Diferencia entre revisiones de «Cuestións resoltas sobre pfSense»

De MediaWiki
Ir a la navegación Ir a la búsqueda
 
(No se muestran 131 ediciones intermedias del mismo usuario)
Línea 3: Línea 3:
 
# Qué é PfSense?
 
# Qué é PfSense?
 
# Qué funcionalidades ten?
 
# Qué funcionalidades ten?
−
# Cales de ellas coñeces?
+
# Cales desas funcionalidades coñeces?
 
# Por qué xurdíu OpnSense e en qué se diferencian?
 
# Por qué xurdíu OpnSense e en qué se diferencian?
 
# Qué outras ferramentas con funcionalidade de firewall coñeces?
 
# Qué outras ferramentas con funcionalidade de firewall coñeces?
  
 
''Solucións''
 
''Solucións''
 +
#  É unha distribución de software libre personalizada de FreeBSD adaptada para o seu uso como firewall e enrutador
 +
# Por defecto ten as seguintes:
 +
## Firewall
 +
## State Table
 +
## Network Address Translation (NAT)
 +
## Alta disponibilidade
 +
## Multi-WAN
 +
## Balanceo de carga
 +
## VPN en IPsec, OpenVPN e PPTP
 +
## Servidor PPPoE
 +
## Servidor DNS
 +
## Portal Cautivo
 +
## Servidor DHCP
 +
#: Conta cun xestor de paquetes para ampliar as súas funcionalidades con máis de 70 módulos (Squid, IMSpector, Snort, ClamAV, ...)
 +
# Moitas delas vense nos módulo de ''Servizos en rede'', ''Redes locais'' e ''Seguridade informática''. Indica as que coñezas!
 
#  
 
#  
−
#  
+
#: Xurdíu no 2014 por cuestións técnicas (enfoques de seguridade e calidade do código) e de licenzamento (cambios de licenza máis restrictivos e dificultade de participación da comunidade para realmente ser proxecto de software libre)
−
#  
+
#: Son práciticamente idénticos en funcionalidade (aproximadamente 90%), compatibilidade de hardware e rendemento
−
#  
+
#: Hai diferenzas na interfaz gráfica (mellor OpnSense), coñecemento e difusion (mellor de pfSense) e seguridade (mellor OpnSense)
−
#
+
# [https://opnsense.org/ OPNSense], [https://www.endian.com/ Endian],[https://www.ipfire.org/ IPFire], [https://www.smoothwall.com/ SmoothWall]
  
 
= Pregunta 2 – Instalación =
 
= Pregunta 2 – Instalación =
 +
* [https://docs.netgate.com/pfsense/en/latest/install/download-installer-image.html Official documentatios]
 +
* [https://techexpert.tips/pfsense/pfsense-server-installation/  pfsense-server-installation - techexepert]
  
 
= Pregunta 3 – Usuarios y grupos =
 
= Pregunta 3 – Usuarios y grupos =
 +
* [https://www.netgate.com/resources/videos-user-management-and-privileges-on-pfsense Video user management and privileges on pfsense]
  
 
= Pregunta 4 – Actualizacións do sistema e copias de seguridade =
 
= Pregunta 4 – Actualizacións do sistema e copias de seguridade =
 +
* [https://www.netgate.com/resources/videos-backup-and-restore-with-pfsense-24 Video Backup and Restore with pfSense 2.4]
 +
* [https://www.netgate.com/resources/videos-upgrading-pfsense-software Video Upgrading pfSense software]
  
 
= Pregunta 5 – Configuración de Squid Proxy =
 
= Pregunta 5 – Configuración de Squid Proxy =
 +
* [https://www.netgate.com/resources/videos-squid-squidguard-and-lightsquid-on-pfsense-24 Video Squid, SquidGuard, and Lightsquid on pfSense 2.4]
 +
 +
'''Instalación do Squid Proxy no pfSense'''
 +
 +
Accedemos a:
 +
System -> Package Manager -> Available Packages
 +
 +
Buscamos Squid e pulsamos no botón install do que na lista de resultados e exactamente Squid.
 +
 +
Prememos no botón ''Confirm''.
 +
 +
Atopará o repositorio, descomprimirá e instalará as dependencia. Se todo vai ven indicará o seguinte:
 +
[[File:pfSense_pkg-squid_installation_succesfully_completed.PNG|center|200px|pfSense_pkg-squid installation succesfully completed]]
 +
 +
Poderemos comprobar que está funcionando correctamente accedendo a:
 +
Services -> Squid Proxy Sever
 +
 +
E a casilla ''Check to enable the Squid Proxy'' na sección ''Enable Squid Proxy'' estará habilitada.
 +
 +
Por defecto o porto será o 3128.
 +
 +
'''Configuración dos clientes'''
 +
 +
Nun dos equipos da Lan, configuramos o navegador (en [https://www.xatakawindows.com/telecomunicaciones/asi-puedes-configurar-una-conexion-proxy-en-windows-10-para-navegar-de-una-forma-mas-segura-por-la-red Windows 10], [https://docs.microsoft.com/en-us/troubleshoot/browsers/use-proxy-servers-with-ie Internet Explorer], [https://www.profesionalreview.com/2016/09/11/configurar-proxy-microsoft-edge/ Edge], [https://www.nettix.com.pe/documentacion/varios/como-configurar-un-proxy-en-mi-navegador-google-chromefirefoxinternet-explorer Chrome] ou [https://www.serviciosti.espol.edu.ec/filesManuales/Configuracion-del-proxy-en-Mozilla-Firefox.pdf Firefox]) para poder acceder a internet a través do Proxy.
 +
 +
En direccion ip a do noso servidor pfSense (por exemplo 192.168.2.1) e o porto do Squid (por defecto o 3128):
 +
[[File:PfSense_proxy_configuration_ip_and_port.PNG|center|300px|pfSense Proxy client configuration]]
 +
 +
Aora debería poder acceder a internet ese cliente.
 +
 +
'''Configuración para bloquear unha web'''
 +
 +
Accedemos a:
 +
Services -> Squid Proxy Sever -> ACLs
 +
 +
E no campo ''Blacklist'' introducimos a web. Por exemplo introducimos
 +
www.udc.es
 +
 +
Pulsamos o botón ''Save''.
 +
 +
E no navegador introducimos www.udc.es, e non nos vai permitir o acceso.
  
 
= Pregunta 6 – Configuración pfBlocker-NG =
 
= Pregunta 6 – Configuración pfBlocker-NG =
 +
* https://www.netgate.com/resources/videos/pfblockerng-on-pfsense.html
  
 
= Pregunta 7 – Configuración de Port Forwarding =
 
= Pregunta 7 – Configuración de Port Forwarding =
 +
* https://www.netgate.com/resources/videos/how-to-set-up-port-forwarding-in-pfsense-software.html
 +
* https://www.netgate.com/resources/videos/port-forward-troubleshooting-on-pfsense.html
  
 
= Pregunta 8 – Creación dunha entidade certificadora (Certificate Authority) e certificados para o servidor e os nosos clientes =
 
= Pregunta 8 – Creación dunha entidade certificadora (Certificate Authority) e certificados para o servidor e os nosos clientes =
 +
* https://www.netgate.com/resources/videos/certificate-management-on-pfsense-24.html
 +
* https://www.youtube.com/watch?v=vZpAIKJ9jyA
 +
 +
'''Creamos entidade certificadora'''
 +
Accedemos a:
 +
System -> Cert Manager
 +
 +
Na lapela CA (Certificate Authority) pulsamos no botón ''Add''.
 +
 +
Cubrimos os campos:
 +
* Description name: CA Ucha
 +
* Method: Create an internal Certificate Authority
 +
* Contruy Code: ES
 +
* State or Province: Galicia
 +
* City: Ferrol
 +
* Organization: CIPF Rodolfo Ucha
 +
* Common name: CA Ucha
 +
* Email address: elcorreoelectronico@gmail.com
 +
 +
O resto de campos deixámolos por defecto e pulsamos no botón ''Save''.
 +
 +
'''Creamos certificado para o servidor'''
 +
Accedemos a:
 +
System -> Cert Manager
 +
 +
Na lapela Certificates pulsamos no botón ''Add/Sign''.
 +
 +
Cubrimos os campos:
 +
* Method: Create an internal Certificate
 +
* Descriptive name: Certificado interno
 +
* Common Name: Certificado interno
 +
* Certificate Type: Server Certificate
 +
 +
O resto de campos deixámolos por defecto e pulsamos no botón ''Save''.
 +
 +
'''Creamos certificado para os clientes'''
 +
Accedemos a:
 +
System -> User Manager
 +
 +
E creamos un usuario:
 +
* username: pepeperez
 +
* password: Passw0rd
 +
* Full Name: Pepe Pérez
 +
* Certificate: Marcamos click to create a user certificate
 +
* Descriptive name: Certificate
 +
* Certificate authority: CA Ucha
 +
 +
Pulsamos no botón ''Save''.
 +
 +
= Pregunta 9 – Configuración OpenVPN para a conexión vpn a nosa rede interna =
 +
* https://docs.netgate.com/pfsense/en/latest/recipes/openvpn-ra.html
 +
* https://www.redeszone.net/tutoriales/vpn/pfsense-configuracion-servidor-openvpn/
 +
 +
Prerrequisitos: Temos a xestión de certificados feita do exercicio anterior
 +
 +
'''Creamos instancia de OpenVPN'''
 +
 +
Accedemos a :
 +
VPN -> OpenVPN
 +
 +
E na lapela WAN pulsamos o botón 'Add' e cubrimos os campos:
 +
* Protocol: Remote Access (SSL/TLS + User Auth)
 +
* Description: Conexión VPN
 +
* Server certificate: Certificado interno (Server: Yes, CA: CA Ucha)
 +
* IPv4 Tunnel Network: 10.35.40.10/24(red virtual a la cual nos clientes se van a conectar, y distinta a la red interna)
 +
* IPv4 Local Network: 192.168.2.0/24 (rango de direcciones IP internas de nuestra empresa)
 +
* Compression: Adaptive LZO Compressión (Legacy style, comp-lzo adaptive)
 +
* Verbosity level: 3 (recommended)
 +
 +
O resto de valores deixamolos por defecto, e pulsamos no botón ''Save''.
 +
 +
''' Configuramos reglas de acceso VPN'''
 +
 +
Accedemos a :
 +
Firewall -> Rules
 +
 +
Pulsamos no segundo botón de ''Add'' para engadir regra ó final, coa seguinte configuración:
 +
* Action: Pass
 +
* Protocol: UDP
 +
* Source: Any
 +
* Destination: Any
 +
* Destination Port Range
 +
** From: OpenVPN (1194)
 +
** To: OpenVPN (1194)
 +
* Description: Regra para permitir VPN
 +
 +
Pulsamos no botón ''Save'', e en ''Apply Changes''
 +
 +
''' Instalamos paquete de exportación da configuración VPN dos usuarios (''Client Export'')'''
 +
 +
Accedemos a:
 +
System -> Package Manager -> Available Packages
 +
 +
Buscamos openVPN e instalamos [https://docs.netgate.com/pfsense/en/latest/packages/openvpn-client-export.html openvpn-client-export].
 +
 +
[[File:pfSense_pkg-openvpn_client_export_successfully_completed.PNG|center|250px|pfSense - pkg-openvpn client export successfully completed]]
 +
 +
''' Accedemos a client export'''
 +
VPN -> OpenVPN
 +
 +
E na nova lapela Client Export, na sección OpenVPN Clients, descargamos para o usuario e o cliente desde que se conectará (no seguinte apartado farémolo cun cliente con W10).
 +
 +
''' Instalamos cliente de OpenVPN (nunha máquina con W10) '''
 +
 +
Supoñendo que a nosa interfaz WAN e 192.168.100.95 e o noso pfSense está na ip 192.168.2.1, probaremos a acceder desde unha máquina conectada directamente a conexión WAN, por exemplo na 192.168.100.157.
 +
 +
Neste escenario, desde esa máquina non será posible acceder a través do navegador o noso pfsense introducindo a ip 192.168.2.1 (a diferencia dun equipo que acceda dende a rede da LAN).
 +
 +
Instalaremos como administrador [https://openvpn.net/download-open-vpn/ o OpenVPN Client], no momendo de redactar este tutorial [https://openvpn.net/downloads/openvpn-connect-v3-windows.msi este seria o executable].
 +
 +
''' Configuramos e executamos o cliente OpenVPN'''
  
−
= Pregunta 9 – Configuración OpenVPN para la conexión vpn a nuestra red interna =
+
A continuación executaremos o ficheiro de configuración descargado na maquina anterior e transferido á esta nova máquina.
 +
 
 +
Executaremos o OpenVPN como administrador, e aora xa cargará coa configuración axeitada; se todo vai ben, na parte inferior dereita aparecerá a icona de estarse realizado a conexión.
 +
 
 +
Introducimos o nome de usuario e contrasinal, e xa debemos estar conectados.
 +
 
 +
''' Comprobamos o correcto funcionamento '''
 +
 
 +
No cmd:
 +
* Facemos un ipconfig E veremos na Local Area Connecion 2 un endero ip coma o 10.35.40.2
 +
* Facemos un route print, e veremos que entre outras terá a ruta a rede 192.168.100.0, via a nosa interfaz virtual (a 10.35.40.1)
 +
* Faemos un ping a 192.168.2.1, e responde correctamente
 +
 
 +
No navegador:
 +
* Xa poderemos acceder o noso pfsense introducindo a ip 192.168.2.1.
  
 
= Pregunta 10 – Creación e comprobación de reglas de filtrado =
 
= Pregunta 10 – Creación e comprobación de reglas de filtrado =
 +
* https://docs.netgate.com/pfsense/en/latest/firewall/fundamentals.html
 +
* https://docs.netgate.com/pfsense/en/latest/recipes/example-basic-configuration.html
 +
* http://resources.intenseschool.com/pfsense-series-firewall-rules/
  
 
= Pregunta 11 – Limitación do ancho de banda nas nosas redes =
 
= Pregunta 11 – Limitación do ancho de banda nas nosas redes =
 +
'''Configuración do limitador'''
 +
Acceda ó menú:
 +
 +
Firewall -> Traffic shaper
 +
 +
Na pantalla ''Traffic Shaper'' acceda á lapela ''Limiters''.
 +
 +
Cree un novo limitador '''Descargas''' e realice a seguinte configuración:
 +
* Enable: Marcado
 +
* Name: introduzca un nombre para identificar o limitador, por exemplo, limite_descargas
 +
* Bandwidth (Ancho de banda): 2 K/bit (estamos usando Kbits e non KBytes)
 +
* Mask: Source addresses
 +
 +
Teña en conta que equivalen: 20 KBytes a 160 Kbits <-> 160 Kbits a 20KBytes.
 +
 +
Na lapela ''Limiters'', cree un nuevo limitador '''Subidas''' e realice a siguiente configuración:
 +
* Enable: Marcado
 +
* Name: introduzca un nombre para identificar o limitador, , por exemplo, limite_subidas
 +
* Bandwidth (Ancho de banda): 1 K/bit (estamos usando Kbits e non KBytes)
 +
* Mask: Source addresses
 +
 +
'''Configuración da regra que utilizará o limitador'''
 +
 +
Crearemos unha regra de firewall que usará a configuración do limitador creado no paso anterior no ''Traffic shaper''
 +
 +
Acceda ó menú:
 +
 +
Firewall -> Rules
 +
 +
Fai clic no botón ''Add'' para agregar unha regra á parte superior dea lista.
 +
 +
Na pantalla de creación de reglas de firewall realice a siguiente configuración:
 +
* Action: Pass
 +
* Interface: LAN
 +
* Address family: IPV4
 +
* Protocolo: Any
 +
 +
Na área ''Source'' debemos establecer oo enderezo IP (ou rede) de orixen que se limitará.
 +
 +
No noso exemplo especificamos o enderezo IP de orixe 192.168.15.9/32.
 +
 +
Na área ''Advances options'' facemos clic no botón ''Display advanced''.
 +
 +
Nas opcións:
 +
* in-pipe: limite_descargas
 +
* out-pipe: limite_subidas
 +
 +
Pulsamos no botón ''Save'', e en ''Apply changes'' para volver a cargar as reglas do firewall coa nova configuración.
 +
 +
Haga clic en el botón Aplicar cambios para volver a cargar la configuración del firewall.
 +
 +
'''Proba de funcionamento'''
 +
 +
Comproba o funcionamento con o limitador e sen o limitador nalgunha web de proba de velocidade coma por exemplo:
 +
* https://www.speedtest.net/
 +
 +
Información paso a paso:
 +
* https://techexpert.tips/es/pfsense-es/pfsense-configuracion-del-modelador-de-trafico/
  
 
= Pregunta 12 – Configuración del acceso a la consola de administración usando SSH =
 
