Cuestións resoltas sobre pfSense

De MediaWiki
Ir a la navegación Ir a la búsqueda

Sumario

Pregunta 1 – Introducción á ferramenta

Cuestións

  1. Qué é PfSense?
  2. Qué funcionalidades ten?
  3. Cales de ellas coñeces?
  4. Por qué xurdíu OpnSense e en qué se diferencian?
  5. Qué outras ferramentas con funcionalidade de firewall coñeces?

Solucións

  1. É unha distribución de software libre personalizada de FreeBSD adaptada para o seu uso como firewall e enrutador
  2. Por defecto ten as seguintes:
    1. Firewall
    2. State Table
    3. Network Address Translation (NAT)
    4. Alta disponibilidade
    5. Multi-WAN
    6. Balanceo de carga
    7. VPN en IPsec, OpenVPN e PPTP
    8. Servidor PPPoE
    9. Servidor DNS
    10. Portal Cautivo
    11. Servidor DHCP
    Conta cun xestor de paquetes para ampliar as súas funcionalidades con máis de 70 módulos (Squid, IMSpector, Snort, ClamAV, ...)
  3. Moitas delas vense nos módulo de Servizos en rede, Redes locais e Seguridade informática. Indica as que coñezas!
  4. Xurdíu no 2014 por cuestións técnicas (enfoques de seguridade e calidade do código) e de licenzamento (cambios de licenza máis restrictivos e dificultade de participación da comunidade para realmente ser proxecto de software libre)
    Son práciticamente idénticos en funcionalidade (aproximadamente 90%), compatibilidade de hardware e rendemento
    Hai diferenzas na interfaz gráfica (mellor OpnSense), coñecemento e difusion (mellor de pfSense) e seguridade (mellor OpnSense)
  5. OPNSense, Endian,IPFire, SmoothWall

Pregunta 2 – Instalación

Pregunta 3 – Usuarios y grupos

Pregunta 4 – Actualizacións do sistema e copias de seguridade

Pregunta 5 – Configuración de Squid Proxy

Instalación do Squid Proxy no pfSense

Accedemos a: 

System -> Package Manager -> Available Packages

Buscamos Squid e pulsamos no botón install do que na lista de resultados e exactamente Squid.

Prememos no botón Confirm.

Atopará o repositorio, descomprimirá e instalará as dependencia. Se todo vai ven indicará o seguinte:

pfSense_pkg-squid installation succesfully completed

Poderemos comprobar que está funcionando correctamente accedendo a: 

Services -> Squid Proxy Sever

E a casilla Check to enable the Squid Proxy na sección Enable Squid Proxy estará habilitada.

Por defecto o porto será o 3128.

Configuración dos clientes

Nun dos equipos da Lan, configuramos o navegador (en Windows 10, Internet Explorer, Edge, Chrome ou Firefox) para poder acceder a internet a través do Proxy.

En direccion ip a do noso servidor pfSense (por exemplo 192.168.2.1) e o porto do Squid (por defecto o 3128):

pfSense Proxy client configuration

Aora debería poder acceder a internet ese cliente.

Configuración para bloquear unha web

Accedemos a: 

Services -> Squid Proxy Sever -> ACLs

E no campo Blacklist introducimos a web. Por exemplo introducimos 

www.udc.es

Pulsamos o botón Sava.

E no navegador introducimos www.udc.es, e non nos vai permitir o acceso.

Pregunta 6 – Configuración pfBlocker-NG

Pregunta 7 – Configuración de Port Forwarding

Pregunta 8 – Creación dunha entidade certificadora (Certificate Authority) e certificados para o servidor e os nosos clientes

Creamos entidade certificadora Accedemos a: 

System -> Cert Manager

Na lapela CA (Certificate Authority) pulsamos no botón Add.

Cubrimos os campos:

  • Description name: CA Ucha
  • Method: Create an internal Certificate Authority
  • Contruy Code: ES
  • State or Province: Galicia
  • City: Ferrol
  • Organization: CIPF Rodolfo Ucha
  • Common name: CA Ucha
  • Email address: elcorreoelectronico@gmail.com

O resto de campos deixámolos por defecto e pulsamos no botón Save.

Creamos certificado para o servidor Accedemos a: 

System -> Cert Manager

Na lapela Certificates pulsamos no botón Add/Sign.

Cubrimos os campos:

  • Method: Create an internal Certificate
  • Descriptive name: Certificado interno
  • Common Name: Certificado interno
  • Certificate Type: Server Certificate

O resto de campos deixámolos por defecto e pulsamos no botón Save.

Creamos certificado para os clientes Accedemos a: 

System -> User Manager

E creamos un usuario:

  • username: pepeperez
  • password: Passw0rd
  • Full Name: Pepe Pérez
  • Certificate: Marcamos click to create a user certificate
  • Descriptive name: Certificate
  • Certificate authority: CA Ucha

Pulsamos no botón Save.

Pregunta 9 – Configuración OpenVPN para a conexión vpn a nosa rede interna

Prerrequisitos: Temos a xestión de certificados feita do exercicio anterior

Creamos instancia de OpenVPN Accedemos a : 

VPN -> OpenVPN

E na lapela WAN pulsamos o botón 'Add' e cubrimos os campos:

  • Protocol: Remote Access (SSL/TLS + User Auth)
  • Description: Conexión VPN
  • Server certificate: Certificado interno (Server: Yes, CA: CA Ucha)
  • IPv4 Tunnel Network: 10.35.40.10/24(red virtual a la cual nos clientes se van a conectar, y distinta a la red interna)
  • IPv4 Local Network: 192.168.2.0/24 (rango de direcciones IP internas de nuestra empresa)
  • Compression: Adaptive LZO Compressión (Legacy style, comp-lzo adaptive)
  • Verbosity level: 3 (recommended)

O resto de valores deixamolos por defecto, e pulsamos no botón Save.

