การ Config Firewall Rules

ในส่วนนี้จะกล่าวถึงแต่ละ option ในหน้าเว็บ Firewall - Rules

Action

ที่ซึ่งคุณสามารถกำหนดให้ Rule นี้ผ่าน (pass), ไม่ให้ผ่าน (Block) หรือ ปฏิเสธ (Reject) ซึ่งผมได้กล่าวไปแล้วในหัวข้อที่ผ่านมา

Disable

ถ้าต้องการปิดการใช้งาน (disable) โดยที่ไม่ต้องลบ Rule นี้ออกจากระบบ ให้ทำเครื่องหมายถูกที่กล่องนี้ มันยังคงแสดงอยู่ใน Firewall Rule แต่เป็นสีเทา ซึ่งหมายถึงอยู่ในสถานะปิดการใช้งาน

Interface

เป็น interface ที่ Firewall Rule นี้ถูกนำไปใช้งาน (Apply) จำไว้ว่า traffic ที่จะถูก filter จะต้องมาจากที่เดียวกันกับที่ที่ interface นั้นอยู่ เช่น การ filter traffic ที่ LAN interface, traffic นั้นต้องมาจากที่ที่ LAN interface นี้ต่ออยู่ traffic ที่มาจาก LAN ปลายทางที่อินเตอร์เน็ตหรือที่ื่อื่น ต้อง filter ที่ LAN interface

Protocol

เป้นที่ที่คุณระบุโปรโตคอลซึ่งตรงกับ Rule นี้ option ส่วนใหญ่ก็มีความหมายในตัวมันเอง เช่น TCP/UDP ก้จะตรงกับ traffice ทั้ง TCP และ UDP ถ้าคุณระบุโปรโตคอลเป็น ICMP  ก็จะมี drop down list อื่นเพิ่มขึ้นมาให้คุณเลือกประเภทของ ICMP โปรโตคอลอื่นๆที่ใช้งานกันทั่วไปก็มีให้เลือกมากมาย

Source

ตรงนี้เป็นที่ที่คุณจะระบุ Source IP, Subnet หรือ Alias ให้ match กับ Firewall Rule คุณสามารถเช็คบ็อกที่ not เพื่อให้เป็นตรงกันข้าม (negate)
ในส่วนของ Type คุณสามารถระบุเป้น any ซึ่งหมายถึง IP Address ใดก้ได้  Single host or alias  จะ match กับ IP หรือ host เดี่ยวๆ หรือ alias Network ซึ่งจะ match ทั้งที่เป็นช่วงของไอพีและ subnet mask อย่างสุดท้ายคือ WAN address, LAN address, LAN subnet, PPTP client and PPoE user
สำหรับ Rule ที่ใช้ TCP และหรือ UDP คุณสามารถระบุ Source port ได้ที่นี่ โดยการคลิกที่ปุ่ม Advance, Source port ซ่อนอยู่ในปุ่ม Advance โดยปกติแล้วเราจะเซ็ตค่านี้เป็น any เพราะว่า TCP และ UDP จะสุ่มพอร์ตจากหมายเลขพอร์ตตั้งแต่ 1024 - 65535 ช่วงพอร์ตจริงอาจจะมีการเปลี่ยนแปลง ขึ้นอยู่กับ OS ของเครื่อง client, Source port ส่วนใหญ่แล้วจะไม่เหมือนกับ Destination port

Source OS

คุณสมบัติหนึ่งของ pfSense คือ ความสามารถในการ Filter ระบบปฏิบัติการ (Operating System) ทำให้คุณสามารถกำหนด Rule เพื่อ Filter ระบบฏิบัติการโดยการเปรียบเทียบ TCP SYN packet  ในช่วงเริ่มต้นของการเชื่อมต่อเน็ตเวิร์คจาก fingerprint ของไฟล์

