Como configurar o Proton VPN no pfSense utilizando o OpenVPN

Leitura: 10 min
Categoria: Routers

Neste guia, mostramos-lhe como configurar o Proton VPN no pfSense 23.09 e no pfSense 2.7.x utilizando o protocolo de VPN OpenVPN. Isto permite que o seu router proteja qualquer dispositivo ligado ao mesmo com uma ligação Proton VPN.

Saiba mais acerca do OpenVPN

Se estiver a utilizar o pfSense 2.7.x, recomendamos que utilize o protocolo WireGuard® em alternativa.

Note também que não são recomendadas ligações múltiplas ao utilizar o OpenVPN. Para este caso de utilização, recomendamos novamente o WireGuard.

Antes de começar, irá precisar de:

Uma instalação nova do pfSense 23.09 ou pfSense 2.7.x
Um computador ligado à sua rede LAN para que possa aceder ao frontend do pfSense
O seu nome de utilizador e palavra-passe do OpenVPN. Estes são diferentes do seu nome de utilizador e palavra-passe normais do Proton VPN. Para os encontrar, inicie sessão em account.protonvpn.com e aceda a Conta → Nome de utilizador do OpenVPN.

1. Criar um ficheiro de configuração do OpenVPN

Inicie sessão no Proton VPN utilizando o seu nome de utilizador e palavra-passe da Conta Proton em account.protonvpn.com, aceda a Transferências → Ficheiros de configuração OpenVPN e transfira um ficheiro de configuração OpenVPN. Certifique-se de que escolhe Seleccionar plataforma: Router.

Saiba como transferir um ficheiro de configuração OpenVPN do Proton VPN

Para configurar o pfSense, precisará do certificado TLS(nova janela) deste ficheiro de configuração. Para o encontrar, abra o ficheiro de configuração do OpenVPN transferido num editor de texto e procure o texto que começa por —–BEGIN CERTIFICATE—- e termina com –—-END CERTIFICATE—–.

Também precisará do endereço IP e do número de porta do servidor VPN. Estes podem ser encontrados na primeira linha remote listada no certificado. O primeiro número é o endereço IP e o segundo número é o número de porta. No exemplo abaixo, o endereço IP é 185.159.157.6 e o número de porta é 51820

O primeiro número é o endereço IP e o segundo número é o número de porta.

E, finalmente, precisará da chave estática do OpenVPN. Esta começa com —–BEGIN OpenVPN Static key V1—- e termina com —–END OpenVPN Static key V1—–.

2. Adicionar o certificado TLS ao pfSense

Introduza 192.168.1.1 na barra de URL do seu navegador para abrir a interface web do pfSense. Inicie sessão e aceda a Sistema → Certificados → Adicionar → Importar certificado.

Configure as seguintes definições:

Criar / Editar AC. Aceda a Autoridades → Adicionar e altere as seguintes definições:

Nome descritivo: este pode ser qualquer nome que considere útil para descrever o certificado TLS do Proton
Método: importar uma Autoridade de Certificação existente

Autoridade de Certificação existente

Copie o certificado TLS do seu ficheiro de configuração do OpenVPN e cole-o aqui

Clique em Guardar quando terminar.

3. Configurar o cliente OpenVPN

Irá agora adicionar um cliente OpenVPN para encriptar os seus dados e transmiti-los por túnel para o servidor VPN.

Aceda a VPN → OpenVPN → Clientes, clique em Adicionar e configure as seguintes definições:

Informações gerais:

Descrição: escolha um nome a apresentar para esta configuração
Desativado: desmarcado

Configuração do modo

Modo do servidor: Peer to Peer (SSL/TLS)
Modo do dispositivo: tun – Modo de túnel de Camada 3

Configuração de ponto final

Protocolo: UDP apenas em IPv4 ou TCP apenas em IPv4 (à sua escolha, mas deve corresponder ao ficheiro de configuração que transferiu). Saiba mais sobre UDP vs. TCP.
Interface: WAN
Porta local: –
Anfitrião ou endereço do servidor: consulte o Passo 1 para encontrar esta informação.
Porta do servidor: consulte também o Passo 1 para encontrar esta informação.
Anfitrião ou endereço do proxy: –
Porta do proxy: –
Autenticação do proxy: nenhuma

Definições de autenticação de utilizador

Nome de utilizador: o seu nome de utilizador do OpenVPN do Proton VPN
Palavra-passe: a sua palavra-passe do OpenVPN do Proton VPN
Tentativa de autenticação: manter desmarcado

Lembre-se: estes dados são diferentes do seu nome de utilizador e palavra-passe normais do Proton VPN. Para ativar funcionalidades adicionais, adicione os seguintes sufixos ao seu nome de utilizador do OpenVPN.

