[ Introducción ] [
Caso-Estudio
] [ Instalación ] [ Configuración base ] [ Alias ] [ NAT
] [ Reglas ] [ DNS ] [ DHCP
] [ Caudal ] [ OpenVPN
] [ Portal ]
[ OpenVPN sin DHCP
] [ spamd ]
Preparativos
Hardware empleado
Descarga de pfSense
Descarga de physdiskwrite
Grabación de la CompactFlash
Configuración inicial de
pfSense
Antes de la implantación definitiva de pfSense se tuvieron que hacer los siguientes cambios en la red:
Dividir el cableado existente en seis redes físicas. Ello se hizo pasando algunos cables más del armario secundario al armario primario, instalando más concentradores (switch) en ambos armarios y cambiando el conexionado de equipos en los armarios. No hay más de dos concentradores encadenados (tal como estaba antes de los cambios).
Adoptar DHCP en todos los ordenadores clientes. Ello se hizo activando provisionalmente DHCP en uno de los routers ADSL.
Cambiar todos los procesos por lotes (archivos BAT y CMD en Windows, scripts de shell en máquinas Unix/Linux) que empleaban direcciones IP locales, poniendo su correspondiente nombre de máquina.
Cambiar todos los puertos de impresora que estaban por dirección IP local, poniendo su correspondiente nombre de máquina.
Asegurarse que el DNS local resuelve correctamente todos los nombres de máquina.
Asegurarse que el archivo hosts de las máquinas sólo contiene la línea: 127.0.0.1 localhost. Es decir, que no se emplea para resolver nombres de máquina, excepto localhost.
Cambiar la configuración proxy de los navegadores de Internet, poniendo la configuración automática http://www.dominio.ejemplo/proxy.pac.
Deshabilitar el acceso sin hilos de todas las impresoras que tienen esta funcionalidad, dejando sólo el acceso por red cableada.
Se trata de un miniPC de FabiaTech, modelo FX5620. El equipo tiene 5 puertos Ethernet de 100 Mbit/s y un sexto de 1 Gbit/s. Puede incorporar un disco duro de 2,5" (como los que llevan los portátiles) y una Compact Flash (que actúa como disco duro). Se adquirió en Gran Bretaña, http://linitx.com/product_info.php?cPath=4&products_id=909. Pedido el domingo por la noche (pago con tarjeta de crédito) y el martes por la mañana ya llegaba (cerca de Barcelona) ... Se compró también una tarjeta Compact Flash Kingston, de 512 MByte, a un proveedor local. |
![]() |
25-junio-2009 No adquirir el modelo FX5621. Sólo funciona correctamente si se deshabilita la primera boca de 1 Gbit/s (NIC número 5 en la BIOS): forum.pfsense.org/index.php/topic,17116.0.html |
Se puede ir a la web oficial www.pfsense.org, pero hay otros repositorios con configuraciones ajustadas.
Así, en http://shopping.hacom.net/catalog/pub/pfsense/ se encuentran versiones preparadas según la unidad que reconoce pfSense para la Compact Flash y según su tamaño.
Hay dos tipos de imágenes de pfSense:
Últimas imágenes oficiales de pfSense (versión oficial con todos los parches que hayan salido):
Imágenes no-oficiales de Hacom: Hacom es una empresa californiana que ofrece distintos tipos de cortafuegos, la mayoría de ellos basados en miniPC con tarjeta Compact Flash. Las imágenes Embedded en http://shopping.hacom.net/catalog/pub/pfsense se diferencian de las oficiales por:
|
FX5620 con pfSense nos reconoce la Compact Flash como la unidad ad2 (tercer disco ATA en FreeBSD).
En uno de nuestros servidores FreeBSD hicimos:
mkdir pfSense
cd pfSense
vi fetch.sh
#!/bin/sh
fetch
http://shopping.hacom.net/catalog/pub/pfsense/pfSense-1.0.1-512-ad2.img.gz.md5
fetch http://shopping.hacom.net/catalog/pub/pfsense/pfSense-1.0.1-512-ad2.img.gz
chmod +x fetch.sh
./fetch.sh
Nota: Me gusta tener un script llamado fetch.sh porqué así sé de donde he bajado los archivos ...
Comprobamos la firma del archivo:
md5 pfSense-1.0.1-512-ad2.img.gz
cat pfSense-1.0.1-512-ad2.img.gz.md5
Pasamos la aplicación a una máquina multimedia con Windows XP que tiene un frontal para insertar toda clase de tarjetas de memoria, con el fin de poder grabar la Compact Flash.