Destination

เป้นที่ที่คุณระบุไอพีปลายทาง (Destination IP), subnet, alias ที่จะ match กับ Rule ที่จะสร้างขึ้น โปรดดูรายละเอียดเพิ่มเติมของ Source
สำหรับ Rule ที่เป้น TCP และ UDP คุณสามารถระบุพอร์ต ช่วงของพอร์ต (port range) หรือ alias ก็สามารถระบุได้ที่นี่

Log

ถ้า packet ที่ตรงกับ Rule น้ก็ให้เก็บ log ไว้ใน firewall log

Advance Options

ในส่วนนี้เป้นการ config ความสามารถพิเศษของ rule เพื่อจำักัดจำนวน state ต่อ Rule โดยปกติจะไม่มีการระบุค่าไว้ ดังนั้นจึงไม่มีการจำกัดจำนวน state

Limultaneous client connection limit

เป้นการจำหนดจำนวน state  ที่จะเกิดขึ้นกับ Rule นี้ ถ้าเซ็ตไว้ที่ 10 และมี 10 connection สำหรับ Rule นี้แล้ว connection ที่ 11 ก็จะถูก drop  การเชื่อมต่อ 10 connection อาจจะต่างโฮสต์กัน หรือโฮสต์เดียวก็ได้แต่รวมแล้วต้องไม่เกิน 10 connection

Maximum state entry per host

ถ้าคุณต้องการจำกัดจำนวน state ต่อโฮสต์ นี่คือส่วนที่คุณต้องการ คุณสามารถเซ็ตเป็น 10 connection ต่อ source โฮสต์แทนที่จะเป็นทั้งหมด

Maximum new connection / second

วิธีการนี้เป้นการจำกัดอัตราการเพิ่มของจำนวน connection เพื่อไม่ให้เซิร์ฟเวอร์ทำงานหนักเกินไป ตัวอย่างเช่น การจำกัดจำนวน incoming connection มายังเมล์เซิร์ฟเวอร์เพื่อลดจำนวน connection ของ spambot  สามารถใช้กับ outbound traffic rule เพือจำกัดการเพิ่มจำนวน state อย่างรวดเร็ว ของไวรัสคอมพิวเตอร์ คุณสามารถเซ็ทได้ทั้งจำนวน connection และจำนวนช่วงเวลาเป็นวินาที คอมพิวเตอร์เครื่องใดก็แล้วที่มีจำนวนการเชื่อมต่อที่มากเกินตามเวลาที่ตั้ง ไว้ เบื้องหลังของการทำอย่างนี้ก็เพื่อใช้จัดการกับไวรัส

State Timeout in seconds

คุณสามารถกำหนด state timeout สำหรับ traffic ที่ตรงกับ rule นี้เพื่อแทนที่ค่า state timeout ของระบบ connection ใดๆก็แล้วแต่ที่ไม่มีการใช้งาน (idle) ตามช่วงเวลาที่กำหนดก็จะถูกปิด

State Type

มีอยู่สามตัวเลือกที่ pfSense สามารถเลือกได้ตามแต่ละ Rule

Keep State

นี่เป็นค่า default และคุณควรจะเลือกค่านี้

Synproxy state

ตัวเลือกนี้ทำให้ pfSense ทำ proxy TCP connection ที่เชื่อมต่อเข้ามา TCP Connection เริ่มต้นการเชื่อมต่อโดย Three way handshake, packet แรก  คือ SYN from source หลังจากนั้นก็เป็นการตอบกลับจากปลายทาง (ACK response) ซึ่งเป็นการป้องกันการถูกโจมตีแบบ Denial of Service และ SYN floods โดยทั่วไป Rule นี้ก็จะถูกใช้ที่ WAN

none

ตัวเลือกนี้จะไม่รักษา State ของการเชื่อมต่อ ไม่แนะนำให้ใช้

No XML-RPC Sync

การเช็กตัวเลือกนี้ทำให้ rule นี้ทำการ Synchronizing ไปยังสมาชิก CARP ตั่วอื่นๆ CARP จะกล่าวถึงในหัวข้อต่อๆไป