= Pregunta 12 – Configuración del acceso a la consola de administración usando SSH =
 +
Partimos de que por defecto non está habilitado o acceso a través de SSH.
 +
 +
Podes confirmar que non está habilitado o acceso mediante SSH a pfSense mirando as regras.
 +
 +
''' Alternativa 1 - Habilitando acceso a través da GUI'''
 +
Acceder a:
 +
System -> Advanced
 +
 +
E na lapela ''Admin Access'' marcar ''Enable Secure Shell''
 +
 +
''' Alternativa 2 - Habilitando acceso a través da shell'''
 +
Desde a pantalla de inicio na shell escolle a opción 14 para habilitar ou deshabilitar SSH
 +
 +
''' Comprobación do funcionamento '''
 +
# Comprobar que nas regras aparece a que habilita a conexión mediante SSH (Firewall -> Rules)
 +
# Comprobar que o servizo está levantado (Status -> Services)
 +
# Comprobar con putty o funcionamento realizando unha conexión
 +
## Desde entornos linux podes facelo co comando
 +
##: ssh ip_de_pfsense
 +
## Desde entornos windows podes facelo con putty
 +
 +
'''Ampliación '''
 +
Podes xestionar o acceso mediante certificados seguindo estas indicacións:
 +
* https://www.bytesizedalex.com/pfsense-ssh-key-authentication/
 +
* https://subscription.packtpub.com/book/networking_and_servers/9781849514866/1/ch01lvl1sec15/generating-authorized-rsa-keys
 +
 +
''' Troubleshooting '''
 +
 +
Por defecto so os usuarios ''admin'' e ''root'' teñen acceso por SSH. Se estas probando con outros usuarios deberán darlles acceso con:
 +
User - System - Shell account access privilege to login via SSH
 +
 +
O normal é habilitar o acceso a través da rede LAN e non da WAN por motivos de seguridade. Con todo nun entorno pedagóxico é posible facer esa configuración deste xeito:
 +
On the Firewall rule creation screen, perform the following configuration:
 +
Firewall -> Rules
 +
* Action – Pass
 +
* Interface – WAN
 +
* Address family – IPV4
 +
* Protocol – TCP
 +
 +
Na pantalla de ''Source configuration'' é necesario indicar o enderezo IP para o que se permite a conexión SSH; ou ''any'' para permitir todas.
 +
 +
Na pantalla ''Firewall destination'', configura deste xeito:
 +
* Destination – Wan address
 +
* Destination port range- From SSH (22) to SSH (22)
 +
 +
Na pantalla de ''Firewall Extra options'' introduce unha descripción para a regra.
 +
 +
Fai clic no botón de ''Save'', recarga as regras do firewall co botón ''Apply changes'' e xa debe estar habilitado o acceso a SSH a través de WAN.
 +
 +
= Pregunta 13 - Bloqueo del trafico HTTPS con certificados y en modo transparente=
 +
 +
* [https://www.youtube.com/watch?v=FnLLSlSjMSw Video #11: Pfsense 2.4.3 Squid SquidGuard Modo Transparente Filtrado HTTP HTTPS - YouTube]
  
 
= Pregunta 14 – Uso de Regular Expressions =
 
= Pregunta 14 – Uso de Regular Expressions =
Línea 41: Línea 343:
  
 
= Pregunta 16 – Configura DNS dinámicos como OpenDNS =
 
= Pregunta 16 – Configura DNS dinámicos como OpenDNS =
 +
Este sería o resumo de pasos:
 +
# Rexistro en OpenDNS
 +
# Habilitar a configuración DNS en pfSense
 +
# Deshabilitar DNS Resolver
 +
# Habilitar DNS Forwarder
 +
# Engadir a ip pública á configuración de OpenDNS e configurar categorías
 +
# Probar o funcionamento
 +
 +
Hai xeitos alternativos de facer esta configuración.
 +
 +
''' Rexistro en OpenDNS '''
 +
 +
Primeiro é preciso rexistrarse en OpenDNS. A opción Home é gratuita:
 +
* [https://www.opendns.com/home-internet-security/ Acceder a signup]
 +
 +
Tras cubrir formulario chega correo electrónico que debemos confirmar pulsando enlace.
 +
 +
'''Habilitar a configuración DNS en pfSense'''
 +
 +
A continuación, a configuración realizaráse no pfSense:
 +
System -> General Setup
 +
 +
E en ''DNS Server Settings'' anotamos a información correspondente:
 +
* 208.67.222.222
 +
* 208.67.220.220
 +
 +
'''Deshabilitar DNS Resolver'''
 +
 +
Proseguimos configurando un forwarder hacia estos DNS. Para iso deshabilitaremos o DNS Resolver:
 +
Services -> DNS Resolver -> General Settings
 +
 +
Desmarcamos a casilla Enable DNS Resolver.
 +
 +
E actualizamos gardando con ''Save'' e aplicando os cambios con ''Apply Changes''
 +
 +
'''Habilitar DNS Forwarder'''
 +
 +
Agora habilitaremos DNS Forwarder para indicarlle que redireccione todas as peticións DNS ós servidores DNS de OpenDNS. Para iso accedemos a DNS Forwarder:
 +
Services -> DNS Forwarder -> General Settings
 +
 +
En ''listen port'' introducimos 53 (é o porto de DNS) e novamente actualizamos gardando con ''Save'' e aplicando os cambios con ''Apply Changes'
 +
 +
'''Alternativa a pasos 2,3 e 4'''
 +
 +
Os pasos anteriores describiron a configuración para facer que todos os equipos resolvan as súas consultas DNS a través do noso pfSense, e este as redirixe ós servidores DNS de OpenDNS.
 +
 +
Outra alternativa sería configurar o servizo DHCP para que lles asigne a todos os equipos a configuración DNS dos servidores de OpenDNS.
 +
 +
Neste caso, debemos acceder a:
 +
Services -> DHCP Server -> LAN
 +
 +
E configurar no apartado Servers os campos DNS server:
 +
* 208.67.222.222
 +
* 208.67.220.220
 +
 +
'''Engadir a ip pública á configuración de OpenDNS e configurar categorías'''
 +
 +
Pulsar Add a network:
 +
[[File:OpenDNS_engadir_interfaz.png|center|border|OpenDNS configurando a interfaz]]
 +
 +
Automáticamente detecta a ip pública pola que estamos saíndo, ainda que podemos facer cambios.
 +
 +
Pide un nome amigable para gardar esta configuración e algunhas opcións se se trata dunha ip dinámica:
 +
[[File:OpenDNS_friendly_name.png|center|border|OpenDNS nome amigable e opcións]]
 +
 +
E finalmente facendo clic na ip podemos escoller o nivel de filtrado ou personalizar as categorías a bloquear. Por exemplo:
 +
[[File:OpenDNS_filtering_level.png|center|border|OpenDNS niveles de filtrado e categorías personalizadas]]
 +
 +
'''Alternativa a pasos 2,3,4 e 5'''
 +
 +
Introducir a información de OpenDNS no pfSense. Para isto acceder a:
 +
Services -> Dynamic DNS
 +
 +
Pulsar botón ''Add''.
 +
 +
E configurar do seguinte xeito:
 +
* Escoller do desplegable de ''Servicte Type'': OpenDNS
 +
* Deixar en ''interfaz to monitor'': WAN
 +
* Introducir hostname
 +
* Introducir ''username'' e ''password''
 +
 +
Gardar os cambios con 'Save'. Neste intre aparecerá en cached ip 0.0.0.0. Tardará uns minutos en refrescar, e cando o faga, amosará a nosa ip pública. Se nuns minutos non aparece podemos reiniciar o pfSense para asegurar que toma valor.
 +
 +
'''Probar o funcionamento'''
 +
 +
Intentar acceder a unha páxina web que deba estar bloqueada conforme a categoría escollida. Debería amosar o seguinte:
 +
[[File:OpenDNS_bloqueando_netflix.PNG|center|border|OpenDNS bloqueando acceso a netflix]]
 +
 +
'''Troubleshooting'''
 +
 +
Para que os cambios teñaan efecto é preciso que se refresque a información.
 +
 +
Para entornos windows son útiles os comandos de [https://apuntesjulio.com/como-utilizar-el-comando-ipconfig-en-windows/ ipconfig] con los parámetros:
 +
* /release
 +
* /renew
 +
* /registerdns
 +
* /flushdns
 +
* /displaydns
 +
 +
Para [https://www.cyberciti.biz/faq/howto-linux-renew-dhcp-client-ip-address/ entornos linux son útiles os comandos]:
 +
* [https://linuxize.com/post/linux-ip-command/ ip]
 +
* [https://wiki.cabal.mx/index.php/Comandos_de_la_terminal/dhclient dhclient]
 +
* [https://www.cyberciti.biz/faq/linux-restart-network-interface/ systemctl restart network.service]
 +
* [https://www.sololinux.es/como-usar-el-comando-nmcli-con-ejemplos/ nmcli con]
 +
 +
''' Curiosidade '''
 +
* Podes configurar con OpenDNS [https://support.opendns.com/hc/en-us/sections/206253627 o teu router de casa], [https://support.opendns.com/hc/en-us/sections/206253647 equipos] ou [https://support.opendns.com/hc/en-us/sections/206253707 nos teus dispositivos]
  
 
= Pregunta 17 – Bloqueo de descarga de ficheiros polo tipo de extensión =
 
= Pregunta 17 – Bloqueo de descarga de ficheiros polo tipo de extensión =
 +
Partimos de que xa temos instalado squid e squidGuard de modo transparente.
 +
 +
Accedemos a:
 +
Services -> SquidGuard Proxy Filter -> Target categories
 +
 +
Pulsamos ''Add'' e introducimos:
 +
* Name: Bloqueo descargas exe e zip
 +
* Regular Expression: .*\.(exe|zip)
 +
* Redirect mode: int error page (enter error page message)
 +
* Redirect: as descargas de ficheiros executables e comprimidos zip non están permitidas
 +
* Description: Con esta regra bloqueanse descargas de ficheiros exe e zip
 +
 +
Pulsamos ''Save''
 +
 +
Accedemos a lapela ''Common ACL'' e en ''Target Rules List'' na regla creada seleccionamos Deny.
 +
 +
Pulsamos ''Save''
 +
 +
E finalmente na lapela ''General Settings'' pulsamos ''Apply'.
 +
 +
Probamos a descargar un ficheiro exe ou zip, e aparecerá a mensaxe:
 +
* Request denied by pfSense proxy: 403 Forbidden
 +
* Reason: a que introducimos na mensaxe de redirect
 +
 +
'''Troubleshooting'''
 +
* [https://es.wikipedia.org/wiki/Ayuda:C%C3%B3mo_limpiar_la_cach%C3%A9#Limpiar_la_cach%C3%A9_en_navegadores_web Borra a caché do navegador]
  
 
= Pregunta 18 – Configuración de SafeSearch =
 
= Pregunta 18 – Configuración de SafeSearch =
 +
* [https://lifeoverlinux.com/how-to-configure-google-safe-search-on-pfsense/ Configuración de google con SafeSearch y host override]
  
 
= Pregunta 19 – Configuración do DHCP Server =
 
= Pregunta 19 – Configuración do DHCP Server =
 +
* https://www.netgate.com/resources/videos/dhcp-server-on-pfsense.html
 +
 +
''' Configuramos pfSense como servidor DHCP '''
 +
 +
* https://techbast.com/2019/05/pfsense-how-to-configure-dhcp-server-function-on-pfsense.html
 +
 +
Accedemos a:
 +
Services -> DHCP Server
 +
 +
Na lapela LAN,
 +
* Marcamos ''Enable DHCP Server on LAN interface''
 +
* En Range, introducimos o rango de enredezos IP que queremos asignar
 +
 +
Pulsamos botón ''Save''.
 +
 +
Supoñendo que tiveramos un servidor o que lle queremos asignar unha ip estática, en ''DHCP Static Mapping section for Interface'' pulsamos ''Add' e relacionamos IP e MAC.
 +
 +
''' Configuramos pfSense como DHCP Relay '''
 +
 +
* https://techbast.com/2019/05/pfsense-how-to-configure-dhcp-relay-function-on-pfsense.html
 +
 +
Cndo se desexa [https://techclub.tajamar.es/configuracion-dhcp-relay-agent/ utilizar servidores DHCP que se atopan aloxados nunha rede ou subrede diferente] pódese utilizar un axente DHCP relay.
 +
 +
Un DHCP relay é un dispositivo que recibe as solicitudes dos clientes en formato de broadcast e as reenvía como unicast o enderezo do servidor DHCP.
  
 
= Pregunta 20 – Configuración DNS =
 
= Pregunta 20 – Configuración DNS =
 +
* https://www.netgate.com/resources/videos/providing-local-dns-with-pfsense.html
 +
* https://www.netgate.com/resources/videos/local-dns-with-pfsense-24.html
 +
* https://www.bytesizedalex.com/pfsense-dns-resolution-for-dhcp-leases/
  
 
= Pregunta 21 – Configuración de notificacións =
 
= Pregunta 21 – Configuración de notificacións =
 +
Configurar unha conta de Gmail para notificacións de PfSense
 +
 +
* https://techexpert.tips/pfsense/pfsense-email-notification-setup/
 +
* https://www.bytesizedalex.com/pfsense-e-mail-notifications-with-google-gmail/
 +
* https://www.ceos3c.com/pfsense/set-e-mail-notifications-pfsense/
  
 
= Pregunta 22 – Portal cautivo =
 
= Pregunta 22 – Portal cautivo =
 +
* https://www.netgate.com/resources/videos/captive-portal-on-pfsense-2324.html
 +
 +
Accedemos a:
 +
Services -> Captive Portal
 +
 +
Pulsamos botón ''Add'' e introducimos:
 +
* Zone name: wifiportal
 +
* Zone description: Portal de Preuba
 +
 +
Pulsamos ''Save & Continue'' e marcamos a casilla ''Enable Captive Portal'' introducindo:
 +
* ''Interfaces'': Lan (afectaría á propia máquina virtual)
 +
* ''Maximum concurrent connections'': Campo opcional que restrinxe o número máximo de conexións
 +
= ''Idle timeout (Minutes)'': Campo opcional que forza a desconexión de usuarios que están sen actividade
 +
* ''Hard timeout (Minutes)'': Campo opcional que forza a desconexión de usuarios aínda estén con actividade
 +
* ''Logout popup window'': Campo opcional que permite ós usuarios desconectarse mediante una ''popup'' que aparecerá despois da súa autenticación
 +
* ''After autherntication Redirection URL'': Campo opcional que permite que os usuarios sean redireccionados a unha páxina web despois de autenticarse
 +
* ''After autherntication Redirection URL'': Campo opcional que fixa páxina web de redirección para enderezos MAC bloqueados
 +
* ''Defauld download/upload (Kbit/s): Campo opcional para limitar o ancho de banda
 +
* ''Authentication Method'': Tres opcións. ''No authentication'', ''Local User Manager / Vouchers'' ou ''RADIUS Authentication''. Para o exercicio, escolleremos a segunda opción
 +
* ''Allow only users/groups with "Captive portal login" privilege set'': Só os usuarios que teñan ese privilexio poderán acceder. Para o exercicio, poderemos desmcarcalo
 +
 +
Na sección HTML Page Contents, podemos personalizar as páxinas (se non collerá o tema de pfSense por defecto):
 +
* do portal cautivo
 +
* de erro na autentiación
 +
* de logout
 +
 +
Unha vez feitos todos os cambios precisos pulsaremos no botón ''Save''. Pode tardar uns minutos en tomar efecto o cambio (e se non é asi pode ser convinte un reinicio.
 +
 +
'''Comprobación do funcionamento'''
 +
 +
Cando finalmente todo vai ben accedemos o navegador cun equipo da LAN e pedirá autenticación no portal cautivo:
 +
 +
[[File: pfSense_Captive_Portal.PNG|center|300px|Autenticación no portal Cautivo de pfSense]]
 +
 +
Poderemos autenticarnos co usuario por defecto admin e contrasinal pfsense. Poderemos navegar por internet
 +
 +
Se pulsamos no ''popup'' o botón logout, cando volvamos a navegar, pediranos autenticarnos novamente.
 +
 +
'''Autenticación con voucher'''
 +
 +
Accedemos a:
 +
Services -> Captive Portal
 +
 +
E na lapela ''Vouchers'', pulsamos no check ''Enable the creation, generation and activation of rolls and vouchers'' introducimos:
 +
* ''Character Set'': O xogo de caracteres permitido. Non é boa idea escoller os díxitos 1 e 0 porque poden ser confundidos cos caracteres I e O.
 +
* ''Invalidad/Expired voucher message'': Mensaxe a amosar cando se introduce un voucher invalido ou expirado
 +
 +
Pulsamos no botón ''Save'' e quedan os cambios gardados.
 +
 +
'''Xeneración de ''Vouchers'' '''
 +
 +
Pulsamos no botón ''Add'' da sección ''Voucher Rolls'', e introducimos:
 +
* ''Roll #'': O nº de ''vouchers''. Por exemplo, 5
 +
* ''Minutes per ticket'': Tempo que é permitida a validez do ''voucher''. Por exemplo, para dúas horas introducimos 120
 +
* ''Count'': O contador de vouchers. Por exemplo, 10
 +
* ''Comment'': Comentario para identificar os ''vouchers''
 +
 +
'''Obtención dos ''Vouchers'''
 +
 +
Na lapela ''Vouchers'', na sección ''Voucher Rolls'' premememos na acción de exportar a CSV.
 +
 +
[[File:pfSense_descarga_vouchers.PNG|center|700px|Descarga dos ''vouchers'']]
 +
 +
'''Comprobación do funcionamento'''
 +
 +
Probamos o acceso novamente, e introducimos un ''voucher'' válido.
 +
 +
'''Troubleshooting'''
 +
 +
Pode ser necesario habilitar e deshabilitar o oportal cautivo para que tomen efecto os cambios.
  
 
= Pregunta 23 - Cuestións básicas de pfSense =
 
= Pregunta 23 - Cuestións básicas de pfSense =
Línea 60: Línea 598:
 
# Canta memoria require unha entrada da táboa de estados?
 
# Canta memoria require unha entrada da táboa de estados?
 
# Por qué e unha boa idea (tanto para pfSense como para a descarga doutro software) facer uso dos ''checksums''?
 
# Por qué e unha boa idea (tanto para pfSense como para a descarga doutro software) facer uso dos ''checksums''?
−
# Cal é a mellor elección de sistema de ficheiros para unha organización que (a) require sorporte para encriptación a nivel de sistema de ficheiros e ''data deduplication''? (b) require a maior compatibilidade hacia atrás posible?
+
# Cal é a mellor elección de sistema de ficheiros para unha organización que
 +
#: (a) require sorporte para encriptación a nivel de sistema de ficheiros e ''data deduplication''?
 +
#: (b) require a maior compatibilidade hacia atrás posible?
 
