pfSense คืออะไร และใช้งานอย่างไรในองค์กร
pfSense คือระบบปฏิบัติการสำหรับทำ Firewall และ Router โดยเฉพาะ ให้ความสามารถระดับอุปกรณ์เชิงพาณิชย์ราคาสูง ทั้งการกรองทราฟฟิก VPN และการจัดการแบนด์วิดท์ ผ่านหน้าเว็บที่จัดการได้ทั้งหมด
- หมวดหมู่
- VPN และ Networking
- ติดตั้งบนเซิร์ฟเวอร์เองได้
- ได้
- สเปกเริ่มต้นที่แนะนำ
- 2 คอร์ · RAM 4 GB
- ไลเซนส์
- Apache License 2.0 (Community Edition)
- เว็บทางการ
- เปิดเว็บไซต์
- ISO/IEC 27001
- ISO 22301
- ISO 20000-1
- CSA-STAR
Data Center ในไทย มาตรฐาน TIA-942 Tier 3+ ข้อมูลอยู่ในประเทศไทย
pfSense คืออะไร
pfSense สร้างบนฐาน FreeBSD และรวมเครื่องมือด้านเครือข่ายไว้ครบในระบบเดียว ทั้งการกรองแพ็กเก็ต การแปลงที่อยู่ การทำ VPN ทั้งแบบ Site-to-Site และ Remote Access รวมถึงการจัดลำดับความสำคัญของทราฟฟิก
องค์กรจำนวนมากใช้ pfSense แทนอุปกรณ์ Firewall เชิงพาณิชย์ เพราะได้ความสามารถใกล้เคียงกันโดยไม่ต้องจ่ายค่าไลเซนส์รายปี และปรับแต่งได้ลึกกว่าเมื่อมีความต้องการเฉพาะ
ในบริบทของคลาวด์ pfSense มักถูกใช้เป็นอุปกรณ์ที่สำนักงานเพื่อเชื่อมเข้ากับระบบบน Cloud Server ผ่านอุโมงค์ VPN แบบถาวร ทำให้ทั้งสองฝั่งอยู่ในวงเดียวกันอย่างปลอดภัย
ความสามารถเด่นของ pfSense
Firewall แบบมีสถานะ
กำหนดกฎการเข้าออกได้ละเอียดต่ออินเทอร์เฟซและต่อบริการ
VPN ครบทุกแบบ
รองรับ IPsec, OpenVPN และ WireGuard ทั้งแบบเชื่อมสาขาและแบบผู้ใช้ระยะไกล
จัดการแบนด์วิดท์
จัดลำดับความสำคัญให้ทราฟฟิกสำคัญ เช่น การประชุมออนไลน์ ไม่ให้ถูกแย่งช่องสัญญาณ
รองรับหลายเส้นทางอินเทอร์เน็ต
ใช้หลายผู้ให้บริการพร้อมกันและสลับอัตโนมัติเมื่อเส้นหนึ่งล่ม
ส่วนเสริมจำนวนมาก
เพิ่ม IDS, Proxy, และระบบรายงานได้จากตัวจัดการแพ็กเกจในตัว
pfSense ทำอะไรได้บ้างในระดับที่แทนอุปกรณ์เชิงพาณิชย์
สิ่งที่ทำให้ pfSense ถูกใช้แทนอุปกรณ์ Firewall ราคาหลายแสนได้ คือมันไม่ได้เป็นแค่ตัวกรองพอร์ต แต่รวมงานเครือข่ายที่องค์กรต้องใช้ไว้ในระบบเดียว ทั้งการแปลงที่อยู่ การแบ่งวงเครือข่าย การทำ VPN การจัดลำดับความสำคัญของทราฟฟิก และการบันทึกเหตุการณ์เพื่อตรวจย้อนหลัง
