Cara mengonfigurasi Proton VPN di pfSense menggunakan OpenVPN

Membaca: 7 mnt
Kategori: Router

Panduan ini menampilkan cara menyiapkan Proton VPN pada pfSense 23.09 dan pfSense 2.7.x menggunakan protokol VPN OpenVPN. Hal ini memungkinkan router melindungi perangkat apa pun yang terhubung dengannya dengan koneksi Proton VPN.

Pelajari lebih lanjut tentang OpenVPN

Jika menggunakan pfSense 2.7.x, sebaiknya gunakan protokol WireGuard® sebagai gantinya.

Perhatikan juga bahwa beberapa koneksi tidak direkomendasikan menggunakan OpenVPN. Untuk kasus penggunaan ini, WireGuard kembali direkomendasikan.

Sebelum memulai, hal-hal yang diperlukan:

Instalasi pfSense 23.09 atau pfSense 2.7.x yang baru
Komputer yang terhubung ke jaringan LAN agar dapat mengakses frontend pfSense
Nama pengguna dan kata sandi OpenVPN. Detail ini berbeda dengan nama pengguna dan kata sandi Proton VPN biasa. Untuk menemukannya, masuk ke account.protonvpn.com lalu buka Akun → Nama pengguna OpenVPN.

1. Buat file konfigurasi OpenVPN

Masuk ke Proton VPN menggunakan nama pengguna dan kata sandi Akun Proton di account.protonvpn.com, buka Unduhan → Berkas konfigurasi OpenVPN, lalu unduh berkas konfigurasi OpenVPN. Pastikan untuk Pilih platform: Router.

Pelajari cara mengunduh file konfigurasi OpenVPN dari Proton VPN

Untuk mengonfigurasi pfSense, diperlukan sertifikat TLS(jendela baru) dari file konfigurasi ini. Untuk menemukannya, buka file konfigurasi OpenVPN yang diunduh di editor teks dan cari teks yang dimulai dengan —–BEGIN CERTIFICATE—- dan diakhiri dengan —–END CERTIFICATE—–.

Alamat IP dan nomor port dari server VPN juga diperlukan. Informasi ini dapat ditemukan pada baris remote pertama yang tercantum dalam sertifikat. Nomor pertama adalah alamat IP, dan nomor kedua adalah nomor port. Pada contoh di bawah, alamat IP adalah 185.159.157.6, dan nomor port adalah 51820

Nomor pertama adalah alamat IP, dan nomor kedua adalah nomor port.

Dan terakhir, diperlukan Kunci Statis OpenVPN. Kunci ini dimulai dengan —–BEGIN OpenVPN Static key V1—- dan diakhiri dengan —–END OpenVPN Static key V1—–.

2. Tambahkan sertifikat TLS ke pfSense

Masukkan 192.168.1.1 ke dalam bilah URL peramban untuk membuka antarmuka web pfSense. Masuk dan buka Sistem → Sertifikat → Tambah → Impor sertifikat.

Konfigurasikan pengaturan berikut:

Buat / Edit CA. Buka Authorities → Tambah dan ubah pengaturan berikut:

Descriptive name: Nama ini dapat berupa nama apa saja yang berguna untuk menjelaskan sertifikat TLS Proton
Method: Impor Certificate Authority yang ada

Certificate Authority yang Ada

Salin sertifikat TLS dari file konfigurasi OpenVPN lalu tempelkan di sini

Klik Simpan setelah selesai.

3. Konfigurasikan Klien OpenVPN

Sekarang, tambahkan klien OpenVPN untuk mengenkripsi data dan menyalurkannya ke server VPN.

Buka VPN → OpenVPN → Clients, klik Tambah, lalu konfigurasikan pengaturan berikut:

Informasi Umum:

Description: Pilih nama tampilan untuk konfigurasi ini
Disabled: Tidak dicentang

Konfigurasi Mode

Server Mode: Peer to Peer (SSL/TLS)
Device mode: tun – Layer 3 Tunnel Mode

Konfigurasi Endpoint

Protocol: UDP on IPv4 only atau TCP on IPv4 only (bebas pilih, tetapi harus sesuai dengan file konfigurasi yang diunduh). Pelajari lebih lanjut tentang UDP vs TCP.
Interface: WAN
Local Port: –
Server host or address: Silakan merujuk ke Langkah 1 untuk menemukannya.
Server port: Silakan merujuk juga ke Langkah 1 untuk menemukannya.
Proxy host or address: –
Proxy port: –
Proxy Authentication: none

Pengaturan Autentikasi Pengguna

Username: Nama pengguna OpenVPN Proton VPN
Password: Kata sandi OpenVPN Proton VPN
Authentication Retry: Biarkan tidak dicentang

Ingat: Detail ini berbeda dengan nama pengguna dan kata sandi Proton VPN biasa. Untuk mengaktifkan fitur tambahan, tambahkan akhiran berikut pada nama pengguna OpenVPN.

