Deze handleiding gebruikt pfSense versie 2.8.0. Het volgende is vereist om FastVPN te laten werken met een pfSense-router:
Een beveiligde FastVPN-verbinding (Heb je er nog geen? Meld je aan hier);
Internettoegang op pfSense;
Toegang tot je FastVPN Accountpaneel;
Beheertoegang tot de pfSense-webinterface,
Toegang tot pfSense-webinterface
Maak verbinding met je lokale netwerk.
Open een webbrowser.
Voer het IP-adres van de pfSense-router (meestal 192.168.1.1) in de adresbalk in.
Log in met je beheerdersgegevens.
Let op: Weet je het IP-adres of de inloggegevens van de router niet? Controleer dan je lokale netwerkinstellingen of vraag het aan je netwerkbeheerder.
1. Maak een CA-certificaat aan
In je pfSense-webinterface, klik op Systeem / Certificaten / Autoriteiten en klik vervolgens op +Toevoegen.
Voer in het veld Beschrijving de CA-naam in (dit mag alles zijn, bijvoorbeeld “CA_NCVPN_CERT”).
In het veld Methode kies je voor Bestaande Certificate Authority importeren. Kopieer en plak het certificaat van hier in het veld Certificaatgegevens.
Klik op Opslaan.
2. Voeg een VPN-verbinding toe
In dit voorbeeld maken we de VPN-verbinding met de New York-server (nyc-c19.vpn.wlvpn.com). Je kunt domeinnamen van andere locaties vinden in je FastVPN Accountpaneel.
Klik op VPN / OpenVPN / Clients / +Toevoegen & voer de volgende configuratie in:
Algemene informatie:
- Omschrijving: NYC VPN
- Uitgeschakeld: niet aanvinken
Modusconfiguratie:
- Servermodus: Peer to Peer (SSL/TLS)
- Apparaatmodus: tun - Layer 3 Tunnelmodus
Eindpuntconfiguratie:
- Protocol: TCP alleen op IPv4 (je kunt ook UDP gebruiken)
- Interface: WAN
- Lokale poort: leeg laten
- Serverhost of adres: nyc-c19.vpn.wlvpn.com (kies een andere serverlocatie uit het FastVPN Accountpaneel)
- Serverpoort: 443 (1194 voor UDP)
- Proxyhost of adres: leeg laten
- Proxy-authenticatie: geen
Gebruikersauthenticatie-instellingen:
- Voer je FastVPN-netwerkinloggegevens in, beschikbaar via het FastVPN Accountpaneel, gebruikersnaam & wachtwoord
- Authenticatie opnieuw proberen: niet aanvinken
Cryptografische instellingen:
- TLS-configuratie: niet aangevinkt
- TLS keydir-richting: Standaardrichting gebruiken
- Peer Certificate Authority: CA_NCVPN_CERT (certificaat dat we bij stap 1 hebben aangemaakt)
- Clientcertificaat: Geen
- Data-encryptie-algoritmen: [geen] -> AES-128-GCM, AES-256-GCM, AES-256-CBC
- Fallback data-encryptie-algoritme: AES-256-CBC
- Auth digest-algoritme: SHA512 (512-bit)
- Server Certificate Key Usage Validation: aangevinkt
Tunnelinstellingen:
- IPv4-tunnelnetwerk: leeg laten
- IPv6-tunnelnetwerk: leeg laten
- IPv4 extern netwerk(en): leeg laten
- IPv6 extern netwerk(en): leeg laten
- Uitgaande bandbreedte beperken: leeg laten
- Compressie toestaan: Weiger elke niet-stub-compressie (Meest veilig)
- Topologie: Subnet – Eén IP-adres per client in een gemeenschappelijk subnet
- Type-of-Service: Niet selecteren
- Geen routes ophalen: Niet selecteren
- Geen routes toevoegen/verwijderen: Niet selecteren
- DNS ophalen: niet aangevinkt
Geavanceerde configuratie:
- Aangepaste opties (scheiden met een puntkomma):
remote-cert-tls server;
auth SHA256;
data-ciphers AES-256-GCM:AES-256-CBC;
data-ciphers-fallback AES-256-CBC;
Persist-key;
redirect-gateway def1;
resolv-retry infinite;
route-delay 2;
route-metric 1;
topology subnet;
tun-mtu 1400;
verb 3;
- Verzenden/Ontvangen buffer: Standaard
- Gateway aanmaken: Alleen IPv4
- Verbosity-niveau: 3 (Aanbevolen)
Klik op Opslaan
3. OpenVPN-interface aanmaken
Navigeer naar Interfaces
Selecteer Toewijzingen
Klik op de knop + Toevoegen
Klik op “OPT1” aan de linkerkant van het scherm Interface-toewijzingen
Algemene configuratie
- Inschakelen: aanvinken
- Beschrijving: VPN_NYC
- MTU: laat leeg
- MSS: laat leeg
- Scroll naar beneden en klik op de Opslaan knop
- Klik op Wijzigingen toepassen om de aangebrachte wijzigingen door te voeren. Je krijgt een bevestigingsbericht dat de aanpassingen zijn gemaakt.
4. NAT configureren
Navigeer naar het tabblad "Firewall" en selecteer "NAT".
Selecteer het tabblad Outbound.
Vink Hybride Outbound NAT-regel generatie
(Automatische Outbound NAT + onderstaande regels).
Opslaan van je wijzigingen en klik op de Wijzigingen toepassen knop.
De volgende stap is het bewerken van de bestaande regels.
Klik op de Toevoegen knop
Configuraties:
Interface: VPN_NYC
Bron: LAN-subnets
Translatie/Adres: VPN_NYC-adres
Scroll naar beneden en klik op de Opslaan knop
Klik op Wijziging toepassen
5. Firewall-instelling:
pfSense is een systeem met een goed beveiligingsniveau; daarom moet je enkele regels instellen om gebruikers in staat te stellen verbinding te maken met VPN en met andere systemen in het LAN:
Eerste regel
Ga naar Firewall / Regels / LAN
Klik op de Toevoegen knop
Firewallregel bewerken
- Actie: Toestaan
- Uitgeschakeld: niet aangevinkt
- Interface: LAN
- Adresfamilie: IPv4
- Protocol: Alles
Bron
- LAN-subnetten
Bestemming
- Bestemming: Alles
Extra opties
- Omschrijving: Sta LAN naar VPN toe
Geavanceerde opties
- Gateway: VPN_NYC_VPNV4-172.21.86.1-Interface…
Scroll naar beneden en klik op de knop Opslaan
Klik op Wijzigingen toepassen
Tweede regel
Ga naar Firewall / Regels / LAN
Klik op de knop Toevoegen
Firewallregel bewerken
- Actie: Blokkeren
- Uitgeschakeld: niet aangevinkt
- Interface: LAN
- Adresfamilie: IPv4
- Protocol: Alles
Bron
- LAN-subnetten
Bestemming
- Bestemming: Alles
Extra opties
- Omschrijving: Blokkeer LAN naar WAN als VPN faalt
Geavanceerde opties
- Gateway: Standaard
Scroll naar beneden en klik op de knop Opslaan
Klik op Wijzigingen toepassen
Firewallregels moeten correct geordend zijn: de ‘Pass to VPN’-regel moet boven de ‘Block to WAN’-regel staan. pfSense verwerkt regels van boven naar beneden, dus de volgorde is belangrijk.
Dat is alles! De pfSense VPN-installatie is voltooid en je zou nu een FastVPN-verbinding moeten hebben
Heb je verdere hulp nodig? Neem dan contact op met ons Supportteam.