Buenas prácticas: ejecutar un firewall virtual pfSense
Buenas prácticas para desplegar y administrar pfSense como firewall virtual dentro de VergeOS.
pfSense es un software de firewall y router de código abierto ampliamente utilizado que puede ejecutarse como una máquina virtual (VM) dentro de VergeOS. Aprovechar pfSense dentro de VergeOS permite configuraciones de firewall altamente personalizables y flexibles. A continuación, se presentan las mejores prácticas para crear y mantener un firewall virtual de pfSense en VergeOS.
1. Configuración de discos e interfaces de red
Al implementar pfSense como máquina virtual, asegúrese de que los discos y las interfaces de red estén configurados para un rendimiento óptimo.
Tipo de disco e interfaz de red: Configure tanto el disco como las interfaces de red para VirtIO. Esta configuración ofrece un mejor rendimiento en comparación con las opciones predeterminadas.
VirtIO para la NIC: De manera predeterminada, VergeOS puede configurar la interfaz de red para usar E1000. Aunque esto puede funcionar, se recomienda cambiar a VirtIO para obtener un mejor rendimiento y reducir la sobrecarga de CPU. No usar VirtIO puede provocar problemas intermitentes de tráfico o lentitud, especialmente bajo cargas de red elevadas.
VirtIO para almacenamiento: Usar VirtIO para el almacenamiento garantiza una I/O de disco más rápida, reduciendo los cuellos de botella en el sistema al التعامل con registros de firewall grandes o al administrar conexiones con estado.
2. Deshabilitar la descarga de suma de verificación de hardware
En ciertos entornos, pfSense puede experimentar problemas de rendimiento de red como pérdida de paquetes, lentitud o tiempos de espera de conexión. Esto suele deberse a la descarga de suma de verificación de hardware en NIC virtualizadas.
Deshabilitar la descarga de suma de verificación de hardware:
Dentro de la interfaz de usuario de pfSense, vaya a Sistema > Avanzado > Red y deshabilite Descarga de suma de verificación de hardware.
Cuando está habilitada, pfSense descarga el procesamiento de las sumas de verificación a la NIC virtual. Sin embargo, esta función es más adecuada para NIC físicas y, en entornos virtualizados, puede causar una degradación del rendimiento al generar una sobrecarga de procesamiento innecesaria en la máquina virtual.
Configuración de descarga de la NIC de pfSense
3. Asignar recursos adecuados
Asignación de CPU y RAM:
Según el tamaño de su red y la complejidad de las reglas de su firewall, asegúrese de asignar núcleos de CPU y RAM adecuados a su VM de pfSense.
Para entornos pequeños o medianos, normalmente bastan 2 núcleos de CPU y 2 GB de RAM. Para configuraciones más complejas o un mayor tráfico de red, considere aumentar estos recursos para garantizar un rendimiento óptimo.
Espacio en disco
Asigne suficiente espacio en disco para los registros del sistema, la caché y las copias de seguridad de la configuración. Comience con al menos 10 GB de espacio en disco y aumente según las funciones en uso, como VPN o el registro de IPS/IDS.
4. Instantáneas y reversión
Usar instantáneas de VergeOS:
Antes de realizar cambios importantes en la configuración de pfSense o efectuar actualizaciones mayores, cree una instantánea de VergeOS de la VM de pfSense. Esto permite una reversión rápida en caso de una mala configuración o un fallo.
Automatizar instantáneas:
Automatice sus instantáneas para pfSense para garantizar copias de seguridad periódicas del estado de su firewall. Estas instantáneas pueden programarse en VergeOS y restaurarse fácilmente cuando sea necesario.
Seguir estas mejores prácticas garantiza que pfSense funcione de manera eficiente y segura dentro de VergeOS, proporcionando una solución de firewall fiable y de alto rendimiento para su entorno de red virtualizado.
Última actualización
¿Te fue útil?