Configuramos reglas de acceso VPN Accedemos a : 

Firewall -> Rules

Pulsamos no segundo botón de Add para engadir regra ó final, coa seguinte configuración:

  • Action: Pass
  • Protocol: UDP
  • Source: Any
  • Destination: Any
  • Destination Port Range
    • From: OpenVPN (1194)
    • To: OpenVPN (1194)
  • Description: Regra para permitir VPN

Pulsamos no botón Save, e en Apply Changes

Instalamos paquete VPN

Pregunta 10 – Creación e comprobación de reglas de filtrado

Pregunta 11 – Limitación do ancho de banda nas nosas redes

Configuración do limitador Acceda ó menú:

Firewall -> Traffic shaper

Na pantalla Traffic Shaper acceda á lapela Limiters.

Cree un novo limitador Descargas e realice a seguinte configuración:

  • Enable: Marcado
  • Name: introduzca un nombre para identificar o limitador, por exemplo, limite_descargas
  • Bandwidth (Ancho de banda): 2 K/bit (estamos usando Kbits e non KBytes)
  • Mask: Source addresses

Teña en conta que equivalen: 20 KBytes a 160 Kbits <-> 160 Kbits a 20KBytes.

Na lapela Limiters, cree un nuevo limitador Subidas e realice a siguiente configuración:

  • Enable: Marcado
  • Name: introduzca un nombre para identificar o limitador, , por exemplo, limite_subidas
  • Bandwidth (Ancho de banda): 1 K/bit (estamos usando Kbits e non KBytes)
  • Mask: Source addresses

Configuración da regra que utilizará o limitador

Crearemos unha regra de firewall que usará a configuración do limitador creado no paso anterior no Traffic shaper

Acceda ó menú:

Firewall -> Rules

Fai clic no botón Add para agregar unha regra á parte superior dea lista.

Na pantalla de creación de reglas de firewall realice a siguiente configuración:

  • Action: Pass
  • Interface: LAN
  • Address family: IPV4
  • Protocolo: Any

Na área Source debemos establecer oo enderezo IP (ou rede) de orixen que se limitará.

No noso exemplo especificamos o enderezo IP de orixe 192.168.15.9/32.

Na área Advances options facemos clic no botón Display advanced.

Nas opcións:

  • in-pipe: limite_descargas
  • out-pipe: limite_subidas

Pulsamos no botón Save, e en Apply changes para volver a cargar as reglas do firewall coa nova configuración.

Haga clic en el botón Aplicar cambios para volver a cargar la configuración del firewall.

Proba de funcionamento

Comproba o funcionamento con o limitador e sen o limitador nalgunha web de proba de velocidade coma por exemplo:

Información paso a paso:

Pregunta 12 – Configuración del acceso a la consola de administración usando SSH

Partimos de que por defecto non está habilitado o acceso a través de SSH.

Podes confirmar que non está habilitado o acceso mediante SSH a pfSense mirando as regras.

Alternativa 1 - Habilitando acceso a través da GUI Acceder a: 

System -> Advanced

E na lapela Admin Access marcar Enable Secure Shell

Alternativa 2 - Habilitando acceso a través da shell Desde a pantalla de inicio na shell escolle a opción 14 para habilitar ou deshabilitar SSH

Comprobación do funcionamento

  1. Comprobar que nas regras aparece a que habilita a conexión mediante SSH (Firewall -> Rules)
  2. Comprobar que o servizo está levantado (Status -> Services)
  3. Comprobar con putty o funcionamento realizando unha conexión
    1. Desde entornos linux podes facelo co comando
      ssh ip_de_pfsense
    2. Desde entornos windows podes facelo con putty

Ampliación Podes xestionar o acceso mediante certificados seguindo estas indicacións:

Troubleshooting

Por defecto so os usuarios admin e root teñen acceso por SSH. Se estas probando con outros usuarios deberán darlles acceso con: 

User - System - Shell account access privilege to login via SSH

O normal é habilitar o acceso a través da rede LAN e non da WAN por motivos de seguridade. Con todo nun entorno pedagóxico é posible facer esa configuración deste xeito: On the Firewall rule creation screen, perform the following configuration: 

Firewall -> Rules
  • Action – Pass
  • Interface – WAN
  • Address family – IPV4
  • Protocol – TCP

Na pantalla de Source configuration é necesario indicar o enderezo IP para o que se permite a conexión SSH; ou any para permitir todas.

Na pantalla Firewall destination, configura deste xeito:

  • Destination – Wan address
  • Destination port range- From SSH (22) to SSH (22)

Na pantalla de Firewall Extra options introduce unha descripción para a regra.

Fai clic no botón de Save, recarga as regras do firewall co botón Apply changes e xa debe estar habilitado o acceso a SSH a través de WAN.

Pregunta 13 - Bloqueo del trafico HTTPS con certificados y en modo transparente

  • Video #11: Pfsense 2.4.3 Squid SquidGuard Modo Transparente Filtrado HTTP HTTPS - YouTube

Pregunta 14 – Uso de Regular Expressions

Pregunta 15 – Bloqueo de páxinas web por DNS

Pregunta 16 – Configura DNS dinámicos como OpenDNS

Este sería o resumo de pasos:

  1. Rexistro en OpenDNS
  2. Habilitar a configuración DNS en pfSense
  3. Deshabilitar DNS Resolver
  4. Habilitar DNS Forwarder
  5. Engadir a ip pública á configuración de OpenDNS e configurar categorías
  6. Probar o funcionamento

Hai xeitos alternativos de facer esta configuración.

