Tutorial - Firewall PfSense

Es gibt einige fertige Firewall Lösungen, die man sich als ISO Image laden kann und anschließend auf einen PC installiert. Beispiele:

PfSense
OpenSense
IpFire

Der ein und andere hat jeweils Vor- und Nachteile. Schlussendlich machen alle ihren Job und schützen die eigene IT vor Zugriff von Außen. Ich habe mich für PfSense entschieden weil:

Sehr gute Erklärungen bei jedem Punkt
Viel Unterstützung im Internet
Bietet einfache Konfiguration von VLAN
Fallback Router für zweite Internet Leitung
Einbindung von WireGuard
Backup und Wiederherstellung sehr einfach

Die "normale" Firewall Funktionen wie z.B. NAT und Firewall sind bei allen identisch.

Die Hardware

Die PfSense Firewall habe ich auf einem Topton PC mit 8505 Prozessor, 4x 2,5 GBit LAN und 2x 10 GBit SFP+ installiert. M.2 Festplatte und DDR5 RAM muss man extra kaufen. Anschluss: 12V DC, über DCDC Wandler von einem 24V Akku. Die Schnittstellen wurden während dem Setup alle erkannt.

Solche und ähnliche PC's gibt es viele auf dem Markt. Die gibt es in unterschiedlicher Ausführung und Prozessoren. Es ist einfacher wenn der Prozessor auf Intel Basis ist und ca. 15 Watt verbraucht. Schwache Prozessoren reichen in der Regel, denn der Computer muss ja nichts mehr machen als Datenpakete von der einen Schnittstelle zur anderen weiter zu geben und dabei ist nur ein schneller RAM wichtig. Auch sollte mindestens 1 SFP+ Port mit 10 GBit zur Verfügung stehen. z.B. Google "Mini PC 8505 SFP+".

Bei der ersten Installation wird ein extra Monitor und eine Tastatur benötigt. Nach der Ersteinrichtung wird alles nur noch im Webinterface erledigt.
Viele Netzwerkschnittstellen damit man viele unterschiedliche Netzwerke anschließen kann. Das ist jedoch nicht ganz so wichtig, da PfSense von Haus aus VLAN unterstützt reicht minimal eine einzige Schnittstelle aus, über die man dann all seine VLAN Schnittstellen konfiguriert. Somit werden sehr wenige Kabel benötigt und beim Switch entsprechend weniger Ports belegt.
In meiner Konfiguration ist WAN ein Ethernet Port und alle anderen VLAN's gehen über einen SFP+ Glasfaser. Somit kann die Box bis zu 2,5 GBit durch das Internet durch reichen.
Beispiele wie man eine Firewall mit PfSense installiert mit Schritt für Schritt Anleitungen gibt es viele.

Raspberry Pi

Ich empfehle einen Raspberry Pi NICHT. Bis man den soweit erweitert und umgebaut hat um den ebenfalls sicher betreiben zu können ist der nicht günstiger als ein kleiner Box-PC mit der Einschränkung dass der immer noch wenig Rechenleistung hat. Grundregel: Kein Computer verwenden, der eine SD-Card oder internen Flash für den Betrieb immer wieder beschreiben muss, verwenden.

Virtualisierung

In der DS könnte man eine VMM mit PfSense laufen lassen. Ja es funktioniert auch. Allerdings hat man dann gleich mehrere Nachteile:

DS ist defekt oder macht ein Update, dann ist auch gleich die Firewall aus.
Die "heiße Internetleitung" geht direkt in die DS, was man ja mit einer Firewall unbedingt vermeiden wollte.
Man benötigt einen extra Netzwerk-Port für die Firewall.

Daher meine Empfehlung: NICHT machen.

Die Software

Während der Installation von PfSense lädt diese bereits die neueste Version aus dem Internet. "CE" bedeutet Community Edition. Es gibt gute Anleitungen für die Installation im Internet.

VLAN

Im Menü "Schnittstellen" > "Zuweisungen" > "VLAN's" kann man mit der Hinzufügen Taste ein neues VLAN erzeugen. Ausgewählt wird hier die physikalische Schnittstelle (der SFP+ Port, z.B. "ix0") und es wird ein "VLAN Tag" zugeordnet und eine "Beschreibung", z.B. "Heim" oder "IOT" gesetzt. So werden nun alle VLAN's zu erst konfiguriert.

