Moet ik mijn Pfsense VM in DMZ zetten of niet?

Die PfSense VM is feitelijk een tweede router en die kan je als DMZ Host instellen.

Zorg er wel voor dat je de firewall op die VM op orde hebt!

Pfsense is zelf een firewall. Met standaard instellingen staat die gewoon goed. 

De firewall op de host speelt geen rol. Pfsense heeft een directe verbinding met de KPN Box. Daar zit de host niet tussen als het goed is. Als dat wel het geval is klopt er iets niet.

Als Pfsense in DMZ staat hangt die dus rechtstreeks aan internet. En dat is de bedoeling van DMZ. 

Toch is dit iets wat ik me nog steeds afvraag: een VM is een applicatie die draait op een host-besturingssysteem. Stel, je draait PfSense in VirtualBox op een Windows systeem, heb je dan in principe het veiligheidsniveau van een Windows systeem? De Windows services zijn in principe niet bereikbaar omdat alleen het IP van de VM doorgelaten wordt, maar toch… Als de functie van PfSense alleen is om het achterliggende netwerk dubbel te beveiligen, en er geen servers gedraaid worden, zou ik de Experiabox juist niet in DMZ zetten.

Ik heb zelf een poosje PfSense als virtuele machine gedraait. Maar ik rommel nogal eens aan het host systeem. Dat is hobby. Andere harde schijven er in zetten en zo. Of updaten en daarbij alles weer opnieuw opstarten. Andere instellingen proberen. Ja ... dan ligt dus je hele netwerk plat. Want PfSense gaat dan dus ook uit. 

Daarom heb ik tegenwoordig PfSense gewoon op een apart boxje draaien. Gebruikt wel klein beetje extra stroom natuurlijk. Maar levert enorm veel vrijheid op.

Het is juist waar een DMZ voor bedoeld is, een tweede router achter de primaire router plaatsen waar al het inkomend verkeer naar doorgezet wordt dat niet geforward is naar een apparaat achter de primaire router.

Heb je bijvoorbeeld een NAS, deurbel of bewakingscamera achter de tweede router hebt staan die je van buitenaf moet kunnen benaderen, configureer dan die tweede router als DMZ Host van de eerste router zodat je port-forwardings alleen op de tweede router hoeft te doen en geen omkijken hebt naar de primaire router.

En als je ook van buitenaf pingbaar wilt zijn, dan zal icmp verkeer dus ook doorgezet moeten worden naar de tweede router en dat lukt niet m.b.v. port-forwardings.