基于pfSense中小学校园网应用.docVIP

基于pfSense中小学校园网应用 　　随着教育现代化的不断推进，校园网已成为学校重要的基础设施，担当着学校教学、科研、管理和对外交流等角色。随着学校上网计算机的数量不断增加，对上网的稳定性要求也越来越高。实力雄厚的学校一般都配有专业的硬件防火墙作为出口设备，但对大多数学校而言，单独购买费用实在不小。笔者所在学校为江苏省四星级高中，校园网为2005年底建设，随着校园网络用户的增多、教师学生网络应用水平的提高、校园网络应用的频繁，原先的防火墙已难以满足现有的网络环境需要。出于成本的考虑，并基于对原先某防火墙的研究，通过反复的实践，笔者成功将pfSense防火墙应用于校园网络，下面将做法与大家分享。 　　关于pfSense 　　pfSense是一个免费的、开源的、经过改造的FreeBSD的定制版本，它主要用作防火墙和路由器。pfSense是一项民心工程，自成立以来，有超过100万次的下载和无数次的安装，被小型家庭网络用来保护其计算机和Xbox；大型公司、大学和其他组织用来保护数以千计的网络设备。它包括所有最昂贵的商业防火墙的功能，例如防火墙、状态表、NAT、冗余、负载均衡、VPN、报告和监测、动态DNS、用户认证、DHCP服务器和中继等。所有这些都通过Web管理界面进行配置（SSL），并支持远程管理和软件版本升级。 　　硬件准备、安装及网络环境 　　pfSense对硬件的要求并不高，但为保证防火墙性能和稳定性，建议根据带机量的多少，直接购买相应防火墙硬件，价格从1000元到2000元不等。也可以DIY，PC+网卡，单线接入需两块网卡，双线三块，建议选择Intel百兆或千兆网卡，这样成本更低。 　　pfSense可实现免光驱安装，制作启动U盘，将下载的physdiskwrite.exe和对应的*.img.gz文件拷贝到U盘根目录，启动Win2003 PE，在DOS提示符下使用格式：physdiskwrite [-u] ，然后选择要写的目标盘就OK了，等写盘结束之后，就可以启动防火墙了。目前pfSense最新版本为2.0.3。 　　我校的整个网络如下：双线——PF防火墙——三层核心交换机——二层交换机——用户。防火墙LAN接口IP为/30，连接到三层交换机的vlan120接口。内网被划分为vlan10、vlan20、vlan30……vlan110、vlan120，以实现相??间的2层隔离，各vlan对应的IP 子网分别为/24 、/24 、/24……/24、/30，vlan间通过3层核心交换机的IP 转发能力实现子网互连。三层交换机上各SVI地址分别为/24、/24、/24……/24、/30，即各vlan网关地址。三层交换机有如下默认路由：ip route Vlan 120 1 enabled（锐捷S6806E）。关于二层、三层交换机的配置不再赘述。 　　pfSense配置 　　1. 初步设定 　　笔者安装的为pfSense-2.0.2-RELEASE-1g-i386-nanobsd.img嵌入式版本，通过超级终端连接到防火墙进行初步设定。 　　第一次启动PF防火墙，可以看到系统检测到的网卡，Intel百兆、千兆网卡名称分别为fxp0、fxp1、fxp2和 em0、em1、em2等。 　　第一步是要不要做VLAN设定（Do you want to set up VLANs now [y|n]），一般我们选择n。接下来就是依次设定WAN、LAN、OPT1等接口的网卡名称，笔者的设定，WAN是em1，LAN是em0，OPT1是em2。按Enter键结束设定。设定结束后会先显示刚刚所做的网络设定，并询问是否继续（Do you want to proceed [y/n]？）按y写入PF防火墙。 　　最后，我们还需要根据网络规划重新设定下LAN口的IP地址（默认为），在超级终端环境下输入2进入接口IP设置向导（Set interface（s） IP address），根据提示分别输入要设置的接口序号、IP地址、子网掩码，如2，，30。当提示是否需要启用DHCP server时，这里笔者选否，因为我将DHCP服务器架设在Windows 2003上了。 　　至此，初步设定全部完成，接下来就可以通过浏览器连接到https：//作进一步的设定，Username为admin，Password 为pfSense。建议采用双机互联完成调试，最后上架，调试客户端IP设为，子网掩码为52。同时请采用火狐浏览器，否则可能会出现pfSenseWeb界面打开而没有菜单选项的情况。 　　2. 双线设置 　　笔者所在单位原电信接入，后增加区教育城域网移动接入，均为光纤固定IP，现使用PfSense实现双WAN接入Internet，