Hola, los dos esquemas podrian ser posibles.

La menos intrusiva seria colocar un servidor proxy a un lado de tu Switch L3 , pero esto implica que tendrias que configurar el Router para que haga el desvio de las peticioses al proxy cache a una de las VLANs o a una nueva.

La mas transparente seria colocar el PFsense en lugar del switch L3 ( aunque no se que otras cosas ademas de ruteo este haciendo este switch, dhcp server, dhcp snooping , VTP  )  Hay que evaluarlo bien.

Si solo esta resolviendo las vlans no le veo muchos problemas, se crean las VLAns en el PFsense y lo conectas en lugar del Switch,

O incluso podrias colocarlo entre el router y el switch con algunos cambios en el direccionamiento.

Has intentado hacerlo con OpenDNS o alguna solucion alterna ?

Tengo un modem banda ancha

Correcto ZAC.

Hola buenas, ante todo muchas gracias, he subido un diagrama lo más real posible, claro están falseando las IP, mi idea es créalo en modo bridge para una sola IP en el PFSense.

El tráfico de la red sería todo lo que entre por la WAN-1 pueda acceder a la LAN.

El tráfico de la LAN pueda efectuarlo de dos modos:
-. Todo el tráfico que salgo por las redes  de equipo en la WAN-1 pueda efectuarlo. 140.X.X.X/16.
-. Todo el tráfico web a internet que no se sea para maquinas dentro del rango 140.X.X.X/16 que salgo por la WAN-2 (en este caso http y https)

El  WAN-2 que acepte el trafico saliente  de la LAN que solo sea  http / https y que no sea del rango 140.X.X.X/16.

Un saludo .

escenario.jpg
escenario.jpg_thumb

Hola, gracias por responder , pero no, es Open source , es muy bueno pero el ssh tampoco funciona en definitiva nada,  se queda completamente en bucle, la estoy efectuando en otro sitio y veo que consume mas de 2 Gb de ram y mas de 3 procesadores, el motivo es la configuración en modo bridges de 3 interfaces , que por lo que veo en esta versión no esta claro debido a que lo efectuó con tres tarjetas  (dos wan (uno es DCHP) y una lan) y al efectuar modo brie pongo los tres interfaces pero  el equipo empieza a consumir todos los recursos y se queda tostado,
En el otro equipo va sobrado de recursos pero le cuesta y si me preguntas como hago modo brie, es fácil.

Deshabilitar NAT pero no el Firewall:
Go to the Firewall -> NAT page, and click the Outbound tab.
Select the option "Manual Outbound NAT rule generation (Advanced Outbound NAT (AON))" and click Save.
Remove all automatically generated NAT rules at the bottom of the screen.
Apply changes.

'System -> Advanced -> System Tunables'  y defino  net.link.bridge.pfil_bridge de  'defaul 0t' a '1'.
Creo el puente entre  las interfaces WANS y LAN desde 'Interfaces → Assign → Bridges'
Creo la interface OPT y la renombro por BR0 y asigno el puente (bridge) desde 'Interfaces → Assign → Network Port'
Agrego la dirección IP a la Interface del puente (bridge interface); este sera la IP con el que accedere al firewall de forma permanente.
Agregue la regla "allow all"  para todas las Interfaces del firewall para evitar quedar bloqueado.  Interfacefaces BR0, WAN, WAN2 y LAN
Defino el tipo de interface para WAN y LAN como  'none' y wan-2 por dchp. (bajo 'Interfaces' en GUI)
Deshabilito el DHCP server
El firewall tiene ahora la capacidad  acceder desde todas las interfaces por medio del numero IP definido en el paso anterior.
Y ejecuto las politicas del firewall.

¿conoces que paso puedo estar haciendo mal para que le cueste tanto trabajo?
Un saludo y gracias

En lo personal creo que tu problema esta desde el puro principio.

