🛡️ Configurazione Firewall

🔥 Il Firewall di pfSense: Concetti Fondamentali

Il firewall è il cuore di pfSense. È la componente che decide quali pacchetti possono passare attraverso il sistema e quali devono essere bloccati. Comprendere come funziona il firewall di pfSense è essenziale per configurare una rete sicura ed efficiente.

🧠 Stateful Packet Filtering

pfSense utilizza un firewall stateful, basato su pf (Packet Filter) di OpenBSD. A differenza dei firewall stateless che esaminano ogni pacchetto in isolamento, un firewall stateful:

• ✅ Traccia lo stato delle connessioni - Ricorda quali connessioni sono state aperte dai client interni
• ✅ Permette automaticamente il traffico di ritorno - Se un client interno fa una richiesta HTTP, la risposta è automaticamente permessa
• ✅ Previene spoofing e attacchi - Blocca pacchetti che non appartengono a connessioni valide
• ✅ Più efficiente - Richiede meno regole rispetto ai firewall stateless

📋 Ordine di Valutazione delle Regole

Le regole firewall di pfSense sono valutate dall'alto verso il basso, e si applica la prima regola che corrisponde (first match wins). Questo è cruciale da capire!

Pacchetto in arrivo: 192.168.1.50 → 8.8.8.8:53 (DNS)

Regole LAN (dall'alto verso il basso):
1. ❌ Block: 192.168.1.50 → Facebook       → Non corrisponde (dest diversa)
2. ❌ Allow: 192.168.1.100 → any          → Non corrisponde (source diversa)
3. ✅ Allow: 192.168.1.0/24 → any         → CORRISPONDE! → Pacchetto PERMESSO
4.    Allow: 192.168.1.50 → any          → MAI VALUTATA (già match sopra)
5.    Block: any → any                    → MAI VALUTATA

Risultato: Pacchetto PERMESSO (regola 3)

🎯 Default Deny

pfSense applica il principio di "default deny": ciò che non è esplicitamente permesso è automaticamente bloccato. Questo è visibile come regola invisibile finale:

# Alla fine di ogni interfaccia, pfSense ha una regola implicita:
Block: any → any (non loggata per default)

Questo significa che DEVI creare regole esplicite per permettere traffico.

🎨 Creazione Regole Firewall

Creiamo la prima regola passo-passo per capire ogni singolo parametro disponibile.

📝 Esempio 1: Permettere Accesso a Internet dalla LAN

1. Accedi alle regole LAN
   Vai in Firewall → Rules → LAN
   Vedrai le regole esistenti (probabilmente già presente una regola "Default allow LAN to any")
2. Aggiungi nuova regola
   Clicca il pulsante ↑ Add (in alto) o ↓ Add (in basso)
   Nota: "Add top" aggiunge in cima, "Add bottom" in fondo
3. Configura azione
   

   Action: Pass (permetti il traffico)
   Altre opzioni:
   - Block: Blocca e invia reset (TCP) o ICMP unreachable (UDP)
   - Reject: Come Block ma più "educato" (invia reset/unreachable)
   
   Consiglio: Usa "Pass" per permettere, "Block" per bloccare silenziosamente

4. Disabilita/Abilita
   ☑ Disabled: Deseleziona (vogliamo la regola attiva)
   Seleziona solo se vuoi disabilitare temporaneamente la regola senza cancellarla
5. Interfaccia
   Interface: LAN
   Questa regola si applica al traffico che ENTRA nell'interfaccia LAN
6. Address Family
   Address Family: IPv4 (o IPv6, o IPv4+IPv6)
   Per la maggior parte dei casi, IPv4 è sufficiente
7. Protocollo
   Protocol: any (permetti TCP, UDP, ICMP, etc.)
   

