Monitoramento6 min
Logs de firewall e monitoramento
Sem logs, incidentes passam despercebidos. Veja o que registrar, como reter e como transformar eventos em visibilidade.
Ler guiaHub de conteúdo
Diagnóstico e troubleshooting de pfSense e rede
Como diagnosticar problemas de pfSense com método: onde olhar primeiro, o que os logs mostram, quando capturar pacote e como responder a um incidente de rede.
Por Cesar Gargiulo
Publicado em
3 guias neste hub
Quase todo problema de firewall se resolve na mesma sequência: confirmar o sintoma, olhar o log, verificar se o pacote chega, verificar se ele passa, e só então mexer em configuração. A ordem inversa, mexer primeiro e observar depois, é o que transforma um problema em dois.
Este hub reúne o método e as ferramentas de diagnóstico. Ele parte de um princípio pouco popular: na maior parte das vezes o firewall está fazendo exatamente o que foi mandado fazer, e o trabalho é descobrir qual regra, em qual ordem, com qual estado já estabelecido.
O mapa do assunto
Quatro pontos que decidem quase tudo neste tema. Se algum deles soar novo, comece pelo guia correspondente.
- Log primeiro, sempre
- A pergunta inicial é se o firewall registrou o bloqueio. Se registrou, o problema é regra. Se não registrou nada, o pacote provavelmente nem chegou, e o problema está antes: rota, VLAN, cabo, operadora.
- Estado já estabelecido engana
- O pf decide na primeira vez que vê a conexão. Alterar a regra não derruba o estado que já existe, o que produz o clássico "mudei e não mudou nada" e, do outro lado, "voltei a regra e continua bloqueado".
- Captura de pacote resolve a discussão
- Quando log e configuração parecem contradizer o comportamento, a captura mostra o que de fato entra e sai por cada interface. É a evidência que encerra a maioria das dúvidas.
- Incidente é outra coisa
- Diagnóstico de falha e resposta a incidente de segurança usam evidências parecidas e decisões muito diferentes. No incidente, preservar registro vale mais do que restabelecer rápido.
Ordem de leitura
A trilha, do fundamento à operação
Comece pelo guia de logs: ele é o pré-requisito prático de todo o resto.
Configuração
Colocar de pé, com as decisões de configuração que importam.
- Firewall6 min
Erros comuns em firewalls
A maioria dos incidentes explora erros evitáveis de configuração. Conheça os mais comuns para corrigir antes que virem problema.
Ler guia
Operação e governança
Manter funcionando ao longo dos anos, com mais de uma pessoa envolvida.
- Resposta a incidentes7 min
Plano de resposta a incidentes de rede
Incidentes acontecem. Ter um plano definido reduz o tempo de resposta e o impacto. Veja as fases essenciais.
Ler guia
Dúvidas comuns
Perguntas sobre troubleshooting de pfsense
Mudei a regra e o comportamento não mudou. Por quê?
Quase sempre por causa de estado já estabelecido. O pf avalia as regras na primeira vez que vê a conexão e mantém o estado; alterar a regra depois não afeta o que já está aberto. Depois de mudar a regra, remova os estados correspondentes e teste de novo. Se ainda assim não mudar, o próximo suspeito é uma regra flutuante avaliada antes da regra de interface.
O log não mostra bloqueio nenhum e mesmo assim não conecta. E agora?
Sem registro de bloqueio, a hipótese mais provável é que o pacote não está chegando na interface que você está observando. A partir daí a checagem é de camada mais baixa: interface certa, VLAN correta, rota de retorno existente, e o próprio link. A captura de pacote na interface resolve isso em minutos.
Quando escalar em vez de continuar tentando?
Quando você já não sabe dizer o que mudou. Ambiente onde várias alterações foram feitas para tentar resolver perde o ponto de referência, e cada nova tentativa aumenta a superfície do problema. Nesse ponto, restaurar uma configuração conhecida e recomeçar o diagnóstico costuma ser mais rápido do que insistir.
Próximo passo
Do guia para o ambiente real
Se depois de ler ainda restar a dúvida de como aplicar no seu cenário, descreva o ambiente por e-mail. A resposta vem com uma leitura técnica do caso, sem compromisso.