.  

• Возможность убрать рекламу без фильтрации трафика.  

• Настройки применяются, открывается множество параметров.  

• Можно создавать группы, перенаправлять трафик и создавать черные списки.  

• Группы можно настраивать по категориям, времени и другим параметрам.