Schedule

คุณสามารถกำหนดตารางการทำงาน (shedule) ของ Rule นี้ได้จากที่นี่ ถ้าเลือกเป้น none หมายถึง Rule นี้มีการใช้งานตลอดเวลา

Gateway

คุณสามารถเลือกเป้น WAN interface หรือ Load balance pool ที่ตรงกับ rule นี้ได้

Description

ใส่รายละเอียดของ Rule นี้ได้ที่นี่เพื่อใช้ในการอ้างอิง ส่วนนี้ไม่มีผลอะไรกับ Rule คุณควรกรอกข้อมูลลงไปเพื่ออธิบาย Rule นี้ ความยาวสูงสุดคือ 52 ตัวอักษร

Virtual IP

pfSense สามารถใช้งานกับหลายๆ public IP ได้ โดยนำไอพีเหล่านี้ไปใช้งานกับ NAT
มีการทำ Virtual IP อยู่ด้วยกัน 3 แบบ คือ Proxy ARP, CARP และ other แต่ละประเภทมีประโยชน์แตกต่างกันตามแต่ละสถานการณ์ ในสภาพแวดล้อมส่วนใหญ่ pfSense จำเป็นต้องใช้ ARP สำหรับ VIP ดังนั้น คุณต้องเซ็ตให้เป็น Proxy ARP หรือ CARP แต่ในสถานการณ์ที่ไม่ต้องการ ARP เช่น เมื่อมีการ route มาจาก ISP มายัง WAN IP ของคุณ คุณต้องใช้ other

Proxy ARP

Proxy ARP ทำงานเฉพาะเลเยอร์ 2 กล่าวคือ จะมีการตอบกลับด้วย ARP Reply เฉพาะไอพีหรือช่วงไอพีที่ได้กำหนดไว้เท่านั้น ทำให้ pfSense forward traffic ที่มายัง IP address ที่ได้ทำ NAT ไว้ ไอพีหรือช่วงของไอพีไม่ได้กำหนดไว้ที่ interface ใดๆของ pfSense เนื่องจากไม่จำเป็น ดังนั้น จึงไม่มี Service ใดๆที่เกี่ยวข้องกับไอพีนี้ใน pfSense ประโยชน์โดยทั่วไป คือ การเพิ่ม public IP ที่ใช้สำหรับ NAT

CARP

CARP ส่วนใหญ่ใช้กับการทำ Redundant หรือมีไฟร์วอลล์มากกว่าหนึ่งตัวทำงานร่วมกัน โดยใช้ CARP แต่บางคนก็ใช้ CARP VIP กับไฟร์วอลล์ตัวเดียว เนื่องจากทำให้สามารถ ping ได้ แต่ต้องกำหนด Firewall Rule ให้ด้วย (ค่าปกติของ Firewall Rule บน WAN คือ ไม่อนุญาตให้ ping) สถานการณ์อื่นๆที่ต้องใช้ CARP VIP คือ FTP Server
pfSense จะไม่ตอบกลับกับการ ping มายัง Proxy ARP และ Other ดังนั้น คุณต้องทำ NAT มายัง internal IP ของคุณถึงจะทำให้ ping ได้

Other

Other VIP ใช้สำหรับไอพีที่ไม่จำเป็นต้องใช้ ARP Reply การเพิ่ม Other VIP ทำให้สามารถนำไอพีไปใช้ได้เมื่อมีการทำ NAT ประโยชน์ที่ได้

การทำ Port Forward ใน pfSense

Port forwards เป้นการอนุญาตให้พอร์ต ช่วงของพอร์ต หรือโปรโตคอลให้สามารถเข้าถึงอุปกรณ์ที่อยู่ในเน็ตเวิรคภายในของคุณ คำว่า port forward เป็นคำที่คนส่วนใหญ่ใช้และเข้าใจกัน แต่ในทางเทคนิคแล้วคำว่า Inbound NAT น่าจะเหมาะสมกว่า เพราะว่าโปรโตคอลที่ใช้ไม่ใช้เพียงแค่ TCP หรือ UDP เท่านั้น ยังรวมไปถึง GRE และ ESP ด้วย การทำ NAT ส่วนใหญ่ใช้กับเซิร์ฟเวอร์ หรือ application อื่นๆที่จำเป็นต้องมีการเข้าถึงจากอืินเตอร์เน็ต

