Cum se configurează Proton VPN pe pfSense folosind OpenVPN

În acest ghid, vă arătăm cum să configurați Proton VPN pe pfSense 23.09 și pfSense 2.7.x folosind protocolul VPN OpenVPN. Acest lucru permite routerului dvs. să protejeze orice dispozitiv conectat la acesta cu o conexiune Proton VPN.

Aflați mai multe despre OpenVPN

Dacă utilizați pfSense 2.7.x, vă recomandăm să folosiți în schimb protocolul WireGuard®.

Rețineți, de asemenea, că nu sunt recomandate conexiunile multiple folosind OpenVPN. Pentru acest caz de utilizare, vă recomandăm din nou WireGuard.

• Aflați mai multe despre OpenVPN vs. WireGuard
• Aflați cum să configurați Proton VPN pe pfSense folosind WireGuard

Înainte de a începe, veți avea nevoie de:

• O instalare nouă de pfSense 23.09 sau pfSense 2.7.x
• Un computer conectat la rețeaua dvs. LAN, astfel încât să puteți accesa interfața pfSense
• Numele dvs. de utilizator și parola pentru OpenVPN. Acestea sunt diferite de numele de utilizator și parola dvs. obișnuite pentru Proton VPN. Pentru a le găsi, conectați-vă la account.protonvpn.com și accesați Cont → Nume de utilizator OpenVPN.

1. Creați un fișier de configurare OpenVPN

Conectați-vă la Proton VPN folosind numele de utilizator și parola contului dvs. Proton la account.protonvpn.com, accesați Descărcări → Fișiere de configurare OpenVPN și descărcați un fișier de configurare OpenVPN. Asigurați-vă că Selectați platforma: Router.

Aflați cum să descărcați un fișier de configurare OpenVPN de la Proton VPN

Pentru a configura pfSense, veți avea nevoie de certificatul TLS(fereastră nouă) din acest fișier de configurare. Pentru a-l găsi, deschideți fișierul de configurare OpenVPN descărcat într-un editor de text și căutați textul care începe cu —–BEGIN CERTIFICATE—- și se termină cu –—-END CERTIFICATE—–.

De asemenea, veți avea nevoie de adresa IP și numărul portului serverului VPN. Acestea pot fi găsite pe prima linie remote listată în certificat. Primul număr este adresa IP, iar al doilea număr este numărul portului. În exemplul de mai jos, adresa IP este 185.159.157.6, iar numărul portului este 51820

Și, în final, veți avea nevoie de cheia statică OpenVPN. Aceasta începe cu —–BEGIN OpenVPN Static key V1—- și se termină cu —–END OpenVPN Static key V1—–.

2. Adăugați certificatul TLS în pfSense

Introduceți 192.168.1.1 în bara de adrese URL a browserului dvs. pentru a deschide interfața web pfSense. Conectați-vă și accesați Sistem → Certificate → Adăugare → Importare certificat.

Configurați următoarele setări:

Creare / Editare CA. Accesați Authorities → Adăugare și modificați următoarele setări:

• Nume descriptiv: Acesta poate fi orice nume pe care îl considerați util pentru a descrie certificatul TLS al Proton
• Metodă: Importați o autoritate de certificare existentă

Autoritate de certificare existentă

• Copiați certificatul TLS din fișierul dvs. de configurare OpenVPN și lipiți-l aici

Faceți clic pe Save când ați terminat.

3. Configurați clientul OpenVPN

Acum veți adăuga un client OpenVPN pentru a vă cripta datele și a le direcționa prin tunel către serverul VPN.

Accesați VPN → OpenVPN → Clients, faceți clic pe Adăugare și configurați următoarele setări:

Informații generale:

• Descriere: Alegeți un nume afișat pentru această configurare
• Dezactivat: Nebifat

Configurare mod

• Mod server: Peer to Peer (SSL/TLS)
• Mod dispozitiv: tun – Mod tunel Layer 3

Configurare punct final

• Protocol: Fie UDP doar pe IPv4, fie TCP doar pe IPv4 (la alegerea dvs., dar trebuie să se potrivească cu fișierul de configurare pe care l-ați descărcat). Aflați mai multe despre UDP vs. TCP. 
• Interfață: WAN
• Port local: –
• Gazdă sau adresă server: Vă rugăm să consultați Pasul 1 pentru a găsi acest lucru. 
• Port server: Vă rugăm să consultați, de asemenea, Pasul 1 pentru a găsi acest lucru. 
• Gazdă sau adresă proxy: –
• Port proxy: –
• Autentificare proxy: niciuna

Setări de autentificare utilizator

• Nume de utilizator: Numele dvs. de utilizator OpenVPN pentru Proton VPN
• Parolă: Parola dvs. OpenVPN pentru Proton VPN
• Reîncercare autentificare: Lăsați nebifat

Rețineți: acestea sunt diferite de numele de utilizator și parola dvs. obișnuite pentru Proton VPN. Pentru a activa caracteristici suplimentare, adăugați următoarele sufixe la numele dvs. de utilizator OpenVPN.

