Hoe u Proton VPN configureert op pfSense met behulp van OpenVPN

In deze handleiding tonen we u hoe u Proton VPN instelt op pfSense 23.09 en pfSense 2.7.x met behulp van het OpenVPN VPN-protocol. Hiermee kan uw router elk apparaat dat hiermee verbonden is beschermen met een Proton VPN-verbinding.

Meer informatie over OpenVPN

Als u pfSense 2.7.x gebruikt, raden we u aan in plaats daarvan het WireGuard®-protocol te gebruiken.

Let er ook op dat meerdere verbindingen niet worden aanbevolen bij het gebruik van OpenVPN. Voor deze use-case raden we u opnieuw WireGuard aan.

• Kom meer te weten over OpenVPN vs. WireGuard
• Ontdek hoe u Proton VPN configureert op pfSense met behulp van WireGuard

Voordat u begint, heeft u het volgende nodig:

• Een schone pfSense 23.09- of pfSense 2.7.x-installatie
• Een computer die is verbonden met uw LAN-netwerk, zodat u toegang heeft tot de pfSense-frontend
• Uw OpenVPN-gebruikersnaam en -wachtwoord. Deze zijn anders dan uw reguliere Proton VPN-gebruikersnaam en -wachtwoord. Om deze te vinden, logt u in op account.protonvpn.com en gaat u naar Account → OpenVPN-gebruikersnaam.

1. Maak een OpenVPN-configuratiebestand aan

Log in op Proton VPN met de gebruikersnaam en het wachtwoord van uw Proton-account op account.protonvpn.com, ga naar Downloads → OpenVPN-configuratiebestanden en download een OpenVPN-configuratiebestand. Zorg ervoor dat u Selecteer platform: Router selecteert.

Lees hoe u een OpenVPN-configuratiebestand downloadt van Proton VPN

Om pfSense te configureren, heeft u het TLS-certificaat(nieuw venster) uit dit configuratiebestand nodig. U vindt dit door het gedownloade OpenVPN-configuratiebestand te openen in een teksteditor en te zoeken naar de tekst die begint met —–BEGIN CERTIFICATE—- en eindigt op –—-END CERTIFICATE—–.

U heeft ook het IP-adres en het poortnummer van de VPN-server nodig. Deze zijn te vinden op de eerste remote-regel in het certificaat. Het eerste getal is het IP-adres en het tweede getal is het poortnummer. In het onderstaande voorbeeld is het IP-adres 185.159.157.6 en het poortnummer 51820

En ten slotte heeft u de OpenVPN Static key nodig. Deze begint met —–BEGIN OpenVPN Static key V1—- en eindigt met —–END OpenVPN Static key V1—–.

2. Voeg het TLS-certificaat toe aan pfSense

Voer 192.168.1.1 in de URL-balk van uw browser in om de pfSense-webinterface te openen. Log in en ga naar System → Certificates → Add → Import certificate.

Configureer de volgende instellingen:

CA aanmaken / bewerken. Ga naar Authorities → Add en wijzig de volgende instellingen:

• Descriptive name: Dit kan elke naam zijn die u handig vindt om het TLS-certificaat van Proton te beschrijven
• Method: Importeer een bestaande Certificate Authority

Bestaande Certificate Authority

• Kopieer het TLS-certificaat uit uw OpenVPN-configuratiebestand en plak het hierin

Klik op Opslaan wanneer u klaar bent.

3. Configureer de OpenVPN-client

U voegt nu een OpenVPN-client toe om uw gegevens te versleutelen en deze naar de VPN-server te tunnelen.

Ga naar VPN → OpenVPN → Clients, klik op Add en configureer de volgende instellingen:

Algemene informatie:

• Description: Kies een weergavenaam voor deze configuratie
• Disabled: Niet aangevinkt

Modusconfiguratie

• Server Mode: Peer to Peer (SSL/TLS)
• Device mode: tun – Layer 3 Tunnel Mode

Endpoint-configuratie

• Protocol: Ofwel UDP on IPv4 only of TCP on IPv4 only (uw keuze, maar dit moet overeenkomen met het configuratiebestand dat u heeft gedownload). Meer informatie over UDP versus TCP. 
• Interface: WAN
• Local Port: –
• Server host or address: Raadpleeg stap 1 om dit te vinden. 
• Server port: Raadpleeg hiervoor eveneens stap 1. 
• Proxy host or address: –
• Proxy port: –
• Proxy Authentication: none

Instellingen voor gebruikersverificatie

• Username: Uw Proton VPN OpenVPN-gebruikersnaam
• Password: Uw Proton VPN OpenVPN-wachtwoord
• Authentication Retry: Niet aangevinkt laten

Let op: deze zijn anders dan uw normale Proton VPN-gebruikersnaam en -wachtwoord. Om extra functies in te schakelen, voegt u de volgende achtervoegsels toe aan uw OpenVPN-gebruikersnaam.