Rexistro en OpenDNS

Primeiro é preciso rexistrarse en OpenDNS. A opción Home é gratuita:

Tras cubrir formulario chega correo electrónico que debemos confirmar pulsando enlace.

Habilitar a configuración DNS en pfSense

A continuación, a configuración realizaráse no pfSense: System -> General Setup

E en DNS Server Settings anotamos a información correspondente:

  • 208.67.222.222
  • 208.67.220.220

Deshabilitar DNS Resolver

Proseguimos configurando un forwarder hacia estos DNS. Para iso deshabilitaremos o DNS Resolver: Services -> DNS Resolver -> General Settings

Desmarcamos a casilla Enable DNS Resolver.

E actualizamos gardando con Save e aplicando os cambios con Apply Changes

Habilitar DNS Forwarder

Agora habilitaremos DNS Forwarder para indicarlle que redireccione todas as peticións DNS ós servidores DNS de OpenDNS. Para iso accedemos a DNS Forwarder: Services -> DNS Forwarder -> General Settings

En listen port introducimos 53 (é o porto de DNS) e novamente actualizamos gardando con Save e aplicando os cambios con Apply Changes'

Alternativa a pasos 2,3 e 4

Os pasos anteriores describiron a configuración para facer que todos os equipos resolvan as súas consultas DNS a través do noso pfSense, e este as redirixe ós servidores DNS de OpenDNS.

Outra alternativa sería configurar o servizo DHCP para que lles asigne a todos os equipos a configuración DNS dos servidores de OpenDNS.

Neste caso, debemos acceder a: Services -> DHCP Server -> LAN

E configurar no apartado Servers os campos DNS server:

  • 208.67.222.222
  • 208.67.220.220

Engadir a ip pública á configuración de OpenDNS e configurar categorías

Pulsar Add a network:

OpenDNS configurando a interfaz

Automáticamente detecta a ip pública pola que estamos saíndo, ainda que podemos facer cambios.

Pide un nome amigable para gardar esta configuración e algunhas opcións se se trata dunha ip dinámica:

OpenDNS nome amigable e opcións

E finalmente facendo clic na ip podemos escoller o nivel de filtrado ou personalizar as categorías a bloquear. Por exemplo:

OpenDNS niveles de filtrado e categorías personalizadas

Alternativa a pasos 2,3,4 e 5

Introducir a información de OpenDNS no pfSense. Para isto acceder a: Services -> Dynamic DNS

Pulsar botón Add.

E configurar do seguinte xeito:

  • Escoller do desplegable de Servicte Type: OpenDNS
  • Deixar en interfaz to monitor: WAN
  • Introducir hostname
  • Introducir username e password

Gardar os cambios con 'Save'. Neste intre aparecerá en cached ip 0.0.0.0. Tardará uns minutos en refrescar, e cando o faga, amosará a nosa ip pública. Se nuns minutos non aparece podemos reiniciar o pfSense para asegurar que toma valor.

Probar o funcionamento

Intentar acceder a unha páxina web que deba estar bloqueada conforme a categoría escollida. Debería amosar o seguinte:

OpenDNS bloqueando acceso a netflix

Troubleshooting

Para que os cambios teñaan efecto é preciso que se refresque a información.

Para entornos windows son útiles os comandos de ipconfig con los parámetros:

  • /release
  • /renew
  • /registerdns
  • /flushdns
  • /displaydns

Para entornos linux son útiles os comandos:

Curiosidade

Pregunta 17 – Bloqueo de descarga de ficheiros polo tipo de extensión

Partimos de que xa temos instalado squid e squidGuard de modo transparente.

Accedemos a: Services -> SquidGuard Proxy Filter -> Target categories

Pulsamos Add e introducimos:

  • Name: Bloqueo descargas exe e zip
  • Regular Expression: .*\.(exe|zip)
  • Redirect mode: int error page (enter error page message)
  • Redirect: as descargas de ficheiros executables e comprimidos zip non están permitidas
  • Description: Con esta regra bloqueanse descargas de ficheiros exe e zip

Pulsamos Save

Accedemos a lapela Common ACL e en Target Rules List na regla creada seleccionamos Deny.

Pulsamos Save

E finalmente na lapela General Settings pulsamos Apply'.

Probamos a descargar un ficheiro exe ou zip, e aparecerá a mensaxe:

  • Request denied by pfSense proxy: 403 Forbidden
  • Reason: a que introducimos na mensaxe de redirect

Troubleshooting

Pregunta 18 – Configuración de SafeSearch

Pregunta 19 – Configuración do DHCP Server

Pregunta 20 – Configuración DNS

Pregunta 21 – Configuración de notificacións

Configurar unha conta de Gmail para notificacións de PfSense

Pregunta 22 – Portal cautivo

Pregunta 23 - Cuestións básicas de pfSense

Cuestións

  1. Cal é o termo que se utiliza para referirse a rede que está separada do resto da rede local e que provee servizos ós usuarios fora da rede local?
  2. Cales son os requisitos mínimos de pfSense 2.4 no tocante a CPU, RAM e espazo en disco?
  3. Canta memoria require unha entrada da táboa de estados?
  4. Por qué e unha boa idea (tanto para pfSense como para a descarga doutro software) facer uso dos checksums?
  5. Cal é a mellor elección de sistema de ficheiros para unha organización que
    (a) require sorporte para encriptación a nivel de sistema de ficheiros e data deduplication?
    (b) require a maior compatibilidade hacia atrás posible?
  6. Identifica os dous lugares onde se pode facer a asignación de interfaces en pfSense
  7. Identifica cando menos catro tipos de configuracións válidas para unha interface pfSense
  8. Cal é a configuración por defecto para as Block Private Networks e os enderezos de loopback ...
    (a) na interface WAN ?
    (b) na interface LAN?
    (c) por qué?
  9. Identifica dous lugares na interfaz gráfica onde se pode configurar a zona horaria
  10. Identifica cando menos tres parámetros que poden ser configurados no Setup Wizard

