OpenVPN kullanarak pfSense üzerinde Proton VPN nasıl yapılandırılır

Bu kılavuzda, OpenVPN VPN iletişim kuralını kullanarak pfSense 23.09 ve pfSense 2.7.x üzerinde Proton VPN’i nasıl ayarlayacağınızı gösteriyoruz. Bu, yönlendiricinizin kendisine bağlı olan her aygıtı bir Proton VPN bağlantısı ile korumasını sağlar.

OpenVPN hakkında ayrıntılı bilgi alın

pfSense 2.7.x kullanıyorsanız bunun yerine WireGuard® iletişim kuralını kullanmanızı öneririz.

Ayrıca OpenVPN kullanılırken birden fazla bağlantının önerilmediğini unutmayın. Bu kullanım senaryosu için yine WireGuard kullanmanızı öneririz.

• OpenVPN ve WireGuard karşılaştırması hakkında bilgi edinin
• WireGuard kullanarak pfSense üzerinde Proton VPN’i nasıl yapılandıracağınızı öğrenin

Başlamadan önce şunlara ihtiyacınız olacak:

• Temiz bir pfSense 23.09 veya pfSense 2.7.x kurulumu
• pfSense ön yüzüne erişebilmeniz için LAN ağınıza bağlı bir bilgisayar
• OpenVPN kullanıcı adınız ve parolanız. Bunlar, normal Proton VPN kullanıcı adınızdan ve parolanızdan farklıdır. Bunları bulmak için account.protonvpn.com adresinde oturum açın ve Hesap → OpenVPN kullanıcı adı bölümüne gidin.

1. Bir OpenVPN yapılandırma dosyası oluşturun

account.protonvpn.com adresinde Proton Hesabı kullanıcı adınız ve parolanızla Proton VPN oturumu açın, İndirmeler → OpenVPN yapılandırma dosyaları bölümüne gidin ve bir OpenVPN yapılandırma dosyası indirin. Platformu seçin: Yönlendirici seçeneğini belirlediğinizden emin olun.

Proton VPN’den nasıl OpenVPN yapılandırma dosyası indirileceğini öğrenin

pfSense’i yapılandırmak için bu yapılandırma dosyasındaki TLS sertifikasına(yeni pencere) ihtiyacınız olacak. Bunu bulmak için indirilen OpenVPN yapılandırma dosyasını bir metin düzenleyicide açın ve —–BEGIN CERTIFICATE—- ile başlayan ve –—-END CERTIFICATE—– ile biten metni arayın.

Ayrıca VPN sunucusunun IP adresine ve bağlantı noktası numarasına da ihtiyacınız olacak. Bunlar, sertifikada listelenen ilk remote satırında bulunabilir. İlk sayı IP adresidir ve ikinci sayı bağlantı noktası numarasıdır. Aşağıdaki örnekte IP adresi 185.159.157.6 ve bağlantı noktası numarası 51820’dir.

Ve son olarak, OpenVPN Statik anahtarına ihtiyacınız olacak. Bu, —–BEGIN OpenVPN Static key V1—- ile başlar ve —–END OpenVPN Static key V1—– ile biter.

2. TLS sertifikasını pfSense’e ekleyin

pfSense web arayüzünü açmak için tarayıcınızın URL çubuğuna 192.168.1.1 yazın. Oturum açın ve Sistem → Sertifikalar → Ekle → Sertifikayı içe aktar bölümüne gidin.

Aşağıdaki ayarları yapılandırın:

CA Oluştur / Düzenle. Yetkililer → Ekle bölümüne gidin ve aşağıdaki ayarları değiştirin:

• Tanımlayıcı ad: Bu, Proton’un TLS sertifikasını tanımlamak için yararlı bulduğunuz herhangi bir ad olabilir
• Yöntem: Mevcut bir Sertifika Yetkilisini içe aktarın

Mevcut Sertifika Yetkilisi

• OpenVPN yapılandırma dosyanızdaki TLS sertifikasını kopyalayın ve buraya yapıştırın

Tamamladığınızda Kaydet seçeneğine tıklayın.

3. OpenVPN İstemcisini Yapılandırın

Şimdi verilerinizi şifrelemek ve VPN sunucusuna tünellemek için bir OpenVPN istemcisi ekleyeceksiniz.

