Quelltext der Seite PfSense DMZ Subnetz mit public IPs

Hier beschreibe ich, wie ein DMZ-Subnetz mit öffentlichen IPs korrekt auf der pfsense eingerichtet wird. Ich bin selbst darauf hereingefallen, dass sämtlicher DMZ-Traffic über das externe Interface geroutet wurde. Das ist unschön, da bei entfernten Hosts dann stets nur die WAN-IP als Quelle auftaucht. Entdeckt habe ich es durch einen Zufall, als ein sehr restriktiver Mailserver meinen HELO-Command bemängelte und die eMail abgewiesen hatte.

= Konfiguration Netzwerk =

Ich verwende 3 verschiedene Netzwerke:

* WAN (öffentliche IPs /27)
* DMZ (öffentliche IPs /28)
* LAN (private IPs /24)


== WAN ==

Die WAN-Schnittstelle ist die Internetverbindung der pfsense. Bei Einrichtung der WAN-Schnittstelle muss i. d. R. auch ein Gateway angegeben werden, den man vom Provider erhält. Die Verwendung des Gateways ist oft an eine bestimmte MAC-Adresse gebunden, u. U. muss diese im Feld MAC-Adresse eingegeben werden. Dieser Gateway ist der Standardgateway (Häkchen setzen).


== DMZ ==

Die DMZ-Schnittstelle wird gemäß der Angaben einfach in der pfsense eingerichtet. Sie benötigt i. d. R. keine Angaben über ein Gateway.


== LAN ==

Analog wird auch das LAN-Subnetz konfiguriert. Für die LAN-IPs ist aber außerdem ein ''Outgoing NAT'' bzw. ''Masquerading'' erforderlich. Die pfsense macht dies unter ''Firewall - NAT - Outbound'' automatisch.


== Bridge ==

Verbindungstechnisch sollte bereits jetzt alles funktionieren. Allerdings wird man feststellen, wenn man sich nun von einem Hosts mit DMZ-IP auf einen externen Hosts verbindet und die IP betrachtet, dass anstelle der DMZ-IP des Hosts die WAN-IP der pfsense angezeigt wird. Das ist nicht der Sinn der öffentlichen IPs und kann mit Hilfe einer Bridge umgangen werden:

* ''Interfaces - Assign - Bridges''
* Neue Bridge hinzufügen
* WAN und DMZ markieren und speichern


Nun muss nur noch das automatische ''Masquerading'' deaktiviert werden, ''Firewall - NAT - Outbound'' und Häkchen bei ''Manual Outbound NAT rule generation'' setzen. Nun alle NAT-Regeln für das DMZ-Subnetz löschen und speichern.

<span style="color:red">'''Hinweis:'''</span> Nicht vergessen die ''Outgoing'' Regeln im Paketfilter anzulegen, ansonsten kommen die Hosts nicht raus. Diese werden unter ''Firewall - Rules - DMZ'' angelegt. Eingehende Regeln sind unter ''Firewall - Rules - WAN'' zu spezifizieren.


= Test =

Einfach auf einen Hosts in der DMZ verbinden und mit w3m http://wieistmeineip.de aufrufen.

* Wird die DMZ-IP angezeigt, hat man alles richtig gemacht. 
* Wird hingegen die WAN-IP der pfsense angezeigt, ist wahrscheinlich das Outgoing NAT noch für die DMZ aktiv.
* Wird überhaupt nichts angezeigt, fehlt entweder die Outgoing-Rule im Paketfilter bzw. die Bridge wurde nicht richtig konfiguriert.


= Quellen =

http://forum.pfsense.org/index.php/topic,41063.msg212423.html