So konfigurierst du Proton VPN auf pfSense mit WireGuard®

In dieser Anleitung zeigen wir dir, wie du Proton VPN auf pfSense 2.7.x mit dem WireGuard®-VPN-Protokoll einrichtest. Dadurch kann dein Router jedes mit ihm verbundene Gerät über eine Proton VPN-Verbindung schützen.

Mehr über WireGuard erfahren

Du kannst Proton VPN auf pfSense 2.7.x auch mit dem OpenVPN-Protokoll konfigurieren, aber wir empfehlen die Verwendung von WireGuard.

• Erfahre mehr über OpenVPN vs. WireGuard
• Erfahre, wie du Proton VPN auf pfSense mit OpenVPN konfigurierst

1. Erstelle eine WireGuard-Konfigurationsdatei

Melde dich mit dem Benutzernamen und Passwort deines Proton-Kontos unter account.protonvpn.com bei Proton VPN an, gehe zu Downloads → WireGuard-Konfiguration und lade eine WireGuard-Konfigurationsdatei herunter. Achte darauf, Plattform: Router auszuwählen.

Erfahre, wie du eine WireGuard-Konfigurationsdatei von Proton VPN herunterlädst

Um pfSense zu konfigurieren, benötigst du den privaten Schlüssel aus dieser Konfigurationsdatei. Um ihn zu finden, gehe zu Downloads → WireGuard-Konfiguration und wähle den WireGuard-Schlüssel aus, den du gerade erstellt hast. Suche nach der Zeile, in der PrivateKey = steht.

Du benötigst außerdem die IP-Adresse für Endpoint =.

2. Installiere das WireGuard-Paket auf pfSense

Gib 192.168.1.1 in die URL-Leiste deines Browsers ein, um das pfSense-Frontend zu öffnen. Melde dich an und gehe zum Tab System → Package Manager → Available Packages. Suche das WireGuard-Paket und klicke auf Install.

Um zu überprüfen, ob WireGuard erfolgreich installiert wurde, gehe zu System → Package Manager → Installed packages.

3. Erstelle einen neuen WireGuard-Tunnel

Gehe in pfSense zu VPN → WireGuard → Tunnels und erstelle einen neuen Tunnel mit den folgenden Einstellungen.

Tunnelkonfiguration:

• Description: Wähle eine passende Beschreibung
• Listen port: 51820
• Interface Keys: Privater Schlüssel aus deiner Konfigurationsdatei (siehe Schritt 1)
• Public key: Dieser wird automatisch generiert

Schnittstellenkonfiguration:

• Interface Addresses: 10.2.0.2/32

Klicke auf Save Tunnel, wenn du fertig bist.

4. Füge einen Peer hinzu

Klicke im Tab Tunnels auf Add Peer (siehe oben), um zum Tab Peers zu gelangen. Konfiguriere die folgenden Einstellungen.

Peer-Konfiguration:

• Tunnel: der im vorherigen Schritt erstellte Tunnel
• Description: Wähle einen aussagekräftigen Namen, zum Beispiel den Servernamen
• Dynamic Endpoint: Häkchen entfernen
• Endpoint: Endpunkt-IP-Adresse aus deiner heruntergeladenen WireGuard-Konfiguration
• Port: 51820
• Keep Alive: 25
• Public Key: Öffentlicher Schlüssel aus deiner heruntergeladenen WireGuard-Konfigurationsdatei (siehe Schritt 1)

Adresskonfiguration:

• Allowed IPs: 0.0.0.0 / 0

Klicke auf Save Peer, wenn du fertig bist.

5. Gehe zum Tab Settings, aktiviere das Kontrollkästchen Enable WireGuard, klicke dann auf Save und auf Apply Changes.

5. Erstelle eine WireGuard-Schnittstelle

Der VPN-Client läuft jetzt, aber es wird noch kein Datenverkehr darüber geleitet. Um deinen gesamten Netzwerkdatenverkehr über den sicheren Proton VPN-Tunnel zu leiten, musst du die Schnittstellen und Firewall-Regeln konfigurieren.

Gehe zu Interfaces → Interface Assignments → Available network ports und wähle tun_wg0 → Add.

