Norėdami prijungti OPNsense prie VPSnet privataus tinklo, VPSnet valdymo skydelyje pridėkite padalinį, tada OPNsense sukurkite IPsec IKEv2 tunelį (route-based, VTI) su reikšmėmis iš skydelio instrukcijos: tunelio sąsaja, ryšys, autentifikavimas, child, raktas, šliuzas, maršrutas ir ugniasienės taisyklė. Gidas išbandytas su OPNsense 26.7 ir pastoviu viešuoju IPv4 adresu.
Prieš pradedant
- VPSnet valdymo skydelyje atidarykite savo VPN, pasirinkite Prijungti padalinį (maršrutizatorių), pažymėkite OPNsense, skiltyje Jungtis per – IPsec IKEv2 ir spauskite Toliau. Įveskite padalinio tinklus ir maršrutizatoriaus viešąjį IPv4 adresą.
- Iškart nusikopijuokite bendrąjį raktą (PSK): jis rodomas vieną kartą.
- Palikite atidarytą padalinio langą Maršrutizatoriaus nustatymo instrukcija, kortelę Naršyklėje: ten jau įrašyti jūsų VPN adresas, tunelio adresai ir tinklai.
Paveikslėliuose rodomos pavyzdinės reikšmės (dokumentacijai skirti adresai). Įveskite reikšmes iš savo instrukcijos skydelyje.
1. Virtuali tunelio sąsaja
VPN > IPsec > Virtual Tunnel Interfaces > +
Palikite instrukcijoje nurodytą Reqid, nebent šioje ugniasienėje jis jau naudojamas; tada tą patį naują numerį įrašykite ir 5 žingsnyje.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Enabled | On |
| 2 | Reqid | Reqid iš instrukcijos |
| 3 | Local address | jūsų maršrutizatoriaus viešasis IPv4 adresas |
| 4 | Remote address | VPN adresas iš instrukcijos |
| 5 | Tunnel local address | maršrutizatoriaus tunelio adresas iš instrukcijos (169.254.x.x) |
| 6 | Tunnel remote address | VPN tunelio adresas iš instrukcijos (169.254.x.x) |
| 7 | Name | sąsajos pavadinimas iš instrukcijos, pvz., vpsnet0 |
2. Ryšys (IKE)
VPN > IPsec > Connections > +
Formos viršuje įjunkite advanced mode, kad matytųsi visi laukai. Išsaugokite.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Proposals | aes256gcm16-sha384-ecp256, aes256gcm16-sha384-ecp384, aes256gcm16-sha384-modp2048 |
| 2 | Unique | Replace |
| 3 | Version | IKEv2 |
| 4 | MOBIKE | Off |
| 5 | Local addresses | jūsų maršrutizatoriaus viešasis IPv4 adresas |
| 6 | Remote addresses | VPN adresas iš instrukcijos |
| 7 | Rekey time (s) | 72000 (arba instrukcijoje nurodyta reikšmė) |
| 8 | Over time (s) | 600 (arba instrukcijoje nurodyta reikšmė) |
| 9 | DPD delay (s) | 30 (arba instrukcijoje nurodyta reikšmė) |
| 10 | DPD timeout (s) | 150 |
| 11 | Description | tunelio pavadinimas iš instrukcijos |
3. Vietinis autentifikavimas
VPN > IPsec > Connections > Local Authentication > +
Ryšio skiltyje Local Authentication spauskite + ir išsaugokite.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Authentication | Pre-Shared Key |
| 2 | ID | jūsų maršrutizatoriaus viešasis IPv4 adresas |
4. Nuotolinis autentifikavimas
VPN > IPsec > Connections > Remote Authentication > +
Skiltyje Remote Authentication spauskite + ir išsaugokite.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Authentication | Pre-Shared Key |
| 2 | Id | VPN adresas iš instrukcijos |
5. Child (ESP)
VPN > IPsec > Connections > Children > +
Palikite įjungtą advanced mode. Policies lieka išjungta: srautas eina per tunelio sąsają. Naudokite tą patį Reqid kaip 1 žingsnyje. Išsaugokite.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Mode | Tunnel |
| 2 | Policies | Off |
| 3 | Start action | Start |
| 4 | Close action | Start |
| 5 | DPD action | Start |
| 6 | Reqid | Reqid iš instrukcijos |
| 7 | ESP proposals | aes256gcm16-ecp256, aes256gcm16-ecp384, aes256gcm16-modp2048 |
| 8 | Local | 0.0.0.0/0 |
| 9 | Remote | 0.0.0.0/0 |
| 10 | Rekey time (s) | 3000 (arba instrukcijoje nurodyta reikšmė) |
| 11 | Description | tunelio pavadinimas iš instrukcijos |
6. Bendrasis raktas
VPN > IPsec > Pre-Shared Keys > +
