OPNsense’i ühendamiseks VPSneti privaatvõrguga WireGuardi kaudu lisage VPSneti juhtpaneelis haru ja laadige alla selle .conf-fail, seejärel looge OPNsense’is WireGuardi instance selle faili privaatvõtmega, lisage VPN peer’ina, lülitage WireGuard sisse ja lubage tulemüüris serverite liiklus. Marsruudid lisab OPNsense ise. Näidatud OPNsense 26.7-s, kus WireGuard on sisse ehitatud.
Enne alustamist
- Avage VPSneti juhtpaneelis oma VPN, valige Ühenda haru (ruuter), märkige OPNsense, jätke jaotises Ühenda üle valikuks WireGuard ja klõpsake Edasi. Sisestage haru võrgud ja valige serverid, milleni see jõuab.
- Laadige .conf-fail kohe alla: selles on ruuteri privaatvõti ja seda näidatakse üks kord.
- Hoidke paneeli ruuteri väärtused avatud: VPN-i aadress ja port, VPN-i avalik võti, tunneliaadress, tunnelisse saadetavad aadressid (AllowedIPs) ja keepalive.
Piltidel on näidisväärtused dokumentatsiooniks mõeldud aadressidest. Sisestage väärtused oma juhendist.
1. Looge instance
VPN > WireGuard > Instances > +
Kleepige .conf-failist privaatvõti; avalik võti täitub ise. Kuulamisporti sisestage ainult siis, kui paneel seda näitab. Salvestage.
| Väli | Väärtus |
|---|---|
| Name | vpsnet |
| Private key | privaatvõti .conf-failist |
| Listen port | port paneelist, kui seda näidatakse |
| Tunnel address | tunneliaadress paneelist (/32) |
2. Lisage VPN peer’ina
VPN > WireGuard > Peers > +
Sisestage kõik paneeli AllowedIPs aadressid. Valige väljal Instances 1. sammus loodud instance. Salvestage.
| Väli | Väärtus |
|---|---|
| Name | vpsnet |
| Public key | VPN-i avalik võti paneelist |
| Allowed IPs | AllowedIPs aadressid paneelist |
| Endpoint address | VPN-i aadress paneelist |
| Endpoint port | VPN-i port paneelist |
| Instances | 1. sammu instance |
| Keepalive interval | keepalive paneelist (25) |
3. Lülitage WireGuard sisse
VPN > WireGuard > Instances
Märkige Enable WireGuard ja klõpsake Apply. Marsruudid AllowedIPs aadressidele lisab OPNsense ise (jätke Disable routes märkimata), nii et lüüsi ega staatilist marsruuti pole vaja.
| Väli | Väärtus |
|---|---|
| Enable WireGuard | On |
4. Lubage serverite liiklus
Firewall > Rules > +
Lisage reegel liidesega WireGuard (Group), et VPSneti serverid jõuaksid kontorini. Salvestage ja rakendage. Ärge lülitage selle tunneli jaoks NAT-i sisse: serverid näevad kontori arvutite enda aadresse.
| Väli | Väärtus |
|---|---|
| Interface (rule) | WireGuard (Group) |
| Action | Pass |
| Direction | In |
| Version | IPv4 |
| Source | serverite aadressid (AllowedIPs) |
| Destination | any |
5. Kontrollige ühendust
VPN > WireGuard > Status
Peer’i juures on näha hiljutine handshake ning Sent ja Received loendurid kasvavad. Seejärel pingige kontori arvutist VPSneti serveri privaataadressi.
| Väli | Väärtus |
|---|---|
| Handshake Age | alla 3 minuti |
Kontroll ja vead
- Avage paneelis haru ja klõpsake Kontrolli tunnelit: kontrollitakse, kas ruuter vastab, kas võtmed klapivad ja kas liiklus liigub.
- Handshake puudub: kontrollige endpoint’i aadressi ja porti, VPN-i avalikku võtit ning et privaatvõti on võetud .conf-failist.
- Handshake on, aga ping ei liigu: kontrollige Allowed IPs-i, WireGuard (Group) Pass-reeglit ja et instance’i Disable routes on väljas.
KKK
Kust saan privaatvõtme?
Ainult .conf-failis, mille paneel harule annab. Seda näidatakse üks kord.
Minu ruuter on NAT-i taga. Kas see töötab?
Jah. Ühenduse avab ruuter ja keepalive hoiab seda avatuna.
Kas mitu haru jõuavad üksteiseni?
Jah, kui VPN-i seadetes on sees „Harud jõuavad üksteiseni”. Siis lisatakse teiste harude võrgud AllowedIPs-i.
Kas tunnel vajab NAT-i?
Ei. VPSneti serverid näevad kontori arvutite enda aadresse.