O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.
A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.
Este documento descreve as etapas para instalar e configurar o pfSense Community Edition como um Balanceador de Carga para Bate-papo e E-mail Corporativos (ECE).
A Cisco recomenda que você tenha conhecimento destes tópicos:
As informações neste documento são baseadas nestas versões de software:
As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.
O pfSense Community Edition é um produto multifuncional que fornece um Firewall, Balanceador de Carga, Scanner de Segurança e muitos outros serviços em um único servidor. O pfSense é construído no Free BSD e tem requisitos mínimos de hardware. O Balanceador de carga é uma implementação do HAProxy e uma GUI fácil de usar é fornecida para configurar o produto.
Você pode usar esse balanceador de carga com o ECE e o Contact Center Management Portal (CCMP). Este documento fornece as etapas para configurar o pfSense para ECE.
Use o site do pfSense para fazer o download da imagem do instalador iso.
Configure uma VM com os requisitos mínimos:
· CPU compatível com amd64 (x86-64) de 64 bits
· 1 GB ou mais de RAM
· Unidade de disco de 8 GB ou mais (SSD, HDD, etc.)
· Uma ou mais placas de rede compatíveis
· Unidade USB inicializável ou unidade óptica de alta capacidade (DVD ou BD) para instalação inicial
Para a instalação em laboratório, somente uma interface de rede (NIC) é necessária. Há várias maneiras de executar o dispositivo, mas a mais fácil é com uma única placa de rede, também chamada de modo de um braço. No modo de um braço, há uma única interface que se comunica com a rede. Embora essa seja uma maneira fácil e adequada para um laboratório, não é a maneira mais segura.
Uma maneira mais segura de configurar o dispositivo é ter pelo menos duas NICs. Uma placa de rede é a interface WAN e se comunica diretamente com a Internet pública. A segunda placa de rede é a interface LAN e se comunica com a rede corporativa interna. Você também pode adicionar outras interfaces para se comunicar com várias partes da rede que têm regras de segurança e firewall diferentes. Por exemplo, você pode ter uma placa de rede conectada à Internet pública, uma conectada à rede DMZ, onde estão todos os servidores Web acessíveis externamente, e uma terceira placa de rede conectada à rede corporativa. Isso permite que usuários internos e externos acessem com segurança o mesmo conjunto de servidores Web mantidos em uma DMZ. Assegure-se de que o compreenda as implicações de segurança de qualquer projeto antes da implementação. Consulte um engenheiro de segurança para garantir que as melhores práticas sejam seguidas para sua implementação específica.
Consulte este documento para obter instruções passo a passo.
Você deve atribuir endereços IP ao equipamento para continuar a configuração.
Observação: este documento mostra um dispositivo configurado no modo one-arm.
Se você precisar de suporte para VLAN, responda y à primeira pergunta. Caso contrário, responda n.
A interface WAN é o lado não seguro do dispositivo no modo de dois braços e a única interface no modo de um braço. Digite o nome da interface quando solicitado.
A interface LAN é o lado seguro do dispositivo no modo de dois braços. Se necessário, insira o nome da interface quando solicitado.
Configure quaisquer outras interfaces necessárias para sua instalação específica. Elas são opcionais e não comuns.
Se a sua rede suportar DHCP, o endereço IP atribuído será mostrado na tela do console.
Console pfSense
Se não houver endereço atribuído ou se você quiser atribuir um endereço específico, execute estas etapas.
Em seguida, você receberá uma confirmação de que as configurações foram atualizadas.
Confirmação do pfSense
Observação: você deve usar HTTP e não HTTPS inicialmente.
Logon do administrador do pfSense
Clique em Next (Avançar) nas duas primeiras telas.
Assistente para configuração do pfSense - 1
Forneça o nome do host, o nome do domínio e as informações do servidor DNS.
Assistente para configuração do pfSense - 2
Valide as informações de endereço IP. Se você escolheu DHCP inicialmente, poderá alterá-lo agora.
Forneça o nome de host do servidor de horário NTP e selecione o fuso horário correto na lista suspensa.
Assistente para configuração do pfSense - 3
Continue no assistente de configuração até o final. A interface GUI é reiniciada e você é redirecionado para a nova URL depois de concluído.
GUI pfSense - menu suspenso Admin
GUI pfSense - Configuração do administrador
Observação: certifique-se de selecionar o botão Salvar antes de continuar. Em seguida, você é redirecionado para o novo link https.
Se necessário, configure as informações de proxy na guia Diversos. Para concluir a instalação e a configuração, o equipamento deve ter acesso à Internet.
GUI pfSense - Configuração de proxy
Observação: certifique-se de selecionar o botão Salvar depois de fazer as alterações.
Observação: pode levar alguns minutos para carregar todos os pacotes disponíveis. Se o tempo limite for excedido, verifique se os servidores DNS estão configurados corretamente. Frequentemente, uma reinicialização do dispositivo corrige a conectividade com a Internet.