VPN → OpenVPN → İstemciler bölümüne gidin, Ekle seçeneğine tıklayın ve aşağıdaki ayarları yapılandırın:

Genel Bilgiler:

• Açıklama: Bu yapılandırma için bir görüntülenecek ad seçin
• Devre dışı: İşaretlenmemiş

Kip Yapılandırması

• Sunucu Kipi: Eşler Arası (SSL/TLS)
• Aygıt kipi: tun – Katman 3 Tünel Kipi

Uç Nokta Yapılandırması

• İletişim kuralı: Yalnızca IPv4 üzerinde UDP veya Yalnızca IPv4 üzerinde TCP (seçim size aittir ancak indirdiğiniz yapılandırma dosyasıyla eşleşmesi gerekir). UDP ve TCP hakkında ayrıntılı bilgi alın. 
• Arayüz: WAN
• Yerel Bağlantı Noktası: –
• Sunucu ana bilgisayarı veya adresi: Bunu bulmak için lütfen 1. Adım‘a bakın. 
• Sunucu bağlantı noktası: Bunu bulmak için lütfen ayrıca 1. Adım’a bakın. 
• Vekil sunucu ana bilgisayarı veya adresi: –
• Vekil sunucu bağlantı noktası: –
• Vekil Sunucu Kimlik Doğrulaması: yok

Kullanıcı Kimlik Doğrulama Ayarları

• Kullanıcı adı: Proton VPN OpenVPN kullanıcı adınız
• Parola: Proton VPN OpenVPN parolanız
• Kimlik Doğrulama Yeniden Denemesi: İşaretlenmemiş olarak bırakın

Unutmayın: Bunlar normal Proton VPN kullanıcı adınızdan ve parolanızdan farklıdır. Ek özellikleri açmak için OpenVPN kullanıcı adınıza aşağıdaki son ekleri ekleyin.

• NetShield Ad-blocker: +f1
• Gelişmiş NetShield Ad-blocker (yalnızca ücretli bir tarifeniz varsa kullanılabilir; aynı zamanda kötü amaçlı yazılımları ve izleyicileri de engeller): +f2

Örneğin, NetShield Ad-blocker özelliğini açmak için kullanıcıadı+f1 yazın.

Şifreleme Ayarları

• Bir TLS Anahtarı Kullan: İşaretli
• Otomatik olarak bir TLS Anahtarı oluştur: İşaretlenmemiş
• TLS Anahtarı: OpenVPN yapılandırma dosyasındaki OpenVPN Statik anahtarını yapıştırın (bkz. 1. Adım)
• TLS Anahtar Kullanım Kipi: TLS Şifreleme ve Kimlik Doğrulama

• TLS keydir yönü: Varsayılan yönü kullanın
• Eş Sertifika Yetkilisi: Proton AG (veya 2. Adımda kullandığınız açıklayıcı ad)
• Eş Sertifika İptal Listesi: Değiştirmeden bırakın
• İstemci Sertifikası: Yok (Kullanıcı adı ve/veya parola gereklidir)
• Veri Şifreleme Anlaşması: Seçili
• Veri Şifreleme Algoritmaları: AES-256-GCM, CHACHA20-POLY1305
• Yedek Veri Şifreleme Algoritması: AES-256-GCM
• Kimlik Doğrulama Özeti Algoritması: SHA256 (256 bit)
• Donanım Kriptosu: Bunun desteklenip desteklenmediği aygıtınıza bağlıdır. Destekleniyorsa öncelikle Sistem → Gelişmiş → Çeşitli bölümüne gidilerek etkinleştirilmelidir. Şüpheye düşerseniz Donanım kripto hızlandırması yok seçeneğini seçin.
• Sunucu Sertifikası Anahtar Kullanımı Doğrulaması: Seçili

Tünel Ayarları

• IPv4 Tünel Ağı: –
• IPv6 Tünel Ağı:-
• IPv4 Uzak ağ(lar)ı: –
• IPv6 Uzak ağ(lar)ı: –
• Giden bant genişliğini sınırla: – (aksini tercih etmediğiniz sürece)
• Sıkıştırmaya İzin Ver: Stub olmayan tüm sıkıştırmaları reddet (En güvenli)
• Topoloji: Alt Ağ — Ortak bir alt ağda istemci başına bir IP adresi
• Hizmet türü: İşaretlenmemiş olarak bırakın
• Rotaları çekmeyin: İşaretleyin
• Rota eklemeyin/kaldırmayın: İşaretlenmemiş olarak bırakın
• DNS Al: İşaretleyin

Ping Ayarları

• Tüm ayarları varsayılan değerlerinde bırakın.

