[Thread ufficiale] pfSense Firewall

[lucfiz]

Buongiorno a tutti, ho bisogno di un aiuto per installare pfsense su un mini pc; premetto che non sono pratico di hardware.

Il mini pc è un Qtom Q190G4 con 4 porte LAN, processore Intel Celeron j1900v(Quad-Nucleo s2M Cache, 2GHz), hd 64Gb mSATA SSD, Ram 2Gb (1Rx8 DDR3 PC3L-10600S).
Sono intenzionato a cambiare il banco ram con uno da 8Gb solo che tutti quelli che sono riuscito a trovare sono di dimensioni più grandi.

Il banco da 2ram ha come dimensioni 6,8x3 ed entra alla perfezione nello slot del minipc mentre il più piccolo che sono riuscito a trovare da 8Gb misura 7,2x3 (Vedi ad esempio su Amazon Crucial CT102464BF160b da 8Gb DDR3L) e quindi non entrerà nello slot di dimensioni più piccole.

Qualcuno può aiutarmi a trovare una soluzione?

[Giux-900]

Originariamente inviato da lucfiz

Buongiorno a tutti, ho bisogno di un aiuto per installare pfsense su un mini pc; premetto che non sono pratico di hardware.

Il mini pc è un Qtom Q190G4 con 4 porte LAN, processore Intel Celeron j1900v(Quad-Nucleo s2M Cache, 2GHz), hd 64Gb mSATA SSD, Ram 2Gb (1Rx8 DDR3 PC3L-10600S).
Sono intenzionato a cambiare il banco ram con uno da 8Gb solo che tutti quelli che sono riuscito a trovare sono di dimensioni più grandi.

Il banco da 2ram ha come dimensioni 6,8x3 ed entra alla perfezione nello slot del minipc mentre il più piccolo che sono riuscito a trovare da 8Gb misura 7,2x3 (Vedi ad esempio su Amazon Crucial CT102464BF160b da 8Gb DDR3L) e quindi non entrerà nello slot di dimensioni più piccole.

Qualcuno può aiutarmi a trovare una soluzione?

strano non sono so-dimm ? ma hai errori sul banco di ram ? io ho pfsense su un pc con 2GB e va più che bene..

Dovresti chiedere nella sezione hardware dedicata alle ram, magari qualcuno sa a riguardo di formati più piccoli di so-dimm

[lucfiz]

Grazie Giux-900 per la risposta e sopratutto per la tua informazione sui 2Gb. Visto quanto mi scrivi, quindi, non starò li a impazzire a cercare gli 8Gb cui ero interessato solo per aver letto un post nella ricerca google "Istalling pfsense on Q190G4" in cui consigliavano gli 8Gb. Solo una domanda se posso, la versione di pfsense, dato che parliamo di 2Gb, è quella da 32bit e non da 64bit, giusto?
Grazie nuovamente

[Giux-900]

Originariamente inviato da lucfiz

Grazie Giux-900 per la risposta e sopratutto per la tua informazione sui 2Gb. Visto quanto mi scrivi, quindi, non starò li a impazzire a cercare gli 8Gb cui ero interessato solo per aver letto un post nella ricerca google "Istalling pfsense on Q190G4" in cui consigliavano gli 8Gb. Solo una domanda se posso, la versione di pfsense, dato che parliamo di 2Gb, è quella da 32bit e non da 64bit, giusto?
Grazie nuovamente

da intel leggo che la cpu supporta set 64bit, quindi puoi usare la versione a 64bit.

p.s. In uso normale mi occupa circa il 10% della ram (2GB)..

[lucfiz]

Giux-900, ottimo, seguo il tuo consiglio
Grazie per l'aiuto che mi hai dato.

[lucas72]

Ciao a tutti.
Ho deciso di iniziare a studiare il funzionamento di pfsense.
Ho installato l'ISO pfSense-CE-2.4.4-RELEASE-p3-amd64 su Vmware workstation che a sua volta è installata in windows 10 64bit su un notebook hp piuttosto datato.

questa la configurazione in VMware:



Il notebook è al momento collegato in wifi al mio router casalingo.
A fine installazione mi ritrovo nel prompt di pfsense che ha attribuito alla connessione wireless la porta WAN con IP 192.168.2.112 (assegnato dal dhcp del router) e come LAN ho un IP, diciamo, del tipo 192.168.10.1/24

tutto ok

Apro il browser del mio notebook e inserisco l'indirizzo IP della LAN e mi ritrovo alla pagina di login di pfsense e quindi nella dashborad.
Il problema è che dopo un po' non riesco più a navigare nell pannello e mi butta fuori in pratica.
Mi sono accorto che cambiando IP della lan (ad esempio dal precedente 192.168.10.1 a un 192.168.20.1) riesco ad entrare nella dashboard di nuovo ma poi mi ricapita lo stesso problema e ridevo ricambiare l'iP per poter rientrare.
Non ho capito quale possa essere il problema?
Potete aiutarmi?
Grazie

ps: poi non ho capito perché non riesco in alcun modo ad entrare nella dashborad quando il notebook è collegato in tethering al mio cell in tethering (nemmeno cambiando IP lan), ottenendo quindi l'iP della porta WAN da quest'ultimo.

