Marco's Informatik Blog

In un mio firewall ho effettuato l’upgrade da pfSense 1.2 (FreeBSD 6.2) al 1.2.3 (FreeBSD 7.2) ed al reboot ho trovato una sorpresa…caricamento bloccato sulla configurazione della WAN.
Da varie ricerche sembra un problema dovuto all’ACPI o simile, infatti scegliendo il safe mode alla partenza il firewall parte, però non so a quale discapito di prestazioni, nel dubbio ho convertito (semplicemente salvando le impostazioni) il firewall in una virtual machine, dato che si trattava comunque di un firewall interno, quindi facilmente rimpiazzabile con una vm.
Per la cronaca il server era un IBM X335 U1, sembra che sia proprio un modello con cui pfSense 1.2.3 da questi problemi.

Social Bookmarks

Hide Sites

Non sono sparito eh!
Ma in questo periodo sto lavorando anche la sera alla ristrutturazione interna della nostra azienda, con il rifacimento dei server, della rete….insomma una cosa radicale!
Abbiamo anche studiato soluzioni nuove (almeno per noi!), ecco un piccolo elenco:

• Struttura a doppio firewall, con in mezzo dmz
• Oltre ad Active Directory un DNS dipartimentale con split-view (risoluzioni deversa dei nomi a seconda del sorgente del richiedente. Il nostro dns infatti serve “internet” e la lan/dmz
• Completa migazione dei firewall verso BSD (pfSense)
• Massiccio uso della virtualizzazione (VMWare ESX su un simpatico IBM doppio Quad Core, 8GB di ram e 600GB totali di disco)
• Portale Aziendale con Plone (CMS)
• Single Sign-On per i servizi e wifi (LDAP e Radius)
• Telefonia Ip (Asterisk con programma di gestione/configurazione scritto in casa, gestione dialplan e utenti in LDAP)
• Esordio di Windows Server 2008 in azienda!

Quindi con tutto questo mi rimane poco tempo!

Social Bookmarks

Hide Sites

In un’installazione recente ho usato pfSense come proxy e content filter (squid+squidguard) ed in più con autenticazione da un radius server.
In questo modo è possibile selzionare ogni singolo utente e dargli l’accesso desiderato, ovvero alcuni utenti possono vedere solo il sito istituzionale, altri tutta internet e così via.
Quando i pc da configurare superano la decina, settare il proxy a mano può essere stancante e non possiamo utilizzare il transparent proxy, in quanto non permette l’autenticazione.
Useremo quindi un protocollo chiamato WPAD, che può essere fruttato sia attraverso il dns che il dhcp e noi useremo quest’ultimo.
Per fare questo dobbiamo usare un’opzione aggiuntiva nelle impostazioni dhcp, ma purtroppo in pfSense attualmente questo non è previsto.
Dato che è un’operazione custom, diamo credito a chi l’ha fatta e troverete le istruzioni dettagliate qui.

Social Bookmarks

Hide Sites

Ho appena installato con successo (e soddisfazione) pfSense su un bellissimo IBM x3400 Series (Xeon dual core), con Raid 1 di dischi SAS 15k 73GB.
Con estrema sorpresa ha riconosciuto tutto l’hardware e addirittura una scheda PCI-X Dual Ethernet Port, precisamente NetXtreme 1000T, senza battere ciglio.
Che dire, sono sempre di più piacevolemente sorpreso da questo prodotto…merito di FreeBSD 6.2! (e degli sviluppatori di pfSense).

Social Bookmarks

Hide Sites

….che non vada, è probabile che vi succedano le stesse cose che sono capitate a me!
Allora è FONDAMENTALE il DNS, quindi o mettete l’ip di un DNS qualsiasi tra gli IP che non necessitano di autenticazione, tipo il vostro dns aziendale, oppure (meglio) abilitare il dns forwarder, settare in general setting il DNS verso il dns aziendale (o quello da voi preferito) ed infine settare nel DHCP server l’ip su pfsense come server DNS ( lato rete che ospita il captive portal).
Mentre se usate in accoppiata il Radius server di Windows Server 2k3 con CP, potrebbe capitarvi che al riavvio di Windows, appena ripartito il server, i clients non si autentichino.
Questo perchè IAS parte prima e più velocemente del server DNS, quindi è opportuno registrare il pfSense come client radius O come indirizzo ip, OPPURE configurare a mano la risoluzione nome/ip nel file HOSTS del server 2k3.
E questo è tutto per ora!

Social Bookmarks

Hide Sites

Finalmente disponibile la versione stabile di pfSense, la 1.2 (anche se la 1,2RC4 era già decisamente usabile).
Inoltre hanno cambiato il look pure al sito web, comunque sia per informazioni sui Changelogs e altro andate qui!
Domani mattina farò un aggiornamento del “firmware” dalla RC4 appunto, alla 1.2, vediamo se tutto va liscio oppure devo reinstallare il firewall…..bhe poco male, ho il file .XML con tutta la configurazione! (una delle cose bellissime che fa pfSense).

Social Bookmarks

Hide Sites

Stavo cercando un software per rendere dei portatili degli “Internet Kiosk”, praticamente dove gli utenti potessero fare la navigazione su Internet e poco altro, quando ho scoprto un interessante software di Microsoft, appunto Windows SteadyState.
Attraverso questo strumento è possibile limitare un utente in qualsiasi modo, da toglierli la possibilità dell’accesso al pannello di controllo, a rendere il dekstop in sola lettura, ad impedire di scrivere su penne USB o a stampare dal web.
I livelli di protezione sono No, low, medium e high rescrictions, per quanto riguarda Windows le le Features.
Non vi rimane che provarlo! (li lo sto usando in coppia con Captive Portal su pfSense, sfruttando il server Radius di Windows Server 2003, una goduria!! Ma a questo dedicherò un altro post.)

Social Bookmarks

Hide Sites

Avrò da fare per lavoro almeno un paio di firewall, di solito ho sempre usato IPCop, che con un pò di addons diventa decisamente potente ed usabile, però allo stato attuale, la versione 1.4.18 è ancora priva di features fondamentali, come il load balancing tra WAN multiple e il failover, fatto grave.
Quindi girellando su internet ho trovato la risposta, pfSense un potentissimo prodotto che ha veramente tutto e di più (anche per usi veramente avanzati) che però…..è basato su FreeBSD!!
A malincuore abbandonerò Linux per questi lavori, ma pfSense è troppo avanti rispetto ad IPCop e poi ho voglia di addentrarmi nel magico mondo di *BSD.
Tra le features interessanti, multi WAN (1,2,3,4,5….), Captive Portal, vpn IPSec, OpenVPN e PPTP di serie, firewall *SERIO* e molto altro..
Tra qualche giorno posterò i primi esempi di uso che ne avrò fatto!
Ah, è basato su m0n0wall , ma è avanti anni luce rispetto al suo genitore!!

Social Bookmarks

Hide Sites