ความเสี่ยงของการทำ Port forward

โดยปกติ pfSense จะไม่อนุญาตให้มีการเชื่อมต่อจากอินเตอร์เน็ตเข้ามา เพื่อป้องกันไม่ให้ใครก็แล้วแต่ที่จะสแกนระบบเพื่อหาช่องว่างในการโจมตี เมื่อคุณเพิ่ม port forward เข้าไป pfSense จะอนุญาตให้ traffic ใดก็แล้วแต่ที่ตรงกับ Firewall Rule มันไม่สามารถแยกความแตกต่างกับ packet ที่เป็นอันตรายได้ ถ้าตรงกันมันก็อนุญาตให้ผ่านไป

Port Forwarding and Local Services

Port forward มีความสำคัญสูงสุดในการทำงานบน pfSense สำคัญกว่า Web interface, SSH และ Service อื่นๆที่คุณสั่งให้ทำงาน ตัวอย่างเช่น ถ้าคุณอนุญาตให้เข้า Web interface ของ pfSense เพื่อจัดการ pfSense ผ่านทาง WAN โดยใช้ HTTPS, TCP port 443 ถ้าคุณเพิ่ม port forward เข้าไปใน WAN สำหรับ TCP port 443 คุณจะไม่สามารถเข้าหน้าเว็บของ pfSense ได้อีก แต่จะไม่ส่งผลกระทบต่อ interface อื่นๆ ส่งผลเฉพาะ interface ที่มี port forward เท่านั้น

การเพิ่ม Port Forwards

Port Foward สามารถจัดการได้จาก Firewall --> NAT แท็บ Port Forward, Rule ในหน้านี้มีวิธีการจัดการเหมือนกับ การ Config Firewall Rules
เริ่มต้นการเพิ่ม port forward ด้วยการคลิกที่  ด้านบนสุดหรือล่างสุดของลิสต์ ดังรูปที่ 1


รูปที่ 1 การเพิ่มรายการ port forward

คุณจะได้เห้นหน้าของการแก้ไข port forward ดังรูปที่ 2


รูปที่ 2 หน้าสำหรับแก้ไข Port Forward

หลังจากคลิกปุ่ม Save คุณจะกลับไปที่หน้าลิสต์ของ port forward แล้วคุณจะได้เห็น


รูปที่ 3 รายการ port forward

เพื่อ ให้แน่ใจ คุณอาจจะตรวจสอบที่ Firewall Rule ยน interface ที่ได้ทำ port forward ไว้ ดังรูปที่ 4 คุณอาจจะกำหนด Source ที่อาจจะเข้ามาโดยใช้ Firewall Rule นี้ สำหรับเมล์เซิร์ฟเวอร์ที่มีการส่งเข้ามาจากทั่วโลก การกำหนด Source ดูจะใช้ไม่ได้ในทางปฏิบัติ แต่ SSH หรือ VNC การระบุโฮสต์ที่จะเข้าถึงเซิร์ฟเวอร์ที่ต้องการจึงเป็นสิ่งสำคัญ ดังนั้น จึงควรสร้าง alias สำหรับโฮสต์ดังกล่าวและเปลี่ยน Source จาก any เป็น alias ที่ได้สร้างไว้จึงมีความปลอดภัยมากกว่าการเปิดให้เครื่องใดๆก็ได้เข้ามา ตอนแรกคุณอาจจะทดสอบจากโฮสต์ทั่วๆไปก่อน หลังจากสำเร็จแล้วให้กำหนดโฮสต์ที่จะเข้าถึงตามต้องการ ถ้าทุกอย่างถูกต้อง port forward ควรจะใช้งานได้จากเน็ตเวิร์คภายนอก

