Firewall pfSense: la Nuova Versione
La nuova versione del firewall pfSense porta con se diverse novità rispetto alla versione precedente: ecco tutto quello che devi sapere...
In questo articolo
- Come funziona la tabella di stato del firewall pfSense?
- Come funziona il controllo degli accessi alla rete?
- Il network address translation
- Come garantisce la ridondanza il firewall pfSense?
- Le altre funzioni della nuova versione del firewall FPS
- Configurare l'alta disponibilità CARP: cosa serve davvero
- Gli errori che si incontrano davvero
- La soluzione a portata di click...
- Articoli Correlati
La nuova versione del firewall PFS di tipo open source mette a disposizione la maggior parte delle funzioni che si ritrovano nei firewall in vendita a pagamento, e in più ne offre di ulteriori.
Ognuna delle funzioni può essere gestita attraverso l’interfaccia web, il che vuol dire che non c’è bisogno di usare la riga di comando.
Come funziona la tabella di stato del firewall pfSense?
La state table, vale a dire la tabella di stato, offre informazioni a proposito delle connessioni aperte. Per default ogni regola è stateful: si tratta, infatti, di uno status firewall.
La nuova versione di PFS dispone di parecchie funzioni che le permettono di compiere un controllo preciso della tabella di stato, della quale è possibile regolare le dimensioni. Di base, la state table cambia a seconda della Ram che c’è nel sistema; tuttavia in caso di necessità è possibile aumentare la sua dimensione. Ogni stato occupa più o meno 1 KB di Ram, un aspetto che deve essere tenuto in considerazione nel momento in cui la memoria viene dimensionata. Il firewall propone varie opzioni per gestire lo stato. Con Synproxy state, per esempio, i proxy avviano le connessioni TCP al fine di supportare i server da spoofed TCP SYN floods.
Come funziona il controllo degli accessi alla rete?
La nuova versione del firewall PFS è in grado di garantire standard di sicurezza molto elevati in virtù della sua capacità di monitorare i diversi accessi alla rete. In più, il firewall che viene creato ha la capacità di filtrare l’intero traffico che viene ricevuto da fuori da parte della rete.
Il firewall riesce a filtrare tutti i dati attraverso una policy, cioè un’operazione che può essere attivata tramite i criteri default-deny e default-allow.
Il primo consente l’accesso alla rete unicamente di quello che viene dichiarato come accettato; tutto il resto è destinato a essere respinto. È importante, però, che la dichiarazione sia totalmente esplicita.
Il secondo, invece, impedisce l’accesso alla rete di quello che è stato indicato come vietato. Come è facile intuire, il parametro default-deny è più sicuro del secondo, perché con il default-allow possono sempre entrare minacce sconosciute e che, quindi, non erano state esplicitamente indicate come vietate.
Il network address translation
La funzione in bridging è un’altra delle peculiarità che è opportuno mettere in risalto quando si parla della nuova versione del firewall PFS. Questo status firewall non solo presuppone un monitoraggio costante, ma è anche in grado di funzionare in maniera trasparente al layer 2.
Inoltre, è previsto un network address translation, mentre la funzione di high availabilityconsente di installare in due device uguali due firewall differenti. In questo modo, i due firewall si possono duplicare, e l’uno potrebbe prendere il posto dell’altro nel caso in cui quest’ultimo dovesse essere danneggiato. In termini più semplici, qualora il primo firewall non dovesse funzionare, il secondo si attiverebbe in automatico. E questo accade senza che le connessioni della rete rischino di cadere.
Il load balancing è un’altra funzione molto preziosa, e consiste nel bilanciamento di varie operazioni che vengono smistate su server differenti. PFS, per altro, può essere utilizzato anche in qualità di url fixering, di web providing e di antivirus.
Come garantisce la ridondanza il firewall pfSense?
L’hardware failover viene gestito dal protocollo CARP da OpenBSD; è possibile configurare due (o anche più di due) gruppi di firewall hardware come un insieme di failover.
Nel momento in cui un’interfaccia dovesse essere danneggiata sul dispositivo primario, o se per caso tale dispositivo dovesse andare offline, entrerebbe in gioco il secondo firewall. Il sistema comprende, poi, la sincronizzazione automatica fra i dispositivi.
La tabella di stato del firewall è uguale per tutti i firewall che fanno parte del failover, ed è questa la ragione per la quale, in caso di failover, non vengono compromesse le connessioni esistenti.
Le altre funzioni della nuova versione del firewall FPS
Sono tre le tipologie di connettività VPN a disposizione:
PPTP Server
IPsec
OpenVPN
Quest’ultima è una soluzione SSL VPN tanto potente quanto flessibile, in grado di supportare un vasto assortimento di sistemi operativi client.
