Instalar PFSense en Azure

Para poder disponer un Firewall en Azure para laboratorio o lo que necesitemos sin coste adicional, tenemos la posibilidad de subir una maquina con PFSense y pagar solo el coste de CPU y HD en Azure

Requisitos

Para instalar y desplegar nuestra maquina necesitaremos:

• Suscripcion en Azure con permisos suficientes para subir nuestra maquina y desplegarla.
• Azure Storage Account.
• Equipo Windows Con rol de Hyper-V instalado.
• Descargar ultima versión Pfsense – https://www.pfsense.org/download/

Crear y configurar VM

Los pasos para crear, instalar y configurar nuestro PFsense sera los siguientes

Crear Disco Duro

Primero crearemos un disco duro con el formato adecuado para subirlo despues a Azure.

• Formato: VHD
• Tipo: Fixed
• Tamaño: 8Gb

---

---

---

---

Creación VM

Ahora creamos nuestra maquina y le agregaremos el Disco creado anteriormente.

---

---

---

---

---

---

Hardware Adicional

Necesitaremos agregar una segunda tarjeta de Red a nuestra maquina virtual, 1 para WAN y otra para LAN.

Instalación PFSense

Ahora instalaremos el PFsense de forma generica.

---

---

---

---

---

---

---

---

---

---

Configuración PFsense

Ahora configuraremos nuestra red para el PFsense. (usuario por Defecto “admin” y password “pfsense” sin comillas)

---

---

---

Instalar Azure WAagentLinux

WAagentLinux es el agente que utiliza azure para recopilar informacion, instalar nuevas extensiones, crear usuario en el sistema,… GitHub – Azure/WALinuxAgent: Microsoft Azure Linux Guest Agent

Habilitaremos el SSH desde la consola con el Nº 14.

Abriremos una conexión por putty a nuestro PFsense. (usuario por Defecto “admin” y password “pfsense” sin comillas)

Download PuTTY: latest release (0.76) (greenend.org.uk)

---

---

---

Listamos la carpetas para ver la versión de Python instalada. Creamos un link symbolico a la versión existente.

ls -l /usr/local/bin/py*
ln -s /usr/local/bin/python3.8 /usr/local/bin/python

Entramos a la carpeta tmp, descargamos del repositorio de Git

cd /tmp
git clone https://github.com/Azure/WALinuxAgent.git
cd WALinuxAgent

---

Seleccionamos la versión a instalar.

git checkout v2.6.0.2

Instalamos el WAagentLinux.

python setup.py install

Crearemos accesos simbolicos, configuraremos servicio y permisos.

ln -sf /usr/local/sbin/waagent /usr/sbin/waagent
ln -sf /usr/local/sbin/waagent2.0 /usr/sbin/waagent2.0
echo '#! /bin/sh' >> /usr/local/etc/rc.d/waagent.sh
echo '/usr/local/sbin/waagent --daemon' >> /usr/local/etc/rc.d/waagent.sh
chmod +x /usr/local/etc/rc.d/waagent.sh

Por ultimo habilitamos el agente.

echo "y" | /usr/local/sbin/waagent -deprovision+user
echo 'waagent_enable="YES"' >> /etc/rc.conf.local

pkg upgrade
pkg install -y sudo bash git
ls -l /usr/local/bin/py*
ln -s /usr/local/bin/python3.8 /usr/local/bin/python
cd /tmp
git clone https://github.com/Azure/WALinuxAgent.git
cd WALinuxAgent
git tag
git checkout v2.6.0.2
python setup.py install
ln -sf /usr/local/sbin/waagent /usr/sbin/waagent
ln -sf /usr/local/sbin/waagent2.0 /usr/sbin/waagent2.0
echo '#! /bin/sh' >> /usr/local/etc/rc.d/waagent.sh
echo '/usr/local/sbin/waagent --daemon' >> /usr/local/etc/rc.d/waagent.sh
chmod +x /usr/local/etc/rc.d/waagent.sh
echo "y" | /usr/local/sbin/waagent -deprovision+user
echo 'waagent_enable="YES"' >> /etc/rc.conf.local

Configurar Red LAN DHCP

Por ultimo, accederemos al FW via web para cambiar la red LAN a DHCP, tedremos que realizar el asistente la primera vez. (usuario por defecto “admin” y password “pfsense” sin comillas)

Introducimos Nombre, dominio y DNS. (Podremos realizarlo una vez este en Azure)

Configuramos el NTP y zona horaria. (Podremos realizarlo una vez este en Azure)

Dejamos la configuración WAN con DHCP

Dejamos la IP actual de Red LAN

Ponemos una contraseña nueva para el usuario Admin.