Solucións

  1. Zona desmilitarizada.
  2. Mínimos --> CPU: 500 MHz; RAM: 512 MB; espazo en disco: 1 GB.
    Recomendados --> CPU: 500 MHz; RAM: 512 MB; espazo en disco: 1 GB. Fonte: Documentación oficial de pfSense
  3. Aproximadamente 1 KB. Fonte: Documentación de pfSense
  4. Os checksums son importantes para asegurar a integridade dunha descarga; así verificando o checksum dun binario pódese confirmar que a descarga finalizou correctamente e que non foi alterada por un terceiro
  5. (a) ZFS.
    (b) UFS Comentarios: Consulta que é a data deduplication
  6. A través da consola / shell e a través da interface gráfica web
  7. Posibles respostas válidas: Static; DHCP; PPTP; PPPoE; PPP; L2TP.
  8. (a) Enabled.
    (b) Disabled.
    (c) As Block Private Networks están bloquedas na interface WAN porque os enderezos privados por definición non son enrutables e nunca deberían pasar a través da interface WAN interface. Na interface LAN e outras interfaces locais, o habitual e que queramos que funcionen os enderezos privados
  9. A través do Setup Wizard e a través de System | General Setup.
  10. Posibles respostas válidas: Hostname, Domain, DNS Servers, Timezone, NTP Server, WAN Interface, LAN Interface,Password.

Pregunta 24 - Cuestións avanzadas de pfSense

Cuestións

  1. (a) Qué capa de transporte utiliza DHCP BOOTP?
    (b) Qué portos utiliza DHCP?
  2. (a) Qué capa de transporte utiliza BOOTP?
    (b) Qué portos utiliza BOOTP?
  3. Cales son os Router Advertisement (RA) flag settings que corresponden a habilitar Stateless DHCP (coñecido coma SLAAC)?
  4. Cales son os dous servizos que pfSense ten para DNS?
  5. (a) Qué capa de transporte utiliza DNS?
    (b) Qué portos utiliza DNS?
  6. Que ventaxa ten DDNS sobre os o servizo tradicional DNS?
  7. Qué tres tipos de autenticación soporta o servico de portal cautivo de pfSense?
  8. Qué campo debe existir na páxina de login do portal cautivo cando está habilitada a autenticación por voucher?
  9. Qué son as management information bases (MIBs)?
  10. Qué e SNMP? Cal é o seu porto por defecto?

Solucións

  1. (a) Transport Control Protocol (TCP).
    (b) 67 e 68.
  2. (a) User Datagram Protocol (UDP).
    (b) 67 e 68.
  3. M flag: 0; O flag: 1; L flag: 1; A flag: 1.
  4. DNS Resolver (por defecto) e DNS Forwarder.
  5. (a) UDP.
    (b) 53.
  6. Pode ser actualizado moito máis rápido que o DNS tradicional facendoo axeitado para escenarios nos que o enderezo IP asociado cun dominio cambia frecuentemente
  7. User Manager, Voucher, and RADIUS.
  8. <input name=”auth_voucher” type=”text”>.
  9. A estrutura na que os datos de xestión son organizados xerárquicamente nun dispositivo xestionada con SNMP. Fonte: Base de información xestionada
  10. O Protocolo simple de administración de rede ou SNMP (do inglés Simple Network Management Protocol) é un protocolo da capa de aplicación que facilita o intercambio de información de administración entre dispositivos de rede. Os dispositivos que normalmente soportan SNMP incluyen routers, switches, servidores, estacións de traballo, impresoras, bastidores de módem e moitos outros. Permitelles ós administradores supervisar o funcionamiento da rede, buscar e resolver os seus problemas, e planifiar o seu crecemento. Os seus portos por defecto son 161/UDP e 162/UDP (Trap)

Pregunta 25 - Configuración de VLANs

Cuestións

  1. Cal é o estandar do IEEE para VLAN tagging?
  2. Calesson os ID numbers míimos e máximos para VLAN tags?
  3. Nomea dous métodos utilizados para VLAN hopping.
  4. Cal debe ser o valor do campo priority code point (PCP) para asegurar o tratamento coñecido coma best effort?
  5. Cal é a principal vantaxe do QinQ VLAN tagging?
  6. Identifica dúas ventadas do uso de link aggregation.
  7. Qué regra crea automáticamente o firewall pfSense para unha interface opcional (coma OPT1)?
  8. Identifica dous tipos de portos que deben ser configurados no switch para que a configuración VLAN quede completada.
  9. Como se chama o VLAN ID por defecto?
  10. Identifica métodos para configurar VLANs en switches Cisco.

Solucións

  1. 802.1Q.
  2. 1, 4094.
  3. Switch spoofing, double tagging.
  4. 1.
  5. Incrementa o número posible de VLANs (16,752,649 con un único nivel de anidamento, sendo posible un número maior con tamén maior nivel de anidamento).
  6. Increased throughput (aumento de rendemento) e redundancia.
  7. Ningunha (temos que crear nos as regras que permiten accesos dende as VLANs a outras redes).
  8. Trunk ports and VLAN ports.
  9. PVID. Fonte: Diapositiva 6
  10. Static, Dynamic Trunking Protocol (DTP), VLAN Trunking Protocol (VTP).

