發表者

討論內容

冷日
(冷日)

發表時間：2016/12/7 15:25

Webmaster

註冊日: 2008/2/19
來自:
發表數: 15771

[轉貼]打造家用防火牆的需求 by pfSense (一) 簡介篇: 打造家用防火牆的需求 by pfSense (一) 簡介篇

現在電腦日新月異，常常換電腦的習慣會導致家裏電腦越來越多
好一點的家庭當然每個人超過一台電腦或是以上，還有配備專屬驢子機
以我家來說電腦就九台了，需求當然不只有是大家可以透過NAT上上網，
網芳彼此分享檔案，怎麼樣作管理，我想也是很重要的一環，而這一點，
弄一台家用等級的防火牆是不可避免的。

那麼我先列出家用電腦的防火牆至少基本具備哪些功能
01. Firewall，幫大家擋住攻擊 (省去每一台電腦都裝上防火牆軟體)
02. NAT，提供大家上網
03. DHCP，管理IP
04. WebGUI，要易於管理

目前為止，這也是一般一千元左右的IP分享器能夠提供的等級，那麼更進階還需要什麼呢?
05. Firewall，可設定 block/pass rules，可過濾封包(packet filtering)
06. Port Forward，轉 port
07. log system，詳細的系統紀錄

這邊大概是好一點的IP分享器具備的等級了，那麼再好需要多好呢?
08. Traffic shaper，可針對單一IP限流，或是針對IP或是service的priority作設定
09. Wireless a/b/g HostAP，當無線基地台，至少要可WEP，WPA，隱藏 SSID等等
10. uPnP，讓MSN之類的可以穿透firewall

截至目前為止，具備這些功能的防火牆想必非常符合家用電腦了，那是否還需要更進接的功能呢?
11. IPSec，連接兩個Private Network，我自己是拿來作跟實驗室的網路串
12. PPTP，在外面臨時想要連回家取用某一台電腦的資源時就派上用場了
13. Captive portal，讓你家的網路必須透過網頁認證才可以使用網路的功能，應用在無線網路上最好用
14. SNMP，讓你知道電腦網路的使用情況，再用MRTG去作圖
15. NTOP，統計一下區網的電腦使用的情況，主要看傳輸資料類型和總共上傳下載多少作統計

以上這些功能，你可以用錢買的到，大概過把萬的router就可以弄到這些功能了
但是如果你有一台爛電腦，也可以讓你把爛電腦升級成這些功能的喔！

而這些功能，都可以透過pfSense來達成，
pfSense是base on FreeBSD 6.1加上pf的系統修改而成的
free，no charge，但是破爛電腦請自備
備註:pfSense有很多功能都是
monowall修改而來的 (base FreeBSD 4.9 + ipfilter)

簡單來說pfSense是套作業系統，不是軟體，是你必須安裝在一台電腦上的，基本需求
CPU普通就好(隨著服務的機器越多，當然準備越快越好)
RAM至少需要128MB
安裝空間至少128MB，可安裝在CDROM，HD，CF卡上
(最簡單的作法當然是去找一張128MB的CF配上IDE轉CF的卡就很方便了)
網路卡準備兩張作NAT，如果要再架設無線基地台，再加上一張無線網路卡即可 (最好是Atheros晶片)

破電腦 + 一張128MB CF + (2+1)張網路卡，來開始實現效能優異的家用防火牆吧!

當然，我必須說，pfSense既然是base on FreeBSD，所以其實pfSense可以做到的功能，FreeBSD + pf 當然都可以做到，只是在設定上，如果用FreeBSD，就得一個設定檔一個一個去弄，慢慢用手工化用vi修改，測試，好處當然是自由度很高，只是不好設定罷了，而pfSense有方便的WebGUI和Setup wizard可以很輕易的設定出這些功能，就像是在操作一台功能強大的IP分享器似的，好處當然是就算你沒玩過FreeBSD，也可以上手，壞處是自由度普通，就只能用pfSense給的功能和它可擴充的package，而且目前仍然有些bug存在!

pfSense的設定可能分幾個單元寫，這邊先作個小簡介，告訴大家可以玩到什麼樣的程度
我自己的pfSense的機器是如下，雖然沒有實體測試過，但是這樣的機器等級服務50台以上應該不是問題
AMD K7-850，RAM 448MB，256MB CF卡，兩張Intel 82259網路卡+Dlink G520無線網卡

以下是我家的網路架構圖，除了有pfSense外，還有一台FreeBSD作File Server和WWW、FTP.........

