pfSense - The Definitive Guide

pfSense: The Definitive Guide......Page 1
Table of Contents......Page 3
Foreword......Page 29
Preface......Page 31
2. Acknowledgements......Page 32
2.2. pfSense Developers......Page 33
2.4. Reviewers......Page 34
4. Typographic Conventions......Page 35
1.2. What does pfSense stand for/mean?......Page 37
1.3.4. Alternative Operating System Support......Page 38
1.4.2.1. LAN Router......Page 39
1.4.4.2. DNS Server Appliance......Page 40
1.5.1. 1.2.3 Release......Page 41
1.6. Platforms......Page 42
1.6.3. Embedded......Page 43
1.7.1. Understanding Public and Private IP Addresses......Page 44
1.7.1.2. Public IP Addresses......Page 45
1.7.4. Understanding CIDR Subnet Mask Notation......Page 46
1.7.5. CIDR Summarization......Page 48
1.7.5.1. Finding a matching CIDR network......Page 50
1.8. Interface Naming Terminology......Page 51
1.8.5. DMZ......Page 52
1.9.2. Getting Help......Page 53
2.1.1. Network Adapters......Page 54
2.2.2. Platform-Specific Requirements......Page 55
2.3.1.1. Use the hardware the developers use......Page 56
2.4.1. Throughput Considerations......Page 57
2.4.1.3. Sizing for multiple gigabits per second deployments......Page 58
2.4.2.1. Large State Tables......Page 59
2.4.2.2. VPN (all types)......Page 60
2.4.2.3.2. Squid......Page 61
3.1. Downloading pfSense......Page 63
3.2. Full Installation......Page 64
3.2.1.2. Burning in Linux......Page 65
3.2.2. Booting the CD......Page 66
3.2.3. Assigning Interfaces......Page 67
3.2.4. Installing to the Hard Drive......Page 68
3.3.1. Embedded Installation in Windows......Page 71
3.3.3. Embedded Installation in FreeBSD......Page 74
3.3.4. Embedded Installation in Mac OS X......Page 75
3.3.5.3. Assign Network Interfaces......Page 77
3.4.1.1. Boot failure after moving drive to target machine......Page 78
3.5. Installation Troubleshooting......Page 80
3.5.2. Boot from hard drive after CD installation fails......Page 81
3.5.3.1. Manually Assigning Interfaces......Page 82
3.5.4.3. Upgrade your BIOS......Page 83
3.5.5. Embedded Boot Problems on ALIX Hardware......Page 84
3.6.1. Pre-Flight Installer Configuration Recovery......Page 86
3.7. Upgrading an Existing Installation......Page 87
3.7.3. Upgrading a Full Install......Page 88
3.7.3.1.2. Automatic Update......Page 89
3.7.4. Upgrading a Live CD Install......Page 90
4.2. Setup Wizard......Page 91
4.2.1. General Information Screen......Page 92
4.2.2. NTP and Time Zone Configuration......Page 93
4.2.3. WAN Configuration......Page 94
4.2.5. Set admin password......Page 98
4.2.6. Completing the Setup Wizard......Page 99
4.3.2. WAN Interface......Page 100
4.3.4. Optional Interfaces......Page 101
4.5.1. Serial Console......Page 102
4.5.3. Shared Physical Network......Page 103
4.5.7. Load Balancing......Page 104
4.5.8.2. Console Menu......Page 105
4.5.9.1. FTP RFC 959 data port violation workaround......Page 106
4.5.9.6. Firewall Maximum States......Page 107
4.5.11.2. Disable glxsb loading......Page 108
4.6. Console Menu Basics......Page 109
4.6.6. Halt system......Page 110
4.6.10. Filter Logs......Page 111
4.7. Time Synchronization......Page 112
4.7.2.1. Network Time Protocol......Page 113
4.7.2.4. Disable ACPI......Page 114
4.7.2.5. Adjust Timecounter Hardware Setting......Page 115
4.8.1. Cannot access WebGUI from LAN......Page 116
4.8.2. No Internet from LAN......Page 117
4.8.2.2. DNS Resolution Issues......Page 118
4.8.2.5. NAT Rule Issues......Page 119
4.9.1. Manually editing your configuration......Page 120
4.10.2. Forgotten Password with a Locked Console......Page 121
4.10.5. Remotely Circumvent Firewall Lockout with Rules......Page 122
4.10.6. Remotely Circumvent Firewall Lockout with SSH Tunneling......Page 123
4.11. Final Configuration Thoughts......Page 124
5.1. Backup Strategies......Page 125
5.3.1. Functionality and Benefits......Page 126