Pregunta 26 - Filtrado de tráfico con reglas

Cuestións

  1. Cando creamos regras no filtrado, qué principio deberíamos aplicar?
  2. Cal é a diferenza entre Block e Reject no filtrado de tráfico?
  3. A nosa rede ten dúas interfaces: WAN ae LAN. As únicas regras son as creadas por pfSense cando interfaz LAN e inicialmente asignada: IPv4 e IPv6 "Allow LAN to any". Creamos entón unha regra para bloquear Recode coa seguinte configuración:
    Action = Reject; Interface = LAN; Address Family = IPv4 + IPv6; Protocol = TCP;
    Source = LAN net; Destination = 151.101.21.52 (O enderezo IP de Recode).
    Se colocamos esa regra ao final da táboa de regras LAN...que acontece cando queremos acceder a Recode?
  4. Co mesmo escenario, pero coloando esa regra ao final da táboa de regras LAN...que acontece aora cando queremos acceder a Recode?
  5. Co mesmo escenario, pero ahora creamos unha regra flotante coa seguinte configuración:
    Action = Pass; Quick = Disabled; Interface = LAN; Direction = in; Address Family = IPv4+IPv6; Protocol = Any;
    Source = Any; Destination = Any.
    The Block Recode regra está ubica enriba na táboa de reglas LAN.
    (a) Despois de habilitar a nova regra flotante, que acontece cando intentamos acceder a Recode?
    (b) Cambiamos a configuración rápida de esta regla a Enable e recargamos as regras do firewall...que acontece cando intentamos acceder a Recode??
    (c) Despois de cambiar a configuración rápida a Enabled, que efecto ten no tráfico "Allow LAN to any"
  6. Nomea catro tipos de alias.
  7. Describe tres métodos para crear alias con múltiples enderezos IP.
  8. Cal é un tipo de Virtual IP introducido con pfSense 2.0?

Solucións

  1. Principio de mínimo privilegio
  2. Block descarta o tráfico silenciosamente mentras que Reject devolve un paquete (RST para TCP ou ICMP Port Unreachable para UDP).
  3. Poderemos conectar a Recode; o bloque de reglas non surte efecto porque foi situado despois da regra "Allow LAN to any".
  4. NON poderemos conectar a Recode; o bloque de reglas fai match do tráfico a Recode antes da regra “Allow LAN to any”.
  5. (a) NON poderemos conectar a Recode; a nova regra “default allow” sera invocada despois da rega de block.
    (b) Poderemos conectar a Recode; a nova regra "default allow" será invocada antes da regra block.
    (c) As regras por defecto "Allow LAN to any" non teñen efecto no fluxo do tráfico porque nunca son alcanzadas; a regra flotante "default allow" es invocada primeiro.
  6. IP, Network, Port, URL. Fonte: Documentación oficial sobre alias
  7. (a) Navegar a Firewall | Aliases, na lapela IP facer clic en Add, e introducir cada enderezo IP manualmente
    (b) Navegar a Diagnostics | DNS Lookup, realizar un DNS lookup, e crear un alias da mesma
    (c) Navegar a Firewall | Aliases, facer clic no botón Import button, e facer un bulk import.
  8. IP Alias

Pregunta 27 - NAT

Cuestións

  1. Qué outras tecnoloxías distintas de NAT permiten xestionar o agotamento do espazo de enderezos en IPv4?.
  2. Se instalamos pfSense e configuramos as interfaces só con enderezos IPv4, necesitamos cambiar a configuración de Outbound NAT? Por qué si ou por qué non?
  3. Se está seleccionado Automatic Outbound, cantas regradas son creadas para cada interfaz non-WAN?
  4. Temos un servidor FTP que debe ser accesible a intenrnet e a nosa rede privada. Queremos asignarlle a este servidor o seu enderezo IP Público. Qué tipo de NAT deberíamos usar?
  5. Qué pasará se creamos unha entra de Port Forwarding e fixarmos a Filter rule00 asociada a None? Asume que non hai ningún outro cambio nas regras do firewall?
  6. Por qué habitualmente deixamos o Source set a any na entrada de Port Forwarding?
  7. Queremos crear unha entrada de Port Forwarding de xeito que fagamos o Remote Desktop Protocol (que normalmente corre no porto 3389) sexa accessible desde internet no portp 7000.
    (a) Como debe ser fixado o Destination port range?
    (b) Como debe ser fixado o Redirect port range?
  8. (a) Qué razóns pode haber para implementar NPt nunha rede IPv6?.
    (b) Qué alternativas a NPt recomenda o IETF?

Solucións

  1. Classless networks (CIDR), redes privadas (RFC 1918 networks) e IPv6.
  2. No; we do not need to alter the Outbound NAT settings because outbound NAT rules were generated for each of the non-WAN interfaces.
  3. Dúas regras (unha para IPsec e outra para o resto de tráfico).
  4. 1:1 NAT.
  5. El tráfico del port forwarding será bloqueado polo firewall.
  6. Normalmente non nos interesa a orixe do tráfico entrante.
  7. (a) 7000
    (b) 3389
  8. (a) Multihoming e route aggregation.
    (b) DHCPv6.

