🔍 Troubleshooting & Manutenzione

Step 1: Verifica WAN UP
Dashboard → Interface WAN

WAN Status: down ❌
→ Problema fisico/ISP
  - Check cavo connesso
  - Riavvia modem ISP
  - Verifica luci modem (sync OK?)
  - Contatta ISP

WAN Status: up ✅, IP: 0.0.0.0 ❌
→ Problema DHCP/PPPoE
  - Se DHCP: Status → Interfaces → Release/Renew
  - Se PPPoE: Check username/password
  - Log sistema per errori auth

WAN Status: up ✅, IP: 192.168.0.100 ✅
→ WAN OK, problema altrove (continua Step 2)

Step 2: Verifica Gateway
Status → Gateways

Gateway: Offline ❌
→ Routing issue
  - Ping gateway manualmente: Diagnostics → Ping → Gateway IP
  - Se fallisce: problema ISP o routing
  - Check default gateway configurato correttamente

Gateway: Online ✅, Packet Loss >10% ⚠️
→ Linea instabile
  - Verifica qualità linea con ISP
  - Possibile saturazione banda (check Traffic Graphs)

Gateway: Online ✅, Latency <50ms ✅
→ Gateway OK (continua Step 3)

Step 3: Test Connettività Internet
Diagnostics → Ping

Ping 8.8.8.8 (Google DNS):
❌ Fallisce → Problema routing/firewall
  - Check regole firewall WAN outbound
  - Verifica NAT outbound enabled
  
✅ Funziona → Connettività IP OK (continua Step 4)

Step 4: Test DNS
Diagnostics → DNS Lookup → google.com

❌ Fallisce → Problema DNS
  - Check DNS server configurati (System → General)
  - Test DNS esterni: 8.8.8.8, 1.1.1.1
  - Verifica DNS Resolver running (Status → Services)
  
✅ Funziona → DNS OK

Step 5: Test da Client
Dal PC client (non pfSense):

ping 192.168.1.1 (gateway LAN)
❌ → Problema LAN/client
  - Check IP client (DHCP lease?)
  - Check cavo/WiFi client
  
✅ → LAN OK

ping 8.8.8.8
❌ → Problema regole firewall LAN
  - Firewall → Rules → LAN
  - Verifica regola "Allow LAN to any"
  
✅ → Routing OK

nslookup google.com
❌ → Client usa DNS sbagliati
  - Check configurazione DNS client
  - Verifica DHCP server fornisce DNS pfSense
  
✅ → Tutto funziona!

Conclusione possibili:
Se tutti test OK ma "internet non funziona":
→ Problema applicazione specifica (browser cache, proxy, etc.)
→ Non è problema pfSense!

Sintomo: Servizio specifico non accessibile

Step 1: Verifica log firewall
Status → System Logs → Firewall

Filtro per IP/porta problema:
Cerca blocchi recenti del traffico

Esempio log:
Jan 3 15:30:42 LAN block 192.168.1.100:54321 → 203.0.113.50:443

Interpretazione:
- Interface: LAN
- Action: block
- Source: 192.168.1.100 (client interno)
- Destination: 203.0.113.50:443 (server esterno HTTPS)

Step 2: Identifica regola responsabile
Il log NON dice quale regola ha bloccato (bug pfSense)
Ma sai interfaccia (LAN) e direzione (outbound)

Firewall → Rules → LAN:
Esamina regole dall'alto verso il basso
Trova prima regola che matcha questo traffico

Step 3: Fix regola

Caso A: Regola block troppo generica
Regola: Block LAN net → any
→ Troppo aggressiva! Modifica o rimuovi

Caso B: Manca regola allow
Nessuna regola permette questo traffico
→ Aggiungi regola specifica allow SOPRA il block

Caso C: Ordine regole sbagliato
Regola allow SOTTO regola block
→ Riordina: drag & drop allow SOPRA block

Step 4: Test e verifica log
- Riprova connessione
- Check log firewall
- Dovrebbe apparire "pass" invece di "block"
- Se ancora blocco: ripeti analisi

