Документация pfSense - настройка firewall и VPN

pfSense - это открытый межсетевой экран и маршрутизатор на базе FreeBSD для защиты периметра сети, NAT, VPN (IPsec, OpenVPN, WireGuard) и сегментации трафика. Данная документация охватывает установку, настройку и администрирование pfSense и ориентирована на опытных сетевых администраторов, в том числе мигрирующих с Cisco ASA, FortiGate и MikroTik.

Разделы

Установка и обновление

• Системные требования - минимальные и рекомендуемые требования к оборудованию, совместимость с виртуализацией
• Установка pfSense - пошаговая установка с подготовкой носителя и первоначальной настройкой
• Обновление pfSense - обновление между версиями, бэкап и откат

Файрвол

• Правила файрвола - создание правил, порядок обработки, floating rules, отслеживание состояний
• Алиасы - группировка адресов, сетей, портов и URL-таблиц
• Расписания - временные окна для автоматического управления правилами
• Лучшие практики - организация правил, типичные ошибки, миграция с других платформ

NAT

• Проброс портов - перенаправление входящего трафика на внутренние серверы
• 1:1 NAT - статическая двусторонняя трансляция адресов
• Исходящий NAT - автоматический, гибридный и ручной режимы

VPN

• IPsec Site-to-Site - туннели между площадками, подключение к оборудованию третьих сторон
• IPsec для мобильных клиентов - IKEv2 VPN для Windows, macOS, iOS и Android
• Диагностика IPsec - анализ логов, типичные ошибки Phase 1 и Phase 2
• OpenVPN удаленный доступ - сервер для удаленных сотрудников
• OpenVPN Site-to-Site - SSL VPN туннели между офисами
• Экспорт клиентов OpenVPN - генерация конфигов и установщиков для клиентов
• WireGuard VPN - настройка туннелей, подключение клиентов

Маршрутизация и сети

• Статические маршруты - настройка статических маршрутов и шлюзов
• Policy Routing - маршрутизация на основе политик и правил файрвола
• VLANs - создание VLAN, настройка транков и межсегментная маршрутизация
• Multi-WAN балансировка - распределение трафика между провайдерами
• Multi-WAN failover - автоматическое переключение при падении канала

Отказоустойчивость

• CARP и Virtual IPs - кластер высокой доступности с CARP
• Синхронизация конфигурации - XMLRPC sync и pfsync между узлами
• Сценарии отказоустойчивости - проектирование HA-кластеров для различных топологий

Управление трафиком

• Limiters - ограничение полосы пропускания per-IP и per-subnet
• Traffic Shaper Wizard - настройка QoS через визарды и вручную

Сервисы

• DHCP сервер - настройка DHCP сервера, статические привязки и DHCP Relay
• DNS (Resolver и Forwarder) - Unbound DNS Resolver, DNS Forwarder и переопределение записей
• Dynamic DNS - обновление DNS-записей при динамическом WAN-адресе
• NTP сервер - синхронизация времени для сетевых устройств

Управление и безопасность

• Сертификаты - управление CA, сертификатами и ACME/Let’s Encrypt
• Пользователи и аутентификация - локальные пользователи, LDAP, RADIUS
• Резервное копирование - бэкап конфигурации, восстановление и AutoConfigBackup

Мониторинг

• Графики мониторинга - RRD графики, трафик, системные ресурсы
• Системные логи - журналы, remote syslog, фильтрация
• Инструменты диагностики - ping, traceroute, packet capture, pfInfo

Пакеты и расширения

• Управление пакетами - установка, обновление и удаление пакетов
• Suricata IDS/IPS - система обнаружения и предотвращения вторжений
• pfBlockerNG - блокировка IP и DNS, GeoIP фильтрация
• HAProxy - обратный прокси и балансировка нагрузки

Сетевые интерфейсы и протоколы

• Типы интерфейсов - PPPoE, GRE, GIF, LAGG, QinQ и беспроводные
• Bridging - сетевые мосты и прозрачный файрвол
• Captive Portal - портал авторизации для гостевых сетей
• IPv6 - настройка IPv6, dual-stack, DHCPv6, SLAAC и NPt

Виртуализация и эксплуатация

• Виртуализация - ESXi, Proxmox, Hyper-V, KVM и облачные платформы
• Устранение неполадок - системная диагностика и решение типичных проблем
• Рецепты конфигурации - готовые сценарии настройки для типичных задач

Конфигурация системы

• Общие настройки - hostname, DNS, timezone, тема интерфейса
• Расширенные настройки - Admin Access, Firewall/NAT, сеть, уведомления
• Консольный доступ - консоль, SSH, восстановление доступа
• Беспроводные сети - точка доступа, WPA2/WPA3, несколько SSID

Разработка и автоматизация

• API и автоматизация - REST API, Ansible, Terraform, xmlrpc
• Пользовательские скрипты - shellcmd, cron, PHP скрипты, автозапуск
• Разработка пакетов - структура пакетов, XML манифест, FreeBSD порты
• Сборка pfSense - сборка из исходников, System Patches, pull requests

Справочные материалы

• Справочник по меню - полный справочник по всем пунктам веб-интерфейса
• Глоссарий терминов - словарь сетевых и pfSense-специфичных терминов
• Рецепты VPN - IPsec с Cisco/AWS/Azure, OpenVPN с AD, WireGuard
• Рецепты сетевые - VLAN изоляция, прокси, IPv6, LAGG
• Рецепты безопасности - харденинг, 2FA, IDS/IPS, PCI DSS, CIS
• Рецепты сервисов - HAProxy, SNMP, NetFlow, captive portal

Интеграции

• Мониторинг pfSense с помощью Wazuh - настройка Wazuh Agent в pfSense для работы с Yandex Cloud или VK Cloud
• pfSense packages and ISOs - репозиторий пакетов и установочных образов pfSense