以下是pfSense在設定的時候的情況

打造家用防火牆的需求 by pfSense (一) 簡介篇
打造家用防火牆的需求 by pfSense (二) 硬體和安裝篇
打造家用防火牆的需求 by pfSense (三) 基本設定篇
打造家用防火牆的需求 by pfSense (四) 限流限速篇
打造家用防火牆的需求 by pfSense (五) 架設無線基地台篇
打造家用防火牆的需求 by pfSense (六)
小功能大實用篇
原文出處：作業系統 - 打造家用防火牆的需求 by pfSense (一) 簡介篇 - 電腦討論區 - Mobile01

回覆

冷日
(冷日)

發表時間：2016/12/7 15:27

Webmaster

註冊日: 2008/2/19
來自:
發表數: 15771

[轉貼]打造家用防火牆的需求 by pfSense (二) 硬體和安裝篇: 打造家用防火牆的需求 by pfSense (二) 硬體和安裝篇
打造家用防火牆的需求 by pfSense (一) 簡介篇

接下來介紹第二篇 - 硬體和安裝篇

要架設好一台可以運作的pfSense，需要什麼硬體呢?
免驚！免驚！把舊電腦拿出來，插上兩片網路卡就可以了
讓我們來看看需要什麼東西呢！ (注意圖多)

1. 舊的主機一台 (我的是K7-850 + 不知名的Power)

2. 兩片網路卡 + 一片無線網路卡(如果要架設無線基地台才需要)
我是用Intel 82250兩片，一片D-Link G520

3. 128MB的CF卡外加CF轉IDE轉卡一片

4. 合體的樣子

5. 要架設無線基地台，總不能用內建的2dBi的天線吧！至少也要10dBi的指向性天線

一切都準備好了之後，請先加上一台光碟機，畢竟我們要從光碟機安裝
安裝完就可以撤掉了，接下來請到這裡下載pfSense 1.01的ISO檔
解開來後，大約5xMB，請燒片光碟，然後用它來開機

接下來是step by step的安裝，用相機直接拍螢幕有點傷眼，請見諒

6. 這是開機後的畫面，圖中可以看到他抓到我三片網路卡，兩片有線一片無線，
第一是先問你要不要設定VLAN，一般來說選no，如果有串接多個Hub才需要設定

7. 接下來就要設定網路卡了，設定你的LAN、WAN代號，最後在設定無線網卡代號
以我自己的設定，我的LAN是fxp0，WAN是fxp1，OPT是ath0

8. 接下來進到這個畫面之後，你可以選擇先用光碟當當firewall的感覺，確定要安裝了請選99

9. 第一個畫面直接選Accept these Settings

10. 選Install pfSense

11. 選擇你要安裝的地方，我是放一張128MB的CF卡

12. 要開始format你所選的CF卡了

13. Geometry不動，直接選Use this Geometry

14. 按下去就真的format下去了

15. 接下來要分割

16. 把整個CF卡割成一割slices

17. 真的要割下去了

18. 接下來要裝boot manager，直接選Accept and Install Bootblocks

19. 把Boot manager安裝在所選的CF卡上

20. 按下去就真的裝下去了

21. 接下來是分割slices的partitions，請先選swap的del，我們不需要swap

22. 刪除Swap後就可以選Accept and Create

23. 之後就會進入安裝程序，在41%會停很久，別以為是當機喔!

24. 安裝完後重新開機，光碟機移除，就可以開始設定pfSense了

25. 這是第一次安裝好後進入的畫面，請選2，要設定主機的IP

26. 設定你的機器的IP，我設定192.168.0.254

27. Subnet mask 請選24，然後會問你要不要設定DHCP，暫時先不要吧，等到網頁再來設定(也可以現在設定)

28
接下來，在瀏覽器輸入 http://192.168.0.254/ 帳號admin 密碼pfsense，可以看到登入畫面的話就恭喜你安裝成功了

這個時候他已經具備了Firewall和NAT的功能了，至於其他特異功能的設定......下回分曉

謝謝各位觀看!

打造家用防火牆的需求 by pfSense (一) 簡介篇
打造家用防火牆的需求 by pfSense (二) 硬體和安裝篇
打造家用防火牆的需求 by pfSense (三) 基本設定篇
打造家用防火牆的需求 by pfSense (四) 限流限速篇
打造家用防火牆的需求 by pfSense (五) 架設無線基地台篇

原文出處：作業系統 - 打造家用防火牆的需求 by pfSense (二) 硬體和安裝篇 - 電腦討論區 - Mobile01

回覆

冷日
(冷日)

發表時間：2016/12/7 15:31

Webmaster

註冊日: 2008/2/19
來自:
發表數: 15771

[轉貼]打造家用防火牆的需求 by pfSense (三) 基本設定篇: 打造家用防火牆的需求 by pfSense (三) 基本設定篇
打造家用防火牆的需求 by pfSense (一) 簡介篇
打造家用防火牆的需求 by pfSense (二) 硬體和安裝篇

當你成功的可以看到pfSense的畫面後，就可以透過WebGUI來設定全部的功能
首先我們先透過精靈來作基礎設定，除了基礎設定外，這一篇有兩個目標
1. NAT + DHCP(讓內部LAN自動配IP和Gateway上網)
2. Port Forward 讓服務可以轉發進LAN的電腦內 像是eMule，BT，Orb.........等等

