Revision 82 vom 2021-12-22 11:43:23

Nachricht löschen

Installationshinweise: pfSense Firewall des Debian Edu / Skolelinux Netzwerks

Download / Installationsmedium erstellen

Zunächst muss pfSense für das gewählte Installationsmedium (CD-ROM, USB-Stick) heruntergeladen werden: https://www.pfsense.org/download/

Hinweis: Das aktuelle amd64-Image ist unter pfSense-2.5.2-Downloads herunterzuladen.

Nach dem Download muss das Boot-Medium erstellt werden. Genauere Hinweise hierzu bitte der pfSense-Dokumentation entnehmen.

Netzwerkkarten identifizieren

Bevor mit der Installation des Firewall-Systems begonnen werden kann, muss für alle Netzwerkkarten die jeweils zugehörige MAC-Adresse ermittelt werden. Eine eindeutige Zuordnung von MAC-Adressen zu Netzwerkports ist für die spätere Konfiguration der Firewall-Software notwendig.

Basisinstallation

Den PC für das Firewall-System vom Installationsmedium starten und im Abfrage-Dialog von pfsense die folgenden Optionen auswählen:

Gegebenenfalls beim nächsten Abfragebildschirm Anpassungen an den gebotenen Einstellungen vornehmen, sonst die Einstellungen akzeptieren und fortfahren.

Die Installationsmethode Quick/Easy Install kann für Systeme genutzt werden, in denen keine zwei Festplatten als Mirror funktionieren sollen, sonst Custom Install auswählen und den GEOM mirror erstellen.

Danach wird mit der Installation fortgefahren.

Bei Nachfrage den Standard Kernel auswählen.

Nun neu starten und den Bootdatenträger entfernen.

Die Installationsschritt sind im einzelnen im "Installation Walkthrough" beschrieben.

Standardkonfiguration

Nach einem Neustart hat neu installierte pfSense Firewall folgende Standardeinstellungen (verg. https://docs.netgate.com/pfsense/en/latest/install/install-pfsense.html#pfsense-default-configuration):

Konfigurationsanpassungen für IT-Zukunft-Schule Netzwerk

Für die Verwendung der pfSense in einem IT-Zukunft Schule Netzwerk müssen verschiedene Änderungen an der Netzwerkkonfiguration der pfSense durchgeführt werden.

WAN-Schnittstelle

LAN-Schnittstelle

OPT1-Schnittstelle

Alternativ können auch Debian Edu Netzwerk und Backbone-Netzwerk über VLANs aggregiert werden und dann der VLAN-Trunk über die LAN-Schnittstelle der Firewall in eine VLAN-fähige Switch eingespeist werden. Für das Debian Edu Netzwerk ist dann die VLAN-ID 2 zu verwenden, für das Backbone-Netzwerk die VLAN-ID 3.

Nach Einrichtung der Netzwerkschnittstellen wird die restliche Firewall-Konfiguration dann über den Webkonfigurator vorgenommen.

Konfiguration via Webkonfigurator

Über den Webkonfigurator lassen sich die Parameter für das System und die Pakete einstellen. Unter Status > Service kann man die laufenden Dienste anhalten und neu starten. Unter Diagnostics lässt sich das System anhalten und neu starten.

ACHTUNG: AB HIER MUSS DIE DOKUMENTATION ÜBERARBEITET WERDEN!!!!

Firewallregeln konfigurieren

DNS-Resolver

Unter Services > DNS Resolver werden die Einstellungen für den DNS-Resolver definiert.

General

Enabled

yes

Listen Port

53

Network Interfaces

All

Outgoing Network Interface

WAN

System Domain Local Zone Type

Transparent

Host Overrides:

Host

Domain

IP

Description

www

google.de

216.239.32.20

www

google.com

Alias for www.google.de

www

google.co.uk

Alias for www.google.de

Advanced

Hide Identity

yes

Hide Version

yes

Harden DNSSEC Data

yes

Message Cache Size

yes

Outgoing TCP Buffers

10

Incoming TCP Buffers

10

EDNS Buffer Size

4096

Number of Queries per Thread

512

Max. TTL for RRsets und Messages

8640

Min. TTL for RRsets and Messages

0

TTL for Host Cache Entries

15 minutes

Number of Hosts to Cache

10000

Unwanted Reply Threshold

Disabled

Log Level

1

Aliase

Unter Firewall > Aliases werden die Aliase für bestimmte Netzwerkadressen etc. definiert.

Gruppiert sind diese nach IP, Ports und URL und können je nach Standort unterschiedlich benötigt sein.

IP

Name

Values

Description

Displayserver

10.0.2.19

Vertretungsplan-Displays via DisplayServer (nur an bestimmten Standorten benötigt)

EMAIL_CLIENTS

10.6.0.50, 10.6.0.49

PC am Tresen der Schulbibliothek (Beispielhaft, n

ITZkS_VpnSrv

vpn.it-zukunft-schule.de

VPN Server ITZkS (an allen Standorten nötig)

public_WWW

<Internetadresse der Schulhomepage>

Schul-Homepage <Schule>

Ports

Name

Values

Description

MAIL_PROTOS

25, 110, 143, 465, 587, 993, 995

Email Protocols

WebLike_Ports

80, 21, 443, 70, 210, 280, 488, 591, 777

Ports accessible through Squid

Regeln für die Netzwerke

Unter Firewall > Rules werden die Firewall-Regeln des pfSense Systems aufgerufen.

