Cascateando roteadores pfSense + UDM Pro para trabalharem juntos

Começando

A maneira mais fácil de começar é fazer uma configuração básica em cada aparelho separadamente. Conecte o cabo de Internet na porta WAN do pfSense e seu computador na porta LAN do pfSense (por exemplo, OPT1). Cada dispositivo pfSense tem configurações de número de portas diferentes e não cobrirei a configuração delas nesse post, mas certifique-se de configurar pelo menos uma porta WAN e uma porta LAN. Se o seu pfSense tem várias portas, como o Netgate SG-2440 (4 portas), você pode criar um WAN e três LAN para uso futuro.

Uma vez que o seu pfSense esteja funcionando e você tenha acesso à Internet através dele, substitua o pfSense pelo UDM Pro e faça uma configuração básica dele, que não vou cobrir neste post também.

Agora ambos os dispositivos estão funcionando individualmente e podemos configurá-los para trabalhar juntos!

Para este post, a seguinte convenção será utilizada:

• Nome de domínio: lan.domain.com
• pfSense
  • Nome do host: pfsense.lan.domain.com
  • IP: 10.0.0.1
• UDM-Pro
  • Nome: udmpro.lan.domain.com
  • IP:
    • 192.168.1.1 (porta LAN)
    • 10.0.0.2 (porta WAN)
• NAS Synology:
  • Nome: synology.lan.domain.com
  • IP: 192.168.1.5

Conexão física

Eu poderia conectar o cabo de Internet na porta WAN do pfSense e, em seguida, conectar a porta LAN do meu pfSense em qualquer porta LAN do UDM Pro para evitar muitos dos obstáculos que vamos discutir. Eu não fiz isso porque isso também acabaria com a funcionalidade de roteador do UDM Pro e muitos recursos de gerenciamento. Outra abordagem seria colocar o UDM Pro no modo bridge, mas eu não fiz porque o UDM Pro não implementa o modo ponte e, mesmo se implementasse, isso também acabaria com a funcionalidade de roteamento. Uma terceira abordagem que eu não queria era desativar o servidor DHCP no UDM-Pro e colocá-lo em uma rede DMZ no pfSense porque resultaria em matar a funcionalidade do roteador do Unifi também.

Em vez disso, conectei o fio da Internet do meu provedor de internet ao meu porta WAN do pfSense. Em seguida, conectei a porta LAN do pfSense (por exemplo OPT1) na porta WAN do UDM Pro. Com isso, criei duas redes separadas: a rede pfSense (por exemplo. 10.0.0.x/24 a partir de agora) e a rede UDM Pro (por exemplo, 192.168.1.x/24 a partir de agora). Esta configuração é conhecida como roteadores encadeados, em cascata (ou daisy chain). O problema mais desafiador nesta configuração é o NAT duplo que pode causar problemas de conectividade em vários cenários. O Plug and Play Universal (UPnP) e o encaminhamento de portas são exemplos de problemas de conectividade.

A solução para os problemas com o NAT duplo, com uPnP e o encaminhamento da porta é a mesma: fazer um encaminhamento de porta manual do roteador interno para o roteador externo. Em português simples, isso significa criar uma regra de encaminhamento da porta UDM-Pro para o pfSense, de modo que permita que o pfSense e seus dispositivos se conectem a dispositivos atrás do UDM-Pro. Se você quiser que os dispositivos da Internet se conectem a dispositivos atrás do UDM-Pro, então outra porta encaminhando da porta LAN do seu pfSense para a porta WAN. Por exemplo, se você estiver na escola e quiser se conectar através do SSH (porta 22) ao seu laptop atrás do UDM-Pro em casa, você terá que criar uma regra de encaminhamento de porta na sua porta UDM-Pro expondo a porta 22 do seu laptop (digamos 192.168.1.50) para a porta 22 do seu UDM-Pro. Neste ponto, dispositivos conectados ao seu pfSense seriam capazes de se conectar via SSH ao seu laptop. Em seguida, para permitir a conexão a partir da internet, em seu pfSense você também cria uma regra de encaminhamento de porta permitindo que a porta 22 do seu pfSense se conecte ao seu laptop na porta 22 também. Algo como:
you_on_Internet -> pfSense:22 -> UDM-Pro:22 -> laptop:22