NetShield Ad-blocker: +f1
NetShield Ad-blocker avançado (disponível apenas se tiver um plano pago; também bloqueia malware e rastreadores): +f2

Por exemplo, para ativar o NetShield Ad-blocker, introduza o nome de utilizador+f1.

Definições criptográficas

Utilizar uma chave TLS: marcado
Gerar automaticamente uma chave TLS: desmarcado
Chave TLS: cole aqui a chave estática do OpenVPN do ficheiro de configuração do OpenVPN (consulte o Passo 1)
Modo de utilização da chave TLS: encriptação e autenticação TLS

Direção do keydir TLS: utilizar a direção predefinida
Autoridade de certificação do par: Proton AG (ou o nome descritivo que utilizou no Passo 2)
Lista de revogação de certificados do par: deixar inalterada
Certificado do cliente: nenhum (nome de utilizador e/ou palavra-passe necessários)
Negociação de encriptação de dados: selecionada
Algoritmos de encriptação de dados: AES-256-GCM, CHACHA20-POLY1305
Algoritmo de encriptação de dados alternativo: AES-256-GCM
Algoritmo de resumo de autenticação: SHA256 (256 bits)
Encriptação de hardware: o suporte desta funcionalidade depende do seu dispositivo. Se for suportada, deve primeiro ser ativada acedendo a Sistema → Avançadas → Diversos. Em caso de dúvida, selecione Nenhuma aceleração criptográfica por hardware.
Validação de utilização da chave do certificado do servidor: selecionada

Definições do túnel

Rede de túnel IPv4: –
Rede de túnel IPv6:-
Rede(s) remota(s) IPv4: –
Rede(s) remota(s) IPv6: –
Limitar largura de banda de saída: – (a menos que prefira o contrário)
Permitir compressão: recusar qualquer compressão que não seja stub (mais seguro)
Topologia: Sub-rede — Um endereço IP por cliente numa sub-rede comum
Tipo de serviço: deixar desmarcado
Não obter rotas: marcar
Não adicionar/remover rotas: deixar desmarcado
Obter DNS: marcar

Definições de ping

Deixe tudo com os valores predefinidos.

Configuração avançada

Opções personalizadas: adicione o seguinte:

tun-mtu 1500;
mssfix 0;
reneg-sec 0;
remote-cert-tls server;

Nota: estas definições de configuração substituem as apresentadas na captura de ecrã abaixo.

Para melhorar a fiabilidade da ligação, abra o ficheiro de configuração do OpenVPN que transferiu com um editor de texto e localize as linhas que começam com remote. A partir da segunda linha “remote” para baixo, copie cada linha que começa com “remote” para o campo Opções personalizadas no pfSense, seguida por um ponto e vírgula.

E/S rápida de UDP: selecionada
Notificação de saída: desativada
Buffer de envio/receção: predefinição
Criação de porta de entrada: apenas IPv4
Nível de detalhe: 3 (recomendado)

Clique em Guardar e aceda a Estado → OpenVPN. Deverá ver o novo cliente VPN com o seu Estado a indicar ativo.

O cliente OpenVPN deve agora estar em execução

4. Configurar a interface do OpenVPN

O cliente VPN está agora em execução, mas nenhum tráfego está a ser encaminhado através dele. Para encaminhar todo o seu tráfego de rede através do túnel Proton VPN seguro, terá de configurar as interfaces e as regras de firewall.

Aceda a Interfaces → Atribuição de interfaces → Portas de rede disponíveis e selecione o cliente VPN que acabou de adicionar no menu pendente → Adicionar.

Isto criará uma interface com o nome OPTx (onde o x depende de quantas interfaces físicas o seu router tem). Clique na recém-criada para a configurar.