   💡 Opzioni Protocollo

   • TCP: Web (HTTP/HTTPS), Email (SMTP/IMAP), SSH, FTP
   • UDP: DNS, VoIP, Gaming, Streaming video
   • ICMP: Ping, traceroute
   • any: Tutti i protocolli (più comune)
8. Source (Sorgente)
   

   Source: LAN net (192.168.1.0/24 - tutta la rete LAN)
   
   Altre opzioni comuni:
   - any: Qualsiasi sorgente
   - Single host or alias: Singolo IP (es: 192.168.1.50)
   - Network: Subnet specifica (es: 192.168.1.0/28)
   - LAN address: L'IP di pfSense sulla LAN
   - (alias name): Gruppo di IP predefinito

9. Destination (Destinazione)
   

   Destination: any (qualsiasi destinazione - Internet incluso)
   
   ☐ not: Inverte la logica (es: "not 192.168.1.0/24" = tutto tranne LAN)

10. Destination Port Range
    From: any
    To: any
    Permetti qualsiasi porta (HTTP, HTTPS, DNS, etc.)
11. Descrizione
    Description: Permetti LAN a Internet
    Usa descrizioni chiare - apparirà nella lista regole!
12. Salva
    Clicca Save → La regola appare nella lista
    Clicca Apply Changes (banner rosso in alto)
    ✅ Regola attiva immediatamente!

Esempio di regole firewall configurate sull'interfaccia WAN

📝 Esempio 2: Bloccare Facebook dalla LAN

Scenario: Vuoi bloccare l'accesso a Facebook per tutti gli utenti LAN durante l'orario lavorativo.

1. Crea alias per Facebook
   (Vedremo gli alias dettagliatamente dopo, per ora segui)
   Firewall → Aliases → IP → Add
   

   Name: Facebook_IPs
   Description: Indirizzi IP Facebook
   Type: Host(s)
   IP Address: 
     31.13.64.0/18
     66.220.144.0/20
     69.63.176.0/20
     157.240.0.0/16
   (Lista IP di Facebook - aggiorna periodicamente)

2. Crea regola di blocco
   Firewall → Rules → LAN → Add (in CIMA!)
   

   Action: Block
   Interface: LAN
   Protocol: any
   Source: LAN net
   Destination: Single host or alias → Facebook_IPs
   Description: Blocca accesso Facebook
   
   IMPORTANTE: Questa regola deve essere SOPRA la regola "Allow LAN to any"!

3. Salva e applica
   Save → Apply Changes
   ✅ Facebook ora bloccato per tutta la LAN!

📋 Firewall Aliases

Gli Aliases sono uno strumento potentissimo che semplifica enormemente la gestione delle regole firewall. Un alias è un nome simbolico che rappresenta uno o più indirizzi IP, reti, porte, o URL.

🎯 Perché Usare gli Aliases?

⚙️ Tipi di Aliases

📝 Creazione Alias: Esempi Pratici

Interfaccia di creazione alias con campi per nome, tipo e indirizzi IP

Esempio 1: Alias Host - Server Aziendali

1. Apri gestione Aliases
   Vai in Firewall → Aliases → IP
2. Aggiungi nuovo alias
   Clicca + Add
3. Configura alias
   

   Name: Servers_Critical
   (Solo lettere, numeri, underscore - NO spazi!)
   
   Description: Server critici aziendali
   
   Type: Host(s)
   
   Host(s):
   IP Address 1: 192.168.1.10  | Description: Mail Server
   IP Address 2: 192.168.1.11  | Description: File Server
   IP Address 3: 192.168.1.12  | Description: Database Server
   IP Address 4: 10.0.10.5     | Description: Web Server DMZ
   
   (Clicca "Add Host" per aggiungere più righe)

4. Salva
   Save → Apply Changes

Elenco completo degli aliases IP configurati nel firewall

Esempio 2: Alias Port - Servizi Custom

Vai in Firewall → Aliases → Ports:

Name: VoIP_Ports
Description: Porte per telefonia VoIP
Type: Port(s)

Ports:
5060  | SIP signaling
5061  | SIP TLS
10000:20000 | RTP media (range)

Uso: Ora puoi usare "VoIP_Ports" nelle regole invece di scrivere tutte le porte ogni volta!

Esempio 3: Alias URL - Blocklist Automatiche

Potentissimo! pfSense scarica automaticamente liste IP da URL e le aggiorna periodicamente.