1. 先選擇 System - > Setup Wizard 來基礎設定

2. 設定hostname和DNS Server

3. 設定時區

4. 設定WAN的上網方式，DHCP或是PPPoE，PPPoE的話下方要記得填寫帳號

5. 設定LAN，之前已經設定過了，所以不需要動

6. 設定admin的密碼，預設是pfsense，改成你自己的密碼

7. 接下來讓DHCP跑起來來

8. 勾選Enable DHCP Server，然後設定IP配發的範圍

9. DHCP設定畫面下方，可以設定依據MAC address對配發固定IP

截至目前為止第一項工作已經完成了，接下來要作port forward
(如果內部電腦不跑eMule、BT、Orb等等需要開port的軟體，以下可免)

10. Firewall -> NAT，要開始設定port forward

11. 按＋來新增一條rule

12. 以eMule為例，4662是TCP，4672是UDP，所以把TCP/UDP都打開，轉發到內部192.168.0.10

13. 如法炮製，新增了BT的port和Orb的port，最後按下Apply changes就會生效了，
同時他也會自動新增防火牆的rule來開啟這幾個port，很方便吧!

下一篇要介紹的是大家比較關切的.......到底要怎麼限流呢

打造家用防火牆的需求 by pfSense (一)
簡介篇
打造家用防火牆的需求 by pfSense (二) 硬體和安裝篇
打造家用防火牆的需求 by pfSense (三) 基本設定篇
打造家用防火牆的需求 by pfSense (四) 限流限速篇
打造家用防火牆的需求 by pfSense (五) 架設無線基地台篇
原文出處：作業系統 - 打造家用防火牆的需求 by pfSense (三) 基本設定篇 - 電腦討論區 - Mobile01

回覆

冷日
(冷日)

發表時間：2016/12/7 15:36

Webmaster

註冊日: 2008/2/19
來自:
發表數: 15771

[轉貼]打造家用防火牆的需求 by pfSense (四) 限流限速篇: 打造家用防火牆的需求 by pfSense (四) 限流限速篇
打造家用防火牆的需求 by pfSense (一) 簡介篇
打造家用防火牆的需求 by pfSense (二) 硬體和安裝篇
打造家用防火牆的需求 by pfSense (三)
基本設定篇

每當多人使用的網路環境，有人跑P2P又不知節制給它跑全速的時候
就可以聽到各個房間的哀號聲音不斷，這個時候道德勸說沒用的時候
都是幹聲連連，然後氣得想辦法去拔網路線，常常聽到外宿的抱怨
房東都是摳錢的，也不可能花個接近萬買台流量控制的IP分享器，
這個時候.............pfSense發揮的時刻來臨了

首先限流的概念要稍微說明一下，限流你必須先建立幾條不同的大小水管
例如一條大水管叫做1號，這條水管的能耐是500Kb/s
再建立一條小水管叫做2號，這條水管的能耐是50Kb/s
之後我們就可以建立一些規則，來規定進出的規則
建立某些port只能走大水管，某些port只能走小水管
例如BT和eMule只能走小水管，兩個流量加起來就是不能塞爆小水管 50kb/s的限制
或是PC1號和PC2號走大水管，PC3號PC4號走小水管之類的限制
就可以達到限制流量的功能

當然除了限制流量，還可以控制優先權，例如你可以把P2P port網路的優先權
把他調到最低，把WWW和TELNET這兩個網路優先權給調到最高，
那麼防火牆在分配的時候就會以WWW和TELNET為優先，這樣即使P2P上傳
開到爆也沒關係，因為它的網路使用優先權遠低於WWW和TELNET
如果是一般IP分享器，大家使用權利一樣，P2P一開，sessions數爆增，這個時候
當然P2P開幾百個連線，而你只開一個WWW或是只上一個BBS，當然頻寬會
搶輸人家

那麼本篇的重點著重在於調整網路的優先權，讓你可以P2P上傳開到爆，要使用網路
的時候也不會變慢，當然如果你要限制P2P的上傳流速也是可以的

1. 開啟 Firewall -> Traffic Shaper

2. 進入Wizard

3. 先調整上下傳頻寬，Inside請設定LAN，Outside設定WAN，上傳下載請自行設定
例如 2M / 512K 那麼設定 Downbload / 2048 , Upload 512

4. 設定VoIP的優先權，這個不是Skype，所以可以不用理他設定直接Next

5. 重頭戲，把P2P的使用權給降到最低，記得把eMule和BT給打勾

6. 網路遊戲優先使用頻寬，有需要的人設定吧!

7. 接下來是一般性的網路使用，至少把MSN，HTTP，DNS的priority給調到最高吧!

