Jak nakonfigurovat Proton VPN na pfSense pomocí OpenVPN

V tomto návodu vám ukážeme, jak nastavit Proton VPN na pfSense 23.09 a pfSense 2.7.x pomocí protokolu OpenVPN. To vašemu routeru umožní chránit jakékoli k němu připojené zařízení pomocí připojení Proton VPN.

Zjistěte více o OpenVPN

Pokud používáte pfSense 2.7.x, doporučujeme místo toho použít protokol WireGuard®.

Upozorňujeme také, že při použití OpenVPN se nedoporučuje používat vícenásobná připojení. Pro tento účel opět doporučujeme WireGuard.

• Zjistěte více o OpenVPN vs. WireGuard
• Přečtěte si, jak nakonfigurovat Proton VPN na pfSense pomocí WireGuard

Před začátkem budete potřebovat:

• Čistá instalace pfSense 23.09 nebo pfSense 2.7.x
• Počítač připojený k vaší síti LAN, abyste měli přístup k rozhraní pfSense
• Vaše uživatelské jméno a heslo pro OpenVPN. Ty se liší od vašeho běžného uživatelského jména a hesla pro Proton VPN. Chcete-li je najít, přihlaste se na adrese account.protonvpn.com a přejděte na Účet → Uživatelské jméno OpenVPN.

1. Vytvořte konfigurační soubor OpenVPN

Přihlaste se k Proton VPN pomocí uživatelského jména a hesla k vašemu Proton účtu na adrese account.protonvpn.com, přejděte na Downloads → OpenVPN configuration files a stáhněte si konfigurační soubor OpenVPN. Nezapomeňte zvolit možnost Select Platform: Router.

Zjistěte, jak stáhnout konfigurační soubor OpenVPN z Proton VPN

Ke konfiguraci pfSense budete potřebovat certifikát TLS(nové okno) z tohoto konfiguračního souboru. Chcete-li jej najít, otevřete stažený konfigurační soubor OpenVPN v textovém editoru a vyhledejte text, který začíná —–BEGIN CERTIFICATE—- a končí –—-END CERTIFICATE—–.

Budete také potřebovat IP adresu a číslo portu serveru VPN. Tyto údaje naleznete na prvním řádku s označením remote v certifikátu. První číslo je IP adresa a druhé číslo je číslo portu. V níže uvedeném příkladu je IP adresa 185.159.157.6 a číslo portu je 51820

A nakonec budete potřebovat statický klíč OpenVPN. Ten začíná —–BEGIN OpenVPN Static key V1—- a končí —–END OpenVPN Static key V1—–.

2. Přidejte certifikát TLS do pfSense

Zadejte 192.168.1.1 do adresního řádku prohlížeče a otevřete webové rozhraní pfSense. Přihlaste se a přejděte na Systém → Certifikáty → Přidat → Importovat certifikát.

Nakonfigurujte následující nastavení:

Vytvořit / Upravit CA. Přejděte na Autority → Přidat a změňte následující nastavení:

• Popisný název: Může to být jakýkoli název, který považujete za užitečný pro popis certifikátu TLS od Protonu
• Metoda: Importovat stávající certifikační autoritu

Stávající certifikační autorita

• Zkopírujte certifikát TLS ze svého konfiguračního souboru OpenVPN a vložte jej sem

Až budete hotovi, klikněte na Uložit.

3. Nakonfigurujte klienta OpenVPN

Nyní přidáte klienta OpenVPN, který bude šifrovat vaše data a posílat je tunelem na server VPN.

Přejděte na VPN → OpenVPN → Klienti, klikněte na Přidat a nakonfigurujte následující nastavení:

Obecné informace:

• Popis: Zvolte zobrazované jméno pro tuto konfiguraci
• Zakázáno: Nezaškrtnuto

Konfigurace režimu

• Režim serveru: Peer to Peer (SSL/TLS)
• Režim zařízení: tun – Layer 3 Tunnel Mode

Konfigurace koncového bodu

• Protokol: Buď Pouze UDP na IPv4, nebo Pouze TCP na IPv4 (dle vaší volby, ale musí se shodovat se staženým konfiguračním souborem). Zjistěte více o rozdílech mezi UDP a TCP. 
• Rozhraní: WAN
• Místní port: –
• Hostitel nebo adresa serveru: Tyto informace naleznete v kroku 1. 
• Port serveru: Tyto informace naleznete také v kroku 1. 
• Hostitel nebo adresa proxy: –
• Port proxy: –
• Ověření proxy: žádné

Nastavení ověřování uživatele

• Uživatelské jméno: Vaše uživatelské jméno pro Proton VPN OpenVPN
• Heslo: Vaše heslo pro Proton VPN OpenVPN
• Opakování ověření: Ponechte nezaškrtnuté

Pamatujte: Tyto údaje se liší od vašeho běžného uživatelského jména a hesla pro Proton VPN. Chcete-li aktivovat další funkce, přidejte k uživatelskému jménu pro OpenVPN následující přípony.