Gelişmiş Yapılandırma

• Özel Seçenekler: Aşağıdakileri ekleyin:

tun-mtu 1500;
mssfix 0;
reneg-sec 0;
remote-cert-tls server;

Not: Bu yapılandırma ayarları, aşağıdaki ekran görüntüsünde gösterilenlerin yerine geçer.

Bağlantının güvenilirliğini artırmak için indirdiğiniz OpenVPN yapılandırma dosyasını bir metin düzenleyiciyle açın ve remote ile başlayan satırları bulun. İkinci remote satırından itibaren, remote ile başlayan her satırı sonuna noktalı virgül ekleyerek pfSense’teki Özel Seçenekler (Custom Options) alanına kopyalayın.

• UDP Hızlı G/Ç: Seçili
• Exit Notify: Devre Dışı
• Gönderme/Alma Arabelleği: Varsayılan
• Ağ geçidi oluşturma: Yalnızca IPv4
• Ayrıntı düzeyi: 3 (önerilen)

Kaydet seçeneğine tıklayın ve Durum → OpenVPN bölümüne gidin. Durum kısmı çalışıyor (up) olarak gösterilen yeni VPN istemcisini görmelisiniz.

4. OpenVPN Arayüzünü Yapılandırın

VPN istemcisi artık çalışıyor ancak üzerinden hiçbir trafik yönlendirilmiyor. Tüm ağ trafiğinizi güvenli Proton VPN tüneli üzerinden yönlendirmek için arayüzleri ve güvenlik duvarı kurallarını yapılandırmanız gerekir.

Interfaces → Interface Assignments → Available network ports bölümüne gidin ve açılır menüden yeni eklediğiniz VPN istemcisini seçip → Add öğesine tıklayın.

Bu, OPTx adında bir arayüz oluşturacaktır (burada x, yönlendiricinizin kaç tane fiziksel arayüze sahip olduğuna bağlıdır). Yapılandırmak için yeni oluşturulan arayüze tıklayın.

Interfaces sekmesine gidin, OPTx seçeneğine tıklayın ve aşağıdaki yapılandırma ayarlarını girin:

Genel Yapılandırma:

• Etkinleştir: işaretli
• Açıklama: Arayüz için açıklayıcı bir ad seçin

Ayrılmış ağlar:

• Bogon ağlarını engelle: İşaretleyin

Diğer alanları değiştirmeden bırakın.

Kaydet ve Değişiklikleri Uygula seçeneklerine tıklayın.

5. Güvenlik duvarı kurallarını yapılandırın

Tüm trafiği az önce kurduğumuz Proton VPN arayüzü üzerinden yönlendirmek için güvenlik duvarı kurallarını kullanırız. Firewall → NAT → Outbound bölümüne gidin ve Manual Outbound NAT rule generation seçeneğini seçin. Ardından Kaydet ve Değişiklikleri Uygula seçeneklerine tıklayın.

Mappings başlığı altında listelenmiş altı kural göreceksiniz. Source sütununda, bu kurallardan 4’ü 127.0.0.0/8 ve ::1/128 adreslerini gösterir. Bunları yoksayın ve diğer iki kuralı Düzenleyin (Actions sütunundaki kalem simgesine tıklayın).

Her iki kural için de Interface seçeneğini 4. Adım’da oluşturduğunuz Proton VPN Arayüzü olarak değiştirin. Kaydet ve Değişiklikleri Uygula seçeneklerine tıklayın.

Not: Bu işlem, arayüzle aynı ada sahip bir ağ geçidini de otomatik olarak ekler.

Eşlemeler ayarları artık şu şekilde görünmelidir:

Güvenlik Duvarı → Kurallar → LAN bölümüne gidin. Varsayılan olarak LAN IPv6’dan herhangi birine izin verme kuralını devre dışı bırakmak için yanındaki ✓ simgesine tıklayın.