8. 調高HTTP和DNS

9. 簡單的配置，到這邊就完成摟，按下Finish就開始運作了

10. 接下來我們需要一些細部的微調，Firewall -> Traffic Shaper

11. 剛剛的精靈並沒有為我們設定打BBS的優先權，外國人大概不打B
所以我們得手動去增加TELNET的優先權

12.新增一個rule，要準備新增TELNET的進來的優先權，
設定Target如圖所示，In和Out的Interface分別設定WAN和LAN

13.下半部設定請把Destination改為LAN subnet，port都改成TELNET
最下方的描述就改成"m_Other TELNET inbound"

14.接下來準備新增TELNET出去的優先權
設定Target如圖所示，In和Out的Interface分別設定LAN和WAN (跟進來的相反)
至於Source的地方請設定LAN subnet

15. 下方設定一樣把port改成TELNET，下方的描述是"m_Other TELNET Outbound"

16. 接下來請在眾多的Rules找到eDonkey和BT的選項，倘若你的ED和BT有改port請在這邊修改
我的BT改到14422了，所以我修改port到14422

17. 最後修改完，可以看到有telnet的in,out bound，接下來我們要去修改水管大小，選Queues

18. 這一步是要把P2P的上傳流量給固定住，上面設定P2P上傳已經不影響網路使用了
但是如果還是想把P2P的流量給控制住，就進行這一步

19. 如圖所示，填入300Kb把P2P的上傳控制在300Kb (K一定要大寫)

20. 最後Apply Changes就大功告成啦! 恭喜你已經有一套流量控管的防火牆系統

21. 最後來檢查一下是不是真的有限制住流量，Status -> Queues

22. 我在qPenaltyUp這條水管設定300Kb，所以他的上傳怎麼樣都不會大於300Kb

以上可以做到了P2P開到爆不影響上網打B，而且也可以至接限制P2P的上傳
那萬一不知道人家用的P2P port怎麼辦？或是類似utorrent可以選擇random port該怎麼辦?
那就把整個IP限速吧！在pfSense 1.01 Release裡面，針對IP限速沒有精靈可以用
必須手動，就是建立兩條水管，一進一出，把水管大小固定，然後規定那個IP只能夠由
這兩個水管進出，就可以達到限流.........但是怎麼那麼麻煩，不用怕啦！

pfSense 1.0.1-SNAPSHOT-12-14-2006 這個版本已經支援用精靈來限制IP流速
你可以在這裡抓到並安裝，一樣解壓縮燒成光碟安裝，這個版本除了有支援限流的精靈外，也把miniupnpd給內建了(可以開啟uPnP的好工具)
不過尚未Release出來，或許有些許bug (我用一段時間，還沒什麼大問題就是了)

截至目前為止我想大家最需要的功能已經寫完摟，pfSense還有很多特異功能可以玩
像是IPSec、PPTP、miniupnpd、Dual LAN、load balancer、transparaent proxy
無線基地台、網頁認證功能.......等等.......好多好多...........
我想就針對大家提出需求討論再看看什麼功能可以寫吧!

打造家用防火牆的需求 by pfSense (一)
簡介篇
打造家用防火牆的需求 by pfSense (二) 硬體和安裝篇
打造家用防火牆的需求 by pfSense (三) 基本設定篇
打造家用防火牆的需求 by pfSense (四) 限流限速篇
打造家用防火牆的需求 by pfSense (五) 架設無線基地台篇
打造家用防火牆的需求 by pfSense (六) 小功能大實用篇
原文出處：作業系統 - 打造家用防火牆的需求 by pfSense (四) 限流限速篇 - 電腦討論區 - Mobile01

回覆

冷日
(冷日)

發表時間：2016/12/7 15:38

Webmaster

註冊日: 2008/2/19
來自:
發表數: 15771

[轉貼]打造家用防火牆的需求 by pfSense (五) 架設無線基地台篇: 打造家用防火牆的需求 by pfSense (五) 架設無線基地台篇
打造家用防火牆的需求 by pfSense (一) 簡介篇
打造家用防火牆的需求 by pfSense (二) 硬體和安裝篇
打造家用防火牆的需求 by pfSense (三) 基本設定篇
打造家用防火牆的需求 by pfSense (四) 限流限速篇

老實說，我還真的沒有買過任何一台無線基地台，打從FreeBSD開始支援HostAP模式
讓無線網路卡變成基地台後，我第一台基地台就是FreeBSD主機+無線網路卡

pfSense既然是FreeBSD打造的，不但支援無線基地台模式，在管理設定上功能更為強大方便
而且重點是便宜，讓我們來看看怎麼樣快速架設好一個無線基地台吧!

硬體準備 : 國內最常見的Atheros晶片就屬D-Link G510、
G520 (G520+不可以)
大概一千元不到就可以買到
Optional：如果用網路卡內建的2dBi的天線架設好的範圍大概是穿透一道水泥牆
再過兩三公尺就差不多沒了，所以如果需要大範圍的話，請買支好一點的天線吧
普通的6dBi的天線大概幾百元，指向示的基本款大約一千出頭，看個人需求

網卡附的天線和另外買的指向性天線

所以，架設好一個自製的無線AP最多的建制成本在1000~2000出頭之間，很便宜吧！
就算2000元也買不到具有這麼多功能的基地台的，這可是窮人的最高等級基地台呢！