RED (WAN) Regeln

Action

Logged

Protocol

Source

Port

Destination

Port

Gateway

Queue

Schedule

Description

block

no

*

Reserved (Not assigned by IANA)

*

*

*

*

*

Block bogon networks

pass

yes

IPv4 TCP/UDP

172.16.0.88

*

This Firewall

1194 (OpenVPN)

*

none

Incoming OpenVPN from Backup-Server

pass

no

IPv4 ICMP

172.16.0.0/24

*

This Firewall

*

*

none

GREEN (LAN) Regeln

Action

Logged

Protocol

Source

Port

Destination

Port

Gateway

Queue

Schedule

Description

pass

no

*

*

*

GREEN Address

443, 80, 22

*

*

Anti-Lockout Rule

pass

no

IPv4 TCP/UDP

10.0.2.2

*

*

*

*

none

allow all from Tjener

pass

no

IPv4 ICMP

*

*

*

*

*

none

always allow ICMP

pass

no

IPv4 UDP

LAN net

*

ITZkS_VpnSrv

1197

*

none

VPN-Access to ITZkS-VPN-Server (<SCHULE>), Port muss an Schule angepasst werden!!!(1)

pass

no

IPv4 UDP

LAN net

*

ITZkS_VpnSrv

1194

*

none

VPN access to ITZkS-VPN-Server (ADMINS)

pass

no

IPv4 TCP

EMAIL_CLIENTS

*

*

MAIL_PROTOS

*

none

Allow e-Mailing from BIB_TRESEN machines Standortabhängig

pass

no

IPv4 TCP

10.0.2.5

*

*

*

*

none

internet access rule filter.intern

pass

no

IPv4 TCP

DisplayServer

*

public_WWW

*

*

none

Vertretungsplan-Displays holen PDFs direkt ab Standortabhängig

(1) Port ist auf vidar unter /etc/openvpn/itzks-<SCHULE>.conf abzulesen.

WIFILEHRER

Action

Logged

Protocol

Source

Port

Destination

Port

Gateway

Queue

Schedule

Description

block

no

IPv4 *

*

*

172.16.0.0./24

*

*

none

No access to BACKBONE network

block

no

IPv4 *

*

*

GREEN net

*

*

none

No access to EDU network

block

no

IPv4 *

*

*

WIFIGAESTE net

*

*

none

No access to WIFIGAESTE network

block

no

IPv4 *

*

*

WIFISCHUELER net

*

*

none

No access to WIFISCHUELER network

pass

no

IPv4 *

WIFILEHRER net

*

*

*

*

none

Allow everything except previously blocked

WIFISCHUELER

Action

Logged

Protocol

Source

Port

Destination

Port

Gateway

Queue

Schedule

Description

block

no

IPv4 *

*

*

172.16.0.0./24

*

*

none

No access to BACKBONE network

block

no

IPv4 *

*

*

GREEN net

*

*

none

No access to EDU network

block

no

IPv4 *

*

*

WIFIGAESTE net

*

*

none

No access to WIFIGAESTE network

block

no

IPv4 *

*

*

WIFILEHRER net

*

*

none

No access to WIFILEHRER network

pass

no

IPv4 *

WIFISCHUELER net

*

*

*

*

none

Allow everything except previously blocked

WIFIGAESTE

Action

Logged

Protocol

Source

Port

Destination

Port

Gateway

Queue

Schedule

Description

block

no

IPv4 *

*

*

172.16.0.0./24

*

*

none

No access to BACKBONE network

block

no

IPv4 *

*

*

GREEN net

*

*

none

No access to EDU network

block

no

IPv4 *

*

*

WIFILEHRER net

*

*

none

No access to WIFILEHRER network

block

no

IPv4 *

*

*

WIFISCHUELER net

*

*

none

No access to WIFISCHUELER network

pass

no

IPv4 *

WIFIGAESTE net

*

*

*

*

none

Allow everything except previously blocked

OpenVPN Regeln

Action

Logged

Prototocol

Source

Port

Destination

Port

Gateway

Queue

Schedule

Description

pass

no

IPv4 ICMP

*

*

LAN net

*

*

none

always allow ICMP

pass

no

IPv4 TCP

*

*

LAN net

22

*

none

VPN Clients (e.g. backup-01) may SSH into all machines

Captive Portal

Konzept

Für die Bereitstellung einer WiFi-Umgebung wird die "Captive Portal"-Funktion in pfSense für Schulen eingerichtet. Es werden 4 WiFi-Netze bereitgestellt:

Netzwerk-Layout

Jedes dieser WiFi-Netze wird über eine separate ESSID bereit gestellt. Verbinden sich Clients mit einer der ESSID landen sie (per DHCP) in einem von vier (eigentlich drei) dedizierten Subnetzen:

Alle Access Points werden über einen VLAN Trunk versorgt. Auf diesem VLAN-Trunk liegen die vier oben genannten Subnetze. Die Subnetze im 172er Bereich werden als VLAN-Trunk bis in das "BLUE" Interface der pfSense geführt, das 10er Netz auf der nächstgelegenen managebaren Switch "aussortiert" und im Edu-VLAN der Schule verteilt.

VLAN-Layout

Die VLANs für die 172er Netze werden wie folgt konfiguriert:

In der pfSense werden (via BLUE Netzwerkschnittstelle) obige VLANs voneinander getrennt und drei verschiedenen "Captive Portal Zonen" zugeordnet.

Captive Portal Zonen

Nutzungshinweise für Captive Portal

Nutzungshinweise werden hier gelistet.

Konfigurationen auf Konsolenebene

Um auf der Konsolenebene besser arbeiten zu können sollten einige Programme nachinstalliert und einige Parameter konfiguriert werden. Zum Erreichen der Konsole im Auswahlmenü 8 drücken.

Danach kann man folgende Konfigurationen vornehmen: