Lai pieslēgtu pfSense VPSnet privātajam tīklam, VPSnet vadības panelī pievienojiet filiāli un pēc tam pfSense izveidojiet maršrutētu IPsec IKEv2 tuneli (VTI) ar vērtībām no paneļa ceļveža: 1. fāze, 2. fāze, tuneļa saskarne, maršruts un ugunsmūra noteikums. Ceļvedis pārbaudīts ar pfSense CE 2.8.1 un pastāvīgu publisko IPv4 adresi.
Pirms sākat
- VPSnet vadības panelī atveriet savu VPN, izvēlieties Pieslēgt filiāli (maršrutētāju), atzīmējiet pfSense, sadaļā Pieslēgties ar – IPsec IKEv2 un nospiediet Tālāk. Ievadiet filiāles tīklus un maršrutētāja publisko IPv4 adresi.
- Uzreiz nokopējiet kopīgo atslēgu (PSK): tā tiek parādīta vienu reizi.
- Turiet atvērtu filiāles Maršrutētāja ceļvedis, cilni Pārlūkā: tajā jau ir jūsu VPN adrese, tuneļa adreses un tīkli.
Attēlos redzamas paraugvērtības no dokumentācijai paredzētajām adresēm. Ievadiet vērtības no sava ceļveža.
1. 1. fāzes iestatījumi
VPN > IPsec > Tunnels > Add P1
Nospiediet Add P1, tad Display Advanced, lai redzētu visas opcijas. Aizpildiet laukus un nospiediet Save.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Description | tuneļa nosaukums no ceļveža |
| 2 | Key Exchange version | IKEv2 |
| 3 | Internet Protocol | IPv4 |
| 4 | Interface | WAN |
| 5 | Remote Gateway | VPN adrese no ceļveža |
| 6 | Authentication Method | Mutual PSK |
| 7 | My identifier | My IP address |
| 8 | Peer identifier | Peer IP address |
| 9 | Pre-Shared Key | kopīgā atslēga (tiek parādīta vienu reizi) |
| 10 | Encryption Algorithm | AES256-GCM, 128 bits, SHA384, DH grupa 19; ar Add Algorithm vēl divas rindas: tas pats ar DH 20 un DH 14 |
| 11 | Life Time | 86400 (vai ceļvedī norādītā vērtība) |
| 12 | Child SA Start Action | None (Responder Only): tuneli sāk un uztur mūsu VPN |
| 13 | Child SA Close Action | Close connection and clear SA |
| 14 | NAT Traversal | Auto |
| 15 | MOBIKE | Disable |
| 16 | Dead Peer Detection | Enable DPD |
| 17 | Delay | 30 (vai ceļvedī norādītā vērtība) |
| 18 | Max failures | 5 |
2. 2. fāzes iestatījumi (maršrutēts VTI)
VPN > IPsec > Tunnels > Show Phase 2 Entries > Add P2
Saglabātās 1. fāzes rindā nospiediet Show Phase 2 Entries, tad Add P2. Saglabājiet un tuneļu sarakstā nospiediet Apply Changes.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Description | tuneļa nosaukums no ceļveža |
| 2 | Mode | Routed (VTI) |
| 3 | Local Network | maršrutētāja tuneļa adrese no ceļveža (169.254.x.x) |
| 4 | Remote Network | VPN tuneļa adrese no ceļveža (169.254.x.x) |
| 5 | Protocol | ESP |
| 6 | Encryption Algorithms | tikai AES256-GCM, 128 bits: noņemiet atzīmi no AES128-GCM un visiem citiem šifriem |
| 7 | Hash Algorithms | nekas (ar AES-GCM lauks ir pelēks) |
| 8 | PFS key group | 19 (nist ecp256) |
| 9 | Life Time | 3600 (vai ceļvedī norādītā vērtība) |
3. Piešķiriet tuneļa saskarni
Interfaces > Assignments
Laukā Available network ports izvēlieties jauno IPsec VTI un nospiediet Add. Pierakstiet nosaukumu, ko tam piešķīra pfSense (LAN, OPT1 vai citu).