Si vas a utilizar pfSense como servidor proxy y demás funcionalidades, en la interfaz WAN debes poner la configuración que te proporciona tu ISP y no utilizar el router.

Con solo hacer eso, ya tendrías trabajando sin problema el internet y en la LAN configurada de la forma que necesites y a partir de ese punto, ya podes configurar el firewall a como lo necesiten a lo interno y a lo externo vas a poder configurar los puertos si tu ISP no los tiene bloqueados.

En resumen sería así:

ISP–>WAN-pfSense-LAN-->Red Interna.

O como lo muestran la siguientes imágenes donde la primera es una red simple pero wireless la cual puede ser wired (cableada), wireless (inalámbrica) o mixta y la segunta, con varios proveedores de internet.

Gracias por las respuestas, la semana próxima estaré actualizando a la ultima versión, les cuento que tal sale  :D

Saludos.-

simple, sencillo, funcional.

muy buen post ptt

Asi es como deberia de ser, blepas.

No termino de comprender… qué dices...

Algo parecido, https://forum.pfsense.org/index.php?topic=46524.0

Buh, un montón xD, yo tengo 160 mac que no pasan por portal, aun asi les gusta entre a ver la página del portal (cosa que no pueden) y aparecen así, y a veces tengo varios de esos :P

Pues si tienes que ir de LAN a LAN1 tienes que autorizar en LAN origen LAN net el destino LAN1 net sin indicar puerta de enlace.

Y la regla tiene que ir por delante de las que tengas para permitir la ida a internet de LAN net.

Es bien simple. Tenomos tutoriales en Documentación (arriba, en este foro).

Ya lo volví a probar, y ahora si, nada de nada, la vez pasada si respondía a facebook.com, sepa porque, pero bueno, ya funciona ahora si como debe de ser :)

Adjunta, por favor, capturas de pantalla de tus configuraciones… así los compañeros pueden "ver" como tienes configurado tu pfSense e indicar dónde puede estar el error/problema

Y revisar que no tengas otra regla que aplique primero  , como en el caso de una Pass LAN to Any

@kowalski:

Regular Expression .cu

http://es.wikipedia.org/wiki/Dominio_de_nivel_superior

Diría que algo que se acerque a lo que quieres hacer sería:

([a-z0-9])(.cu)

http://squidguard.shalla.de/config/
http://www.squidguard.org/Doc/expressionlist.html

Pero eso lo resolverás mejor con una ACL de squid, pienso… Un ejemplo:

http://www.linuxquestions.org/questions/linux-software-2/get-squidguard-to-block-entire-countries-web-sites-possible-225866/

Siendo así igual el empleo de FreeRadius puede solucionar el tema, https://doc.pfsense.org/index.php/Using_OpenVPN_With_FreeRADIUS

No me queda claro si la integración de OpenVPN + FreeRadius (este empleando LDAP) permite emplear las capacidades de FreeRadius para asignar IPs.

Google openvpn freeradius

Es una pena, en el otro lado del túnel tenemos un PaloAlto que si que permite eso, pero necesitamos la priorización en salida.

Voy a ver como puedo meter un segundo pfsense antes del ipsec para que gestione el tráfico.

Muchas gracias por la respuesta bellera, voy a ponerme con ello.

Es que son muchas las cosas que debes hacer como para resumirlas en un post. Pero considera que debes usar los siguientes servicios/paquetes:

Servidor Proxy (Squid)
Filtros Proxy (squidGuard) "Acá puedes crear los grupos que necesitas".
Auto descubrimiento de Proxy (Configurando DHCP y creando un archivo wpad.dat)
Bloquear el tráfico directo de los clientes de la LAN al puerto 80 y 443 en el firewall.

Olvida usar simplemente un proxy transparente o reglas del firewall debe ser un Proxy configurado de forma manual en los clientes o lo más recomendable, usando auto descubrimiento. Cada vez son más los sitios que se cambian a HTTPS y sólo un proxy puede filtrarlas.