ความสามารถที่มีผลกับงานประจำวันมากที่สุดคือการแบ่งวงเครือข่ายตามหน้าที่ เช่น แยกวงพนักงาน วงเซิร์ฟเวอร์ วงกล้องวงจรปิด และวงแขก แล้วกำหนดว่าวงใดคุยกับวงใดได้บ้าง การแยกแบบนี้ทำให้เครื่องที่ติดมัลแวร์ในวงหนึ่งไม่ลามไปทั้งองค์กร ซึ่งเป็นมาตรการที่ให้ผลมากที่สุดเมื่อเทียบกับต้นทุน
อีกส่วนที่องค์กรได้ประโยชน์ทันทีคือการใช้อินเทอร์เน็ตหลายเส้นพร้อมกัน ระบบตรวจว่าเส้นใดใช้งานได้และสลับให้อัตโนมัติเมื่อเส้นหลักล่ม พร้อมกระจายทราฟฟิกตามน้ำหนักที่กำหนด ทำให้สำนักงานไม่หยุดทำงานเพราะผู้ให้บริการรายเดียวมีปัญหา
- กรองทราฟฟิกแบบมีสถานะ พร้อมกำหนดกฎต่ออินเทอร์เฟซและต่อวงเครือข่าย
- แบ่งวงเครือข่ายด้วย VLAN แล้วคุมการคุยกันระหว่างวงอย่างชัดเจน
- ทำ VPN ทั้งแบบเชื่อมสาขาถาวรและแบบให้พนักงานต่อจากภายนอก
- ใช้อินเทอร์เน็ตหลายเส้นพร้อมสลับอัตโนมัติเมื่อเส้นหนึ่งล่ม
- จัดลำดับความสำคัญให้ทราฟฟิกที่อ่อนไหวต่อความหน่วง เช่น การประชุมออนไลน์
- บันทึกเหตุการณ์และส่ง Log ออกไปยังระบบรวม Log เพื่อการตรวจสอบ
ออกแบบการแบ่งวงเครือข่ายในสำนักงานให้ปลอดภัย
เครือข่ายที่ทุกอุปกรณ์อยู่วงเดียวกันคือเครือข่ายที่โน้ตบุ๊กของแขกเห็นเซิร์ฟเวอร์บัญชีได้ ซึ่งเป็นความเสี่ยงที่ไม่จำเป็นและแก้ได้ด้วยการวางแผนครั้งเดียว หลักคิดคือแยกตามระดับความน่าเชื่อถือ แล้วอนุญาตการเชื่อมต่อเฉพาะทิศทางที่งานต้องใช้จริง
รูปแบบที่ใช้ได้กับสำนักงานส่วนใหญ่คือแยกอย่างน้อยสี่วง วงพนักงานที่เข้าถึงระบบงานได้ วงเซิร์ฟเวอร์ที่รับการเชื่อมต่อเข้าแต่ไม่เริ่มออกเอง วงอุปกรณ์อย่างกล้องและเครื่องพิมพ์ที่ไม่ควรออกอินเทอร์เน็ตอิสระ และวงแขกที่ออกอินเทอร์เน็ตได้เท่านั้น
เมื่อระบบงานย้ายขึ้นคลาวด์ วงเซิร์ฟเวอร์ในสำนักงานจะเล็กลงและถูกแทนด้วยอุโมงค์ VPN ไปยัง Private Network บนคลาวด์ กฎที่เคยเขียนไว้ระหว่างวงจึงต้องทบทวนใหม่ให้ครอบคลุมเส้นทางนั้นด้วย
- วงแขกต้องคุยกับวงอื่นไม่ได้เลย และควรจำกัดแบนด์วิดท์
- วงอุปกรณ์ IoT และกล้อง ควรออกอินเทอร์เน็ตเฉพาะปลายทางที่จำเป็น
- วงเซิร์ฟเวอร์ควรรับการเชื่อมต่อเข้าจากวงพนักงานเท่าที่ระบบต้องใช้
- ทุกกฎควรเขียนคำอธิบายกำกับไว้ เพื่อให้คนที่มาดูแลต่อรู้เหตุผล
