Брандмауэр pfSense - Полный курс администрирования pfSense

• PFSense - это бесплатный многофункциональный брандмауэр с открытым исходным кодом, который выполняет множество функций, связанных с сетью и безопасностью.  

• Управление брандмауэром осуществляется через веб-интерфейс, который доступен через Интернет.  

• PFSense предлагает виртуальную частную сеть, высокую доступность, балансировку нагрузки, формирование трафика, унифицированное управление угрозами, маршрутизатор и брандмауэр, систему доменных имен, DHCP-серверы, систему обнаружения вторжений и защиту от вторжений, прозрачный прокси-сервер кэширования, фильтрацию веб-контента, проверку пакетов с отслеживанием состояния, блокировку географических IP-адресов, защиту от спуфинга, поддержку VLAN, VPN с множеством опций, идентификаторы и IP-адреса на основе Snort или Suricata, базу данных новых угроз, базу данных черного списка IP-адресов, глубокую проверку пакетов, дополнения с открытым исходным кодом, множество возможностей создания отчетов и многое другое.  

• PFSense может быть установлен на старое оборудование или виртуализирован.  

• Для домашнего или небольшого офиса можно использовать предустановленное недорогое оборудование от Netgate.  

• Для установки PFSense необходимо загрузить установщик на карту памяти или ISO-образ и подключить его к USB-порту системы.  

• ISO-образ можно использовать для установки с CD-ROM или DVD-диска, а также для создания виртуализированного устройства.  

• Если ваша инфраструктура находится в облаке, у вас есть готовые образы для защиты вашей облачной среды.  

• Если вы хотите обновить брандмауэр PFSense, приобретенный в Netgate, вы можете загрузить предварительно настроенный образ.  

• Минимальное рекомендуемое оборудование для правильной работы PFSense: центральный процессор с частотой 500 МГц и 512 МБ оперативной памяти.  

• Для подключения к VPN, для домашнего или бизнес-использования потребуется более мощный процессор.  

• Для использования функции Captive Portal, блокирующей доступ к вашей сети, также потребуется более мощный процессор.  

• VirtualBox - бесплатное программное обеспечение для виртуализации, которое позволяет запускать операционную систему внутри другой операционной системы.  

• VirtualBox доступен для Windows, Mac OS X, Linux и Solaris.  

• Установка VirtualBox на Windows и Mac OS X аналогична установке в Linux.  

• Загрузка и извлечение ISO-образа PFSense.  

• Создание новой виртуальной машины в VirtualBox с типом BSD и версией 64-bit.  

• Настройка параметров виртуальной машины, включая объем памяти и тип диска.  

• Загрузка и установка Ubuntu Desktop в качестве виртуальной машины.  

• Настройка сети виртуальной машины для подключения к внутренней сети PFSense.  

• Установка минимальной версии Ubuntu для использования в качестве веб-браузера.  

• Выбор минимальной установки и логической системы управления томами (LVM).  

• Настройка часового пояса и имени виртуальной машины.  

• После установки pfSense, необходимо удалить установочный носитель и ввести учетные данные.  

• В командной строке нужно проверить сеть и добавить исключение для самозаверяющего сертификата.  

• Запустить виртуальную машину pfSense и убедиться, что адрес локальной сети совпадает с адресом подсети.  

• В браузере перейти на страницу 192.168.1.1 и ввести пароль администратора.  

• В разделе "Общая информация" указать название и домен, а также указать DNS-серверы.  

• В разделе "Интерфейс глобальной сети" оставить настройки по умолчанию, если подключены к домашней сети.  

• В разделе "IP-адрес локальной сети" оставить значение 192.168.1.1 с 24-битной маской подсети.  

• Обновить pfSense и перезагрузить его.  

• В случае проблем с DNS, проверить, что виртуальная машина pfSense и рабочий стол Ubuntu запущены.  

• Если не удается разрешить имена, проверить настройки DHCP и добавить общедоступные DNS-серверы Google (8.8.8.8 и 8.8.4.4).  

• Включение SSH для доступа к командной строке.  

• Настройка аутентификации на основе ключа в дополнительном разделе.  

• Добавление пользователя для резервного доступа.  

• Добавление пользователя в группу "Администраторы".  

• Отключение IP-адреса шестой версии для глобальной сети и интерфейсов локальной сети.  

• Удаление ненужных виджетов и добавление желаемых.  

• Смена темы веб-конфигуратора на "pfsense dark" или "compact red".  

• Видео объясняет, как изменить тему в PFSense, используя CSS (каскадные таблицы стилей).  

• Можно найти темы в Интернете или создать свою собственную.  

• Важно помнить, что это устройство безопасности, и загрузка и установка программного обеспечения от других может привести к проблемам с безопасностью.  

