Controleer of de pfSense-internetverbinding goed werkt
Wanneer we een internetverbinding hebben met een besturingssysteem bedoeld voor professionele omgevingen zoals pfSense, is het absoluut noodzakelijk om extern te controleren of de internetverbinding correct werkt, om configuratieproblemen in VPN-servers of in VPN-tunnels, waaronder wij beschikken, uit te sluiten. geconfigureerd. Dankzij UptimeRobot zullen we op afstand kunnen controleren of de internetverbinding goed werkt, maar eerst zullen we enkele zeer specifieke configuraties in pfSense moeten maken, zodat het besturingssysteem geen valse aanvallen detecteert.
Wat is UptimeRobot en hoe bewaakt het de verbinding?
UptimeRobot is een volledig gratis webservice waarmee we de internetverbinding op afstand kunnen controleren. Deze service heeft tientallen servers verspreid over de hele wereld, die via TCP, UDP en zelfs ICMP verbinding met ons team zullen proberen te maken om te verifiëren dat de 'internet verbinding werkt naar behoren. Met de gratis versie kunnen we tot 50 hosts met tussenpozen van 5 minuten controleren, genoeg voor een thuisomgeving en voor kleine en middelgrote bedrijven, hoewel het mogelijk is dat u in uw bedrijf sneller moet weten als de internetverbinding wegvalt . Als je de premium-versie koopt, kun je intervallen van één minuut instellen om te controleren of de internetverbinding goed werkt, en heb je meer hosts om op te letten, allemaal gecentraliseerd in hetzelfde account.
In RedesZone hebben we deze service al uitgebreid besproken, maar als we een besturingssysteem gebruiken zoals pfSense, dat zeer configureerbaar is en in staat is om denial of service-aanvallen en brute force-aanvallen te detecteren, kan het deze verbindingen detecteren. als mogelijke aanvallen en blokkeer direct de communicatie vanaf het bron-IP. Hetzelfde gebeurt als we een IDS / IPS hebben geconfigureerd in pfSense zelf, het kan het als een bedreiging detecteren. Als het besturingssysteem het IP-adres van de bron blokkeert en niet "reageert" op UptimeRobot, zal het detecteren dat de internetverbinding niet beschikbaar is, terwijl dit echt het geval is, en ons een valse waarschuwing geven.
Een functie die we erg leuk vonden aan UptimeRobot, is dat we hierdoor meldingen kunnen ontvangen via e-mail, Telegram, Twitter, Slack, Microsoft Teams en meer, zodat we altijd een melding hebben als er iets misgaat. Daarnaast kunnen we nog steeds de officiële UptimeRobot-app voor Android en iOS installeren:
Als we eenmaal weten wat UptimeRobot voor ons kan doen, laten we eens kijken hoe we pfSense correct kunnen configureren om valse aanvalswaarschuwingen te voorkomen.
Configureer pfSense zodat UptimeRobot niet wordt geblokkeerd
Hoewel UptimeRobot meerdere servers over de hele wereld heeft om verschillende hosts te controleren en valse positieven te voorkomen, is dit in veel gevallen niet genoeg, vooral als we onze pfSense-firewall erg goed hebben geconfigureerd. Alle controles die door UptimeRobot worden uitgevoerd, worden uitgevoerd vanuit Dallas-VS, maar wanneer een uitval wordt gedetecteerd, zullen de rest van de knooppunten over de hele wereld controleren of de verbinding echt is verbroken of niet. In RedesZone hebben we echter gecontroleerd dat dit niet genoeg is als u pfSense gebruikt, omdat het ons constant vertelt dat de internetverbinding goed werkt en het is uitgevallen, de controle schommelt tussen de twee toestanden.
In ons geval wordt de verificatie van de juiste werking van de internetverbinding uitgevoerd door een paar "controles" op de SSH-server van het pfSense-besturingssysteem, die we moeten activeren. We hoeven alleen de SSH-server te activeren en een specifieke luisterende TCP-poort te configureren, bijvoorbeeld poort 2222 voor SSH. Deze poort zal vanaf elke bron via internet toegankelijk zijn, zodat het besturingssysteem overal kan worden beheerd.
Om het probleem van valse positieven op te lossen, moeten we de webinterface voor de configuratie van het pfSense-besturingssysteem openen:
We gaan naar de SSH-sectie en zorgen ervoor dat deze is ingeschakeld en dat deze luistert op poort 2222 of een andere poort.
In het gedeelte "Verbindingsbeveiliging" moeten we elk van de bronnetwerken en UptimeRobot IP-adressen toevoegen. In deze "pass-lijst" hebben we de lijst met alle bron-IP-adressen die "controles" kunnen uitvoeren op de HTTPS-webserver of de geconfigureerde SSH-server, waarbij de beperkingen van de "verbindingsbeveiliging" die we hebben geconfigureerd, worden omzeild. .
Op de UptimeRobot officiële website, we hebben de lijst met alle bron-IP-adressen die ze gebruiken, hoeven we alleen bereik per bereik of IP-adres per IP-adres in te voeren. We hebben ook de IPv6-adressen die ze gebruiken, voor het geval je IPv6 hebt om toegang te krijgen tot internet. Tot slot bieden ze ons ook een txt-bestand met de lijst van alle IP-adressen om de configuratie van firewalls te vergemakkelijken.