Uma consequência interessante dos roteadores de corrente de margarida é que, embora o roteador externo (pfSense) não conheça a rede do roteador interno (UDM-Pro), o oposto não é verdade. Isso significa que os dispositivos conectados ao roteador UDM-Pro têm acesso à rede do pfSense.

Configuração do servidor NTP no pfSense

É uma boa ideia ter um servidor NTP em execução em sua rede para permitir que todos os dispositivos sincronizem seu tempo. Vá para a página de Configurações >> NTP para começar. Na lista de Interface, certifique-se de que todas as suas interfaces LAN, VPN Server ou possivelmente WAN que você deseja cumprir tempo sejam selecionadas (ou deixe tudo em branco para servir todas). Adicione 0.pfsense.pool.ntp.org, 1.pfsense.pool.ntp.org, 2.pfsense.pool.ntp.org e 3.pfsense.pool.ntp.org à lista de Servidores de Tempo com a opção de pool selecionada e termine a configuração clicando em Salvar.

Configuração do Servidor DHCP no pfSense

Vamos personalizar a configuração do servidor DHCP para adicionar a configuração de servidores NTP e DNS, bem como um Nome de Domínio que também será usado nas configurações do servidor UDM-Pro DHCP.

Vá para Serviços >> Servidor DHCP para cada interface LAN faça o seguinte:

Servidores

• Servidores DNS: 10.0.0.1

Outras opções

• Nome de domínio: lan.domain.com
  Este domínio deve corresponder ao seu nome de domínio no UDM-Pro)
• Servidor NTP 1: 10.0.0.1

Clique em Salvar para terminar. A partir de agora, o Servidor DHCP enviará servidor NTP/DNS e o nome de domínio para os clientes, juntamente com a locação de IP.

Configuração do servidor NTP no UDM-Pro

Em nossa configuração colapsada, configuraremos o UDM-Pro para usar o pfSense como o Servidor NTP. No aplicativo Rede , vá para Configurações >> Configurações da Rede >> página Localização & Tempo e faça o seguinte:

Na seção Timezone & Location , defina fuso horário e país ou território em conformidade.

Na seção NTP (Network Time Protocol, protocolo de tempo de rede), defina seu IP pfSense como o nome de host do servidor NTP e finalize clicando em Aplicar alterações.

Configuração do servidor DHCP no UDM-Pro

Da mesma forma que a configuração do servidor PFSense DHCP, precisaremos configurar o UDM-Pro para distribuir o servidor NTP e DNS e o nome de domínio junto com as locações IP. Vá para o aplicativo Rede, em seguida, Configurações >> Redes >> Redes locais e clique em Editar em cada LAN e fazer o seguinte:

Geral

• Nome de domínio: lan.domain.com

Controles DHCP

• Servidor DNS do DHCP: 192.168.1.1
  Este é o IP do UDM-Pro, que por sua vez usa o servidor pfSense DNS

Controles DHCP >> opções avançadas de DHCP

• Servidor NTP do DHCP: 192.168.1.1
  Este é o IP do UDM-Pro, que por sua vez usa o servidor pfSense NTP

Quando você clica em Aplicar alterações, futuras locações também distribuirão essas configurações adicionais.

Reserve um IP estático da rede pfSense para o UDM Pro

Agora que o UDM Pro está fisicamente conectado à porta LAN pfSense e seu servidor DHCP está devidamente configurado, seu UDM-Pro receberá um IP dele. Reservaremos um IP estático para o UDM Pro para facilitar futuras integrações entre os dois aparelhos. Para fazer isso, precisamos do endereço UDM Pro MAC. No UDM Pro, vá para Rede >> Dispositivos e clique na sua entrada do UDM Pro na lista. Na seção Visão Geral, anote o campo de Endereços MAC.

