🔧 Configurazione Base pfSense

🌐 Configurazione Interfacce di Rete

La corretta configurazione delle interfacce di rete è il fondamento di un firewall pfSense funzionante. Ogni interfaccia rappresenta una connessione fisica (porta Ethernet) o virtuale (VLAN) che separa diversi segmenti di rete. In questa sezione approfondiremo come configurare, gestire e ottimizzare le interfacce per creare un'architettura di rete sicura e performante.

🔍 Comprensione delle Interfacce

pfSense assegna automaticamente le prime due interfacce rilevate durante l'installazione:

• WAN (Wide Area Network): Interfaccia connessa a Internet o alla rete esterna
• LAN (Local Area Network): Interfaccia connessa alla rete interna/locale

Oltre a queste, puoi aggiungere interfacce aggiuntive chiamate OPT (Optional) che possono essere configurate per scopi specifici come DMZ, reti guest, IoT, management, ecc.

Screenshot della configurazione interfacce WAN, LAN e DMZ con assegnazione IP e descrizioni

📋 Assegnazione Interfacce

Per aggiungere o modificare l'assegnazione delle interfacce:

1. Accedi alla sezione Interfaces
   Vai in Interfaces → Assignments
   Vedrai tutte le schede di rete fisiche disponibili
2. Identifica le schede di rete
   pfSense mostra le interfacce con i loro nomi di sistema (es: igb0, em0, re0)
   Se hai dubbi su quale porta fisica corrisponde a quale nome, usa il pulsante "Toggle MAC address display" per vedere gli indirizzi MAC
3. Aggiungi nuova interfaccia
   Nel menu a tendina "Available network ports", seleziona la scheda di rete
   Clicca + Add
   L'interfaccia verrà aggiunta come OPT1, OPT2, ecc.
4. Configura la nuova interfaccia
   Clicca sul nome della nuova interfaccia (es: OPT1)
   Si aprirà la pagina di configurazione dettagliata

⚙️ Configurazione Dettagliata Interfaccia

Per ogni interfaccia, puoi configurare numerosi parametri. Ecco i più importanti:

🔹 Abilitazione e Descrizione

☑ Enable interface

Description: DMZ
(Nome significativo - apparirà ovunque nell'interfaccia)

🔹 Configurazione IPv4

Hai diverse opzioni per la configurazione IP:

Esempio configurazione LAN statica:

IPv4 Configuration Type: Static IPv4

IPv4 Address: 192.168.1.1 / 24
(Subnet mask /24 = 255.255.255.0 = 254 host utilizzabili)

Upstream Gateway: None
(La LAN non ha gateway - è pfSense il gateway!)

Esempio configurazione DMZ statica:

IPv4 Configuration Type: Static IPv4

IPv4 Address: 10.0.10.1 / 24
(Rete separata per server pubblici)

Upstream Gateway: None

🔹 Opzioni Avanzate

Scorri in basso nella pagina di configurazione interfaccia per opzioni aggiuntive:

• MAC Address: Puoi cambiare il MAC address (MAC spoofing) - utile se il provider ISP lega la connessione al MAC del vecchio router
• MTU: Maximum Transmission Unit (default 1500) - cambia solo se sai cosa stai facendo
• MSS: Maximum Segment Size - per VPN over WAN con MTU issues
• Speed and Duplex: Solitamente "Autoselect" - forza manualmente solo se hai problemi

Configurazione completa interfaccia LAN con regole firewall associate

🏷️ VLAN (Virtual LAN)

Le VLAN (Virtual Local Area Network) permettono di segmentare logicamente una singola interfaccia fisica in multiple reti virtuali. Questo è estremamente utile quando hai poche porte fisiche ma vuoi creare molte reti separate.

🎯 Perché Usare le VLAN?

📐 Architettura VLAN Tipica

pfSense (1 porta fisica: igb0)
    │
    ├─ VLAN 1   (Untagged)  → LAN principale (192.168.1.0/24)
    ├─ VLAN 10  (Tagged)    → WiFi Guest (10.0.10.0/24)
    ├─ VLAN 20  (Tagged)    → VoIP (10.0.20.0/24)
    ├─ VLAN 30  (Tagged)    → IoT Devices (10.0.30.0/24)
    ├─ VLAN 40  (Tagged)    → Servers/DMZ (10.0.40.0/24)
    └─ VLAN 99  (Tagged)    → Management (10.0.99.0/24)
    
    ↓ Cavo Ethernet (trunk 802.1Q)
    
Switch Managed
    ├─ Porta 1-8:   VLAN 1  (Untagged) → PC/Stampanti LAN
    ├─ Porta 9-12:  VLAN 10 (Untagged) → Access Point Guest
    ├─ Porta 13-16: VLAN 20 (Untagged) → Telefoni VoIP
    ├─ Porta 17-20: VLAN 30 (Untagged) → Smart TV, Alexa, IoT
    └─ Porta 21-24: VLAN 40 (Untagged) → Server DMZ