Wanneer we de SSH-server in pfSense inschakelen en we willen dat ze toegang hebben vanaf internet met een bron-IP-adres, moeten we een regel maken in de »sectie Firewall / regels ", In deze regel moeten we zetten:
- Actie: Pass
- Interface: WAN
- Adresfamilie: IPv4 en/of IPv6.
- Protocol: TCP
- Bron: any
- Bestemming: WAN-adres
- Bestemmingspoortbereik: de poort van de SSH-server waar deze luistert, in ons geval 2222.
We raden u ook aan om alle pakketten die de firewall ontvangt te loggen, door de optie "Log de pakketten die door deze regel worden beheerd" te activeren, we zullen het tenslotte een beschrijving geven en op opslaan klikken.
Voordat we eindigen, is een belangrijk detail dat je de pfSense-regel in de WAN-sectie in de juiste volgorde plaatst, want als we een algemene deny-regel hebben boven die specifieke regel, blokkeer je het verkeer en werkt het buiten niet.
Als u de logboeken van het besturingssysteem ziet, ziet u het bron-IP-adres dat door UptimeRobot wordt gebruikt, evenals het bestemmings-IP-adres en de poort (ons). Van daaruit kun je controleren of het elke 5 minuten controleert of de internetverbinding goed werkt, of beter gezegd, of de pfSense SSH-server bereikbaar is via internet.
Als we eenmaal hebben gezien hoe we pfSense correct kunnen configureren, zullen we onthouden hoe we de regel in UptimeRobot moeten maken om onze pfSense te controleren.
Maak de bewakingsregel in UptimeRobot
We maken verbinding met UptimeRobot met onze inloggegevens. Als u deze tool nog nooit hebt gebruikt, moet u zich registreren voor de "gratis" versie. In het hoofdmenu kunnen we in het linkergedeelte alle gemaakte bewakingsregels zien, klik op » Een nieuwe monitor toevoegen Om een nieuwe regel te maken.
Het type monitor dat u moet gebruiken is "Poort", we geven het een beschrijvende naam, we plaatsen "Port: Custom Port" om de poort 2222 van de SSH-server die we zojuist hebben geconfigureerd, en het monitoring-interval te plaatsen. In de gratis versie van UptimeRobot staat dit ons een minimum interval van 5 minuten toe, logischerwijs, hoe meer controles er worden uitgevoerd voordat het ons waarschuwt dat er een probleem is met de internetverbinding, maar dit is niet alleen beschikbaar in de betaalde versie.
Vergeet niet te selecteren welke waarschuwingen u wilt verzenden, we kunnen een waarschuwing per e-mail, Telegram of een andere dienst ontvangen, op voorwaarde dat u deze van tevoren hebt geregistreerd.
Als we klaar zijn, klikken we op "Monitor maken" en laten we UptimeRobot draaien. Nu moet je in pfSense controleren of je het pakket correct hebt ontvangen, door de firewall-logs in de WAN-sectie te controleren, je kunt de logs filteren door de bestemmingspoort 2222 in te voeren, wat de SSH-poort is, je kunt ook controleren of het bron-IP adres binnen het bereik van IP-adressen valt dat we eerder hebben gespecificeerd.
Kan ik SSH-verbindingen beperken tot alleen UptimeRobot?
Als u SSH-server alleen voor UptimeRobot-adressen wilt inschakelen, om te controleren of de internetverbinding goed werkt, kunt u SSH-verbindingen beperken via een firewallregel. Als we naar binnen gaan" Firewall / aliassen »We kunnen een alias maken met alle bron-IP-adressen van UptimeRobot, om de configuratie van de regel aanzienlijk te vergemakkelijken. We kunnen de URL plaatsen bij het tekstbestand dat we eerder hebben verstrekt, en we plaatsen deze direct in de URL Alias (IP):
Hierdoor zullen we in staat zijn om alle IPv4- en IPv6-adressen automatisch en zonder één voor één door te nemen, om de configuratie aanzienlijk te vergemakkelijken. Zoals u kunt zien, verschijnen in het gedeelte Alias / URL die originele openbare IP's die door UptimeRobot worden gebruikt, al geladen:
We moeten nu de SSH-regel bewerken en definiëren:
- Adresfamilie: IPv4 en IPv6, om ook IPv6-adressen te dekken.
- Bron - Enkele host of alias: IP_UptimeRobot
En we klikken op "Opslaan" en passen de wijzigingen toe. Momenteel hebben alleen de bron-IP-adressen die zijn gedefinieerd in de aliassen, die overeenkomen met de IP-adressen van UptimeRobot, alleen toegang tot de SSH-server, zodat de SSH-server niet voor iedereen zichtbaar is.
Dankzij UptimeRobot en een goede configuratie in pfSense om valse positieven te voorkomen, kun je controleren of de internetverbinding correct werkt en dat je geen probleem hebt. Het is natuurlijk het meest aan te raden om het dynamische DNS-domein in de UptimeRobot zelf te plaatsen, want als je een dynamisch openbaar IP-adres hebt, zal dit zo nu en dan veranderen en kun je valse positieven krijgen van verlies van connectiviteit.