5.3.3.2. Configuring AutoConfigBackup......Page 127
5.3.4. Bare Metal Restoration......Page 128
5.4.1. Pull with wget......Page 129
5.4.3. Basic SSH backup......Page 130
5.5.1. Restoring with the WebGUI......Page 131
5.5.3. Restoring with PFI......Page 132
5.5.4.1. Embedded Example......Page 133
5.6.2. Restoring RRD Data......Page 134
5.7. Caveats and Gotchas......Page 135
6.1.2. Stateful Filtering......Page 136
6.1.4.1. Why should I employ egress filtering?......Page 137
6.1.4.2. Approaches for implementing egress filtering......Page 139
6.1.5. Block vs. Reject......Page 140
6.2. Introduction to the Firewall Rules screen......Page 141
6.2.3. Moving Firewall Rules......Page 143
6.3.1.1. Host Aliases......Page 144
6.3.2. Using Aliases......Page 145
6.3.3. Alias Enhancements in 2.0......Page 147
6.4.3. Review your Rules......Page 148
6.4.5. Reducing Log Noise......Page 149
6.5. Rule Methodology......Page 150
6.5.1.1.1. Restricting access to the administrative interface from LAN......Page 151
6.5.1.4. Block Bogon Networks......Page 152
6.5.1.4.1. Forcing a bogons update......Page 153
6.6.2. Disabled......Page 154
6.6.6. Source OS......Page 155
6.6.9.3. Maximum new connections / per second......Page 156
6.6.11. No XML-RPC Sync......Page 157
6.7.1.1.1. Bridging......Page 158
6.7.1.2.2. Small WAN IP subnet with larger LAN IP subnet......Page 159
6.8. Virtual IPs......Page 160
6.9. Time Based Rules......Page 161
6.9.3. Configuring Schedules for Time Based Rules......Page 162
6.9.3.2. Using the Schedule in a Firewall Rule......Page 163
6.10. Viewing the Firewall Logs......Page 164
6.10.1. Viewing in the WebGUI......Page 165
6.10.3.1. Viewing the current contents of the log file......Page 166
6.10.4. Why do I sometimes see blocked log entries for legitimate connections?......Page 167
6.11.4. Rules and interfaces......Page 168
6.11.6. Troubleshooting with packet captures......Page 169
7.1.2. Default Inbound NAT Configuration......Page 170
7.2.3. Adding Port Forwards......Page 171
7.2.4. Port Forward Limitations......Page 174
7.2.6. Traffic Redirection with Port Forwards......Page 175
7.3. 1:1 NAT......Page 176
7.3.2.1.1. Interface......Page 177
7.3.2.2. Example single IP 1:1 configuration......Page 178
7.3.3. 1:1 NAT on the WAN IP, aka \"DMZ\" on Linksys......Page 179
7.4. Ordering of NAT and Firewall Processing......Page 180
7.5. NAT Reflection......Page 182
7.5.2.1. DNS Forwarder Overrides......Page 183
7.6.1. Default Outbound NAT Rules......Page 184
7.7. Choosing a NAT Configuration......Page 185
7.8.1.1.1. FTP client connections to the Internet......Page 186
7.8.1.2.2. Passive Mode......Page 187
7.8.1.4. FTP Servers and 1:1 NAT......Page 188
7.8.3. PPTP / GRE......Page 189
7.8.4.3. Overcome NAT issues with UPnP......Page 190
7.9.1.3. Firewall is enabled on the target machine......Page 191
7.9.1.7. Testing from inside your network instead of outside......Page 192
7.9.2.1. Web Access is Broken with NAT Reflection Enabled......Page 193
7.9.3. Outbound NAT Troubleshooting......Page 194
8.1.1. Example static route......Page 195
8.1.2. Bypass Firewall Rules for Traffic on Same Interface......Page 196
8.1.3. ICMP Redirects......Page 197
8.2.1. IP Assignments......Page 198
8.2.2.2. Configure OPT1......Page 199
8.2.3. NAT Configuration......Page 200
8.2.4. Firewall Rule Configuration......Page 201
8.3.2. BGP......Page 202
8.4.1. Viewing Routes......Page 203
8.4.1.3. Flags......Page 204
8.4.1.6. Netif......Page 205
8.4.2. Using traceroute......Page 206
8.4.3. Routes and VPNs......Page 207
9.2. Bridging and firewalling......Page 209
9.3.1. DHCP and Internal Bridges......Page 210
9.5.2. CARP......Page 211
9.5.2.2. Configuring STP......Page 212
9.5.2.3.1. Add the Script......Page 213
9.5.2.3.2. Schedule the script......Page 214
9.5.2.4. devd Hooks......Page 215
9.5.2.5. Troubleshooting failover bridging......Page 216
