pfSense: Die Firewall- & Routing-Lösung für Unternehmen · PDF filepfSense: Die...

pfSense: Die Firewall- &Routing-Lösung für Unternehmen

15. November 2013

Michael SteinfurthLinux/Unix Consultant & Trainer

B1 Systems GmbHsteinfurth@b1-systems.de

Vorstellung B1 Systems

gegründet 2004primär Linux/Open Source Themennational & international tätigüber 60 Mitarbeiterunabhängig von Soft- und Hardware-HerstellernLeistungsangebot:

Beratung & ConsultingSupportEntwicklungTrainingBetriebLösungen

dezentrale Strukturen

B1 Systems GmbHpfSense: Die Firewall- & Routing-Lösung

für Unternehmen 2 / 23

SchwerpunkteVirtualisierung (XEN, KVM & RHEV)Systemmanagement (Spacewalk, Red Hat Satellite, SUSEManager)Konfigurationsmanagement (Puppet & Chef)Monitoring (Nagios & Icinga)IaaS Cloud (OpenStack & SUSE Cloud)Hochverfügbarkeit (Pacemaker)Shared Storage (GPFS, OCFS2, DRBD & CEPH)Dateiaustausch (ownCloud)Paketierung (Open Build Service)Administratoren oder Entwickler zur Unterstützung des Teamsvor Ort

Werdegang von pfSense

2004: Projektstart als Fork von M0n0wall (BSD Lizenz)2004: Gründer sind Scott Ullrich & Chris Buechler2007: Gründungsjahr BSD Perimeter2007: Startschuss für kommerziellen Support2013: Release von pfSense 2.1 liefert nativen IPv6 Support2013: BSD Perimeter wird zu Electric Sheep Fencing

pfSense

ist eine FreeBSD-basierte Routing- & Firewall-PlattformProjektschwerpunkte

Server-HardwareEnterprise FeaturesFlexibilität

Embedded Images verfügbar (bspw. für PCEngines ALIX)Stand April über 167.000+ Live Deploymentsaktive Community von Entwicklerntheoretisch unlimitierte Anzahl an Netzwerkschnittstellen

pfSense

Enterprise Features 1/2

DHCP Server & DNS ForwarderVLANs & QinQ (IEEE 802.1q, 802.1ad)Link Aggregation (IEEE 802.3ad)CARP, ähnlich VRRP (RFC 5798)Tunnel-Protokolle & „Pseudo Wire“

OpenVPN, IPSEC, PPTPGRE, GIF, PPP, PPPoE

OSPFv3 & BGPv4 (via Quagga)

Network Address TranslationTraffic ShapingGateway-Gruppen

Failover & Load SharingPolicy-basiertes Routing

OS FingerprintingDeep Packet InspectionCaptive Portal, RADIUS, DynDNSnatives IPv6 & NDP, NPt, Broker, 6to4

Was pfSense (noch) nicht kann . . .

MPLS – Multi Protocol Label SwitchingTE – Traffic Engineering TunnelingVPLS – Virtual Private LAN ServiceSSTP – Secure Socket Tunneling ProtocolEoIP – Ethernet over IP Tunneling

WebConfigurator

primäres Werkzeug zur AdministrationPlattform basiert auf lighttpd und PHPflexibel durch XML-basiertes Konfigurations-BackendFeatures:

Multi-Benutzer-Fähigkeit inkl. Unterstützung für LDAPRollenbasierte Zugriffskontrolle (RBAC)Integrierte Zertifikatsverwaltung (ITU-T X.509)Alias-Verwaltung inklusive Autovervollständigungunmittelbarer Zugriff auf Tools für Troubleshooting

WebConfigurator

2.1-RELEASE

Abbildung: Dashboard

2.1-RELEASE

Abbildung: H/A Konfiguration

2.1-RELEASE

Abbildung: Echtzeit-Statistiken

Kommandozeile

Kommandozeilenzugriffphysikalisch via Terminalserieller Port (abhängig von Hardware)via Netzwerk & Secure Shell (SSH)

Troubleshooting erfordert meist erfahrenen BSD/UNIX AdminMenüführung ermöglicht Zugriff auf wichtigste FunktionenKonfigurationsänderungen nur via PHP (Konsistenz)Telnet wird nicht unterstützt

Kommandozeile

Kommandozeilen-Menü$ ssh root@pfs01.lab.b1-systems.de*** Welcome to pfSense 2.1-RELEASE-pfSense (amd64) on pfs01 ***

ISP1LEASE (wan) -> lagg0_vlan50 -> v4: 200.33.20.24/28LAN (lan) -> lagg0_vlan1001 -> v4: 172.16.19.2/16ISP2DIALUP (opt1) -> pppoe0 -> v4/PPPoE: 94.23.51.20/32DMZ (opt2) -> lagg0_vlan501 -> v4: 10.10.40.0/24

0) Logout (SSH only) 8) Shell1) Assign Interfaces 9) pfTop2) Set interface(s) IP address 10) Filter Logs3) Reset webConfigurator password 11) Restart webConfigurator4) Reset to factory defaults 12) pfSense Developer Shell5) Reboot system 13) Upgrade from console6) Halt system 14) Disable Secure Shell (sshd)7) Ping host 15) Restore recent configuration

Enter an option:

Anwendungsfälle

H/A Firewall Cluster

Abbildung: H/A Setup inkl. Switching Stack und Link Aggregation

maximal zwei Knoten (N+1)transparenter Failover von aktiven Verbindungenkein Load Sharing auf IP Layer (Active/Passive)