Como que tenemos Samba/CIFS en el servidor, copiamos los archivos del servidor desde la máquina Windows, por ejemplo, a una carpeta D:\CompactFlash
Nota: Si se bajan los archivos a través de Windows, para comprobar firmas se puede emplear fsum: http://www.download.com/Fsum/3000-2248_4-10127195.html Por ejemplo, se puede crear un archivo comprueba.bat que haga lo seguiente: fsum -jm *.gz |
physdiskwrite es una pequeña utilidad que permite escribir imágenes de disco. Se la puede encontrar en:
http://m0n0.ch/wall/physdiskwrite.php
La descargamos en D:\CompactFlash y descomprimimos el archivo ZIP para obtener el EXE.
Vamos a [Inicio] [Ejecutar ...] y ejecutamos cmd (intérprete de órdenes MS-DOS)
d:
cd /compactflash
Ejecutamos:
physdiskwrite.exe pfSense-1.0.1-512-ad2.img.gz
Obtendremos una respuesta similar a:
Searching for physical
drives ...
Information for \\.\PhysicalDrive0:
...
...
Wich disk do you want to write <0..0>?
Cancelamos la ejecución mediante Ctl+C
Con ello hemos visto qué discos físicos tiene nuestra máquina.
Insertamos ahora la Compact Flash y volvemos a ejecutar:
physdiskwrite.exe pfSense-1.0.1-512-ad2.img.gz
Vemos que nos detecta un disco físico más y cambia la pregunta final:
Wich disk do you want to write <0..2>?
Indicamos pues el número de disco físico para la CompactFlash (en mi caso el 2).
El proceso de grabación empieza y dura un buen rato (media hora
aproximadamente).
¡¡¡ Cuando se
termina, hay que hacer el proceso de desconexión
segura del dispositivo Compact Flash antes de extraerla de su ranura !!!
En muchas consolas de órdenes (Windows XP incluido) escribir los primeros caracteres de los archivos y darle al tabulador sirve para que aparezca en pantalla el nombre completo del archivo. Ello evita teclearlo todo. |
En mi caso he creado un
archivo de órdenes llamado grabar.bat
que contiene la orden physdiskwrite.exe pfSense-1.0.1-512-da0.img.gz |
physdiskwrite controla automáticamente que no se puedan escribir discos de más de 2 GByte. De esta manera evita las confusiones entre el disco duro y la Compact Flash. |
Configuración inicial de pfSense
Una vez instalada la Compact Flash en el FX5620 (con el equipo sin alimentación) lo ponemos en marcha con un monitor, teclado y cable de red conectados. El cable de red lo pondremos en ETH6 (interfase a 1 Gbit/s y que pfSense reconoce como re0).
Una vez en marcha el sistema, tenemos que indicar como mínimo la LAN y la WAN:
Do you want to set up
VLANs now [y|n]? n
Enter the LAN interface name or 'a' for
auto-detection: re0
Enter the WAN interface name or 'a' for
auto-detection: rl0
Enter the
Optional 1 interface name or 'a' for auto-detection
(or nothing is finished): _
Y confirmar la operación:
LAN -> re0
WAN -> rl0
Do you want to proceed [y|n]? y
El sistema carga su configuración por defecto y presenta al final la indicación de que la LAN es 192.168.1.1 y su menú de consola.
Seleccionaremos la opción 2)Set LAN IP address de la consola para cambiar de 192.168.1.1 a 192.168.XXX.1
Enter the new LAN IP
address: 192.168.XXX.1
Subnet masks are entered as bit counts (as in CIDR
notation) in pfSense.
e.g. 255.255.255.0 = 24
255.255.0.0 = 16
255.0.0.0 = 8
Enter the new LAN subnet bit count: 24
Do you want to enable the DHCP server on LAN [y|n]?
n
Confirmando la operación se nos informará de la nueva dirección.
A partir de aquí, normalmente emplearemos el configurador web, yendo a http://192.168.XXX.1
El acceso directo a la consola del cortafuegos tiene la pega de estar configurado con el teclado inglés. En caso de querer acceder al cortafuegos vía consola siempre será más cómodo hacerlo por SSH. Este acceso sí que nos reconocerá nuestro teclado (empleando, por ejemplo, el cliente PuTTY). En [ Configuración base ] explico cómo activar el acceso por SSH.
Autor: Josep Pujadas i Jubany
© 2007. Todos los derechos reservados