9.5.3. Multi-WAN......Page 217
10.1. Requirements......Page 218
10.2.3. Parent interface......Page 219
10.3. VLANs and Security......Page 220
10.3.3. Using a trunk port\'s default VLAN......Page 221
10.4.1. Console VLAN configuration......Page 222
10.4.2. Web interface VLAN configuration......Page 225
10.5.1. Switch configuration overview......Page 227
10.5.2.1.1. Standalone VLANs......Page 228
10.5.2.3. Add Ports to the VLAN......Page 229
10.5.4.1. Enable VLAN Support......Page 230
10.5.4.4. Assigning Access Ports to VLANs......Page 231
10.5.5.1. Planning the VLAN configuration......Page 232
10.5.5.2. Enable 802.1Q VLANs......Page 233
10.5.5.3. Add VLANs......Page 234
10.5.5.4. Configure VLAN tagging......Page 235
10.5.5.4.1. Configure VLAN 10 membership......Page 236
10.5.5.4.3. Change PVID......Page 237
10.5.6. Dell PowerConnect managed switches......Page 239
11.1.1. Cable Paths......Page 241
11.2. Multi-WAN Terminology and Concepts......Page 242
11.2.5. Monitor IPs......Page 243
11.3. Multi-WAN Caveats and Considerations......Page 244
11.3.3.1. DNS Forwarder......Page 245
11.4.2. DNS Server Configuration......Page 246
11.4.2.3. All Dynamic IP WANs......Page 247
11.5. Multi-WAN Special Cases......Page 248
11.6.2. Multi-WAN and Port Forwarding......Page 249
11.7.1.3. Type......Page 250
11.7.2. Problems with Load Balancing......Page 251
11.8.1.5. Port......Page 252
11.9.1. Testing Failover......Page 253
11.9.2.1. Verifying HTTP Load Balancing......Page 254
11.9.2.3. Using Traffic Graphs......Page 255
11.10.2. Segregation of Priority Services......Page 256
11.10.4. Unequal Cost Load Balancing......Page 257
11.11. Multi-WAN on a Stick......Page 258
11.12.1. Verify your rule configuration......Page 259
11.12.3. Failover not working......Page 260
12.1.1.1. Limitations of VPN connectivity......Page 261
12.1.3. Protection for wireless networks......Page 262
12.2.2. Authentication considerations......Page 263
12.2.5.1. IPsec......Page 264
12.2.6.3. PPTP......Page 265
12.2.8. Recap......Page 266
12.3.3. PPTP......Page 267
13.1.3. Phase 1......Page 268
13.2.1.2. Multi-WAN Environments......Page 269
13.2.5. Hash algorithms......Page 270
13.3. IPsec and firewall rules......Page 271
13.4.1. Site to site example configuration......Page 272
13.4.2. Routing and gateway considerations......Page 277
13.4.3.2. Parallel IPsec Tunnels......Page 278
13.4.4. pfSense-initiated Traffic and IPsec......Page 279
13.5. Mobile IPsec......Page 280
13.5.1.1. Mobile Client Tunnel Creation......Page 281
13.5.1.2. Mobile Client Pre-Shared Key Creation......Page 283
13.5.2.1. Shrew Soft Client for Windows......Page 285
13.5.2.3. NCP Secure Entry Client......Page 290
13.6. Testing IPsec Connectivity......Page 291
13.8.1. Tunnel does not establish......Page 292
13.8.2. Tunnel establishes but no traffic passes......Page 293
13.8.4. Connection Hangs......Page 294
13.8.6.1.1. Successful Main Mode Tunnel......Page 295
13.8.6.1.2. Successful Aggressive Mode Tunnel......Page 296
13.8.6.2.2. Mismatched Phase 1 DH Group......Page 297
13.8.6.2.4. Mismatched Phase 2 Encryption......Page 298
13.8.6.3. Other Common Errors......Page 299
13.8.7. Advanced debugging......Page 300
13.9.1. General guidance for third party IPsec devices......Page 301
13.9.3. Cisco PIX OS 7.x, 8.x, and ASA......Page 302
13.9.4. Cisco IOS Routers......Page 303
14.4. PPTP Limitations......Page 305
14.5.1. IP Addressing......Page 306
14.5.5. Configure firewall rules for PPTP clients......Page 307
14.5.6. Adding Users......Page 308
14.6.1. Windows XP......Page 310
14.6.2. Windows Vista......Page 313
14.6.4. Mac OS X......Page 319
14.7. Increasing the Simultaneous User Limit......Page 322
14.9.1.1. Error 619......Page 323
14.10. PPTP Routing Tricks......Page 324
14.11. PPTP Logs......Page 325
15.1. Basic Introduction to X.509 Public Key Infrastructure......Page 327