ข้อจำกัดของการทำ Port Forward

คุณสามารถ forward 1 port ของ public IP ไปยัง 1 port ของโฮสต์ภายใน (internal host)  ตัวอย่างเช่น คุณมีหนึ่ง public IP คุณสามารถมีหนึ่งเว็บเซิร์ฟเวอร์ที่ใช้ TCP port 80 เพื่อให้บริการเว็บ เซิร์ฟเวอร์อื่นจำเป็นต้องใช้พอร์ตอื่น เช่น 8080 แต่ถ้าคุณมี 5 public IP คุณสามารถมีเว็บเซิร์ฟเวอร์ที่ทำงานที่ TCP port 80 ได้ 5 เซิร์ฟเวอร์ ดูรายละเอียดเพิ่มเติมเกี่ยวกับการทำ Virtual IP
เพื่อให้เครื่องที่อยู่ภายในเข้าถึงเซิร์ฟเวอร์ที่ได้ทำ port forward (เครื่องภายใน) จาก WAN Address อย่างเหมาะสม จำเป้นต้องทำ NAT Reflection ซึ่งจะได้อธิบายในหัวข้อ NAT Reflection คุณควรจะทดสอบ port forward ของคุณอินเตอร์เน็ตที่ต่างที่กัน ไม่ใช่จากเน็ตเวิร์คภายในของคุณ

การ Redirect Port ด้วย Port Forward

ประโยชน์อีกอย่างของการทำ port forward คือการ redirect traffic จาก internal network, port forward ที่ได้ระบุไว้ LAN interface หรือ internal interface อื่นๆ จะ redirect traffic ที่ตรงกันไปยังปลายทางที่ต้องการ เหมือนกับการทำ web transparent proxy ที่คนส่วนใหญ่ทำกัน หรือการทำ SMTP redirect outbound ไปยังเซิร์ฟเวอร์เดียว
หมายเหตุ
ระบบที่คุณจะทำ redirect ต้องอยู่ต่าง interface กันแต่ในไฟร์วอลล์เดียวกัน ในกรณีของ HTTP Proxy Server  ที่มีการทำ redirect port บน LAN, traffic จะออกไปใหนไม่ได้ถ้าไม่มี OPT interface
ตัวอย่าง NAT ใน รูปที่ 5 เป็นการ config ให้ HTTP traffic ทั้งหมดที่เข้ามายัง LAN ทำการ redirect ไปยัง 192.168.10.10 port 3129


รูปที่ 5 ตัวอย่างการทำ Redirect โดย Port Forward

โปรดจำไว้ว่าเซร์ฟเวอร์ที่จะทำ redirect ต้องอยู่ต่าง interface กันกับ interface ที่ทำ port forward ตามที่ได้อธิบายไปแล้วข้างต้น

การทำ VPN บน Linksys RV042 แบบ Site to Site

อุปกรณ์ VPN / Load Balanced Router รองรับการทำงาน IPSec VPN 50 ช่อง (50 Tunnels), VPN Client Access 50 บัญชี, PPTP 5 บัญชี มาพร้อมด้วย 4 พอร์ท 10/100 Mbps เชื่อมต่อ ADSL ได้ 2 ลิงค์, สามารถควบคุมความเร็วในการใช้งานอินเทอร์เน็ต เหมาะสำหรับเชื่อมต่อระหว่างโรงงาน กับสำนักงานสาขา และผมก็ใช้มันทำ VPN อยู่ในขณะนี้ วันนี้ผมจะมาแนะนำการติดตั้ง PVN บน Linksys RV042 กัน



อันดับแรกกำหนดค่าเกี่ยวกับ IP Address และ ISP ก่อน ค่ามาตรฐานโดยทั่วไปในการเข้าไป Set ค่าต่างๆ ของเตอร์นั้น ใช้ IP 192.168.1.1 ใส่ User name และ Password ของระบบ แล้วเลือกที่ Setup กำหนดค่า