Sintomo: Client ottiene 169.254.x.x (APIPA) invece di IP DHCP

Step 1: Verifica DHCP server attivo
Status → Services

DHCP Server: stopped ❌
→ Avvia servizio
  Services → DHCP Server → LAN → Enable → Save
  
DHCP Server: running ✅
→ Servizio OK (continua)

Step 2: Verifica configurazione DHCP
Services → DHCP Server → LAN

Check:
☑ Enable DHCP server ← MUST
Range: 192.168.1.100 - 192.168.1.200
Gateway: 192.168.1.1 (default OK se vuoto)

Errori comuni:
❌ Range fuori subnet (es: range 192.168.2.x ma LAN è 192.168.1.x)
❌ Range overlapping static IP
❌ Pool esaurito (tutti IP assegnati)

Step 3: Check pool disponibili
Status → DHCP Leases

Count IP leases attivi:
Se 100 lease e range è 100-200 (101 IP totali)
→ Pool quasi esaurito!
→ Espandi range o libera vecchi lease

Step 4: Test manuale DHCP dal client
Windows:
ipconfig /release
ipconfig /renew

Output atteso:
DHCP Server: 192.168.1.1
IPv4 Address: 192.168.1.150

Se fallisce ancora:
❌ Problema client (firewall locale? driver nic?)
❌ Problema rete fisica (VLAN misconfigured?)

Step 5: Packet Capture DHCP
Diagnostics → Packet Capture
Interface: LAN
Protocol: UDP
Port: 67,68

Start capture → Client renew → Stop

Analizza pacchetti:
Vedi DISCOVER? ✅ Client invia richiesta
Vedi OFFER? ✅ pfSense risponde con IP
Vedi REQUEST? ✅ Client accetta
Vedi ACK? ✅ pfSense conferma

Se manca OFFER:
→ pfSense non risponde a DISCOVER
  - DHCP server disabled?
  - Firewall blocca UDP 67/68?
  - Bug configurazione?

Se manca ACK:
→ pfSense rifiuta REQUEST
  - IP già assegnato?
  - Client ID conflict?

Sintomo: Client VPN timeout o error durante connessione

Step 1: Verifica server OpenVPN running
Status → OpenVPN

Server status: down ❌
→ Avvia server
  VPN → OpenVPN → Servers → Edit server
  Verifica configurazione → Save
  Status → OpenVPN → Start

Step 2: Verifica porta WAN aperta
Da Internet (4G/altro network):
nmap -sU -p 1194 YOUR_PUBLIC_IP

Risultato:
1194/udp open ✅ → Porta aperta OK
1194/udp closed ❌ → Firewall WAN blocca

Se chiusa:
Firewall → Rules → WAN
Verifica regola: Allow UDP 1194 to WAN address

Se regola esiste ma porta chiusa:
→ Router ISP blocca (double NAT?)
  - Metti router ISP in bridge mode
  - O forward porta 1194 su router ISP → pfSense

Step 3: Check certificati
System → Cert Manager → Certificates

Verifica scadenze:
CA: Valid until 2034 ✅
Server cert: Valid until 2026 ✅
Client cert: Valid until 2025 ✅

Se scaduti:
→ Rinnova certificati
  - Crea nuovo cert
  - Assegna a server/client
  - Re-export configurazione client

Step 4: Log OpenVPN
Status → System Logs → OpenVPN

Errori comuni:

"TLS handshake failed"
→ Certificati incompatibili
  - Verifica CA match tra server e client
  - Re-export config client

"AUTH_FAILED"
→ Username/password errati
  - Verifica credenziali client
  - Reset password utente

"Connection timeout"
→ Rete/firewall blocca
  - Check porta WAN aperta
  - Client dietro firewall corporativo?
  - Prova TCP 443 invece UDP 1194

"Certificate has expired"
→ Cert scaduto
  - Rinnova certificato client

Step 5: Test da client VPN
Client log (Windows OpenVPN GUI):
Right-click → View Log

Cerca sequenza corretta:
1. Attempting to establish connection ✅
2. TCP/UDP connection established ✅
3. TLS handshake ✅
4. Control Channel: TLSv1.3 ✅
5. PUSH_REPLY received ✅
6. Initialization Sequence Completed ✅

Se blocco a step 2:
→ Rete blocca (firewall locale, ISP, etc.)