Anschließend kann man diese Schnittstellen mit "Schnittstellen Zuweisungen" einer Schnittstelle zuweisen. Erst danach kann man diese bei NAT oder der Firewall verwenden.

Fallback Router

Unter "System" > "Routing" > "Gatewaygruppen" wird eine Gruppe festgelegt, wie man 2 Gateways verschalten will. Beispiel:
Priorität "Tier 1", dieses Gateway wird in der Regel verwendet.
Priorität "Tier 2", dieses Gateway wird verwendet, wenn das von "Tier 1" kein Internet hat. Sobald "Tier 1" wieder verfügbar ist, so wird wieder zu "Tier 1" zurück gewechselt.
Wenn beide Gateway's "Tier 1" haben, so wird die Last des Internet Traffics auf beide Router gleichmäßig verteilt.

Bei "System" > "Rounting" > "Gateways" werden anschließend die Gateways mit den Gateway Gruppe verknüpft.

WireGuard

WireGuard kann als extra Paket in der Paketverwaltug herunter geladen werden. Ich habe mich für WireGuard entschieden weil diese Konfiguration sehr einfach in den Anleitungen aussah und man damit mit einem PC und Handy eine VPN Verbindung in das Heimnetz sehr einfach aufbauen kann. Sehr einfach heißt, es gibt wirklich nur sehr wenige Parameter, die man einstellt (und falsch machen könnte).

Als Port verwende ich 1194, das ist der Port von OpenVPN. Da viele Firmen den Port 1194 offen haben kommt man damit sehr gut in das eigene Netzwerk.

Wenn man WireGuard einrichtet, dann sollte man mindesten 5 extra Peers schon mal mit anlegen, die wird man für neue Geräte benötigen, die in den nächsten Jahren anschafft werden.

Beispiel Konfigurationsdatei:

Man kann sich die Konfigurationen am einfachsten bei www.wireguardconfig.com erzeugen lassen.

Hier ein Beispiel wie eine Konfiguration für einen Client aussieht:

[Interface]
Address = 172.16.1.<Adresse Gerät>/24, 192.168.16.<Adresse Gerät>/24
DNS = 192.168.16.1, 8.8.8.8, 1.1.1.1
ListenPort = 1194
PrivateKey = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=

[Peer]
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = <eigener DDNS Name>:1194
PublicKey = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=

Adresse: Hier werden 2 Adressen vergeben, die vom WireGuard Bereich sowie die Adresse, vom Heim Netzwerk für das eine Gerät.

Funktionsweise VPN

Dies ist nur eine VPN Verbindung in das eigene Netzwerk. Wenn man außerhalb ist und man baute über WireGuard eine Verbindung zum eigenen Netzwerk auf, dann wird auch das Internet über diese WireGuard Verbindung gehen.

Handy mit WireGuard >> VPN verschlüsselt über Internet >> PfSense >> Internet

Also die Daten gehen vom Handy prinzipiell immer über die PfSense und dann erst raus in das Internet.
Vorteil: Das Handy meint dann immer man ist zu Hause, sofern man GPS deaktiviert hat. Egal wo auf der Welt man gerade ist.
Nachteil: Die Internet Verbindung ist etwas langsamer, da die Daten erst mal zur eigenen PfSense gesendet werden.

Das WireGuard ist nur ein VPN in das eigene Haus. Nicht zu verwechseln mit einem VPN von Fremdanbieter, die eine Webanfrage anonymisieren. Denn mit dem eigenen VPN wird nichts anonymisiert, da alles über den eigenen Internet Anschluss läuft.
Ob man der PfSense für das Internet ein VPN von Fremdanbieter fest konfigurieren kann, weis ich nicht.

Backup

Unter "Diagnose" > "Sichern & Wiederherstellen" kann man ein Backup erzeugen. Wenn man eine PfSense neu installiert, dann sollte man zu erst die zusätzlich installierten Pakete erst installieren und anschließend das Backup wiederherstellen, damit werden dann alle Backups der Pakete korrekt wiederhergestellt.