 IP address ของ RV042 ผมก็เปลี่ยนจาก 192.168.1.1/24 เป็น 192.89.1.254/24 โปรโตคอล แบบ PPPoE ใส่ User name และ Password ซึ่่งผมใช้บริการกับ CSloxinfo แบบ FIX IP ครับ เสร็จแล้วก็กด Save Settings ไปจากนั้นไปที่เมนู VPN แล้วเลือกที Gateway to Gatway สร้าง Tunnel สำหรับเชื่อมต่อไปยังเน็ตเวิร์กอีกฝั่ง


 จากรูปน่ะครับ ผมตั้งชื่อการเชื่อมต่อว่า bangbo to cordial ส่วน Interface ใช้ Port WAN1 จากค่าที่กำหนดก่อนหน้านี้
-  Local Security Gateway Type  เป็นไอพี่ที่ได้รับจากผู้ให้บริการอินเตอร์เน็ต ถึงตรงนี้ถ้าเราตั้ง WAN1 อย่างถูกต้อง ไอพีจะแสดงขึ้นมาอัตโมัติไม่สามารถเปลี่ยนแปลงได้ เป็นไอพีจริงตรงตามข้อตกลงที่ขอใช้บริการ 53.136.23.xx
    IP address คือ Network ID ของเครือข่ายภายในเป็น 192.89.1.0
    Subnet Mask : 255.255.255.0
- Remote Security Gateway Type เป็นไอพีที่ต้องการเชื่อมต่อเข้าด้วยกันกับเน็ตเวิร์กนี้ ไอพีดังกล่าวเป็นไอพีจริงเช่นกัน เป็น58.136.23.xx 
    IP address คือ Network ID ของเครือข่ายที่เราต้องการจะ VPN ไปหาซึ่งกำหนดเป็น 192.89.0.0
    Subnet Mask : 255.255.255.0 เช่นเดียวกัน
ส่วน IPSec setup ตามรูปเลยน่ะครับ ค่าที่สำคัญคือ Preshared Key ซึ่งทั้ง 2 ฝั่งต้องตั้งให้เหมือนกัน ไม่งั้นในเรื่องของ Secure จะไม่ผ่าน เสร็จแล้วก็ Save settings
ทดสอบการเชื่อมต่อโดยใช้ คำสั่ง ping
ping จาก Local ไปยังเครื่อข่ายที่ทำเชื่อมต่อแบบ VPN

ทดสอบจากอีกฝั่ง

ถ้าทั้ง 2 ฝั่งใช้ Linksys RV042 ก็เซ็ตค่าเหมือนกันเพียงแต่สลับค่า Local กับ Remote แต่ที่ผมใช้อยู่ฝั่งหนึ่งเป็น RV042 อีกฝั่งเป็น pfSense ก็ OK

การทำ VPN แบบ PPTP Server บน pfSense

ต่อจากการทำ VPN แบบ PPTP บน Linksys RV042 วันนี้มาแนะนำการทำ VPN บน pfSense กันต่อเลยน่ะครับ pfSense เป็นระบบที่ใช้ในการจัดการ firewall ให้ง่ายขึ้น พัฒนามาจาก FreeBSD จากที่ทดลองใช้งานจนถึงวันนี้ 1 ปีกว่าๆ ยังไม่เกิดปัญหาใดๆ นับว่าเป็น Open firewall ที่มีความเสถียรตัวหนึ่งเลยที่เดียว โดยส่วนตัวผมทดลองใช้อยู่หลายตัวเหมือนกัน แต่ขอบเขตของความต้องการโดยส่วนตัว pfSense สามารถตอบได้ตรงใจผมได้ดีในขณะนั้น จนวันนี้อะไรๆ มันเปลี่ยน ความต้องการมีมากขึ้นทุกวัน แต่อย่างน้อย pfSense ก็สามารถช่วยเราได้ในระดับหนึ่ง จริงๆแล้วไม่เกี่ยวอะไรกับ VPN หรอก แต่อยากบอกว่า pfSense มีประสิทธิถาพไม่น้อยกว่า  open linux ตัวอื่นๆเลย สิ่งสำคัญอยู่ที่การนำไปใช้ และการจัดการที่ดีมากกว่า เข้าเรื่องเลยแล้วกัน การทำ VPN มีธีดังนี้
1. เข้าไปโหมด admin ของ pfSense เลือก เมนู  VPN -> PPTP


