Bonnes pratiques - Exécuter un pare-feu virtuel pfSense
Bonnes pratiques pour déployer et gérer pfSense en tant que pare-feu virtuel dans VergeOS.
pfSense est un logiciel de pare-feu et de routeur open source largement utilisé, pouvant être exécuté comme machine virtuelle (VM) dans VergeOS. L’utilisation de pfSense dans VergeOS permet des configurations de pare-feu hautement personnalisables et flexibles. Vous trouverez ci-dessous les meilleures pratiques pour créer et maintenir un pare-feu virtuel pfSense dans VergeOS.
1. Configuration du disque et des interfaces réseau
Lors du déploiement de pfSense en tant que machine virtuelle, assurez-vous que le disque et les interfaces réseau sont configurés pour des performances optimales.
Type d’interface disque et réseau: Définissez à la fois les interfaces disque et réseau sur VirtIO. Cette configuration offre de meilleures performances par rapport aux options par défaut.
VirtIO pour la carte réseau: Par défaut, VergeOS peut configurer l’interface réseau pour utiliser E1000. Bien que cela puisse fonctionner, il est recommandé de passer à VirtIO pour un meilleur débit et une réduction de la charge CPU. L’absence d’utilisation de VirtIO peut entraîner des problèmes de trafic intermittents ou des ralentissements, en particulier sous des charges réseau élevées.
VirtIO pour le stockage: L’utilisation de VirtIO pour le stockage garantit des E/S disque plus rapides, réduisant les goulets d’étranglement dans le système lors du traitement de grands journaux de pare-feu ou de la gestion de connexions avec état.
2. Désactivation du déchargement matériel des sommes de contrôle
Dans certains environnements, pfSense peut rencontrer des problèmes de performances réseau tels que des pertes de paquets, des lenteurs ou des délais d’attente de connexion. Cela est généralement dû au déchargement matériel des sommes de contrôle sur les cartes réseau virtualisées.
Désactiver le déchargement matériel des sommes de contrôle:
Dans l’interface pfSense, accédez à Système > Avancé > Réseau et désactivez Déchargement matériel des sommes de contrôle.
Lorsqu’il est activé, pfSense décharge le traitement des sommes de contrôle sur la carte réseau virtuelle. Cependant, cette fonctionnalité convient mieux aux cartes réseau physiques et, dans les environnements virtualisés, elle peut entraîner une dégradation des performances en générant une surcharge de traitement inutile sur la machine virtuelle.
Paramètres de déchargement de la carte réseau pfSense
3. Attribution de ressources adéquates
Allocation de CPU et de RAM:
Selon la taille de votre réseau et la complexité de vos règles de pare-feu, assurez-vous d’attribuer suffisamment de cœurs CPU et RAM à votre VM pfSense.
Pour les environnements de petite à moyenne taille, 2 cœurs CPU et 2 Go de RAM suffisent généralement. Pour des configurations plus complexes ou un trafic réseau plus élevé, envisagez d’augmenter ces ressources afin de garantir des performances optimales.
Espace disque
Allouez suffisamment d’espace disque pour les journaux système, le cache et les sauvegardes de configuration. Commencez avec au moins 10 Go d’espace disque et augmentez selon les fonctionnalités utilisées, telles que les VPN ou la journalisation IPS/IDS.
4. Instantanés et retours arrière
Utiliser les instantanés VergeOS:
Avant d’apporter des modifications importantes à votre configuration pfSense ou d’effectuer des mises à niveau majeures, créez un instantané VergeOS de la VM pfSense. Cela permet un retour arrière rapide en cas de mauvaise configuration ou d’échec.
Automatiser les instantanés:
Automatisez vos instantanés pfSense afin de garantir des sauvegardes régulières de l’état de votre pare-feu. Ces instantanés peuvent être planifiés dans VergeOS et facilement restaurés en cas de besoin.
Le respect de ces bonnes pratiques garantit que pfSense fonctionne efficacement et en toute sécurité dans VergeOS, en offrant une solution de pare-feu fiable et performante pour votre environnement réseau virtualisé.
Mis à jour
Ce contenu vous a-t-il été utile ?