Firewall

Es ist immer wieder die Frage wie funktionieren die Firewall Regeln. Nun hat man bei der PfSense jede Menge Schnittstellen und die dazugehörigen Regeln.

Man muss die Sache immer so sehen: Was kommt rein > Regeln wird durchlaufen > geht wo hin.

Beispiel: WAN: Von außen kommt über das Internet ein Telegram rein, es wird geprüft und wenn es eine gültige Regel dafür gibt entsprechend weiter geleitet.
Beispiel für eine Weiterleitung von FTP zum Server: Protokoll: TCP, Quelle *, Port *, Ziel: DS, Port: 21, 55536:55540

Beispiel: LAN: Man möchte Zugriff auf das Internet haben. Ein PC, der am LAN Netzwerk angeschlossen ist sendet die Anfrage an PfSense, nun wird eine Regel unter "LAN" gesucht, die erlaubt dass das Paket in das Internet gesendet werden darf.
Beispiel für die Weiterleitung in das Internet: Protokoll *, Quelle LAN subnets, Port *, Ziel *, Port *, Gateway "<das Gateway, wie beim Fallback Router>"
Nun geht die Anfrage raus in das Internet. PfSense weis automatisch dass dies eine Verbindung darstellt und hält diese, so dass der Server im Internet zurück antworten kann und man die Daten z.B. von der Webseite zurück erhält.

Beispiel KAM: Das Kamera Netzwerk darf kein Internet bekommen. Bei der Firewall Regel lässt man dazu einfach alles leer. Damit, alle Anfragen die rein kommen werden automatisch blockiert. Alles was über das VLAN der Kameras kommt ist ohne Wirkung.

Tipp: Um mehrere Ports oder Adressen zusammen fassen zu können kann man diese mit "Firewall" > "Aliase" definieren.

Dynamische DNS

Bei der Firewall kann man unter "Dienste" > "Dynamische DNS" einrichten um automatisch einem DNS Dienst die aktuelle TCP/IP Adresse des eigenen Internet Anschlusses zu übergeben. Ja, es funktioniert, jedoch der DDNS Dienst, der bei der Synology DS integriert ist, funktioniert besser.

Benachrichtigungen auf Telegram

Die PfSense unterstützt Benachrichtigungen auf Telegram. "System" > "Erweiterte Einstellungen" > Benachrichtigungen. Man benötigt dazu ein Telegram API-Key und eine Chat-ID. Dies kann mit der Telegram App eingerichtet werden.
Bei mir sendet PfSense 1x täglich die TCP/IP Adresse des Routers als Chat Nachricht, also funktioniert.

Wer mehr darüber wissen will wie das geht kann sich das Tool "YourIP" bei "neues Builds" laden, da drin ist beschrieben wie man an ein Telegram API-Key und der Chat-ID kommt.

Schlussbemerkung

Eine Firewall funktioniert nur so gut wie man diese eingestellt hat. Es gibt viele Dinge die ich hier nicht erwähnt habe und dennoch eine wichtige Einstellung sind. Am besten ist es, wenn man sich einmal einen IT Experten mit Schwerpunkt Sicherheit einkauft um noch Lücken zu schließen, die man eventuell bei falscher Konfiguration sogar geschaffen hat.

Eine Firewall schützt auch nicht davor, dass wenn man sich einen Virus mit einer E-Mail geladen hat und den dann nach der Firewall auf dem PC ausführt. Damit kann man sein ganzes Netzwerk infiltrieren. Um sich vor bösen Dingen zu schützen, die nach der Firewall auftreten können hilft hingegen die Unterteilung der Netzwerke in VLAN Segmente. Damit kann der Virus nicht alle Geräte erreichen, sondern nur diejenige, die in dem einen VLAN erreichbar sind.
Natürlich muss auch die Firewall der DS mit einbezogen werden. Funktionen, die aus dem Internet erreichbar sein sollen müssen immer genau überprüft werden.

Ein guter Schutz ist immer das Personal, das verantwortungsvoll vor dem Computer sitzt.