ESXi + segregação de tráfego pfsense

Question

Eu sou novo em configurar o trabalho em rede com o ESXi e trabalhar com o pfsense, então, por favor, desculpe se isso não pode ser feito ou estou perguntando algo errado.

Estou usando o ESXi 5.5.0 e quero hospedar alguns honeypots na minha rede que sejam acessíveis à Internet, mas os honeypots em si não podem acessar nada fora de sua sub-rede. Idealmente, eu encaminharia portas específicas como 21, 22, 80, 443 para várias máquinas honeypot.

Agora, também estou hospedando isso em casa, então gostaria de separar minha rede honeypot da minha rede doméstica. Minha rede doméstica não pode tocar em nada na rede honeypot e vice-versa.

Minha configuração atual é esta: Internet - > modem - > combo roteador / switch consumidor. Nesse combo de switch estão meus dispositivos sem fio e outros dispositivos domésticos. Também anexado a ele é o meu servidor ESXi. Meu servidor ESXi também possui a seguinte configuração de rede:

Eminhacaixapfsensetemasseguintesinterfaces:

Neste ponto, quase tudo está funcionando, exceto por dois problemas:

1. Caixas na minha rede honeypot (10.0.0.x) podem falar com caixas na minha rede doméstica (192.168.1.x)
2. O servidor DHCP em execução na minha interface LAN pfsense (em1) está distribuindo endereços IP que o meu roteador de clientes deve distribuir. Então, quando meu telefone se conecta ao meu wifi, ele recebe um endereço do pfsense, quando não deveria ser.

Então, minha pergunta é: como posso obter isso de forma adequada, para que as duas redes não possam se comunicar e que o DHCP não esteja distribuindo endereços fora de sua rede?

Obrigado! Eu realmente aprecio a ajuda!

    

Answer 1

1. Configure uma regra de IPTables para eliminar o tráfego de encaminhamento de 10.0.0.0/24 a 192.168.1.0/24

2. Desative o DHCP na sua caixa pfsense se você não precisar e definir estaticamente os endereços IP em sua rede honeypot. Você não deseja que as caixas atualizem a concessão do DHCP se você tiver regras de firewall / NAT apontando para endereços IP específicos.

3. Verifique se você desativou a capacidade de administrar seu roteador / firewall (pfsense neste caso?) de seu honeypot. No caso de uma das suas caixas ficar enraizada, você não quer que elas sejam capazes de se libertar.

4. Certifique-se de que sabe o que está fazendo antes de abrir as comportas da Internet para seus honeypots - uma configuração incorreta pode ter conseqüências desastrosas.

Answer 2

"Certifique-se de que sabe o que está fazendo antes de abrir as comportas da internet para seus honeypots - uma configuração incorreta pode ter conseqüências desastrosas."

Preste muita atenção a isso - este é um ótimo conselho.

Eu também sugeriria se você pudesse fazê-lo, talvez instalando ou implantando algum tipo de intermediário para varrer esse tráfego como uma versão dev / free do ArcSight ou qualquer McAfee DLP. Você está prestes a se expor.

    

Answer 3

Antes de olhar para o iptables ou qualquer outra coisa.

Onde estão os 2 cabos Ethernet mapeados para o vmnic0 e o vmnic1 conectados?

Essas duas conexões devem existir em seu host VMware  - em Ethernet Ethernet separada  - ser conectado fisicamente a diferentes sistemas, ou seja, um para a caixa pFsense, um para sua LAN.

Em outras palavras, certifique-se de que sua camada física 2 esteja separada antes de tentar algo eótico.

============================= Estrutura ================= === 1) onde está a sua conexão WAN? O pFsense precisa de 2 vnics, 1 dos quais deve se conectar fisicamente à sua WAN física (e não à LAN rotulada como WAN em sua configuração)

então AFAIK você precisa de 3 vnics isolados para fazer o que quiser.

1) LAN / Mgmgnt 2) rede Honeypot 3) sua conexão WAN no PFsense

em nenhum momento você pode conectar qualquer um dos 3 ethernets que saem do seu host VMware no mesmo switch de hub, a menos que você configure o isolamento entre as portas envolvidas.

caso contrário, seu crosstalk está chegando no nível de cobre (camada 2).