Configurar un firewall con failover PFSense 2.0.1.

Básicamente la idea consiste en configurar en nuestra organización un firewall con redundancia en la cual se replican los estados de las conexiones en un equipo de backup y en caso de producirse una falla en el principal, el secundario entre en funcionamiento automáticamente sin producir cortes en las comunicaciones.

Por ello en el ejemplo configuraremos dos firewall capaces de funcionar sincronizadamente, uno como equipo principal y otro como secundario de backup.

Nuestro esquema propuesto es el siguiente:

 

 

Elementos necesarios.

·         1 Proveedor de internet que nos proporcione tres IP para conectarnos a la red.

·         2 Equipos que funcionen como firewall y PFSense 2.0.1 instalado.

·         3 Placas de red en cada firewall.

·         1 dirección IP VHID definida para la red WAN.

·         1 dirección IP VHID definida para la red LAN (esta será el gateway para los clientes de la LAN).

Las direcciones VHID son las direcciones IP virtuales que serán compartidas por los firewalls para establecer las conexiones tanto en la LAN interna como en la WAN. Es decir, ambos equipos responderan a la misma IP, sin embargo también cada equipo debe tener su dirección particular.

En resumen en cada equipo configuraremos las siguientes direcciones en cada placa:

Firewall 1 (Principal):

WAN: 10.0.1.2

LAN: 192.168.2.1

SYNC: 1.1.1.1 (Será la IP utilizada para sincronizar los firewalls)

Firewall 2 (Backup):

WAN: 10.0.1.3

LAN: 192.168.2.2

SYNC: 1.1.1.2

Y a su vez, en ambos equipos las siguientes IP Virtuales:

VHID WAN: 10.0.1.250 (Debe ser provista por el ISP)

VHID LAN: 192.168.2.250 (Será el gateway al que deben apuntar los clientes)

 

Comencemos entonces con la configuración:

Primero asignamos las placas de red a las diferentes interfaces desde el menú Interfaces à Assing

Luego asignamos la IP correspondiente a cada interfaz desde Interfaces à [Placa Correspondiente]

 

 

Asignamos la IP a la interfaz de sincronización:

Luego a la placa de LAN:

Y por último a la placa WAN, a la cual además le asignamos el gateway correspondiente proporcionado por el ISP:

 

Ahora se deben asignar las IPs Virtuales que hemos definido. Vamos a Firewall à Virtual IPs

 

En la pestaña Virtual IPs debemos pulsar en el botón (+) para agregar una nueva VHID.

Primero agregamos la IP virtual de la WAN. Es importante que se seleccione el Type CARP.

En el campo Virtual IP Password debemos settear una clave que se insertará igual en ambos firewall.

Y además el VHID Group debe configurarse de la misma forma en ambos firewalls.

Luego configuramos el VHID de la red LAN de la misma forma en ambos dispositivos.

El siguiente paso solo debemos hacerlo en el firewall principal:

En  la pestaña CARP Settings debemos tildar la opción Synchronize States, seleccionamos la interfaz definida para tal caso (SYNC) y seteamos la IP del otro firewall (en el ejemplo la IP de sincronización del firewall 2 de backup) con la cual se replicará el estado.

Mas abajo debemos establecer el usuario y clave de administración del dispositivo de backup y seleccionar las características que se desean sincronizar:

 

Pulsando en Save guardaremos los cambios.

El siguiente paso consiste en habilitar en ambos firewalls una regla que permita la comunicación entre las placas de sincronización de ambos dispositivos.

Para ello vamos a Firewall àRules à Placa SYNC

 

En nuestro caso habilitamos el tráfico completo en dicha interfaz:

 

Una vez aplicada la regla en ambos equipos, podremos comprobar el status del Cluster de firewall llendo a Status à CARP (failover)

 

Si estamos situados en el firewall principal veremos que el status de las Virtuals IPs es MASTER y con la flecha verde nos indica que está online:

 

Si nos logueamos en el firewall de backup veremos que el status de las Virtuals IPs dice Backup

 

 

Por último, si queremos verificar que la sincronización está funcionando correctamente podemos probarlo aplicando una regla de firewall en uno de los dispositivos y luego verificando que en el otro se a replicado automáticamente.

Descargar tutorial: Tutorial PFSense Firewall Failover