Se blocco a step 3-4:
→ Problema certificati

Se blocco a step 5:
→ Server config problem

Sintomo: Navigazione lenta, lag, timeout

Step 1: Identifica bottleneck
Status → Traffic Graph → WAN

Bandwidth saturata (100% utilizzo)?
→ Congestione banda
  - ntopng → Top Talkers (chi satura?)
  - Applica traffic shaping / limiters
  - Upgrade banda ISP

Bandwidth OK (<80%)?
→ Problema non è bandwidth (continua)

Step 2: Check latency gateway
Status → Gateways

Gateway latency >100ms ⚠️
→ Problema ISP o routing
  - Contatta ISP
  - Test traceroute: Diagnostics → Traceroute → 8.8.8.8
  - Identifica hop lento

Gateway packet loss >5% ⚠️
→ Linea instabile
  - Problema fisico (cavo, connettore)
  - Interferenze (se wireless ISP)
  - Saturazione upload (check traffic graph OUT)

Step 3: Check CPU/RAM pfSense
Dashboard → System Information

CPU >80% costante ⚠️
→ pfSense overloaded
  - Disabilita ntopng temporaneamente
  - Disabilita IDS/IPS (Suricata/Snort)
  - Semplifica regole firewall
  - Upgrade hardware pfSense

RAM >90% ⚠️
→ Memory pressure
  - Riavvia pfSense (libera cache)
  - Upgrade RAM

Step 4: Check states table
Diagnostics → States

States count >100.000 ⚠️
→ State table saturation
  - Indica molte connessioni simultanee
  - Possibile malware (botnet C&C?)
  - Increase state table size:
    System → Advanced → Firewall & NAT
    Firewall Maximum States: 500000

Step 5: DNS resolution slow?
Test:
time nslookup google.com

Risposta >1 secondo ⚠️
→ DNS lento
  - Check DNS Resolver cache hit rate
  - Switch a DNS esterni più veloci (1.1.1.1)
  - Abilita prefetch DNS

Step 6: Bufferbloat test
Da client, vai su:
https://www.dslreports.com/speedtest

Bufferbloat grade:
A/A+ ✅ Ottimo
B/C ⚠️ Accettabile
D/F ❌ Problematico

Se D/F:
→ ISP router ha buffer enormi (latency spike durante saturazione)
Fix: Traffic shaping aggressivo
  - Limita upload/download a 80-85% max
  - Abilita FQ-CoDel scheduler

Opzione 1: SSH
System → Advanced → Secure Shell → Enable
ssh admin@192.168.1.1

Opzione 2: WebGUI Shell
Diagnostics → Command Prompt

Opzione 3: Console fisica
Monitor + tastiera collegati a pfSense
Option 8: Shell

1. Verifica interfacce di rete
ifconfig

Output:
igb0: flags=8843 mtu 1500 (WAN)
        inet 203.0.113.50 netmask 0xffffff00
        status: active
igb1: flags=8843 mtu 1500 (LAN)
        inet 192.168.1.1 netmask 0xffffff00
        status: active

2. Statistiche traffico interfacce
netstat -i

3. Routing table
netstat -rn

Verifica default route:
default      192.168.0.1    UGS     igb0

4. Stati firewall (connessioni attive)
pfctl -s states

Count totale stati:
pfctl -s info | grep current

5. Regole firewall caricate
pfctl -s rules

6. NAT rules
pfctl -s nat

7. Test DNS da pfSense
drill google.com
host google.com
nslookup google.com

8. Traceroute
traceroute 8.8.8.8
traceroute -I 8.8.8.8 (ICMP invece UDP)

9. Check porte in ascolto
sockstat -l

Vedi chi ascolta porta 443:
sockstat -l | grep :443

10. Processi attivi
top

11. Utilizzo disco
df -h

12. Dimensione file/directory
du -sh /var/log/*

13. Riavvia servizio
/etc/rc.restart_webgui
/etc/rc.d/dhcpd restart
/etc/rc.openvpn restart

14. Check file di configurazione
cat /conf/config.xml

15. Clear cache DNS Resolver
/usr/local/sbin/unbound-control flush_zone .
/usr/local/sbin/unbound-control reload

Scenario: Config corrotta o cambio sbagliato

Step 1: Accedi a Backup & Restore
Diagnostics → Backup & Restore

Step 2: Upload config precedente
Restore Backup:
- Click "Browse" → Seleziona config-backup.xml
- Click "Restore Configuration"

