Cách thiết lập Proton VPN trên bộ định tuyến FreshTomato bằng OpenVPN

Có thể thiết lập Proton VPN trên bộ định tuyến để bảo vệ mọi thiết bị kết nối internet qua bộ định tuyến đó. Hướng dẫn này sẽ trình bày từng bước cách thiết lập Proton VPN trên bộ định tuyến FreshTomato(cửa sổ mới) bằng giao thức OpenVPN.

Tìm hiểu thêm về OpenVPN

Lưu ý rằng FreshTomato là phiên bản phần sụn tùy chỉnh duy nhất do cộng đồng Tomato phát triển dành cho bộ định tuyến vẫn đang được hỗ trợ tích cực. Nếu đang sử dụng phiên bản Tomato cũ hơn, khuyến nghị nâng cấp lên FreshTomato.

Ngoài ra còn có các hướng dẫn thiết lập Proton VPN trên nhiều bộ định tuyến phổ biến khác.

Tìm hiểu cách cài đặt Proton VPN trên các bộ định tuyến khác nhau

Trước khi bắt đầu, cần chuẩn bị các mục sau:

• Một máy tính được kết nối với mạng LAN để có thể truy cập giao diện web của bộ định tuyến FreshTomato. Để thực hiện việc này, hãy nhập địa chỉ do nhà sản xuất bộ định tuyến cung cấp vào thanh URL của trình duyệt. Địa chỉ này thường là 192.168.1.1.
• Your OpenVPN username and password. These are different from your regular Proton VPN username and password. To find them, sign in to account.protonvpn.com and go to Account → OpenVPN username.

Cách thiết lập Proton VPN trên bộ định tuyến FreshTomato

1. Tạo tệp cấu hình OpenVPN

Đăng nhập vào Proton VPN bằng tên người dùng và mật khẩu Tài khoản Proton tại account.protonvpn.com, đi tới Tải xuống → Tệp cấu hình OpenVPN, rồi tải xuống tệp cấu hình OpenVPN. Hãy nhớ Chọn nền tảng: Bộ định tuyến.

Tìm hiểu cách tải xuống tệp cấu hình OpenVPN từ Proton VPN

Để cấu hình FreshTomato, cần có địa chỉ IP và số cổng của máy chủ VPN. Có thể tìm thấy các thông tin này ở dòng remote đầu tiên trong chứng chỉ. Số đầu tiên là địa chỉ IP, và số thứ hai là số cổng. Trong ví dụ bên dưới, địa chỉ IP là 185.159.157.6 và số cổng là 51820

Cũng cần có khóa tĩnh OpenVPN. Khóa này bắt đầu bằng —–BEGIN OpenVPN Static key V1—- và kết thúc bằng —–END OpenVPN Static key V1—–.

Và cuối cùng, cần có chứng chỉ TLS(cửa sổ mới) từ tệp cấu hình này. Để tìm chứng chỉ này, hãy mở tệp cấu hình OpenVPN đã tải xuống trong trình chỉnh sửa văn bản và tìm đoạn văn bản bắt đầu bằng —–BEGIN CERTIFICATE—- và kết thúc bằng –—-END CERTIFICATE—–.

1. Cấu hình các cài đặt OpenVPN cơ bản

Mở giao diện web của bộ định tuyến FreshTomato trong cửa sổ trình duyệt và đi tới tab VPN → VPN Tunneling → OpenVPN Client → Basic và cấu hình các cài đặt sau:

(Nếu thiết bị hỗ trợ nhiều máy khách OpenVPN, có thể chọn máy khách muốn cấu hình.)

• Enable on Start: đã chọn
• Interface Type: TUN
• Protocol: UDP
• Server Address/Port: Nhập địa chỉ IP và số cổng của máy chủ VPN. Có thể tìm thấy các thông tin này ở dòng remote đầu tiên trong chứng chỉ (xem Bước 1 để biết thêm chi tiết)
• Firewall: Automatic
• Create NAT on tunnel: đã chọn
• Inbound Firewall: đã chọn
• Authorization Mode: TLS
• TLS control channel security (tls-auth/tls-crypt): Encrypt channel Username/Password Authentication: đã chọn 
• Username: Tên người dùng OpenVPN 
• Password: Mật khẩu OpenVPN.