15.2.1. Generating Shared Keys......Page 328
15.2.2.1. Determining a home for easy-rsa......Page 329
15.2.2.2.1. Creating a client key......Page 330
15.2.2.2.4. Backing up easy-rsa......Page 331
15.2.2.3.1. Setting up your information in vars......Page 332
15.2.2.3.2. Create your CA......Page 333
15.2.2.3.4. Generating a server certificate and key......Page 334
15.2.2.3.5. Generate client certificates......Page 335
15.3.1.3. Dynamic IP......Page 337
15.3.1.10. Cryptography......Page 338
15.3.1.13.5. CRL......Page 339
15.3.1.14.7. NetBIOS scope......Page 340
15.4.1. Determine an IP addressing scheme......Page 341
15.4.3. Server Configuration......Page 342
15.4.3.1. Permitting traffic to the OpenVPN server......Page 343
15.4.4.2. Mac OS X Clients and Installation......Page 344
15.4.5.2. Create Configuration......Page 345
15.4.5.3. Configuring Viscosity......Page 346
15.5.1. Configuring Server Side......Page 349
15.5.2. Configuring Client Side......Page 350
15.6.1. Interface assignment and configuration......Page 351
15.6.3. NAT with OpenVPN......Page 352
15.7.1.2.2. Custom Option local......Page 355
15.7.2. OpenVPN Clients and Multi-WAN......Page 356
15.9. Bridged OpenVPN Connections......Page 357
15.10.1.1. Redirecting the default gateway......Page 358
15.11.1. Some hosts work, but not all......Page 359
15.11.3. Ensure no overlapping IPsec connections......Page 360
15.11.6. Trace the traffic with tcpdump......Page 361
16.2. What the Traffic Shaper can do for you......Page 362
16.2.4. Keep P2P Applications In Check......Page 363
16.4.2. Traffic to LAN interface affected......Page 364
16.5.1. Starting the Wizard......Page 365
16.5.3. Voice over IP......Page 366
16.5.4. Penalty Box......Page 367
16.5.5. Peer-to-Peer Networking......Page 368
16.5.6. Network Games......Page 369
16.5.7. Raising or Lowering Other Applications......Page 370
16.6. Monitoring the Queues......Page 371
16.7.1. Editing Shaper Queues......Page 372
16.7.2. Editing Shaper Rules......Page 376
16.8.2. Why isn\'t traffic to ports opened by UPnP properly queued?......Page 378
16.8.4. Why is  not properly shaped?......Page 379
17.1.1. Virtual Server Pools......Page 380
17.1.1.1. Virtual Servers......Page 381
17.1.2. Sticky connections......Page 382
17.2. Web Server Load Balancing Example Configuration......Page 383
17.2.1. Example network environment......Page 384
17.2.3. Configuring virtual server......Page 385
17.2.4. Configuring firewall rules......Page 386
17.2.6. Verifying load balancing......Page 388
17.3.2. Unequal balancing......Page 389
17.3.4. Live server not marked as online......Page 390
18.1.2. Wireless drivers included in 1.2.3......Page 391
18.2. Wireless WAN......Page 392
18.2.3. Checking wireless status......Page 393
18.3. Bridging and wireless......Page 394
18.4.1. Turning your wireless router into an access point......Page 395
18.4.3. Bridging wireless to an OPT interface......Page 396
18.5. pfSense as an Access Point......Page 397
18.5.2.2. Interface Description......Page 398
18.5.2.8. Intra-BSS Communication......Page 399
18.5.2.11. Wireless Encryption......Page 400
18.5.2.14. Adding Firewall Rules......Page 401
18.6.1. Additional wireless protection with Captive Portal......Page 402
18.6.2.2. Configuring firewall rules for OpenVPN......Page 403
18.7. Configuring a Secure Wireless Hotspot......Page 404
18.7.3.2. Disable Intra-BSS communication......Page 405
18.8.2. Try with multiple clients or wireless cards......Page 406
18.8.3. Signal Strength is Low......Page 407
19.3. Portal Configuration Using Local Authentication......Page 408
19.5.3. Idle timeout......Page 409
19.5.9. Authentication......Page 410
19.5.12.1. Portal page without authentication......Page 411
19.6.1. Authentication failures......Page 412
19.6.2. Portal Page never loads (times out) nor will any other page load......Page 413