那麼主要建制的模式有兩種
1. 無線網路卡橋接LAN網路卡，優點是架設方便，DHCP不用另外設定，壞處是網頁認證功能無法使用
2. 無線網路卡自成一個子網域，設定是麻煩了些，但是設定都可以跟LAN獨立分開設定，方便管理

這兩種都會介紹怎麼架設，請見我娓娓道來
1. 先選 Interfaces -> OPT1 (如果沒有請先選Interfaces -> assign 把無線網路卡配置好)

2. 先介紹Bridge橋接模式，把Birdge mode指向LAN即可

3. 如果不橋接要自己建立一個subnet，就自己設立一個IP吧！我是設定192.168.1.1

4. 接下來要設定無線網卡使它成為基地台
Standard -> 802.11g
Mode -> Access Point
SSID -> 請自己取名吧
WEP -> 看要不要啟用WEP，啟用的話就自己取個五位數字的密碼
WPA -> 自己決定要不要用吧
設定完後，最下方的Save起來後，無線基地台已經開始運作了
如果是使用Bridge mode的人，設定到這邊，基地台就可以運作了，不用繼續設定下去
使用Subnet的人，後面程序要繼續走完喔

5. 接下來要打開OPT1的防火牆，讓無線網路的子網域可以連出去，如圖所設定
如果沒有作這個步驟，無線網路是出不去的

6. 再來打開OPT1的DHCP Server (跟LAN的DHCP是分開的)
把IP分配的位置設定好即可 (IP要是無線網卡的子網域內)，Save之後就大功告成

關於無線基地台的網頁認證功能 - Captive Protal，有時間再寫吧！一般家庭好像暫時用不到這個，總不會你爸爸拿NB想上個網路還要跟你要帳號密碼吧！
(如果是用Brigde mode架設的基地台，是無法使用Captive Protal，目前它還不支援bridge mode)

很多人可能會遲疑........穩定度和訊號強度如何呢？穩定度至少我還沒熱當過就是了，傳輸速率2~3MB/s很正常，莫名其妙的斷線問題也沒發生過，訊號強度由於我自己添加指向性天線，所以範圍至少我家30坪的活動區域都可以收到還不錯的訊號

(拿577W連上WIFI然後到廁所作蛋糕點Orb來看看新聞........OK啦!)

打造家用防火牆的需求 by pfSense (一) 簡介篇
打造家用防火牆的需求 by pfSense (二) 硬體和安裝篇
打造家用防火牆的需求 by pfSense (三)
基本設定篇
打造家用防火牆的需求 by pfSense (四) 限流限速篇
打造家用防火牆的需求 by pfSense (五) 架設無線基地台篇
原文出處：作業系統 - 打造家用防火牆的需求 by pfSense (五) 架設無線基地台篇 - 電腦討論區 - Mobile01

回覆

冷日
(冷日)

發表時間：2016/12/7 15:40

Webmaster

註冊日: 2008/2/19
來自:
發表數: 15771

[轉貼]打造家用防火牆的需求 by pfSense (六) 小功能大實用篇: 打造家用防火牆的需求 by pfSense (六) 小功能大實用篇
打造家用防火牆的需求 by pfSense (一) 簡介篇
打造家用防火牆的需求 by pfSense (二) 硬體和安裝篇
打造家用防火牆的需求 by pfSense (三) 基本設定篇
打造家用防火牆的需求 by pfSense (四) 限流限速篇
打造家用防火牆的需求 by pfSense (五)
架設無線基地台篇

不知不覺已經寫到第六篇了，希望對大家有幫助，這一篇要介紹一些
小功能，只要稍微設定花個幾秒就可以獲得一些實用的功能
主要有要介紹的有
1. Dynamic DNS 讓沒固定IP的也可以有DN可以用
2. miniupnpd 啟動你的uPnP功能，讓你的MSN的傳檔(語音)更順暢吧
3. SNMP 監控你的網路卡進出流量
4. NTOP 統計你區網內的通訊流量 (誰大量用P2P一看就知道)

以上都只要打個勾，點點滑鼠就可以啟動的功能喔！

1. 先來開始介紹Dynamic DNS，Services -> Dynamic DNS

2. 當然要事先申請好Dynamic DNS，我是用no-ip，然後填入hostname、username、passwd
然後Enable就可以啟動了，很方便吧!

3. 再來是要開啟uPnP功能，Services -> miniupnpd

4. 選擇LAN，勾兩個勾，選change就已經有uPnP功能啦！夠簡單吧

5. 這是MSN有開啟uPnP跟無開啟uPnP的情況

6, 接下來要開啟SNMP協定

7. 不用設定，打勾啟動即可

8. 可惜的是目前pfSense不支援MRTG作圖，這真是美中不足，所以還需要找台有MRTG的機器來繪圖，可以監控每一台有SNMP協定的電腦的進出流量

9. 最後要開啟強大的ntop監控統計功能，這個功能要從System -> package 安裝

10. 在眾多可以擴充的package中，找出ntop並按下安裝鍵

11. pfSense會自己抓取，安裝，當看到Installation completed就安裝好了

12. 接下來Diagnostics會多了ntop選項，先選ntop setting設定ntop

13. 設定把ntop的管理者密碼，勾選要監控的網路LAN按下Change就開始跑ntop了

14. 啟動後，Diagnostics -> ntop 就可以開始看區域網路的通訊統計

15. ntop可以統計出來哪台電腦流量最大，使用了什麼協定 (跑P2P也可以抓出來)
圖上可以看到我的驢子機一天進出是10GB

原文出處：作業系統 - 打造家用防火牆的需求 by pfSense (六) 小功能大實用篇 - 電腦討論區 - Mobile01

回覆

冷日
(冷日)