2. เลือก Enable PPTP Server


Max.Current Connections คือ Client สามารถเชื่อมต่อเข้ามาได้พร้อมกันสูงสุด 16 connections

Server Address คือ IP address ที่ใช้เชื่อมต่อ ของผมเป็นแบบ Fix IP เพื่อให้ Client เชื่อมผ่าน IP นี้เข้ามา
Remote Address Range คือ IP Pool ที่ต้องการจ่ายให้ client ที่เชื่อมต่อเข้ามาแล้ว ให้เริ่มใช้ IP 192.89.0.32 เป็นต้นไป

3. สร้าง User account เลือกที่ Users


4. การสร้าง Network connection ในเครื่อง Client ดูได้

การทำ VPN บน pfSense

pfSense ทำ VPN ใช้ตั้งนานแล้ว ถือว่านิ่งมากเลยสำหรับระบบ Unix ตัวนี้ เอามาเก็บไว้ในเว็ปดีกว่า เดี่๋ยวลืมเผื่อได้ใช้ เดิมทีที่ทำงานผมใช้ Lead line แต่คำนวณราคากับงานที่ใช้ไม่คุ้มค่า เลยยกเลิก Lead line มาใช้ VPN แทน สำนักงานมี 2 แห่งทำ VPN กัน ฝั่ง Local คือฝั่งที่ตั้ง pfSense เป็นสำนักงานใหญ่ กทม. อีกฝั่งคือ ฝั่ง Remote ใช้ Router Linksys RV042 ที่สมุทรปราการ

บน pfSense  ไปที่ VPN > IPsec แล้ว Click ผมกำหนดค่า แบบนี้

และ Service ของ IPsec


คุยไม่เก่ง เอาเนื้อๆ จบ

Shell script clear Squid Cache on pfSense

จากการที่ใช้ pfSene ทำเป็น firewall , proxy server นั้น นานนับปีแล้ว อย่างที่เคยบอกไป pfSense มันเสถียรพอได้ จนถึงตอนนี้ยังไม่พบปัญหากวนใจเลย ที่ต้องตรวจเช็คอยู่บ่อยๆ ก็คือ หน่วยจำ cache ของ pfSense ครับ วันนี้มาแนะนำการสร้าง shell script เพื่อลบ cache กันครับ

1. เชื่อมต่อไปยังเครื่องที่ติดตั้ง pfSense โดยเปิด terminal ขึ้นมาแล้วใช้คำสั่ง

ssh -l root ippfSense

ตัวอย่างของผมเป็น

ssh -l root 192.89.0.254

ใส่พาสเวิร์ดให้ถูกต้อง แล้วกด 8 -> กด Enter ดังรูป

2. ทำการสร้าง shell  โดยตั้งชื่อเป็น squid.sh (หรือชื่ออะไรก็ได้ แต่ต้องมีนามสกุล .sh)

vi /var/squid/squid.sh 

แล้วพิมพ์โค้ดด้านล่างลงไป

/usr/local/etc/rc.d/squid.sh stop
 rm -rf /var/squid/cache/
 mkdir -p /var/squid/cache/
 chown squid:squid /var/squid/cache/
 chmod 777 /var/squid/cache/
 squid -z
 /usr/local/etc/rc.d/squid.sh start

จากนั้น save โดยกด :wp
3. กำหนดสิทธิ์ให้กับ squid.sh

chmod 777  /var/squid/squid.sh

4. สั่งให้ script ทำงาน เพื่อเคลียร์ cache กันครับ ใช้คำสั่ง

/var/squid/squid.sh

note : ตำแหน่งพาธ /var/squid/cache/  แต่ละเครื่องอาจจะไม่เหมือนกันน่ะครับ รูปด้านล่างเป็นตัวอย่าง ของผม