Step 3: Riavvio automatico
pfSense riavvia applicando vecchia config

Step 4: Verifica funzionamento
Login → Test connettività

Alternative: Config History
Diagnostics → Backup & Restore → Config History
pfSense mantiene ultimi 30 backup automatici
Click "Restore" su backup precedente cambio problematico

Scenario worst-case: Hardware morto, disco corrotto

Step 1: Nuovo hardware
Prepara nuovo PC/appliance

Step 2: Fresh install pfSense
Reinstalla pfSense da zero (vedi Capitolo 2)

Step 3: Restore config da backup
IMPORTANTE: Durante wizard iniziale:
- Configura solo WAN/LAN base
- Accedi WebGUI
- Diagnostics → Backup & Restore
- Upload backup completo
- Restore

Step 4: Fix interfacce se necessario
Se nuovo hardware ha NIC diverse:
- Interfaces → Assignments
- Ri-assegna WAN/LAN/DMZ alle porte corrette
- Save → Apply

Step 5: Verifica tutto
- WAN online?
- LAN clients ottengono IP?
- Internet funziona?
- VPN attiva?
- Firewall rules OK?

RTO (Recovery Time Objective):
Con backup aggiornato: 30-60 minuti
Senza backup: 4-8 ore (riconfigurazione manuale)

☑ Review dashboard
  - CPU/RAM/Disk usage normale?
  - Gateway latency/packet loss OK?
  - Temperature entro limiti?

☑ Check firewall logs
  Status → System Logs → Firewall
  - Blocchi anomali?
  - Port scan attempts?
  - Unusual source IPs?

☑ Review DHCP leases
  Status → DHCP Leases
  - Device sconosciuti?
  - Pool vicino esaurimento?

☑ Check VPN connections
  Status → OpenVPN
  - Failed login attempts?
  - Disconnessioni frequenti?

☑ Backup configurazione
  Diagnostics → Backup & Restore → Download config
  Salva offsite (Google Drive/Dropbox)

☑ Update packages
  System → Package Manager → Installed Packages
  Update disponibili? → Update all

☑ Review bandwidth trends
  Status → RRD Graphs → 1 Month view
  - Crescita traffico?
  - Capacity planning needed?

☑ Analyze ntopng reports
  ntopng → Top Talkers → Last Month
  - Chi usa più banda?
  - Bandwidth abuse?

☑ Certificate expiration check
  System → Cert Manager
  - Cert scadono <90 giorni? → Rinnova

☑ Review firewall rules
  Firewall → Rules → Tutte interfacce
  - Regole obsolete? → Elimina
  - Regole "temporary"? → Fix permanent o rimuovi

☑ Disk cleanup
  Diagnostics → Command Prompt
  du -sh /var/log/*
  rm /var/log/old-logs/*

☑ Test backup restore
  Restore config su lab/VM per verificare funzioni

☑ pfSense version update
  System → Update
  Backup config → Update → Test → Rollback se problemi

☑ Security audit
  - Password admin ancora forte?
  - SSH disabilitato se non usato?
  - WebGUI solo HTTPS?
  - WAN admin access disabilitato?

☑ Penetration test
  - Scan porte esterne (nmap da Internet)
  - Verifica servizi esposti necessari
  - Test vulnerabilità note

☑ Documentation update
  - Topologia rete cambiata? → Aggiorna diagrammi
  - Nuove regole firewall? → Documenta motivo
  - Procedure recovery aggiornate?

☑ Disaster recovery drill
  - Simula failure hardware
  - Cronometra recovery time
  - Identifica miglioramenti processo