發表時間：2016/12/7 15:45

Webmaster

註冊日: 2008/2/19
來自:
發表數: 15771

[轉貼]徒手打造 pfSense 負載平衡器

徒手打造pfSense負載平衡器

丁光立

目前光纖線路因價格下降已慢慢地被市場接受，但配置固定IP的光纖線路單價仍高，一般中小型企業較難負荷，因此負載平衡仍廣泛運用在各種網路架構上。但大多數的負載平衡設備價格昂貴，並且提供許多一般企業不會用到的功能。Linux或FreeBSD雖可以實作出負載平衡功能，但在維護及設定上較為困難。其實，利用pfSense這一款免費好用的負載平衡器就可解決以上所有的難題。

本文將使用擴充性強大且易於操作及設定的開源防火牆軟體pfSense，把速度慢但有配置固定IP以及速度快但僅提供PPPoE固定IP的兩條線路加以整合，實作出內網對外網及外網對內網的負載平衡功能。

安裝環境及測試架構

pfSense的安裝相當簡單，只須連至pfSense的官方網站（http://www.pfsense.org/）下載其ISO檔後，將之燒錄至光碟。再找一台電腦，使用該光碟開機，便會自動開始其安裝流程。筆者使用的版本為pfSense-2.0.1-RELEASE-i386.iso.gz，讀者可依自己的需求，選擇合適的版本。在安裝時有兩個事項必須注意：

1. 建議安裝至硬碟或記憶卡以便日後管理。

2. 在設定網路時無須設定VLAN（可依本身需求進行調整）。

設定完成後，記得輸入99 (Install pfSense to a hard drive, etc.)，將pfSense裝進硬碟或記憶卡。pfSense在2.0之後的版本，對於負載平衡功能的支援更為強大，這也是筆者特別撰文介紹的原因之一。

除了主機板內建的網路卡（sis0）外，筆者新增了兩張網路卡（re0和re1）。sis0是用來連接內網的部分，re0則連接低速但配有固定IP的512K/64K線路，而re1連接的是使用PPPoE方式取得固定IP，速率為12M/3M的線路。

而在測試架構的部分，筆者在內網架設一台IP為192.168.1.101的FTP伺服器（Server）。希望外部的訪客在連線至內部的FTP Server時可以做到負載平衡的效果。

前置作業

pfSense在2.0之後對於負載平衡提供了較完善的功能，但要實現外網至內網的負載平衡，除了pfSense本身提供的功能外，還需要在DNS上動手腳。因此先至Domain Name的註冊網頁進行相關設定，如圖1所示。

▲圖1 網域名稱設定。

筆者將之前註冊的Domain Name名稱「honeypot.idv.tw」，設定為自行DNS代管模式（在此以Seednet為例進行操作），將低速線路的固定IP「203.70.181.248」對應到dns1.honeypot.idv.tw，並將PPPoE取得的固定IP「123.204.45.73」對應到dns2.honeypot.idv.tw。在之後的章節，會將203.70.181.248設定在pfSense的WAN介面，123.204.45.73設定在OPT1（可以想像為第二個WAN）的介面上。

以上的設定方式是假設讀者的內網有兩種以上的伺服器，因此需要自己架設DNS伺服器。假如讀者只有一種伺服器（如Web Server）提供對外服務並且是使用某些DNS業者的服務（如TWNIC），若指定為DNS代管模式，並設定兩筆名稱相同的A記錄，這些業者就能提供外網對內網查詢時的負載平衡服務。

舉例而言，第一次查詢web.honeypot.idv.tw的IP時，會得到203.70.181.248的結果，在第二次查詢web.honeypot.idv.tw的IP，則會顯示123.204.45.73。這樣就能輕易地達到外對內負載平衡的效果。

為便於讀者理解設定流程，以下繪製了內網對外網負載平衡設定流程圖，如圖2所示：

▲圖2 內網對外網負載平衡設定流程圖。

設定主要介面IP及Gateway

pfSense預設的LAN IP為192.168.1.1，在此不做調整，請依自己的環境進行配置。首先，示範如何設定WAN介面及路由（Gateway）、DNS Server，讓內網的電腦能夠透過pfSense連出Internet，之後再介紹OPT1介面的設定。首先設定WAN介面，先點選Interfaces，再點選WAN，如圖3所示。

