Norėdami prijungti pfSense prie VPSnet privataus tinklo, VPSnet valdymo skydelyje pridėkite padalinį, tada pfSense sukurkite IPsec IKEv2 tunelį (route-based, VTI) su reikšmėmis iš skydelio instrukcijos: 1 fazė, 2 fazė, tunelio sąsaja, maršrutas ir ugniasienės taisyklė. Gidas išbandytas su pfSense CE 2.8.1 ir pastoviu viešuoju IPv4 adresu.
Prieš pradedant
- VPSnet valdymo skydelyje atidarykite savo VPN, pasirinkite Prijungti padalinį (maršrutizatorių), pažymėkite pfSense, skiltyje Jungtis per – IPsec IKEv2 ir spauskite Toliau. Įveskite padalinio tinklus ir maršrutizatoriaus viešąjį IPv4 adresą.
- Iškart nusikopijuokite bendrąjį raktą (PSK): jis rodomas vieną kartą.
- Palikite atidarytą padalinio langą Maršrutizatoriaus nustatymo instrukcija, kortelę Naršyklėje: ten jau įrašyti jūsų VPN adresas, tunelio adresai ir tinklai.
Paveikslėliuose rodomos pavyzdinės reikšmės (dokumentacijai skirti adresai). Įveskite reikšmes iš savo instrukcijos skydelyje.
1. 1 fazės nustatymai
VPN > IPsec > Tunnels > Add P1
Spauskite Add P1, tada Display Advanced, kad matytųsi visos parinktys. Užpildykite laukus ir spauskite Save.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Description | tunelio pavadinimas iš instrukcijos |
| 2 | Key Exchange version | IKEv2 |
| 3 | Internet Protocol | IPv4 |
| 4 | Interface | WAN |
| 5 | Remote Gateway | VPN adresas iš instrukcijos |
| 6 | Authentication Method | Mutual PSK |
| 7 | My identifier | My IP address |
| 8 | Peer identifier | Peer IP address |
| 9 | Pre-Shared Key | bendrasis raktas (rodomas vieną kartą) |
| 10 | Encryption Algorithm | AES256-GCM, 128 bits, SHA384, DH grupė 19; su Add Algorithm dar dvi eilutės: tas pats su DH 20 ir DH 14 |
| 11 | Life Time | 86400 (arba instrukcijoje nurodyta reikšmė) |
| 12 | Child SA Start Action | None (Responder Only): tunelį pradeda ir palaiko mūsų VPN |
| 13 | Child SA Close Action | Close connection and clear SA |
| 14 | NAT Traversal | Auto |
| 15 | MOBIKE | Disable |
| 16 | Dead Peer Detection | Enable DPD |
| 17 | Delay | 30 (arba instrukcijoje nurodyta reikšmė) |
| 18 | Max failures | 5 |
2. 2 fazės nustatymai (Routed VTI)
VPN > IPsec > Tunnels > Show Phase 2 Entries > Add P2
Išsaugotos 1 fazės eilutėje spauskite Show Phase 2 Entries, tada Add P2. Išsaugokite ir tunelių sąraše spauskite Apply Changes.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Description | tunelio pavadinimas iš instrukcijos |
| 2 | Mode | Routed (VTI) |
| 3 | Local Network | maršrutizatoriaus tunelio adresas iš instrukcijos (169.254.x.x) |
| 4 | Remote Network | VPN tunelio adresas iš instrukcijos (169.254.x.x) |
| 5 | Protocol | ESP |
| 6 | Encryption Algorithms | tik AES256-GCM, 128 bits: nuimkite AES128-GCM ir visų kitų šifrų žymes |
| 7 | Hash Algorithms | nieko (su AES-GCM laukas pilkas) |
| 8 | PFS key group | 19 (nist ecp256) |
| 9 | Life Time | 3600 (arba instrukcijoje nurodyta reikšmė) |
3. Priskirkite tunelio sąsają
Interfaces > Assignments
Lauke Available network ports pasirinkite naująjį IPsec VTI ir spauskite Add. Užsirašykite, kokį pavadinimą jam suteikė pfSense (LAN, OPT1 ar kitą).