Pridėkite raktą su tais pačiais identifikatoriais kaip Local ir Remote Authentication. Išsaugokite.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Local Identifier | jūsų maršrutizatoriaus viešasis IPv4 adresas |
| 2 | Remote Identifier | VPN adresas iš instrukcijos |
| 3 | Pre-Shared Key | bendrasis raktas (rodomas vieną kartą) |
| 4 | Type | PSK |
| 5 | Description | tunelio pavadinimas iš instrukcijos |
7. Įjunkite IPsec
VPN > IPsec > Connections
Pažymėkite Enable IPsec ir spauskite Apply.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Enable IPsec | On |
8. Įjunkite tunelio sąsają
Interfaces > [the tunnel interface]
OPNsense 26 sąsają sukuria iš 1 žingsnio VTI. Atidarykite tą sąsają, įjunkite ją ir išsaugokite. Kitos tunelio sąsajos nekurkite.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Enable | On |
| 2 | Description | sąsajos pavadinimas iš instrukcijos, pvz., vpsnet0 |
9. Tunelio šliuzas
System > Gateways > Configuration > +
Pridėkite šliuzą tunelio sąsajoje. Išsaugokite ir pritaikykite.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Name | sąsajos pavadinimas su _GW, pvz., vpsnet0_GW |
| 2 | Interface | sąsajos pavadinimas iš instrukcijos, pvz., vpsnet0 |
| 3 | Address Family | IPv4 |
| 4 | IP Address | VPN tunelio adresas iš instrukcijos (169.254.x.x) |
| 5 | Far Gateway | On |
| 6 | Description | VPSnet VPN |
10. Maršrutai į VPSnet tinklus
System > Routes > Configuration > +
Kiekvienam instrukcijoje nurodytam VPSnet tinklui pridėkite po maršrutą. Išsaugokite ir pritaikykite.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Enabled | On |
| 2 | Network Address | VPSnet tinklas iš instrukcijos |
| 3 | Gateway | tunelio šliuzas |
| 4 | Description | VPSnet VPN |
11. Leiskite srautą iš VPSnet į biurą
Firewall > Rules > +
OPNsense 26.7 turi vieną Firewall > Rules langą. Pridėkite taisyklę su IPsec encapsulation (numatytasis IPsec filtravimas), o Interface (origin) palikite any. Kiekvienam biuro tinklui – po taisyklę. Išsaugokite ir pritaikykite.
| Laukas | Reikšmė |
|---|---|
| Interface (rule) | IPsec encapsulation |
| Action | Pass |
| Direction | In |
| Version | IPv4 |
| Protocol | any |
| Source | VPSnet tinklas iš instrukcijos |
| Destination | jūsų biuro tinklas |
| Description | VPSnet VPN: VPSnet -> office |
Patikra ir galimos problemos
- Skydelyje atidarykite padalinį ir spauskite Tikrinti tunelį: patikrinama, ar maršrutizatorius atsako, ar sutampa raktai ir ar eina srautas.
- Ryšio nėra: patikrinkite, ar pažymėta Enable IPsec ir ar bendrojo rakto identifikatoriai sutampa su Local ir Remote Authentication ID. VPN > IPsec > Log File parodo, kodėl derybos nepavyksta.
- Ryšys yra, bet srautas neina: child nustatymuose Policies turi būti išjungta, o Reqid – toks pat kaip tunelio sąsajos; patikrinkite maršrutą ir taisyklę su IPsec encapsulation.
DUK
Kurioms OPNsense versijoms skirtas šis gidas?
Gidas parengtas ir išbandytas su OPNsense 26.7, kai viešasis IPv4 adresas pastovus. Kitose versijose kai kurie laukai gali vadintis kitaip arba būti kitoje vietoje.
Mano maršrutizatoriaus viešasis adresas keičiasi. Ar vis tiek galiu prisijungti?
Šis gidas skirtas pastoviam adresui. Pridėdami padalinį pažymėkite „Adresas keičiasi“: tada instrukcijoje bus nustatymai šiam atvejui, o tunelį turės pradėti jūsų maršrutizatorius.
Kodėl tunelis su sąsaja (route-based, VTI)?
VPN srautą siunčia pagal maršrutus. Su tunelio sąsaja VPSnet tinklus pridedate ar pašalinate keisdami tik maršrutus.
Pamečiau bendrąjį raktą. Ką daryti?
Raktas rodomas vieną kartą. Skydelyje atidarykite padalinį ir pasirinkite „Pakeisti raktą“: sukuriamas naujas raktas, jis parodomas vieną kartą, o senasis nustoja veikti, kai maršrutizatorius jungiasi kitą kartą.
Ar tuneliui reikia NAT?
Ne. VPSnet serveriai mato biuro kompiuterių adresus.