Creare regole di firewall in pfSense - parte 1

Le regole del firewall in pfSense sono fondamentali per controllare il traffico tra le reti ad esso connesse, che siano esse reti Internet (WAN)  o reti locali (LAN).

Le caratteristiche principali delle regole di firewall in pfSense sono:

1. Azione: Ogni regola può avere un’azione specifica:
• Pass: Permette al traffico di passare attraverso il firewall.
• Block: Scarta il traffico senza inviare alcuna risposta.
• Reject: Scarta il traffico e invia un messaggio al mittente indicando che la connessione è stata rifiutata
2. Interfaccia: Specifica l’interfaccia su cui applicare la regola. La regola è sempre applicata in ingresso all'interfaccia in questione. In altre parole, le regole dell’interfaccia LAN si applicano al traffico proveniente dalla rete locale (LAN), mentre le regole dell’interfaccia WAN si applicano al traffico proveniente da Internet.
3. Versione TCP/IP: Puoi specificare se la regola si applica solo a IPv4, IPv6 o entrambi.
4. Protocollo: Indica il protocollo, ad esempio, TCP, UDP o ICMP.
5. Origine e destinazione: Le regole possono specificare sia l’indirizzo IP che la porta/e di origine che quelli di destinazione. Ad esempio, puoi consentire il traffico solo da un indirizzo IP specifico verso il centralino VoIP sulla VLAN fonia.
6. Ordine di valutazione: Le regole vengono valutate dall’alto verso il basso. La prima regola corrispondente viene applicata. L’ordine delle regole è perciò fondamentale affinchè il firewall si comporti come desiderato.
7. Negazione implicita: Se non c’è una regola corrispondente, il traffico viene implicitamente negato. 

Ecco alcuni esempi:

1. Regola per permettere il traffico da Internet verso un web server interno posizionato nella LAN:

   - Web Server:

     - Nome della regola: "Permetti traffico HTTPS al Web Server"

     - Interfaccia: WAN

     - Protocollo: TCP

     - Porte: 80 (HTTP) e 443 (HTTPS)

     - Origine: Qualsiasi

     - Destinazione: Indirizzo IP del web server nella LAN

     - Azione: Pass

2. Regola che rigetta il traffico RDP dalla VLAN Users alla VLAN Server:

     - Nome della regola: "Blocco traffico RDP tra VLAN Users e VLAN Server"

     - Interfaccia: VLAN Users

     - Protocollo: TCP

     - Porta: 3389 (RDP)

     - Origine: VLAN Users

     - Destinazione: VLAN Server

     - Azione: Reject

E' possibile poi specificare ulteriori parametri per controllare in modo ancor più  granulare le regole (gateway da utlizzare, limiter, logging, ecc.), è possibile aggregare IP, subnet o porte tramite alias e molto altro ancora che scopriremo negli articoli delle prossime settimane.

Stay tuned!