|
写在前面: 还是老话,自己架设的过程,图片就不贴了~~没时间的说~~
m0n0, pfsense 都是硬件级的防火墙, 适用于 网吧,中小型企业. 特别是 pfsense, 可做流量均衡, 接上N个 ADSL, 速度爽的要死~~
 俺现在的这个公司就是 三根ADSL, 分别为 4,8,8 M因 一根ADSL为 IP电话专用, 故~~ 流量均衡只做了两根, 另一根接防火墙 桥接~~~
等会再贴 公司用的情况~~ 先把教程 转上~~~ 有兴趣的朋友, 可与俺共同研究~~
================================================================================
pfSense是一款功能强大的免费路由器软件，它是在著名的路由器软件mOnOwall基础上开发的，增加了许多mOnOwall没有的功能(pfSense的官方网站称它为the better mOnOwall)．PfSense除了包含宽带路由器的基本功能外，还有以下的特点：
基于稳定可靠的FreeBSD操作系统，能适应全天候运行的要求． 具有用户认证功能，使用Web网页的认证方式，配合RADIUS可以实现记费功能． 完善的防火墙，流量控制和数据包过滤功能，保证了网络的安全，稳定和高速运行． 支持多条WAN线路和负载均衡功能，可大幅度提高网络出口带宽，在带宽拥塞时自动分配负载． 内置了Ipsec和PPTP VPN功能，实现不同分支机构的远程互联或远程用户安全地访问内部网． 支持802。1Q VLAN标准，可以通过软件模拟的方式使得普通的网卡能识别802。1Q的标记，同时为多个VLAN的用户提供服务． 支持使用额外的软件包来扩展pfSense功能，为用户提供更多的功能(如FTP和透明代理)． 详细的日志功能，方便用户对网络出现的事件分析，统计和处理． 使用Web管理界面进行配置(支持SSL)，支持远程管理和软件版本自动在线升级． 以目前一台硬路由拆开看，CPU多是ARM9或intel的，其它部件都是嵌入式的。同性能的情况下但是价格却和我们自己组装的软路由价格相差十几倍。品牌又要说到售后服务了，别蒙事了，大伙说值嘛？用过品牌路由的人来说说，确实狗屁不值那么多Money。 其实自己装个路由很简单，真是很简单，别管是用PC元件还是服务器元件，都很简单，只不过是主板＋内存＋硬盘＋CPU的组合而已。 pfSense对计算机硬件的要求很低： CPU普通就好(随着服务的机器越多，当然准备越快越好) RAM至少需要128MB 安装空间至少128MB，可安装在CDROM，HD，CF卡上 网卡要准备两张作NAT，如果要再架设无线基地台，再加上一张无线网路卡即可 (最好是Atheros晶片) 以下是pfSense的WEB界面 硬件安装 现在来介绍硬件的安装，别一听到安装就怕了，很多牛B的服务器都是玩家自己DIY出来的，呵呵，其实只要把旧电脑拿出来，插上CPU，内存，和载体，外加两片网卡就可以了：） 让我们来看看需要什么东西呢！(前提是自己的硬件要符合pfsense的兼容)
两片Intel 82250，一片D-Link G520：  一个IDE转CF卡和一张128M CF卡
连接在一起的样子：
要架设无线，总不能用内建的2dBi的天线吧！至少也要10dBi的指向性天线： 一切都准备好了之后，请先加上一台CD机，毕竟我们要从CD机安装。 pfSense安装 这是开机后的画面，图中可以看到它抓到我有三片网卡，两片有线一片无线， 第一是先问你要不要设定VLAN，一般来说选no，如果有串接多个Hub才需要设定 接下来就要设定网卡了，设定你的LAN、WAN代号，最后在设定无线网卡代号 接下来进到这个画面之后，你可以选择先用光碟当firewall的感觉，确定要安装了请选99 第一个画面直接选Accept these Settings 选Install pfSense 选择你要安装的地方，我是放一张128MB的CF卡 要开始format你所选的CF卡了 Geometry不动，直接选Use this Geometry 按下去就真的format了 接下来要分割 把整个CF卡割成一割slices 真的要割下去了 接下来要装boot manager，直接选Accept and Install Bootblocks 把Boot manager安装在所选的CF卡上 按下去就真的装了 接下来是分割slices的partitions，请先选swap的del，我们不需要swap 删除Swap后就可以选Accept and Create 之后就会进入安装程序，在41%会停很久，别以为是死机了喔！ 安装完后重新开机，CD机可以移除了，然后就可以开始设定pfSense了 这是第一次安装好后进入的画面，请选2，要设定主机的IP
设定你的机器的IP，我设定192.168.0.254 Subnet mask 请选24，然后会问你要不要设定DHCP，暂时先不要吧，等到网页再来设定(也可以现在设定) 详细设置
