🛡️ Esettanulmány: pfSense GeoIP – Csak magyar IP-címek a 443-as porton

🎯 Üzleti cél

Egy budapesti székhelyű könyvelőiroda – néhány home office-os munkatárssal – saját szerveren futtatott ügyviteli rendszert használ. Az alkalmazás webes felületen keresztül, a 443-as porton (HTTPS) érhető el.
A cél: kizárólag magyarországi IP-címekről legyen elérhető a rendszer, megelőzve a felesleges külföldi portscan-eket, automatizált támadási kísérleteket.

---

🧱 Kiindulási infrastruktúra

• Tűzfal: pfSense 2.7.2 CE
• Publikus szolgáltatás: HTTPS port (443)
• Domainnév: iroda.cegnev.hu
• Használók: fix és dinamikus IP-s végpontok, csak Magyarországról
• További védelmek: SSL, fail2ban, IPSEC VPN belsős adminhoz

---

🔍 Probléma

A 443-as porton elérhető szolgáltatás folyamatosan kapott:

• külföldi IP-ről származó feltérképező lekéréseket,
• automatikus brute-force próbálkozásokat,
• és botnet-szintű aktivitást, főként Ázsiából és Oroszországból.

A rendszer jól bírta a terhelést, de a naplók feleslegesen teltek, és minden külső aktivitás növelte a támadási kitettséget.

---

🧠 Megoldás: GeoIP-alapú hozzáférés korlátozás

A pfSense beépíthető GeoIP-szűrés segítségével kizárólag magyar IP-címek számára engedélyeztük a 443-as port elérését.

---

⚙️ Megvalósítás lépései

1️⃣ MaxMind GeoLite2 adatbázis letöltése

• Regisztráció a MaxMind oldalán → https://www.maxmind.com
• API licenckulcs létrehozása

2️⃣ pfBlockerNG telepítése és beállítása

• Telepítés: System > Package Manager > Available Packages > pfBlockerNG-devel
• Aktiválás: Firewall > pfBlockerNG > General

3️⃣ GeoIP engedélyezése

• GeoIP konfigurálása:
  • IP > GeoIP
  • Aktiválás, kulcs beillesztése
  • Csak HU ország kiválasztása
  • Alias Type: GeoIP

4️⃣ Alias létrehozása

• Létrejön egy GeoIP_HU_v4 (és v6) alias lista, mely folyamatosan frissül.

5️⃣ Firewall szabály beállítása

• Firewall > Rules > WAN
• Új szabály:
  • Action: Pass
  • Interface: WAN
  • Protocol: TCP
  • Destination Port: 443
  • Source: Single host or alias → GeoIP_HU_v4
  • Destination: WAN Address
  • Description: HTTPS access from Hungary
• A régi „Allow All” 443-as szabály inaktiválva vagy törölve.

6️⃣ Tesztelés

• Magyar IP-címről tesztelve → működik
• Külföldi VPN-ről → elutasítva (packet capture és log alapján)

---

🔐 Eredmény

• A naplóforgalom 90% feletti csökkenése a 443-as porton
• Külföldi szkennelések, brute-force kísérletek teljes blokkolása
• Jelentősen csökkent a támadási felület
• A magyar felhasználók elérése zavartalan maradt

---

📝 Tapasztalat, tanulság

A GeoIP-szűrés nem csodaszer, de kiváló első vonalbeli szűrés, ha földrajzilag jól körülhatárolható az elérési igény.
Tudni kell:

• VPN-t használó magyar felhasználók IP-je külföldinek tűnhet → célszerű listához adni
• A MaxMind adatbázis nem 100%-os, de napi frissítéssel nagyon megbízható
• Alternatív megoldás: VPN + whitelist, de az kevésbé felhasználóbarát

---

🧭 Kiegészítő javaslatok

• Kombináljuk GeoIP-t fail2ban / crowdsec / reverse proxy / 2FA rendszerrel
• Külföldi partnerek esetén használhatunk hozzáadott országkódokat vagy egyéni whitelistet
• Egy jól megtervezett pfSense tűzfalszabály-rendszer nemcsak biztonságosabb, hanem kevesebb hibalehetőséget is rejt

---

📞 Ha hasonló igényed van, és nem akarsz kísérletezni:
Mi szívesen beállítjuk, teszteljük, dokumentáljuk.
GeoIP, portszűrés, IDS/IPS – a pfSense nem csak egy tűzfal, hanem egy intelligens védelmi vonal.