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Available network ports | IPsec VTI su tunelio pavadinimu |
4. Įjunkite tunelio sąsają
Interfaces > [the new interface]
Atidarykite ką tik priskirtą sąsają ir patikrinkite, ar jos tinklo portas yra naujasis IPsec VTI, o ne WAN ar biuro LAN. Išsaugokite ir spauskite Apply Changes.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Enable | On |
| 2 | Description | sąsajos pavadinimas iš instrukcijos, pvz., vpsnet0 |
| 3 | MSS | 1360 |
5. Raskite tunelio šliuzą
System > Routing > Gateways
pfSense šliuzą sukuria pats, kai priskiriate sąsają, pvz., VPSNET0_VTIV4. Užsirašykite jo pavadinimą.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Name | pfSense sukurtas šliuzas |
6. Išjunkite šliuzo stebėjimą
System > Routing > Gateways > Edit
Redaguokite šliuzą: mūsų VPN neatsako į ping savo tunelio adresu, todėl stebėjimas jį laikytų neveikiančiu. Išsaugokite ir pritaikykite.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Disable Gateway Monitoring | On |
7. Maršrutai į VPSnet tinklus
System > Routing > Static Routes > Add
Kiekvienam instrukcijoje nurodytam VPSnet tinklui pridėkite po maršrutą. Išsaugokite ir pritaikykite.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Destination network | VPSnet tinklas iš instrukcijos |
| 2 | Gateway | tunelio šliuzas |
| 3 | Description | VPSnet VPN |
8. Leiskite srautą iš VPSnet į biurą
Firewall > Rules > IPsec > Add
Ši taisyklė leidžia VPSnet serveriams pasiekti biurą. Kiekvienam biuro tinklui – po taisyklę. Srautas iš biuro į VPSnet turi būti leistas sąsajoje, per kurią jis ateina: numatytoji LAN taisyklė jį apima tik tada, kai srautas ateina per LAN.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Action | Pass |
| 2 | Interface | IPsec |
| 3 | Address Family | IPv4 |
| 4 | Protocol | Any |
| 5 | Source | VPSnet tinklas iš instrukcijos |
| 6 | Destination | jūsų biuro tinklas |
| 7 | Description | VPSnet VPN: VPSnet -> office |
9. Patikrinkite tunelį
Status > IPsec > Overview
Tunelį pradeda mūsų VPN. Eilutėje matyti Established ir įdiegtas child SA. Tada iš biuro kompiuterio paleiskite ping į VPSnet serverio privatų adresą.
| # | Laukas | Reikšmė |
|---|---|---|
| 1 | Status | Established |
Patikra ir galimos problemos
- Skydelyje atidarykite padalinį ir spauskite Tikrinti tunelį: patikrinama, ar maršrutizatorius atsako, ar sutampa raktai ir ar eina srautas.
- Tunelis neprisijungia: patikrinkite Remote Gateway (VPN adresą) ir bendrąjį raktą, įklijuotą be tarpų. Status > System Logs > IPsec parodo, kodėl derybos nepavyksta.
- Tunelis veikia, bet ping nepraeina: patikrinkite statinį maršrutą, ar išjungtas šliuzo stebėjimas ir ar yra Pass taisyklė IPsec kortelėje.
DUK
Kurioms pfSense CE versijoms skirtas šis gidas?
Gidas parengtas ir išbandytas su pfSense CE 2.8.1, kai viešasis IPv4 adresas pastovus. Kitose versijose kai kurie laukai gali vadintis kitaip arba būti kitoje vietoje.
Mano maršrutizatoriaus viešasis adresas keičiasi. Ar vis tiek galiu prisijungti?
Šis gidas skirtas pastoviam adresui. Pridėdami padalinį pažymėkite „Adresas keičiasi“: tada instrukcijoje bus nustatymai šiam atvejui, o tunelį turės pradėti jūsų maršrutizatorius.
Kodėl tunelis su sąsaja (route-based, VTI)?
VPN srautą siunčia pagal maršrutus. Su tunelio sąsaja VPSnet tinklus pridedate ar pašalinate keisdami tik maršrutus.
Pamečiau bendrąjį raktą. Ką daryti?
Raktas rodomas vieną kartą. Skydelyje atidarykite padalinį ir pasirinkite „Pakeisti raktą“: sukuriamas naujas raktas, jis parodomas vieną kartą, o senasis nustoja veikti, kai maršrutizatorius jungiasi kitą kartą.
Ar tuneliui reikia NAT?
Ne. VPSnet serveriai mato biuro kompiuterių adresus.