PROCEDIMENTOS BÁSICOS - PFSENSE

 

PROCEDIMENTOS BÁSICOS - PFSENSE

Apresentação básica das funções.

1.1 – Neste guia iremos abordar algumas ações que devem ser tomadas no dia a dia normal de trabalho, não vamos falar sobre instalação ou implantação. Daremos ênfase a interfaces, WAN, LAN, servidor DHCP com endereçamento de IP, regras de firewall, NAT básico com associação de regras, controle de velocidade de banda e proxy (Cache) transparente.

2 – O Dashboard do Pfsense.

 

A apresentação do Pfsense sempre mostra os detalhes de acordo com o gosto administrador do Pfsense, por isso não podemos definir o que vai ou não aparecer. A imagem a seguir mostra a parte superior da tela inicial.

No primeiro momento da abertura do Pfsense essa será a tela de abertura que pode variar de acordo com configuração feita previamente. É recomendado deixar visível os serviços mais importantes, como status das interfaces principalmente as de internet, pois as de acesso ao firewall estará em modo UP pois certamente só será possível acessar caso as interfaces internas estiverem acessíveis. 

Cada menu desse leva você a uma infinidade de possibilidades de configurações, mas como dito antes abordarei apenas o necessário. Segue aqui a orientação de estudar para melhor entender como funciona cada recurso necessário na sua realidade. Por isso nunca será necessário usar todos os recursos disponíveis.

Interfaces de rede.

 

Podemos dizer que a forma como o Pfsense trata as interfaces é uma das melhores maneiras trabalhar por dá a possibilidade de escolher qual interface usar para qualquer serviço, ou seja, fica a seu critério para usar qualquer interface, o que importa a configuração da regra correta nas interfaces. Para acessar as configurações de interfaces de forma visível está no menu superior interfaces/assignments, vai abrir a tela a baixo:

Essa tela está todas as possíveis configurações possíveis para fazer, porem recomendo configurar apenas o necessário dentro da sua realidade, não configurar nada sem o conhecimento prévio.

 

Definindo uma NOVA interface como WAN.

 

Essa parte deste guia é muito importante, pois na configuração inicial do Pfsense ainda no console de instalação você só tem a possibilidade de escolher uma única interface WAN. A proposta aqui é adicionar uma segunda interface WAN que atuará como redundância. É a forma mais prática e funcional.

 

A primeira escolha a interface e defina a forma como ela vai se conectar na internet. Vamos tomar como exemplo o uso de IP estático que a forma mais utilizada pela maioria dos provedores de internet. Normalmente o provedor fornece os endereços IPs e máscara de rede. O que realmente difere essa interface das demais é a configuração de uma rota por meio de um gateway para interface. Por simples que seja essa percepção é importante pois ela define efetivamente que o Pfsense estará navegando por meio desta interface. 

Mais ainda falta uma configuração importante. Antes veja como definir as configurações mencionadas aqui. Definimos uma descrição configurando a interface para conectar de forma estática, e recomendo fortemente para não usar IPV6 em redes privadas.

Depois de realizar essa configuração da interface é preciso informar que alguma outra interface irá acessar a internet por meio dessa, isso é feito por meio de uma regra de firewall.

 

Obs.: No Pfsense que estamos usando para fazer esse guia tem duas interfaces WAN.

 

Configurações de NAT no Pfsense necessário quando estamos adicionando nova WAN, lembre-se, estamos configurando nova WAN com base numa outra existente, por observe com atenção todos os passos e imagens. A imagem a baixo é acessada no menu “Firewall”, na tela seguinte, clique na aba/menu “Outbound” (saída).

 

Não altere nada, absolutamente nada, apenas clique na opção para copiar a regra, vai abrir uma nova tela, nessa tela você altera. Observe que contornei de amarelo e mostrei como interface original ou única. Por que estamos partindo da ideia de que só temos um link e estamos adicionando a interface que nos referimos anteriormente, na imagem anterior.

 

Na tela seguinte observe que te mostra a interface “WAN1” mostrada a cima. Altere apenas essa interface que será a segunda ou próxima interface atuará como WAN também.

CONFIRMAR QUE A INTERFACE ESTÁ FAZENDO ROTA.