▲圖3 設定WAN介面。

接著，更改「Type」欄位為Static，並於「IP address」填入對應的IP設定203.70.181.248，並選擇適當的遮罩/24（此步驟常被忽略），之後點選「Gateway」後方的「add a new one」，如圖4所示。

▲圖4 設定WAN IP及遮罩。

在此要輸入WAN IP的Gateway，因此輸入203.70.181.1，如圖5所示。

▲圖5 設定Gateway IP。

設定DNS Server

接著便可以設定DNS Server，如圖6所示。首先先點選System，再點選General Setup，然後將DNS Servers的IP資訊填入。

▲圖6 設定DNS Server。

設定第二組介面

至此，pfSense已經可以做為防火牆使用了。然後新增及設定OPT1介面。先點選「Interfaces」，再點選（assign），如圖7所示。隨後，並點選右下角的＋號圖示（圖8）。

▲圖7 指定OPT介面。

▲圖8 新增一個介面。

接著，系統會自動出現OPT1的介面，這時只須選擇適當的網卡即可，本例選擇re1，並按下〔Save〕，如圖9所示。

▲圖9 設定OPT1介面。

再次點選Interfaces，而後點選OPT1，並輸入PPPoE相關設定，如圖10所示。OPT1預設並沒有Enable，記得勾選Enable Interface，之後才能做相關設定。這裡將Type指定成PPPoE，並在Username和Password欄位內輸入對應的帳號及密碼。

▲圖10 OPT1相關設定。

以Seednet作為例子，PPPoE若想要取得固定IP，必須在Username最後面加一個#號；假若是Hinet，那麼就必須在@後面加一個IP，例如12345678@ip.hinet.net。

設定Routing Group

接下來，更改Routing Group的設定，先選擇System中的Routing。開啟後，再選擇Groups。並點選右上角的＋號圖示，新增一筆設定（圖11）。

▲圖11 設定Routing Groups。

此處設定的重點是WANGW及GW_OPT1必須選擇同一Group，例如Tier 1。如圖12所示，將此Group命名為Outgoing，在後續設定rules時須指定使用此Group。

▲圖12 Gateway Priority設定。

設定Firewall Rule

然後，設定對外的Firewall Rule。先點選Firewall中的Rules，再點選LAN，之後點選右上角的＋號圖示，如圖13所示。

▲圖13 設定Firewall Rules。

接著會產生一條新增的rule，必須修改Gateway的設定。將頁面拉到最下方時，可以看到Gateway的選項，按下〔Advanced〕按鈕，在下拉式選單中可以看到先前設定的Gateway Group選項【Outgoing】，將其點選，如圖14所示。

▲圖14 Rules的Gateway設定。

完成以上的設定後，可以做一個簡單的測試，依序使用IE和Firefox開啟，能夠顯示目前所使用Public IP的網頁，例如「http://checkrealip.com/」，從圖15中可以看出，兩次測試時的Public IP是不同的。

▲圖15 對外Public IP的測試。

在完成本階段的設定後，最基本的負載平衡設定「內網至外網」已經設定完成。下一階段，將繼續完成外網至內網的負載平衡設定。

同樣地，這裡以一個簡單的流程圖來說明如何完成外網對內網的負載平衡設定，如圖16所示。

▲圖16 外網對內網負戴平衡設定流程圖。

安裝及設定DNS Server

在前置作業中曾經提到，要實現外網對內網的負載平衡，須仰賴DNS Server的輔助，在此示範如何在pfSense內安裝DNS Server並進行相關設定。

首先要安裝對應的Packages。點選System，並點選Packages，接著找到dns-server，再點選最後面的＋號圖示，如圖17所示。

▲圖17 安裝DNS Server。

安裝完成後，點選Services中的DNS Server進行相關設定，如圖18所示。

▲圖18 設定DNS Server。

在IP Address欄位內輸入127.0.0.1。接著，在Interface to listen欄位中選擇WAN及OPT1，如圖19所示。

▲圖19 設定DNS Server的IP及介面。

然後，選擇上方選單的New domain wizard來協助進行剩餘的設定。在點選後，會帶出設定的頁面。在Domain Name欄位內輸入honeypot.idv.tw，而Primary Nameserver欄位中則輸入203.70.181.248，另外將Secondary Nameserver欄位設定成123.204.45.73（圖20）。

▲圖20 使用「New domain wizard」完成DNS設定。

緊接著，設定A記錄。在First A record hostname欄位內輸入ftp.honeypot.idv.tw，並在First A record IP address欄位中輸入203.70.181.248。

同樣地，將Second A record IP hostname指定成ftp.honeypot.idv.tw，並在Second A record IP address欄位內設定123.204.45.73，如圖21所示。在此也會發現，可以輸入第三組A記錄，這代表pfSense支援三個介面的負載平衡。

▲圖21 設定ftp.honeypot.idv.tw的A記錄。

設定Firewall Rule

同樣地，也要設定Firewall Rule，讓從外部進來查詢DNS Server的封包可以進入內網。選擇Firewall的Rules，並選擇WAN的設定。接著，點選右上角的＋號圖示來新增一筆rule（之前已設定過，請參考圖13，此次要選擇的是WAN）

