# Настройка pfSense
Версия 29.01.2022

pfSense является программным маршрутизатором/фаерволом на основе операционной системы FreeBSD.
В данной инструкции рассмотрим его начальную настройку для следующей инфраструктуры и внесем правила в соответствии поставленной задачей.


В данной инфраструктуре представлены два узла с установленным pfSense - FW-WAN и FW-LAN.

## Первым настроем FW-WAN.
После загрузки pfSense мы увидим меню настройки. Первое, что нам нужно сделать — настроить сеть и веб-интерфейс. Дальнейшую настройку можно делать в последнем.

1) Выбираем опцию **Set interface(s) IP address** — номер 2

2) Выбираем интерфейс для настройки. Сначала внутренний (LAN):

3) Задаем IP-адрес в соответствии с нашей инфраструктурой:

4) Указываем маску подсети:

5) Если нужно, прописываем адрес шлюза, в противном случае, просто нажимаем Enter

6) Не указываем адрес IPv6:

7) Система нам предложит активировать сервер DHCP для локальной сети. Если наш pfSense должен выполнять такую задачу, ставим y. Мы же этого делать не будем, так как наша LAN-зона является DMZ-зоной. В DMZ-зоне IP-адреса узлам нужно присваивать в ручную.

8) На вопрос: "Do you want to revert to HTTP as the webConfiguration protocol? (y|n)" - отвечаем: "n". Если ответить "y", то Web-конфигуратор будет доступен протоколу http, иначе по https.

На этом настройка FW-WAN завершена.

## Приступаем к насройке интерфейсов на узле FW-LAN.
1) Для того, чтоб задать какой из интерфейсов WAN или LAN необходимо выбрать **Assign Interfaces** - пункт 1.

2) Система предложит добавить VLAN, для нашей инфраструктуры необходимо сконфигурировать три VLAN поэтому вводим y.

3) Далее необходимо ввести наименование родительского VLAN интерфейса

4) И перечислить названия VLAN-ов. Мы создадим следующие VLAN: 10, 20, 30
для того чтобы остановить процесс добавления VLAN нужно нажать Enter не вводя ничего.

5) Далее нужно ввести наименование интерфейса для WAN-интерфейса

6) Таким же образом вводим наименование интерфейса для LAN-интерфейса

7) После чего вводим наименование интерфейсов для ранее созданных VLAN

8) После того как наименования для всех интерфейсов будут назначены нужно выполнить подтверждение

9) В основном меню будут перечислены все наши интерфейсы с наименованиями, но без адресов, следующим этапом назначаем IP адреса для наших интерфейсов:

## Назначение IP-адреса для WAN интерфейса FW-LAN

1) Выбираем опцию **Set interface(s) IP address** — номер 2

2) Далее указываем для какого интерфейса будет назначение IP-адреса, выбираем WAN интерфейс

3) На нашем WAN интерфейсе DHCP сервер не нужен, поэтому на следующем шаге выбираем n

4) Далее в соответствии с нашей инфраструктурой вводим IP-адрес для WAN интерфейса

5) Указываем маску сети

6) Указываем шлюз для WAN интерфейса

7) DHCP для IPv6 нам не нужен

8) На вопрос: "Do you want to revert to HTTP as the webConfiguration protocol? (y|n)" - отвечаем: "n". Если ответить "y", то Web-конфигуратор будет доступен протоколу http, иначе по https.

9) Назначение IP адреса для WAN интерфейса FW-LAN выполнено, переходим к назначению IP адреса следующего интерфейса

## Назначение IP-адресов для LAN и VLAN интерфейсов FW-LAN

1) Выбираем LAN-интерфейс

2) Вводим IP-адрес и маску для LAN-интерфейса

3) Делаем всё аналогично предыдущей настройки WAN-интерфейса, только не указываем шлюз, и устанавливаем DHCP на LAN-интерфейсе и VLAN-интерфейсах

4) Указываем диапазон IP адресов для DHCP сервера LAN-интерфейса

5) На вопрос: "Do you want to revert to HTTP as the webConfiguration protocol? (y|n)" - отвечаем: "n". Если ответить "y", то Web-конфигуратор будет доступен протоколу http, иначе по https.

6) Далее назначение IP адресов для VLAN выполняются аналогично настройке LAN интерфейса и в соответсвии со своим VLAN-ID, DHCP диапазон указывается в следующем виде с 192.168.VLAN-ID.10 по 192.168.VLAN-ID.20. В итоге должен получится следующий список интерфейсов:

## Настройка коммутатора (switch-LAN)

Порядок комманд необходимо ввести в соответсвии следующему рисунку:

DOT1Q — используется для multiple соединений. Это укороченная версия от IEEE 802.1q. Так как802.1Q не изменяет заголовки кадра, то сетевые устройства, которые не поддерживают этот стандарт, могут передавать трафик без учёта его принадлежности к VLAN. 802.1Q помещает внутрь фрейма тег, который передает информацию о принадлежности трафика к VLAN’у. В стандарте 802.1Q существует понятие Native VLAN. По умолчанию это VLAN 1. Трафик, передающийся в этомVLAN, не тегируется.


# Выполнение задания:
Настроить межсетвой экран pFsense или Linux FW в соответсвии с условиями:

- VLAN-10 имеет доступ в интернет только по протоколу DNS, И VLAN-10 имеет доступ к VLAN-20

- VLAN-20 может ходить только в VLAN-30

- VLAN-30 только в Internet

- VLAN-1 только в VLAN-10

### Настройка pfSense FW-WAN в веб-конфигураторе

1) Меняем наименование сетевой зоны LAN на DMZ

2) Сверяем что интерфейсы соответсвуют наименованиям сетевых зон

3) Добавим правила в разделе Firewall - Rules - Edit позволяющие отправлять любой траффик из DMZ зоны
4) 

### Настройка pfSense FW-LAN в веб-конфигураторе

1) В разделе Interfaces - VLANs нужно добавить ранее созданные VLAN



2) В итоге получаем такой список интерфейсов


## Настройки доступа для VLAN-10

1) Добавляем правила в Firewall - Rules - Edit чтобы VLAN-10 имел доступ в интернет только по протоколу DNS

2) Добавляем правило для доступа по любому протоколу из VLAN-10 в VLAN-20

3) Блокируем все остальные соединения на локальные сети

172.16.0.0/12
10.0.0.0/8
192.168.0.0/16

Для это сначало создаем алиас в разделе Firewall/Aliases/IP

Затем создаем правило по блокировке соединений:

Таким образом для VLAN-10 созданы следующие правила

## Настройки доступа для VLAN-20

Для условия чтобы из VLAN-20 можно было устанавливать соединение с VLAN-30 нужно указать следующее правило:

## Настройки доступа для VLAN-30

Для условия чтобы из VLAN-30 был доступ только в Интернет, указываем следующие правила, использую Invert Match (инвертировать совпадение)



## Настройки доступа для VLAN-1
Для условия чтобы из VLAN-1 был доступ только в VLAN-10, указываем следующее правило:


При этом чтобы проверить наш сервер который в VLAN-10 нужно отключить Firewall на сервере WinSRV-DC

**После ввода любого правила необходимо их применить нажав на Apply Changes**
###### tags: `networks`