当你成功的可以看到pfSense的画面后，就可以透过WebGUI来设定全部的功能 1. 先选择 System – > Setup Wizard 来基础设定 设定hostname和DNS Server 设定时区 设定WAN的上网方式，DHCP或是PPPoE，PPPoE的话下方要记得填写账号 设定LAN，之前已经设定过了，所以不需要动 设定admin的密码，预设是pfsense，改成你自己的密码 接下来让DHCP跑起来来 勾选Enable DHCP Server，然后设定IP配发的范围 DHCP设定画面下方，可以设定依据MAC address对配发固定IP 截至目前为止第一项工作已经完成了，接下来要作port forward Firewall -> NAT，要开始设定port forward 按＋来新增一条rule 以eMule为例，4662是TCP，4672是UDP，所以把TCP/UDP都打开，转发到内部192.168.0.10 如法炮製，新增了BT的port和Orb的port，最后按下Apply changes就会生效了， 每当多人使用的网路环境，有人跑P2P又不知节制给它跑全速的时候 这个时候………….等待pfSense发挥的时刻来临了，首先限流的概念要稍微说明一下，限流前你必须先建立几条不同的大小水管。 例如一条大水管叫做1号，这条水管的能耐是500Kb/s 再建立一条小水管叫做2号，这条水管的能耐是50Kb/s 之后我们就可以建立一些规则，来规定进出的规则 建立某些port只能走大水管，某些port只能走小水管 例如BT和eMule只能走小水管，两个流量加起来就是不能塞爆小水管 50kb/s的限制 或是PC1号和PC2号走大水管，PC3号PC4号走小水管之类的限制 就可以达到限制流量的功能当然除了限制流量，还可以控制优先权，例如你可以把P2P port网路的优先权 把他调到最低，把WWW和TELNET这两个网路优先权给调到最高， 那么防火牆在分配的时候就会以WWW和TELNET为优先，这样即使P2P上传 开到爆也没关係，因为它的网路使用优先权远低于WWW和TELNET 如果是一般IP分享器，大家使用权利一样，P2P一开，sessions数爆增，这个时候 当然P2P开几百个连线，而你只开一个WWW或是只上一个BBS，当然频宽会 抢输人家那么本篇的重点着重在于调整网路的优先权，让你可以P2P上传开到爆，要使用网路 的时候也不会变慢，当然如果你要限制P2P的上传流速也是可以的。 1. 开启 Firewall -> Traffic Shaper 进入Wizard 先调整上下传频宽，Inside请设定LAN，Outside设定WAN，上传下载请自行设定 设定VoIP的优先权，这个不是Skype，所以可以不用理他设定直接Next 重头戏，把P2P的使用权给降到最低，记得把eMule和BT给打勾 网路游戏优先使用带宽，有需要的人设定吧!  接下来是一般性的网络使用，至少把MSN，HTTP，DNS的priority给调到最高吧! 调高HTTP和DNS 简单的配置，到这边就完成了，按下Finish就开始运作了 接下来我们需要一些细部的微调，Firewall -> Traffic Shaper 刚刚的设置并没有为我们设定开BBS的优先权，外国人大概不开B 新增一个rule，要准备新增TELNET的进来的优先权， 下半部设定请把Destination改为LAN subnet，port都改成TELNET 接下来准备新增TELNET出去的优先权 下方设定一样把port改成TELNET，下方的描述是”m_Other TELNET Outbound” 接下来请在众多的Rules找到eDonkey和BT的选项，倘若你的ED和BT有改port请在这边修改 最后修改完，可以看到有telnet的in,out bound，接下来我们要去修改水管大小，选Queues 这一步是要把P2P的上传流量给固定住，上面设定P2P上传已经不影响网路使用了 如图所示，填入300Kb把P2P的上传控制在300Kb (K一定要大写)  最后Apply Changes就大功告成啦! 恭喜你已经有一套流量控管的防火墙系统  最后来检查一下是不是真的有限制住流量，Status -> Queues  我在qPenaltyUp这条水管设定300Kb，所以其他人的上传怎麽样都不会大于300Kb  以上可以做到了P2P开到爆不影响上网打B，而且也可以至接限制P2P的上传
那万一不知道人家用的P2P port怎麽办？或是类似utorrent可以选择random port该怎麽办? 那就把整个IP限速吧！ 在pfSense 1.01 Release裡面，针对IP限速没有设置可以用，但必须手动，就是建立两条水管，一进一出，把水管大小固定，然后规定那个IP只能够由这两个水管进出，就可以达到限流………但是怎么这么麻烦，不用怕啦 截至目前为止我想大家最需要的功能已经写完了，pfSense还有很多特异功能可以玩像是IPSec、PPTP、miniupnpd、Dual LAN、load balancer、transparaent proxy无线基地台、网页认证功能…….等等…….好多好多………..欢迎共同研究。 |
|
|
来自： star_xiong > 《linux》
