pfSense

pfSense 是一款基于 FreeBSD 的开源防火墙与路由器操作系统,由 Netgate 公司主导开发与维护,源自更早的 m0n0wall 项目,首次发布于 2006 年。它把企业级的状态防火墙、路由、VPN、流量整形等网络功能集成在一套可通过 Web 界面管理的系统中,既可安装在专用硬件上作为网关,也可运行在虚拟机或软路由主机中。pfSense 长期是中小企业与发烧友自建网络边界设备的主流选择之一。

发展背景

pfSense 这个名字取自数据包过滤(packet filtering)与 FreeBSD 的 pf 防火墙。它在 m0n0wall 的理念上扩展,提供更完整的功能和插件系统。Netgate 提供基于 pfSense 的商业硬件设备与支持服务。pfSense 分为社区版 CE(Community Edition)与面向商业的 Plus 版本。围绕授权与开源治理的争议,曾促使部分社区成员 fork 出 OPNsense。

核心功能

• 状态防火墙:基于 FreeBSD pf,提供精细的规则、别名、调度与日志。
• NAT 与端口转发:支持各种 NAT 模式、1:1 映射与出站规则。
• VPN:内置 OpenVPN、IPsec,并支持 WireGuard,可做远程接入与站点互联。
• 多 WAN 与负载均衡/故障转移:聚合多条线路,提高带宽与可用性。
• 流量整形与 QoS:对不同应用与用户做带宽分配。
• 插件包(Packages):可安装 Suricata/Snort 入侵检测、pfBlockerNG 广告与威胁过滤、HAProxy、Squid 缓存等。
• 高可用:借助 CARP 实现双机热备。

技术架构

pfSense 以 FreeBSD 为底座,核心防火墙能力来自内核中的 pf 与 ALTQ 流量整形框架。系统配置集中保存为一个 XML 文件(config.xml),便于完整备份与还原。Web 界面以 PHP 编写,所有规则、接口、服务的改动经界面写入配置并应用到底层。它充分利用 FreeBSD 成熟的网络栈与稳定性,在长期运行与高吞吐场景下表现稳健。

部署与硬件要求

• 网卡:至少两块网卡(WAN/LAN);Intel 网卡在 FreeBSD 下兼容性与性能最佳。
• CPU/内存:基础路由防火墙需求很低;若启用 IDS/IPS、深度包检测或大量 VPN,则需较强 CPU 与更多内存。
• 存储:小容量 SSD/eMMC 即可;启用日志、缓存时需更大空间。
• 形态:可装于 Netgate 设备、自组软路由(如多网口迷你主机),或在 Proxmox/ESXi 虚拟机中直通网卡运行。

典型使用场景

• 家庭/小微企业网关:作为主防火墙与路由,统一管理上网、安全与 VPN。
• 站点互联:多地办公室通过 IPsec/OpenVPN 组建专网。
• 边界安全:配合 Suricata、pfBlockerNG 做入侵检测与威胁/广告拦截。
• 虚拟化软路由:在 homelab 母鸡中作为虚拟防火墙,直通物理网口。

与同类对比

相较 OPNsense(同源 fork),pfSense 历史更久、用户基数大、文档与教程丰富,但界面相对传统、部分新功能更新偏保守;OPNsense 界面更现代、更新更快。相较 OpenWrt,pfSense 更偏企业级防火墙,配置规整、安全特性深,但对低功耗 ARM 小设备支持不如 OpenWrt 广泛。相较商业防火墙(如 Fortinet),pfSense 免费且开源,但缺少厂商一体化的威胁情报订阅深度。

优缺点与注意事项

• 优点:稳定可靠、功能企业级、配置可整体备份、社区成熟、可跑在便宜硬件上。
• 缺点:界面偏传统、CE 与 Plus 的功能/授权分化引发争议、对 ARM 支持有限。
• 注意:虚拟化部署建议网卡直通以保证性能与稳定;升级前备份 config.xml;IDS/IPS 与深度检测对 CPU 要求显著。