NetShield Ad-blocker: +f1
NetShield Ad-blocker advanced (hanya tersedia jika berlangganan paket berbayar, juga memblokir malware dan pelacak): +f2

Misalnya, untuk mengaktifkan NetShield Ad-blocker, masukkan username+f1.

Pengaturan Kriptografi

Use a TLS Key: Dicentang
Automatically generate a TLS Key: Tidak dicentang
TLS Key: Tempelkan OpenVPN Static key dari file konfigurasi OpenVPN (lihat Langkah 1)
Mode Penggunaan Kunci TLS: Enkripsi dan Autentikasi TLS

Arah keydir TLS: Gunakan arah bawaan
Otoritas Sertifikat Peer: Proton AG (atau nama deskriptif yang digunakan di Langkah 2)
Daftar Pencabutan Sertifikat Peer: Biarkan tidak berubah
Sertifikat Klien: Tidak ada (Diperlukan nama pengguna dan/atau kata sandi)
Negosiasi Enkripsi Data: Dicentang
Algoritma Enkripsi Data: AES-256-GCM, CHACHA20-POLY1305
Algoritma Enkripsi Data Cadangan: AES-256-GCM
Algoritma digest autentikasi: SHA256 (256-bit)
Kripto Perangkat Keras: Dukungan untuk fitur ini bergantung pada perangkat yang digunakan. Jika didukung, fitur ini harus diaktifkan terlebih dahulu dengan membuka Sistem → Lanjutan → Lain-lain. Jika ragu, pilih Tanpa akselerasi kripto perangkat keras.
Validasi Penggunaan Kunci Sertifikat Server: Dicentang

Pengaturan Tunnel

Jaringan Terowongan IPv4: –
Jaringan Terowongan IPv6:-
Jaringan Jarak Jauh IPv4: –
Jaringan Jarak Jauh IPv6: –
Batasi bandwidth keluar: – (kecuali jika diinginkan lain)
Izinkan Kompresi: Tolak semua kompresi non-stub (Paling aman)
Topologi: Subnet — Satu alamat IP per klien dalam subnet bersama
Jenis layanan: Biarkan tidak dicentang
Jangan tarik rute: Centang
Jangan tambah/hapus rute: Biarkan tidak dicentang
Tarik DNS: Centang

Pengaturan Ping

Biarkan semuanya pada nilai bawaan.

Konfigurasi Lanjutan

Opsi Khusus: Tambahkan berikut ini:

tun-mtu 1500;
mssfix 0;
reneg-sec 0;
remote-cert-tls server;

Catatan: pengaturan konfigurasi ini menggantikan pengaturan yang ditampilkan pada tangkapan layar di bawah ini.

Untuk meningkatkan keandalan koneksi, buka file konfigurasi OpenVPN yang telah diunduh dengan editor teks dan cari baris yang dimulai dengan remote. Mulai dari baris remote kedua ke bawah, salin setiap baris yang dimulai dengan remote ke kolom Opsi Khusus di pfSense, diikuti dengan tanda titik koma.

I/O Cepat UDP: Dicentang
Exit Notify: Dinonaktifkan
Buffer Kirim/Terima: Bawaan
Pembuatan gateway: Hanya IPv4
Tingkat verbositas: 3 (direkomendasikan)

Klik Simpan dan buka Status → OpenVPN. Klien VPN baru seharusnya terlihat dengan Status menunjukkan aktif.

Klien OpenVPN sekarang seharusnya sudah berjalan

4. Konfigurasikan Antarmuka OpenVPN

Klien VPN sekarang sudah berjalan, tetapi tidak ada lalu lintas yang dirutekan melaluinya. Untuk merutekan semua lalu lintas jaringan melalui terowongan Proton VPN yang aman, antarmuka dan aturan firewall perlu dikonfigurasikan.

Buka Interfaces → Interface Assignments → Available network ports dan pilih klien VPN yang baru saja ditambahkan dari menu dropdown → Tambah.

Langkah ini akan membuat interface bernama OPTx (dengan x bergantung pada jumlah interface fisik yang dimiliki router). Klik interface yang baru dibuat tersebut untuk mengonfigurasinya.

