Cómo configurar Proton VPN en pfSense usando WireGuard®

Lectura: 6 min
Categoría: Enrutadores

En esta guía, te mostramos cómo configurar Proton VPN en pfSense 2.7.x utilizando el protocolo VPN WireGuard®. Esto permite que tu enrutador proteja cualquier dispositivo conectado a él con una conexión de Proton VPN.

Más información sobre WireGuard

También puedes configurar Proton VPN en pfSense 2.7.x usando el protocolo OpenVPN, pero recomendamos usar WireGuard.

1. Crear un archivo de configuración de WireGuard

Inicia sesión en Proton VPN con tu nombre de usuario y contraseña de la cuenta de Proton en account.protonvpn.com, ve a Downloads (Descargas) → WireGuard configuration (Configuración de WireGuard) y descarga un archivo de configuración de WireGuard. Asegúrate de seleccionar Platform: Router (Plataforma: Enrutador).

Aprende a descargar un archivo de configuración de WireGuard de Proton VPN

Para configurar pfSense, necesitarás la clave privada de este archivo de configuración. Para encontrarla, ve a Downloads (Descargas) → WireGuard configuration (Configuración de WireGuard) y selecciona la clave de WireGuard que acabas de crear. Busca la línea que dice PrivateKey =.

Obtener la clave privada de la configuración de WireGuard

También necesitarás la dirección IP de Endpoint =.

Obtener la dirección IP del punto de conexión de la configuración de WireGuard

2. Instalar el paquete de WireGuard en pfSense

Ingresa 192.168.1.1 en la barra de URL de tu navegador para abrir la interfaz de pfSense. Inicia sesión y ve a la pestaña System (Sistema) → Package Manager (Gestor de paquetes) → Available Packages (Paquetes disponibles). Localiza el paquete de WireGuard y haz clic en Install (Instalar).

Para verificar que WireGuard se haya instalado correctamente, ve a System (Sistema) → Package Manager (Gestor de paquetes) → Installed packages (Paquetes instalados).

3. Crear un nuevo túnel de WireGuard

Aún en pfSense, ve a VPN → WireGuard → Tunnels (Túneles) y crea un nuevo túnel con los siguientes ajustes.

Configuración del túnel:

Description (Descripción): elige una descripción adecuada
Listen port (Puerto de escucha): 51820
Interface Keys (Claves de interfaz): clave privada de tu archivo de configuración (ver paso 1)
Public key (Clave pública): se generará automáticamente

Configuración de la interfaz:

Interface Addresses (Direcciones de interfaz): 10.2.0.2/32

Haz clic en Save Tunnel (Guardar túnel) cuando hayas terminado.

4. Añadir un par

Aún en la pestaña Tunnels (Túneles), haz clic en Add Peer (Añadir par) (ver arriba), lo que te llevará a la pestaña Peers (Pares). Configura los siguientes ajustes.

Configuración del par:

Tunnel (Túnel): el túnel creado en el paso anterior
Description (Descripción): elige un nombre descriptivo, por ejemplo, el nombre del servidor
Dynamic Endpoint (Punto de conexión dinámico): desmarca esta opción
Endpoint (Punto de conexión): dirección IP del punto de conexión de tu configuración de WireGuard descargada
Port (Puerto): 51820
Keep Alive (Mantener activo): 25
Public Key (Clave pública): clave pública de tu archivo de configuración de WireGuard descargado (ver paso 1)

Configuración de la dirección:

Allowed IPs (IP permitidas): 0.0.0.0 / 0

Haz clic en Save Peer (Guardar par) cuando hayas terminado.

5. Ve a la pestaña Settings (Ajustes), marca Enable WireGuard (Activar WireGuard) y, a continuación, haz clic en Save (Guardar) y en Apply Changes (Aplicar cambios).

5. Crear una interfaz de WireGuard

El cliente VPN ya está funcionando, pero no se está enrutando ningún tráfico a través de él. Para enrutar todo el tráfico de tu red a través del túnel seguro de Proton VPN, necesitarás configurar las reglas de las interfaces y del cortafuegos.