⚙️ Configurazione VLAN su pfSense

1. Crea la VLAN
   Vai in Interfaces → Assignments → VLANs
   Clicca + Add
2. Configura parametri VLAN
   

   Parent Interface: igb0 (interfaccia fisica su cui creare VLAN)
   VLAN Tag: 10 (numero VLAN, da 1 a 4094)
   VLAN Priority: (opzionale - QoS 802.1p)
   Description: GUEST_WIFI (nome descrittivo)

   Clicca Save
3. Assegna la VLAN come interfaccia
   Torna in Interfaces → Assignments
   Nel menu "Available network ports" seleziona la VLAN appena creata (es: VLAN 10 on igb0)
   Clicca + Add
   La VLAN apparirà come OPT1, OPT2, ecc.
4. Configura l'interfaccia VLAN
   Clicca sul nome dell'interfaccia (es: OPT1)
   

   ☑ Enable interface
   Description: GUEST_WIFI
   IPv4 Configuration Type: Static IPv4
   IPv4 Address: 10.0.10.1 / 24

   Clicca Save → Apply Changes
5. Ripeti per ogni VLAN
   Crea VLAN 20 (VoIP), VLAN 30 (IoT), ecc. seguendo gli stessi passaggi

🔧 Configurazione Switch per VLAN

Lo switch managed deve essere configurato correttamente per far funzionare le VLAN. Ecco un esempio generico (varia per brand):

# Porta verso pfSense (Trunk - tutte le VLAN tagged)
Port 1: Mode=Trunk, Allowed VLANs=1,10,20,30,40,99

# Porte verso client LAN (Access - VLAN 1)
Port 2-8: Mode=Access, VLAN=1 (Untagged)

# Porte verso Access Point Guest WiFi (Access - VLAN 10)
Port 9-12: Mode=Access, VLAN=10 (Untagged)

# Porte verso telefoni VoIP (Access - VLAN 20)
Port 13-16: Mode=Access, VLAN=20 (Untagged)

# Porte verso dispositivi IoT (Access - VLAN 30)
Port 17-20: Mode=Access, VLAN=30 (Untagged)

🏷️ Personalizzazione Sistema

📝 Cambio Hostname

L'hostname è il nome del firewall che apparirà nei log, prompt della console, certificati SSL. È importante personalizzarlo per identificare il sistema.

Modifica hostname e domain per personalizzare l'identificazione del firewall

1. Accedi alle impostazioni generali
   Vai in System → General Setup
2. Modifica hostname e domain
   

   Hostname: firewall-sede-milano
   (Solo lettere, numeri, trattini - NO spazi)
   
   Domain: azienda.local
   (Tuo dominio interno)
   
   Risultato completo: firewall-sede-milano.azienda.local

3. Salva modifiche
   Scroll down → Save
   Le modifiche sono immediate

🔐 Cambio Password Amministratore

CRITICO PER LA SICUREZZA! La password di default "pfsense" è nota pubblicamente e rappresenta un grave rischio di sicurezza.

Modifica password dell'utente admin - FONDAMENTALE per la sicurezza

1. Accedi a User Manager
   Vai in System → User Manager
2. Modifica utente admin
   Nella lista utenti, clicca sull'icona ✏️ (edit) accanto a "admin"
3. Inserisci nuova password
   

   Password: ●●●●●●●●●●●●●●●●
   Confirm Password: ●●●●●●●●●●●●●●●●
   
   Requisiti password sicura:
   ✅ Minimo 12-16 caratteri
   ✅ Maiuscole e minuscole
   ✅ Numeri
   ✅ Simboli speciali (!@#$%^&*)
   ✅ NON parole del dizionario
   ✅ NON dati personali (date nascita, nomi, etc.)
   
   Esempio: Pf$3ns3!Fw#2025Milano

4. Salva e testa
   Clicca Save
   Esci e rieffettua login con la nuova password per verificare

⏰ Configurazione Time Zone e NTP

La sincronizzazione temporale corretta è essenziale per:

• ✅ Log accurati e correlabili
• ✅ Certificati SSL/TLS (validità temporale)
• ✅ VPN (autenticazione time-based)
• ✅ Scheduler e regole temporizzate
• ✅ Audit e compliance

Vai in System → General Setup:

Timezone: Europe/Rome
(Seleziona la tua timezone dalla lista)

Timeservers: 
0.pfsense.pool.ntp.org
1.pfsense.pool.ntp.org
2.pfsense.pool.ntp.org

Alternative (se problemi):
- time.google.com (Google)
- time.cloudflare.com (Cloudflare)
- ntp1.inrim.it (INRIM - Istituto Nazionale Ricerca Metrologica Italia)

Per verificare la sincronizzazione NTP:

Status → NTP

Dovresti vedere:
✅ Clock Synchronized: Yes
✅ Stratum: 2-4 (basso = migliore)
✅ Offset: < 100ms (basso = migliore sync)

🌍 DNS e Gateway

🔍 Configurazione DNS Server

I server DNS configurati in System → General Setup sono usati da pfSense stesso per risolvere nomi (es: aggiornamenti, package, validazione certificati).

