Подключение pfSense к Ideco UTM с использованием OpenVPN

По шагам ниже можно настроить peer-to-peer туннель между pfSense и Ideco UTM с использованием OpenVPN.

Объединяемые локальные сети не должны пересекаться!

Создание подключения на Ideco UTM

  1. В веб-интерфейсе Ideco UTM откройте вкладку Сервисы -> Интерфейсы и нажмите на кнопку Добавить.

  2. В поле Тип выберите OpenVPN.

  3. Заполните поля:

    • Название интерфейса – любое;

    • Внешний IP-адрес этого филиала – IP-адрес внешнего интерфейса

      Ideco UTM;

    • Порт на стороне интерфейса – по умолчанию 1194, можно указать

      любой другой свободный;

    • Удалённая локальная сеть – здесь укажите адрес локальной подсети pfSense с маской (например, 192.168.105.0/24);

    • Удалённый внешний IP-адрес – IP-адрес внешнего интерфейса pfSense;

    • Удалённый порт – порт, который будет использован на pfSense при создании там OpenVPN-подключения.

  4. Сгенерируйте ключ OpenVPN и скопируйте его для дальнейшей отправки на pfSense.

  5. Нажмите на Сохранить, а затем на Применить конфигурацию.

  6. Дождитесь окончания перезагрузки сервера.

Создание подключения на pfSense

На стороне pfSense необходимо установить клиентское OpenVPN-подключение к серверу Ideco UTM.

В веб-интерфейсе pfSense перейдите на вкладку VPN -> OpenVPN -> Clients и нажмите на Add, откроется форма добавления нового подключения.

Заполните поля в разделе General Information:

  • Server mode – Peer to Peer (Shared Key);

  • Protocol – UDP IPv4 and IPv6 on all interfaces (multihome);

  • Device mode – tun - Layer 3 Tunnel Mode;

  • Interface – WAN;

  • Local port – номер порта, который указали при создании подключения

    на Ideco UTM в поле Удалённый порт;

  • Server host or address – IP-адрес внешнего интерфейса Ideco UTM;

  • Server port – номер порта, который указали при создании подключения на Ideco UTM в поле Порт на стороне интерфейса.

Остальные поля можно оставить пустыми. Ниже приведён скриншот с примером настроек.

Перейдите в раздел Cryptographic Settings. Здесь необходимо снять флажок с Auto generate и Enable NCP, а затем вставить сгенерированный на Ideco UTM ключ OpenVPN в появившееся поле Shared Key.

Далее выберите алгоритмы шифрования:

  • Encryption Algorithm – BF-CBC (128 bit key by default, 64 bit block);

  • Auth digest algorithm – SHA1 (160 bit).

На текущий момент установить связь возможно только с использованием указанных здесь алгоритмов.

Пример настроек данного раздела на скриншоте.

Осталось настроить раздел Tunnel Settings. Заполняем в нём поля следующим образом:

  • IPv4 Tunnel Network – здесь нужно указать ту сеть, которая на Ideco

    UTM выделена для VPN-подключений (посмотреть можно, перейдя в

    веб-интерфейсе Ideco UTM на вкладку Сервисы -> Авторизация пользователей);

  • IPv4 Remote network(s) – адрес локальной подсети Ideco UTM с маской

    (например, 192.168.100.0/24);

  • Compression – Adaptive LZO Compression [Legasy style, comp-lzo

    adaptive].

После завершения подключения, клиент pfSense, подключающийся к OpenVPN-серверу Ideco UTM, получит второй адрес из подсети для VPN-подключений (например, 10.128.0.2 из подсети 10.128.0.0/16).

Если в вашей сети такой адрес уже используется, как фиксированный для подключения какого-либо пользователя по VPN, либо вы хотите подключить несколько устройств, то нужно сменить туннельный IP на pfSense на любой свободный. Для этого в разделе Advanced Configuration нужно прописать: ifconfig 10.128.0.3 10.128.0.1 Здесь 10.128.0.3 – новый адрес для pfSense, а 10.128.0.1 – адрес OpenVPN-сервера Ideco UTM (первый адрес в выделенной подсети).

Пример итоговых настроек:

На этом настройка подключения завершена. Нажмите на Save, а затем перейдите на вкладку Status -> OpenVPN. Если подключение прошло успешно, то соединение будет выглядеть так:

Помните, что файрвол в pfSense по умолчанию запрещает весь трафик. Поэтому после создания подключения добавьте в него правило, разрешающее подключение на порт, выбранный для OpenVPN.

Теперь устройства из локальной сети Ideco UTM будут иметь доступ до локальной сети pfSense и наоборот. Таким способом можно подключить к Ideco UTM несколько устройств, однако необходимо:

  • для каждого нового подключения указывать отдельный порт;

  • на каждом новом устройстве pfSense прописывать свой туннельный IP из выделенной подсети.

Last updated