• NetShield Ad-blocker: +f1
• NetShield Ad-blocker advanced (alleen beschikbaar als u een betaald abonnement heeft, blokkeert ook malware en trackers): +f2

Bijvoorbeeld: om NetShield Ad-blocker in te schakelen, voert u gebruikersnaam+f1 in.

Cryptografische instellingen

• Use a TLS Key: Aangevinkt
• Automatically generate a TLS Key: Niet aangevinkt
• TLS Key: Plak hier de OpenVPN Static key uit het OpenVPN-configuratiebestand (zie stap 1)
• TLS-sleutelgebruiksmodus: TLS-versleuteling en -verificatie

• TLS keydir-richting: Gebruik standaardrichting
• Peer-certificaatautoriteit: Proton AG (of de beschrijvende naam die u in Stap 2 hebt gebruikt)
• Intrekkingslijst voor peer-certificaten: Ongewijzigd laten
• Clientcertificaat: Geen (gebruikersnaam en/of wachtwoord vereist)
• Onderhandeling over gegevensversleuteling: Aangevinkt
• Algoritmen voor gegevensversleuteling: AES-256-GCM, CHACHA20-POLY1305
• Terugvalalgoritme voor gegevensversleuteling: AES-256-GCM
• Auth-digest-algoritme: SHA256 (256-bits)
• Hardwarematige crypto: of dit wordt ondersteund, hangt af van uw apparaat. Als dit wordt ondersteund, moet dit eerst worden ingeschakeld door naar Systeem → Geavanceerd → Diversen te gaan. Selecteer bij twijfel Geen hardwarematige cryptoversnelling.
• Sleutelgebruiksvalidatie van servercertificaat: Aangevinkt

Tunnelinstellingen

• IPv4-tunnelnetwerk: –
• IPv6-tunnelnetwerk:-
• IPv4-netwerk(en) op afstand: –
• IPv6-netwerk(en) op afstand: –
• Uitgaande bandbreedte beperken: – (tenzij u anders verkiest)
• Compressie toestaan: Weiger alle niet-stub compressie (meest veilig)
• Topologie: Subnet — Eén IP-adres per client in een gemeenschappelijk subnet
• Type dienst: Niet aangevinkt laten
• Routes niet ophalen: Aanvinken
• Geen routes toevoegen/verwijderen: Niet aangevinkt laten
• DNS ophalen: Aanvinken

Ping-instellingen

• Laat alles op de standaardwaarden staan.

Geavanceerde configuratie

• Aangepaste opties: voeg het volgende toe:

tun-mtu 1500;
mssfix 0;
reneg-sec 0;
remote-cert-tls server;

Opmerking: deze configuratie-instellingen vervangen de instellingen die in de onderstaande schermafbeelding worden getoond.

Om de betrouwbaarheid van de verbinding te verbeteren, opent u het door u gedownloade OpenVPN-configuratiebestand met een teksteditor en zoekt u de regels op die beginnen met remote. Kopieer vanaf de tweede remote-regel elke regel die begint met remote naar het veld Aangepaste opties in pfSense, gevolgd door een puntkomma.

• UDP Fast I/O: Aangevinkt
• Exit Notify: Uitgeschakeld
• Verzend-/ontvangstbuffer: Standaard
• Gateway-aanmaak: Alleen IPv4
• Gedetailleerdheidsniveau: 3 (aanbevolen)

Klik op Opslaan en ga naar Status → OpenVPN. U zou de nieuwe VPN-client moeten zien met de Status als up.

4. Configureer de OpenVPN-interface

De VPN-client is nu actief, maar er wordt nog geen verkeer doorheen geleid. Om al uw netwerkverkeer via de beveiligde Proton VPN-tunnel te leiden, moet u de interfaces en firewallregels configureren.

Ga naar Interfaces → Interface-toewijzingen → Beschikbare netwerkpoorten en selecteer de VPN-client die u zojuist hebt toegevoegd in het vervolgkeuzemenu → Toevoegen.

Hiermee wordt een interface met de naam OPTx aangemaakt (waarbij x afhangt van het aantal fysieke interfaces dat uw router heeft). Klik op de nieuw aangemaakte interface om deze te configureren.