20.2. pfsync Overview......Page 414
20.4. Example Redundant Configuration......Page 415
20.4.1.3. pfsync Addressing......Page 416
20.4.2.2. Configuring the CARP Virtual IPs......Page 417
20.4.2.4. Configure pfsync......Page 419
20.4.3. Configuring the secondary firewall......Page 420
20.4.4. Setting up configuration synchronization......Page 421
20.5.1. Determine IP Address Assignments......Page 422
20.5.1.3. DMZ Addressing......Page 423
20.5.3. Firewall Configuration......Page 424
20.6.3. Check DHCP Failover Status......Page 425
20.7. Providing Redundancy Without NAT......Page 426
20.7.2.3. DBDMZ Network......Page 427
20.8.1. Switch Configuration......Page 428
20.8.3. Other Single Points of Failure......Page 429
20.10.1. Common Misconfigurations......Page 430
20.10.2. Incorrect Hash Error......Page 431
20.10.5. Issues inside of Virtual Machines (ESX)......Page 432
20.10.8. Removing a CARP VIP......Page 433
21.1.1.2. Service Options......Page 434
21.1.1.5. DNS Servers......Page 435
21.1.1.9. Static ARP......Page 436
21.1.1.14. Static Mappings......Page 437
21.1.2. Status......Page 438
21.1.4. DHCP Service Logs......Page 439
21.3. DNS Forwarder......Page 440
21.3.1.4. Host Overrides......Page 441
21.4. Dynamic DNS......Page 442
21.4.1.4. Wildcards......Page 443
21.5.1. SNMP Daemon......Page 444
21.5.2.3. SNMP trap string......Page 445
21.6. UPnP......Page 446
21.6.2.1. Interfaces......Page 447
21.6.2.7. Default Deny......Page 448
21.6.3. Status......Page 449
21.7. OpenNTPD......Page 450
21.8.1. Wake Up a Single Machine......Page 451
21.8.6. Save from DHCP Leases View......Page 452
21.9. PPPoE Server......Page 453
22.1.1. Viewing System Logs......Page 454
22.1.2. Changing Log Settings......Page 455
22.1.3.1. Configuring a Syslog Server on FreeBSD......Page 456
22.2. System Status......Page 457
22.3. Interface Status......Page 458
22.5. RRD Graphs......Page 459
22.5.1.2. Throughput Graph......Page 460
22.5.6.1. Enable Graphing......Page 461
22.6.2. Viewing with pftop......Page 462
22.7. Traffic Graphs......Page 463
23.1. Introduction to Packages......Page 464
23.2. Installing Packages......Page 465
23.3. Reinstalling and Updating Packages......Page 466
23.5. Developing Packages......Page 467
24.1.2. Installing IAS......Page 468
24.1.3.1. Adding a RADIUS Client......Page 469
24.1.3.3.1. Verify port......Page 470
24.2. Free Content Filtering with OpenDNS......Page 471
24.2.2. Configure internal DNS servers to use OpenDNS......Page 472
24.2.2.1. Configuring Forwarders in Windows Server DNS......Page 473
24.2.3. Configuring OpenDNS Content Filtering......Page 474
24.2.3.2. Define your network(s) in OpenDNS......Page 475
24.2.4.1. Create a DNS Servers alias......Page 476
24.2.4.2. Configure firewall rules......Page 477
24.4.1. Concerns/Warnings......Page 478
24.4.1.5. Lack of Backups......Page 479
24.4.3. Maintaining Packages......Page 480
25.2. Selecting the Proper Interface......Page 481
25.4.1. Getting a Packet Capture......Page 482
25.5. Using tcpdump from the command line......Page 483
25.5.1.2. -n flag......Page 484
25.5.1.5. -c flag......Page 485
25.5.1.8.2. Example capture using -e......Page 486
25.5.2.2. Network filters......Page 487
25.5.2.3.2. Protocol filters......Page 488
25.5.2.6. Filter expression usage......Page 489
25.5.3.1.1. Start from WAN......Page 490
25.5.3.2. IPsec tunnel will not connect......Page 491
25.5.3.3. Traffic traversing an IPsec tunnel......Page 493
25.6.1. Viewing Packet Capture File......Page 494
25.6.2. Wireshark Analysis Tools......Page 495
25.6.3. Remote Realtime Capture......Page 496
25.7. Plain Text Protocol Debugging with tcpflow......Page 497
25.8. Additional References......Page 498
A.2. Interfaces......Page 499
A.3. Firewall......Page 500
A.4. Services......Page 501
A.6. Status......Page 502
A.7. Diagnostics......Page 503
Index......Page 505