Ve a Interfaces → Interface Assignments (Asignaciones de interfaz) → puertos de red disponibles y selecciona tun_wg0 → Add (Añadir).

Esto creará una interfaz llamada OPTx (donde la «x» dependerá de cuántas interfaces físicas tenga tu enrutador). Haz clic en la que acabas de crear para configurarla.

Ingresa los siguientes ajustes de configuración·

Configuración general:

Enable (Activar): marcado
IPv4 configuration type (Tipo de configuración IPv4): IPv4 estática

Configuración IPv4 estática:

Dirección IPv4: 10.2.0.2 / 32

Haz clic en Guardar y Aplicar.

6. Añadir una nueva puerta de enlace

Ve a Sistema → Enrutamiento → Puertas de enlace y haz clic en Añadir para añadir una nueva puerta de enlace.

Introduce los siguientes ajustes de configuración:

Interfaz: OPT1 (o el nombre de la interfaz del paso anterior)
Familia de direcciones: ipv4
Nombre: nombre descriptivo
Puerta de enlace: 10.2.0.1

Haz clic en Mostrar avanzado y marca Usar puerta de enlace no local → Usar puerta de enlace no local a través de una ruta específica de la interfaz. Haz clic en Guardar y Aplicar cambios.

7. Configurar las reglas del cortafuegos

Usamos las reglas del cortafuegos para enrutar todo el tráfico a través de la interfaz de Proton VPN que configuramos en el paso 5. Ve a Cortafuegos → NAT → Saliente y selecciona Generación manual de reglas NAT salientes. Luego, haz clic en Guardar y Aplicar cambios.

Ahora, haz clic en el icono ✓ junto a las dos últimas reglas para desactivarlas.

Regla creada automáticamente para ISAKMP: de OPT1 a WAN
Regla creada automáticamente de OPT1 a WAN

Haz clic en el icono de Editar (lápiz) junto a las siguientes dos reglas:

Regla creada automáticamente: de LAN a WAN
Regla creada automáticamente para ISAKMP: de LAN a WAN

En ambos casos, cambia la Interfaz a la interfaz VPN (OPT1) y la Familia de direcciones a IPv4. Cuando hayas terminado, haz clic en Guardar y Aplicar cambios.

Ve a Cortafuegos → Reglas → LAN → Regla por defecto de permitir LAN a cualquiera → Editar (icono de lápiz).

Haz clic en Mostrar avanzado → Puerta de enlace y selecciona la puerta de enlace que creamos en el paso 6. Haz clic en Guardar.

Haz clic en el icono ✓ junto a Regla por defecto de permitir LAN IPv6 a cualquiera para desactivarla, y luego haz clic en Guardar y Aplicar cambios.

8. Configurar los ajustes de DNS

Todo el tráfico de internet que pasa a través del cortafuegos de pfSense se enrutará ahora a través de un servidor de Proton VPN. Sin embargo, las solicitudes de DNS no. Para solucionarlo, debes cambiar los ajustes de DNS en pfSense.

En pfSense, ve a Sistema → Configuración general → Ajustes del servidor DNS y configura las siguientes opciones:

Servidores DNS: 10.2.0.1
Puerta de enlace: el nombre de la puerta de enlace que configuramos en el paso 6.
Anulación del servidor DNS: desmarcado

Haz clic en Guardar cuando hayas terminado.

Ahora ve a Servicios → Resolutor DNS → Ajustes generales y cambia lo siguiente:

Interfaces de red de salida: OPT1 (la interfaz de WireGuard que hemos creado)
Reenvío de consultas DNS: marca Activar modo de reenvío

Haz clic en Guardar y Aplicar cambios cuando hayas terminado.

La configuración ya se ha completado. Todo el tráfico de tu red se enruta ahora de forma segura a través del servidor de Proton VPN que hayas elegido. Puedes probarlo visitando nuestro escáner de IP seguro y gratuito(ventana nueva) desde cualquier dispositivo de tu red.