• NetShield Ad-blocker: +f1
• Pokročilý blokátor reklam NetShield (dostupný pouze v případě, že máte placený plán, blokuje také malware a sledovací prvky): +f2

Chcete-li například aktivovat blokátor reklam NetShield, zadejte uživatelské_jméno+f1.

Kryptografické nastavení

• Použít klíč TLS: Zaškrtnuto
• Automaticky generovat klíč TLS: Nezaškrtnuto
• Klíč TLS: Vložte statický klíč OpenVPN z konfiguračního souboru OpenVPN (viz krok 1)
• TLS Key Usage Mode: TLS šifrování a ověření

• TLS keydir direction: Použít výchozí směr
• Peer Certificate Authority: Proton AG (nebo popisný název, který jste použili v kroku 2)
• Peer Certificate Revocation List: Ponechte beze změny
• Client Certificate: Žádný (vyžadováno uživatelské jméno a/nebo heslo)
• Data Encryption Negotiation: Zaškrtnuto
• Data Encryption Algorithms: AES-256-GCM, CHACHA20-POLY1305
• Fallback Data Encryption Algorithm: AES-256-GCM
• Auth digest algorithm: SHA256 (256bitový)
• Hardware Crypto: To, zda je tato funkce podporována, závisí na vašem zařízení. Pokud je podporována, musí být nejprve aktivována přechodem do System → Advanced → Miscellaneous. V případě pochybností vyberte No hardware crypto acceleration.
• Server Certificate Key Usage Validation: Zaškrtnuto

Nastavení tunelu

• IPv4 Tunnel Network: –
• IPv6 Tunnel Network:-
• IPv4 Remote network(s): –
• IPv6 Remote network(s): –
• Limit outgoing bandwidth: – (pokud si nepřejete jinak)
• Allow Compression: Odmítnout jakoukoli kompresi kromě stub (nejbezpečnější)
• Topology: Subnet — Jedna IP adresa pro každého klienta ve společné podsíti
• Type of service: Ponechte nezaškrtnuté
• Don’t pull routes: Zaškrtněte
• Don’t add/remove routes: Ponechte nezaškrtnuté
• Pull DNS: Zaškrtněte

Nastavení pingu

• Ponechte vše na výchozích hodnotách.

Pokročilá konfigurace

• Custom Options: Přidejte následující:

tun-mtu 1500;
mssfix 0;
reneg-sec 0;
remote-cert-tls server;

Poznámka: Tato nastavení konfigurace nahrazují nastavení zobrazená na snímku obrazovky níže.

Chcete-li zlepšit spolehlivost připojení, otevřete stažený konfigurační soubor OpenVPN v textovém editoru a najděte řádky začínající slovem remote. Od druhého řádku s remote dolů zkopírujte každý řádek začínající slovem remote do pole Custom Options v pfSense a na konec přidejte středník.

• UDP Fast I/O: Zaškrtnuto
• Exit Notify: Deaktivováno
• Send/Receive Buffer: Výchozí
• Gateway creation: Pouze IPv4
• Verbosity level: 3 (doporučeno)

Klikněte na Uložit a přejděte do Status → OpenVPN. Měli byste vidět nový VPN klient, u kterého bude v sekci Status uvedeno up.

4. Nakonfigurujte rozhraní OpenVPN

Klient VPN je nyní spuštěn, ale neprochází jím žádný síťový provoz. Chcete-li veškerý svůj síťový provoz směrovat přes zabezpečený tunel Proton VPN, budete muset nakonfigurovat rozhraní a pravidla brány firewall.

Přejděte do Interfaces → Interface Assignments → Available network ports, v rozbalovací nabídce vyberte klienta VPN, kterého jste právě přidali, a klikněte na PŘIDAT.

Tím se vytvoří rozhraní s názvem OPTx (kde x závisí na tom, kolik fyzických rozhraní má Váš router). Kliknutím na nově vytvorené rozhraní jej nakonfigurujete.

