构建蓝队家庭实验室第 3 部分 – 部署防火墙

在上一篇文章中,我们创建了一个网络拓扑,其中我们可视化了我们的网络在 VLAN 分段和子网分离后应该如何显示。我们决定今天需要 4 个具有特定流量限制的 VLAN,因此我们在虚拟化工具中创建 4 个额外的网络接口。现在是本指南的好部分,虚拟机的部署,我们当然将从防火墙开始。

pfSense

对于我们的防火墙,我们将使用pfSense,这是一种开源防火墙,它不仅适用于您的实验室,而且对于生产/公司环境也非常有用。以下是我们将用于防火墙的 VM 规范:

  1. CPU: 1
  2. RAM: 512MB
  3. HDD:30GB
  4. NICs:6x
    • Bridged
    • vmnet1
    • vmnet10
    • vmnet20
    • vmnet50
    • vmnet99

在我们开始安装之前,让我简要解释一下为什么我们需要这么多 NIC。如您所知,我们为实验室环境创建了 5 个网络:管理、企业 LAN、企业 WAN、安全性和隔离 LAN。对于每个网络,我们向防火墙分配了一个特定的网络接口。第六个(或列表中的第一个)是桥接接口,该接口位于我们物理笔记本电脑的LAN网络中。此接口将用于为安全网络中的设备提供指向真实互联网的出站流量。

安装

安装非常简单。只需 go 即可所有默认选项并继续,直到安装向导结束。安装后,您将需要重新启动它。重新启动后,您将看到它使用两个配置的接口(WAN 和 LAN)启动。

网络 VLAN 和接口

使用 pfSense CLI,我们将首先使用正确的 IP 地址和网关配置 WAN 和 LAN(管理)接口,以便我们可以正确访问它并允许它访问互联网。我们将使用下表来获取将分配给防火墙接口的更多 IP 地址。

注意:对于WAN接口(桥接网络),您需要检查笔记本电脑所在的网络,或者更好地说,ISP调制解调器提供IP的网络子网是什么。下表中的示例适用于我自己的网络,这并不意味着它对您来说是一样的。此外,在 WAN 和 LAN 的 CLI 设置期间,您只需为 WAN 接口配置默认网关,该网关将是您的 ISP 调制解调器(通常为 192.168.1.1 或 192.168.0.1)。

接口IP地址
广域网192.168.1.50/24
管理10.0.1.50/24
企业广域网10.0.10.254/254
企业局域网10.0.20.254/24
安全10.0.50.254/24
隔离局域网10.0.99.254/24

配置 WAN 和 LAN 接口后,您应该能够使用 pfSense 默认凭据(用户名:admin,密码:pfsense)。

配置

接口

首先,您需要将所有接口分配给 pfSense。这可以通过转到接口>接口分配,然后单击列表中每个接口的添加按钮,然后单击保存按钮来完成。这将添加我们所有的接口,并为每个接口添加通用名称(OPT1,OPT2…)。

下一步是使用正确的描述和 IP 地址启用和配置每个接口。按照以下说明打开每个界面:

  1. Enabled:选中
  2. Description:$NETWORK_NAME_VLAN<VLAN_NUMBER>
  3. IPv4 Configuration Type:Static IPv4
  4. IPv6 Configuration TypeNone
  5. MAC Address:留空
  6. MTU:留空
  7. MSS:留空
  8. Speed and Duplex:Default
  9. IPv4 Address:上表中接口的 IP 地址。掩码设置为 /24
  10. IPv4 上Upstream:None(只有 WAN 接口应配置此字段)
  11. Block Private networks:未选中(应仅针对 WAN 接口选中此字段)
  12. Block bogon networks:未选中(应仅针对 WAN 接口检查此字段)

您的配置应如下图所示:

网络 VLAN 和接口

配置所有接口后,您应该看到类似以下内容:

网络 VLAN 和接口

注意:暂时忽略图片上的VPN接口。这将是额外任务的一部分。;)

基本配置

让我们配置一些基本配置,如 DNS 服务器、域名、时区等。

转至“System>Genera Setup”并配置以下字段:

  1. Hostname:设置您想要调用防火墙的任何内容。就我而言,它是**防火墙”
  2. Domain:racoon.bandito(同样,这是我的实验室,你可以选择任何你想要的域名
  3. DNS Servers:9.9.9.9 和 1.1.1.1(或者您可以使用 Google 8.8.8.8 和 8.8.4.4)
  4. Timezone:等/世界协调时
  5. Theme:我更喜欢深色主题,但为了本指南,我将使用浅色主题

单击屏幕底部的“Save”按钮。

然后转到System>Advance>Admin Access

  1. Protocol:HTTPS (SSL/TLS)
  2. Secure Shell Server:Enable

您可以在此窗口中检查其他设置,但我发现此配置对于实验室来说已经足够了。

防火墙规则

我们现在将配置防火墙规则以允许/限制网络之间的特定流量。一开始,我们将允许所有流量,但在某些时候,我们可能会限制访问并仅允许特定流量/端口/服务通过。

广域网

此接口应具有默认规则,这些规则在初始配置期间随启用字段 Block Private NetworksBlock bogon network一起提供。

广域网防火墙规则

管理

由于这是我们的管理界面,默认情况下它配置了一些规则,用于传递流量和防锁定规则。我们将禁用 IPv6 规则,其余的应如下图所示。

管理防火墙规则

企业广域网

在这里,我们将允许所有流量流向企业 LAN 网络和企业 WAN 网络。默认情况下,其他所有内容都将被阻止,因为存在拒绝所有流量的默认规则“拒绝所有”。该不可见规则放置在每个接口的防火墙规则的末尾。

企业广域网防火墙规则

企业局域网

此接口应具有与CORPORATE_WAN接口相同的规则。这是因为我们想模拟它对“互联网”的访问。在真实场景中,规则当然会有所不同。

企业局域网防火墙规则

安全

安全网络不应有权访问 WAN、管理和公司 WAN 网络,但应有权访问其他所有内容。

安全防火墙规则

隔离局域网

最后,隔离网络不应访问除本地网络之外的任何内容。默认情况下,有一个规则拒绝所有拒绝所有进入接口的流量,但为了确保我们将为此创建一个规则。

安全防火墙规则

Outbound

为了允许安全网络访问互联网并模拟其他网络通过假 WAN 访问互联网,我们需要在防火墙 > NAT >出站中设置如下图所示的规则:

出站规则

额外内容和奖励任务

虽然我们只配置了pfSense功能的一小部分,但我鼓励你进一步探索它。有很多好和有趣的功能,比如设置VPN服务器,IPSec隧道,安装IDS和IPS工具等等。以下是一些有趣的内容,可以更深入地了解它:

奖励任务:如果您使用的是某些VPN服务(如ProtonVPN,NordVPN或其他服务),请配置pfSense以将所有流量从安全网络通过VPN发送到互联网(如果它传到外面)。

总结

我们终于走到了尽头。我的意图不是写这篇长文章,但如前所述,我将尝试涵盖尽可能多的细节,因此遵循这些指南的每个人都不会有任何问题。在下一篇文章中,我们将开始构建安全团队环境(SIEM 除外,它将在后面的一些阶段中介绍)。希望你喜欢它!

原文链接:Building Blue Team Home Lab Part 3 – Deploying a firewall | facyber

发表评论

您的电子邮箱地址不会被公开。 必填项已用*标注