Pulsamos en Reload, para aplicar los cambios.

Ya tendremos el Wizard terminado.

Pinchamos en la barra superior en “Interfaces” > “LAN”

Cambiamos “IPv4 Configuration Type” a DHCP.

Aplicamos los cambios. (Perderemos la conexión con la maquina)

Abrimos la consola de Hyper-v y Seleccionamos la opción 6 para apagar la maquina.

La maquina esta lista para subir a Azure.

Despliegue PFSense en Azure

Upload de VHD

Ahora vamos a subir el fichero VHD a un storage account para poder crear nuestra maquina en Azure, vamos a comentar dos manera con comandos de powershell o via consola.

Subir fichero con GUI

Vamos a ver como hacerlo de manera grafica.

Creación Storage Account

Para poder subir el VHD necesitaremos un Storage Account en Azure.

Introducimos un nombre libre (con numeros y minusculas), tipo de redundancia LRS, el resto de configuraciones las podemos dejar por defecto.

Subir fichero con Storage Explorer

Para subir el fichero necesitaremos descargarnos la aplicación Azure Storage Explorer.

Explorador de Azure Storage: administración de almacenamiento en nube | Microsoft Azure

Subir fichero con Powershell

Instalaremos Azure Powershell en nuestro equipo si no lo tenemos.

Install the Azure Az PowerShell module | Microsoft Docs

Al abrir la consola de Powershell, nos conectaremos a azure, si tenemos mas de una suscripción seleccionamos la que utilizaremos.

Connect-AzAccount
Get-AzSubscription
Select-AzSubscription -SubscriptionName "Nombre de la Suscripción"

Crear Storage Account

Si tenemos ya un Storage Account, podermos listar y seleccionarlo o crear uno nuevo si es necesario.

#Seleccionar Storage Account existente
$StorageAccount = Get-AzStorageAccount -StorageAccountName mordorworldpfsense -ResourceGroupName Demo-HUB
$Ctx = $StorageAccount.Context

Para crear uno nuevo necesitaremos varios valores

• Resource Group, Nombre del resource group.
• Localización, Localización de azure.
• SKU, Redundancia.
• Nombre del storage.

#Listado de los Resource Group del Tenant.
Get-AzResourceGroup | select ResourceGroupName
# Listado de las localizaciones exitentes.
Get-AzLocation | Select-Object -Property Location

$Storage = @{
  ResourceGroupName = 'Grupo de recursos'
  Name              = 'mordorworldpfsense'
  SkuName           = 'Standard_LRS'
  Location          = 'northeurope'
}
$StorageAccount = New-AzStorageAccount @Storage
$Ctx = $StorageAccount.Context

Creación Container

Crearemos un container para subir el Fichero.

$ContainerName = 'vhd' #minusculas
New-AzStorageContainer -Name $ContainerName -Context $Ctx -Permission Blob

Subir VHD

Por ultimo subiremos el fichero al container.

$PFsense = @{
  File             = 'd:\pfsense\pfsense.vhd'
  Container        = $ContainerName
  Blob             = "pfsense.vhd"
  Context          = $Ctx
  StandardBlobTier = 'Hot'
}
Set-AzStorageBlobContent @PFsense

#1 - Conecta a Azure y Seleccionar subscripción
Connect-AzAccount
Get-AzSubscription
Select-AzSubscription -SubscriptionName "Nombre de la Suscripción"

#2- Seleccionar Storage Account existente
$StorageAccount = Get-AzStorageAccount -StorageAccountName "nombre del storage" -ResourceGroupName "Nombre RG"
$Ctx = $StorageAccount.Context

#2- Crear Storage Account
#Listado de los Resource Group del Tenant.
Get-AzResourceGroup | select ResourceGroupName
# Listado de las localizaciones exitentes.
Get-AzLocation | Select-Object -Property Location

$Storage = @{
  ResourceGroupName = 'Grupo de recursos'
  Name              = 'mordorworldpfsense'
  SkuName           = 'Standard_LRS'
  Location          = 'northeurope'
}
$StorageAccount = New-AzStorageAccount @Storage
$Ctx = $StorageAccount.Context

#3- Crear Container
$ContainerName = 'vhd' #minusculas
New-AzStorageContainer -Name $ContainerName -Context $Ctx -Permission Blob

#4- Subir Fichero.
$PFsense = @{
  File             = 'd:\pfsense\pfsense.vhd'
  Container        = $ContainerName
  Blob             = "pfsense.vhd"
  Context          = $Ctx
  StandardBlobTier = 'Hot'
  BlobType         = 'Page'
}
Set-AzStorageBlobContent @PFsense

Crear Imagen administrada

Ahora vamos a crear una imagen con el VHD que hemos subido.