Pregunta 28 - Traffic Shaping

Cuestións

  1. Cal é o propósito do conformado de tráfico (traffic shaping)?
  2. (a) Identifica os tres tipos de colas soportados polo pfSense traffic shaper.
    (b) Identifica unha disciplina de colas que tende a asegurar que o tráfico de baixa prioridade non queda sen ancho de banda
    (c) Identifica unha disciplina de cola que usa una curva nonlineal de dúas partes e desacopla o ancho de banda da latencia.
  3. Podemos xestionar a nivel de capa 7 o traffic shaping coa instalación por defecto de pfSense?
  4. Identifica ous dous asistentes cos que podemos implementar traffic shaping en pfSense co traffic shaper que trae por defecto.
  5. Identifica un tipo de cola que provee notificación extremo-a-extremo da conxestión da rede sen descartar paquetes.
  6. Onde podes atopar as regras do firewall xeneradas polo traffic shaping wizard de pfSense?? (Pista: É a única categoría de regras que ten unha Match option para Action.)
  7. Qué interfaces están habilitadas por defecto cando instalamos Snort?
  8. Cómo podemos determinar a lonxitude dunha cola pfSense?

Solucións

  1. Asegurar que o tráfico da rede cumpre con certas restriccións predefinidas. A finalidade e optimizar ou guarantizar o rendemento, mellorar a latencia, ou incrementar o ancho de banda disponible para algúns tipos de paquetes retrasando outros menos prioritarios.
  2. (a) Priority queuing (PRIQ), class-based queuing (CBQ), e Hierarchical Fair-Service Curve (HFSC).
    (b) Class-based queuing.
    (c) Hierarchical Fair-Service Curve.
  3. Non, para implementar esa xestión a nivel de L7 é preciso implementar un paquete de terceiros coma pode ser Snort.
  4. (a) O Multiple Lan/Wan configuration wizard;
    (b) o Dedicated Links wizard.
  5. Explicit Congestion Notification.
  6. Na lapela Floating Rules.
  7. Ningunha; é preciso habilitar manualmente cada interfaz. Fonte: Engadindo snort a unha interface
  8. Navegando Status | Queues e mirando baixo Length column. Fonte: Monitorizando colas

Pregunta 29 - VPN

Cuestións

  1. Nomea os dous tipos de despregamentos VPN máis comúns.
  2. (a) Identifa tres protocolos VPN soportados por pfSense.
    (b) Qué protocolo non soporta de xeito nativo encriptación?
  3. Identifa os tres protocolos que conforman IPsec.
  4. Configuramos correctamente unha conexión IPsec coa versión de Key Exchange fixada a Auto. Que ocurrirá se intentación iniciar unha conexión sitio-a-sitio a un firewall onde a versión de Key Exchange está fixada a ...
    (a) IKEv1?
    (b) IKEv2?
  5. (a) Qué portos deben ser desbloquedos para que IPsec funcione?
    (b) Cal é o porto por defecto de OpenVPN?
  6. Cales son as tres opcións de autenticación para L2TP?
  7. Qué opcion foi engadida para a configuración da clave Diffie-Hellman en pfSense 2.4?
  8. Con OpenVPN, qué alternativas existen para autenticar usando certificados xestionados a través do pfSense Certificate Authority Manager?

Solucións

  1. Peer-to-peer and client-server.
  2. (a) IPsec, L2TP e OpenVPN.
    (b) L2TP, e por iso habitualmente combinase coa outras técnicas de encriptación coma IPsec.
  3. Authentication Headers (AH), Encapsulating Security Protocol (ESP) e Security Association (SA).
  4. (a) A conexión fallará porque a versión de Key Exchange está fixada a Auto e pfSense é o iniciador. Usará IKEv2 (e xa que o outro firewall está usando IKEv1 haberá un mismatch).
    (b) A conexión realizarase con éxito porque pfSense como iniciador usará novamente IKEv2, e os protocolos harán match.
  5. (a) 500 e 4500;
    (b) 1194.
  6. Challenge-Handshake Authentication Protocol (CHAP)], MSCHAPv2, e Password Authentication Protocol (PAP).
  7. Elliptic-curve Diffie-Hellman (ECDH).
  8. Lightweight Directory Access Protocol (LDAP) e Remote Authentication Dial-In User Protocol (RADIUS).

Pregunta 30 - Redundancia e alta disponibilidade

Cuestións

  1. Identifica tres tipos de algoritmos de balanceo de carga.
  2. Cales son as vantaxes do balanceo de carga...
    (a) no lado do cliente?
    (b) no lado do servidor?
  3. Cales son os dous modos de balanceo de carga soportados por defecto na instalación de pfSense?
  4. Se estou a usar o balanceador de carga de pfSense's e engado un servidor ao pool server pero o tráfico dende fóra da rede non alcanza o meu novo servidor (e o tráfico do exterior si alcanza a outros servidores dese pool ), cál é a causa máis probable? ASume que o server pool estaba funcionando correctamente antes de engadir ese servidor.
  5. Identifica cal dos seguintes pode ser sincronizado usando o High Availability Sync de pfSense.
    (a) regras de firewall
    (b) paquetes;
    (c) IPs virtuais
    (d) logs do sistema.
  6. Nunga configuración CARP normal, necesitamos crear unha IP virtual para a interface PFSYNC? Por qué si ou por qué non?
  7. Temos un grupo CARP failover funcionando correctamente no que todas as opción están seleccionadas en Select options to sync na páxina System | High Availability Sync. No firewall de backup, creamos unha nova regra. Que acontece con esta regra se navegamos a Status | Filter Reload e no firewall maestro facemos clic no botón Force Config Sync?
  8. Por qué e importante fixar a Advertising frequency nunha configuración CARP con varios firewalls de backup?
  9. Queres implementar balanceo de carga nun firewall pfSense usando o algoritmo Least Connections. Cál é o xeito máis sinxelo de facer isto?
  10. Necesitamos manter CARP desabilitado nun reinicio. Cómo debemos proceder?