GUI pfSense - Lista de pacotes
Observação: não selecione o pacote haproxy-devel.
O pfSense pode criar um certificado autoassinado ou pode integrar-se com uma CA pública, uma CA interna ou pode atuar como uma CA e emitir certificados assinados por uma CA. Este guia mostra as etapas para integração com uma CA interna.
Antes de iniciar esta seção, verifique se você tem esses itens disponíveis.
GUI pfSense - menu suspenso Certificados
GUI pfSense - Lista de certificados CA
Selecione o botão Add.
GUI pfSense - Importação de CA
Conforme mostrado na imagem:
1. Forneça um nome exclusivo e descritivo
2. Selecione Importar uma Autoridade de Certificação existente na lista suspensa Método.
3. Verifique se as caixas de seleção Trust Store e Randomize Serial estão marcadas.
4. Cole o certificado inteiro na caixa de texto Dados do certificado. Certifique-se de incluir as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.
5. Selecione Salvar.
6. Verifique se o Certificado é importado conforme mostrado na imagem.
GUI pfSense - Lista de CA
GUI pfSense - CA Intermediate Import
Repita as etapas para importar o certificado CA raiz e importar o certificado CA intermediário.
GUI pfSense - Links da CA
Revise as Autoridades de Certificação para garantir que o Intermediário esteja corretamente encadeado ao certificado raiz conforme mostrado na imagem.
Descreve as etapas para criar um CSR, exportar o CSR e importar o certificado assinado. Se você já tiver um certificado existente em um formato PFX, poderá importar esse certificado. Consulte a documentação do pfSense para obter esses passos.
1. Selecione o menu Certificados e, em seguida, selecione o botão Adicionar/Assinar.
GUI pfSense - Lista de certificados
2. Preencha o formulário de Solicitação de Assinatura de Certificado.
GUI pfSense - Criação de CSR
GUI pfSense - CSR Avançado
Observação: o nome comum é automaticamente adicionado ao campo SAN. Você só precisa adicionar outros nomes necessários.
Selecione Salvar quando todos os campos estiverem corretos.
3. Exporte o CSR para um arquivo.
GUI pfSense - Exportação CSR
Selecione o botão Exportar para salvar o CSR e, em seguida, assine-o com sua CA. Quando tiver o certificado assinado, salve-o como um arquivo PEM ou Base-64 para concluir o processo.
4. Importe o certificado assinado.
GUI do pfSense - Importação de certificado
Selecione o ícone do Lápis para importar o certificado assinado.
5. Cole os dados do certificado no form.
GUI do pfSense - Importação de certificado
Selecione Update para salvar o certificado.
6. Revise os dados do certificado para garantir que estejam corretos.
GUI pfSense - Lista de certificados
7. Repita esse processo se desejar hospedar vários sites neste pfSense.
Pelo menos um IP é necessário para hospedar sites no pfSense. No pfSense, isso é feito com VIPs (IPs Virtuais).
GUI pfSense - Menu suspenso VIP
GUI pfSense - Página inicial do VIP
GUI pfSense - Configuração VIP
Use as informações para adicionar um VIP.
Selecione Save para confirmar a alteração.
Repita esse procedimento para cada endereço IP necessário para a sua configuração.
GUI pfSense - Lista VIP
Selecione o botão Apply Changes depois que todos os VIPs tiverem sido adicionados.
o pfSense tem um firewall integrado. O conjunto de regras padrão é muito limitado. Antes de colocar o dispositivo em produção, certifique-se de criar uma política de firewall abrangente.
GUI pfSense - Lista suspensa de regras de firewall
GUI pfSense - Lista de regras de firewall
Observe que um botão adiciona a nova regra acima da linha selecionada, enquanto o outro adiciona a regra abaixo da regra selecionada. Qualquer botão pode ser usado para a primeira regra.
GUI pfSense - Configuração da regra de passagem de firewall
Use as informações para criar a regra.
Selecione Save.
Selecione o botão Adicionar para inserir a regra abaixo da regra recém-criada.
GUI pfSense - Configuração de regra de queda de firewall
Selecione Save.
GUI pfSense - Lista de regras de firewall
Se necessário, arraste as regras para classificá-las.
Selecione Aplicar alterações quando as regras de firewall estiverem na ordem necessária para o seu ambiente.
Conceitos do HAProxy
O HAProxy é implementado com um modelo de front-end/back-end.
O Front-end define o lado do proxy com o qual os clientes se comunicam.
O Front-end consiste em uma combinação de IP e Porta, vinculação de certificado e pode implementar alguma manipulação de cabeçalho.
A infraestrutura define o lado do proxy que se comunica com os servidores Web físicos.
O back-end define os servidores e portas reais, o método de balanceamento de carga para atribuição inicial, verificações de integridade e persistência.