• NetShield Ad-blocker: +f1
• NetShield Ad-blocker avansat (disponibil doar dacă aveți un plan cu plată, blochează, de asemenea, malware-ul și urmăritorii): +f2

De exemplu, pentru a activa NetShield Ad-blocker, introduceți nume_utilizator+f1.

Setări criptografice

• Utilizați o cheie TLS: Bifat
• Generați automat o cheie TLS: Nebifat
• Cheie TLS: Lipiți cheia statică OpenVPN din fișierul de configurare OpenVPN (consultați Pasul 1)
• Mod de utilizare cheie TLS: criptare și autentificare TLS

• Direcție keydir TLS: utilizați direcția implicită
• Autoritate de certificare peer: Proton AG (sau numele descriptiv pe care l-ați utilizat în Pasul 2)
• Listă de revocare a certificatelor peer: lăsați neschimbat
• Certificat client: niciunul (sunt necesare numele de utilizator și/sau parola)
• Negociere criptare date: bifat
• Algoritmi de criptare a datelor: AES-256-GCM, CHACHA20-POLY1305
• Algoritm de criptare de rezervă pentru date: AES-256-GCM
• Algoritm digest de autentificare: SHA256 (256-bit)
• Criptografie hardware: dacă această funcție este acceptată depinde de dispozitivul dvs. Dacă este acceptată, trebuie mai întâi activată mergând la Sistem → Avansat → Diverse. Dacă aveți îndoieli, selectați Fără accelerare criptografică hardware.
• Validarea utilizării cheii certificatului de server: bifat

Setări tunel

• Rețea tunel IPv4: –
• Rețea tunel IPv6:-
• Rețele la distanță IPv4: –
• Rețele la distanță IPv6: –
• Limitare lățime de bandă la ieșire: – (cu excepția cazului în care preferați altfel)
• Permiteți compresia: refuzați orice compresie care nu este de tip stub (cea mai sigură)
• Topologie: Subrețea — o singură adresă IP per client într-o subrețea comună
• Tip de serviciu: lăsați nebifat
• Nu preluați rutele: bifați
• Nu adăugați/eliminați rutele: lăsați nebifat
• Preluare DNS: bifați

Setări ping

• Lăsați totul la valorile implicite.

Configurare avansată

• Opțiuni personalizate: adăugați următoarele:

tun-mtu 1500;
mssfix 0;
reneg-sec 0;
remote-cert-tls server;

Notă: aceste setări de configurare le înlocuiesc pe cele afișate în captura de ecran de mai jos.

Pentru a îmbunătăți fiabilitatea conexiunii, deschideți fișierul de configurare OpenVPN pe care l-ați descărcat cu un editor de text și localizați liniile care încep cu remote. Începând de la a doua linie „remote” în jos, copiați fiecare linie care începe cu „remote” în câmpul Opțiuni personalizate din pfSense, urmată de punct și virgulă.

• UDP Fast I/O: bifat
• Exit Notify: dezactivat
• Send/Receive Buffer: implicit
• Creare gateway: doar IPv4
• Nivel de detaliere: 3 (recomandat)

Faceți clic pe Salvare și accesați Status → OpenVPN. Ar trebui să vedeți noul client VPN, cu starea sa (Status) indicând up.

4. Configurați interfața OpenVPN

Clientul VPN rulează acum, dar prin el nu este direcționat niciun trafic. Pentru a vă direcționa tot traficul de rețea prin tunelul securizat Proton VPN, va trebui să configurați interfețele și regulile de firewall.

Accesați Interfaces → Interface Assignments → Available network ports și selectați clientul VPN pe care tocmai l-ați adăugat din meniul derulant → Add.

Aceasta va crea o interfață numită OPTx (unde x depinde de câte interfețe fizice are routerul dvs.). Faceți clic pe cea nou creată pentru a o configura.

Accesați fila Interfaces, faceți clic pe OPTx și introduceți următoarele setări de configurare·

Configurare generală:

• Enable: bifat
• Description: alegeți un nume descriptiv pentru interfață

Rețele rezervate:

• Block bogon networks: bifați

Lăsați restul câmpurilor neschimbate.