Solucións

  1. Calquera dos seguintes: random, round robin, weighed round robin, least connection, least traffic, least latency, IP hash, URL hash, SDN adaptive. Fontes: 1, 2 e 3
  2. (a) Balancelo no lado do cliente: sinxelo de implementar e efectivo.
    (b) Balanceo no lado do servidor: mellor para garantir o balanceo de carga; transparente para o client; máis seguro; podemos darlle unha mensaxe os clientes ando todos os servidores están caidos.
  3. Balanceo de carga e Failover.
  4. O máis probable é que esquecera actualizar o alias para o server pool para incluir o novo servidor. Xa que a regra do firewall permite pasar o tráfico ó server pool usando este alias, se permite o paso de tráfico para todos os servidores excepto o novo.
  5. (a) Si
    (b) No
    (c) Si
    (d) No
  6. Non temos que crear unha IP virtual IP para a interface PFSYNC porque usase para para pasar datos de sincronización entre firewalls; e non queremos redundancia en esta interface.
  7. A regra do firewall será sobreescrita cando os datos sexan sincronizados co firewall maestro.
  8. Porque se a Advertising frequency e a mesma en dous ou máis firewalls de backup, se o maestro cae, dous ou mais firewalls de backup intenarán convertirse en maestro no mesmo instante.
  9. Usa HAProxy e selecciona Least Connections como balanceo de carga para Balance cando configures o backend.
  10. Navega a Status | CARP (failover) e fai clic no botón Enter Persistent CARP Maintenance. Fonte: Modo mantemento

Pregunta 31 - Múltiples WANs

Cuestións

  1. Qué documento é facilitado por moitos ISPs no que se definen os aspectos do servicio que serán facilitados ó cliente?
  2. Qué é un enrutamento baseado en políticas?
  3. Qué forma de redundancia e alta disponibilidade debería usar no noso grupo gateway se temos dúas conexións de internet serapadas e (a) queremos combinalas para ancho de banda agregado (bandwidth aggregation (b) solo queremos usar a conexión secundaria se a primeira está caida
  4. What will happen if we configure a gateway group and do not add or change the firewall rules? Assume our setup is otherwise correct.
  5. In a multi-WAN setup, under what circumstances must you add a static route for an external DNS server?
  6. If we add multi-WAN capabilities to a CARP failover group, how many virtual IPs do we need to add?
  7. Qué opción pode ser usada para asegurar que todo o tráfico dun certo sitio web é enrutado a través da mesma interface WAN interface mentras haiba estados que se refirana esa conexión?
  8. Tes configurado un grupo gateway con balanceo de carga e unha páxina externa "what is my IP" informa de que mon hai cambio s na tua IP... cál pode ser a causa?

Solucións

  1. Service-Level Agreement (SLA) (traducido coma acordo de nivel de servicio).
  2. Routing no que as decisións de enrutamiento son fixadas por política administrativa.
  3. (a) Balanceo de carga (Load balancing). (b) Conmutación por erro (Failover).
  4. Traffic between local interfaces will be routed through the original WAN interface and will never reach the gateway group; pfSense’s default behavior is to route external traffic to the primary WAN interface.
  5. You are configuring an OPT_WAN interface and the OPT_WAN’s DNS server is not the same as the Monitor IP. We do not have to configure a static route for the primary WAN interface because external traffic is routed to it by default, and we do not have to configure a static route if the OPT_WAN’s DNS server is the same as the Monitor IP because pfSense will add a static route for the Monitor IP.
  6. One for each OPT_WAN interface (and one for each 1:1 NAT mapping, if we have any).
  7. Usa Sticky Connections.
  8. Hai varias posibilidades
    1. O grupo de balanceo de carga non está funcionando axeitadamente, e sería preciso revisar a configuración
    2. A páxina web está cacheada e non está refrando cando recargamos. Poderíamos probar a borrar ese cacheo, ou probar con outra web.
    3. O peso das conexións e moi desigual de xeito que a segunda conexión xestiona moi pouco tráfico. Poderíamos temporalmente cambiar os pesos para verificar o funcionamento.
    4. Estánse a usar Sticky Connections ou algún outro tipo de conexión persistente coma opción; outros usuarios están na rede xenerando unha parte das conexións que vanas conexións non primarias.

Pregunta 32 - Routing e bridging/switching

Cuestións

  1. Cal é a diferencia fundamental entre routing e bridging/switching?
  2. Qué clase de protocolos de enrutamiento requiren do router únicamente informar os seus veciños de cambios na topoloxía?
  3. Qué clase de protocolos de enrutamiento requiren que cada router constrúa un mapa da súa conectividade á rede?
  4. Identifica dous métodos que se poidas usan parao problema de retorno de tráfico que non segue a mesma ruta de envío cando configuramos rutas estáticas.
  5. Qué paquete pfSense debemos instalar se...
    (a) Queremos utilizar RIP v2 coma protocolo de enrutamento.
    (b) Queremos utilizar OSPF coma protocolo de enrutamento.
    (c) Queremos redistribuir as rutas OSPF a veciños?
  6. What is the first step in implementing policy-based routing?
  7. Identifica os dous protocolos de spanning tree protocols soportados por pfSense.
  8. Temos un CARP failover group e quremos facer bridge de dúas interfaces no failover group. Que problema plantexara isto?
  9. (a) Que ferramenta da interfaz web de pfSense pode axudar a diagnosticar problemas de enrutamente?
    (b) Cal sería o comando equivalente?