Lưu ý: Tên người dùng và mật khẩu OpenVPN khác với tên người dùng và mật khẩu Proton VPN thông thường.

• Username Authen. Only: –
• Auth digest: SHA256

Để kích hoạt các tính năng bổ sung, hãy thêm các hậu tố sau vào tên người dùng OpenVPN.

• NetShield Ad-blocker: +f1
• NetShield Ad-blocker nâng cao (cũng chặn phần mềm độc hại và trình theo dõi): +f2

2. Cấu hình các cài đặt OpenVPN nâng cao

Đi tới tab Advanced và cấu hình các cài đặt sau:

• Poll interval: 0
• Redirect internet traffic: No 
• Accept DNS configuration: Exclusive
• Data ciphers: AES-256-GCM
• Compression: Disabled
• TLS Renegotiation Time: 0
• Connection retry: -1
• Verify Certificate (remote-cert-tls server): đã chọn
• Verify Server Certificate Name (verify-x509-name): No
• Custom configuration: thêm các dòng sau vào trường văn bản:

remote-random
nobind
tun-mtu 1500
mssfix 0
persist-key
persist-tun

Lưu ý: Các cài đặt cấu hình này thay thế cho các cài đặt được hiển thị trong ảnh chụp màn hình bên dưới.

3. Cấu hình cài đặt khóa OpenVPN

Chọn tab Keys và cấu hình các cài đặt sau:

• Static key: Dán khóa tĩnh OpenVPN từ tệp cấu hình OpenVPN (xem Bước 1)
• Certificate Authority: Dán chứng chỉ TLS từ tệp cấu hình OpenVPN (xem Bước 1)

Nhấp vào Save sau khi hoàn tất.

4. Bắt đầu kết nối VPN

Để bắt đầu kết nối VPN vừa tạo, nhấp vào nút Start Now trên bất kỳ tab Cấu hình OpenVPN Client nào.

Để kiểm tra xem đã kết nối thành công chưa, truy cập tab Status. Cũng có thể kiểm tra xem VPN có hoạt động hay không bằng cách truy cập trình quét IP bảo mật miễn phí từ bất kỳ thiết bị nào trên mạng.

Lưu ý: nếu bắt đầu từ bản cài đặt FreshTomato mới hoặc sau khi đặt lại cứng bộ định tuyến, kết nối có thể thất bại do bộ định tuyến chưa được thiết lập thời gian chính xác. Khởi động lại bộ định tuyến thường sẽ khắc phục sự cố này bằng cách cập nhật ngày giờ từ internet, cho phép thiết lập kết nối VPN thành công.

Cách thiết lập công tắc ngắt trên bộ định tuyến FreshTomato

Công tắc ngắt trên bộ định tuyến là một tính năng bảo mật giúp ngăn các thiết bị kết nối với bộ định tuyến kết nối internet nếu kết nối VPN bị lỗi vì bất kỳ lý do nào.

Tìm hiểu thêm về công tắc ngắt

Để cấu hình công tắc ngắt trên bộ định tuyến FreshTomato, đi tới Administration → Scripts → Tường lửa.

Để tạo công tắc ngắt mà mọi thiết bị kết nối với bộ định tuyến sẽ mất kết nối internet nếu kết nối VPN bị lỗi, nhập các dòng sau:

WAN_IF=`nvram get wan_iface`
iptables -I FORWARD -i br0 -o $WAN_IF -j REJECT --reject-with icmp-host-prohibited
iptables -I FORWARD -i br0 -p tcp -o $WAN_IF -j REJECT --reject-with tcp-reset
iptables -I FORWARD -i br0 -p udp -o $WAN_IF -j REJECT --reject-with udp-reset

Để tạo công tắc ngắt mà chỉ các thiết bị kết nối với bộ định tuyến có địa chỉ IP được chỉ định bị mất kết nối internet nếu kết nối VPN bị lỗi, nhập các dòng sau:

WAN_IF=`nvram get wan_iface`
iptables -I FORWARD -i br0 -s `ip address` -o $WAN_IF -j REJECT --reject-with icmp-host-prohibited
iptables -I FORWARD -i br0 -s `ip address` -p tcp -o $WAN_IF -j REJECT --reject-with tcp-reset
iptables -I FORWARD -i br0 -s `ip address` -p udp -o $WAN_IF -j REJECT --reject-with udp-reset

Nhấp Lưu khi hoàn tất.