Ga naar het tabblad Interfaces, klik op OPTx en voer de volgende configuratie-instellingen in·

Algemene configuratie:

• Enable: aangevinkt
• Beschrijving: Kies een beschrijvende naam voor de interface

Gereserveerde netwerken:

• Bogon-netwerken blokkeren: Aanvinken

Laat de overige velden ongewijzigd.

Klik op Opslaan en Wijzigingen toepassen.

5. Firewallregels configureren

We gebruiken firewallregels om al het verkeer door de Proton VPN-interface te leiden die we zojuist hebben ingesteld. Ga naar Firewall → NAT → Uitgaand en selecteer Handmatige generatie van uitgaande NAT-regels. Klik vervolgens op Opslaan en Wijzigingen toepassen.

Onder Toewijzingen ziet u zes regels staan. In de kolom Bron tonen 4 van deze regels de adressen 127.0.0.0/8 en ::1/128. Negeer deze en bewerk (klik op het potloodpictogram in de kolom Acties) de andere twee regels.

Wijzig voor beide regels de Interface naar de Proton VPN-interface die u in stap 4 hebt aangemaakt. Klik op Opslaan en Wijzigingen toepassen.

Opmerking: hiermee wordt automatisch ook een gateway met dezelfde naam als de interface aangemaakt.

De instellingen voor mappings moeten er nu als volgt uitzien:

Ga naar Firewall → Rules → LAN. Klik op het ✓-pictogram naast Default allow LAN IPv6 to any rule om deze uit te schakelen.

Ga naar Default allow LAN to any rule → Bewerken (potloodpictogram).

Klik op Display advanced → Gateway en selecteer de gateway die u in stap 5 heeft aangemaakt. Klik op Save en Apply Changes.

Ga nu naar Status → OpenVPN en klik op het pictogram Service → Restart om de OpenVPN-client met de nieuwe instellingen te herstarten.

DNS-instellingen configureren

Al het internetverkeer dat door de pfSense-firewall gaat, wordt nu via een Proton VPN-server gerouteerd. Dit geldt echter niet voor DNS-aanvragen. Om dit op te lossen, moeten we de DNS-instellingen in pfSense wijzigen.

Ga naar System → General Setup → DNS Servers → DNS servers en voer de volgende instellingen in:

• DNS Servers → Adres: 10.2.0.1
• DNS-servers → Gateway: selecteer de VPN-interface die u heeft aangemaakt in stap 4
• DNS Server Override: aanvinken
• DNS Resolution Behavior: Externe DNS-servers gebruiken, lokale DNS negeren

Ga nu naar Services → DNS Resolver → Outgoing Network Interfaces en voer de volgende instellingen in:

• Outgoing Network Interfaces: selecteer de VPN-interface die u heeft aangemaakt in stap 4
• DNS Query Forwarding: aanvinken

Als u onze NetShield Ad-blocker-functie heeft ingeschakeld door de achtervoegsels +f1 of +f2 toe te voegen aan uw OpenVPN-gebruikersnaam (zie stap 3), moet u de DNSSEC-ondersteuning uitschakelen.

Klik op Save en Apply changes.

Uw setup is nu voltooid. Al het verkeer van uw netwerk zou nu veilig via de door u gekozen Proton VPN-server moeten worden geleid. U kunt dit testen door vanaf elk apparaat in uw netwerk onze gratis veilige IP-scanner te bezoeken.

Optionele aanpassingen

U kunt sommige computers in uw netwerk uitsluiten van het gebruik van de VPN-interface. Misschien wilt u bijvoorbeeld dat uw gameconsole toegang heeft tot het internet zonder verbonden te zijn met een VPN. Ga hiervoor als volgt te werk:

1. Ga naar Firewall → Rules → LAN → Add.

2. Configureer de instellingen als volgt:

• Action: Pass
• Disabled: Niet aangevinkt
• Interface: LAN
• Address Family: IPv4
• Protocol: Any
• Source: Single Host or Alias en voeg het IP-adres toe van het apparaat dat u wilt uitsluiten
• Destination: Any
• Log: Unchanged
• Description: Voeg een beschrijving toe

3. Klik op Display Advanced en wijzig Gateway naar WAN.

4. Klik op Save en Apply Changes.

5. Ga naar Firewall → NAT → Outbound en zet Mode op Automatic, klik vervolgens op Save en Apply Change. Zet Mode daarna weer terug op Manual en klik op Save en Apply Change.

Hiermee worden twee nieuwe regels aangemaakt waarmee het geselecteerde apparaat toegang krijgt tot het lokale WAN-netwerk.

Het apparaat is nu uitgesloten van de VPN-interface en maakt verbinding met het internet via het IP-adres dat door uw ISP is toegewezen. Het maakt echter wel gebruik van de DNS-server van Proton VPN.