在Interface的部分，預設為WAN，不加以變更。在Protocol設定上，理論上選擇UDP即可（DNS預設使用UDP），但為避免萬一，這裡選擇TCP/UDP。而Destination port range部分， from及to設定都選擇DNS，如圖22所示。

▲圖22 設定WAN Firewall rules。

此刻，針對用來測試的FTP服務，也要設定對應的rule。設定方式與設定DNS時相同，唯一不同的是，在設定Destination port range時記得選擇FTP。

設定NAT

緊接著設定NAT，這樣一來，進來的封包才曉得要往哪個IP送。在此選擇Firewall中的NAT，再點選Port Forward，並點選右上角的＋號圖示來新增一筆設定（圖23）。

▲圖23 NAT新增一筆Port Forward設定。

隨後，設定Interface為WAN，Protocol為TCP/UDP，Redirect target IP為127.0.0.1 （與先前設定DNS Server時所bind的IP相同），Redirect target port為DNS，如圖24所示。

▲圖24 設定DNS的NAT規則。

接著是重點中的重點：同樣再新增一筆記錄，其他的部分都與方才的設定相同，但是在Interface部分，務必記得設定為OPT1。

在完成這兩項設定後，不管是透過WAN或是OPT1進來的DNS查詢封包，都會往127.0.0.1送，而之前已將DNS Server所bind的IP設定為127.0.0.1，如此一來，當收到DNS查詢的封包時，DNS Server就會回應對應的IP address。

針對FTP服務的部分，也要做對應的設定，如圖25所示，Interface選擇WAN，Redirect target IP要輸入192.168.1.101（內部FTP Server的IP），而Redirect target port選擇FTP。在此，務必記要再新增一筆記錄，並且將Interface指定成OPT1。

▲圖25 設定FTP的NAT規則。

設定Load Balancer

設定流程至此幾乎都已經完成，經筆者測試，此時已經可以讓外部的主機在連入本地FTP Server時做到by session的負載平衡，但為了做到by packet的負載平衡。建議把Load Balancer的設定也繼續完成。

接下來，選擇Services中的Load Balancer，如圖26所示。

▲圖26 設定Load Balancer。

然後，選擇Pools（參考圖26），並點選最後的＋號圖示來新增一筆設定。

緊接著，在Name部分輸入ftp-1，Mode設定選擇Load Balance，而Port輸入21，Monitor選擇TCP，Server IP Address輸入203.70.181.248，並再點選Add to pool，之後在此欄位同樣輸入123.204.45.73，並點選Add to pool。最後按下〔Save〕，如圖27所示。

▲圖27 設定Load Balancer Pool。

設定完成後，在Members的Enabled (default)欄位中會有203.70.181.248及123.204.45.73這兩個成員。

之後選擇Virtual Servers（參考圖26），同樣點選＋號圖示新增一筆設定。在IP Address的部分輸入192.168.1.101，Port指定為21，而Virtual Server Pool部分選擇先前設定的ftp-1，Relay Protocol設定成TCP，最後按下〔Submit〕按鈕，如圖28所示。

▲圖28 設定Load Balancer中的Virtual Server。

測試負載平衡的效果

在繁瑣的設定流程完成後（其實熟練之後需要設定的部分並不多），測試一下負載平衡的效果。為便於觀察，必須安裝RRD套件（請參考圖17進行安裝）。

首先，在外部機器使用ping的方式來檢查是否每次查詢時都能對應到不同的IP，如圖29所示。根據實際測試後，結果顯示分兩次查詢ftp.honeypot.idv.tw確實能夠得到不同的IP。

▲圖29 以ping的方式檢查外對內負載平衡。

隨後，從外部主機連線至自己的FTP Server下載檔案，並點選Status中的RRD Graphs，以便觀察流量圖。如圖30所示，從中可以發現，在WAN和OPT1的流量圖中同時均有out-pass的流量，此結果代表by packet的負載平衡確實已經生效。

▲圖30 負載平衡流量圖。

結語

在配置固定IP的光纖線路單價仍高的此時，負載平衡的使用不啻在頻寬提升及費用降低兩難之間出現一道曙光。但過於昂貴的設備及不易設定的Linux（FreeBSD）又讓這一道曙光頓時黯淡不少。所幸pfSense適時出現，讓負載平衡成為一個唾手可得且易於實現的目標。

除了負載平衡外，pfSense也具有足以取代防火牆及VPN Server的功能。但不可諱言地，pfSense相較於目前市場上廣受歡迎的UTM，仍有著較不易親近、可能較不穩定及較耗電的問題。要如何取捨，端賴網管和MIS人員謹慎地取捨。

原文出處：徒手打造pfSense負載平衡器 - 專題報導 - 網管人NetAdmin

回覆

冷日
(冷日)

發表時間：2016/12/7 15:49