# Identifica os dous lugares onde se pode facer a asignación de interfaces en pfSense
 
# Identifica os dous lugares onde se pode facer a asignación de interfaces en pfSense
 
# Identifica cando menos catro tipos de configuracións válidas para unha interface pfSense
 
# Identifica cando menos catro tipos de configuracións válidas para unha interface pfSense
−
# Cal é a configuración por defecto para as ''Block Private Networks'' e os enderezos de ''loopback'' ... (a) na interface WAN ? (b) na interface LAN? (c) por qué?
+
# Cal é a configuración por defecto para as ''Block Private Networks'' e os enderezos de ''loopback'' ...  
 +
#: (a) na interface WAN ?
 +
#: (b) na interface LAN?
 +
#: (c) por qué?
 
# Identifica dous lugares na interfaz gráfica onde se pode configurar a zona horaria
 
# Identifica dous lugares na interfaz gráfica onde se pode configurar a zona horaria
 
# Identifica cando menos tres parámetros que poden ser configurados no ''Setup Wizard''
 
# Identifica cando menos tres parámetros que poden ser configurados no ''Setup Wizard''
Línea 69: Línea 612:
 
'''Solucións'''
 
'''Solucións'''
 
# [https://es.wikipedia.org/wiki/Zona_desmilitarizada_(inform%C3%A1tica) Zona desmilitarizada].  
 
# [https://es.wikipedia.org/wiki/Zona_desmilitarizada_(inform%C3%A1tica) Zona desmilitarizada].  
−
# '''Mínimos''' --> CPU: 500 MHz; RAM: 512 MB; espazo en disco: 1 GB. '''Recomendados''' --> CPU: 500 MHz; RAM: 512 MB; espazo en disco: 1 GB.  Fonte: [https://www.pfsense.org/products/ Documentación oficial de pfSense]
+
#
 +
#: '''Mínimos''' --> CPU: 500 MHz; RAM: 512 MB; espazo en disco: 1 GB.  
 +
#: '''Recomendados''' --> CPU: 500 MHz; RAM: 512 MB; espazo en disco: 1 GB.  Fonte: [https://www.pfsense.org/products/ Documentación oficial de pfSense]
 
# Aproximadamente 1 KB. Fonte: [https://docs.netgate.com/pfsense/en/latest/config/advanced-firewall-nat.html Documentación de pfSense]
 
# Aproximadamente 1 KB. Fonte: [https://docs.netgate.com/pfsense/en/latest/config/advanced-firewall-nat.html Documentación de pfSense]
 
# Os ''checksums'' son importantes para [https://www.howtogeek.com/363735/what-is-a-checksum-and-why-should-you-care/ asegurar a integridade dunha descarga]; así verificando o checksum dun binario pódese confirmar que a descarga finalizou correctamente e que non foi alterada por un terceiro
 
# Os ''checksums'' son importantes para [https://www.howtogeek.com/363735/what-is-a-checksum-and-why-should-you-care/ asegurar a integridade dunha descarga]; así verificando o checksum dun binario pódese confirmar que a descarga finalizou correctamente e que non foi alterada por un terceiro
−
# (a) [https://en.wikipedia.org/wiki/ZFS ZFS]. (b) [https://en.wikipedia.org/wiki/Unix_File_System UFS] Comentarios: Consulta que é a [https://en.wikipedia.org/wiki/Data_deduplication data deduplication]
+
#
 +
#: (a) [https://en.wikipedia.org/wiki/ZFS ZFS].
 +
#: (b) [https://en.wikipedia.org/wiki/Unix_File_System UFS] Comentarios: Consulta que é a [https://en.wikipedia.org/wiki/Data_deduplication data deduplication]
 
# A través da consola / shell e a través da interface gráfica web  
 
# A través da consola / shell e a través da interface gráfica web  
 
# Posibles respostas válidas: Static; DHCP; PPTP; PPPoE; PPP; L2TP.
 
# Posibles respostas válidas: Static; DHCP; PPTP; PPPoE; PPP; L2TP.
−
# (a) Enabled. (b) Disabled. (c) As ''Block Private Networks'' están bloquedas na interface WAN porque os enderezos privados por definición non son enrutables e nunca deberían pasar a través da interface WAN interface. Na interface LAN e outras interfaces locais, o habitual e que queramos que funcionen os enderezos privados
+
#
 +
#: (a) Enabled.  
 +
#: (b) Disabled.
 +
#: (c) As ''Block Private Networks'' están bloquedas na interface WAN porque os enderezos privados por definición non son enrutables e nunca deberían pasar a través da interface WAN interface. Na interface LAN e outras interfaces locais, o habitual e que queramos que funcionen os enderezos privados
 
# A través do ''Setup Wizard'' e a través de System | General Setup.
 
# A través do ''Setup Wizard'' e a través de System | General Setup.
 
# Posibles respostas válidas: Hostname, Domain, DNS Servers, Timezone, NTP Server, WAN Interface, LAN Interface,Password.
 
# Posibles respostas válidas: Hostname, Domain, DNS Servers, Timezone, NTP Server, WAN Interface, LAN Interface,Password.
Línea 81: Línea 631:
 
= Pregunta 24 - Cuestións avanzadas de pfSense =
 
= Pregunta 24 - Cuestións avanzadas de pfSense =
 
'''Cuestións'''
 
'''Cuestións'''
−
# (a) Qué capa de transporte utiliza DHCP BOOTP? (b) Qué portos utiliza DHCP?  
+
#  
−
# (a) Qué capa de transporte utiliza BOOTP? (b) Qué portos utiliza BOOTP?  
+
#: (a) Qué capa de transporte utiliza DHCP BOOTP?
 +
#: (b) Qué portos utiliza DHCP?  
 +
#  
 +
#: (a) Qué capa de transporte utiliza BOOTP?
 +
#: (b) Qué portos utiliza BOOTP?  
 
# Cales son os '' Router Advertisement (RA)'' flag settings que corresponden a habilitar Stateless DHCP (coñecido coma SLAAC)?
 
# Cales son os '' Router Advertisement (RA)'' flag settings que corresponden a habilitar Stateless DHCP (coñecido coma SLAAC)?
 
# Cales son os dous servizos que pfSense ten para DNS?
 
# Cales son os dous servizos que pfSense ten para DNS?
−
# (a) Qué capa de transporte utiliza DNS? (b) Qué portos utiliza DNS?  
+
#  
 +
#: (a) Qué capa de transporte utiliza DNS?
 +
#: (b) Qué portos utiliza DNS?  
 
# Que ventaxa ten DDNS sobre os o servizo tradicional DNS?
 
# Que ventaxa ten DDNS sobre os o servizo tradicional DNS?
 
# Qué tres tipos de autenticación soporta o servico de portal cautivo de pfSense?
 
# Qué tres tipos de autenticación soporta o servico de portal cautivo de pfSense?
 
# Qué campo debe existir na páxina de login do portal cautivo cando está habilitada a autenticación por voucher?
 
# Qué campo debe existir na páxina de login do portal cautivo cando está habilitada a autenticación por voucher?
 
# Qué son as ''management information bases (MIBs)''?
 
# Qué son as ''management information bases (MIBs)''?
−
# Qué e SNMP? CAl é o seu porto por defecto?
+
# Qué e SNMP? Cal é o seu porto por defecto?
  
 
'''Solucións'''
 
'''Solucións'''
−
# (a) Transport Control Protocol (TCP). (b) 67 e 68.  
+
#  
−
# (a) User Datagram Protocol (UDP). (b) 67 e 68.
+
#: (a) Transport Control Protocol (TCP).  
 +
#: (b) 67 e 68.  
 +
#
 +
#: (a) User Datagram Protocol (UDP).  
 +
#: (b) 67 e 68.
 
# M flag: 0; O flag: 1; L flag: 1; A flag: 1.
 
# M flag: 0; O flag: 1; L flag: 1; A flag: 1.
 
# ''DNS Resolver'' (por defecto) e ''DNS Forwarder''.
 
# ''DNS Resolver'' (por defecto) e ''DNS Forwarder''.
−
# (a) UDP. (b) 53.
+
#
 +
#: (a) UDP.
 +
#: (b) 53.
 
# Pode ser actualizado moito máis rápido que o DNS tradicional facendoo axeitado para escenarios nos que o enderezo IP asociado cun dominio cambia frecuentemente
 
# Pode ser actualizado moito máis rápido que o DNS tradicional facendoo axeitado para escenarios nos que o enderezo IP asociado cun dominio cambia frecuentemente
 
# User Manager, Voucher, and RADIUS.
 
# User Manager, Voucher, and RADIUS.
Línea 109: Línea 671:
 
# Calesson os ID numbers míimos e máximos para VLAN tags?
 
# Calesson os ID numbers míimos e máximos para VLAN tags?
 
# Nomea dous métodos utilizados para VLAN hopping.
 
# Nomea dous métodos utilizados para VLAN hopping.
−
# Cal debe ser o valor do campo ''priority code point'' (PCP) para asegurar o tratamento coñecido coma ''best effort''?
+
# Cal debe ser o valor do campo [https://en.wikipedia.org/wiki/IEEE_P802.1p#Priority_levels ''priority code point'' (PCP)] para asegurar o tratamento coñecido coma ''best effort''?
 
# Cal é a principal vantaxe do ''QinQ VLAN tagging''?
 
# Cal é a principal vantaxe do ''QinQ VLAN tagging''?
−
# Identifica dúas ventadas do uso de ''link aggregation''.
+
# Identifica dúas ventadas do uso de [https://en.wikipedia.org/wiki/Link_aggregation ''link aggregation''].
 
# Qué regra crea automáticamente o ''firewall'' pfSense para unha interface opcional (coma OPT1)?
 
# Qué regra crea automáticamente o ''firewall'' pfSense para unha interface opcional (coma OPT1)?
 
# Identifica dous tipos de portos que deben ser configurados no switch para que a configuración VLAN quede completada.
 
# Identifica dous tipos de portos que deben ser configurados no switch para que a configuración VLAN quede completada.
Línea 121: Línea 683:
 
# 1, 4094.
 
# 1, 4094.
 
# ''Switch spoofing'', ''double tagging''.
 
# ''Switch spoofing'', ''double tagging''.
−
# 7.
+
# 1.
 
# Incrementa o número posible de VLANs (16,752,649 con un único nivel de anidamento, sendo posible un número maior con tamén maior nivel de anidamento).
 
# Incrementa o número posible de VLANs (16,752,649 con un único nivel de anidamento, sendo posible un número maior con tamén maior nivel de anidamento).
 
# Increased throughput (aumento de rendemento) e redundancia.
 
# Increased throughput (aumento de rendemento) e redundancia.
 
# Ningunha (temos que crear nos as regras que permiten accesos dende as VLANs a outras redes).
 
# Ningunha (temos que crear nos as regras que permiten accesos dende as VLANs a outras redes).
 
# Trunk ports and VLAN ports.
 
# Trunk ports and VLAN ports.
−
# PVID.
+
# PVID. Fonte: [https://www.tlm.unavarra.es/~daniel/docencia/ftpr/ftpr19_20/slides/Tema2-03-VLANs.pdf Diapositiva 6]
−
# Static, Dynamic Trunking Protocol (DTP), VLAN Trunking Protocol (VTP).
+
# Static, [https://es.wikipedia.org/wiki/Dynamic_Trunk_Protocol Dynamic Trunking Protocol (DTP)], [https://es.wikipedia.org/wiki/VLAN_Trunking_Protocol VLAN Trunking Protocol (VTP)].
  
 
= Pregunta 26 - Filtrado de tráfico con reglas =
 
= Pregunta 26 - Filtrado de tráfico con reglas =
 
'''Cuestións'''
 
'''Cuestións'''
−
# Cndo creamos regras no filtrado, qué principio deberíamos aplicar?
+
# Cando creamos regras no filtrado, qué principio deberíamos aplicar?
 
# Cal é a diferenza entre ''Block'' e ''Reject'' no filtrado de tráfico?
 
# Cal é a diferenza entre ''Block'' e ''Reject'' no filtrado de tráfico?
−
# Our network has two interfaces: WAN and LAN. The only two rules created so far are the IPv4 and IPv6 "Allow LAN to any" rules that pfSense creates when the LAN interface is initially assigned. We create a rule to block Recode with the following settings: Action = Reject; Interface = LAN; Address Family = IPv4 + IPv6; Protocol = TCP; Source = LAN net; Destination = 151.101.21.52 (Recode's IP address). We place the rule at the bottom of the LAN rules table. What happens when we try to access Recode?
+
# A nosa rede ten dúas interfaces: WAN ae LAN. As únicas regras son as creadas por pfSense cando interfaz LAN e inicialmente asignada:  IPv4 e IPv6 "Allow LAN to any". Creamos entón unha regra para bloquear Recode coa seguinte configuración:
−
Assume we have created the same rule as the one in Question 2, but we place it at the top of the LAN rules table. Now what happens when we try to access Recode?
+
#: Action = Reject; Interface = LAN; Address Family = IPv4 + IPv6; Protocol = TCP;  
−
# Assume we have the same ruleset as Question 2, but we also create a floating rule with the following settings; Action = Pass; Quick = Disabled; Interface = LAN; Direction = in; Address Family = IPv4+IPv6; Protocol = Any; Source = Any; Destination = Any. The Block Recode rule is at the top of the LAN rules table. (a) After we enable the new floating rule, what happens when we try to access Recode? (b) If we change the Quick setting on this rule to Enabled and reload the firewall rules, what happens when we try to access Recode? (c) After we change the Quick setting to Enabled, what effect do the "Allow LAN to any" rules have on traffic?
+
#: Source = LAN net; Destination = 151.101.21.52 (O enderezo IP de Recode).  
 +
#: Se colocamos esa regra ao final da táboa de regras LAN...que acontece cando queremos acceder a Recode?
 +
# Co mesmo escenario, pero coloando esa regra ao final da táboa de regras LAN...que acontece aora cando queremos acceder a Recode?
 +
# Co mesmo escenario, pero ahora creamos unha regra flotante coa seguinte configuración:
 +
#: Action = Pass; Quick = Disabled; Interface = LAN; Direction = in; Address Family = IPv4+IPv6; Protocol = Any;  
 +
#: Source = Any; Destination = Any.  
 +
#: The Block Recode regra está ubica enriba na táboa de reglas LAN.  
 +
#: (a) Despois de habilitar a nova regra flotante, que acontece cando intentamos acceder a Recode?
 +
#: (b) Cambiamos a configuración rápida de esta regla a ''Enable'' e recargamos as regras do firewall...que acontece cando intentamos acceder a Recode??
 +
#: (c) Despois de cambiar a configuración rápida a ''Enabled'', que efecto ten no tráfico ''"Allow LAN to any"''
 
# Nomea catro tipos de ''alias''.
 
# Nomea catro tipos de ''alias''.
 
# Describe tres métodos para crear ''alias'' con múltiples enderezos IP.
 
# Describe tres métodos para crear ''alias'' con múltiples enderezos IP.
Línea 143: Línea 714:
 
# [https://es.wikipedia.org/wiki/Principio_de_m%C3%ADnimo_privilegio Principio de mínimo privilegio]
 
# [https://es.wikipedia.org/wiki/Principio_de_m%C3%ADnimo_privilegio Principio de mínimo privilegio]
 
# ''Block descarta o tráfico silenciosamente'' mentras que ''Reject'' devolve un paquete (RST para TCP ou ICMP Port Unreachable para UDP).
 
# ''Block descarta o tráfico silenciosamente'' mentras que ''Reject'' devolve un paquete (RST para TCP ou ICMP Port Unreachable para UDP).
−
# We will be able to connect to Recode; the block rule will have no effect because it was placed after the "Allow LAN to any" rule.
+
# Poderemos conectar a Recode; o bloque de reglas non surte efecto porque foi situado despois da regra '' "Allow LAN to any"''.
−
# We will not be able to connect to Recode; the block rule will match the traffic to Recode before the “Allow LAN to any” rule.
+
# '''NON ''' poderemos conectar a Recode; o bloque de reglas fai match do tráfico a Recode antes da regra '' “Allow LAN to any”''.
−
# (a) We will not be able to connect to Recode; the new “default allow” rule will be invoked after the block rule. (b) We will be
+
#  
−
able to connect to Recode; the new "default allow" rule will be invoked before the block rule. (c) The default "Allow LAN to any"
+
#: (a) '''NON ''' poderemos conectar a Recode; a nova regra ''“default allow”'' sera invocada despois da rega de block.
−
rules have no effect on traffic flow anymore because they are never reached; the floating "default allow" rule is invoked first.
+
#: (b) Poderemos conectar a Recode; a nova regra "default allow" será invocada antes da regra ''block''.
 +
#: (c) As regras por defecto ''"Allow LAN to any"'' non teñen efecto no fluxo do tráfico porque nunca son alcanzadas; a regra flotante "default allow" es invocada primeiro.
 