 

Depois de todas as configurações proposta devidamente feitas, obedecendo todas as determinações neste guia, é preciso fazer uma validação para saber se realmente se esta interface entre as que fazem rota e NAT no Pfsense. Isso é importante por que em caso de queda de do link principal, o link atual esteja pronto para entrar em ação, seja de forma direta com alteração de rota manual ou através de failover ou loadbalance. Na barra de menus clicar em System\Routing, na tela abaixo aparecerá apenas os links com função de roteamento.

Ainda na tela a cima podemos vincular o gateway a um grupo de gateways que poderá ser usado como balanceamento de carga, mas para proposta desse guia não é uma prioridade.

 

Trabalhando regras de firewall.

 

Como o título sugere iremos mostrar de forma simples de apenas uma regra sendo criada em uma interface, para isso é óbvio que o menu a ser utilizado é o de firewall. Após isso basta aplicar a ideia em qualquer interface.

 

IMPORTANTÍSSIMO

Antes de partir para qual criação regras, você precisa compreender que o firewall no Pfsense exige que se uma regra vai ser aplicada em uma determinada interface de origem em direção a outro destino qualquer, WAN (destino) por exemplo, a regra obrigatoriamente deverá ser criada na origem, seja liberação de IP, abertura de porta etc. Caso contrário a regra não funcionará. Entendido essa parte, passamos a diante.

Você clica em um dos botões verdes para criar a regra, por que depois de criada você clicar e arrastar a regra para cima ou para baixo.

Vai abrir a tela de criação da regra veja as partes contornadas onde você escolhe a interface de origem e de destino. Abro um ponto aqui para dizer que pode criar uma regra de qualquer origem para qualquer destino a partir da tela que vai abrir, o que vai fazer diferença será exatamente a origem e o destino. Vamos lá a imagem.

 

Essa tela eu dividi a tela em três, mas é uma tela só. A interface de origem é onde a regra que está sendo criada. Em Source (fonte) você vai definir a fonte de tráfego, pacote, etc., Mas por padrão usamos basicamente duas opções nessa configuração. Não confunda fonte de dados, tráfegos, pacote com interface que hospedará a regra. “Single host or alias” ou “ ‘nome da interface’ Address”. Em muitos casos é usado “Any”, mas essa opção torna a conexão menos segura dependendo da interface, torna o processo mais leve por falta de filtro, mas não é boa prática. Haverá momentos que será usada dessa forma.

 

O destino segue a mesma ideia. Resumindo faça o simples que funciona.

 

Concluindo essas configurações, clicar em salvar e posteriormente em aplicar.

 

Essa breve apresentação se aplica a criação de regra em qualquer interface. Evite criar muitas regras desnecessárias que não serão usadas por estarem muitas vezes feita corretamente, mas na interface errada.

Configuração DHCP

A configuração aqui apresentada é apenas uma coisa simples sobre esse serviço de distribuição do IPs. A configuração mostrada na imagem mostra uma configuração básica suficiente para ter uma rede recebendo IP e funcionando sem DHCP estático, porém não irei abordar esse tipo de configuração.

Olhando para imagem a cima quero destacar algo de suma importância é que o administrador do Pfsense precisa saber a configuração de rede disponível para assim poder proceder com disposição dos IPs que serão distribuídos para rede.

 

Algo a ser destacado aqui é que não é recomendado que tenha mais de um servidor DHCP na mesma rede. Nos primórdios da configuração de rede, quando isso acontecia toda rede parava, atualmente pode acontecer a mesma coisa. Pode até funcionar temporariamente mas pode parar e voltar novamente e ficar num loop de problemas que pode se comportar de forma extremamente inconsistente. Outra coisa não mesmo importante é que não pode em hipótese alguma ter o mesmo IP em dois equipamentos diferentes. Isso faz com que os dois equipamentos parem de funcionar por causa de um problema classificado como “Conflito de IP”.

 

Para um melhor entendimento sobre DHCP recomendo um melhor estudo sobre o assunto.

Conclusão.

Essas configurações são suficiente para deixar o Pfsense que já estava instalado e com uma interface WAN funcionando, com outra adicionada, essas configurações básicas tem NAT, DHCP e firewall pronto.

Espero ter ajudado.