如何在 pfSense 上使用 OpenVPN 設定 Proton VPN

閱讀: 2 分鐘
類別: 路由器

在本指南中，我們將向您展示如何使用 OpenVPN VPN 協定在 pfSense 23.09 和 pfSense 2.7.x 上設定 Proton VPN。這可以讓您的路由器透過 Proton VPN 連線保護任何與其連線的裝置。

進一步瞭解 OpenVPN

如果您使用的是 pfSense 2.7.x，我們建議改用 WireGuard® 協定。

另請注意，不建議在使用 OpenVPN 時進行多重連線。若有此使用需求，我們同樣建議使用 WireGuard。

開始之前，您需要：

全新安裝的 pfSense 23.09 或 pfSense 2.7.x
一台已連線至您的 LAN 網路的電腦，以便您存取 pfSense 前端介面
您的 OpenVPN 使用者名稱和密碼。這些與您平常的 Proton VPN 使用者名稱和密碼不同。若要尋找這些資訊，請登入 account.protonvpn.com 並前往帳號 → OpenVPN 使用者名稱。

1. 建立 OpenVPN 組態設定檔

請在 account.protonvpn.com 使用您的 Proton 帳號使用者名稱和密碼登入 Proton VPN，前往下載 → OpenVPN 組態設定檔，然後下載一個 OpenVPN 組態設定檔。請務必選擇平台：路由器。

瞭解如何從 Proton VPN 下載 OpenVPN 組態設定檔

若要設定 pfSense，您需要此組態設定檔中的 TLS 憑證(新視窗)。若要尋找該憑證，請在文字編輯器中開啟已下載的 OpenVPN 組態設定檔，並尋找以 —–BEGIN CERTIFICATE—- 開頭，並以 –—-END CERTIFICATE—– 結尾的文字。

您還需要 VPN 伺服器的 IP 位址和連接埠號碼。這些資訊可以在憑證中列出的第一個 remote 行中找到。第一個數字是 IP 位址，而第二個數字是連接埠號碼。在下方的範例中，IP 位址為 185.159.157.6，而連接埠號碼為 51820

最後，您還需要 OpenVPN Static key。其開頭為 —–BEGIN OpenVPN Static key V1—-，結尾為 —–END OpenVPN Static key V1—–。

2. 將 TLS 憑證加入 pfSense

在瀏覽器的網址列中輸入 192.168.1.1 以開啟 pfSense 網頁介面。登入並前往 System (系統) → Certificates (憑證) → Add → Import certificate (加入 → 匯入憑證)。

進行以下設定：

建立 / 編輯 CA。前往 Authorities → Add 並變更以下設定：

Descriptive name (描述性名稱)：這可以是任何您認為有用且可用於描述 Proton 的 TLS 憑證的名稱
Method (方法)：Import an existing Certificate Authority (匯入現有的憑證機構)

Existing Certificate Authority

複製您 OpenVPN 組態設定檔中的 TLS 憑證並貼在此處

完成後按一下儲存。

3. 設定 OpenVPN 用戶端

您現在將加入一個 OpenVPN 用戶端，以加密您的資料並將其經由通道傳輸至 VPN 伺服器。

前往 VPN → OpenVPN → Clients，按一下 Add，並設定以下設定：

一般資訊：

Description (描述)：為此組態選擇一個顯示名稱
Disabled (停用)：取消勾選

模式組態

Server Mode (伺服器模式)：Peer to Peer (SSL/TLS)
Device mode (裝置模式)：tun – 第 3 層通道模式

端點組態

Protocol (協定)：僅限 IPv4 的 UDP 或僅限 IPv4 的 TCP (由您選擇，但必須與您下載的組態設定檔相符)。進一步瞭解 UDP 與 TCP 的差異。
Interface (介面)：WAN
Local Port (本機連接埠)：-
Server host or address (伺服器主機或位址)：請參閱步驟 1 以尋找此資訊。
Server port (伺服器連接埠)：亦請參閱步驟 1 以尋找此資訊。
Proxy host or address (代理伺服器主機或位址)：-
Proxy port (代理伺服器連接埠)：-
Proxy Authentication (代理伺服器驗證)：none