เชื่อมสำนักงานกับระบบบนคลาวด์ด้วยอุโมงค์ถาวร
เมื่อองค์กรย้ายระบบงานขึ้น Cloud Server สิ่งที่ต้องออกแบบให้ดีที่สุดคือเส้นทางระหว่างสำนักงานกับคลาวด์ เพราะพนักงานต้องเข้าถึงระบบเหมือนเดิมโดยไม่ต้องเปิดพอร์ตของระบบงานออกสู่อินเทอร์เน็ต ซึ่งเป็นวิธีที่เสี่ยงที่สุด
รูปแบบมาตรฐานคือสร้างอุโมงค์เข้ารหัสแบบถาวรระหว่าง pfSense ที่สำนักงานกับวง Private Network บนคลาวด์ ผลคือเครื่องทั้งสองฝั่งคุยกันด้วยไอพีภายในเหมือนอยู่ในตึกเดียวกัน และไม่มีบริการใดของระบบงานต้องเปิดสู่สาธารณะเลย
สิ่งที่ต้องวางแผนเพิ่มคือกรณีอินเทอร์เน็ตของสำนักงานล่ม ควรเตรียมช่องทางสำรองให้ผู้ดูแลระบบยังเข้าถึงระบบบนคลาวด์ได้ เช่น VPN สำหรับผู้ใช้รายบุคคลที่ไม่พึ่งอุโมงค์ของสำนักงาน
ข้อจำกัดที่ควรรู้ก่อนเลือกใช้ pfSense
pfSense ออกแบบมาให้ติดตั้งบนเครื่องที่ทำหน้าที่เป็น Firewall โดยเฉพาะ ไม่ใช่ซอฟต์แวร์ที่ติดตั้งซ้อนบน Cloud Server ทั่วไป เพราะการจัดการเครือข่ายบนคลาวด์อยู่ที่ชั้นแพลตฟอร์มอยู่แล้ว การพยายามวางซ้อนจึงได้ผลลัพธ์ที่ซับซ้อนโดยไม่จำเป็น
ในบริบทคลาวด์ แนวทางที่ตรงกว่าคือใช้ Firewall ของแพลตฟอร์มคุมทราฟฟิกเข้าออก ใช้ Private Network แยกวงระหว่างเครื่อง และใช้ VPN Gateway เป็นทางเข้าเดียวสำหรับผู้ดูแลและพนักงาน ส่วน pfSense ทำหน้าที่ที่ปลายทางสำนักงานตามที่มันถูกออกแบบมา
อีกข้อที่ควรเตรียมคือทีมงาน อุปกรณ์ที่อยู่หน้าสุดของเครือข่ายต้องมีคนดูแลแพตช์และทบทวนกฎอย่างสม่ำเสมอ ถ้าองค์กรไม่มีทีมด้านนี้ ควรใช้บริการที่มีผู้ดูแลให้แทนการติดตั้งทิ้งไว้
ใช้ pfSense ทำอะไรได้บ้าง
- Firewall หลักของสำนักงานที่ต้องการควบคุมทราฟฟิกเข้าออกอย่างละเอียด
- เชื่อมสำนักงานกับระบบบน Cloud Server ด้วยอุโมงค์ VPN ถาวร
- องค์กรที่มีอินเทอร์เน็ตหลายเส้นและต้องการสำรองอัตโนมัติ
- หน่วยงานที่ต้องบันทึกและตรวจสอบทราฟฟิกตามข้อกำหนด
สเปก Cloud Server ที่แนะนำ
| ระดับการใช้งาน | vCPU | RAM | Disk |
|---|---|---|---|
| สำนักงานเล็กผู้ใช้ไม่เกิน 25 คน อินเทอร์เน็ตความเร็วปานกลาง | 2 คอร์ | 4 GB | SSD 60 GB |
| สำนักงานกลางผู้ใช้ 25 ถึง 100 คน พร้อมเปิด IDS | 4 คอร์ | 8 GB | SSD 120 GB |