PPTP Server, invece, è installato sulla maggior parte dei sistemi operativi client, compresi quelli di Windows. Infine, IPsec garantisce la connettività con tutti i device che supportano questo tipo di standard. Vi si ricorre, fra l’altro, nelle configurazioni con altri device di tipo site to site. La soluzione viene implementata da diversi firewall commerciali, fra i quali Juniper e Cisco, ma anche da mOnOwall, che è un altro firewall open source come FPS.
Configurare l'alta disponibilità CARP: cosa serve davvero
Far funzionare la ridondanza descritta sopra non è automatico: richiede alcuni passaggi di configurazione precisi su entrambi i firewall:
- Un'interfaccia di sincronizzazione dedicata. Il failover CARP e la sincronizzazione della tabella di stato richiedono un'interfaccia propria, collegata direttamente tra i due firewall (o su una VLAN dedicata) e mai usata per il traffico LAN ordinario — mescolare il traffico di sincronizzazione con il traffico di produzione è una delle cause più comuni di una coppia HA instabile.
- Un Virtual IP per ogni rete protetta, configurato in Firewall > Virtual IPs di tipo CARP: è l'indirizzo che client e altri dispositivi usano davvero, ed è quello che migra automaticamente tra i due firewall.
- Lo stesso VHID (Virtual Host ID) su entrambe le unità per ogni Virtual IP CARP, in modo che i due firewall si riconoscano come membri dello stesso gruppo di failover; usare un VHID già in uso altrove sulla stessa rete è una causa comune di failover inspiegabili.
- Un valore di advskew più basso sul firewall destinato a fare da primario (tipicamente 0) e più alto sul secondario (tipicamente 100): è questo valore a determinare quale unità sia master in condizioni normali.
- La sincronizzazione di stato (pfsync) attiva sulla stessa interfaccia dedicata, in modo che le connessioni attive sopravvivano a un failover invece di costringere ogni dispositivo a riconnettersi da zero.
Gli errori che si incontrano davvero
- Entrambi i firewall si dichiarano master contemporaneamente — quasi sempre un'interfaccia di sincronizzazione rotta o scollegata: senza di essa, ciascuna unità presume che l'altra sia guasta e prende il controllo, causando proprio il tipo di conflitto che CARP dovrebbe evitare.
- Lo stato CARP oscilla ripetutamente tra MASTER e BACKUP — di solito è un problema di rete sul collegamento di sincronizzazione (perdita di pacchetti, una porta switch instabile) e non un problema di configurazione di pfSense; il primo controllo da fare è lo stato del link dell'interfaccia di sincronizzazione stessa.
- Il failover funziona ma le connessioni esistenti cadono comunque — pfsync (la sincronizzazione di stato) non è attivo o non gira sulla stessa interfaccia di CARP, quindi il firewall di backup prende in carico l'IP ma non ha alcuna informazione sulle sessioni che erano aperte sul primario.
- Un conflitto di VHID con una rete vicina — se un'altra organizzazione su una rete condivisa o adiacente usa per caso lo stesso VHID, i due gruppi di firewall possono interferire tra loro; scegliere un valore di VHID meno comune evita il problema in ambienti condivisi (data center, coworking).
La soluzione a portata di click...
Pensi di aver bisogno dei consigli di un team di professionisti per usare la nuova versione del firewall PFS? TN Solutions ha quel che fa per te, ed è pronta a mettere a disposizione l’esperienza e la competenza di specialisti del settore: contattaci per usufruire del nostro servizio di supporto in ambito informatico.
Se invece hai bisogno di acquistare materiale informatico (o prodotti di ogni tipo), consulta il vasto catalogo prodotti del nostro e-commerce initpc.it
Articoli Correlati
Se vuoi saperne di più, ecco delle guide tematiche di approfondimento:
Domande frequenti
Cosa offre di nuovo la nuova versione del firewall pfSense?
Mette a disposizione la maggior parte delle funzioni presenti nei firewall commerciali a pagamento, gestibili interamente tramite interfaccia web senza bisogno della riga di comando, oltre a funzionalità aggiuntive esclusive.
Cos'è la tabella di stato in pfSense?
È la state table, che offre informazioni sulle connessioni aperte: ogni regola è stateful di default e la dimensione della tabella dipende dalla RAM disponibile, con circa 1 KB occupato per ogni stato registrato.
Come garantisce la ridondanza pfSense?
Attraverso il protocollo CARP di OpenBSD, che permette di configurare due o più gruppi di firewall come insieme di failover: se il dispositivo primario si guasta, il secondo entra in funzione automaticamente.
Quali tipi di connettività VPN supporta pfSense?
Supporta tre tipologie: PPTP Server, disponibile sulla maggior parte dei sistemi operativi client; IPsec, per la connettività site-to-site; e OpenVPN, una soluzione SSL VPN potente e flessibile.
Partner tecnologici
Vuoi parlarne con un nostro tecnico?
Analizziamo gratuitamente la tua infrastruttura e ti proponiamo la soluzione più adatta.