[Giux-900]

la wide area network wan deve corrispondere all'indirizzo ip pubblico, se connetti pfsense come un normale host della lan tramite dhcp del router sarai con doppio nat.
Inoltre il consiglio è di dedicare un pc con due schede di rete, la scheda 1 con wan dal router settato solo come modem, la scheda 2 come interfaccia lan.

Non mi è chiara la topologia della tua configurazione, stai usando due notebook o sei sempre nello stesso notebook con vmware ?

[lucas72]

Originariamente inviato da Giux-900

la wide area network wan deve corrispondere all'indirizzo ip pubblico, se connetti pfsense come un normale host della lan tramite dhcp del router sarai con doppio nat.
Inoltre il consiglio è di dedicare un pc con due schede di rete, la scheda 1 con wan dal router settato solo come modem, la scheda 2 come interfaccia lan.

Non mi è chiara la topologia della tua configurazione, stai usando due notebook o sei sempre nello stesso notebook con vmware ?

Un solo notebook con Vmware.
La wan non ha un'indirizzo pubblico nel mio caso, ottiene l'ip dal mio router/AP casalingo per poi creare la LAN con la propria subnet e dhcp.

Ho adottato la stessa tipologia anche in altre occasioni con un router che otteneva un ip da un'altra rete dalla porta wan per poi "isolare" la mia LAN interna con differente subnet. In pratica ora vorrei replicare la stessa cosa, ma utilizzando PFsense in VM come router/firewall (vedi sopra per altre informazioni).

Il problema non è questo e in verità sono due i problemi.
Il primo è che pur ottenendo regolarmente l'IP dal router in collegamento wifi
(attribuito in pfsense alla porta WAN) e impostato l'indirizzo della rete LAN
come puoi vedere dall'immagine sotto:



una volta avviato il browser dallo stesso notebook , faccio il login ed entro regolarmetne nella pagina di impostazioni di pfsense.
Solo è che dopo un po' vengo "buttato fuori", la pagina cioè non risulta più raggiungibile. Cambiando l'indirizzo LAN e riprovando riesco di nuovo a loggarmi per essere però sempre e inesorabilmente ributtato fuori dopo un po'.

Il secondo problema è che quando lo collego in wifi al mio cell in tethering (quindi Ip wan fornito dal cellulare e non dal router/ap casalingo)non riesco in alcun modo a loggarmi nella dashboard di pfsense.

In poche parole ho fatto la stessa cosa dell'utente S.Faisal in questa discussione:

https://community.spiceworks.com/top...y-home-desktop

e questo invece un diagramma di quello che vorrei realizzare



Ci sto sbattendo la testa.
Spero che tu possa darmi qualche suggerimento. Grazie ancora

[xm4rcell0x]

Salve a tutti, ho scoperto il mondo pfSense da quasi un anno, ma non sapevo di questo thread ufficiale qui.
Buono a sapersi 😊
Ultimamente sto "combattendo" con due cose su pfSense
DNSBL e DNS over TLS
DNSoTLS l'ho configurato e impostato le floating rule e la regola di port forwarding sulla porta 53 in modo che tutto il traffico venga reindirizzato sul firewall .
Tuttavia con packet capture trovo ancora qualcosa che tenta di usare la 53 invece che la 853 (non so se ci riesce tenendo conto che ho la floating che blocca la 53).
Resto tranquillo o devo controllare altro?

Per quanto riguarda DNSBL, nonostante abbia settato i custom feed, vedo ancora gli ads 😅 (uso pfblockerng-devel)
Uso queste liste qui:
https://raw.githubusercontent.com/ho...ster/hosts.txt
https://mirror1.malwaredomains.com/files/justdomains
https://dbl.oisd.nl/
https://www.squidblacklist.org/downloads/dg-ads.acl
https://www.squidblacklist.org/downl...-malicious.acl
https://raw.githubusercontent.com/St...s/master/hosts

Grazie 😊

[xm4rcell0x]

Mi autorispondo, potrebbe essere utile per qualcuno.
Con DNSoTLS viene abilitato il forwarding mode da parte del resolver, quindi DNSBL non va come dovrebbe, perciò vedo ancora gli ads.

