QNAP jako zaawansowany router - pfSense na QNAP - krok po kroku

Jest wiele możliwości aby wykorzystać nasz serwer jako router. Mamy Zeroshell, Vyos lub bardziej znany OpenWRT lub Mikrotik Cloud Router. Ja jednak lubię stosować pfSense, jest to bardzo rozbudowane oprogramowanie, które bazuje na systemie FreeBSD. Oczywiście tutaj wymagana będzie wirtualizacji, jednak na początku trzeba wykonać konfigurację interfejsów sieciowych. Jeden musimy ustawić jako WAN, a drugi jako LAN. Konfiguracja nie jest trudna i ogranicza się do utworzenia dwóch wirtualnych switchy i przypisania do nich odpowiednich intefejsów sieciowych naszego serwera.

Założenia:

• serwer z procesorem x86 (Intel lub AMD)
• serwer musi posiadać min. dwie karty sieciowe
• serwer podłączony jest do internetu do pierwszej karty sieciowej oraz otrzymuje adres via DHCP
• druga karta sieciowa podłączona jest do switcha i adresacja sieci LAN to 10.4.10.0/24, adres naszej bramy będzie 10.4.10.1
• pula DHCP dla sieci LAN będzie od adresu 10.4.10.100 do adresu 10.4.10.200
• dostęp do QNAP będzie tylko w sieci LAN, pierwszy wirtualny switch nie będzie posiadał adresu IP, drugi ustawimy statyczny na 10.4.10.2 oraz wykonamy przekierowanie portuy 8080/tcp, 443/tcp oraz 443/udp dla QBelt na pfSense aby był dostęp z WAN do serwera QNAP przez WWW oraz VPN QBelt - celowe działanie aby "schować" serwer za firewall pfSense.

Do utworzenia tego wpisu wykorzystał QNAP TS-253Be wraz z kartą QM2-2S10G1T oraz kartę sieciową 10G/TB3 QNAP QNA-T310G1T.

Kartę via TB3 zastosowałem do konfiguracji całej natomiast dla pfSense wykorzystałem wbudowane interfejsy sieciowe.

Zatem zaczynamy. Musimy pobrać plik iso naszego pfSense i grać do katalogu na serwerze, u mnie to będzie Public.

Pobrany plik jest archiwum gz i musimy go rozpakować, ale to możemy już wykonać na naszym serwerze.

Przechodzimy do aplikacji Network & Virtual switch i jeżeli nigdy jej nie używaliśmy to musimu zmienić tryb na Zaawansowany - prawy dolny róg aplikacji.

Teraz też przechodzimy do sekcji wirtualnych switch i kliamy Dodaj.

Wybieramy oczywiście tryb Zaawansowany konfiguracji.

Wybieramy nasz pierwszy interfejs który będzie WAN dla naszego routera.

W kolejnym kroku zaznaczamy aby ten interfejs nie posiadał żadnego adresu IP.

Dalej nie zaznaczamy opcji związanych z NAT, serwerem DHCP.

W kolejnej sekcji dla IPv6 dajemy dalej, w kolejnym kroku w kwesti DNS też klimay dalej (screeny pomijam).

Potwierdzamy naszą konfiguracją i czekamy na dodanie wirtualnego switcha.

Podobnie wykonujemy dla interfejsu drugiego, który to będzie naszym LAN-em, tutaj tylko zaznaczamy aby switch otrzymał adres z DHCP dzięki czemu adres zostanie już przyznany z serwera DHCP pfSesne i będziemy mieli dostęp do serwera.

Na liście powinny pojawić się dwa nowe wirtualne switch-e.

Kolejnym krokiem jest utworzenie maszyny wirtualnej.

Jak widać na screen, rodzaj systemu to UNIX i FreeBSD. Wskazujemy iso naszego systemu oraz wybrałem Public jako miejsce gdzie będzie zapisana maszyna wirtualna. Dodatkowo ustawiłem już nasz wirtualny switch.

Kolejnym krokiem jest przejście do ustawień maszyny wirtualnej.

Musimy dodać drugą kartę sieciową do naszej maszyny.

Przechodzimy do sekcji ustawień i klikamy dodaj urządzenie.

Wybieramy nasz drugi switch oraz model karty sieciowej Virtio.

W edycji kart sieciowych zmieniamy model na Virtio dla naszej pierwszej wirtualnej karty sieciowej.

Zatem konfigurację mamy już za sobą. Teraz można maszynę uruchomić i przeprowadzić proces instalscji pfSense.

Sam instalator poprowadzi nas za rękę i praktycznie wybieramy tylko dalej ... dalej ... dalej :).

Wybieramy reboot i czekamy aż uruchomi się kreator pierwszej konfiguracji.

Pierwszym pytaniem będzie czy chcemy ustawić VLAN  - w naszej konfiguracji nie jest to wymagane.

Teraz wybieramy interfejs sieciowy wirtualny dla WAN - w naszym wypadku będzie to vtnet0.

Oraz podajemy interfejs dla LAN czyli vtnet1.

Akceptujemy konfigurację.

Teraz cierpliwie czekamy na dalsze uruchomienie systemu. Dla intefejsu WAN router otrzyma adres z DHCP tak jak tego chcieliśmy.

Jak widzimy domyślna sieć LAN gryzie się nam z siecią dla WAN, dlatego musimy to zmienić. Wybieramy 2 na klawiaturze i enter.

Teraz wybieramy interfejs który chcemy zmienić czyli też 2 i enter.

Tutaj podajemu w kolejnym kroku adres naszego routera w sieci LAN 10.4.10.1 oraz maskę 24 czyli 255.255.255.0. Pytania o IPv6 pomijamy gdyż mnie nie interesują.

Oczywiście na pytanie czy chcemy uruchomić serwer DHCP dla sieci LAN podajemy Y i podajemy zakres dla jakiego ma wybć pula DHCP, potwierdzamy zmiany, dzieki temu będziemy mogli przejsć do interfejsu WWW pfSense.

Teraz musimy zalogować się do naszego pfSense i zmienić jedną pozycję. Nie będę tego tutaj opisywał, a skieruje Was do mojego poprzedniego wpisu gdzie to skonfigurować: https://www.8px.pl/pfsensekvm-qnap-oraz-slaba-wydajnosc-sieci/

Teraz to wszystko, możemy teraz też dla naszego wirtualnego switcha LAN zmienić adres na statyczny czyli 10.4.10.2 oraz dodać przekierowanie portów aby serwer był dostępny z internetu - oczywiście o ile mamy publiczny IP. Może on być zmienny ale musi być publiczny. Jeżeli mamy zmienny adres IP to możemy wykorzystać DDNS w postaci myQNAPcloud.

Poniżej screen z mojego domowego pfSense.

I co ważne, aby zalogować się do interfejsu WWW stosujemy login admin oraz domyślne hasło pfsense.

Jeżeli chcemy dodać przekierowanie portu to musimy przsejść w menu firewall -> NAT -> port forwarding i dodać przekierowanie jak na screen poniżej.

Jak widzimy podajemy interfejs wejściowy, protokół oraz kolejno destynację - na jakim porcie będzie serwer dostępny z internetu oraz poniżej jego adres IP i port w sieci LAN. Proszę tylko nie stosować portu 8080 :) a 443 aby mieć połączenie https/szyfrowane.

I to tyle :)