pfSense es el sistema operativo orientado a firewall (cortafuegos) más utilizado a nivel profesional, tanto en el ámbito doméstico con usuarios avanzados, como en pequeñas y medianas empresas para segmentar su red correctamente y disponer de cientos de servicios disponibles. pfSense está basado en el popular sistema operativo FreeBSD, pero pfSense dispone de una interfaz gráfica web realmente completa y muy intuitiva. Por su parte IPFire es un sistema operativo basado en Linux cuya función principal es la de firewall (cortafuegos) y también de router dentro de una red. Si necesitas un firewall muy profesional, con posibilidad de añadirle extensiones para aumentar sus funcionalidades, y todo ello bajo un sistema operativo Linux basado en Debian.
Gracias a la posibilidad de instalar software adicional, podremos disponer de un potente IDS/IPS (Sistema de Detección y Prevención de Intrusiones) como Snort o Suricata. Para usar pfSense es obligatorio disponer de dos tarjetas de red, una para la WAN de Internet y otra para la LAN, aunque si disponemos de más tarjetas (o una tarjeta con varios puertos) mucho mejor, porque podremos disponer de interfaces físicas adicionales para configurar una DMZ, una red adicional y mucho más.
pfSense es una distribución personalizada de FreeBSD adaptado para su uso como Firewall y funciones router. Se caracteriza por ser de código abierto, puede ser instalado en una gran variedad de ordenadores, y además cuenta con una interfaz web sencilla para su configuración.
pfSense es una distribución de software libre para routers y firewalls está basada en el sistema operativo estilo UNIX FreeBSD. La primera versión fecha de 2006 y nació de un fork de m0n0wall, la empresa NetGate es quien se encarga de su desarrollo además de ofrecer dispositivos con pfSense instalado.
Mediante lo uso de pfSense se puede instalar y configurar un router profesional con las características que frecuentan tener estos dispositivos comerciales, incluso con más funcionalidades y con la posibilidad de implementar otras gracias a ser este software libre. La instalación puede realizarse en un equipo existente o nuevo teniendo en cuenta la guía de selección de hardware o también se puede comprar un equipo con pfSense preinstalado. La configuración puede realizarse a través de una interfaz web mediante a cuál se pueden activar y configurar los servicios de VPN, portal cautivo, firewall, NAT, DNS, DHCP, VLANs y diversas opciones de seguridad.
El equipo de desarrollo del popular sistema operativo orientado a firewall, pfSense, ha lanzado mismo una nueva actualización tanto en su rama de «Community Edition» CE con la nueva versión de pfSense 2.6.0. como también en la versión pfSense Plus con la versión pfSense Plus 22.01.
- Mejoras en IPsec
- Sistema de archivos predeterminado será ZFS
pfSense es el sistema operativo orientado a firewall (cortafuegos) más utilizado a nivel profesional, tanto en el ámbito doméstico con usuarios avanzados, como en pequeñas y medianas empresas para segmentar su red correctamente y disponer de cientos de servicios disponibles. pfSense está basado en el popular sistema operativo FreeBSD, por tanto, tendremos la garantía de que es un sistema operativo estable, robusto, y, sobre todo, muy seguro. A diferencia de otros firewalls, pfSense dispone de una interfaz gráfica realmente completa y muy intuitiva,
Herramientas PfSense
- arpwatch: Para que nos notifique por email o Telegram qué equipos nuevos se han conectado
- bandwidthd: Para ver gráficos de utilización del ancho de banda
- freeradius3: Para montar un servidor de autenticación RADIUS, ideal para configurar APs WiFi y disponer de WPA2/WPA3-Enterprise
- iperf: Para medir el ancho de banda al pfSense y desde él
- nmap: Para realizar escaneo de puertos
- pfBlocker-ng: Para bloquear toda la publicidad, y también dominios y direcciones IP maliciosas
- Snort y Suricata: Los dos IDS/IPS por excelencia, no vienen por defecto pero se puede instalar
- Haproxy: Para balanceador
- Squid: Para montar un servidor proxy.
- nut: Para monitorizar sistemas SAI
- Agente zabbix: Para integrarlo fácilmente en un sistema de monitorización
- Zeek: (Antiguo Bro IDS)
Firewall y IDS/IPS
pfSense emplea un cortafuegos SPI (Stateful Packet Inspection) basado en reglas, como suele ser habitual. Podremos filtrar paquetes rápidamente de manera muy avanzada, dependiendo del hardware, podremos conseguir anchos de banda superiores a los 10Gbps. Gracias a la interfaz gráfica de usuario, podremos crear «alias» para crear grupos de IPs y puertos, para posteriormente aplicarlo a las reglas, y de esta forma, no tener cientos de reglas en el firewall, es muy importante saber qué estamos filtrando y mantener las reglas correctamente actualizadas. Por supuesto, pfSense dispone de avanzados registros de si una regla se ha ejecutado, y de todo lo que está ocurriendo en el sistema operativo.
pfSense no solamente dispone de un potente firewall para mitigar y/o bloquear los ataques DoS y DDoS, sino que también dispone de un avanzado IDS/IPS como Snort y Suricata, los cuales podremos instalar de manera fácil y rápida a través de los paquetes disponibles para su instalación, y en ambos tendremos interfaz gráfica de usuario para configurar las diferentes interfaces donde deben actuar, así como todas las reglas que tenemos para detectar posibles ataques. También podremos detectar fugas de información e incluso actividad sospechosa en la red que podremos bloquear. Por supuesto, también tenemos la posibilidad de ver en tiempo real el estado del sistema operativo, e incluso instalar software adicional para ver informes gráficos avanzados y conocer todo lo que ocurre en el sistema.
