Diferències

Ací es mostren les diferències entre la revisió seleccionada i la versió actual de la pàgina.

Enllaç a la visualització de la comparació

--- pfsense_vagrant [2026/11/10 11:59]
enric_mieza_sanchez [Introducció]
+++ pfsense_vagrant [2026/11/10 12:10] (actual)
enric_mieza_sanchez [Configurar pfSense]
@@ Línia 71: / Línia 71: @@
 Comencem els ajustos bàsics de interfícies del pfSense:
-. Accedirem a la consola de la VM pfsense per poder configurar-lo. Accedeix mitjançant l’aplicació de l’escriptori «virt-manager» → Doble click sobre la VM
+  - Accedirem a la consola de la VM pfsense per poder configurar-lo. Accedeix mitjançant l’aplicació de l’escriptori «virt-manager» → Doble click sobre la VM
-. Mirem la IP que ha estat assignada a la WAN
+  - Mirem la IP que ha estat assignada a la WAN
-. Ens demanarà l’assignació d’interfícies, anem assignant:
+  - Ens demanarà l’assignació d’interfícies, anem assignant:
-. WAN → vtnet0
+    - WAN → vtnet0
-. LAN → vtnet1
+    - LAN → vtnet1
-. OPT1 → vtnet2
+    - OPT1 → vtnet2
-. Després introduïm enter sense res mes per indicar que ja hem acabat de configurar.
+    - Després introduïm enter sense res mes per indicar que ja hem acabat de configurar.
-. Ens apareixerà de nou el menú principal, amb les interfícies vtnet0, vtnet2 i vtnet2 amb una certa configuració.
+  - Ens apareixerà de nou el menú principal, amb les interfícies vtnet0, vtnet2 i vtnet2 amb una certa configuració.
-. Ara configurarem les IPs de la LAN i OPT1. Segons el Vagrantfile (que no ha funcionat en l’assignació d’IPs) hauríem d’assignar (opció 2 del menú de la terminal):
+  - Ara configurarem les IPs de la LAN i OPT1. Segons el Vagrantfile (que no ha funcionat en l’assignació d’IPs) hauríem d’assignar (opció 2 del menú de la terminal):
-. LAN : static 192.168.31.10 /24
+    * LAN : static 192.168.31.10 /24
-. OPT1: static 192.168.32.10 /24
+    * OPT1: static 192.168.32.10 /24
-. No revertim a HTTP. Mantindrem el webConfigurator en HTTPS (port 443) a https://192.168.31.10
+    * No revertim a HTTP. Mantindrem el webConfigurator en HTTPS (port 443) a https://192.168.31.10
-. NOTA 1: no activeu DHCP en cap d’aquestes interfícies. Tampoc hem d’assignar cap gateway ja que per ser el mes real possible aquesta funció només l’ha de fer la WAN. Tampoc configurarem cap IPv6.
+    * NOTA 1: no activeu DHCP en cap d’aquestes interfícies. Tampoc hem d’assignar cap gateway ja que per ser el mes real possible aquesta funció només l’ha de fer la WAN. Tampoc configurarem cap IPv6.
-. NOTA 2: el més habitual seria que fossin adreces acabades en .1 ja que pfSense sol fer de DHCP intern i gateway. En el nostre cas no podem fer-ho ja que aquestes xarxes les ha configurat Vagrant com a xarxa interna i les adreces .1 estan ja assignades a l’escriptori Isard (que ja ens anirà bé per poder accedir a aquestes xarxes).
+    * NOTA 2: el més habitual seria que fossin adreces acabades en .1 ja que pfSense sol fer de DHCP intern i gateway. En el nostre cas no podem fer-ho ja que aquestes xarxes les ha configurat Vagrant com a xarxa interna i les adreces .1 estan ja assignades a l’escriptori Isard (que ja ens anirà bé per poder accedir a aquestes xarxes).
-. Accedim a la interfície web a través de la LAN (interfície per defecte on el webConfigurator és accessible) amb el navegador de l’escriptori IsardVDI apuntant a l’adreça 192.168.31.10 i usuari admin/pfsense (son els defaults de fàbrica).
+  - Accedim a la interfície web a través de la LAN (interfície per defecte on el webConfigurator és accessible) amb el navegador de l’escriptori IsardVDI apuntant a l’adreça 192.168.31.10 i usuari admin/pfsense (son els defaults de fàbrica).
-. Assegureu que les interfícies LAN i OPT tenen les IPs adequades. Si no estan OK, modifiqueu-les amb el webConfigurator o el terminal (opció 2).
+  - Assegureu que les interfícies LAN i OPT tenen les IPs adequades. Si no estan OK, modifiqueu-les amb el webConfigurator o el terminal (opció 2). Testegeu que des del terminal del pfSense podeu fer ping a les VMs (Servidor 1 i Servidor 2) i que funciona l’accés a la web al port 80 (amb curl, per exemple).
-Testegeu que des del terminal del pfSense podeu fer ping a les VMs (Servidor 1 i Servidor 2) i que funciona l’accés a la web al port 80 (amb curl, per exemple).