# IP, Network, Port, URL. Fonte: [https://docs.netgate.com/pfsense/en/latest/firewall/aliases.html Documentación oficial sobre alias]
 
# IP, Network, Port, URL. Fonte: [https://docs.netgate.com/pfsense/en/latest/firewall/aliases.html Documentación oficial sobre alias]
−
# (a) Navigate to Firewall | Aliases, click on the IP tab, click on Add, and enter each IP address manually; (b) navigate to Diagnostics | DNS Lookup, perform a DNS lookup, and create an alias from it; (c) navigate to Firewall | Aliases, click on the Import button, do a bulk import.
+
#
 +
#: (a) Navegar a Firewall | Aliases, na lapela IP facer clic en ''Add'', e introducir cada enderezo IP manualmente
 +
#: (b) Navegar a Diagnostics | DNS Lookup, realizar un ''DNS lookup'', e crear un alias da mesma
 +
#: (c) Navegar a Firewall | Aliases, facer clic no botón ''Import button'', e facer un ''bulk import''.
 
# [https://docs.netgate.com/pfsense/en/latest/firewall/virtual-ip-addresses.html#ip-alias IP Alias]
 
# [https://docs.netgate.com/pfsense/en/latest/firewall/virtual-ip-addresses.html#ip-alias IP Alias]
  
Línea 155: Línea 730:
 
'''Cuestións'''
 
'''Cuestións'''
 
# Qué outras tecnoloxías distintas de NAT permiten xestionar o agotamento do espazo de enderezos en IPv4?.
 
# Qué outras tecnoloxías distintas de NAT permiten xestionar o agotamento do espazo de enderezos en IPv4?.
−
# If we initially install pfSense and configure the interfaces with IPv4 addresses only, do we need to alter the Outbound NAT settings? Why or why not?
+
# Se instalamos pfSense e configuramos as interfaces só con enderezos IPv4, necesitamos cambiar a configuración de ''Outbound NAT''? Por qué si ou por qué non?
−
# If Automatic Outbound NAT is selected, how many rules are created for each non-WAN interface?
+
# Se está seleccionado ''Automatic Outbound'', cantas regradas son creadas para cada interfaz non-WAN?
−
# We have an FTP server that must be made accessible to the internet and also must be accessible within our private network. We want to assign this server its own public IP address. What type of NAT should we use?
+
# Temos un servidor FTP que debe ser accesible a intenrnet e a nosa rede privada. Queremos asignarlle a este servidor o seu enderezo IP Público. Qué tipo de NAT deberíamos usar?
−
# What will happen if we create a Port Forwarding entry and set Filter rule association to None, assuming we do not make any
+
# Qué pasará se creamos unha entra de ''Port Forwarding'' e fixarmos a ''Filter rule00 asociada a ''None''? Asume que non hai ningún outro cambio nas regras do firewall?
−
changes to the firewall rules?
 
 
# Por qué habitualmente deixamos o ''Source set'' a ''any'' na entrada de ''Port Forwarding''?
 
# Por qué habitualmente deixamos o ''Source set'' a ''any'' na entrada de ''Port Forwarding''?
−
# Queremos crear unha entrada de ''Port Forwarding'' de xeito que fagamos o Remote Desktop Protocol (que normalmente corre no porto 3389) sexa accessible desde internet no portp 7000. (a) Como debe ser fixado o ''Destination port range''? (b) Como debe ser fixado o ''Redirect port range''?
+
# Queremos crear unha entrada de ''Port Forwarding'' de xeito que fagamos o Remote Desktop Protocol (que normalmente corre no porto 3389) sexa accessible desde internet no portp 7000.
−
# (a) Qué razóns pode haber para implementar [https://docs.netgate.com/pfsense/en/latest/nat/npt.html NPt] nunha rede IPv6?. (b) Qué alternativas a NPt recomenda o IETF?
+
#: (a) Como debe ser fixado o ''Destination port range''?
 +
#: (b) Como debe ser fixado o ''Redirect port range''?
 +
#  
 +
#: (a) Qué razóns pode haber para implementar [https://docs.netgate.com/pfsense/en/latest/nat/npt.html NPt] nunha rede IPv6?.  
 +
#:(b) Qué alternativas a NPt recomenda o IETF?
  
 
'''Solucións'''
 
'''Solucións'''
Línea 171: Línea 749:
 
# El tráfico del ''port forwarding'' será bloqueado polo ''firewall''.
 
# El tráfico del ''port forwarding'' será bloqueado polo ''firewall''.
 
# Normalmente non nos interesa a orixe do tráfico entrante.
 
# Normalmente non nos interesa a orixe do tráfico entrante.
−
# (a) 7000; (b) 3389.
+
#  
−
# (a) [https://es.wikipedia.org/wiki/Multihoming Multihoming] e [https://searchnetworking.techtarget.com/feature/Aggregation-in-IPv6-routing-curbs-effects-of-Internet-growth ''route aggregation'']. (b) [https://es.wikipedia.org/wiki/DHCPv6 DHCPv6].
+
#:(a) 7000
 +
#:(b) 3389
 +
#
 +
#: (a) [https://es.wikipedia.org/wiki/Multihoming Multihoming] e [https://searchnetworking.techtarget.com/feature/Aggregation-in-IPv6-routing-curbs-effects-of-Internet-growth ''route aggregation''].
 +
#: (b) [https://es.wikipedia.org/wiki/DHCPv6 DHCPv6].
  
 
= Pregunta 28 - Traffic Shaping =
 
= Pregunta 28 - Traffic Shaping =
 
'''Cuestións'''
 
'''Cuestións'''
−
# What is the purpose of traffic shaping?
+
# Cal é o propósito do [https://es.wikipedia.org/wiki/Conformado_de_tr%C3%A1fico conformado de tráfico] ([https://en.wikipedia.org/wiki/Traffic_shaping traffic shaping])?
−
# (a) Identify the three types of queuing supported by the pfSense traffic shaper. (b) Identify a queuing discipline that tends to ensure that low-priority traffic is not starved of bandwidth. (c) Identify a queuing discipline that uses a two-part nonlinear curve and decouples bandwidth from latency.
+
#
−
# Can we implement Layer 7 traffic shaping with the built-in pfSense traffic shaper? Assume we are using the current version of pfSense.
+
#: (a) Identifica os tres tipos de colas soportados polo pfSense ''traffic shaper''.
−
# Identify the two wizards with which we can implement traffic shaping in pfSense using the built-in traffic shaper.
+
#: (b) Identifica unha disciplina de colas que tende a asegurar que o tráfico de baixa prioridade non queda sen ancho de banda
−
# Identify a type of queue which provides for end-to-end notification of network congestion without dropping packets.
+
#: (c) Identifica unha disciplina de cola que usa una curva nonlineal de dúas partes e desacopla o ancho de banda da latencia.
−
# Under which tab can you find the firewall rules generated by the built-in pfSense traffic shaping wizard? (Hint: It is the only rules category that has a Match option for Action.)
+
# Podemos xestionar a nivel de capa 7 o traffic shaping coa instalación por defecto de pfSense?
 +
# Identifica ous dous asistentes cos que podemos implementar ''traffic shaping'' en pfSense co traffic shaper que trae por defecto.
 +
# Identifica un tipo de cola que provee notificación extremo-a-extremo da conxestión da rede sen descartar paquetes.
 +
# Onde podes atopar as regras do firewall xeneradas polo ''traffic shaping wizard'' de pfSense?? (Pista: É a única categoría de regras que ten unha ''Match option'' para Action.)
 
# Qué interfaces están habilitadas por defecto cando instalamos Snort?
 
# Qué interfaces están habilitadas por defecto cando instalamos Snort?
−
# How can we determine the length of a pfSense queue?
+
# Cómo podemos determinar a lonxitude dunha cola pfSense?
  
 
'''Solucións'''
 
'''Solucións'''
−
# To ensure that network traffic conforms to certain predefined constraints.
+
# Asegurar que o tráfico da rede cumpre con certas restriccións predefinidas.  A finalidade e optimizar ou guarantizar o rendemento, mellorar a latencia, ou incrementar o ancho de banda disponible para algúns tipos de paquetes retrasando outros menos prioritarios.
−
# (a) Priority queuing (PRIQ), class-based queuing (CBQ), and Hierarchical Fair-Service Curve (HFSC). (b) Class-based queuing. (c) Hierarchical Fair-Service Curve.
+
#
−
# No; we can only implement it with third-party packages such as Snort.
+
#: ''(a) Priority queuing (PRIQ)'', ''class-based queuing (CBQ)'', e ''Hierarchical Fair-Service Curve (HFSC)''.  
−
# (a) The Multiple Lan/Wan configuration wizard; (b) the Dedicated Links wizard.
+
#: (b) Class-based queuing.
−
# Explicit Congestion Notification.
+
#: (c) Hierarchical Fair-Service Curve.
−
# The Floating Rules tab.
+
# Non, para implementar esa xestión a nivel de L7 é preciso implementar un paquete de terceiros coma pode ser Snort.
 +
#
 +
#: (a) ''O Multiple Lan/Wan configuration wizard'';
 +
#: (b) o ''Dedicated Links wizard''.
 +
# ''Explicit Congestion Notification''.
 +
# Na lapela ''Floating Rules''.
 
# Ningunha; é preciso habilitar manualmente cada interfaz. Fonte: [https://docs.netgate.com/pfsense/en/latest/packages/snort/setup.html#add-snort-to-an-interface Engadindo snort a unha interface]
 
# Ningunha; é preciso habilitar manualmente cada interfaz. Fonte: [https://docs.netgate.com/pfsense/en/latest/packages/snort/setup.html#add-snort-to-an-interface Engadindo snort a unha interface]
 
# Navegando Status | Queues e mirando baixo ''Length column''. Fonte: [https://docs.netgate.com/pfsense/en/latest/monitoring/status/traffic-shaper-queues.html#monitoring-the-queues Monitorizando colas]
 
# Navegando Status | Queues e mirando baixo ''Length column''. Fonte: [https://docs.netgate.com/pfsense/en/latest/monitoring/status/traffic-shaper-queues.html#monitoring-the-queues Monitorizando colas]
Línea 197: Línea 787:
 
= Pregunta 29 - VPN =
 
= Pregunta 29 - VPN =
 
'''Cuestións'''
 
'''Cuestións'''
−
# Name the two most common types of VPN deployments.
+
# Nomea os dous tipos de despregamentos VPN máis comúns.
−
# (a) Identify the three VPN protocols supported by the current version of pfSense. (b) Which protocol does not natively support encryption?
+
#
−
# Identify the three protocols encompassed by IPsec.
+
#: (a) Identifa tres protocolos VPN soportados por pfSense.
−
# If we are setting up an IPsec connection and Key Exchange version is set to Auto, what will happen if we try to initiate a site-to-site connection to (a) a firewall where the Key Exchange version is set to IKEv1? (b) a firewall where the Key Exchange version is set to IKEv2? (Assume that the rest of the configuration is correct.)
+
#: (b) Qué protocolo non soporta de xeito nativo encriptación?
−
# (a) Which port must always be unblocked for IPsec to function? (b) What is the default OpenVPN port?
+
# Identifa os tres protocolos que conforman IPsec.
−
# What are the three authentication options for L2TP?
+
# Configuramos correctamente unha conexión IPsec coa versión de ''Key Exchange'' fixada a ''Auto''. Que ocurrirá se intentación iniciar unha conexión sitio-a-sitio a un firewall onde a versión de ''Key Exchange'' está fixada a  ...
−
# What option was added to the Diffie-Hellman key configurationin pfSense 2.4?
+
#: (a) [https://en.wikipedia.org/wiki/Internet_Key_Exchange#IKEv1_phases IKEv1]?  
−
# With OpenVPN, what alternatives are there to authentication through certificates managed through the pfSense Certificate Authority Manager?
+
#: (b) [https://en.wikipedia.org/wiki/Internet_Key_Exchange#Improvements_with_IKEv2 IKEv2]?
 +
#
 +
#: (a) Qué portos deben ser desbloquedos para que IPsec funcione?  
 +
#: (b) Cal é o porto por defecto de OpenVPN?
 +
# Cales son as tres opcións de autenticación para [https://en.wikipedia.org/wiki/Layer_2_Tunneling_Protocol L2TP]?
 +
# Qué opcion foi engadida para a configuración da clave Diffie-Hellman en pfSense 2.4?
 +
# Con OpenVPN, qué alternativas existen  para autenticar usando certificados xestionados a través do ''pfSense Certificate Authority Manager''?
  
 
'''Solucións'''
 
'''Solucións'''
 
# Peer-to-peer and client-server.
 
# Peer-to-peer and client-server.
−
# (a) IPsec, L2TP, and OpenVPN. (b) L2TP.
+
#  
−
# Authentication Headers (AH), Encapsulating Security Protocol (ESP), and Security Association (SA).
+
#: (a) [https://docs.netgate.com/pfsense/en/latest/vpn/ipsec/index.html IPsec], [https://docs.netgate.com/pfsense/en/latest/vpn/l2tp/index.html L2TP] e [https://docs.netgate.com/pfsense/en/latest/vpn/openvpn/index.html OpenVPN].  
−
# (a) The connection will fail because when the Key Exchange version is set to Auto and pfSense is the initiator, it will use IKEv2 (since the other firewall is using IKEv1, there will be a mismatch). (b) The connection will succeed because pfSense as the initiator will again use IKEv2, and the protocols will match.
+
#: (b) [https://docs.netgate.com/pfsense/en/latest/vpn/l2tp/index.html L2TP], e por iso habitualmente combinase coa outras técnicas de encriptación coma [https://docs.netgate.com/pfsense/en/latest/vpn/ipsec/index.html IPsec].
−
# (a) 500; (b) 1194.
+
# [https://en.wikipedia.org/wiki/IPsec#Authentication_Header ''Authentication Headers (AH)''], [https://en.wikipedia.org/wiki/IPsec#Encapsulating_Security_Payload ''Encapsulating Security Protocol (ESP)''] e [https://en.wikipedia.org/wiki/IPsec#Security_association ''Security Association (SA)''].
 +
#
 +
#: (a) A conexión fallará porque a versión de ''Key Exchange'' está fixada a ''Auto'' e pfSense é o iniciador. Usará IKEv2 (e xa que o outro firewall está usando IKEv1 haberá un ''mismatch'').
 +
#: (b) A conexión realizarase con éxito porque pfSense como iniciador usará novamente IKEv2, e os protocolos harán  match.
 +
#
 +
#: (a) [https://docs.netgate.com/pfsense/en/latest/vpn/ipsec/firewall-rules.html 500 e 4500];  
 +
#: (b) [https://openvpn.net/community-resources/how-to/ 1194].
 
# ''[https://es.wikipedia.org/wiki/CHAP Challenge-Handshake Authentication Protocol (CHAP)]]'', ''[https://es.wikipedia.org/wiki/MS-CHAP MSCHAPv2]'', e ''[https://es.wikipedia.org/wiki/Password_Authentication_Protocol Password Authentication Protocol (PAP)]''.
 
# ''[https://es.wikipedia.org/wiki/CHAP Challenge-Handshake Authentication Protocol (CHAP)]]'', ''[https://es.wikipedia.org/wiki/MS-CHAP MSCHAPv2]'', e ''[https://es.wikipedia.org/wiki/Password_Authentication_Protocol Password Authentication Protocol (PAP)]''.
 
# ''[https://es.wikipedia.org/wiki/Elliptic-curve_Diffie-Hellman Elliptic-curve Diffie-Hellman (ECDH)]''.
 
# ''[https://es.wikipedia.org/wiki/Elliptic-curve_Diffie-Hellman Elliptic-curve Diffie-Hellman (ECDH)]''.
Línea 218: Línea 820:
 
= Pregunta 30 - Redundancia e alta disponibilidade =
 
= Pregunta 30 - Redundancia e alta disponibilidade =
 
'''Cuestións'''
 
'''Cuestións'''
−
# Identify any three types of load balancing algorithms.
+
# Identifica tres tipos de algoritmos de balanceo de carga.
−
# (a) What are the advantages of client-side load balancing? (b) What are the advantages of server-side load balancing?
+
# Cales son as vantaxes do balanceo de carga...
−
# What are the two modes of load balancing supported by the built-in pfSense load balancer?
+
#: (a) no lado do cliente?  
−
# If I am using pfSense's load balancer and I add a server to a server pool but no traffic from outside the network is reaching the new server (and traffic from outside the network is reaching other servers within the pool), what is the likely cause? Assume that my server pool setup was functioning correctly before I added the server.
+
#: (b) no lado do servidor?
−
# Identify which of the following can be synchronized using pfSense's High Availability Sync. (a) firewall rules; (b) packages; (c) virtual IPs; (d) system logs.
+
# Cales son os dous modos de balanceo de carga soportados por defecto na instalación de pfSense?
−
# In a normal CARP configuration, do we need to create a virtual IP for the PFSYNC interface? Why or why not?
+
# Se estou a usar o balanceador de carga de pfSense's e engado un servidor ao ''pool server'' pero o tráfico dende fóra da rede non alcanza o meu novo servidor (e o tráfico do exterior si alcanza a outros servidores dese ''pool'' ), cál é a causa máis probable? ASume que o ''server pool'' estaba funcionando correctamente antes de engadir ese servidor.
−
# Assume we have a functioning CARP failover group in which all options are selected in Select options to sync on the System | High Availability Sync page. On the backup firewall, we create a new firewall rule. What happens to this rule when we navigate to Status | Filter Reload and on the master firewall and click on the Force Config Sync button?
+
# Identifica cal dos seguintes pode ser sincronizado usando o ''High Availability Sync'' de pfSense.  
−
# Why is it important to set the Advertising frequency in a CARP setup with multiple backup firewalls?
+
#: (a) regras de firewall
−
# Assume you are required to implement load balancing on a pfSense firewall using the Least Connections algorithm. What is the easiest way of achieving this?
+
#: (b) paquetes;
−
# Assume that we need to keep CARP disabled through a reboot. How do we do this?
+
#: (c) IPs virtuais
 +
#: (d) logs do sistema.
 +
# Nunga configuración CARP normal, necesitamos crear unha IP virtual para a interface PFSYNC? Por qué si ou por qué non?
 +
# Temos un grupo ''CARP failover'' funcionando correctamente no que todas as opción están seleccionadas en ''Select options to sync'' na páxina ''System | High Availability Sync''. No firewall de backup, creamos unha nova regra. Que acontece con esta regra se navegamos a ''Status | Filter Reload'' e no firewall maestro facemos clic no botón ''Force Config Sync''?
 +
# Por qué e importante fixar a ''Advertising frequency'' nunha configuración CARP con varios firewalls de backup?
 +
# Queres implementar balanceo de carga nun firewall pfSense usando o algoritmo ''Least Connections''. Cál é o xeito máis sinxelo de facer isto?
 +
# Necesitamos manter CARP desabilitado nun reinicio. Cómo debemos proceder?
  
