Налаштування pfSense як корпоративного фаєрвола та маршрутизатора

Налаштування pfSense як корпоративного фаєрвола та маршрутизатора

Ми інтегруємо та налаштовуємо pfSense під завдання вашої інфраструктури. Цей фаєрвол на базі FreeBSD дозволяє замінити комерційні рішення зі збереженням функціональності stateful firewall, NAT, VPN-концентратора, VLAN-маршрутизації та IDS/IPS через Suricata. Наш досвід — 7+ років роботи з pfSense у продакшені, включаючи HA-кластери та складні правила фільтрації. Гарантуємо uptime 99.9% при правильній конфігурації.

Кожна інсталяція починається з аудиту поточної мережі: ми виявляємо вузькі місця, білі плями в політиках безпеки та точки відмови. Проектуємо схему VLAN, IP-адресації, правила NAT та firewall. Розгортаємо pfSense на виділеному залізі (Netgate appliances) або у віртуальному середовищі (ESXi, KVM, Hyper-V).

Базова архітектура та інтерфейси

Мінімальна конфігурація: два інтерфейси — WAN та LAN. Реальні інсталяції зазвичай складніші: кілька VLAN на одному фізичному інтерфейсі через тегування IEEE 802.1Q, OPT-інтерфейси для DMZ, окремий інтерфейс для управління.

Конфігурація VLAN через XML (або через GUI Interfaces → Assignments → VLANs):

<vlans>
  <vlan>
    <if>em1</if>
    <tag>10</tag>
    <descr>LAN-Users</descr>
  </vlan>
  <vlan>
    <if>em1</if>
    <tag>20</tag>
    <descr>DMZ-Web</descr>
  </vlan>
  <vlan>
    <if>em1</if>
    <tag>30</tag>
    <descr>MGMT</descr>
  </vlan>
</vlans>

На фізичному комутаторі порт у бік pfSense налаштовується як trunk з дозволеними VLAN 10, 20, 30.

Як pfSense обробляє правила фаєрвола?

pfSense обробляє правила зверху вниз, зупиняючись на першому збігу (first-match). Правило за замовчуванням — deny all. Це зворотна логіка від iptables з ACCEPT за замовчуванням. Важливо: правила застосовуються на вихідному інтерфейсі від точки зору трафіку. Часта помилка — плутати напрямок: правило на LAN застосовується до трафіку, що виходить З LAN, а не входить У LAN.

Типова схема правил для DMZ:

# Інтерфейс DMZ (VLAN 20):
# 1. Дозволити DMZ → Internet (HTTP/HTTPS для apt updates)
# 2. Дозволити DMZ → LAN-DB (TCP 5432 — тільки до серверів БД)
# 3. Заборонити DMZ → LAN (весь інший трафік в LAN)
# 4. Дозволити any → DMZ:443 (вхідний HTTPS через port forward)

Експорт правил в XML для бекапу та версіонування:

# Через pfSense API (fauxapi або офіційний REST API в pfSense Plus)
curl -k -X GET "https://192.168.1.1/api/v1/firewall/rule" \
  -H "Authorization: Bearer $TOKEN" > firewall-rules-backup.json

NAT: Port Forward та Outbound NAT

Port forwarding — стандартний сценарій для публікації внутрішніх сервісів:

Обмеження source IP в правилі port forward — pfSense дозволяє це зробити на рівні NAT, без окремого firewall-правила. Outbound NAT в режимі Hybrid дає гнучкість: автоматичний маскарад для більшості підмереж і фіксовані IP для винятків.

IDS/IPS через Suricata: переваги та налаштування

Suricata — потужний інструмент для аналізу трафіку. У pfSense він встановлюється як пакет і може працювати в inline-режимі (IPS) або пасивно (IDS). Inline-режим блокує пакети, IDS лише логує. Продуктивність: Suricata обробляє до 10 Gbps на сучасному залізі.

Базова конфігурація через GUI:

• Інтерфейс: WAN (вхідний трафік) або LAN (east-west)
• Ruleset: ET Open (безкоштовний), Emerging Threats Pro або Snort VRT
• Blocking Mode: Legacy (через pf) або Inline (NFQ)

Автоматичне оновлення правил через Cron — раз на 12 годин для ET Open.

Чому варто обрати HA кластер на CARP?

Для production-середовищ, де downtime неприпустимий, налаштовуємо High Availability через CARP. Два вузли pfSense, віртуальний IP на кожному інтерфейсі, синхронізація стану через pfsync. Вимоги: виділений sync-інтерфейс (прямий кабель або VLAN), пропускна здатність не менше 1 Gbps. У разі відмови первинного вузла вторинний перехоплює трафік без втрати сесій — гарантуємо перемикання менш ніж за секунду.

Порівняння з комерційними фаєрволами

pfSense на 50-70% дешевший за рішення від Cisco, Fortinet або Juniper при порівнянному функціоналі. Немає ліцензійних відрахувань, оновлення безкоштовні. Єдине обмеження — відсутність цілодобової підтримки від вендора, але ми закриваємо це питання своїм SLA (доступні тарифи 8/5 та 24/7).

Що входить у налаштування pfSense під ключ

1. Аудит мережі: аналіз топології, безпеки, продуктивності.
2. Проектування: схема VLAN, IP-політика, правила NAT, firewall, VPN.
3. Розгортання pfSense (фізично або віртуально).
4. Налаштування правил фаєрвола, NAT, VPN (IPsec/OpenVPN/WireGuard).
5. Встановлення та конфігурація Suricata (IDS/IPS).
6. Налаштування HA кластера (опціонально).
7. Тестування та оптимізація продуктивності.
8. Документування конфігурації, передача доступу до GUI.
9. Навчання команди основам адміністрування.
10. Підтримка 30 днів включена, далі за SLA.

Орієнтовні терміни

Вартість розраховується індивідуально після аудиту — зв'яжіться для оцінки. Наші сертифіковані інженери мають 10+ років досвіду в мережевій архітектурі. Отримайте консультацію щодо вашого проекту вже сьогодні.