Um front-end sabe com qual back-end se comunicar usando um back-end dedicado ou ACLs.
As ACLs podem criar regras diferentes para que um determinado front-end possa se comunicar com backends diferentes, dependendo de várias coisas.
GUI pfSense - menu suspenso HAProxy
GUI pfSense - Configurações principais do HAProxy
Marque a caixa de seleção Habilitar HAProxy.
Digite um valor para Máximo de conexões. Consulte o gráfico nesta seção para obter detalhes sobre a memória necessária.
Insira um valor para a porta de estatísticas internas. Essa porta é usada para mostrar estatísticas de HAProxy no equipamento, mas não é exposta fora do equipamento.
Informe um valor para a taxa de atualização de estatísticas Internas.
Revise a configuração restante e atualize-a conforme necessário para o seu ambiente.
Selecione Salvar.
GUI pfSense - HAProxy Aplicar alterações
Observação: as alterações de configuração não são ativadas até que você selecione o botão Aplicar alterações. Você pode fazer várias alterações de configuração e aplicá-las todas de uma vez. A configuração não precisa ser aplicada para ser usada em outra seção.
Comece com a infraestrutura. A razão para isso é que o front-end deve referenciar um back-end. Verifique se você selecionou o menu Back-end.
GUI pfSense - HAProxy Adicionar Back-end
Selecione o botão Add.
GUI pfSense - Início do back-end do HAProxy
Forneça um nome para o back-end.
Selecione a seta para baixo para adicionar o primeiro servidor à lista de servidores
Infraestrutura - Lista de servidores
Forneça um nome para referenciar o servidor. Isso não precisa corresponder ao nome real do servidor. Este é o nome que é mostrado na página de estatísticas.
Forneça o endereço do servidor. Isso pode ser configurado como um Endereço IP para FQDN.
Forneça a porta à qual se conectar. Esta deve ser a porta 443 para ECE.
Marque a caixa de seleção Criptografar(SSL).
Forneça um valor no campo Cookie. Este é o conteúdo do cookie de fidelidade da sessão e deve ser exclusivo dentro do back-end.
Depois que o primeiro servidor tiver sido configurado, selecione a seta para baixo para configurar quaisquer outros servidores Web no ambiente.
Infraestrutura HAProxy - Balanceamento de carga
Configure as opções de Balanceamento de carga.
Para servidores ECE, deve ser definido como Conexões Mínimas.
Infraestrutura HAProxy - Verificação de integridade
As listas de controle de acesso não são usadas nesta configuração.
As configurações de tempo limite/repetição podem ser deixadas com a configuração padrão.
Configurar a seção Verificação de integridade.
Certifique-se de incluir um espaço após a barra invertida final, mas antes do FQDN do servidor.
Infraestrutura HAProxy - Persistência de Cookies
Deixe as verificações do Agente desmarcadas.
Configurar a persistência do cookie:
Infraestrutura HAProxy - HSTS
As seções restantes do formulário de configuração da infraestrutura podem ser deixadas com as suas configurações padrão.
Se desejar configurar o HSTS, configure um valor de tempo limite nesta seção. O ECE também insere um cookie HSTS para que essa configuração seja redundante.
Selecione Salvar.
Mude para o menu de Interface.
GUI pfSense - HAProxy Adicionar front-end
Selecione o botão Adicionar,
HAProxy - Cabeçalho de front-end
Forneça um nome para o Front-end.
Forneça uma descrição para ajudar a identificar o front-end posteriormente.
Na tabela Endereço externo:
Deixe o Máximo de conexões em branco.
Verifique se o Tipo está selecionado como http / https(offloading).
Infraestrutura HAProxy - Seleção padrão da infraestrutura
A configuração mais fácil é escolher um back-end padrão no menu suspenso. Isso pode ser selecionado quando o VIP hospeda um único site.
Infraestrutura HAProxy - ACL Avançada
Como mostrado na imagem, as ACLs podem ser usadas para redirecionar um único front-end para vários back-ends com base nas condições.
Você pode ver que a ACL verifica se o host na solicitação começa com um nome e um número de porta ou simplesmente o nome. Com base nisso, uma infraestrutura específica é usada.
Isso não é comum com ECE.
Interface HAProxy - Associação de certificado
Na seção Descarregamento de SSL, selecione o certificado criado para uso com este site. Este certificado deve ser um certificado de servidor.
Selecione a opção Add ACL para o certificado Subject Alternative Names.
Você pode deixar as opções restantes com seus valores padrão.
Selecione Salvar no final deste formulário.
HAProxy - Aplicar configuração
Selecione Apply Changes para confirmar as alterações de front-end e back-end na configuração atual.
Parabéns, você concluiu a instalação e a configuração do pfSense.
Revisão | Data de publicação | Comentários |
---|---|---|
1.0 |
26-Feb-2024 |
Versão inicial |