Name: Malware_IPs
Description: IP malevoli da Spamhaus
Type: URL (IPs)

URL: https://www.spamhaus.org/drop/drop.txt
Update Frequency: 1 day

Cosa succede:
- pfSense scarica la lista ogni giorno
- La usa automaticamente nelle regole che referenziano "Malware_IPs"
- Lista sempre aggiornata senza intervento manuale!

🔄 Uso degli Aliases nelle Regole

Una volta creato un alias, lo usi nelle regole selezionandolo dal menu:

Firewall → Rules → LAN → Add

Source: Single host or alias → (seleziona) Servers_Critical
Destination: any
Port: VoIP_Ports

Descrizione: Permetti server critici a usare VoIP

Vantaggio: Se domani aggiungi un server, basta modificare l'alias "Servers_Critical" 
e la regola si aggiorna automaticamente!

🌐 NAT (Network Address Translation)

Il NAT è la funzionalità che permette a più dispositivi di una rete privata (LAN) di condividere un singolo indirizzo IP pubblico (WAN). pfSense gestisce tre tipi principali di NAT.

🔹 1. Outbound NAT (NAT in Uscita)

Traduce gli IP privati della LAN nell'IP pubblico della WAN quando i client accedono a Internet.

Client LAN: 192.168.1.50 → Internet (google.com)

PRIMA del NAT:
Source: 192.168.1.50:54321 → Dest: 172.217.16.142:443

DOPO il NAT (fatto da pfSense WAN):
Source: 203.0.113.5:12345 → Dest: 172.217.16.142:443
         └─ IP pubblico WAN  └─ Porta random assegnata

Google risponde a 203.0.113.5:12345
pfSense riconosce la connessione e rimanda a 192.168.1.50:54321

Configurazione: Firewall → NAT → Outbound

Mode:

⚪ Automatic outbound NAT (default)
   - pfSense gestisce tutto automaticamente
   - Consigliato per 95% degli utenti
   
⚪ Hybrid Outbound NAT
   - Automatic + regole manuali aggiuntive
   - Utile per eccezioni specifiche
   
⚪ Manual Outbound NAT
   - Controllo totale, tutte regole manuali
   - Solo per scenari molto avanzati

🔹 2. Port Forwarding (NAT in Entrata)

Permette di rendere accessibili da Internet servizi ospitati nella LAN/DMZ.

Scenario Tipico: Hai un server web nella DMZ (10.0.10.10) e vuoi renderlo raggiungibile da Internet sulla porta 443.

Creazione regola NAT/Port Forward per esporre servizio interno

1. Accedi a Port Forward
   Vai in Firewall → NAT → Port Forward
2. Aggiungi regola
   Clicca ↑ Add
3. Configura Port Forward
   

   Interface: WAN
   
   Protocol: TCP
   
   Destination: WAN address (l'IP pubblico della WAN)
   
   Destination port range:
   From: HTTPS (443)
   To: HTTPS (443)
   
   Redirect target IP: 10.0.10.10 (IP del server interno)
   
   Redirect target port: HTTPS (443)
   (Puoi cambiare porta: es. WAN:443 → LAN:8443)
   
   Description: Port Forward HTTPS a Web Server DMZ
   
   ☑ Filter rule association: Add associated filter rule
   (pfSense crea automaticamente la regola firewall WAN necessaria!)

4. Salva e applica
   Save → Apply Changes
5. Verifica regola firewall creata
   Vai in Firewall → Rules → WAN
   Dovresti vedere una nuova regola automatica:
   NAT HTTPS → 10.0.10.10

🔹 3. NAT 1:1 (One-to-One NAT)

Associa un IP pubblico dedicato a un IP privato in modo bidirezionale. Utile quando hai più IP pubblici.