 
'''Solucións'''
 
'''Solucións'''
−
# Any three of these: random, round robin, weighed round robin, least connection, least traffic, least latency, IP hash, URL hash, SDN adaptive.
+
# Calquera dos seguintes: random, round robin, weighed round robin, least connection, least traffic, least latency, IP hash, URL hash, SDN adaptive. Fontes: [https://serverfault.com/questions/112292/what-kind-of-load-balancing-algorithms-are-there 1],  [https://kemptechnologies.com/es/load-balancer/load-balancing-algorithms-techniques/ 2] e [https://es.wikipedia.org/wiki/Equilibrador_de_carga 3]
−
# Client-side load balancing: easy to implement and effective. Server-side load balancing: better able to guarantee load balancing; transparent to client; more secure; we can provide a message to client when all servers are down.
+
#
−
# Load balancing and Failover.
+
#: (a) Balancelo no lado do cliente: sinxelo de implementar e efectivo.
−
# The most likely cause is that I forgot to update the alias for the server pool to include the new server. Since the firewall rule to allow traffic to pass to the server pool uses this alias, it allows traffic to pass to every server except the new one.
+
#: (b) Balanceo [https://www.netgate.com/resources/videos/server-load-balancing-on-pfsense-24.html no lado do servidor]: mellor para garantir o balanceo de carga; transparente para o client; máis seguro; podemos darlle unha mensaxe os clientes ando todos os servidores están caidos.
−
# (a) Yes; (b) no; (c) yes; (d) no.
+
# [https://docs.netgate.com/pfsense/en/latest/multiwan/load-balance-and-failover.html#configuring-a-gateway-group-for-load-balancing-or-failover Balanceo de carga e ''Failover''].
−
# No; we do not have to create a virtual IP for the PFSYNC interface because use it to pass synchronization data between firewalls; we don’t want any redundancy on this interface.
+
# O máis probable é que esquecera actualizar o alias para o ''server pool'' para incluir o novo servidor. Xa que a regra do firewall permite pasar o tráfico ó ''server pool'' usando este alias, se permite o paso de tráfico para todos os servidores excepto o novo.
−
# The firewall rule will get overwritten when data is synchronized with the master firewall.
+
#  
−
# Because, if the Advertising frequency is the same on two or more backup firewalls, if the master goes down, two or more backup firewalls will try to become master at the same time.
+
#: (a) Si
−
# Use HAProxy and select Least Connections as the load balancing for Balance when configuring the backend.
+
#: (b) No
−
# Navigate to Status | CARP (failover) and click on the Enter Persistent CARP Maintenance Mode button
+
#: (c) Si
 +
#: (d) No
 +
# Non temos que crear unha IP virtual IP para a interface PFSYNC porque usase para para pasar datos de sincronización entre firewalls; e non queremos redundancia en esta interface.
 +
# A regra do firewall será sobreescrita cando os datos sexan sincronizados co firewall maestro.
 +
# Porque se a ''Advertising frequency'' e a mesma en dous ou máis firewalls de backup, se o maestro cae, dous ou mais firewalls de backup intenarán convertirse en maestro no mesmo instante.
 +
# Usa [https://www.digitalocean.com/community/tutorials/an-introduction-to-haproxy-and-load-balancing-concepts HAProxy] e selecciona ''Least Connections'' como balanceo de carga para ''Balance'' cando configures o ''backend''.
 +
# Navega a Status | CARP (failover) e fai clic no botón ''Enter Persistent CARP Maintenance''. Fonte: [https://docs.netgate.com/pfsense/en/latest/monitoring/status/carp.html#maintenance-mode Modo mantemento]
  
 
= Pregunta 31 - Múltiples WANs =
 
= Pregunta 31 - Múltiples WANs =
 
'''Cuestións'''
 
'''Cuestións'''
−
# What document is provided by many ISPs that defines the aspects of service to be provided to the client?
+
# Qué documento é facilitado por moitos ISPs no que se definen os aspectos do servicio que serán facilitados ó cliente?
−
# What is policy-based routing?
+
# Qué é un enrutamento baseado en políticas?
−
# (a) If we have two separate internet connections and we want to combine them for bandwidth aggregation, what form of redundancy and high availability should we use in our gateway group? (b) If we have two separate internet connections and we only want to use the secondary connection if the first one is down, what form of redundancy and high availability should we use?
+
# Qué forma de redundancia e alta disponibilidade debería usar no noso grupo gateway se temos dúas conexións de internet serapadas e (a) queremos combinalas para ancho de banda agregado (''bandwidth aggregation'' (b) solo queremos usar a conexión secundaria se a primeira está caida
 
# What will happen if we configure a gateway group and do not add or change the firewall rules? Assume our setup is otherwise correct.
 
# What will happen if we configure a gateway group and do not add or change the firewall rules? Assume our setup is otherwise correct.
 
# In a multi-WAN setup, under what circumstances must you add a static route for an external DNS server?
 
# In a multi-WAN setup, under what circumstances must you add a static route for an external DNS server?
 
# If we add multi-WAN capabilities to a CARP failover group, how many virtual IPs do we need to add?
 
# If we add multi-WAN capabilities to a CARP failover group, how many virtual IPs do we need to add?
−
# What option can be used to ensure that all traffic to a certain website is routed through the same WAN interface as long as there are states that refer to the connection?
+
# Qué opción pode ser usada para asegurar que todo o tráfico dun certo sitio web é enrutado a través da mesma interface WAN interface mentras haiba estados que se refirana esa conexión?
−
# If you have set up a gateway group with load balancing and an external "what is my IP" website keeps reporting no change in your IP address, what could be the cause? Identify any three causes.
+
# Tes configurado un grupo ''gateway'' con balanceo de carga e unha páxina externa "what is my IP" informa de que mon hai cambio s na tua IP... cál pode ser a causa?
  
 
'''Solucións'''
 
'''Solucións'''
−
# Service-Level Agreement (SLA).
+
# ''Service-Level Agreement (SLA)'' ([https://es.wikipedia.org/wiki/Acuerdo_de_nivel_de_servicio traducido coma acordo de nivel de servicio]).
−
# Routing in which routing decisions are dictated by administrative policy.
+
# Routing no que as decisións de enrutamiento son fixadas por política administrativa.
−
# (a) Load balancing. (b) Failover.
+
# (a) Balanceo de carga (''Load balancing''). (b) [https://es.wikipedia.org/wiki/Tolerancia_frente_a_fallos Conmutación por erro] (''Failover'').
 
# Traffic between local interfaces will be routed through the original WAN interface and will never reach the gateway group; pfSense’s default behavior is to route external traffic to the primary WAN interface.
 
# Traffic between local interfaces will be routed through the original WAN interface and will never reach the gateway group; pfSense’s default behavior is to route external traffic to the primary WAN interface.
 
# You are configuring an OPT_WAN interface and the OPT_WAN’s DNS server is not the same as the Monitor IP. We do not have to configure a static route for the primary WAN interface because external traffic is routed to it by default, and we do not have to configure a static route if the OPT_WAN’s DNS server is the same as the Monitor IP because pfSense will add a static route for the Monitor IP.
 
# You are configuring an OPT_WAN interface and the OPT_WAN’s DNS server is not the same as the Monitor IP. We do not have to configure a static route for the primary WAN interface because external traffic is routed to it by default, and we do not have to configure a static route if the OPT_WAN’s DNS server is the same as the Monitor IP because pfSense will add a static route for the Monitor IP.
 
# One for each OPT_WAN interface (and one for each 1:1 NAT mapping, if we have any).
 
# One for each OPT_WAN interface (and one for each 1:1 NAT mapping, if we have any).
−
# Use Sticky Connections.
+
# Usa [https://docs.netgate.com/pfsense/en/latest/config/advanced-misc.html#load-balancing Sticky Connections].
−
# Acceptable answers: The load balancing gateway group isn’t working properly; the web page is cached and therefore isn’t refreshing when we reload it; the connections are weighted such that the secondary connection handles very little traffic; Use Sticky Connections or some other persistent connection option is enabled; other users are on the network and generating a share of the connections going to the nonprimary connections.
+
# Hai varias posibilidades
 +
## O grupo de balanceo de carga non está funcionando axeitadamente, e sería preciso revisar a configuración
 +
## A páxina web está cacheada e non está refrando cando recargamos. Poderíamos probar a borrar ese cacheo, ou probar con outra web.
 +
## O peso das conexións e moi desigual de xeito que a segunda conexión xestiona moi pouco tráfico. Poderíamos temporalmente cambiar os pesos para verificar o funcionamento.
 +
## Estánse a usar ''Sticky Connections'' ou algún outro tipo de conexión persistente coma opción; outros usuarios están na rede xenerando unha parte das conexións que vanas conexións non primarias.
  
 
= Pregunta 32 - Routing e bridging/switching =
 
= Pregunta 32 - Routing e bridging/switching =
Línea 268: Línea 886:
 
# Qué clase de protocolos de enrutamiento requiren que cada router constrúa un mapa da súa conectividade á rede?
 
# Qué clase de protocolos de enrutamiento requiren que cada router constrúa un mapa da súa conectividade á rede?
 
# Identifica dous métodos que se poidas usan parao problema de retorno de tráfico que non segue a mesma ruta de envío cando configuramos rutas estáticas.
 
# Identifica dous métodos que se poidas usan parao problema de retorno de tráfico que non segue a mesma ruta de envío cando configuramos rutas estáticas.
−
# Qué paquete pfSense debemos instalar se... (a) Queremos utilizar RIP v2 coma protocolo de enrutamento. (b) Queremos utilizar OSPF coma protocolo de enrutamento. (c) Queremos redistribuir as rutas OSPF a veciños?
+
# Qué paquete pfSense debemos instalar se...
 +
#: (a) Queremos utilizar RIP v2 coma protocolo de enrutamento.
 +
#: (b) Queremos utilizar OSPF coma protocolo de enrutamento.
 +
#: (c) Queremos redistribuir as rutas OSPF a veciños?
 
# What is the first step in implementing policy-based routing?
 
# What is the first step in implementing policy-based routing?
−
# Identify the two spanning tree protocols supported by pfSense bridging.
+
# Identifica os dous protocolos de spanning tree protocols soportados por pfSense.
 
# Temos un ''CARP failover group'' e quremos facer ''bridge'' de dúas interfaces no ''failover group''. Que problema plantexara isto?
 
# Temos un ''CARP failover group'' e quremos facer ''bridge'' de dúas interfaces no ''failover group''. Que problema plantexara isto?
−
# (a) Que ferramenta da interfaz web de pfSense pode axudar a diagnosticar problemas de enrutamente? (b) Cal sería o comando equivalente?  
+
#  
 +
#: (a) Que ferramenta da interfaz web de pfSense pode axudar a diagnosticar problemas de enrutamente?  
 +
#: (b) Cal sería o comando equivalente?  
  
 
'''Solucións'''
 
'''Solucións'''
Línea 279: Línea 902:
 
# Protocolos de estado de enlace. Fonte: [https://ccnadesdecero.com/curso/vector-distancia-estado-enlace/ Protocolos de enrutamiento]
 
# Protocolos de estado de enlace. Fonte: [https://ccnadesdecero.com/curso/vector-distancia-estado-enlace/ Protocolos de enrutamiento]
 
# Habilita ''Static route filtering'' en System | Advanced (Firewall e NAT lapela) ou crea regras de filtrado para xestionar as rutas estáticas.
 
# Habilita ''Static route filtering'' en System | Advanced (Firewall e NAT lapela) ou crea regras de filtrado para xestionar as rutas estáticas.
−
# (a) [https://docs.netgate.com/pfsense/en/latest/recipes/dynamic-routing-basics.html#rip routed]. (b) [https://docs.netgate.com/pfsense/en/latest/recipes/dynamic-routing-basics.html#ospf Quagga OSPF] ou [https://www.netgate.com/resources/videos/dynamic-routing-with-frr-on-pfsense.html FRR (FRRouting)]. (c) [https://www.netgate.com/resources/videos/dynamic-routing-with-frr-on-pfsense.html FRR].
+
#
 +
#: (a) [https://docs.netgate.com/pfsense/en/latest/recipes/dynamic-routing-basics.html#rip routed].
 +
#: (b) [https://docs.netgate.com/pfsense/en/latest/recipes/dynamic-routing-basics.html#ospf Quagga OSPF] ou [https://www.netgate.com/resources/videos/dynamic-routing-with-frr-on-pfsense.html FRR (FRRouting)].
 +
#: (c) [https://www.netgate.com/resources/videos/dynamic-routing-with-frr-on-pfsense.html FRR].
 
# Adding one or more gateways.
 
# Adding one or more gateways.
−
# ''Spanning Tree Protocol (STP)'' e ''Rapid Spanning Tree Protocol (RSTP)''. Fonte: [https://docs.netgate.com/pfsense/en/latest/bridges/create.html#protocol Protocolos de xestión de  bucles en topologías de red]
+
# ''[https://es.wikipedia.org/wiki/Spanning_tree Spanning Tree Protocol (STP)]'' e [https://es.wikipedia.org/wiki/Rapid_Spanning_Tree_Protocol ''Rapid Spanning Tree Protocol (RSTP)'']. Fonte: [https://docs.netgate.com/pfsense/en/latest/bridges/create.html#protocol Protocolos de xestión de  bucles en topologías de red]
 
# Looping. Fonte: [https://docs.netgate.com/pfsense/en/latest/highavailability/layer-2-redundancy.html#switch-configuration Redundancia en L2]
 
# Looping. Fonte: [https://docs.netgate.com/pfsense/en/latest/highavailability/layer-2-redundancy.html#switch-configuration Redundancia en L2]
−
# (a) A táboa de enrutamento que se atopa en Diagnostics | Routes. (b) # netstat -rWn Fonte: [https://docs.netgate.com/pfsense/en/latest/troubleshooting/routes.html ''Troubleshooting de rutas'']
+
#  
 +
#: (a) A táboa de enrutamento que se atopa en Diagnostics | Routes.
 +
#: (b) # netstat -rWn Fonte: [https://docs.netgate.com/pfsense/en/latest/troubleshooting/routes.html ''Troubleshooting de rutas'']
  
 
= Pregunta 33 - Paquetes para extender pfSense =
 
= Pregunta 33 - Paquetes para extender pfSense =
Línea 289: Línea 917:
 
# Qué dous métodos poden ser usados para instalar paquetes no pfSense?
 
# Qué dous métodos poden ser usados para instalar paquetes no pfSense?
 
# Cal é o porto por defecto no que vai escoitar o proxy Squid?
 
# Cal é o porto por defecto no que vai escoitar o proxy Squid?
−
# Engadimos unha regra no firewall para bloquear o acceso a unha determinada páxina web desde todas as nosas redes locales e confirmamos que funciona correctamente como esperamos. Asumindo para os seguintes escenarios que non fixemos ningunha configuración adicional no Squid, qué acontece... (a) Despois de instalar o servidor proxy Squid... poderemos acceder a ese sitio web? (b) Despois de habilitar o servidor proxy Squid poderemos acceder a ese sitio web? .
+
# Engadimos unha regra no firewall para bloquear o acceso a unha determinada páxina web desde todas as nosas redes locales e confirmamos que funciona correctamente como esperamos. Asumindo para os seguintes escenarios que non fixemos ningunha configuración adicional no Squid, qué acontece...  
 +
#: (a) Despois de instalar o servidor proxy Squid... poderemos acceder a ese sitio web?
 +
#: (b) Despois de habilitar o servidor proxy Squid... poderemos acceder a ese sitio web? .
 
# Qué paquete sería o máis axeitado para de xeito sinxelo bloquear o acceso dende un país a nosa rede?
 
# Qué paquete sería o máis axeitado para de xeito sinxelo bloquear o acceso dende un país a nosa rede?
−
# Identifica os diferentes estados de portos interesantes nunha proba Nmap.
+
# Identifica os diferentes estados de portos interesantes nunha proba [https://nmap.org/ Nmap].
 
# Qué paquete debemos instalar se queremos engadir un grupo de balanceo de carga e tamén noficacións se un dos serividores do grupo cae?
 
# Qué paquete debemos instalar se queremos engadir un grupo de balanceo de carga e tamén noficacións se un dos serividores do grupo cae?
 
# Identifica os tres modos nos que Snort pode correr.
 
# Identifica os tres modos nos que Snort pode correr.
Línea 302: Línea 932:
 
# [https://docs.netgate.com/pfsense/en/latest/packages/manager.html#installing-packages A través da interfaz de pfSense] e [https://docs.netgate.com/pfsense/en/latest/recipes/freebsd-pkg-repo.html#installing-packages por liña de comandos].
 
