Proxmox VE to dziś jedna z najpopularniejszych platform do wirtualizacji w małych i średnich firmach, a pfSense świetnie działa jako maszyna wirtualna. Taki wirtualny firewall ma sens w laboratorium, w serwerowni z istniejącym klastrem albo wtedy, gdy chcesz odseparować sieci maszyn wirtualnych wewnątrz jednego serwera.
W tym poradniku pokazujemy, jak przygotować sieć w Proxmox, jakie ustawienia wybrać przy tworzeniu maszyny wirtualnej, jak zainstalować pfSense i czego nie pominąć po instalacji. Na końcu uczciwie porównujemy wirtualny firewall z osobnym urządzeniem – bo nie w każdej firmie to dobry pomysł.
Czego potrzebujesz
- Serwer z Proxmox VE i procesorem z obsługą wirtualizacji (Intel VT-x lub AMD-V) oraz AES-NI.
- Co najmniej dwie karty sieciowe – jedną na WAN, drugą na LAN. Najlepiej z trzecim portem do zarządzania samym Proxmoxem. Przy jednym porcie da się to zrobić na VLAN-ach, ale wymaga to przełącznika zarządzalnego i większej ostrożności.
- Obraz instalacyjny pfSense – Netgate Installer albo ISO pfSense CE, wgrany do magazynu ISO w Proxmox.
- Zasoby dla maszyny: minimum 1 rdzeń, 1 GB RAM i 8 GB dysku. W praktyce w firmie lepiej przydzielić 2–4 rdzenie, 4 GB RAM i 32 GB dysku, zwłaszcza jeśli planujesz pakiety takie jak pfBlockerNG czy Suricata.
Krok 1. Mosty sieciowe w Proxmox
Każdy port fizyczny, który ma obsługiwać firewall, podłączamy do osobnego mostu Linux (Linux Bridge). W Proxmox wejdź w węzeł > System > Network i utwórz:
- vmbr1 – port fizyczny podłączony do modemu lub routera operatora (WAN),
- vmbr2 – port fizyczny podłączony do przełącznika w sieci firmowej (LAN).
Ważne: mosty dla firewalla tworzymy bez adresu IP. Sam Proxmox nie powinien mieć adresu w sieci WAN – inaczej panel administracyjny hypervisora może być widoczny z internetu, z pominięciem firewalla. Na koniec kliknij Apply Configuration. Jeśli mosty nie pokażą się jako aktywne, uruchom serwer ponownie.
Krok 2. Tworzenie maszyny wirtualnej
Kliknij Create VM i ustaw kolejne zakładki tak, jak w tabeli:
| Zakładka | Ustawienie | Dlaczego |
|---|---|---|
| OS | obraz pfSense, Guest OS: Other | pfSense jest oparty na FreeBSD, którego nie ma na liście |
| System | domyślnie lub q35 + OVMF (UEFI) z dyskiem EFI | UEFI jest opcjonalne; przy nim dodaj port szeregowy i wyłącz Secure Boot |
| Disks | Bus: VirtIO Block, min. 8 GB | parawirtualizowany dysk jest najszybszy |
| CPU | 1 gniazdo, 2–4 rdzenie, Type: host | przekazuje do maszyny AES-NI, co przyspiesza VPN |
| Memory | min. 1 GB, zalecane 4 GB | wyłącz ballooning – firewall powinien mieć stałą pamięć |
| Network | Bridge: vmbr1, Model: VirtIO (paravirtualized), odznacz Firewall | to będzie WAN; filtrowanie robi pfSense, nie Proxmox |
Po utworzeniu maszyny dodaj drugą kartę sieciową: Hardware > Add > Network Device, most vmbr2, model VirtIO, bez zaznaczonego firewalla Proxmox. To będzie LAN.
Jeśli wybrałeś typ CPU inny niż host (np. przy klastrze z różnymi procesorami i migracji maszyn), włącz w ustawieniach CPU flagę aes.
Krok 3. Instalacja pfSense
Uruchom maszynę i otwórz konsolę. Instalacja wygląda tak samo jak na zwykłym komputerze:
- Wybierz instalację i system plików ZFS (domyślny, odporny na nagłe wyłączenie).
- Przypisz interfejsy: vtnet0 to WAN (pierwsza karta, vmbr1), vtnet1 to LAN (druga karta, vmbr2). Jeśli nie masz pewności, porównaj adresy MAC z zakładką Hardware w Proxmox.
- Po restarcie odłącz obraz ISO w Hardware > CD/DVD Drive.
- Z komputera w sieci LAN wejdź na https://192.168.1.1 i przejdź kreator pierwszej konfiguracji.
Przy UEFI na pierwszym uruchomieniu wejdź w menu firmware (klawisz Esc), w Device Manager > Secure Boot Configuration odznacz Attempt Secure Boot i uruchom maszynę ponownie.
Krok 4. Ustawienia po instalacji
- Wyłącz sprzętowe sumy kontrolne. W System > Advanced > Networking zaznacz Disable hardware checksum offload i uruchom firewall ponownie. pfSense próbuje to zrobić sam dla kart VirtIO, ale Netgate zaleca to sprawdzić. Bez tego ruch potrafi nie przechodzić lub działać bardzo wolno.