Si teneis problemas con los comandos de powershell en el PC podemos trabajar directamente en azure

https://portal.azure.com/#cloudshell/ o https://shell.azure.com

#1 - Conecta a Azure y Seleccionar subscripción
Connect-AzAccount
Get-AzSubscription
Select-AzSubscription -SubscriptionName "Nombre de la Suscripción"

#2- Seleccionar Storage Account existente
$StorageAccount = Get-AzStorageAccount -StorageAccountName "nombre del storage" -ResourceGroupName "Nombre RG"
$Ctx = $StorageAccount.Context
$StorageAccountId = $StorageAccount.Id

#Ruta fichero, el nombre del blob con el MISMO nombre Mayusculas/minusculas
$UriFile = (Get-AzStorageContainer -Context $ctx | Get-AzureStorageBlob -blob 'PFSense.vhd').ICloudBlob.uri.AbsoluteUri

#Crear Imagen administrada
$Location = 'northeurope'

#Configuración del Disco
$Disk = New-AzDiskConfig -AccountType Standard_LRS -Location $location -CreateOption Import -SourceUri $UriFile -StorageAccountId $StorageAccountId

#Disco Administrado
New-AzDisk -Disk $Disk -ResourceGroupName Demo-HUB -DiskName Pfsense-Disk

En nuestro Resource Group nos aparecera nuestra Disco.

Crear Maquina virtual

Y por fin, vamos a crear la maquina virtual con nuestra imagen de pfsense.

$RG       = 'Nombre del Resource Group'
$Location = 'northeurope'
# Capturar información del Disco

$disk = Get-AzDisk -DiskName "PFsense-Disk" -ResourceGroupName $RG

# Capturar información del Virtual Network
$VirtualNetwork = Get-AzVirtualNetwork -Name "Nombre Virtual network" -ResourceGroupName $RG

# Configuración nueva maquina
$virtualMachine = New-AzVMConfig -VMName "pfsense-VM" -VMSize Standard_B1s

# Agregar disco a la maquina
$virtualMachine = Set-AzVMOSDisk -VM $virtualMachine -ManagedDiskId $disk.Id -CreateOption Attach -Linux

# Creación tarjetas de Red para WAN y LAN
#lista de subnets, se listan en orden empezando por 0,1,2...

(Get-AzVirtualNetwork -name "Nombre Virtual network").subnets.ID
#Si queremos asignar una ip fija agregar el parametro sin comillas "-PrivateIpAddress x.x.x.x" con la IP
$WAN_Nic = New-AzNetworkInterface -Name pfsense-nic-wan -ResourceGroupName $RG -Location $Location -SubnetId $VirtualNetwork.Subnets[1].Id 
$LAN_Nic = New-AzNetworkInterface -Name pfsense-nic-lan -ResourceGroupName $RG -Location $Location -SubnetId $VirtualNetwork.Subnets[2].Id 

# Añadir tarjetas de red a la maquina virtual
$virtualMachine = Add-AzVMNetworkInterface -VM $virtualMachine -Id $WAN_Nic.Id -Primary
$virtualMachine = Add-AzVMNetworkInterface -VM $virtualMachine -Id $LAN_Nic.Id

# Creación de la Maquina virtual
New-AzVM -VM $virtualMachine -ResourceGroupName $RG -Location $Location

Si todo fue bien ya tendremos nuestra maquina virtual creada.

Configuración Adicional

Acceso a PFsense

Si no tuvieras configurada una VPN contra azure para acceder a nuestro PFsense, podremos crearnos una maquina Windows a la red interna y con una IP publica.

Nos conectaremos a la IP publica al 3389 (RDP) y ya podremos acceder a nuestro FW.

Validación de WAAgentLinux

Para saber si nuestro agente esta funcionando correctamente, podremos saberlo facil mirando en la maquina de PFsense en:

1. En operating system, aparece el tipo
2. En vez del mensaje de “Advisor (1 of 2)…, nos aparecera un mensaje de que no puede contactar.

Reinstalar WAAgentLinux

Para reinstalar el WAagentLinux, limpiamos la instalación anterior y volvemos a instalar con el procedimiento que se realizo anteriormente. (Realizar un snapshot del disco antes de empezar, nunca esta de mas).

Puede que al actualizar el PFsense, cambie la version de python de nuestra máquina y deje de funcionar el agente, tendremos que reparar la instalación.

Podremos chequear el fichero de log “/var/log”waagent”

waagent -deprovision -force
rm -rf /var/lib/waagent
rm -R /usr/sbin/waagent
rm -R /usr/sbin/waagent2.0
rm /var/log/waagent.log
rm /usr/local/etc/rc.d/waagent.sh