# [https://docs.netgate.com/pfsense/en/latest/packages/manager.html#installing-packages A través da interfaz de pfSense] e [https://docs.netgate.com/pfsense/en/latest/recipes/freebsd-pkg-repo.html#installing-packages por liña de comandos].
 
# [https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/configuring-the-squid-service-to-listen-on-a-specific-port-or-ip-address 3128].
 
# [https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/configuring-the-squid-service-to-listen-on-a-specific-port-or-ip-address 3128].
−
# (a) O acceso á páxina web seguirá bloqueado porque a instalación de Squid non arranca o mesmo como habilitado por defecto (b) O acceso á páxina web será posible porque Squid ten precedencia sobre as regras do firewall e non temos engadido o sitoo á ''blacklist'' de Squid.
+
#  
 +
#: (a) O acceso á páxina web seguirá bloqueado porque a instalación de Squid non arranca o mesmo como habilitado por defecto
 +
#: (b) O acceso á páxina web será posible porque Squid ten precedencia sobre as regras do firewall e non temos engadido o sitoo á ''blacklist'' de Squid.
 
# [https://docs.netgate.com/pfsense/en/latest/packages/pfblocker.html pfBlockerNG].
 
# [https://docs.netgate.com/pfsense/en/latest/packages/pfblocker.html pfBlockerNG].
 
# Open, Closed, Filtered, Unfiltered, Open/Filtered, Closed/Filtered. Fonte: [https://www.hackingarticles.in/comprehensive-guide-on-nmap-port-status/ Nmap Port Status]
 
# Open, Closed, Filtered, Unfiltered, Open/Filtered, Closed/Filtered. Fonte: [https://www.hackingarticles.in/comprehensive-guide-on-nmap-port-status/ Nmap Port Status]
 
# [https://docs.netgate.com/pfsense/en/latest/packages/haproxy.html HAProxy].
 
# [https://docs.netgate.com/pfsense/en/latest/packages/haproxy.html HAProxy].
−
# Packet sniffing mode, packet logging mode, and network intrusion prevention mode. Fonte: [https://en.wikipedia.org/wiki/Snort_(software)#Uses Modos de Snort]
+
# '''Packet sniffing mode''', '''packet logging mode''' e '''network intrusion prevention mode'''. Fonte: [https://en.wikipedia.org/wiki/Snort_(software)#Uses Modos de Snort]
 
# TCP, UDP e ICMP. Fonte: [https://paginas.fe.up.pt/~mgi98020/pgr/writing_snort_rules.htm#protocols Protocolos nas regras Snort]
 
# TCP, UDP e ICMP. Fonte: [https://paginas.fe.up.pt/~mgi98020/pgr/writing_snort_rules.htm#protocols Protocolos nas regras Snort]
 
# Ntopng, nmap, Zabbix, Suricata,....
 
# Ntopng, nmap, Zabbix, Suricata,....
Línea 324: Línea 956:
  
 
'''Solucións'''
 
'''Solucións'''
−
# Documentar o problema e a solución.
+
# Documentar o problema e a solución; o que se lle adoita chamar documentar [https://blogs.iadb.org/conocimiento-abierto/es/como-documentar-lecciones-aprendidas/ as leccións aprendidas].
 
# Un fallo na configuración ou funcionamento do DNS.
 
# Un fallo na configuración ou funcionamento do DNS.
 
# 802.11b, 802.11g e 802.11n.
 
# 802.11b, 802.11g e 802.11n.

Revisión actual del 20:18 30 ene 2025

Sumario

Pregunta 1 – Introducción á ferramenta

Cuestións

  1. Qué é PfSense?
  2. Qué funcionalidades ten?
  3. Cales desas funcionalidades coñeces?
  4. Por qué xurdíu OpnSense e en qué se diferencian?
  5. Qué outras ferramentas con funcionalidade de firewall coñeces?

Solucións

  1. É unha distribución de software libre personalizada de FreeBSD adaptada para o seu uso como firewall e enrutador
  2. Por defecto ten as seguintes:
    1. Firewall
    2. State Table
    3. Network Address Translation (NAT)
    4. Alta disponibilidade
    5. Multi-WAN
    6. Balanceo de carga
    7. VPN en IPsec, OpenVPN e PPTP
    8. Servidor PPPoE
    9. Servidor DNS
    10. Portal Cautivo
    11. Servidor DHCP
    Conta cun xestor de paquetes para ampliar as súas funcionalidades con máis de 70 módulos (Squid, IMSpector, Snort, ClamAV, ...)
  3. Moitas delas vense nos módulo de Servizos en rede, Redes locais e Seguridade informática. Indica as que coñezas!
  4. Xurdíu no 2014 por cuestións técnicas (enfoques de seguridade e calidade do código) e de licenzamento (cambios de licenza máis restrictivos e dificultade de participación da comunidade para realmente ser proxecto de software libre)
    Son práciticamente idénticos en funcionalidade (aproximadamente 90%), compatibilidade de hardware e rendemento
    Hai diferenzas na interfaz gráfica (mellor OpnSense), coñecemento e difusion (mellor de pfSense) e seguridade (mellor OpnSense)
  5. OPNSense, Endian,IPFire, SmoothWall

Pregunta 2 – Instalación

Pregunta 3 – Usuarios y grupos

Pregunta 4 – Actualizacións do sistema e copias de seguridade

Pregunta 5 – Configuración de Squid Proxy

Instalación do Squid Proxy no pfSense

Accedemos a: 

System -> Package Manager -> Available Packages

Buscamos Squid e pulsamos no botón install do que na lista de resultados e exactamente Squid.

Prememos no botón Confirm.

Atopará o repositorio, descomprimirá e instalará as dependencia. Se todo vai ven indicará o seguinte:

pfSense_pkg-squid installation succesfully completed

Poderemos comprobar que está funcionando correctamente accedendo a: 

Services -> Squid Proxy Sever

E a casilla Check to enable the Squid Proxy na sección Enable Squid Proxy estará habilitada.

Por defecto o porto será o 3128.

Configuración dos clientes

Nun dos equipos da Lan, configuramos o navegador (en Windows 10, Internet Explorer, Edge, Chrome ou Firefox) para poder acceder a internet a través do Proxy.

En direccion ip a do noso servidor pfSense (por exemplo 192.168.2.1) e o porto do Squid (por defecto o 3128):

pfSense Proxy client configuration

Aora debería poder acceder a internet ese cliente.

Configuración para bloquear unha web

Accedemos a: 

Services -> Squid Proxy Sever -> ACLs

E no campo Blacklist introducimos a web. Por exemplo introducimos 

www.udc.es

Pulsamos o botón Save.

E no navegador introducimos www.udc.es, e non nos vai permitir o acceso.

Pregunta 6 – Configuración pfBlocker-NG

Pregunta 7 – Configuración de Port Forwarding

Pregunta 8 – Creación dunha entidade certificadora (Certificate Authority) e certificados para o servidor e os nosos clientes

Creamos entidade certificadora Accedemos a: 

System -> Cert Manager

Na lapela CA (Certificate Authority) pulsamos no botón Add.

Cubrimos os campos:

  • Description name: CA Ucha
  • Method: Create an internal Certificate Authority
  • Contruy Code: ES
  • State or Province: Galicia
  • City: Ferrol
  • Organization: CIPF Rodolfo Ucha
  • Common name: CA Ucha
  • Email address: elcorreoelectronico@gmail.com

O resto de campos deixámolos por defecto e pulsamos no botón Save.

Creamos certificado para o servidor Accedemos a: 

System -> Cert Manager

Na lapela Certificates pulsamos no botón Add/Sign.

Cubrimos os campos:

  • Method: Create an internal Certificate
  • Descriptive name: Certificado interno
  • Common Name: Certificado interno
  • Certificate Type: Server Certificate

O resto de campos deixámolos por defecto e pulsamos no botón Save.

Creamos certificado para os clientes Accedemos a: 

System -> User Manager

E creamos un usuario:

  • username: pepeperez
  • password: Passw0rd
  • Full Name: Pepe Pérez
  • Certificate: Marcamos click to create a user certificate
  • Descriptive name: Certificate
  • Certificate authority: CA Ucha

Pulsamos no botón Save.

Pregunta 9 – Configuración OpenVPN para a conexión vpn a nosa rede interna

Prerrequisitos: Temos a xestión de certificados feita do exercicio anterior

Creamos instancia de OpenVPN

Accedemos a : 

VPN -> OpenVPN

E na lapela WAN pulsamos o botón 'Add' e cubrimos os campos:

  • Protocol: Remote Access (SSL/TLS + User Auth)
  • Description: Conexión VPN
  • Server certificate: Certificado interno (Server: Yes, CA: CA Ucha)
  • IPv4 Tunnel Network: 10.35.40.10/24(red virtual a la cual nos clientes se van a conectar, y distinta a la red interna)
  • IPv4 Local Network: 192.168.2.0/24 (rango de direcciones IP internas de nuestra empresa)
  • Compression: Adaptive LZO Compressión (Legacy style, comp-lzo adaptive)
  • Verbosity level: 3 (recommended)

O resto de valores deixamolos por defecto, e pulsamos no botón Save.

Configuramos reglas de acceso VPN

Accedemos a : 

Firewall -> Rules

Pulsamos no segundo botón de Add para engadir regra ó final, coa seguinte configuración:

  • Action: Pass
  • Protocol: UDP
  • Source: Any
  • Destination: Any
  • Destination Port Range
    • From: OpenVPN (1194)
    • To: OpenVPN (1194)
  • Description: Regra para permitir VPN

Pulsamos no botón Save, e en Apply Changes

Instalamos paquete de exportación da configuración VPN dos usuarios (Client Export)

Accedemos a: 

System -> Package Manager -> Available Packages

Buscamos openVPN e instalamos openvpn-client-export.

pfSense - pkg-openvpn client export successfully completed

Accedemos a client export 

VPN -> OpenVPN

E na nova lapela Client Export, na sección OpenVPN Clients, descargamos para o usuario e o cliente desde que se conectará (no seguinte apartado farémolo cun cliente con W10).

Instalamos cliente de OpenVPN (nunha máquina con W10)

Supoñendo que a nosa interfaz WAN e 192.168.100.95 e o noso pfSense está na ip 192.168.2.1, probaremos a acceder desde unha máquina conectada directamente a conexión WAN, por exemplo na 192.168.100.157.

Neste escenario, desde esa máquina non será posible acceder a través do navegador o noso pfsense introducindo a ip 192.168.2.1 (a diferencia dun equipo que acceda dende a rede da LAN).

Instalaremos como administrador o OpenVPN Client, no momendo de redactar este tutorial este seria o executable.

Configuramos e executamos o cliente OpenVPN

A continuación executaremos o ficheiro de configuración descargado na maquina anterior e transferido á esta nova máquina.

Executaremos o OpenVPN como administrador, e aora xa cargará coa configuración axeitada; se todo vai ben, na parte inferior dereita aparecerá a icona de estarse realizado a conexión.

Introducimos o nome de usuario e contrasinal, e xa debemos estar conectados.

Comprobamos o correcto funcionamento

No cmd:

  • Facemos un ipconfig E veremos na Local Area Connecion 2 un endero ip coma o 10.35.40.2
  • Facemos un route print, e veremos que entre outras terá a ruta a rede 192.168.100.0, via a nosa interfaz virtual (a 10.35.40.1)
  • Faemos un ping a 192.168.2.1, e responde correctamente

No navegador:

  • Xa poderemos acceder o noso pfsense introducindo a ip 192.168.2.1.

Pregunta 10 – Creación e comprobación de reglas de filtrado

Pregunta 11 – Limitación do ancho de banda nas nosas redes

Configuración do limitador Acceda ó menú:

Firewall -> Traffic shaper

Na pantalla Traffic Shaper acceda á lapela Limiters.

Cree un novo limitador Descargas e realice a seguinte configuración:

  • Enable: Marcado
  • Name: introduzca un nombre para identificar o limitador, por exemplo, limite_descargas
  • Bandwidth (Ancho de banda): 2 K/bit (estamos usando Kbits e non KBytes)
  • Mask: Source addresses

Teña en conta que equivalen: 20 KBytes a 160 Kbits <-> 160 Kbits a 20KBytes.

Na lapela Limiters, cree un nuevo limitador Subidas e realice a siguiente configuración:

  • Enable: Marcado
  • Name: introduzca un nombre para identificar o limitador, , por exemplo, limite_subidas
  • Bandwidth (Ancho de banda): 1 K/bit (estamos usando Kbits e non KBytes)
  • Mask: Source addresses

Configuración da regra que utilizará o limitador

Crearemos unha regra de firewall que usará a configuración do limitador creado no paso anterior no Traffic shaper

Acceda ó menú:

Firewall -> Rules

Fai clic no botón Add para agregar unha regra á parte superior dea lista.

Na pantalla de creación de reglas de firewall realice a siguiente configuración:

  • Action: Pass
  • Interface: LAN
  • Address family: IPV4
  • Protocolo: Any

Na área Source debemos establecer oo enderezo IP (ou rede) de orixen que se limitará.

No noso exemplo especificamos o enderezo IP de orixe 192.168.15.9/32.

Na área Advances options facemos clic no botón Display advanced.

Nas opcións:

  • in-pipe: limite_descargas
  • out-pipe: limite_subidas

Pulsamos no botón Save, e en Apply changes para volver a cargar as reglas do firewall coa nova configuración.

Haga clic en el botón Aplicar cambios para volver a cargar la configuración del firewall.

Proba de funcionamento

Comproba o funcionamento con o limitador e sen o limitador nalgunha web de proba de velocidade coma por exemplo:

Información paso a paso:

Pregunta 12 – Configuración del acceso a la consola de administración usando SSH

Partimos de que por defecto non está habilitado o acceso a través de SSH.

Podes confirmar que non está habilitado o acceso mediante SSH a pfSense mirando as regras.

Alternativa 1 - Habilitando acceso a través da GUI Acceder a: 

System -> Advanced

E na lapela Admin Access marcar Enable Secure Shell

Alternativa 2 - Habilitando acceso a través da shell Desde a pantalla de inicio na shell escolle a opción 14 para habilitar ou deshabilitar SSH

Comprobación do funcionamento

  1. Comprobar que nas regras aparece a que habilita a conexión mediante SSH (Firewall -> Rules)
  2. Comprobar que o servizo está levantado (Status -> Services)
  3. Comprobar con putty o funcionamento realizando unha conexión
    1. Desde entornos linux podes facelo co comando
      ssh ip_de_pfsense
    2. Desde entornos windows podes facelo con putty

Ampliación Podes xestionar o acceso mediante certificados seguindo estas indicacións:

Troubleshooting

Por defecto so os usuarios admin e root teñen acceso por SSH. Se estas probando con outros usuarios deberán darlles acceso con: 

User - System - Shell account access privilege to login via SSH

O normal é habilitar o acceso a través da rede LAN e non da WAN por motivos de seguridade. Con todo nun entorno pedagóxico é posible facer esa configuración deste xeito: On the Firewall rule creation screen, perform the following configuration: 

Firewall -> Rules
  • Action – Pass
  • Interface – WAN
  • Address family – IPV4
  • Protocol – TCP

Na pantalla de Source configuration é necesario indicar o enderezo IP para o que se permite a conexión SSH; ou any para permitir todas.

Na pantalla Firewall destination, configura deste xeito:

  • Destination – Wan address
  • Destination port range- From SSH (22) to SSH (22)

Na pantalla de Firewall Extra options introduce unha descripción para a regra.

Fai clic no botón de Save, recarga as regras do firewall co botón Apply changes e xa debe estar habilitado o acceso a SSH a través de WAN.

Pregunta 13 - Bloqueo del trafico HTTPS con certificados y en modo transparente

Pregunta 14 – Uso de Regular Expressions

Pregunta 15 – Bloqueo de páxinas web por DNS

Pregunta 16 – Configura DNS dinámicos como OpenDNS

Este sería o resumo de pasos:

  1. Rexistro en OpenDNS
  2. Habilitar a configuración DNS en pfSense
  3. Deshabilitar DNS Resolver
  4. Habilitar DNS Forwarder
  5. Engadir a ip pública á configuración de OpenDNS e configurar categorías
  6. Probar o funcionamento

Hai xeitos alternativos de facer esta configuración.

Rexistro en OpenDNS

Primeiro é preciso rexistrarse en OpenDNS. A opción Home é gratuita:

Tras cubrir formulario chega correo electrónico que debemos confirmar pulsando enlace.

Habilitar a configuración DNS en pfSense

A continuación, a configuración realizaráse no pfSense: System -> General Setup

E en DNS Server Settings anotamos a información correspondente:

  • 208.67.222.222
  • 208.67.220.220

Deshabilitar DNS Resolver

Proseguimos configurando un forwarder hacia estos DNS. Para iso deshabilitaremos o DNS Resolver: Services -> DNS Resolver -> General Settings

Desmarcamos a casilla Enable DNS Resolver.

E actualizamos gardando con Save e aplicando os cambios con Apply Changes

Habilitar DNS Forwarder

Agora habilitaremos DNS Forwarder para indicarlle que redireccione todas as peticións DNS ós servidores DNS de OpenDNS. Para iso accedemos a DNS Forwarder: Services -> DNS Forwarder -> General Settings

En listen port introducimos 53 (é o porto de DNS) e novamente actualizamos gardando con Save e aplicando os cambios con Apply Changes'

Alternativa a pasos 2,3 e 4

Os pasos anteriores describiron a configuración para facer que todos os equipos resolvan as súas consultas DNS a través do noso pfSense, e este as redirixe ós servidores DNS de OpenDNS.