- Automatyczny start. W Proxmox w Options włącz Start at boot i ustaw Start/Shutdown order na 1. Firewall musi wstać jako pierwszy, przed pozostałymi maszynami.
- Kopia konfiguracji. Włącz kopię zapasową maszyny w Proxmox, a niezależnie od niej pobieraj plik konfiguracji pfSense w Diagnostics > Backup & Restore. Plik XML odtworzysz na dowolnym innym pfSense, także na fizycznym urządzeniu.
- Migawka przed aktualizacją. Przed każdą aktualizacją pfSense zrób snapshot maszyny w Proxmox. Jeśli coś pójdzie nie tak, wrócisz do poprzedniej wersji w minutę.
Wydajność: ile wyciągnie wirtualny pfSense?
Na kartach VirtIO i nowoczesnym procesorze wirtualny pfSense bez problemu obsłuży typowe łącze firmowe 1 Gb/s. Przy szybszych łączach i dużej liczbie połączeń VPN wąskim gardłem staje się procesor hypervisora i narzut wirtualizacji. Wtedy można:
- włączyć Multiqueue w zaawansowanych ustawieniach karty sieciowej (liczba kolejek równa liczbie rdzeni maszyny),
- przekazać do maszyny fizyczną kartę sieciową (PCI passthrough) – to najszybsze rozwiązanie, ale maszyna traci możliwość migracji na inny węzeł klastra.
Wirtualny pfSense czy osobne urządzenie?
Wirtualizacja firewalla jest wygodna, ale ma swoje konsekwencje. Najważniejsza: firewall dzieli los z serwerem. Restart Proxmoxa po aktualizacji, awaria dysku czy błąd w konfiguracji hypervisora oznaczają, że cała firma traci internet.
| pfSense na Proxmox | Urządzenie Netgate | |
|---|---|---|
| Koszt początkowy | niski, jeśli serwer już jest | zakup urządzenia |
| Licencja pfSense Plus | roczna subskrypcja (od 129 USD/rok) | w cenie urządzenia, bez opłat rocznych |
| Niezależność od serwera | nie – restart hosta to brak internetu | tak |
| Powierzchnia ataku | firewall + hypervisor | tylko firewall |
| Wsparcie producenta | dla oprogramowania, nie dla Twojego sprzętu | całość: sprzęt i oprogramowanie, gwarancja |
| Najlepsze zastosowanie | laboratorium, segmentacja maszyn wirtualnych, klaster HA | główny firewall firmy, oddziały |
Dlatego w większości firm stosujemy podział: główny firewall na brzegu sieci to osobne urządzenie, a wirtualny pfSense służy do testów lub do rozdzielania sieci wewnątrz serwerowni. Jeśli zastanawiasz się, które urządzenie wybrać, zajrzyj do przewodnika po modelach Netgate.
pfSense CE czy pfSense Plus na maszynie wirtualnej?
- pfSense CE (Community Edition) jest bezpłatny i wystarczy do laboratorium i nauki.
- pfSense Plus na maszynie wirtualnej lub własnym sprzęcie wymaga subskrypcji – według cennika Netgate od 129 USD rocznie za jedną instancję, ze wsparciem TAC Lite. Instalujesz go przez Netgate Installer. Zastosowanie produkcyjne i komercyjne wymaga licencji komercyjnej zgodnie z umową licencyjną Netgate.
- Na urządzeniach Netgate pfSense Plus jest w cenie, a wsparcie TAC Lite przysługuje przez cały okres życia urządzenia.
Najczęstsze pułapki
- Adres IP Proxmoxa na moście WAN. Panel hypervisora wystawiony do internetu z pominięciem firewalla to poważna luka.
- Zaznaczony firewall Proxmox na kartach pfSense. Dwie warstwy filtrowania utrudniają diagnozę problemów – ruch blokuje coś, czego nie widać w pfSense.
- Pominięte wyłączenie sum kontrolnych. Objaw: strony ładują się częściowo albo w ogóle, ping działa.
- Operator przypisany do adresu MAC. Niektórzy dostawcy internetu akceptują tylko jeden MAC. Wtedy po zmianie routera na pfSense trzeba zrestartować modem lub ustawić w pfSense adres MAC poprzedniego urządzenia (pole MAC Address w ustawieniach interfejsu WAN).
- Brak dostępu awaryjnego. Gdy pfSense nie działa, nie dostaniesz się do Proxmoxa przez sieć, która idzie przez ten firewall. Zostaw osobny port lub sieć do zarządzania hypervisorem.
Potrzebujesz pomocy?
Pomożemy zaprojektować i skonfigurować pfSense – zarówno jako maszynę wirtualną, jak i na urządzeniu Netgate. Doradzimy, czy w Twojej sytuacji lepszy będzie wirtualny firewall, czy osobne urządzenie, i przeniesiemy istniejącą konfigurację między nimi.
Masz pytania? Napisz do nas: kontakt@itessential.pl