Scenario: Hai 2 IP pubblici e vuoi dedicare il secondo al mail server

IP Pubblico WAN: 203.0.113.5 (principale)
IP Pubblico Extra: 203.0.113.6 (dedicato mail server)
Mail Server LAN: 192.168.1.10

Firewall → NAT → 1:1

Interface: WAN
External subnet IP: 203.0.113.6 / 32
Internal IP: 192.168.1.10
Description: Mail Server dedicato

Risultato:
- Tutto il traffico verso 203.0.113.6 va a 192.168.1.10
- Tutto il traffico DA 192.168.1.10 esce con IP 203.0.113.6
- Bidirezionale e automatico per tutte le porte

✅ Best Practices Firewall

🔒 Sicurezza

• ✅ Principio del minimo privilegio: Permetti solo ciò che è strettamente necessario
• ✅ Regole specifiche prima: Blocchi specifici in alto, permessi generici in basso
• ✅ Descrizioni chiare: Ogni regola deve avere description comprensibile
• ✅ Log regole critiche: Abilita logging per regole di blocco importanti
• ✅ Review periodica: Rivedi le regole ogni 3-6 mesi, elimina obsolete
• ✅ Test prima di produzione: Testa regole in orari a basso traffico
• ✅ Mai "allow any any" su WAN: Estremamente pericoloso!

📋 Organizzazione

• ✅ Usa aliases abbondantemente: Semplifica manutenzione
• ✅ Naming convention: Es. "BLOCK_", "ALLOW_", "FWD_" come prefissi
• ✅ Separa logicamente: Usa separator (Firewall → Rules → Add Separator)
• ✅ Documenta eccezioni: Regole "strane" devono avere spiegazione dettagliata

⚡ Performance

• ✅ Regole usate spesso in alto: Meno confronti = più veloce
• ✅ Usa aliases invece di molteplici regole: Più efficiente
• ✅ Evita regole ridondanti: Pulisci regole duplicate
• ✅ Monitora tabella stati: Status → States (troppi stati = problema)

🔍 Debugging Regole Firewall

📊 Visualizzare Stati Attivi

Vai in Diagnostics → States per vedere tutte le connessioni attive tracciate dal firewall.

tcp 192.168.1.100:54321 (LAN) → 172.217.16.142:443 (WAN) ESTABLISHED
udp 192.168.1.50:53124 (LAN) → 8.8.8.8:53 (WAN) MULTIPLE:SINGLE
tcp 10.0.10.10:443 (DMZ) ← 203.0.113.100:51234 (WAN) ESTABLISHED

Filtri utili:
- Filter by: 192.168.1.100 (mostra solo connessioni di questo IP)
- Interface: LAN (solo stati LAN)
- Protocol: tcp (solo TCP)

🪵 Log Firewall

Per vedere quali pacchetti vengono bloccati/permessi:

1. Abilita logging su regola
   Modifica regola → ☑ Log packets that are handled by this rule
2. Visualizza log
   Vai in Status → System Logs → Firewall
3. Analizza log
   

   Jan 3 15:30:42 LAN block 192.168.1.100:54321 → 31.13.64.1:443 (TCP:S)
                 └─┬─┘ └──┬──┘ └────────┬────────┘   └─────┬─────┘ └─┬─┘
                   │      │              │                  │         │
                Data   Intf   Sorgente:porta       Dest:porta    Flags
   
   Flags TCP comuni:
   S = SYN (inizio connessione)
   A = ACK (acknowledge)
   F = FIN (fine connessione)
   R = RST (reset)

🔧 Test Regole con Packet Capture

Per debug avanzato, cattura pacchetti in tempo reale:

1. Vai in Diagnostics → Packet Capture
2. Configura cattura:

   Interface: LAN
   Address Family: IPv4
   Protocol: any
   Host Address: 192.168.1.100 (IP da monitorare)
   Packet Length: 0 (cattura tutto)
   
   Start → Cattura pacchetti

3. Riproduci il problema (es: prova a connetterti al servizio)
4. Stop → Download PCAP → Analizza con Wireshark

🎯 Prossimi Passi

Eccellente! Ora sai configurare regole firewall avanzate, creare aliases intelligenti e gestire NAT come un professionista. Il tuo firewall pfSense è ora sicuro e ben organizzato.

Nel prossimo capitolo configureremo il DHCP Server per assegnare automaticamente IP ai client della rete con configurazioni avanzate e prenotazioni statiche.

📡 Prossimo: Configurazione DHCP →