Varsayılan olarak LAN’dan herhangi birine izin verme kuralı → Düzenle (kalem simgesi) seçeneğine gidin.

Gelişmişi Göster → Ağ Geçidi seçeneğine tıklayın ve 5. Adım’da eklediğimiz ağ geçidini seçin. Kaydet ve Değişiklikleri Uygula seçeneklerine tıklayın.

Şimdi Durum → OpenVPN bölümüne gidin ve OpenVPN istemcisini yeni ayarlarla yeniden başlatmak için Hizmet → Yeniden Başlat simgesine tıklayın.

DNS ayarlarını yapılandırın

pfSense güvenlik duvarından geçen tüm internet trafiği artık bir Proton VPN sunucusu üzerinden yönlendirilecektir. Ancak DNS istekleri yönlendirilmez. Bunu düzeltmek için pfSense’teki DNS ayarlarını değiştirmemiz gerekir.

Sistem → Genel Kurulum → DNS Sunucuları → DNS sunucuları bölümüne gidin ve aşağıdaki ayarları yazın:

• DNS Sunucuları → Adres: 10.2.0.1
• DNS sunucuları → Ağ Geçidi: 4. Adımda eklediğiniz VPN arayüzünü seçin
• DNS Sunucusunu Geçersiz Kılma: işaretleyin
• DNS Çözümleme Davranışı: Uzak DNS sunucularını kullan, yerel DNS’i yoksay

Şimdi Hizmetler → DNS Çözümleyici → Giden Ağ Arayüzleri bölümüne gidin ve aşağıdaki ayarları yazın:

• Giden Ağ Arayüzleri: 4. Adımda eklediğiniz VPN arayüzünü seçin
• DNS Sorgusu Yönlendirme: işaretleyin

OpenVPN kullanıcı adınıza +f1 veya +f2 uzantılarını ekleyerek (bkz. 3. Adım) NetShield Reklam Engelleyici özelliğimizi etkinleştirdiyseniz DNSSEC desteğini kapatmanız gerekir.

Kaydet ve Değişiklikleri uygula seçeneklerine tıklayın.

Kurulumunuz tamamlandı. Ağınızdan gelen tüm trafik artık seçtiğiniz Proton VPN sunucusu üzerinden güvenli bir şekilde yönlendirilecektir. Bunu ağınızdaki herhangi bir aygıttan ücretsiz güvenli IP tarayıcımızı ziyaret ederek test edebilirsiniz.

İsteğe bağlı ince ayarlar

Ağınızdaki bazı bilgisayarları VPN arayüzünü kullanmaktan hariç tutabilirsiniz. Örneğin, oyun konsolunuzun bir VPN’e bağlanmadan internete erişmesini tercih edebilirsiniz. Bunu yapmak için:

1. Go to Firewall → Rules → LAN → Add.

2. Ayarları aşağıdaki gibi yapılandırın:

• Eylem: Pass
• Devre dışı: İşaretlenmemiş
• Arayüz: LAN
• Adres Ailesi: IPv4
• İletişim Kuralı: Herhangi Biri
• Kaynak: Single Host veya Alias seçeneğini seçin ve hariç tutmak istediğiniz aygıtın IP adresini ekleyin
• Hedef: Herhangi Biri
• Günlük: Değiştirilmedi
• Açıklama: Bir açıklama ekleyin

3. Gelişmişi Göster seçeneğine tıklayın ve Ağ Geçidi ayarını WAN olarak değiştirin.

4. Kaydet ve Değişiklikleri Uygula seçeneklerine tıklayın.

5. Güvenlik Duvarı → NAT → Giden bölümüne gidin ve Kip ayarını Otomatik olarak değiştirin, ardından Kaydet ve Değişikliği Uygula seçeneklerine tıklayın. Sonrasında Kip ayarını tekrar Manuel olarak değiştirin, ardından Kaydet ve Değişikliği Uygula seçeneklerine tıklayın.

Bu işlem, seçilen aygıtın yerel WAN ağına erişmesine izin veren iki yeni kural ekler.

Aygıt artık VPN arayüzünden hariç tutulmuştur ve İSS’niz tarafından atanan IP adresini kullanarak internete erişecektir. Ancak Proton VPN’in DNS sunucusunu kullanacaktır.