使用者驗證設定

Username (使用者名稱)：您的 Proton VPN OpenVPN 使用者名稱
Password (密碼)：您的 Proton VPN OpenVPN 密碼
Authentication Retry (驗證重試)：保持未勾選

請記住：這些與您平常的 Proton VPN 使用者名稱和密碼不同。若要啟用其他功能，請在您的 OpenVPN 使用者名稱後方加入以下尾碼。

NetShield Ad-blocker: +f1
NetShield Ad-blocker 進階版 (僅適用於付費方案，亦可攔截惡意軟體和追蹤程式)：+f2

例如，若要啟用 NetShield Ad-blocker，請輸入使用者名稱+f1。

加密設定

Use a TLS Key (使用 TLS 金鑰)：已勾選
Automatically generate a TLS Key (自動產生 TLS 金鑰)：取消勾選
TLS Key (TLS 金鑰)：貼上來自 OpenVPN 組態設定檔的 OpenVPN Static key (請參閱步驟 1)
TLS Key Usage Mode：TLS 加密與驗證

TLS keydir direction：使用預設方向
Peer Certificate Authority：Proton AG（或您在第 2 步中使用的描述性名稱）
Peer Certificate Revocation List：保持不變
Client Certificate：無（需要使用者名稱和/或密碼）
Data Encryption Negotiation：已勾選
Data Encryption Algorithms：AES-256-GCM、CHACHA20-POLY1305
Fallback Data Encryption Algorithm：AES-256-GCM
Auth digest algorithm：SHA256 (256 位元)
Hardware Crypto：是否支援此功能取決於您的裝置。如果支援，必須先前往 System → Advanced → Miscellaneous 啟用。若有疑問，請選取 No hardware crypto acceleration。
Server Certificate Key Usage Validation：已勾選

隧道設定

IPv4 Tunnel Network：-
IPv6 Tunnel Network：-
IPv4 Remote network(s)：-
IPv6 Remote network(s)：-
Limit outgoing bandwidth：-（除非您有其他偏好）
Allow Compression：拒絕任何非 stub 壓縮（最安全）
Topology：子網路 — 每個用戶端在公共子網路中分配一個 IP 位址
Type of service：保持未勾選
Don’t pull routes：勾選
Don’t add/remove routes：保持未勾選
Pull DNS：勾選

Ping 設定

將所有項目保留為預設值。

進階組態

Custom Options：加入以下內容：

tun-mtu 1500;
mssfix 0;
reneg-sec 0;
remote-cert-tls server;

注意：這些組態設定會取代下方螢幕擷取畫面中顯示的設定。

為了提高連線的可靠性，請使用文字編輯器開啟您下載的 OpenVPN 組態檔案，並找到以 remote 開頭的行。從第二個 remote 行開始，將每行以 remote 開頭的內容複製到 pfSense 中的 Custom Options 欄位，並在後面加上分號。

UDP Fast I/O：已勾選
Exit Notify：已停用
Send/Receive Buffer：預設
Gateway creation：僅限 IPv4
Verbosity level：3（建議）

按一下 Save 並前往 Status → OpenVPN。您應該會看到新的 VPN 用戶端，其 Status 顯示為 up。

4. 設定 OpenVPN 介面

VPN 用戶端現在正在執行，但尚未引導任何流量。若要將您所有的網路流量經由安全的 Proton VPN 通道傳輸，您需要設定介面與防火牆規則。

前往 Interfaces → Interface Assignments → Available network ports，然後從下拉式功能表中選取您剛剛加入的 VPN 用戶端 → Add。

這將會建立一個名為 OPTx 的介面 (其中 x 取決於您的路由器有多少個實體介面)。按一下新建立的介面以進行設定。

前往 Interfaces 索引標籤，按一下 OPTx 並輸入以下組態設定：

一般組態：

Enable：已勾選
Description：為此介面選擇一個描述性名稱

保留網路：

Block bogon networks：勾選

其餘欄位保持不變。

按一下 Save 與 Apply Changes。

5. 設定防火牆規則

我們使用防火牆規則將所有流量引導至我們剛設定好的 Proton VPN 介面。前往 Firewall → NAT → Outbound，然後選取 Manual Outbound NAT rule generation。接著按一下 Save 與 Apply Changes。