| องค์กรใหญ่อินเทอร์เน็ตความเร็วสูง หลายวง และ VPN จำนวนมาก | 8 คอร์ขึ้นไป | 16 GB ขึ้นไป | SSD 250 GB ขึ้นไป |
ดูราคาตามสเปกได้ที่ ราคา Cloud Compute หรือให้ทีมงานช่วยประเมินสเปกจากปริมาณผู้ใช้จริงของคุณ
วิธีติดตั้ง pfSense บน Cloud Server ของ THAI DATA CLOUD
pfSense ไม่ได้ติดตั้งด้วยคำสั่งบนเซิร์ฟเวอร์ แต่ติดตั้งเป็นระบบปฏิบัติการลงบนเครื่องที่ทำหน้าที่ Firewall ของสำนักงาน ด้านล่างคือลำดับงานติดตั้งและการออกแบบที่ต้องตัดสินใจ พร้อมวิธีเชื่อมเข้ากับระบบบน Cloud Server
สิ่งที่ต้องเตรียม
- เครื่องที่มีการ์ดเครือข่ายอย่างน้อยสองพอร์ต (วง WAN และ LAN)
- ติดตั้งบนฮาร์ดแวร์จริงหรือเครื่องเสมือนบนแพลตฟอร์มเวอร์ชวลไลเซชัน
- แผนผังเครือข่ายที่ชัดเจนว่าจะแบ่งวงอย่างไร
ทดสอบบน pfSense CE (ฐาน FreeBSD)
- 1
ดาวน์โหลดและติดตั้ง
ดาวน์โหลด ISO จากเว็บทางการ เขียนลง USB แล้วบูตเครื่องที่จะใช้เป็น Firewall จากนั้นทำตามตัวช่วยติดตั้ง
- 2
กำหนดอินเทอร์เฟซ WAN และ LAN
ระบุว่าพอร์ตใดต่อกับอินเทอร์เน็ตและพอร์ตใดต่อกับเครือข่ายภายใน จากนั้นตั้งไอพีของฝั่ง LAN
- 3
เข้าหน้าจัดการผ่านเว็บ
เปิดเบราว์เซอร์จากเครื่องในวง LAN ไปที่ไอพีของ pfSense แล้วเข้าสู่ระบบด้วยผู้ใช้เริ่มต้น จากนั้นเปลี่ยนรหัสผ่านทันที
- 4
ตั้งกฎ Firewall พื้นฐาน
ค่าเริ่มต้นบล็อกทุกอย่างจากภายนอกอยู่แล้ว ให้เพิ่มกฎเปิดเฉพาะบริการที่จำเป็นและบันทึกเหตุผลไว้ในคำอธิบายของแต่ละกฎ
- 5
สร้างอุโมงค์ VPN ไปยัง Cloud Server
ใช้ IPsec หรือ WireGuard เชื่อมสำนักงานกับวง Private Network บนคลาวด์ เพื่อให้เครื่องทั้งสองฝั่งคุยกันได้เหมือนอยู่วงเดียวกัน
- 6
ตั้งการสำรองไฟล์ตั้งค่า
ส่งออกไฟล์ตั้งค่าเป็น XML เก็บไว้นอกเครื่อง เพราะไฟล์นี้กู้ระบบทั้งชุดกลับมาได้ในไม่กี่นาที
pfSense ออกแบบมาให้ติดตั้งบนเครื่องที่ทำหน้าที่เป็น Firewall โดยเฉพาะ ไม่ใช่ติดตั้งซ้อนบน Cloud Server ทั่วไป สำหรับงานคลาวด์ให้ใช้ Firewall ของแพลตฟอร์มร่วมกับ VPN Gateway แทน
พอร์ตที่ต้องเปิดบน Firewall
| พอร์ต | โปรโตคอล | ใช้ทำอะไร |
|---|---|---|
| 443 | TCP | หน้าจัดการ (ควรเปิดเฉพาะจากวง LAN หรือผ่าน VPN) |