Outra alternativa sería configurar o servizo DHCP para que lles asigne a todos os equipos a configuración DNS dos servidores de OpenDNS.

Neste caso, debemos acceder a: Services -> DHCP Server -> LAN

E configurar no apartado Servers os campos DNS server:

  • 208.67.222.222
  • 208.67.220.220

Engadir a ip pública á configuración de OpenDNS e configurar categorías

Pulsar Add a network:

OpenDNS configurando a interfaz

Automáticamente detecta a ip pública pola que estamos saíndo, ainda que podemos facer cambios.

Pide un nome amigable para gardar esta configuración e algunhas opcións se se trata dunha ip dinámica:

OpenDNS nome amigable e opcións

E finalmente facendo clic na ip podemos escoller o nivel de filtrado ou personalizar as categorías a bloquear. Por exemplo:

OpenDNS niveles de filtrado e categorías personalizadas

Alternativa a pasos 2,3,4 e 5

Introducir a información de OpenDNS no pfSense. Para isto acceder a: Services -> Dynamic DNS

Pulsar botón Add.

E configurar do seguinte xeito:

  • Escoller do desplegable de Servicte Type: OpenDNS
  • Deixar en interfaz to monitor: WAN
  • Introducir hostname
  • Introducir username e password

Gardar os cambios con 'Save'. Neste intre aparecerá en cached ip 0.0.0.0. Tardará uns minutos en refrescar, e cando o faga, amosará a nosa ip pública. Se nuns minutos non aparece podemos reiniciar o pfSense para asegurar que toma valor.

Probar o funcionamento

Intentar acceder a unha páxina web que deba estar bloqueada conforme a categoría escollida. Debería amosar o seguinte:

OpenDNS bloqueando acceso a netflix

Troubleshooting

Para que os cambios teñaan efecto é preciso que se refresque a información.

Para entornos windows son útiles os comandos de ipconfig con los parámetros:

  • /release
  • /renew
  • /registerdns
  • /flushdns
  • /displaydns

Para entornos linux son útiles os comandos:

Curiosidade

Pregunta 17 – Bloqueo de descarga de ficheiros polo tipo de extensión

Partimos de que xa temos instalado squid e squidGuard de modo transparente.

Accedemos a: Services -> SquidGuard Proxy Filter -> Target categories

Pulsamos Add e introducimos:

  • Name: Bloqueo descargas exe e zip
  • Regular Expression: .*\.(exe|zip)
  • Redirect mode: int error page (enter error page message)
  • Redirect: as descargas de ficheiros executables e comprimidos zip non están permitidas
  • Description: Con esta regra bloqueanse descargas de ficheiros exe e zip

Pulsamos Save

Accedemos a lapela Common ACL e en Target Rules List na regla creada seleccionamos Deny.

Pulsamos Save

E finalmente na lapela General Settings pulsamos Apply'.

Probamos a descargar un ficheiro exe ou zip, e aparecerá a mensaxe:

  • Request denied by pfSense proxy: 403 Forbidden
  • Reason: a que introducimos na mensaxe de redirect

Troubleshooting

Pregunta 18 – Configuración de SafeSearch

Pregunta 19 – Configuración do DHCP Server

Configuramos pfSense como servidor DHCP

Accedemos a: 

Services -> DHCP Server

Na lapela LAN,

  • Marcamos Enable DHCP Server on LAN interface
  • En Range, introducimos o rango de enredezos IP que queremos asignar

Pulsamos botón Save.

Supoñendo que tiveramos un servidor o que lle queremos asignar unha ip estática, en DHCP Static Mapping section for Interface pulsamos Add' e relacionamos IP e MAC.

Configuramos pfSense como DHCP Relay

Cndo se desexa utilizar servidores DHCP que se atopan aloxados nunha rede ou subrede diferente pódese utilizar un axente DHCP relay.

Un DHCP relay é un dispositivo que recibe as solicitudes dos clientes en formato de broadcast e as reenvía como unicast o enderezo do servidor DHCP.

Pregunta 20 – Configuración DNS

Pregunta 21 – Configuración de notificacións

Configurar unha conta de Gmail para notificacións de PfSense

Pregunta 22 – Portal cautivo

Accedemos a: 

Services -> Captive Portal

Pulsamos botón Add e introducimos:

  • Zone name: wifiportal
  • Zone description: Portal de Preuba

Pulsamos Save & Continue e marcamos a casilla Enable Captive Portal introducindo:

  • Interfaces: Lan (afectaría á propia máquina virtual)
  • Maximum concurrent connections: Campo opcional que restrinxe o número máximo de conexións

= Idle timeout (Minutes): Campo opcional que forza a desconexión de usuarios que están sen actividade

  • Hard timeout (Minutes): Campo opcional que forza a desconexión de usuarios aínda estén con actividade
  • Logout popup window: Campo opcional que permite ós usuarios desconectarse mediante una popup que aparecerá despois da súa autenticación
  • After autherntication Redirection URL: Campo opcional que permite que os usuarios sean redireccionados a unha páxina web despois de autenticarse
  • After autherntication Redirection URL: Campo opcional que fixa páxina web de redirección para enderezos MAC bloqueados
  • Defauld download/upload (Kbit/s): Campo opcional para limitar o ancho de banda
  • Authentication Method: Tres opcións. No authentication, Local User Manager / Vouchers ou RADIUS Authentication. Para o exercicio, escolleremos a segunda opción
  • Allow only users/groups with "Captive portal login" privilege set: Só os usuarios que teñan ese privilexio poderán acceder. Para o exercicio, poderemos desmcarcalo

Na sección HTML Page Contents, podemos personalizar as páxinas (se non collerá o tema de pfSense por defecto):

  • do portal cautivo
  • de erro na autentiación
  • de logout

Unha vez feitos todos os cambios precisos pulsaremos no botón Save. Pode tardar uns minutos en tomar efecto o cambio (e se non é asi pode ser convinte un reinicio.

Comprobación do funcionamento

Cando finalmente todo vai ben accedemos o navegador cun equipo da LAN e pedirá autenticación no portal cautivo:

Autenticación no portal Cautivo de pfSense

Poderemos autenticarnos co usuario por defecto admin e contrasinal pfsense. Poderemos navegar por internet

Se pulsamos no popup o botón logout, cando volvamos a navegar, pediranos autenticarnos novamente.

Autenticación con voucher

Accedemos a: 

Services -> Captive Portal

E na lapela Vouchers, pulsamos no check Enable the creation, generation and activation of rolls and vouchers introducimos:

  • Character Set: O xogo de caracteres permitido. Non é boa idea escoller os díxitos 1 e 0 porque poden ser confundidos cos caracteres I e O.
  • Invalidad/Expired voucher message: Mensaxe a amosar cando se introduce un voucher invalido ou expirado

Pulsamos no botón Save e quedan os cambios gardados.

Xeneración de Vouchers

Pulsamos no botón Add da sección Voucher Rolls, e introducimos:

  • Roll #: O nº de vouchers. Por exemplo, 5
  • Minutes per ticket: Tempo que é permitida a validez do voucher. Por exemplo, para dúas horas introducimos 120
  • Count: O contador de vouchers. Por exemplo, 10
  • Comment: Comentario para identificar os vouchers

Obtención dos Vouchers

Na lapela Vouchers, na sección Voucher Rolls premememos na acción de exportar a CSV.

Descarga dos vouchers

Comprobación do funcionamento

Probamos o acceso novamente, e introducimos un voucher válido.

Troubleshooting

Pode ser necesario habilitar e deshabilitar o oportal cautivo para que tomen efecto os cambios.

Pregunta 23 - Cuestións básicas de pfSense

Cuestións

  1. Cal é o termo que se utiliza para referirse a rede que está separada do resto da rede local e que provee servizos ós usuarios fora da rede local?
  2. Cales son os requisitos mínimos de pfSense 2.4 no tocante a CPU, RAM e espazo en disco?
  3. Canta memoria require unha entrada da táboa de estados?
  4. Por qué e unha boa idea (tanto para pfSense como para a descarga doutro software) facer uso dos checksums?
  5. Cal é a mellor elección de sistema de ficheiros para unha organización que
    (a) require sorporte para encriptación a nivel de sistema de ficheiros e data deduplication?
    (b) require a maior compatibilidade hacia atrás posible?
  6. Identifica os dous lugares onde se pode facer a asignación de interfaces en pfSense
  7. Identifica cando menos catro tipos de configuracións válidas para unha interface pfSense
  8. Cal é a configuración por defecto para as Block Private Networks e os enderezos de loopback ...
    (a) na interface WAN ?
    (b) na interface LAN?
    (c) por qué?
  9. Identifica dous lugares na interfaz gráfica onde se pode configurar a zona horaria
  10. Identifica cando menos tres parámetros que poden ser configurados no Setup Wizard

Solucións

  1. Zona desmilitarizada.
  2. Mínimos --> CPU: 500 MHz; RAM: 512 MB; espazo en disco: 1 GB.
    Recomendados --> CPU: 500 MHz; RAM: 512 MB; espazo en disco: 1 GB. Fonte: Documentación oficial de pfSense
  3. Aproximadamente 1 KB. Fonte: Documentación de pfSense
  4. Os checksums son importantes para asegurar a integridade dunha descarga; así verificando o checksum dun binario pódese confirmar que a descarga finalizou correctamente e que non foi alterada por un terceiro
  5. (a) ZFS.
    (b) UFS Comentarios: Consulta que é a data deduplication
  6. A través da consola / shell e a través da interface gráfica web
  7. Posibles respostas válidas: Static; DHCP; PPTP; PPPoE; PPP; L2TP.
  8. (a) Enabled.
    (b) Disabled.
    (c) As Block Private Networks están bloquedas na interface WAN porque os enderezos privados por definición non son enrutables e nunca deberían pasar a través da interface WAN interface. Na interface LAN e outras interfaces locais, o habitual e que queramos que funcionen os enderezos privados
  9. A través do Setup Wizard e a través de System | General Setup.
  10. Posibles respostas válidas: Hostname, Domain, DNS Servers, Timezone, NTP Server, WAN Interface, LAN Interface,Password.

Pregunta 24 - Cuestións avanzadas de pfSense

Cuestións

  1. (a) Qué capa de transporte utiliza DHCP BOOTP?
    (b) Qué portos utiliza DHCP?
  2. (a) Qué capa de transporte utiliza BOOTP?
    (b) Qué portos utiliza BOOTP?
  3. Cales son os Router Advertisement (RA) flag settings que corresponden a habilitar Stateless DHCP (coñecido coma SLAAC)?
  4. Cales son os dous servizos que pfSense ten para DNS?
  5. (a) Qué capa de transporte utiliza DNS?
    (b) Qué portos utiliza DNS?
  6. Que ventaxa ten DDNS sobre os o servizo tradicional DNS?
  7. Qué tres tipos de autenticación soporta o servico de portal cautivo de pfSense?
  8. Qué campo debe existir na páxina de login do portal cautivo cando está habilitada a autenticación por voucher?
  9. Qué son as management information bases (MIBs)?
  10. Qué e SNMP? Cal é o seu porto por defecto?

Solucións

  1. (a) Transport Control Protocol (TCP).
    (b) 67 e 68.
  2. (a) User Datagram Protocol (UDP).
    (b) 67 e 68.
  3. M flag: 0; O flag: 1; L flag: 1; A flag: 1.
  4. DNS Resolver (por defecto) e DNS Forwarder.
  5. (a) UDP.
    (b) 53.
  6. Pode ser actualizado moito máis rápido que o DNS tradicional facendoo axeitado para escenarios nos que o enderezo IP asociado cun dominio cambia frecuentemente
  7. User Manager, Voucher, and RADIUS.
  8. <input name=”auth_voucher” type=”text”>.
  9. A estrutura na que os datos de xestión son organizados xerárquicamente nun dispositivo xestionada con SNMP. Fonte: Base de información xestionada
  10. O Protocolo simple de administración de rede ou SNMP (do inglés Simple Network Management Protocol) é un protocolo da capa de aplicación que facilita o intercambio de información de administración entre dispositivos de rede. Os dispositivos que normalmente soportan SNMP incluyen routers, switches, servidores, estacións de traballo, impresoras, bastidores de módem e moitos outros. Permitelles ós administradores supervisar o funcionamiento da rede, buscar e resolver os seus problemas, e planifiar o seu crecemento. Os seus portos por defecto son 161/UDP e 162/UDP (Trap)

Pregunta 25 - Configuración de VLANs

Cuestións

  1. Cal é o estandar do IEEE para VLAN tagging?
  2. Calesson os ID numbers míimos e máximos para VLAN tags?
  3. Nomea dous métodos utilizados para VLAN hopping.
  4. Cal debe ser o valor do campo priority code point (PCP) para asegurar o tratamento coñecido coma best effort?
  5. Cal é a principal vantaxe do QinQ VLAN tagging?
  6. Identifica dúas ventadas do uso de link aggregation.
  7. Qué regra crea automáticamente o firewall pfSense para unha interface opcional (coma OPT1)?
  8. Identifica dous tipos de portos que deben ser configurados no switch para que a configuración VLAN quede completada.
  9. Como se chama o VLAN ID por defecto?
  10. Identifica métodos para configurar VLANs en switches Cisco.

Solucións

  1. 802.1Q.
  2. 1, 4094.
  3. Switch spoofing, double tagging.
  4. 1.
  5. Incrementa o número posible de VLANs (16,752,649 con un único nivel de anidamento, sendo posible un número maior con tamén maior nivel de anidamento).
  6. Increased throughput (aumento de rendemento) e redundancia.
  7. Ningunha (temos que crear nos as regras que permiten accesos dende as VLANs a outras redes).
  8. Trunk ports and VLAN ports.
  9. PVID. Fonte: Diapositiva 6
  10. Static, Dynamic Trunking Protocol (DTP), VLAN Trunking Protocol (VTP).

Pregunta 26 - Filtrado de tráfico con reglas

Cuestións

  1. Cando creamos regras no filtrado, qué principio deberíamos aplicar?
  2. Cal é a diferenza entre Block e Reject no filtrado de tráfico?
  3. A nosa rede ten dúas interfaces: WAN ae LAN. As únicas regras son as creadas por pfSense cando interfaz LAN e inicialmente asignada: IPv4 e IPv6 "Allow LAN to any". Creamos entón unha regra para bloquear Recode coa seguinte configuración:
    Action = Reject; Interface = LAN; Address Family = IPv4 + IPv6; Protocol = TCP;
    Source = LAN net; Destination = 151.101.21.52 (O enderezo IP de Recode).
    Se colocamos esa regra ao final da táboa de regras LAN...que acontece cando queremos acceder a Recode?
  4. Co mesmo escenario, pero coloando esa regra ao final da táboa de regras LAN...que acontece aora cando queremos acceder a Recode?
  5. Co mesmo escenario, pero ahora creamos unha regra flotante coa seguinte configuración:
    Action = Pass; Quick = Disabled; Interface = LAN; Direction = in; Address Family = IPv4+IPv6; Protocol = Any;
    Source = Any; Destination = Any.
    The Block Recode regra está ubica enriba na táboa de reglas LAN.
    (a) Despois de habilitar a nova regra flotante, que acontece cando intentamos acceder a Recode?
    (b) Cambiamos a configuración rápida de esta regla a Enable e recargamos as regras do firewall...que acontece cando intentamos acceder a Recode??
    (c) Despois de cambiar a configuración rápida a Enabled, que efecto ten no tráfico "Allow LAN to any"
  6. Nomea catro tipos de alias.
  7. Describe tres métodos para crear alias con múltiples enderezos IP.
  8. Cal é un tipo de Virtual IP introducido con pfSense 2.0?

Solucións

  1. Principio de mínimo privilegio
  2. Block descarta o tráfico silenciosamente mentras que Reject devolve un paquete (RST para TCP ou ICMP Port Unreachable para UDP).
  3. Poderemos conectar a Recode; o bloque de reglas non surte efecto porque foi situado despois da regra "Allow LAN to any".
  4. NON poderemos conectar a Recode; o bloque de reglas fai match do tráfico a Recode antes da regra “Allow LAN to any”.
  5. (a) NON poderemos conectar a Recode; a nova regra “default allow” sera invocada despois da rega de block.
    (b) Poderemos conectar a Recode; a nova regra "default allow" será invocada antes da regra block.
    (c) As regras por defecto "Allow LAN to any" non teñen efecto no fluxo do tráfico porque nunca son alcanzadas; a regra flotante "default allow" es invocada primeiro.
  6. IP, Network, Port, URL. Fonte: Documentación oficial sobre alias
  7. (a) Navegar a Firewall | Aliases, na lapela IP facer clic en Add, e introducir cada enderezo IP manualmente
    (b) Navegar a Diagnostics | DNS Lookup, realizar un DNS lookup, e crear un alias da mesma
    (c) Navegar a Firewall | Aliases, facer clic no botón Import button, e facer un bulk import.
  8. IP Alias

Pregunta 27 - NAT

Cuestións

  1. Qué outras tecnoloxías distintas de NAT permiten xestionar o agotamento do espazo de enderezos en IPv4?.
  2. Se instalamos pfSense e configuramos as interfaces só con enderezos IPv4, necesitamos cambiar a configuración de Outbound NAT? Por qué si ou por qué non?
  3. Se está seleccionado Automatic Outbound, cantas regradas son creadas para cada interfaz non-WAN?
  4. Temos un servidor FTP que debe ser accesible a intenrnet e a nosa rede privada. Queremos asignarlle a este servidor o seu enderezo IP Público. Qué tipo de NAT deberíamos usar?
  5. Qué pasará se creamos unha entra de Port Forwarding e fixarmos a Filter rule00 asociada a None? Asume que non hai ningún outro cambio nas regras do firewall?
  6. Por qué habitualmente deixamos o Source set a any na entrada de Port Forwarding?
  7. Queremos crear unha entrada de Port Forwarding de xeito que fagamos o Remote Desktop Protocol (que normalmente corre no porto 3389) sexa accessible desde internet no portp 7000.
    (a) Como debe ser fixado o Destination port range?
    (b) Como debe ser fixado o Redirect port range?
  8. (a) Qué razóns pode haber para implementar NPt nunha rede IPv6?.
    (b) Qué alternativas a NPt recomenda o IETF?