Aceda ao separador Interfaces, clique em OPTx e introduza as seguintes definições de configuração·

Configuração geral:

Enable: marcado
Descrição: escolha um nome descritivo para a interface

Redes reservadas:

Bloquear redes bogon: marcar

Deixe os restantes campos inalterados.

Clique em Guardar e Aplicar alterações.

5. Configurar as regras da firewall

Utilizamos regras de firewall para encaminhar todo o tráfego através da interface Proton VPN que acabámos de configurar. Aceda a Firewall → NAT → Saída e selecione Geração manual de regras NAT de saída. Em seguida, clique em Guardar e Aplicar alterações.

Em Mapeamentos, verá seis regras listadas. Na coluna Origem, 4 destas regras mostram os endereços 127.0.0.0/8 e ::1/128. Ignore-as e Edite (clique no ícone do lápis na coluna Ações) as outras duas regras.

Para ambas as regras, altere a Interface para a interface Proton VPN que criou no Passo 4. Clique em Guardar e Aplicar alterações.

Nota: isto também cria automaticamente uma porta de entrada com o mesmo nome que a interface.

As definições de Mappings devem agora ficar assim:

Aceda a Firewall → Rules → LAN. Clique no ícone ✓ ao lado de Default allow LAN IPv6 to any rule para o desativar.

Aceda a Default allow LAN to any rule → Editar (ícone de lápis).

Clique em Display advanced → Gateway e selecione a porta de entrada que criámos no Passo 5. Clique em Guardar e em Apply Changes.

Agora, aceda a Status → OpenVPN e clique no ícone Service → Restart para reiniciar o cliente OpenVPN com as novas definições.

Configurar definições de DNS

Todo o tráfego de internet que passa pela firewall do pfSense será agora encaminhado através de um servidor Proton VPN. No entanto, o mesmo não acontece com os pedidos de DNS. Para corrigir isso, é necessário alterar as definições de DNS no pfSense.

Aceda a System → General Setup → DNS Servers → DNS servers e introduza as seguintes definições:

Servidores DNS → Endereço: 10.2.0.1
DNS servers → Gateway: selecione a interface de VPN que criou no Passo 4
DNS Server Override: assinale
DNS Resolution Behavior: utilize servidores de DNS remotos, ignore o DNS local

Configurar as definições do servidor de DNS

Agora, aceda a Services → DNS Resolver → Outgoing Network Interfaces e introduza as seguintes definições:

Outgoing Network Interfaces: selecione a interface de VPN que criou no Passo 4
DNS Query Forwarding: assinale

Se ativou a nossa funcionalidade NetShield Ad-Blocker ao adicionar os sufixos +f1 ou +f2 ao seu nome de utilizador do OpenVPN (consulte o Passo 3), deve desativar o suporte para DNSSEC.

Configurar opções gerais do resolvedor de DNS

Clique em Guardar e em Apply changes.

A sua configuração está agora concluída. Todo o tráfego da sua rede deve agora ser encaminhado de forma segura através do servidor Proton VPN que escolheu. Pode testar isto visitando o nosso scanner de IP seguro e gratuito a partir de qualquer dispositivo na sua rede.

Ajustes opcionais

Pode excluir alguns computadores da sua rede da utilização da interface de VPN. Por exemplo, pode preferir que a sua consola de jogos aceda à internet sem estar ligada a uma VPN. Para fazer isto:

1. Aceda a Firewall → Rules → LAN → Add.

2. Configure as definições da seguinte forma:

Action: Pass
Desativado: desmarcado
Interface: LAN
Address Family: IPv4
Protocol: Any
Source: Single Host or Alias e adicione o IP do dispositivo que deseja excluir
Destination: Any
Log: Unchanged
Description: adicione uma descrição

3. Clique em Display Advanced e altere o Gateway para WAN.

4. Clique em Guardar e em Apply Changes.

5. Aceda a Firewall → NAT → Outbound e mude o Mode para Automatic, depois clique em Guardar e em Apply Change. Em seguida, mude o Mode novamente para Manual, depois clique em Guardar e em Apply Change.

Isto cria duas novas regras que permitem ao dispositivo selecionado aceder à rede WAN local.

O dispositivo está agora excluído da interface de VPN e acederá à internet utilizando o endereço IP atribuído pelo seu ISP. No entanto, utilizará o servidor de DNS do Proton VPN.