Подключение pfSense к Ideco UTM с использованием OpenVPN
По шагам ниже можно настроить peer-to-peer туннель между pfSense и Ideco UTM с использованием OpenVPN.
Объединяемые локальные сети не должны пересекаться!
Создание подключения на Ideco UTM
В веб-интерфейсе Ideco UTM откройте вкладку Сервисы -> Интерфейсы и нажмите на кнопку Добавить.
В поле Тип выберите OpenVPN.
Заполните поля:
Название интерфейса – любое;
Внешний IP-адрес этого филиала – IP-адрес внешнего интерфейса
Ideco UTM;
Порт на стороне интерфейса – по умолчанию 1194, можно указать
любой другой свободный;
Удалённая локальная сеть – здесь укажите адрес локальной подсети pfSense с маской (например, 192.168.105.0/24);
Удалённый внешний IP-адрес – IP-адрес внешнего интерфейса pfSense;
Удалённый порт – порт, который будет использован на pfSense при создании там OpenVPN-подключения.
Сгенерируйте ключ OpenVPN и скопируйте его для дальнейшей отправки на pfSense.
Нажмите на Сохранить, а затем на Применить конфигурацию.
Дождитесь окончания перезагрузки сервера.
Создание подключения на pfSense
На стороне pfSense необходимо установить клиентское OpenVPN-подключение к серверу Ideco UTM.
В веб-интерфейсе pfSense перейдите на вкладку VPN -> OpenVPN -> Clients и нажмите на Add, откроется форма добавления нового подключения.
Заполните поля в разделе General Information:
Server mode – Peer to Peer (Shared Key);
Protocol – UDP IPv4 and IPv6 on all interfaces (multihome);
Device mode – tun - Layer 3 Tunnel Mode;
Interface – WAN;
Local port – номер порта, который указали при создании подключения
на Ideco UTM в поле Удалённый порт;
Server host or address – IP-адрес внешнего интерфейса Ideco UTM;
Server port – номер порта, который указали при создании подключения на Ideco UTM в поле Порт на стороне интерфейса.
Остальные поля можно оставить пустыми. Ниже приведён скриншот с примером настроек.
Перейдите в раздел Cryptographic Settings. Здесь необходимо снять флажок с Auto generate и Enable NCP, а затем вставить сгенерированный на Ideco UTM ключ OpenVPN в появившееся поле Shared Key.
Далее выберите алгоритмы шифрования:
Encryption Algorithm – BF-CBC (128 bit key by default, 64 bit block);
Auth digest algorithm – SHA1 (160 bit).
На текущий момент установить связь возможно только с использованием указанных здесь алгоритмов.
Пример настроек данного раздела на скриншоте.
Осталось настроить раздел Tunnel Settings. Заполняем в нём поля следующим образом:
IPv4 Tunnel Network – здесь нужно указать ту сеть, которая на Ideco
UTM выделена для VPN-подключений (посмотреть можно, перейдя в
веб-интерфейсе Ideco UTM на вкладку Сервисы -> Авторизация пользователей);
IPv4 Remote network(s) – адрес локальной подсети Ideco UTM с маской
(например, 192.168.100.0/24);
Compression – Adaptive LZO Compression [Legasy style, comp-lzo
adaptive].
После завершения подключения, клиент pfSense, подключающийся к OpenVPN-серверу Ideco UTM, получит второй адрес из подсети для VPN-подключений (например, 10.128.0.2 из подсети 10.128.0.0/16).
Если в вашей сети такой адрес уже используется, как фиксированный для подключения какого-либо пользователя по VPN, либо вы хотите подключить несколько устройств, то нужно сменить туннельный IP на pfSense на любой свободный. Для этого в разделе Advanced Configuration нужно прописать: ifconfig 10.128.0.3 10.128.0.1
Здесь 10.128.0.3 – новый адрес для pfSense, а 10.128.0.1 – адрес OpenVPN-сервера Ideco UTM (первый адрес в выделенной подсети).
Пример итоговых настроек:
На этом настройка подключения завершена. Нажмите на Save, а затем перейдите на вкладку Status -> OpenVPN. Если подключение прошло успешно, то соединение будет выглядеть так:
Помните, что файрвол в pfSense по умолчанию запрещает весь трафик. Поэтому после создания подключения добавьте в него правило, разрешающее подключение на порт, выбранный для OpenVPN.
Теперь устройства из локальной сети Ideco UTM будут иметь доступ до локальной сети pfSense и наоборот. Таким способом можно подключить к Ideco UTM несколько устройств, однако необходимо:
для каждого нового подключения указывать отдельный порт;
на каждом новом устройстве pfSense прописывать свой туннельный IP из выделенной подсети.
Last updated
