Firewall Matrix Sense AMD GX-412TC Quatre coeurs, 1 GHz, 4 ports Giga Intel

La table d'état du pare-feu permet de garder en mémoire l'état des connexions au réseau (comme les flux TCP, les communications UDP) qui le traversent. Le logiciel pfSense est un pare-feu à états, par défaut, Le logiciel pfSense est un firewall qui gère les états, par défaut, toutes les règles prennent cela en compte.

La plupart des pare-feux ne sont pas capables de contrôler finement votre table d'état. Le logiciel pfSense a de nombreuses fonctionnalités permettant un contrôle granulaire (contrôle détaillé des flux/des utilisateurs avec plusieurs paramètres) de votre table d'état.

La taille de la table d'état est ajustable. La taille par défaut de la table d'état varie selon la quantité de RAM installé dans votre système, la taille peut être augmentée à n'importe quel moment avec la valeur de votre choix. Chaque état prend approximativement 1 Ko de RAM, il est important de faire attention à l'usage mémoire lors du redimensionnement de votre table.

Règle par règle :

• Limite les connexions simultanées d’un hôte
• Limite le nombre d’état par hôte
• Limite le nombre de nouvelles connexions par seconde
• Définit un timeout en fonction des états
• Définit un type d’état

Type d’état : pfSense offre de multiples options pour la gestion des états.

• Conserve l’état - fonctionne avec tous les protocoles. Activé par défaut pour toutes les règles.
• Module l’état - ne fonctionne qu’avec le protocole TCP. pfSense générera un Numéro de Séquence Initiale (ISN) fort agissant au nom de l’hôte.
• État Synproxy - met les connexions TCP entrantes en proxy afin d’aider à protéger les serveurs des attaques de type TCP SYN. Cette option inclus les fonctionnalités de conservation d’état et de modulation exposées ci-dessus.
• Aucune - ne conserve aucune information d’état pour ce trafic. Ceci est rarement utile, mais est mis à disposition car cela peut-être utile dans certains cas très limités.

État des options d'optimisation de table : pf propose quatre options pour l'optimisation de la table d'état.

• Normal - l'algorithme par défaut
• Latence élevée - Utile pour les liens à latence élevée, tels que les connexions par satellite.
• Aggressive - Le délai d'expiration des connexions inactives est plus rapide. L'utilisation des ressources matérielles est plus efficace, mais peut supprimer des connexions légitimes.
• Conservateur - Essaie de ne pas laisser tomber les connexions légitimes au détriment de l'utilisation accrue de la mémoire et de l'utilisation du processeur.

CARP d'OpenBSD permet le basculement de matériel. Deux ou plus de Firewalls peuvent être configurés comme des groupes de basculement. Si une interface échoue sur le primaire ou que le primaire devient entièrement hors ligne, le second devient actif. pfSense inclus aussi la capacité de synchronisation de configuration. Si vous faites des changements de configuration sur le primaire ceux ci sont automatiquement synchronisés sur le Firewall secondaire.

pfsync assure que les tables d'état du Firewall soient répliquées sur tous les Firewall de basculement configurés. Cela signifie que vos connexions existantes seront maintenues en cas de défaillance, cela est important pour prévenir d'une interruption réseau.

La fonctionnalité Multi-WAN permet l'usage de connexions internet multiplse avec équilibrage de charge et/ou failover pour une amélioration de la disponibilité de l'internet et la distribution de l'usage de la bande passante.

L'équilibrage de charge du serveur est utilisé pour répartir la charge entre plusieurs serveurs. Ceci est communément utilisé avec les serveurs Web, serveurs de messagerie, et autres. Les serveurs qui ne répondent pas aux requêtes ping ou aux connexions de ports TCP sont retirés du pool.

pfSense offre trois options pour la connectivité VPN, IPsec, OpenVPN et PPTP.

IPsec

OpenVPN

Serveur PPTP (Non recommandé car non sécurisé)

Le logiciel pfSense offre un serveur PPPoE. Une base de données locale pour les utilisateurs peut être utilisée pour l'authentification. RADIUS est également supporté.

Graphiques RRD

Informations temps réel

Un client DNS Dynamic est inclus pour vous permettre d'enregistrer votre adresse IP publique avec un certain nombre de fournisseurs de services DNS dynamiques.

• Custom - Permettre de
• DNS-O-Matic
• DynDNS
• DHS
• DNSexit
• DyNS
• easyDNS
• freeDNS
• HE.net
• Loopia
• Namecheap
• No-IP
• ODS.org
• OpenDNS
• Route 53
• SelfHost
• ZoneEdit

Un client est aussi disponible pour le RFC 2136 (mise à jour DNS dynamique), pour l'utilisation avec des serveurs DNS comme BIND qui supporte ce moyen de mise à jour.

Le Portail captif permet de forcer l'authentification, ou la redirection vers une page de clic pour l'accès au réseau. Ceci est généralement utilisé sur les hotspot, mais est également utilisé dans les réseaux d'entreprise qui souhaitent une couche de sécurité supplémentaire sur l'accès sans fil ou Internet.

Ce qui suit est une liste de fonctionnalités du portail captif de pfSense :

• Maximum de connexions simultanées - Limiter le nombre de connexions au portail par client IP. Cette fonctionnalité empêche un déni de service à partir de PC clients qui envoient du trafic réseau à plusieurs reprises sans authentification ou sans cliquer sur la page de garde.
• Idle timeout - Déconnecter les clients qui sont inactifs depuis un nombre défini de minutes.
• Dur timeout - Forcer une déconnexion de tous les clients après un délai défini.
• Fenêtre pop-up de déconnexion - Option pour faire apparaître une fenêtre avec un bouton de déconnexion.
• Redirection URL - après authentification ou clique sur le portail captif, les utilisateurs peuvent être redirigés à l'URL définie.
• Le filtrage MAC - par défaut, les filtres pfSense utilisent les adresses MAC.
• Options d'authentification - Il existe trois options d'authentification disponibles.
  • Aucune authentification - Cela signifie que l'utilisateur clique simplement via votre page de portail sans entrer les informations d'identification.
  • Gestionnaire d'utilisateur local - Une base de données locale d'utilisateurs peut être configurée et utilisée pour l'authentification.
  • Authentification RADIUS - Ceci est la méthode d'authentification la plus pratique pour les environnements d'entreprise et les FAI. Il peut être utilisé pour authentifier à partir de Microsoft Active Directory et de nombreux autres serveurs RADIUS.
• Possibilités RADIUS
  • La ré-authentification forcée
  • Les mises à jour des utilisateurs.
  • L'authentification RADIUS MAC du portail captif permet de s'authentifier à un serveur RADIUS en utilisant l'adresse MAC du client comme le nom d'utilisateur et mot de passe.
  • Permettre la configuration des serveurs RADIUS redondants.
• HTTP ou HTTPS - La page du portail peut être configurée pour utiliser le protocole HTTP ou HTTPS.
• Pass-through adresses MAC et IP - Vous pouvez autoriser le contournement du portail captif à certaines machines ou leur bloquer l'accès.
• Gestionnaire de fichiers - Cela vous permet de télécharger des images à utiliser dans vos pages du portail.

Le logiciel pfSense comprend à la fois le serveur DHCP et la fonctionnalité de relais.