Traffic läuft ausschließlich über aktiven KnotenTechnologien

CARP – H/A auf IP Layer mit virtuellen IPspfsync – State Table Replikation (Verbindungen)XMLRPC – Replikation der pfSense-Konfiguration (HTTP/S)

VPN Appliance

VPN Appliance 1/2

AnwendungsfälleRoadwarrior → Anbindung mobiler EndgeräteSite-to-Site → standortübergreifende Anbindung

ermöglicht verschlüsselten Zugriff auf InfrastrukturParallelbetrieb von OpenVPN und IPSECBetrieb im H/A Cluster kein Problem (Active/Passive)

kein Load Sharing auf IP Layerkein transparenter Failover von aktiven VPN-Sitzungen, daunterbrochen bei Ausfall des aktiven Knoten

VPN Appliance 1/2

VPN Appliance 2/2

Unterstützung für Crypto-Engines (FreeBSD)Intel AES-NI (ab FreeBSD 9)HiFn PowerCrypt, 97XX, 77XX [..]AMD Geode LX (Embedded)

maximale Benutzeranzahl hardwareabhängig

VPN Appliance 2/2

Transparente Firewall

passive Filterung in „geswitchten“ Netzenzusätzlicher Schutz für Broadcast-basierte DiensteFirewall:

benötigt keine IP-Adresse im zu filternden Netz„passiv“, da aktiv kein Routing involviert

einfache Restriktion auf Layers 2-4 (ETHER,IP,PORT)kostengünstige Möglichkeit Netze abzusichernkeine Anpassung der IP-Konfiguration erforderlich!

Vielen Dank für Ihre Aufmerksamkeit!Bei weiteren Fragen wenden Sie sich bitte an info@b1-systems.de

oder +49 (0)8457 - 931096

pfSense: Die Firewall- & Routing-Lösung für Unternehmen · PDF filepfSense: Die...

Documents

Managed Next Generation Firewall Services - Tech Data · 2019-10-08 · Managed Next Generation Firewall Services. Gehen Sie bei der Firewall-Sicherheit kein Risiko ein. Unsere Cyber-Sicherheitsexperten

Manual Firewall Router

Firmenpräsentation Energie Network Lunch 28. Mai · PDF fileRadio Planning & Engineering Michael Birchmeier ... GSM-R, UMTS, Wifi, WiMAX, TETRAPOL, TETRA, ... Advanced Routing & Switching

Waterlogic 4 Firewall - Kaffee Magie Einzelprospekt.pdfWaterlogic 4 Firewall TM Unser Waterlogic 4 arbeitet mit der Firewall™-UV-Technologie und eliminiert Verunreinigungen. Diese

OpenSource Firewall Lösungen - DFN-CERT€¦ · Vorstellung Warum eine Firewall? OpenSource Lösungen Zusammenfassung Smoothwall IPCop M0n0wall Pfsense OpenSource Firewall Lösungen

Angular 2 - Routing Jax2016

Tactical Routing - ortec.com Brochure Tactical Routing... · ORTEC Tactical Routing, welches Sie bei der Optimierung Ihrer betrieblichen Prozesse unterstützt. Unser professionelles

OLSR & MANET routing

Routing dinamico:dinamico: Routing dinamico: IGRP e OSPF

Transit Nodes und Dynamic Highway Node Routing - behrisch.de · Einführung ransit-NoTde Routing Dynamic Highwy-Noade Routing ransitT Nodes und Dynamic Highway Node Routing Christian

Ausbildung zum Spezialisten· CCNA Security CCNA Voice CCNA ... · PDF fileCCNA (Cisco Certified Network Associate) Zertifizierung Nachweis für Ihre Routing & Switching Qualifikation:

Individueller Kundenservice durch emotional Routing

10 nützliche Funktionen, die Ihre Firewall bieten sollte · 2020-01-24 · 10 nützliche Funktionen, die Ihre Firewall bieten sollte. Inhalt Die Firewall wird erwachsen 1 Die Application

AVS-Extrem Routing im Einsatz · MMR-Routing mit unterschiedlichen Sendeleistungen der Sensorknoten (+/-10dBm) Routing auf der Baustelle Micro-Mesh-Routing (MMR) Auswertung Eine geringe

Die Firewall Was versteht man unter dem Begriff Firewall? Firewall / Zugangsschutzsystem: - Konzept zur Trennung von Netzbereichen - korrekte Umsetzung

Was ist routing

Routing im Intra- und Internet€¦ · §Statisches Routing mit mehr als einem Router ist arbeitsintensiv bei Änderungen und fehleranfällig Statisches vs. Dynamisches Routing 31.01.2018

Waterlogic 4 Firewall - Home €¦ · Waterlogic 4 Firewall® Unser Waterlogic 4 arbeitet mit der Firewall ®-UV-Technologie und eliminiert Verunreinigungen. Diese innovative Technologie,

Multicast Routing in Ad Hoc Netzwerken - ibr.cs.tu-bs.de · PDF fileMulticast Routing in Ad Hoc Netzwerken Oliver Finger Abstract Dieses Dokument befasst sich mit dem Multicast Routing

Teil 1 - Firewall & Si · PDF file8.3.1 ERSTELLUNG ICMP REGEL (PING) 33 8.3.2 VERTEIDIGUNG GEGEN „DENIAL OF SERVICE“ ATTACKEN 36 ... 9.1.1.2 Projekt-Software - Netfilter 40