Firewall Router Openvpn IPSec VPN

1. pfSense
SOFTWARE DEFINE NETWORK – ROUTER / FIREWALL
軟體式定義網路 – 路由器 / 防火牆

2. pfSense – 功能
 FREEBSD based *** & Open source
 無中文界面 目前對岸漢化進行到 43%
 支援 VLAN, DNS, DDNS, NAT, DHCP, IPSec/OpenVPN, LDAP/Radius,
HA, Load Balancing, Alias***
 Package: Squid (proxy), Squid Guard (content filter), Snort (IPS/IDS),
HAVP (AV)
 有 Web GUI, 就連手機界面聯入都可以進行管理
 結論: Fortigate/Juniper 能做得到的, pfSense 全部都做得到, F & J 做不
到的 pfSense 也都做得到 – 支援 AES-NI, QuickAssist & DPDK 可以虛擬
化運行在 AWS/VM/VMware 上. 同時也可以使用 Lets Encrypt SSL.

3. pfSense – HA 架構

4. pfSense – 歐美 IT 從事人員排名
Over 173,054 professionals have used IT Central Station research on enterprise tech.
https://www.itcentralstation.com/categories/firewalls

5. pfSense
這麼好的東西, 為什麼在台灣的我們都不知道?

6. pfSense – 挑戰的地方/迷思
 因為它是 FreeBSD, 它真的很難
 沒有中文界面
 不知道如何獲得支援
 如何在強大軟體功能上配置適合的硬體設備?
 實體 pfSense 跟 pfSense VM 有什麼差別?
 Asus 的無限路由很好啊, 為什麼要自建?

7. pfSense 3.0 – 未來規劃圖
 python
 REST API
 Intel QuickAssist
 Intel DPDK
 AES-GCM

8. 什麼是 真正 10 gbps
 Linux Bridge & ovsswitch 是無法跑到 10 gbps
 Jumbo frame 1500 vs 9000
 RFC 1191 MTU Path Discovery

9. pfSense – QuickAssist 重要性
 quickassist x86 是硬體式的 壓縮以及加密的 packets
 有 quickassist 的支援, ipsec vpn throuput 才可能達到 1gbps 以上
參閱 http://www.intel.com/content/www/us/en/embedded/technology/quickassist/overview.html

10. pfSense – DPDK 重要性
Data Plane Development Kit
是 Intel 提供出來的 library 給各家軟體/硬體開發者, 來優化它們的軟體, 或是在它們
上的硬體上面來做利用 Intel QuickAssist 架構加速處理封包. 沒有 DPDK 就不太可
能在 x86 的架構上達到
14.88 Mpps (million packets per sec) @ 1500 mtu = 10 gbps
有使用 DPDK 的公司
參閱 http://www.intel.com/content/dam/www/public/us/en/documents/white-papers/cisco-nfv-partnership-paper.pdf

11. pfSense 替代方案
RouterOS
DD-WRT
Untangle NG Firewall (付費)

12. pfSense – 實體照片
Intel C2758 atom
適用於 IDC 機房以及 500人以上的
公司
*QuickAssist & AES-NI
Intel C2558 atom
適用於 100人以上的公司
*QuickAssist & AES-NI
** 有在現場
pfSense in VM
家用或是 50人以下的公司
*有在現場
**VM 秘技會後討論