pfSense

Le funzioni che usiamo davvero: VPN, CARP e pfBlockerNG

Configuriamo pfSense per attivare le funzioni che una PMI usa concretamente: OpenVPN e WireGuard per i collegamenti tra sedi e per gli accessi da remoto dei collaboratori, IPsec per i tunnel verso partner e fornitori con apparati non pfSense. Impostiamo le regole del firewall in base al traffico reale della rete, non lasciando la configurazione di default, e segmentiamo la rete in VLAN separate per uffici, produzione e ospiti, così un dispositivo compromesso in un segmento non mette a rischio gli altri.

Per le reti che non possono permettersi un fermo del firewall, mettiamo in cluster due nodi pfSense con CARP: se il nodo primario si guasta, il secondo prende il traffico senza interruzione percepita dagli utenti. Aggiungiamo pfBlockerNG per bloccare in automatico gli indirizzi IP di paesi non pertinenti al business e le liste di minacce note, un filtro in più prima ancora che il traffico raggiunga le regole del firewall vero e proprio.

• OpenVPN e WireGuard per collegamenti site-to-site e accessi remoti
• IPsec per tunnel verso fornitori e partner
• CARP per firewall in alta affidabilità, senza fermo percepito
• pfBlockerNG per il blocco automatico di IP e liste di minacce
• VLAN per separare uffici, produzione e rete ospiti

Quando ha senso in una PMI, quando no

pfSense è la scelta giusta quando la rete richiede regole personalizzate che un'appliance chiusa non permette di configurare, quando serve un controllo granulare sulle VPN o quando l'azienda vuole ridurre i costi di licenza legati al firewall. Lo proponiamo spesso alle aziende con più sedi che devono collegarsi tra loro in modo stabile, o a chi ha esigenze di traffico specifiche che un prodotto generalista non copre bene.

Non è invece la scelta giusta quando serve supporto hardware diretto del vendor con sostituzione rapida in garanzia, o quando l'azienda preferisce un'appliance commerciale con un unico interlocutore per licenza, hardware e assistenza: in questi casi lavoriamo con WatchGuard, che resta il nostro altro partner per la sicurezza perimetrale. La scelta tra le due dipende dai requisiti della rete del cliente, non da una preferenza a priori.

Come lavoriamo: dall'analisi alla manutenzione continuativa

Prima di configurare qualunque regola analizziamo la rete esistente: quali sedi vanno collegate, quali servizi devono restare raggiungibili dall'esterno, quali reparti vanno segmentati. Progettiamo la configurazione a partire da questi requisiti, la testiamo nel nostro laboratorio di Melzo, vicino a Milano, prima di portarla in produzione e la installiamo con una finestra di collaudo concordata con il cliente, per verificare che il traffico reale passi come previsto prima di considerare il progetto chiuso.

Dopo l'installazione seguiamo l'infrastruttura con manutenzione continuativa: aggiornamenti di sicurezza pianificati, verifica periodica delle regole e supporto in caso di guasto hardware o blocco imprevisto sul traffico. Un firewall pfSense configurato e poi abbandonato perde valore nel tempo, perché le minacce e le esigenze di traffico dell'azienda cambiano mese dopo mese: per questo il collaudo iniziale è solo l'inizio del rapporto con il cliente, non la fine del progetto.

Backup delle configurazioni, aggiornamenti e fine vita

Ogni configurazione pfSense che seguiamo viene salvata ed esportata regolarmente, così in caso di guasto hardware possiamo ripristinare le regole su un nuovo apparato in tempi rapidi, senza dover ricostruire da zero VPN, regole NAT e segmentazioni. Pianifichiamo gli aggiornamenti di versione in una finestra concordata, verificando prima in laboratorio che i pacchetti installati, pfBlockerNG compreso, restino compatibili, per evitare sorprese su una rete già in produzione.

L'hardware su cui gira pfSense ha un ciclo di vita come qualsiasi apparato di rete: lo monitoriamo nel tempo e pianifichiamo la sostituzione prima che diventi un rischio per la continuità operativa, non dopo un guasto già avvenuto. Per le aziende che preferiscono non immobilizzare capitale sull'apparato dedicato proponiamo anche il noleggio operativo hardware, con la sostituzione dell'apparato e l'assistenza già incluse nel canone del piano di rinnovo.