Buka tab Interfaces, klik OPTx dan masukkan pengaturan konfigurasi berikut·

Konfigurasi Umum:

Enable: dicentang
Deskripsi: Pilih nama deskriptif untuk antarmuka tersebut

Jaringan cadangan:

Blokir jaringan bogon: Centang

Biarkan kolom lainnya tidak diubah.

Klik Simpan dan Terapkan Perubahan.

5. Konfigurasikan aturan firewall

Aturan firewall digunakan untuk merutekan semua lalu lintas melalui antarmuka Proton VPN yang baru saja disiapkan. Buka Firewall → NAT → Outbound dan pilih Manual Outbound NAT rule generation. Kemudian klik Simpan dan Terapkan Perubahan.

Di bawah Mappings, akan terlihat enam aturan yang terdaftar. Pada kolom Source, 4 dari aturan ini menampilkan alamat 127.0.0.0/8 dan ::1/128. Abaikan aturan tersebut dan Edit (klik ikon pensil di kolom Actions) dua aturan lainnya.

Untuk kedua aturan tersebut, ubah Interface menjadi Antarmuka Proton VPN yang dibuat di Langkah 4. Klik Simpan dan Terapkan Perubahan.

Catatan: tindakan ini secara otomatis juga membuat gateway dengan nama yang sama dengan antarmuka tersebut.

Pengaturan Mappings sekarang akan terlihat seperti ini:

Buka Firewall → Rules → LAN. Klik ikon ✓ di sebelah Default allow LAN IPv6 to any rule untuk menonaktifkannya.

Buka Default allow LAN to any rule → Edit (ikon pensil).

Klik Display advanced → Gateway dan pilih gateway yang dibuat di Langkah 5. Klik Save dan Apply Changes.

Sekarang buka Status → OpenVPN dan klik ikon Service → Restart untuk memulai ulang klien OpenVPN dengan pengaturan baru.

Konfigurasikan pengaturan DNS

Semua lalu lintas internet yang melewati firewall pfSense kini akan diarahkan melalui server Proton VPN. Namun, tidak demikian halnya dengan permintaan DNS. Untuk mengatasinya, pengaturan DNS di pfSense perlu diubah.

Buka System → General Setup → DNS Servers → DNS servers dan masukkan pengaturan berikut:

DNS Servers → Address: 10.2.0.1
DNS servers → Gateway: pilih antarmuka VPN yang dibuat di Langkah 4
DNS Server Override: centang
DNS Resolution Behavior: Gunakan server DNS jarak jauh, abaikan DNS lokal

Sekarang buka Services → DNS Resolver → Outgoing Network Interfaces dan masukkan pengaturan berikut:

Outgoing Network Interfaces: pilih antarmuka VPN yang dibuat di Langkah 4
DNS Query Forwarding: centang

Jika Anda telah mengaktifkan fitur NetShield Ad-Blocker kami dengan menambahkan akhiran +f1 atau +f2 ke nama pengguna OpenVPN Anda (lihat Langkah 3), Anda harus menonaktifkan dukungan DNSSEC.

Klik Save dan Apply changes.

Pengaturan kini selesai. Semua lalu lintas dari jaringan sekarang akan dirutekan dengan aman melalui server Proton VPN yang dipilih. Pengujian dapat dilakukan dengan mengunjungi pemindai IP aman gratis kami dari perangkat apa pun di jaringan.

Penyesuaian opsional

Beberapa komputer di jaringan dapat dikecualikan dari penggunaan antarmuka VPN. Sebagai contoh, konsol game mungkin memerlukan akses internet tanpa terhubung ke VPN. Untuk melakukannya:

1. Buka Firewall → Rules → LAN → Add.

2. Konfigurasikan pengaturan sebagai berikut:

Action: Pass
Disabled: Tidak dicentang
Interface: LAN
Address Family: IPv4
Protocol: Any
Source: Single Host or Alias dan tambahkan IP dari perangkat yang ingin dikecualikan
Destination: Any
Log: Unchanged
Description: Tambahkan deskripsi

3. Klik Display Advanced dan ubah Gateway menjadi WAN.

4. Klik Save dan Apply Changes.

5. Buka Firewall → NAT → Outbound dan ubah Mode ke Automatic, lalu klik Save dan Apply Change. Kemudian ubah kembali Mode ke Manual, lalu klik Save dan Apply Change.

Tindakan ini akan membuat dua aturan baru yang memungkinkan perangkat yang dipilih untuk mengakses jaringan WAN lokal.

Perangkat tersebut kini dikecualikan dari antarmuka VPN dan akan mengakses internet menggunakan alamat IP yang diberikan oleh ISP. Namun, perangkat tersebut akan menggunakan server DNS Proton VPN.