+  - Canvieu el port del webConfigurator al 11111 per evitar conflictes amb els serveis web que configurarem seguidament.
-. Canvieu el port del webConfigurator al 11111 per evitar conflictes amb els serveis web que configurarem seguidament.
+    * System → Advanced
-System → Advanced
+    * Port: 11111
-Port: 11111
+    * WebGUI redirect : Disable webConfigurator redirect rule : ACTIVAT
-WebGUI redirect : Disable webConfigurator redirect rule : ACTIVAT
+  - Habilitem la connexió SSH amb SSH-keys. S’ha de fer a la interfície web de pfSense, si ho féssim directament amb l’habitual ssh-copy-id (o escrivint sobre /root/.ssh/authorized_keys) s’esborraria al reiniciar la VM (és el comportament natural de pfSense):
-. Habilitem la connexió SSH amb SSH-keys. S’ha de fer a la interfície web de pfSense, si ho féssim directament amb l’habitual ssh-copy-id (o escrivint sobre /root/.ssh/authorized_keys) s’esborraria al reiniciar la VM (és el comportament natural de pfSense):
+    * Creem claus al host (escriptori Isard). Responem a tot amb <Enter>:<code>$ ssh-keygen</code>
-. Creem claus al host (escriptori Isard). Responem a tot amb <Enter>:
+    * Copiem la clau pública al pfSense (copiar contingut de l’arxiu ''~/.ssh/id_rsa.pub'' <code>System → User Manager → Users→ admin → Edit → Keys → Authorized SSH Keys</code>
-$ ssh-keygen
-. Copiem la clau pública al pfSense (copiar contingut de l’arxiu ~/.ssh/id_rsa.pub
+\\
-System → User Manager → Users→ admin → Edit → Keys → Authorized SSH Keys
+===== Configuració HAProxy dins pfSense =====
+HAProxy ens permetrà redirigir les crides HTTP i HTTPS que ens arribin del bastió cap als servidors de les LANs. Abans de configurar el bastió i els certificats, ens caldrà configurar el HAProxy del pfSense. Després ja farem arribar les crides externes amb un altre HAProxy dins l’escriptori Isard.
+  - Assegureu que heu fet bé les parts anteriors, en especial que estan ben assignades les IPs de cada interfície i que podeu veure les VMs internes. També que el webConfigurator està al port 11111 per no col·lisionar amb la configuració del serveis web que farem a continuació.<code>Status → Interfaces</code>
+  - Instal·lar HAProxy amb el webConfigurator:<code>System → Package Manager → Available Packages → Cercar «haproxy» → +Install</code>
+  - Activar HAProxy<code>Services → HAProxy → Settings → Enable HAProxy
+Maximum Connections: 1000
+</code>
+  - Crear Backend web1:<code>Services → HAProxy → Backends
+Name: web1
+Server List:
+ server1 192.168.31.20 port 80
+ server2 192.168.32.20 port 80
+Loadbalancing options: Round Robin</code>
+  - Crear Frontend:<code>Name: frontend-http
+Listen Address: WAN address (IPv4)
+Port 80
+Default backend: web1</code>
+  - Obrir firewall a la WAN perquè HAProxy pugui escoltar les peticions HTTP<code>
+Firewall → Rules → WAN → Add
+Address Family: IPv4
+Protocol: TCP
+Source: Any
+Destination: This firewall (self)
+Destination Port Range: From 80 to 80</code>
+  - Comproveu a Status → Services que HAProxy està funcionant correctament.
+  - Desactiveu el bloqueig de IPs locals a la WAN (IMPORTANT!)<code>Interfaces → WAN →  Block private networks and loopback addresses  → DESACTIVAT</code>NOTA: en algunes versions de pfsense està activat per defecte, i sol ser una mesura de seguretat convenient, però en aquest cas necessitem desactivar-ho ja que la IP interna que emprem a la WAN és de tipus local (192.168./16)
+  - Mireu la IP de pfSense a la WAN (hauria de ser una 192.168.121.x o similar), i connecteu-vos amb el navegador web des de l’escriptori Isard, hauríeu de veure el Server 1 i Server 2 alternativament en cada recàrrega.
+Arribats aquí hauriem de tenir funcionant les webs dels servers 1 i 2 accessibles des de la interfície WAN del pfSense.
+\\
+===== Troubleshooting =====
+  * Comprova les assignacions de interfaces, IPs i xarxes.
+Comprova curosament les màscares de xarxa que no siguin /32 sinó /24
+  * Comprova que el servei HAProxy està en marxa a Status → Services
+  * Comprova que tens un Frontend i un Backend correctament configurats com descrit.
+  * Comprova que les regles del firewall a la WAN permeten visualitzar el port 80 i que NO hi ha la regla «Block private networks» activa.
+  * Si has apagat les VM i has tornat a engegar, pot haver canviat la IP de la WAN (va per DHCP). Comprova-ho.

bytes.cat

Eines de l'usuari

Eines del lloc

Diferències

Eines de la pàgina