Funzioni principali

Atrium include quasi tutte le funzionalità dei costosi firewall commerciali ed in molti casi ne include anche di più. Quella che segue è una lista delle funzioni attualmente disponibili nella versione pfSense 2.0.2. Tutte le funzioni che seguono sono gestibili tramite interfaccia web, senza utilizzare la riga di comando.

Questa pagina include anche la descrizione delle limitazioni che attualmente conosciamo. Dalla nostra esperienza e dall'esperienza di migliaia di utenti sappiamo molto bene cosa pfSense 2.0 può e non può fare. Qualsiasi software ha delle limitazioni. Noi ci distinguiamo da molti comunicando questo concetto. Sono benvenute tutte le persone che vorranno contribuire ad eliminare queste limitazioni. Molte di queste limitazioni sono le stesse di altri progetti open source e prodotti commerciali.

• Filtraggio da sorgente e destinazione IP, protocollo IP, porta sorgente e destinazione per TCP e UDP traffic
• Abilitazione dei limiti per connessioni simultanee su regole di base
• pfSense utilizza p0f, un'avanzata utility di rete per impronte digitali che abilita il filtraggio attraverso il sistema operativo all'inizio della connessione
• Option to log or not log traffic matching each rule
• Politiche di routing ad alta flessibilità per la selezione del gateway sulle regole di base per il bilanciamento di manda, failover, WAN multiple, backup su più ADSL, ecc…
• Possibilità di creazione Alias di gruppi di IP e nomi di IP, networks e porte. Queste caratteristiche aiutano a tenere la configurazione pulita e facile da comprendere, specialmente in configurazioni dove ci sono svariati IP pubblici e numerosi Server
• Filtraggio trasparente Layer 2. Possibilità di bridgiare interfacce e filtrare il traffico tra queste
• Normalizzazione di pacchetto. Descritto dalla documentazione di pf scrub. (Vedi documentazione). Abilitato di default. È possibile disabilitarlo se necessario
• Possibilità di disabilitare il filtraggio (firewalling) per utilizzare pfSense come puro router

• Regolazione della dimensione tabella dello stato – esistono numerose installazioni di pfSense che usano diverse centinaia di migliaia di stati. Di default la tabella di stato varia in funzione della RAM installata nel sistema, ma può essere aumentata in tempo reale alla dimensione desiderata. Ciascuno stato occupa approssimativamente 1 KB di RAM, quindi questo parametro va tenuto a mente quando si va a dimensionare la memoria.

• Regole di base:
  • Limiti di connessioni simultanee dei client
  • Limiti dello stato per host
  • Limiti di nuove connessioni al secondo
  • Definire lo stato del timeout
  • Definire il tipo di stato

• Tipi di stato – pfSense offre numerose opzioni per la gestione dello stato
  • Keep state – Funziona con tutti i protocolli. Di default su tutte le regole
  • Modulate state – Lavora solo con TCP. pfSense genererà dei ISNs (Initial Sequence Numbers) per conto dell’host
  • Synproxy state – i Proxy iniziano le connessioni TCP per aiutare i server da spoofed TCP SYN floods
  • None – Non viene tenuta nessuna voce sullo stato

• Opzioni di ottimizzazione della tabella di stato – pfSense offre quattro stati per l’ottimizzazione della tabella di stato
  • Normale – default
  • Hight latency – usata per links ad alta latenza, come collegamenti satellitari
  • Aggressive – scadenza dello stato di idle più veloce. Più efficiente usando più risorse hardware, ma può eliminare connessioni corrette
  • Conservative – Cerca di evitare la cancellazione di connessioni corrette a scapito di un maggior utilizzo della CPU e RAM

• Il Port forwards include un ranges e uso di IP pubblici multipli
• NAT 1:1 per IP individuali o intere subnet
• Outband NAT
  • Impostato di default, tutto il traffico in uscita verso l’IP della WAN. In configurazioni con WAN multiple, verrà usato il traffico in uscita all’IP dell’interfaccia WAN
  • Advanced Outbound NAT
• NAT Reflection – in qualche configurazione, NAT Reflection è utilizzato per servizi che possono accedere con IP pubblici da reti interne

• Utilizzo della CPU
• Traffico totale
• Stato del firewall
• Traffico individuale sulle interfacce
• Packets per second rates per tutte le interfacce
• Tempo di risposta al ping del gateway dell’interfaccia WAN
• Code di traffic shaper sul sistema se il traffic shaper è abilitato

• DynDNS
• DHS
• DNSexit
• DyNS
• EasyDNS
• FreeDNS
• HE.net
• Loopia
• Namecheap
• No-IP
• ODS.org
• OpenDNS
• ZoneEdit

• Connessioni massime concorrenti - Limita il numero delle connessioni concorrenti per ciascun IP client. Questa funzionalità previene gli attacchi DOS
• Idle timeout – Disconnette i client che non effettuano connessioni per più di un certo numero di minuti
• Hard timeout – Forza la disconnessione dei client connessi per più di un numero definito di minuti
• Pop up di logon – Opzione di pop up della finestra con pulsante di disconnessione
• URL Rediretcion – dopo l’autenticazione gli utenti possono essere rediretti verso una pagina di default definita
• MAC Filtering – di default pfSense usa il filtraggio indirizzi MAC
• Opzioni di autenticazione – ci sono tre metodi di autenticazione
  • Nessuna autenticazione: abilita la navigazione senza l’inserimento di nessun dato
  • Utenti locali – il database degli utenti locali può essere configurato e usato per l’autenticazione
  • Autenticazione RADIUS – Questo è il metodo prediletto da aziende, enti ed ISP. Può essere usato con l’autenticazione di Microsoft Active Directory e numerosi altri server RADIUS
• Capacità di RADIUS
  • Forzare la re-autenticazione
  • Abilitazione all’aggiornamento degli account
  • Autenticazione MAC RADIUS abilita il Captive Portal all’autenticazione dei client usando il MAC address e username e password
  • Accetta configurazioni ridondanti di RADIUS Server
• http e HTTPS – La pagina del portale può essere configurata sia in http che in https
• Pass-through MAC and IP addresses – Indirizzi MAC e IP possono essere inseriti in una white list bypassando il portale
• File manager – Questo permette di caricare delle immagini che possono essere utilizzate nella pagina iniziale del captive portal