| 500 / 4500 | UDP | IPsec สำหรับอุโมงค์เชื่อมสาขา |
| 1194 | UDP | OpenVPN สำหรับผู้ใช้ระยะไกล |
สิ่งที่ควรทำต่อหลังติดตั้งเสร็จ
- ไม่เปิดหน้าจัดการสู่อินเทอร์เน็ตเด็ดขาด ให้เข้าจากวง LAN หรือผ่าน VPN เท่านั้น
- เปลี่ยนรหัสผ่านเริ่มต้นและสร้างบัญชีรายบุคคลพร้อมการยืนยันตัวตนสองชั้น
- อัปเดตเวอร์ชันตามรอบเพราะเป็นอุปกรณ์ที่อยู่หน้าสุดของเครือข่าย
- สำรองไฟล์ตั้งค่าหลังทุกครั้งที่แก้ไขสำคัญ
- ทบทวนกฎ Firewall เป็นระยะและลบกฎที่ไม่ใช้แล้ว
ทำไมควรรัน pfSense บน Cloud Server ของ THAI DATA CLOUD
Data Center ในประเทศไทย มาตรฐาน ISO/IEC 27001 และ ISO 22301 พร้อมทีมวิศวกรคนไทยดูแลตลอด 24 ชั่วโมง
ใช้ pfSense ที่สำนักงานเชื่อมเข้ากับ Private Network บน Cloud Server ในไทย ทำให้พนักงานเข้าถึงระบบบนคลาวด์ได้เหมือนอยู่ในวงเดียวกัน
เมื่อย้ายระบบขึ้นคลาวด์แล้ว อุโมงค์ VPN ระหว่างสำนักงานกับคลาวด์คือส่วนที่ต้องออกแบบให้ดี ทีมวิศวกรของเราช่วยวางและทดสอบให้ได้
ลดค่าใช้จ่ายอุปกรณ์เครือข่ายและค่าไลเซนส์รายปี โดยยังได้ความสามารถระดับองค์กร
คำถามที่พบบ่อยเกี่ยวกับ pfSense
pfSense ติดตั้งบน Cloud Server ได้ไหม
ทำได้ในบางสถาปัตยกรรม แต่ไม่ใช่รูปแบบที่เหมาะกับ Cloud Server ทั่วไป เพราะการจัดการเครือข่ายอยู่ที่ชั้นแพลตฟอร์มอยู่แล้ว แนวทางที่แนะนำคือใช้ pfSense ที่สำนักงานแล้วเชื่อม VPN มายังคลาวด์
pfSense กับ OPNsense ต่างกันอย่างไร
OPNsense แยกสายมาจาก pfSense และมีรอบการออกรุ่นถี่กว่าพร้อมหน้าตาที่ต่างออกไป ความสามารถหลักใกล้เคียงกันมาก การเลือกจึงมักขึ้นกับความคุ้นเคยของทีมและส่วนเสริมที่ต้องใช้
ต้องซื้อไลเซนส์ไหม
รุ่น Community Edition ใช้ฟรี ส่วนรุ่น Plus มาพร้อมอุปกรณ์ของผู้ผลิตหรือแบบมีค่าบริการ ซึ่งเพิ่มความสามารถบางอย่างและการสนับสนุนอย่างเป็นทางการ
ทางเลือกอื่นที่คล้ายกับ pfSense
แอปอื่นในหมวด VPN และ Networking
บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง
ให้เราติดตั้ง pfSense ให้ฟรี บน Cloud Server ในไทย
แจ้งความต้องการสั้น ๆ ทีมวิศวกรจะช่วยประเมินสเปก ติดตั้ง และตั้งค่าความปลอดภัยให้พร้อมใช้งาน ปรึกษาฟรี ไม่มีข้อผูกมัด