Přejděte na záložku Interfaces, klikněte na OPTx a zadejte následující nastavení konfigurace·

Obecná konfigurace:

• Enable: zaškrtnuto
• Description: Zvolte popisný název pro toto rozhraní

Vyhrazené sítě:

• Block bogon networks: Zaškrtněte

Ponechte ostatní pole beze změny.

Klikněte na Uložit a Použít změny.

5. Nakonfigurujte pravidla firewallu

K směrování veškerého provozu přes rozhraní Proton VPN, které jsme právě nastavili, používáme pravidla brány firewall. Přejděte do Firewall → NAT → Outbound a vyberte možnost Manual Outbound NAT rule generation. Poté klikněte na Uložit a Použít změny.

V části Mappings uvidíte seznam šesti pravidel. Ve sloupci Source zobrazují 4 z těchto pravidel adresy 127.0.0.0/8 a ::1/128. Ignorujte je a zbývající dvě pravidla upravte (kliknutím na ikonu tužky ve sloupci Actions).

U obou pravidel změňte Interface na rozhraní Proton VPN, které jste vytvořili v kroku 4. Klikněte na Uložit a Použít změny.

Poznámka: tímto se automaticky vytvoří také brána se stejným názvem, jako má rozhraní.

Nastavení v sekci Mappings by nyní mělo vypadat takto:

Přejděte do Firewall → Rules → LAN. Kliknutím na ikonu ✓ vedle pravidla Default allow LAN IPv6 to any rule jej deaktivujte.

Přejděte do Default allow LAN to any rule → Upravit (ikona tužky).

Klikněte na Zobrazit pokročilé → Brána a vyberte bránu, kterou jste vytvořili v kroku 5. Klikněte na Uložit a Použít změny.

Nyní přejděte do Status → OpenVPN a kliknutím na ikonu Service → Restart restartujte klienta OpenVPN s novým nastavením.

Nakonfigurujte nastavení DNS

Veškerý internetový provoz procházející přes firewall pfSense bude nyní směrován přes server Proton VPN. DNS dotazy však nikoli. Chcete-li to napravit, je nutné změnit nastavení DNS v pfSense.

Přejděte do System → General Setup → DNS Servers → DNS servers a zadejte následující nastavení:

• DNS Servers → Adresa: 10.2.0.1
• DNS servery → Brána: vyberte rozhraní VPN, které jste vytvořili v kroku 4
• DNS Server Override: zaškrtněte
• DNS Resolution Behavior: Use remote DNS Servers, ignore local DNS

Nyní přejděte do Services → DNS Resolver → Outgoing Network Interfaces a zadejte následující nastavení:

• Outgoing Network Interfaces: vyberte rozhraní VPN, které jste vytvořili v kroku 4
• DNS Query Forwarding: zaškrtněte

Pokud jste aktivovali naši funkci NetShield Ad-Blocker přidáním přípoy +f1 nebo +f2 k vašemu uživatelskému jménu OpenVPN (viz krok 3), musíte deaktivovat podporu DNSSEC.

Klikněte na Uložit a Použít změny.

Nastavení je nyní dokončeno. Veškerý síťový provoz z vaší sítě by nyní měl být bezpečně směrován přes server Proton VPN, který jste si vybrali. To můžete otestovat návštěvou našeho bezplatného zabezpečeného skeneru IP adres z jakéhokoli zařízení ve vaší síti.

Volitelná vylepšení

Některé počítače ve vaší síti můžete z používání rozhraní VPN vyloučit. Například můžete preferovat, aby vaše herní konzole přistupovala k internetu bez připojení k VPN. Chcete-li tak učinit:

1. Přejděte do Firewall → Rules → LAN → Add.

2. Nakonfigurujte nastavení následovně:

• Action: Pass
• Zakázáno: Nezaškrtnuto
• Interface: LAN
• Address Family: IPv4
• Protocol: Any
• Source: Single Host or Alias a přidejte IP adresu zařízení, které chcete vyloučit
• Destination: Any
• Log: Unchanged
• Description: Přidejte popis

3. Klikněte na Zobrazit pokročilé a změňte Brána na WAN.

4. Klikněte na Uložit a Použít změny.

5. Přejděte do Firewall → NAT → Outbound a přepněte Mode na Automatic, poté klikněte na Uložit a Použít změny. Následně přepněte Mode zpět na Manual a klikněte na Uložit a Použít změny.

Tím se vytvoří dvě nová pravidla, která vybranému zařízení umožní přistupovat k místní síti WAN.

Zařízení je nyní vyloučeno z rozhraní VPN a bude k internetu přistupovat pomocí IP adresy přidělené vaším poskytovatelem připojení (ISP). Bude však používat DNS server Proton VPN.