• Брандмауэры обрабатывают трафик, разрешая, принимая меры или запрещая его на основе правил.  

• Правила читаются сверху вниз, и трафик обрабатывается на основе первого совпадения.  

• Если правило часто используется, лучше поместить его выше в списке.  

• Брандмауэр отслеживает отправляемую информацию и пропускает обратный трафик обратно к отправителю запроса.  

• Это позволяет избежать незатребованного или вредоносного трафика.  

• Брандмауэр отслеживает исходящие запросы и прослушивает соответствующие ответы в таблице состояний.  

• Блокирующий трафик автоматически отбрасывается, не уведомляя отправителя.  

• Отклоняющий трафик отправляет ответ отправителю запроса, сообщая ему, что устройство находится там, но соединение не разрешено.  

• Это хорошая практика, когда устройства блокируют нежелательный трафик, а внутренние устройства отклоняют трафик, который не разрешен.  

• Обсуждение важности фильтрации входящего и исходящего трафика, а также использования правил и наборов правил для управления этим процессом.  

• Упоминание о том, что для защиты от вредоносного трафика необходимо использовать белый и черный списки.  

• Объяснение разницы между внесением в белый и черный списки, а также их использование для защиты от вредоносного трафика.  

• Обсуждение плавающих правил, их использования и возможных рисков.  

• Указание на то, что плавающие правила могут быть более гибкими, но также более рискованными и сложными в устранении неполадок.  

• Демонстрация настройки правила брандмауэра на примере блокировки порта 1337.  

• Указание на необходимость проведения быстрого теста для проверки работы правила.  

• Создание правила брандмауэра для блокировки порта 1337 на интерфейсе локальной сети.  

• Отклонение трафика с помощью правила "отклонить 1337 shady shell".  

• Запуск netcat на сервере и попытка передачи на порт 1337.  

• Проверка работы правила в журнале.  

• Добавление псевдонимов для портов 80, 443, 22, 53, 123, 53 (udp), 1337 (udp).  

• Применение правил к интерфейсу локальной сети.  

• Проверка работы протокола ntp и других портов.  

• Отключение правила, разрешающего весь исходящий трафик.  

• В этом уроке мы научимся применять типы сообщений ICMP, которые полезны для отправки в интерфейс локальной сети.  

• Мы рассмотрим рекомендации по управлению трафиком и типы сообщений, которые могут быть опасными или необходимыми для правильной работы сети.  

• Мы создадим правила для ICMP, выбрав несколько типов сообщений, которые хотим разрешить.  

• Мы также добавим описание для каждого типа сообщения.  

• Мы проверим, что наши новые правила работают, выполнив ping и убедившись в получении ответа.  

• Мы рассмотрим методы, которые можно использовать для внесения исходящего трафика в белый список.  

• Мы создадим копию правила по умолчанию, которое разрешает любой исходящий трафик, и изменим его, добавив регистрацию пакетов.  

• Мы переместим это правило выше всех остальных правил, за исключением правила защиты от локаута.  

• В этом видео автор объясняет, как использовать правила брандмауэра для просмотра трафика, проходящего через него.  

• Он предлагает оставить брандмауэр включенным на неделю, чтобы увидеть, что проходит через него.  

• Затем можно использовать регулярные выражения для фильтрации трафика, чтобы увидеть, какие порты не используются.  

• Автор также объясняет, как использовать правила брандмауэра для выявления заблокированного трафика.  

• Он предлагает удалить правило, которое блокирует все, и затем применить изменения.  

• Это позволит увидеть, какие порты заблокированы и какие нужно разрешить.  

• Если требуется более глубокий анализ, автор рекомендует использовать захват пакетов для просмотра трафика.  

• Это может быть полезно для определения того, какие порты не используются и какие нужно разрешить.  

• В видео рассказывается о настройке правил брандмауэра для оптимизации производительности и управления трафиком.  

• Обсуждаются правила для блокировки и разрешения трафика, а также порядок следования правил.  

• В видео объясняется, как добавлять разделители для группировки связанных правил.  

• Приводится пример добавления разделителя для стандартных правил для исходящих сообщений и правила запрета.  

• В видео рекомендуется установить pfblocker ng для pfsense, который является полезным плагином.  

• Упоминается блог Далласа Хассельхорста, который рекомендует этот пакет для pfsense.  

• Установка пакетов pfblocker ng в pfsense.  

• Настройка черного списка ip и dns с помощью мастера настройки.  

• IDS - система для обнаружения и предотвращения сетевых вторжений.  

• Установка snort ids ips в pfsense.  

• Базовая настройка snort для обнаружения и предотвращения атак.  

• Обсуждение наборов правил Snort, включая Snort VRT, Snort GPL, Emerging Threats и Open App ID.  

• Регистрация в Snort для получения бесплатных наборов правил.  