Para criar a reserva, faça login na sua página pfSense e vá para Serviços >> Servidor DHCP. Para sua interface LAN, role até a parte inferior da página até chegar aos Mapeamentos Estáticos DHCP para esta seção Interface. Clique em Adicionar e preencha o Endereço MAC apropriado. Você também pode preencher o Identificador do cliente e hostname com o nome da Unifi. No Endereço IP você coloca o IP estático do seu UDM Pro (por exemplo, 10.0.0.2) e termina o processo clicando em Salvar. Esta alteração não é realizada imediatamente, mas você pode forçá-la desconectando e reconectando a porta WAN do seu UDM Pro ou reiniciando-a. Após a reconexão, seu UDM Pro sempre receberá o mesmo IP.

Permitindo SSH do pfSense para UDM Pro

Por padrão, o UDM Pro bloqueia conexões recebidas da porta da Internet, especialmente para serviços como o SSH. Em nossa configuração, queremos habilitar o SSH no UDM-Pro WAN para permitir uma integração apertada com o pfSense, como a transferência de certificados Let’s Encrypt emitidos pelo pfSense para o UDM-Pro. Normalmente essa seria uma péssima ideia, mas lembre-se que o porto WAN do UDM Pro não está exposto à internet, mas sim para a porta local do pfSense.

No seu UDM Pro, faça login e clique no aplicativo Rede. Vá para Configurações >> Firewall >> Segurança da Internet e clique em WAN na guia Regras. Clique em Criar nova regra e faça o seguinte:

Na seção Geral

• Tipo de alteração para WAN Local
• Descrição: digite algo como Permitir SSH da WAN local
• Certifique-se de que a regra está ativada
• Regra aplicada: Antes das regras predefinidas
• Ação: Permitir
• Protocolo IPv4: TCP

Na seção Fonte

• Tipo de origem: Endereço IP
• Endereço IPv4: <pfSense endereço> (por exemplo, 10.0.0.1)
• Porta: Em branco

Na seção Destino

• Tipo de destino: Endereço IP
• Endereço IPv4: <UDM Pro endereço da rede pfSense> (por exemplo, 10.0.0.2)
• Porto: 22

Clique em Aplicar na parte inferior da página. Agora você deve ser capaz de executar algo como ssh root@<UDM Pro ip> do pfSense e conectar-se ao seu UDM Pro.

Note que usamos o UDM Pro IP como 10.0.0.2 em vez de 192.168.1.1. Isso foi intencional, pois o pfSense realmente não conhece a rede 192.168.1.x e o único IP que sabe conectar ao UDM Pro é o atribuído pelo próprio pfSense em sua rede 10.0.0.0.x.

Adicionando pontos de acesso Unifi

No início, comecei simples e adicionei o Unifi AP diretamente em uma das oito portas UDM-Pro LAN. Esta é a maneira mais simples de fazer o Wi-Fi funcionar, já que o Controlador Unifi e o AP estão na mesma rede e o processo de configuração é simples. Primeiro você adota o novo dispositivo (AP) na Interface web do controlador inserindo no aplicativo Rede, clicando em Dispositivos e apertando o botão Adotar para o AP recém listado. Em seguida, você navega para Configurações >> Wi-Fi >> Redes Wi-Fi e pressione Criar nova rede Wi-Fi. Um assistente será apresentado e se você escolher Criar Wi-Fi Básico, tudo o que você precisa fazer é escolher um nome para o Wi-Fi e senha.

No futuro, talvez precisemos revisitar essa topologia se quisermos, por exemplo, criar diferentes redes Wi-Fi, cada uma das quais podendo sair para a Internet usando diferentes gateways. Por enquanto, vamos aproveitar a simplicidade proporcionada pela Unifi 🙂