DNS Server 1: 8.8.8.8 (Google)
DNS Server 2: 8.8.4.4 (Google Backup)
DNS Server 3: 1.1.1.1 (Cloudflare)
DNS Server 4: 1.0.0.1 (Cloudflare Backup)

Alternative popolari:
- 9.9.9.9 / 149.112.112.112 (Quad9 - security)
- 208.67.222.222 / 208.67.220.220 (OpenDNS)

☐ DNS Server Override
(Deseleziona se vuoi che pfSense usi questi DNS e non quelli del DHCP WAN)

🚪 Gateway Management

Un gateway è il "punto di uscita" verso un'altra rete. Normalmente, la WAN ha un gateway (il router dell'ISP).

Vai in System → Routing → Gateways per vedere/modificare i gateway:

Name: WAN_DHCP
Interface: WAN
Gateway: 192.168.0.1 (IP del router ISP)
Monitor IP: 8.8.8.8 (IP usato per verificare connettività)
Description: ISP Gateway

Il Monitor IP è importante: pfSense fa ping a questo IP per verificare se il gateway è "up". Se il ping fallisce, il gateway viene marcato come "down".

🔒 Hardening Sicurezza Base

Oltre al cambio password, ci sono altre configurazioni essenziali per rendere pfSense più sicuro.

🔐 Accesso WebGUI Solo HTTPS

1. Abilita HTTPS
   Vai in System → Advanced → Admin Access
2. Configura parametri HTTPS
   

   Protocol: HTTPS
   TCP Port: 443 (standard)
   Alternative: 8443 (non-standard per "security by obscurity")
   
   SSL/TLS Certificate: webConfigurator default (self-signed)
   
   ☑ HTTP Redirect: Redirect HTTP to HTTPS
   (Forza sempre HTTPS anche se digiti http://)

3. Salva e riconnetti
   Save → Il browser ti riconnette su HTTPS
   Accetta il warning del certificato self-signed (è normale)

🚫 Disabilita Accesso WAN alla WebGUI

Verifica in System → Advanced → Admin Access:

WebGUI Listen Interfaces:
☑ LAN
☐ WAN  ← DEVE ESSERE DESELEZIONATO!
☑ DMZ (se vuoi accesso da DMZ)

Alternative sicura per accesso remoto:
✅ VPN (OpenVPN/IPsec) → poi accedi WebGUI dalla LAN
✅ SSH Tunnel (avanzato)
❌ NEVER direct WAN access!

⏱️ Auto Logout

Configura logout automatico per sessioni inattive:

System → Advanced → Admin Access

Session Timeout: 30 (minuti)

Consigliato:
- Ufficio con accesso fisico: 30-60 minuti
- Ambiente ad alta sicurezza: 10-15 minuti
- Server remoto: 20-30 minuti

🔌 SSH: Quando e Come

SSH permette accesso shell remoto a pfSense. Va usato con cautela:

System → Advanced → Secure Shell

☑ Enable Secure Shell
(Abilita SOLO quando serve, poi disabilita!)

SSH Port: 22 (o custom tipo 2222)
Listen Interfaces: LAN (NEVER WAN!)

Authentication Method:
☑ Disable password authentication for Secure Shell (SSH)
(Usa SOLO key-based auth - più sicuro)

☐ Permit root login
(Disabilita - usa utenti normali + sudo)

📊 Verifica Configurazione

Prima di procedere, verifica che tutto sia configurato correttamente:

✅ Interfacce configurate (WAN, LAN, eventuali DMZ/OPT)
✅ IP statici assegnati alle LAN/DMZ
✅ VLAN create e assegnate (se usate)
✅ Hostname e domain personalizzati
✅ Password admin cambiata (FORTE!)
✅ Timezone configurato correttamente
✅ NTP sincronizzato (Status → NTP)
✅ DNS server configurati
✅ WebGUI su HTTPS
✅ WebGUI NON accessibile da WAN
✅ Auto logout configurato
✅ SSH disabilitato (o limitato a LAN con key-auth)

Test connettività:
✅ Client LAN ottiene IP DHCP
✅ Client LAN raggiunge Internet
✅ Ping a 8.8.8.8 funziona
✅ DNS risolve (ping google.com)
✅ WebGUI accessibile via HTTPS

🎯 Prossimi Passi

Ottimo lavoro! Hai completato la configurazione base di pfSense. Il sistema è ora sicuro, personalizzato e pronto per configurazioni avanzate.

Nel prossimo capitolo approfondiremo la configurazione del firewall: creeremo regole avanzate, aliases, NAT, port forwarding e impareremo a proteggere efficacemente la rete.

🛡️ Prossimo: Configurazione Firewall →