VPN
Las redes privadas virtuales (VPN) siempre suelen colocarse en el propio firewall, para no tener
problemas con la NAT y el filtrado de otros firewalls. Disponer de un servidor VPN o cliente VPN, nos permitirá interconectar ubicaciones remotas a través de Internet de forma segura, y también conectar diferentes dispositivos a la red local en modo VPN de acceso remoto. pfSense incorpora diferentes tipos de VPN para adaptarse perfectamente a las necesidades de los usuarios:
- L2TP/IPsec
- IPsec IKEv1 y IKEv2, con diferentes tipos de autenticación como Mutual-PSK, Mutual-RSA e incluso Xauth.
- OpenVPN con autenticación por certificados digitales, credenciales de usuario y más.
- WireGuard
Lo más destacable de pfSense 2.5.0 es la incorporación de la popular VPN WireGuard, tanto para conectar usuarios de forma remota, como para hacer túneles Site-to-Site de forma rápida y fácil, gracias a este nuevo protocolo que se ha integrado en el kernel y nos proporcionará un gran rendimiento.
Otras características
pfSense incorpora una grandísima cantidad de servicios, los mismos o más que los routers y otros firewalls profesionales. Por ejemplo, algunas de las principales características adicionales son la posibilidad de configurar un servidor DNS con DNS Resolver, ideal para que sea el propio firewall quien resuelva todas las peticiones, también disponemos de un completo servidor DHCP con decenas de opciones avanzadas, un servidor NTP para servir la hora a diferentes dispositivos, WoL, QoS para priorizar diferentes equipos, Traffic Shaper, compatibilidad con VLANs, posibilidad de configurar diferentes VLANs en una o varias interfaces, posibilidad de configurar QinQ, Bridge y LAGG con diferentes opciones avanzadas, también podemos usar el servidor Dynamic DNS y mucho más. No debemos olvidar que, al ser un sistema operativo muy avanzado, podremos ver un completo registro de todo lo que está ocurriendo, e incluso tendremos avisos por email o Telegram para estar al tanto de todo lo que ocurra.
Una de las características más importantes, es la posibilidad de instalar paquetes adicionales para disponer de aún más funcionalidades, gracias a este software adicional, podremos ampliar las funcionalidades de este firewall profesional. Algunos de las extensiones más populares son las siguientes:
- arpwatch: Para que nos notifique por email o Telegram qué equipos nuevos se han conectado. Esta funcionalidad es muy interesante para tener bajo control qué equipos se conectan, nos aparecerá la dirección IP asignada, la dirección MAC y también la dirección del hostname del equipo, y todo ello con avisos en tiempo real para evitar posibles intrusos.
- bandwidthd: Para ver gráficos de utilización del ancho de banda, aunque los gráficos no son demasiado «buenos» estéticamente, sí es cierto que nos será muy útil para poder ver el ancho de banda que estamos consumiendo en cada interfaz física o lógica del firewall.
- freeradius3: Para montar un servidor de autenticación RADIUS, ideal para configurar APs WiFi y disponer de WPA2/WPA3-Enterprise. La implementación de FreeRADIUS en pfSense es completa, disponemos de todas las opciones de configuración existentes, además, podremos hacer cualquier configuración a través de la interfaz gráfica de usuario, sin necesidad de configurar archivos de texto a modo de archivo de configuración.
- iperf: Para medir el ancho de banda al pfSense y desde él. La incorporación de iperf es la versión iperf3, por tanto, podremos comprobar el ancho de banda que es capaz de gestionar entre las diferentes VLANs, es decir, la velocidad del tráfico inter-vlan.
- nmap: Para realizar escaneo de puertos a equipos remotos, generalmente este software está disponible en sistemas operativos orientados a la ciberseguridad y pentesting, pero lo tenemos disponible para hacer nuestras propias pruebas directamente desde aquí.
- pfBlocker-ng: Para bloquear toda la publicidad, y también dominios y direcciones IP maliciosas
- Snort y Suricata: Los dos IDS/IPS por excelencia, no vienen por defecto pero se puede instalar
- Haproxy: Para balanceador
- Squid: Para montar un servidor proxy.
- nut: Para monitorizar sistemas SAI
- Agente zabbix: Para integrarlo fácilmente en un sistema de monitorización
- Zeek: (Antiguo Bro IDS)
pfSense funciona en arquitectura x86, siendo compatible con CPU recientes de 64 bits, además, se puede instalar en casi cualquier plataforma en la nube como Amazon Cloud, Azure y más, además, debemos tener en cuenta que hoy en día podemos comprar equipos del fabricante Netgate que ya vienen con pfSense preinstalado, con equipos orientados a ámbito profesional.
Requerimientos mínimos de hardware pfSense Firewall
- Procesador 600Mhz (mas es mejor) de 64Bits
- 512Mb RAM (mas es mejor)
- 4Gb disco (mas es mejor)
- 2 tarjetas de red (mínimo WAN y LAN)
- Puerto USB o DVD para instalación del ISO
- Conectividad a internet
Fuentes:
Configura pfSense para proteger tu hogar o empresa con este firewall
Los comentarios están cerrados.