Faceți clic pe Salvare și Aplicare modificări.

5. Configurați regulile de firewall

Utilizăm reguli de firewall pentru a direcționa tot traficul prin interfața Proton VPN pe care tocmai am configurat-o. Accesați Firewall → NAT → Outbound și selectați Manual Outbound NAT rule generation. Apoi faceți clic pe Salvare și Aplicare modificări.

La secțiunea Mappings, veți vedea o listă cu șase reguli. În coloana Source, 4 dintre aceste reguli indică adresele 127.0.0.0/8 și ::1/128. Ignorați-le pe acestea și Editați (faceți clic pe pictograma creion din coloana Actions) celelalte două reguli.

Pentru ambele reguli, schimbați Interface cu interfața Proton VPN pe care ați creat-o la Pasul 4. Faceți clic pe Salvare și Aplicare modificări.

Notă: acest lucru creează în mod automat și un gateway cu același nume ca interfața.

Setările pentru Mappings ar trebui să arate acum astfel:

Accesați Firewall → Rules → LAN. Faceți clic pe pictograma ✓ de lângă Default allow LAN IPv6 to any rule pentru a o dezactiva.

Accesați Default allow LAN to any rule → Edit (pictograma creion).

Faceți clic pe Display advanced → Gateway și selectați gateway-ul pe care l-am creat la Pasul 5. Faceți clic pe Save și Apply Changes.

Acum accesați Status → OpenVPN și faceți clic pe pictograma Service → Restart pentru a reporni clientul OpenVPN cu noile setări.

Configurați setările DNS

Tot traficul de internet care trece prin firewall-ul pfSense va fi acum direcționat printr-un server Proton VPN. Cu toate acestea, solicitările DNS nu sunt. Pentru a remedia acest lucru, trebuie să modificați setările DNS în pfSense.

Accesați System → General Setup → DNS Servers → DNS servers și introduceți următoarele setări:

• DNS Servers → Address: 10.2.0.1
• DNS servers → Gateway: selectați interfața VPN pe care ați creat-o la Pasul 4
• DNS Server Override: bifați
• DNS Resolution Behavior: Utilizați servere DNS la distanță, ignorați DNS-ul local

Acum accesați Services → DNS Resolver → Outgoing Network Interfaces și introduceți următoarele setări:

• Outgoing Network Interfaces: selectați interfața VPN pe care ați creat-o la Pasul 4
• DNS Query Forwarding: bifați

Dacă ați activat caracteristica noastră NetShield Ad-Blocker prin adăugarea sufixelor +f1 sau +f2 la numele dvs. de utilizator OpenVPN (consultați Pasul 3), trebuie să dezactivați asistența DNSSEC.

Faceți clic pe Save și Apply changes.

Configurarea dvs. este acum finalizată. Tot traficul din rețeaua dvs. ar trebui să fie acum direcționat în siguranță prin serverul Proton VPN pe care l-ați ales. Puteți testa acest lucru accesând scannerul nostru gratuit și securizat de IP-uri de pe orice dispozitiv din rețeaua dvs.

Optimizări opționale

Puteți exclude unele computere din rețeaua dvs. de la utilizarea interfeței VPN. De exemplu, s-ar putea să preferați ca consola de jocuri să acceseze internetul fără a fi conectată la un VPN. Pentru a face acest lucru:

1. Accesați Firewall → Rules → LAN → Add.

2. Configurați setările după cum urmează:

• Action: Pass
• Dezactivat: Nebifat
• Interface: LAN
• Address Family: IPv4
• Protocol: Any
• Source: Single Host or Alias și adăugați adresa IP a dispozitivului pe care doriți să îl excludeți
• Destination: Any
• Log: Neschimbat
• Description: Adăugați o descriere

3. Faceți clic pe Display Advanced și schimbați Gateway în WAN.

4. Faceți clic pe Save și Apply Changes.

5. Accesați Firewall → NAT → Outbound și comutați Mode pe Automatic, apoi faceți clic pe Save și Apply Change. Apoi comutați Mode înapoi pe Manual, apoi faceți clic pe Save și Apply Change.

Acest lucru creează două reguli noi care permit dispozitivului selectat să acceseze rețeaua locală WAN.

Dispozitivul este acum exclus din interfața VPN și va accesa internetul folosind adresa IP atribuită de furnizorul dvs. de servicii internet (ISP). Cu toate acestea, va folosi serverul DNS al Proton VPN.