[xm4rcell0x]

Grazie 😊
Quindi hai un Pi che filtra gli ads.
Ad oggi è l'unico modo per avere entrambe le cose?

[xm4rcell0x]

Piccolo aggiornamento, sono riuscito a fare andare DNSBL su pfSense
Avevo erroneamente impostato un VIP non facente parte dell' RFC1918.
Ora funziona, insieme a DoT.
@pigr8 ti consiglio di dare un' occhiata a come è implementato "pihole" su pfSense.
(Consiglio di usare la developer edition)

[xm4rcell0x]

In pfblockerng-devel c'è la sottosezione feeds, dove ci sono tutte le black list possibili ed immaginabili, sia per IPv4 che IPv6 fino a quelle per il filtraggio DNS.
È di una semplicità disarmante, non devi nemmeno girare i forum per cercare i link .
A seconda della lista che utilizzi può esserci bisogno di mettere in whitelist qualche dominio.
Se può servire posso postare qualche screen.

[lucas72]

Ciao ragazzi, sono nuovo di pfsense.

Ho appena installato Pfsense CE-2.4.4 su un vecchio PC.
L'installazione è andata apparentemente liscia e riesco ad accedere alla GUI.

Come WAN ho collegato un adapter usb-Rj45 (amazon basic) che prende direttamente l'indirizzo WAN dal mio router che a sua volta è collegato a un modem router Vodafone. Per il momento ho preferito fare cosi, prima di collegare Pfsense direttamente al router principale. Giusto per fare delle prove in sicurezza e senza al momento fare cambiamenti.

La porta Ethernet del PC di cui sopra fa da porta LAN (ip rete interna 192.168.5.1), ho collegato ad essa un netbook giusto per gestire il firewall dalla GUI e navigare. Il problema è che il netbook non riesce ad accedere ad internet (icona rete con segno giallo). Dallo strumento ping di pfsense in Diagnostics riesco a pingare Google.com. Non ho capito quale sia il problema.
Potete aiutarmi?
Grazie

[lucas72]

Originariamente inviato da Pigr8

posta le regole del firewall, nat outbound

intendi queste?









Per la cronica. Stamattina ho avviato di nuovo pfsense e il netbook collegato alla LAN aveva l'icona attiva del collegamento ad internet.
Ho fatto un ping dalla finestra dei comandi dal netbook all'indirizzo IP di google (lo stesso usato in pfsense) con successo. Non riesco però ancora a navigare. Grazie

[malatodihardware]

A parte quella regola any any sulla WAN che ti sconsiglio di attivare quando sarai con la configurazione definitiva (per ora per fare delle prove va bene), il resto mi sembra ok.
Hai verificato che non sia un problema di DNS?

Inviato dal mio MI 8 utilizzando Tapatalk

[lucas72]

Originariamente inviato da malatodihardware

A parte quella regola any any sulla WAN che ti sconsiglio di attivare quando sarai con la configurazione definitiva (per ora per fare delle prove va bene), il resto mi sembra ok.
Hai verificato che non sia un problema di DNS?

Inviato dal mio MI 8 utilizzando Tapatalk

Ho inserito manualmente i dns di google o openDNs direttamente nella configurazione IPV4 della scheda di rete del netbook. Non cambia niente.
Grazie

Aggiornamento: Ho notato che all'avvio l'icona di rete del netbook appare sempre con il segno giallo di "collegamento internet" assente. Se poi lancio un ping il collegamento internent si stabilisce ("accesso ad internet").

[malatodihardware]

Sinceramente non e' mai stata molto affidabile l'indicazione di Windows, quindi non mi baserei su quella

[lucas72]

Originariamente inviato da malatodihardware

Sinceramente non e' mai stata molto affidabile l'indicazione di Windows, quindi non mi baserei su quella

Eh si, mi sa che hai ragione

Sto comunque al punto di partenza.

Aggiornamento: Comuqnue pare sia proprio un problema di DNS.
Ho inserito gli indirizzi IP di due siti nella barra degli indirizzi del browser del netbook e vengono caricati e visualizzati regolarmente.
Il problema è che adesso non so dove mettere le mani per risolvere.

Aggiornamento 2: Azz! Ho risolto! Ho disabilitato il DNS resolver e abilitato il DNS Forwarder. Non ho capito perché e se è la situazione ottimale ora?
Qualcuno può darmi delle delucidazioni?

[xm4rcell0x]

Non la so spiegare questa
Io uso il resolver e non ho problemi