Slide del seminario DiTeDi 2012 su firewall OpenSource pfSense - parte 2

1. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
Michele Della MarinaMichele Della Marina
Dario TionDario Tion
Settembre, 2012Settembre, 2012

2. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
pfSense is a free, open source customized distribution ofpfSense is a free, open source customized distribution of
FreeBSD tailored for use as a firewall and routerFreeBSD tailored for use as a firewall and router
www.pfsense.orgwww.pfsense.org
FreeBSD

3. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
http://doc.pfsense.org/
DOCUMENTAZIONEDOCUMENTAZIONE
pfSense: The Definitive Guide

4. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
INSTALLARE PFSENSEINSTALLARE PFSENSE
Live CDLive CD
Full InstallFull Install
EmbeddedEmbedded
Virtual ApplianceVirtual Appliance

5. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
REQUISITI HARDWARE
Funzionalità richiesteThroughput necessario

6. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
CPU - 100 MHz Pentium
RAM - 128 MB
1 GB hard drive
512 MB Compact Flash
Serial port for console
REQUISITI MINIMI DI SISTEMAREQUISITI MINIMI DI SISTEMA

7. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
STATI RAM (MB)
100.000 97
500.000 488
1.000.000 976
3.000.000 2.900
1 STATO ~ 1KB RAM
REQUISITI HARDWAREREQUISITI HARDWARE
Stateful InspectionStateful Inspection

8. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
REQUISITI HARDWAREREQUISITI HARDWARE
Throughput vs CPU/NICThroughput vs CPU/NIC
MMX 200 MHz II 350 MHz III 700 MHz IV 1.7 GHz
0
50
100
150
200
250
300
350
400
Realtek
Intel Pro/1000
CPU
Throughput(Mbps)
A snippet of a comment in
the source code for this
driver tells the story
"The RealTek 8139 PCI NIC
redefines the meaning of 'low
end.' This is probably the
worst PCI Ethernet controller
ever made, with the possible
exception of the FEAST chip
made by SMC."

9. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
REQUISITI HARDWAREREQUISITI HARDWARE
VPN (IPSEC) Throughput vs CPUVPN (IPSEC) Throughput vs CPU
CPU 266 MHz CPU 500 MHz CPU XEON 800 FSB MHz
0
10
20
30
40
50
60
70
80
90
100
Throughput
Throughput(Mbps)

10. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
REQUISITI HARDWAREREQUISITI HARDWARE
VPN (IPSEC) Throughput vs CPUVPN (IPSEC) Throughput vs CPU

11. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
PROCESSI INSTALLAZIONE

12. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
ASSEGNAZIONE INTERFACCEASSEGNAZIONE INTERFACCE
OPT
LAN
WAN

13. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
ASSEGNAZIONE INTERFACCEASSEGNAZIONE INTERFACCE

14. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
PFSENSE CONSOLEPFSENSE CONSOLE

15. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
WEB MANAGEMENTWEB MANAGEMENT

16. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
WEB MANAGEMENT: INTERFACCEWEB MANAGEMENT: INTERFACCE

17. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
ALIAS: variabile per agevolare scrittura delle regole

18. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
RULES: DEFINIZIONERULES: DEFINIZIONE
Everything that isn't explicitly passed is blocked by defaultEverything that isn't explicitly passed is blocked by default

19. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
NATNAT

20. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
ROUTING
Dove devo andare per andare
dove voglio andare?

21. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
DEFAULT RULES / NATDEFAULT RULES / NAT
LAN
WAN
NAT

22. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource

23. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
SITE-2-SITESITE-2-SITE
IPsec
OpenVPN
IPsec
PPTP
OpenVPN
ROAD WARRIOR CLIENT 2 SITEROAD WARRIOR CLIENT 2 SITE
VPN: Virtual Private NetworkVPN: Virtual Private Network

24. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
VPN: Virtual Private NetworkVPN: Virtual Private Network
Quale VPN?

25. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
CA - Certification AuthorityCA - Certification Authority

26. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
Traffic Shaping
QOS / BANDWIDTH MANAGEMENTQOS / BANDWIDTH MANAGEMENT

27. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
Traffic Shaping
WIZARD: almeno 80 REGOLE QOSWIZARD: almeno 80 REGOLE QOS

28. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
Traffic Shaping
LAYER 7 PATTERNLAYER 7 PATTERN
smtp
^220[x09-x0d -~]* (e?smtp|simple mail)
userspace pattern=^220[x09-x0d -~]* (E?SMTP|[Ss]imple
[Mm]ail)
userspace flags=REG_NOSUB REG_EXTENDED
http://l7-filter.sourceforge.net/Pattern-HOWTO

29. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
PACKAGES / SERVIZIPACKAGES / SERVIZI
DHCPDHCP
DNSDNS
CAPTIVE PORTALCAPTIVE PORTAL
FREERADIUSFREERADIUS
IDS/IPS (Snort)IDS/IPS (Snort)
BGP ROUTINGBGP ROUTING
INTERNAL CAINTERNAL CA

30. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
SYSTEM LOGSYSTEM LOG

31. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
HIGH AVAILABILITYHIGH AVAILABILITY

32. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
ESEMPIO DI CONFIGURAZIONEESEMPIO DI CONFIGURAZIONE

33. Michele Della Marina - Dario Tion pfSense - soluzione firewall opensource
pfSense
soluzione firewall opensource
BIBLIOGRAFIA ed IMMAGINI
Famiglia Simpson :-)
http://en.wikipedia.org/wiki/Morris_worm
http://en.wikipedia.org/wiki/Firewall_(computing)#cite_note-report_unm-2
www.symantec.com
www.malaboadvisoring.it
www.google.com
www.vmware.com
www.laontalk.com
www.guidaacquisti.net/
www.wikimedia.org
www.39italia.com
it.123rf.com/
www.silhouettesclipart.com
www.thenetworkthinkers.com/
www.neomedia.it
www.diablotin.com
www.wired.com
www.cisco.com
www.simonecossu.it
RIFERIMENTIRIFERIMENTI