Solucións

  1. Classless networks (CIDR), redes privadas (RFC 1918 networks) e IPv6.
  2. No; we do not need to alter the Outbound NAT settings because outbound NAT rules were generated for each of the non-WAN interfaces.
  3. Dúas regras (unha para IPsec e outra para o resto de tráfico).
  4. 1:1 NAT.
  5. El tráfico del port forwarding será bloqueado polo firewall.
  6. Normalmente non nos interesa a orixe do tráfico entrante.
  7. (a) 7000
    (b) 3389
  8. (a) Multihoming e route aggregation.
    (b) DHCPv6.

Pregunta 28 - Traffic Shaping

Cuestións

  1. Cal é o propósito do conformado de tráfico (traffic shaping)?
  2. (a) Identifica os tres tipos de colas soportados polo pfSense traffic shaper.
    (b) Identifica unha disciplina de colas que tende a asegurar que o tráfico de baixa prioridade non queda sen ancho de banda
    (c) Identifica unha disciplina de cola que usa una curva nonlineal de dúas partes e desacopla o ancho de banda da latencia.
  3. Podemos xestionar a nivel de capa 7 o traffic shaping coa instalación por defecto de pfSense?
  4. Identifica ous dous asistentes cos que podemos implementar traffic shaping en pfSense co traffic shaper que trae por defecto.
  5. Identifica un tipo de cola que provee notificación extremo-a-extremo da conxestión da rede sen descartar paquetes.
  6. Onde podes atopar as regras do firewall xeneradas polo traffic shaping wizard de pfSense?? (Pista: É a única categoría de regras que ten unha Match option para Action.)
  7. Qué interfaces están habilitadas por defecto cando instalamos Snort?
  8. Cómo podemos determinar a lonxitude dunha cola pfSense?

Solucións

  1. Asegurar que o tráfico da rede cumpre con certas restriccións predefinidas. A finalidade e optimizar ou guarantizar o rendemento, mellorar a latencia, ou incrementar o ancho de banda disponible para algúns tipos de paquetes retrasando outros menos prioritarios.
  2. (a) Priority queuing (PRIQ), class-based queuing (CBQ), e Hierarchical Fair-Service Curve (HFSC).
    (b) Class-based queuing.
    (c) Hierarchical Fair-Service Curve.
  3. Non, para implementar esa xestión a nivel de L7 é preciso implementar un paquete de terceiros coma pode ser Snort.
  4. (a) O Multiple Lan/Wan configuration wizard;
    (b) o Dedicated Links wizard.
  5. Explicit Congestion Notification.
  6. Na lapela Floating Rules.
  7. Ningunha; é preciso habilitar manualmente cada interfaz. Fonte: Engadindo snort a unha interface
  8. Navegando Status | Queues e mirando baixo Length column. Fonte: Monitorizando colas

Pregunta 29 - VPN

Cuestións

  1. Nomea os dous tipos de despregamentos VPN máis comúns.
  2. (a) Identifa tres protocolos VPN soportados por pfSense.
    (b) Qué protocolo non soporta de xeito nativo encriptación?
  3. Identifa os tres protocolos que conforman IPsec.
  4. Configuramos correctamente unha conexión IPsec coa versión de Key Exchange fixada a Auto. Que ocurrirá se intentación iniciar unha conexión sitio-a-sitio a un firewall onde a versión de Key Exchange está fixada a ...
    (a) IKEv1?
    (b) IKEv2?
  5. (a) Qué portos deben ser desbloquedos para que IPsec funcione?
    (b) Cal é o porto por defecto de OpenVPN?
  6. Cales son as tres opcións de autenticación para L2TP?
  7. Qué opcion foi engadida para a configuración da clave Diffie-Hellman en pfSense 2.4?
  8. Con OpenVPN, qué alternativas existen para autenticar usando certificados xestionados a través do pfSense Certificate Authority Manager?

Solucións

  1. Peer-to-peer and client-server.
  2. (a) IPsec, L2TP e OpenVPN.
    (b) L2TP, e por iso habitualmente combinase coa outras técnicas de encriptación coma IPsec.
  3. Authentication Headers (AH), Encapsulating Security Protocol (ESP) e Security Association (SA).
  4. (a) A conexión fallará porque a versión de Key Exchange está fixada a Auto e pfSense é o iniciador. Usará IKEv2 (e xa que o outro firewall está usando IKEv1 haberá un mismatch).
    (b) A conexión realizarase con éxito porque pfSense como iniciador usará novamente IKEv2, e os protocolos harán match.
  5. (a) 500 e 4500;
    (b) 1194.
  6. Challenge-Handshake Authentication Protocol (CHAP)], MSCHAPv2, e Password Authentication Protocol (PAP).
  7. Elliptic-curve Diffie-Hellman (ECDH).
  8. Lightweight Directory Access Protocol (LDAP) e Remote Authentication Dial-In User Protocol (RADIUS).

Pregunta 30 - Redundancia e alta disponibilidade

Cuestións

  1. Identifica tres tipos de algoritmos de balanceo de carga.
  2. Cales son as vantaxes do balanceo de carga...
    (a) no lado do cliente?
    (b) no lado do servidor?
  3. Cales son os dous modos de balanceo de carga soportados por defecto na instalación de pfSense?
  4. Se estou a usar o balanceador de carga de pfSense's e engado un servidor ao pool server pero o tráfico dende fóra da rede non alcanza o meu novo servidor (e o tráfico do exterior si alcanza a outros servidores dese pool ), cál é a causa máis probable? ASume que o server pool estaba funcionando correctamente antes de engadir ese servidor.
  5. Identifica cal dos seguintes pode ser sincronizado usando o High Availability Sync de pfSense.
    (a) regras de firewall
    (b) paquetes;
    (c) IPs virtuais
    (d) logs do sistema.
  6. Nunga configuración CARP normal, necesitamos crear unha IP virtual para a interface PFSYNC? Por qué si ou por qué non?
  7. Temos un grupo CARP failover funcionando correctamente no que todas as opción están seleccionadas en Select options to sync na páxina System | High Availability Sync. No firewall de backup, creamos unha nova regra. Que acontece con esta regra se navegamos a Status | Filter Reload e no firewall maestro facemos clic no botón Force Config Sync?
  8. Por qué e importante fixar a Advertising frequency nunha configuración CARP con varios firewalls de backup?
  9. Queres implementar balanceo de carga nun firewall pfSense usando o algoritmo Least Connections. Cál é o xeito máis sinxelo de facer isto?
  10. Necesitamos manter CARP desabilitado nun reinicio. Cómo debemos proceder?

Solucións

  1. Calquera dos seguintes: random, round robin, weighed round robin, least connection, least traffic, least latency, IP hash, URL hash, SDN adaptive. Fontes: 1, 2 e 3
  2. (a) Balancelo no lado do cliente: sinxelo de implementar e efectivo.
    (b) Balanceo no lado do servidor: mellor para garantir o balanceo de carga; transparente para o client; máis seguro; podemos darlle unha mensaxe os clientes ando todos os servidores están caidos.
  3. Balanceo de carga e Failover.
  4. O máis probable é que esquecera actualizar o alias para o server pool para incluir o novo servidor. Xa que a regra do firewall permite pasar o tráfico ó server pool usando este alias, se permite o paso de tráfico para todos os servidores excepto o novo.
  5. (a) Si
    (b) No
    (c) Si
    (d) No
  6. Non temos que crear unha IP virtual IP para a interface PFSYNC porque usase para para pasar datos de sincronización entre firewalls; e non queremos redundancia en esta interface.
  7. A regra do firewall será sobreescrita cando os datos sexan sincronizados co firewall maestro.
  8. Porque se a Advertising frequency e a mesma en dous ou máis firewalls de backup, se o maestro cae, dous ou mais firewalls de backup intenarán convertirse en maestro no mesmo instante.
  9. Usa HAProxy e selecciona Least Connections como balanceo de carga para Balance cando configures o backend.
  10. Navega a Status | CARP (failover) e fai clic no botón Enter Persistent CARP Maintenance. Fonte: Modo mantemento

Pregunta 31 - Múltiples WANs

Cuestións

  1. Qué documento é facilitado por moitos ISPs no que se definen os aspectos do servicio que serán facilitados ó cliente?
  2. Qué é un enrutamento baseado en políticas?
  3. Qué forma de redundancia e alta disponibilidade debería usar no noso grupo gateway se temos dúas conexións de internet serapadas e (a) queremos combinalas para ancho de banda agregado (bandwidth aggregation (b) solo queremos usar a conexión secundaria se a primeira está caida
  4. What will happen if we configure a gateway group and do not add or change the firewall rules? Assume our setup is otherwise correct.
  5. In a multi-WAN setup, under what circumstances must you add a static route for an external DNS server?
  6. If we add multi-WAN capabilities to a CARP failover group, how many virtual IPs do we need to add?
  7. Qué opción pode ser usada para asegurar que todo o tráfico dun certo sitio web é enrutado a través da mesma interface WAN interface mentras haiba estados que se refirana esa conexión?
  8. Tes configurado un grupo gateway con balanceo de carga e unha páxina externa "what is my IP" informa de que mon hai cambio s na tua IP... cál pode ser a causa?

Solucións

  1. Service-Level Agreement (SLA) (traducido coma acordo de nivel de servicio).
  2. Routing no que as decisións de enrutamiento son fixadas por política administrativa.
  3. (a) Balanceo de carga (Load balancing). (b) Conmutación por erro (Failover).
  4. Traffic between local interfaces will be routed through the original WAN interface and will never reach the gateway group; pfSense’s default behavior is to route external traffic to the primary WAN interface.
  5. You are configuring an OPT_WAN interface and the OPT_WAN’s DNS server is not the same as the Monitor IP. We do not have to configure a static route for the primary WAN interface because external traffic is routed to it by default, and we do not have to configure a static route if the OPT_WAN’s DNS server is the same as the Monitor IP because pfSense will add a static route for the Monitor IP.
  6. One for each OPT_WAN interface (and one for each 1:1 NAT mapping, if we have any).
  7. Usa Sticky Connections.
  8. Hai varias posibilidades
    1. O grupo de balanceo de carga non está funcionando axeitadamente, e sería preciso revisar a configuración
    2. A páxina web está cacheada e non está refrando cando recargamos. Poderíamos probar a borrar ese cacheo, ou probar con outra web.
    3. O peso das conexións e moi desigual de xeito que a segunda conexión xestiona moi pouco tráfico. Poderíamos temporalmente cambiar os pesos para verificar o funcionamento.
    4. Estánse a usar Sticky Connections ou algún outro tipo de conexión persistente coma opción; outros usuarios están na rede xenerando unha parte das conexións que vanas conexións non primarias.

Pregunta 32 - Routing e bridging/switching

Cuestións

  1. Cal é a diferencia fundamental entre routing e bridging/switching?
  2. Qué clase de protocolos de enrutamiento requiren do router únicamente informar os seus veciños de cambios na topoloxía?
  3. Qué clase de protocolos de enrutamiento requiren que cada router constrúa un mapa da súa conectividade á rede?
  4. Identifica dous métodos que se poidas usan parao problema de retorno de tráfico que non segue a mesma ruta de envío cando configuramos rutas estáticas.
  5. Qué paquete pfSense debemos instalar se...
    (a) Queremos utilizar RIP v2 coma protocolo de enrutamento.
    (b) Queremos utilizar OSPF coma protocolo de enrutamento.
    (c) Queremos redistribuir as rutas OSPF a veciños?
  6. What is the first step in implementing policy-based routing?
  7. Identifica os dous protocolos de spanning tree protocols soportados por pfSense.
  8. Temos un CARP failover group e quremos facer bridge de dúas interfaces no failover group. Que problema plantexara isto?
  9. (a) Que ferramenta da interfaz web de pfSense pode axudar a diagnosticar problemas de enrutamente?
    (b) Cal sería o comando equivalente?

Solucións

  1. Routing implica movemento de tráfico entre redes (internetwork traffic) mentres o bridging/switching implica a conexión de segmentos dentro da mesma rede (intranetwork traffic). Fonte: Routing e Switching
  2. Protocolos de vector distancia. Fonte: Protocolos de enrutamiento
  3. Protocolos de estado de enlace. Fonte: Protocolos de enrutamiento
  4. Habilita Static route filtering en System | Advanced (Firewall e NAT lapela) ou crea regras de filtrado para xestionar as rutas estáticas.
  5. (a) routed.
    (b) Quagga OSPF ou FRR (FRRouting).
    (c) FRR.
  6. Adding one or more gateways.
  7. Spanning Tree Protocol (STP) e Rapid Spanning Tree Protocol (RSTP). Fonte: Protocolos de xestión de bucles en topologías de red
  8. Looping. Fonte: Redundancia en L2
  9. (a) A táboa de enrutamento que se atopa en Diagnostics | Routes.
    (b) # netstat -rWn Fonte: Troubleshooting de rutas

Pregunta 33 - Paquetes para extender pfSense

Cuestións

  1. Qué dous métodos poden ser usados para instalar paquetes no pfSense?
  2. Cal é o porto por defecto no que vai escoitar o proxy Squid?
  3. Engadimos unha regra no firewall para bloquear o acceso a unha determinada páxina web desde todas as nosas redes locales e confirmamos que funciona correctamente como esperamos. Asumindo para os seguintes escenarios que non fixemos ningunha configuración adicional no Squid, qué acontece...
    (a) Despois de instalar o servidor proxy Squid... poderemos acceder a ese sitio web?
    (b) Despois de habilitar o servidor proxy Squid... poderemos acceder a ese sitio web? .
  4. Qué paquete sería o máis axeitado para de xeito sinxelo bloquear o acceso dende un país a nosa rede?
  5. Identifica os diferentes estados de portos interesantes nunha proba Nmap.
  6. Qué paquete debemos instalar se queremos engadir un grupo de balanceo de carga e tamén noficacións se un dos serividores do grupo cae?
  7. Identifica os tres modos nos que Snort pode correr.
  8. Identifica os tres protocolos que poden ser especificados nunha regra de Snort.
  9. Identifica paquetes que poden ser utilizados para a monitorización de redes.
  10. Cál é a diferenza entre un axente Zabbix e un proxy Zabbix?
  11. Queremos monitorizar traps SNMP. Qué paquete de Zabbix debemos instalar?

Solucións

  1. A través da interfaz de pfSense e por liña de comandos.
  2. 3128.
  3. (a) O acceso á páxina web seguirá bloqueado porque a instalación de Squid non arranca o mesmo como habilitado por defecto
    (b) O acceso á páxina web será posible porque Squid ten precedencia sobre as regras do firewall e non temos engadido o sitoo á blacklist de Squid.
  4. pfBlockerNG.
  5. Open, Closed, Filtered, Unfiltered, Open/Filtered, Closed/Filtered. Fonte: Nmap Port Status
  6. HAProxy.
  7. Packet sniffing mode, packet logging mode e network intrusion prevention mode. Fonte: Modos de Snort
  8. TCP, UDP e ICMP. Fonte: Protocolos nas regras Snort
  9. Ntopng, nmap, Zabbix, Suricata,....
  10. Un axente Zabbix recolle información do host local e pásalla o servidor Zabbix; un proxy Zabbix recolle information de hosts e é capaz de interactuar co servidor Zabbix server de xeito que a carga é distribuída.
  11. Zabbix por defecto xa pode monitorizar traps SNMP. Con todo, pode requirir da instalación dos paquetes net-snmp-utils, net-snmp-perl, e net-snmp para o uso do trap receiver snmptrapd coma demonio. Máis información na documentación de Zabbix e no seu blogue.

Pregunta 34 - Diagnóstico e troubleshooting

Cuestións

  1. Cal debe ser o paso final no troubleshooting dun problema de rede?
  2. Un sitio pode ser alcanzado facendo ping o enderezo pero facendo ping o nome do host falla. Cal é a causa mais probable para isto?
  3. Nomea estándares wifi que funcionan no rango de 2.4 GHz.
  4. Que estándar de encriptación wireless envía os challenges en claro e é considerado inseguro?
  5. Identifica dous métodos para determinar se unha interfaz está levantada desde a interface gráfica de pfSense.
  6. Qué ferramenta pode ser utilizada para monitorear a táboa de estados de pfSense e é posible o seu uso desde liña de comandos e desde a interface gráfica de pfSense?
  7. Qué ferramente pode ser utilizada para facer ping a un sitio que bloquea o tráfico ICMP pero non o TCP?
  8. Cales son os dous propósitos principais de traceroute?

Solucións

  1. Documentar o problema e a solución; o que se lle adoita chamar documentar as leccións aprendidas.
  2. Un fallo na configuración ou funcionamento do DNS.
  3. 802.11b, 802.11g e 802.11n.
  4. Wireless Encryption Privacy (WEP).
  5. Status | Interfaces ou usando ou Dashboard.
  6. pfTop.
  7. tcpping.
  8. Amosar a ruta seguida polos paquetes e o tempo empregado en cada paso (delay)
Obtenido de «https://wiki.cifprodolfoucha.es/index.php?title=Cuestións_resoltas_sobre_pfSense&oldid=23281»