• Включение Snort VRT, Snort GPL, Emerging Threats и Open App ID.  

• Обновление правил один раз в день.  

• Обсуждение стратегии развертывания идентификаторов или IP-адресов.  

• Назначение Snort интерфейсам для обнаружения и предотвращения IP-адресов.  

• Включение режима предотвращения в Snort, установка флажков "Блокировать нарушителей" и "Уничтожать состояния".  

• Настройка локальных сетей и оповещений.  

• Проверка работы Snort, блокировка нарушителей и IP-адресов.  

• Использование режима мониторинга для проверки работы Snort.  

• Удаление Snort, установка Suricata, настройка Suricata и тестирование функциональности IDS.  

• Создание резервной копии перед удалением Snort.  

• Удаление пакета Surikata из пакета PFSense.  

• Установка Surikata с помощью менеджера пакетов.  

• Настройка глобальных настроек Surikata: установка и открытие правил для новых угроз, установка правил Snort, настройка интервала обновления.  

• Обновление наборов правил Surikata.  

• Назначение интерфейсов для Surikata для отслеживания и блокировки вредоносной активности.  

• Настройка параметров Surikata: включение функций, включение ведения журнала, блокировка нарушителей, настройка профиля движка обнаружения, ограничение на рекурсию проверки, неразборчивый режим, длина привязки интерфейса pcap, подавление предупреждений и фильтрация.  

• В этом разделе автор рекомендует использовать те же настройки для локальной сети, но не проверять блокировку нарушителей на первом этапе.  

• Если вы находитесь на работе, настройки могут быть менее ограничивающими, в зависимости от политики компании.  

• Если вы дома, настройки могут быть разумными.  

• Автор также рекомендует включить правила, касающиеся сертифицированного жира, и посмотреть, как это работает.  

• В этом разделе автор объясняет, что в DMZ должно быть очень мало трафика, который не соответствует стандарту.  

• В следующем разделе вы узнаете, как настроить DMZ и сервер nginx.  

• В этом разделе автор запускает веб-сканер Nikto с виртуальной машины Kali Linux.  

• Surikata должен быть отключен на интерфейсах WAN и DMZ.  

• Затем автор проверяет, что Surikata блокирует вредоносный трафик, запустив Nikto на общедоступном IP-адресе брандмауэра PFSense.  

• Если Surikata работает, вы увидите, что время запуска Nikto увеличивается, и он обнаруживает, что выполняется веб-сканирование.  

• Включение Surikata, добавление наборов правил, интерфейсов и тестирование.  

• Настройка демилитаризованной зоны (DMZ) для веб-сервера.  

• Создание физической и виртуальной сети, настройка брандмауэра для разрешения трафика из DMZ.  

• Настройка правил брандмауэра для веб-трафика и управления сервером.  

• Загрузка и установка Linux Mint для внутренней сети.  

• Настройка сети и установка программного обеспечения.  

• Установка и настройка брандмауэра с использованием ISO-образа.  

• Настройка домашней папки и пароля для входа в систему.  

• Создание интерфейса dmz и настройка статического IP-адреса.  

• Настройка DNS-сервера на брандмауэре.  

• Добавление правил для исходящего трафика DNS.  

• Добавление правил для протокола сетевого времени (NTP).  

• Создание правила для разрешения icmp-протокола для проверки связи.  

• Регистрация пакетов для отслеживания трафика.  

• Установка nginx с помощью команды sudo apt install nginx.  

• Проверка статуса сервера с помощью команды sudo service nginx status.  

• Добавление правила переадресации портов в брандмауэр.  

• Настройка переадресации на порт 80 и использование внутреннего IP-адреса сервера для перенаправления трафика.  

• Проверка работы переадресации с помощью IP-адреса брандмауэра.  

• В этом уроке автор объясняет, как защитить веб-сервер в демилитаризованной зоне с помощью Snort.  

• Сначала автор настраивает Snort для отслеживания интерфейса глобальной сети.  

• Затем он проводит быстрый тест, чтобы убедиться, что Snort блокирует атаки.  

• Автор объясняет, как перенаправить трафик с порта 22 на порт 2222, чтобы иметь возможность управлять веб-сервером из локальной сети.  

• Он также показывает, как редактировать конфигурационный файл SSHD для изменения порта.  

• Ввод имени пользователя и порта 2222 для входа в систему.  

• Проверка работы SSH.  

• Поиск информации о проблеме в Интернете или на форуме.  

• Обращение в службу технической поддержки при необходимости.  

• Создание резервной копии с помощью раздела "Диагностика, резервное копирование и восстановление".  

• Восстановление из резервной копии с помощью "Открыть" и "Восстановить конфигурацию".  

• Проверка версии программного обеспечения в веб-интерфейсе.  

• Обновление системы с помощью "Обновление системы" и "Выполнить обновление".