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Available network ports | IPsec VTI ar tuneļa nosaukumu |
4. Ieslēdziet tuneļa saskarni
Interfaces > [the new interface]
Atveriet tikko piešķirto saskarni un pārbaudiet, vai tās tīkla ports ir jaunais IPsec VTI, nevis WAN vai biroja LAN. Saglabājiet un nospiediet Apply Changes.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Enable | On |
| 2 | Description | saskarnes nosaukums no ceļveža, piemēram, vpsnet0 |
| 3 | MSS | 1360 |
5. Atrodiet tuneļa vārteju
System > Routing > Gateways
pfSense vārteju izveido pats, kad piešķirat saskarni, piemēram, VPSNET0_VTIV4. Pierakstiet tās nosaukumu.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Name | pfSense izveidotā vārteja |
6. Izslēdziet vārtejas uzraudzību
System > Routing > Gateways > Edit
Rediģējiet vārteju: mūsu VPN neatbild uz ping savā tuneļa adresē, tāpēc uzraudzība to atzīmētu kā nestrādājošu. Saglabājiet un piemērojiet.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Disable Gateway Monitoring | On |
7. Maršrutējiet VPSnet tīklus
System > Routing > Static Routes > Add
Katram ceļvedī norādītajam VPSnet tīklam pievienojiet pa maršrutam. Saglabājiet un piemērojiet.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Destination network | VPSnet tīkls no ceļveža |
| 2 | Gateway | tuneļa vārteja |
| 3 | Description | VPSnet VPN |
8. Atļaujiet datplūsmu no VPSnet uz biroju
Firewall > Rules > IPsec > Add
Šis noteikums ļauj VPSnet serveriem sasniegt biroju. Katram biroja tīklam – savs noteikums. Datplūsmai no biroja uz VPSnet jābūt atļautai saskarnē, pa kuru tā ienāk: noklusējuma LAN noteikums to aptver tikai tad, ja tā ienāk caur LAN.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Action | Pass |
| 2 | Interface | IPsec |
| 3 | Address Family | IPv4 |
| 4 | Protocol | Any |
| 5 | Source | VPSnet tīkls no ceļveža |
| 6 | Destination | jūsu biroja tīkls |
| 7 | Description | VPSnet VPN: VPSnet -> office |
9. Pārbaudiet tuneli
Status > IPsec > Overview
Tuneli sāk mūsu VPN. Rindā redzams Established un instalēts child SA. Pēc tam no biroja datora veiciet ping uz VPSnet servera privāto adresi.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Status | Established |
Pārbaude un problēmas
- Panelī atveriet filiāli un nospiediet Pārbaudīt tuneli: tiek pārbaudīts, vai maršrutētājs atbild, vai atslēgas sakrīt un vai datplūsma iet.
- Tunelis neizveidojas: pārbaudiet Remote Gateway (VPN adresi) un kopīgo atslēgu, ielīmētu bez atstarpēm. Status > System Logs > IPsec parāda, kāpēc saskaņošana neizdodas.
- Tunelis darbojas, bet ping neiet: pārbaudiet statisko maršrutu, vai vārtejas uzraudzība ir izslēgta un vai IPsec cilnē ir Pass noteikums.
BUJ
Kurām pfSense CE versijām paredzēts šis ceļvedis?
Tas iestatīts un pārbaudīts ar pfSense CE 2.8.1 un pastāvīgu publisko IPv4 adresi. Citās versijās daži lauki var saukties vai atrasties citādi.
Mana maršrutētāja publiskā adrese mainās. Vai tomēr varu pieslēgties?
Šis ceļvedis paredzēts pastāvīgai adresei. Pievienojot filiāli, atzīmējiet “Adrese mainās”: tad ceļvedī būs iestatījumi šim gadījumam, un tuneli būs jāsāk jūsu maršrutētājam.
Kāpēc maršrutēts (VTI) tunelis?
VPN datplūsmu sūta pēc maršrutiem. Ar tuneļa saskarni VPSnet tīklus pievienojat vai noņemat, mainot tikai maršrutus.
Pazaudēju kopīgo atslēgu. Ko darīt?
Atslēga tiek parādīta vienu reizi. Panelī atveriet filiāli un izvēlieties “Nomainīt atslēgu”: tiek izveidota jauna atslēga, tā tiek parādīta vienu reizi, un vecā pārstāj darboties nākamajā maršrutētāja pieslēgšanās reizē.
Vai tunelim vajadzīgs NAT?
Nē. VPSnet serveri redz biroja datoru adreses.