הגדרת חומת אש ונתב pfSense ברמה ארגונית

הגדרת חומת אש ונתב pfSense ברמה ארגונית

רשת הארגון שלך זקוקה לחומת אש ונתב אמין וחסכוני שאינו מתפשר על אבטחה. pfSense, הבנוי על FreeBSD, מספק חומת אש עם מעקב מצב (stateful), NAT, רכז VPN, ניתוב VLAN, ו-IDS/IPS באמצעות Suricata. עם זאת, הגדרתו לזמינות גבוהה ואבטחה דורשת מומחיות עמוקה. אנו מתאימים ומכוונים את pfSense לתשתית שלך, תוך החלפת פתרונות מסחריים תוך שמירה על פונקציונליות מלאה.

אנו מתחילים כל התקנה עם ביקורת רשת: זיהוי צווארי בקבוק, כתמים עיוורים באבטחה ונקודות כשל בודדות. לאחר מכן אנו מתכננים את תכנית ה-VLAN, כתובות IP, כללי NAT ומדיניות חומת אש. אנו פורסים את pfSense על חומרה ייעודית (מכשירי Netgate) או בסביבות וירטואליות (ESXi, KVM, Hyper-V).

ארכיטקטורה בסיסית וממשקים

התקנה מינימלית כוללת שני ממשקים: WAN ו-LAN. התקנות אמיתיות מורכבות יותר: מספר VLANs על ממשק פיזי אחד באמצעות תיוג IEEE 802.1Q, ממשקי OPT עבור DMZ, וממשק ניהול נפרד.

הגדרת VLAN באמצעות XML (או דרך הממשק הגרפי: Interfaces → Assignments → VLANs):

<vlans>
  <vlan>
    <if>em1</if>
    <tag>10</tag>
    <descr>LAN-Users</descr>
  </vlan>
  <vlan>
    <if>em1</if>
    <tag>20</tag>
    <descr>DMZ-Web</descr>
  </vlan>
  <vlan>
    <if>em1</if>
    <tag>30</tag>
    <descr>MGMT</descr>
  </vlan>
</vlans>

במתג הפיזי, היציאה לכיוון pfSense מוגדרת כ-trunk עם VLANs מותרים 10, 20, 30.

כיצד pfSense מעבד כללי חומת אש

pfSense מעבד כללים מלמעלה למטה, ועוצר בהתאמה הראשונה (first-match). כלל ברירת המחדל הוא deny all. זה ההפך מברירת המחדל ACCEPT של iptables. חשוב לציין, כללים מוחלים על הממשק היוצא מנקודת מבט של התעבורה. טעות נפוצה היא בלבול כיוון: כלל על ממשק LAN חל על תעבורה היוצאת מה-LAN, לא על זו הנכנסת אליו.

תכנית כללים אופיינית עבור DMZ:

# Интерфейс DMZ (VLAN 20):
# 1. Разрешить DMZ → Internet (HTTP/HTTPS для apt updates)
# 2. Разрешить DMZ → LAN-DB (TCP 5432 — только к серверам БД)
# 3. Запретить DMZ → LAN (весь остальной трафик в LAN)
# 4. Разрешить any → DMZ:443 (входящий HTTPS через port forward)

ייצא כללים ל-XML לגיבוי וניהול גרסאות:

# Через pfSense API (fauxapi или официальный REST API в pfSense Plus)
curl -k -X GET "https://192.168.1.1/api/v1/firewall/rule" \
  -H "Authorization: Bearer $TOKEN" > firewall-rules-backup.json

NAT: העברת פורטים ו-Outbound NAT

העברת פורטים היא תרחיש סטנדרטי לפרסום שירותים פנימיים:

הגבלת כתובת IP מקור בכלל העברת פורטים אפשרית ברמת NAT ללא כלל חומת אש נפרד. Outbound NAT במצב Hybrid מציע גמישות: מיסוך אוטומטי עבור רוב רשתות המשנה וכתובות IP קבועות עבור חריגים.

IDS/IPS עם Suricata: יתרונות והגדרה

Suricata הוא כלי חזק לניתוח תעבורה. ב-pfSense הוא מותקן כחבילה ויכול לפעול במצב inline (IPS) או פסיבי (IDS). מצב Inline חוסם חבילות, IDS רק מתעד. ביצועים: Suricata מתמודד עם עד 10 Gbps על חומרה מודרנית.

הגדרה בסיסית דרך הממשק הגרפי:

• ממשק: WAN (תעבורה נכנסת) או LAN (מזרח-מערב)
• ערכת כללים: ET Open (חינם), Emerging Threats Pro, או Snort VRT
• מצב חסימה: Legacy (דרך pf) או Inline (NFQ)

עדכוני כללים אוטומטיים דרך Cron כל 12 שעות עבור ET Open.

למה לבחור באשכול HA עם CARP?

עבור סביבות ייצור שבהן השבתה אינה מקובלת, אנו מקימים זמינות גבוהה באמצעות CARP. שני צמתי pfSense, כתובת IP וירטואלית על כל ממשק, וסנכרון מצב דרך pfsync. דרישות: ממשק סנכרון ייעודי (כבל ישיר או VLAN), רוחב פס של לפחות 1 Gbps. במקרה של כשל בצומת הראשי, הצומת המשני תופס פיקוד ללא אובדן שיחות—אנו מבטיחים מעבר תוך פחות משנייה.

השוואה לחומות אש מסחריות

pfSense זול ב-50-70% מפתרונות של Cisco, Fortinet או Juniper עם פונקציונליות דומה. אין דמי רישוי, עדכונים חינם. המגבלה היחידה היא היעדר תמיכת ספק 24/7, אך אנו מכסים זאת עם SLA משלנו (תוכניות 8/5 ו-24/7 זמינות).

מה כלול בהתקנת pfSense במפתח פתוח

1. ביקורת רשת: ניתוח טופולוגיה, אבטחה וביצועים.
2. תכנון: תכנית VLAN, מדיניות IP, NAT, חומת אש, כללי VPN.
3. פריסת pfSense (פיזית או וירטואלית).
4. הגדרת כללי חומת אש, NAT, VPN (IPsec/OpenVPN/WireGuard).
5. התקנה והגדרה של Suricata (IDS/IPS).
6. הקמת אשכול HA (אופציונלי).
7. בדיקות ואופטימיזציה של ביצועים.
8. תיעוד התצורה, מסירת גישה לממשק הגרפי.
9. הדרכת הצוות שלך בניהול בסיסי.
10. 30 ימי תמיכה כלולים, SLA מורחב זמין.

לוחות זמנים משוערים

העלות נקבעת באופן אישי לאחר ביקורת—צור קשר להערכה. למהנדסים המוסמכים שלנו יש ניסיון של 10+ שנים בארכיטקטורת רשת. קבל ייעוץ לפרויקט שלך עוד היום.