Настройка pfSense как корпоративного файрвола и маршрутизатора

Настройка pfSense как корпоративного файрвола и маршрутизатора

Мы интегрируем и настраиваем pfSense под задачи вашей инфраструктуры. Этот файрвол на базе FreeBSD позволяет заменить коммерческие решения с сохранением функциональности stateful firewall, NAT, VPN-концентратора, VLAN-маршрутизации и IDS/IPS через Suricata. Наш опыт — 7+ лет работы с pfSense в продакшене, включая HA-кластеры и сложные правила фильтрации. Гарантируем uptime 99.9% при правильной конфигурации.

Каждая инсталляция начинается с аудита текущей сети: мы выявляем узкие места, белые пятна в политиках безопасности и точки отказа. Проектируем схему VLAN, IP-адресации, правила NAT и firewall. Развертываем pfSense на выделенном железе (Netgate appliances) или в виртуальной среде (ESXi, KVM, Hyper-V).

Базовая архитектура и интерфейсы

Минимальная конфигурация: два интерфейса — WAN и LAN. Реальные инсталляции обычно сложнее: несколько VLAN на одном физическом интерфейсе через IEEE 802.1Q тегирование, OPT-интерфейсы для DMZ, отдельный интерфейс для управления.

Конфигурация VLAN через XML (или через GUI Interfaces → Assignments → VLANs):

<vlans>
  <vlan>
    <if>em1</if>
    <tag>10</tag>
    <descr>LAN-Users</descr>
  </vlan>
  <vlan>
    <if>em1</if>
    <tag>20</tag>
    <descr>DMZ-Web</descr>
  </vlan>
  <vlan>
    <if>em1</if>
    <tag>30</tag>
    <descr>MGMT</descr>
  </vlan>
</vlans>

На физическом коммутаторе порт в сторону pfSense настраивается как trunk с разрешёнными VLAN 10, 20, 30.

Как pfSense обрабатывает правила файрвола?

pfSense обрабатывает правила сверху вниз, останавливаясь на первом совпадении (first-match). Правило по умолчанию — deny all. Это обратная логика от iptables с ACCEPT по умолчанию. Важно: правила применяются на исходящем интерфейсе от трафика точки зрения. Частая ошибка — путать направление: правило на LAN применяется к трафику, уходящему ИЗ LAN, а не приходящему В LAN.

Типичная схема правил для DMZ:

# Интерфейс DMZ (VLAN 20):
# 1. Разрешить DMZ → Internet (HTTP/HTTPS для apt updates)
# 2. Разрешить DMZ → LAN-DB (TCP 5432 — только к серверам БД)
# 3. Запретить DMZ → LAN (весь остальной трафик в LAN)
# 4. Разрешить any → DMZ:443 (входящий HTTPS через port forward)

Экспорт правил в XML для бэкапа и версионирования:

# Через pfSense API (fauxapi или официальный REST API в pfSense Plus)
curl -k -X GET "https://192.168.1.1/api/v1/firewall/rule" \
  -H "Authorization: Bearer $TOKEN" > firewall-rules-backup.json

NAT: Port Forward и Outbound NAT

Port forwarding — стандартный сценарий для публикации внутренних сервисов:

Ограничение source IP в правиле port forward — pfSense позволяет это сделать на уровне NAT, без отдельного firewall-правила. Outbound NAT в режиме Hybrid даёт гибкость: автоматический маскарад для большинства подсетей и фиксированные IP для исключений.

IDS/IPS через Suricata: преимущества и настройка

Suricata — мощный инструмент для анализа трафика. В pfSense он устанавливается как пакет и может работать в inline-режиме (IPS) или пассивно (IDS). Inline-режим блокирует пакеты, IDS только логирует. Производительность: Suricata обрабатывает до 10 Gbps на современном железе.

Базовая конфигурация через GUI:

• Интерфейс: WAN (входящий трафик) или LAN (east-west)
• Ruleset: ET Open (бесплатный), Emerging Threats Pro или Snort VRT
• Blocking Mode: Legacy (через pf) или Inline (NFQ)

Автоматическое обновление правил через Cron — раз в 12 часов для ET Open.

Почему стоит выбрать HA кластер на CARP?

Для production-сред, где downtime недопустим, настраиваем High Availability через CARP. Два узла pfSense, виртуальный IP на каждом интерфейсе, синхронизация состояния через pfsync. Требования: выделенный sync-интерфейс (прямой кабель или VLAN), пропускная способность не менее 1 Gbps. В случае отказа первичного узла вторичный перехватывает трафик без потери сессий — гарантируем переключение менее чем за секунду.

Сравнение с коммерческими файрволами

pfSense на 50-70% дешевле решений от Cisco, Fortinet или Juniper при сопоставимом функционале. Нет лицензионных отчислений, обновления бесплатны. Единственное ограничение — отсутствие круглосуточной поддержки от вендора, но мы закрываем этот вопрос своим SLA (доступны тарифы 8/5 и 24/7).

Что входит в настройку pfSense под ключ

1. Аудит сети: анализ топологии, безопасности, производительности.
2. Проектирование: схема VLAN, IP-политика, правила NAT, firewall, VPN.
3. Развертывание pfSense (физически или виртуально).
4. Настройка правил файрвола, NAT, VPN (IPsec/OpenVPN/WireGuard).
5. Установка и конфигурация Suricata (IDS/IPS).
6. Настройка HA кластера (опционально).
7. Тестирование и оптимизация производительности.
8. Документирование конфигурации, передача доступа к GUI.
9. Обучение команды основам администрирования.
10. Поддержка 30 дней включена, далее по SLA.

Ориентировочные сроки

Стоимость рассчитывается индивидуально после аудита — свяжитесь для оценки. Наши сертифицированные инженеры имеют 10+ лет опыта в сетевой архитектуре. Получите консультацию по вашему проекту уже сегодня.