Dadurch wird eine Schnittstelle namens OPTx erstellt (wobei x davon abhängt, wie viele physische Schnittstellen dein Router hat). Klicke auf die neu erstellte Schnittstelle, um sie zu konfigurieren.

Gib die folgenden Konfigurationseinstellungen ein·

Allgemeine Konfiguration:

• Enable: Aktiviert
• IPv4 configuration type: Static IPv4

Statische IPv4-Konfiguration:

• IPv4-Adresse: 10.2.0.2 / 32

Klicke auf Speichern und Anwenden.

6. Ein neues Gateway hinzufügen

Gehe zu System → Routing → Gateways und klicke auf Hinzufügen, um ein neues Gateway hinzuzufügen.

Gib die folgenden Konfigurationseinstellungen ein:

• Schnittstelle: OPT1 (oder Name der Schnittstelle aus dem vorherigen Schritt)
• Adressfamilie: IPv4
• Name: beschreibender Name
• Gateway: 10.2.0.1

Klicke auf Erweitert anzeigen und aktiviere Nicht-lokales Gateway verwenden → Nicht-lokales Gateway über schnittstellenspezifische Route verwenden. Klicke auf Speichern und Änderungen anwenden.

7. Firewall-Regeln konfigurieren

Wir verwenden Firewall-Regeln, um den gesamten Datenverkehr über die Proton VPN-Schnittstelle zu leiten, die wir in Schritt 5 eingerichtet haben. Gehe zu Firewall → NAT → Outbound und wähle Manuelle Generierung von Outbound-NAT-Regeln. Klicke dann auf Speichern und Änderungen anwenden.

Klicke nun auf das ✓-Symbol neben den letzten beiden Regeln, um sie zu deaktivieren.

• Automatisch erstellte Regel für ISAKMP – OPT1 zu WAN
• Automatisch erstellte Regel OPT1 zu WAN

Klicke auf das Bearbeiten-Symbol (Bleistift) neben den folgenden beiden Regeln:

• Automatisch erstellte Regel – LAN zu WAN
• Automatisch erstellte Regel für ISAKMP – LAN zu WAN

Ändere in beiden Fällen die Schnittstelle in die VPN-Schnittstelle (OPT1) und die Adressfamilie in IPv4. Wenn du fertig bist, klicke auf Speichern und Änderungen anwenden.

Gehe zu Firewall → Regeln → LAN → Standard-Erlaubnisregel LAN zu beliebig → Bearbeiten (Bleistift-Symbol).

Klicke auf Erweitert anzeigen → Gateway und wähle das Gateway aus, das wir in Schritt 6 erstellt haben. Klicke auf Speichern.

Klicke auf das ✓-Symbol neben Standard-Erlaubnisregel LAN IPv6 zu beliebig, um sie zu deaktivieren, und klicke dann auf Speichern und Änderungen anwenden.

8. DNS-Einstellungen konfigurieren

Der gesamte Internetverkehr, der die pfSense-Firewall passiert, wird nun über einen Proton VPN-Server geleitet. DNS-Anfragen sind davon jedoch ausgenommen. Um dies zu beheben, müssen wir die DNS-Einstellungen in pfSense ändern.

Gehe in pfSense zu System → Allgemeine Einrichtung → DNS-Server-Einstellungen und konfiguriere die folgenden Einstellungen:

• DNS-Server: 10.2.0.1
• Gateway: der Name des Gateways, das wir in Schritt 6 konfiguriert haben.
• DNS-Server überschreiben: nicht ausgewählt

Klicke auf Speichern, wenn du fertig bist.

Gehe nun zu Dienste → DNS Resolver → Allgemeine Einstellungen und ändere Folgendes:

• Ausgehende Netzwerkschnittstellen: OPT1 (die WireGuard-Schnittstelle, die wir erstellt haben)
• DNS-Abfrageweiterleitung: Aktiviere Weiterleitungsmodus aktivieren

Klicke auf Speichern und Änderungen anwenden, wenn du fertig bist.

Deine Einrichtung ist nun abgeschlossen. Der gesamte Datenverkehr aus deinem Netzwerk wird jetzt sicher über den von dir ausgewählten Proton VPN-Server geleitet. Du kannst dies testen, indem du unseren kostenlosen, sicheren IP-Scanner(neues Fenster) von einem beliebigen Gerät in deinem Netzwerk aus aufrufst.