Solucións

  1. Routing implica movemento de tráfico entre redes (internetwork traffic) mentres o bridging/switching implica a conexión de segmentos dentro da mesma rede (intranetwork traffic). Fonte: Routing e Switching
  2. Protocolos de vector distancia. Fonte: Protocolos de enrutamiento
  3. Protocolos de estado de enlace. Fonte: Protocolos de enrutamiento
  4. Habilita Static route filtering en System | Advanced (Firewall e NAT lapela) ou crea regras de filtrado para xestionar as rutas estáticas.
  5. (a) routed.
    (b) Quagga OSPF ou FRR (FRRouting).
    (c) FRR.
  6. Adding one or more gateways.
  7. Spanning Tree Protocol (STP) e Rapid Spanning Tree Protocol (RSTP). Fonte: Protocolos de xestión de bucles en topologías de red
  8. Looping. Fonte: Redundancia en L2
  9. (a) A táboa de enrutamento que se atopa en Diagnostics | Routes.
    (b) # netstat -rWn Fonte: Troubleshooting de rutas

Pregunta 33 - Paquetes para extender pfSense

Cuestións

  1. Qué dous métodos poden ser usados para instalar paquetes no pfSense?
  2. Cal é o porto por defecto no que vai escoitar o proxy Squid?
  3. Engadimos unha regra no firewall para bloquear o acceso a unha determinada páxina web desde todas as nosas redes locales e confirmamos que funciona correctamente como esperamos. Asumindo para os seguintes escenarios que non fixemos ningunha configuración adicional no Squid, qué acontece...
    (a) Despois de instalar o servidor proxy Squid... poderemos acceder a ese sitio web?
    (b) Despois de habilitar o servidor proxy Squid... poderemos acceder a ese sitio web? .
  4. Qué paquete sería o máis axeitado para de xeito sinxelo bloquear o acceso dende un país a nosa rede?
  5. Identifica os diferentes estados de portos interesantes nunha proba Nmap.
  6. Qué paquete debemos instalar se queremos engadir un grupo de balanceo de carga e tamén noficacións se un dos serividores do grupo cae?
  7. Identifica os tres modos nos que Snort pode correr.
  8. Identifica os tres protocolos que poden ser especificados nunha regra de Snort.
  9. Identifica paquetes que poden ser utilizados para a monitorización de redes.
  10. Cál é a diferenza entre un axente Zabbix e un proxy Zabbix?
  11. Queremos monitorizar traps SNMP. Qué paquete de Zabbix debemos instalar?

Solucións

  1. A través da interfaz de pfSense e por liña de comandos.
  2. 3128.
  3. (a) O acceso á páxina web seguirá bloqueado porque a instalación de Squid non arranca o mesmo como habilitado por defecto
    (b) O acceso á páxina web será posible porque Squid ten precedencia sobre as regras do firewall e non temos engadido o sitoo á blacklist de Squid.
  4. pfBlockerNG.
  5. Open, Closed, Filtered, Unfiltered, Open/Filtered, Closed/Filtered. Fonte: Nmap Port Status
  6. HAProxy.
  7. Packet sniffing mode, packet logging mode e network intrusion prevention mode. Fonte: Modos de Snort
  8. TCP, UDP e ICMP. Fonte: Protocolos nas regras Snort
  9. Ntopng, nmap, Zabbix, Suricata,....
  10. Un axente Zabbix recolle información do host local e pásalla o servidor Zabbix; un proxy Zabbix recolle information de hosts e é capaz de interactuar co servidor Zabbix server de xeito que a carga é distribuída.
  11. Zabbix por defecto xa pode monitorizar traps SNMP. Con todo, pode requirir da instalación dos paquetes net-snmp-utils, net-snmp-perl, e net-snmp para o uso do trap receiver snmptrapd coma demonio. Máis información na documentación de Zabbix e no seu blogue.

Pregunta 34 - Diagnóstico e troubleshooting

Cuestións

  1. Cal debe ser o paso final no troubleshooting dun problema de rede?
  2. Un sitio pode ser alcanzado facendo ping o enderezo pero facendo ping o nome do host falla. Cal é a causa mais probable para isto?
  3. Nomea estándares wifi que funcionan no rango de 2.4 GHz.
  4. Que estándar de encriptación wireless envía os challenges en claro e é considerado inseguro?
  5. Identifica dous métodos para determinar se unha interfaz está levantada desde a interface gráfica de pfSense.
  6. Qué ferramenta pode ser utilizada para monitorear a táboa de estados de pfSense e é posible o seu uso desde liña de comandos e desde a interface gráfica de pfSense?
  7. Qué ferramente pode ser utilizada para facer ping a un sitio que bloquea o tráfico ICMP pero non o TCP?
  8. Cales son os dous propósitos principais de traceroute?

Solucións

  1. Documentar o problema e a solución; o que se lle adoita chamar documentar as leccións aprendidas.
  2. Un fallo na configuración ou funcionamento do DNS.
  3. 802.11b, 802.11g e 802.11n.
  4. Wireless Encryption Privacy (WEP).
  5. Status | Interfaces ou usando ou Dashboard.
  6. pfTop.
  7. tcpping.
  8. Amosar a ruta seguida polos paquetes e o tempo empregado en cada paso (delay)
Obtenido de «https://wiki.cifprodolfoucha.es/index.php?title=Cuestións_resoltas_sobre_pfSense&oldid=12632»