Firewall y IDS/IPS

pfSense emplea un cortafuegos SPI (Stateful Packet Inspection) basado en reglas, como suele ser habitual. Podremos filtrar paquetes rápidamente de manera muy avanzada, dependiendo del hardware, podremos conseguir anchos de banda superiores a los 10Gbps. Gracias a la interfaz gráfica de usuario, podremos crear «alias» para crear grupos de IPs y puertos, para posteriormente aplicarlo a las reglas, y de esta forma, no tener cientos de reglas en el firewall, es muy importante saber qué estamos filtrando y mantener las reglas correctamente actualizadas. Por supuesto, pfSense dispone de avanzados registros de si una regla se ha ejecutado, y de todo lo que está ocurriendo en el sistema operativo.

pfSense no solamente dispone de un potente firewall para mitigar y/o bloquear los ataques DoS y DDoS, sino que también dispone de un avanzado IDS/IPS como Snort y Suricata, los cuales podremos instalar de manera fácil y rápida a través de los paquetes disponibles para su instalación, y en ambos tendremos interfaz gráfica de usuario para configurar las diferentes interfaces donde deben actuar, así como todas las reglas que tenemos para detectar posibles ataques. También podremos detectar fugas de información e incluso actividad sospechosa en la red que podremos bloquear. Por supuesto, también tenemos la posibilidad de ver en tiempo real el estado del sistema operativo, e incluso instalar software adicional para ver informes gráficos avanzados y conocer todo lo que ocurre en el sistema.

VPN

Las redes privadas virtuales (VPN) siempre suelen colocarse en el propio firewall, para no tener problemas con la NAT y el filtrado de otros firewalls. Disponer de un servidor VPN o cliente VPN, nos permitirá interconectar ubicaciones remotas a través de Internet de forma segura, y también conectar diferentes dispositivos a la red local en modo VPN de acceso remoto. pfSense incorpora diferentes tipos de VPN para adaptarse perfectamente a las necesidades de los usuarios:

• L2TP/IPsec
• IPsec IKEv1 y IKEv2, con diferentes tipos de autenticación como Mutual-PSK, Mutual-RSA e incluso Xauth.
• OpenVPN con autenticación por certificados digitales, credenciales de usuario y más.
• WireGuard

Lo más destacable de pfSense 2.5.0 es la incorporación de la popular VPN WireGuard, tanto para conectar usuarios de forma remota, como para hacer túneles Site-to-Site de forma rápida y fácil, gracias a este nuevo protocolo que se ha integrado en el kernel y nos proporcionará un gran rendimiento.

Otras características

pfSense incorpora una grandísima cantidad de servicios, los mismos o más que los routers y otros firewalls profesionales. Por ejemplo, algunas de las principales características adicionales son la posibilidad de configurar un servidor DNS con DNS Resolver, ideal para que sea el propio firewall quien resuelva todas las peticiones, también disponemos de un completo servidor DHCP con decenas de opciones avanzadas, un servidor NTP para servir la hora a diferentes dispositivos, WoL, QoS para priorizar diferentes equipos, Traffic Shaper, compatibilidad con VLANs, posibilidad de configurar diferentes VLANs en una o varias interfaces, posibilidad de configurar QinQ, Bridge y LAGG con diferentes opciones avanzadas, también podemos usar el servidor Dynamic DNS y mucho más. No debemos olvidar que, al ser un sistema operativo muy avanzado, podremos ver un completo registro de todo lo que está ocurriendo, e incluso tendremos avisos por email o Telegram para estar al tanto de todo lo que ocurra.

Una de las características más importantes, es la posibilidad de instalar paquetes adicionales para disponer de aún más funcionalidades, gracias a este software adicional, podremos ampliar las funcionalidades de este firewall profesional. Algunos de las extensiones más populares son las siguientes:

• arpwatch para que nos notifique por email o Telegram qué equipos nuevos se han conectado. Esta funcionalidad es muy interesante para tener bajo control qué equipos se conectan, nos aparecerá la dirección IP asignada, la dirección MAC y también la dirección del hostname del equipo, y todo ello con avisos en tiempo real para evitar posibles intrusos.
• bandwidthd para ver gráficos de utilización del ancho de banda, aunque los gráficos no son demasiado «buenos» estéticamente, sí es cierto que nos será muy útil para poder ver el ancho de banda que estamos consumiendo en cada interfaz física o lógica del firewall.
• freeradius3 para montar un servidor de autenticación RADIUS, ideal para configurar APs WiFi y disponer de WPA2/WPA3-Enterprise. La implementación de FreeRADIUS en pfSense es completa, disponemos de todas las opciones de configuración existentes, además, podremos hacer cualquier configuración a través de la interfaz gráfica de usuario, sin necesidad de configurar archivos de texto a modo de archivo de configuración.
• iperf para medir el ancho de banda al pfSense y desde él. La incorporación de iperf es la versión iperf3, por tanto, podremos comprobar el ancho de banda que es capaz de gestionar entre las diferentes VLANs, es decir, la velocidad del tráfico inter-vlan.
• nmap para realizar escaneo de puertos a equipos remotos, generalmente este software está disponible en sistemas operativos orientados a la ciberseguridad y pentesting, pero lo tenemos disponible para hacer nuestras propias pruebas directamente desde aquí.
• pfBlocker-ng para bloquear toda la publicidad, y también dominios y direcciones IP maliciosas
• Snort y Suricata: los dos IDS/IPS por excelencia, no vienen por defecto pero se puede instalar
• Haproxy para balanceador
• Squid para montar un servidor proxy.
• nut para monitorizar sistemas SAI
• Agente zabbix para integrarlo fácilmente en un sistema de monitorización
• Zeek (antiguo Bro IDS)

pfSense funciona en arquitectura x86, siendo compatible con CPU recientes de 64 bits, además, se puede instalar en casi cualquier plataforma en la nube como Amazon Cloud, Azure y más, además, debemos tener en cuenta que hoy en día podemos comprar equipos del fabricante Netgate que ya vienen con pfSense preinstalado, con equipos orientados a ámbito profesional.

Requerimientos mínimos de hardware pfSense Firewall

• Procesador 600Mhz (mas es mejor) de 64Bits
• 512Mb RAM (mas es mejor)
• 4Gb disco (mas es mejor)
• 2 tarjetas de red (mínimo WAN y LAN)
• Puerto USB o DVD para instalación del ISO
• Conectividad a internet