pfSense: установка OpenVPN-сервера

MAATRIX

Если у вас уже стоит pfSense как шлюз или на выделенном сервере, поднимать отдельный OpenVPN-сервис нет смысла — в pfSense есть встроенный OpenVPN Server Wizard, который за десяток экранов создаёт CA, серверный сертификат, конфигурацию туннеля и добавляет нужные правила файрвола. Ниже — весь путь от чистой установки pfSense до рабочего .ovpn-файла в руках клиента, с пояснением, что мастер делает под капотом и где чаще всего ошибаются.

Что понадобится перед началом

Прежде чем открывать мастер, разберитесь с тремя вещами — от них зависит, какие поля вписывать в мастер, и переделывать потом не хочется.

• Версия pfSense. Инструкция актуальна для pfSense CE 2.7.x и Plus 24.x — интерфейс мастера в этих ветках идентичен. Если у вас более старая 2.4/2.5, экраны те же по смыслу, но названия некоторых полей отличаются.
• Публичный адрес или DNS-имя. Клиентам нужно куда-то подключаться. Подойдёт статический белый IP WAN-интерфейса или DNS-имя, если IP может меняться (DDNS настраивается в pfSense отдельно, в Services > Dynamic DNS).
• Свободный UDP-порт. По умолчанию OpenVPN слушает 1194/UDP. Если сервер уже держит другие сервисы или провайдер режет нестандартные порты, заранее решите, на каком порту будет висеть VPN — это можно указать в мастере.
• Схема адресации. Понадобится диапазон для VPN-туннеля (Tunnel Network, например 10.10.10.0/24) и адрес(а) локальной сети, которую клиенты должны увидеть после подключения (Local Network, например 192.168.1.0/24). Диапазон туннеля не должен пересекаться с уже используемыми сетями.

Если вы разворачиваете pfSense с нуля на арендованном сервере, сначала убедитесь, что WAN и LAN интерфейсы назначены правильно и в файрволе есть базовое правило на LAN, разрешающее исходящий трафик — без этого мастер отработает, но у клиентов может не быть интернета через туннель.

Запуск OpenVPN Server Wizard

Мастер находится в VPN > OpenVPN, вкладка Wizards. Логика следующая:

1. Type of Server — выбираете тип центра сертификации. Если CA ещё нет, оставляете Create a new Certificate Authority. Если в организации уже есть внутренний CA и вы хотите использовать его — Use an existing Certificate Authority.
2. Certificate Authority — заполняете Descriptive name (например, MAATRIX-VPN-CA), срок действия (Lifetime, по умолчанию 3650 дней — этого достаточно на годы вперёд) и поля Country Code, State, City, Organization. Значения не критичны технически, но лучше вписать реальные — они попадут в сертификаты, и по ним удобно ориентироваться в списке.
3. Server Certificate — аналогично, но для серверного сертификата. Descriptive name стоит сделать говорящим, например server-ovpn-vpn1.
4. General OpenVPN Server Information — здесь основные параметры сервера:

• Interface — обычно WAN;
• Protocol — UDP (TCP оставляйте только если UDP жёстко блокируется у клиентов, TCP даёт заметно бо́льшие задержки при потерях пакетов);
• Local port — порт, который решили выше;
• Description — произвольное имя сервера.

На этом же экране мастер попросит выбрать шифрование и параметры туннеля — разберём их отдельно ниже, потому что здесь чаще всего ошибаются с выбором дефолтов.

Параметры туннеля и шифрования

В блоке Cryptographic Settings мастера обратите внимание на четыре поля:

Дальше — сетевые параметры:

• Tunnel Network — например 10.10.10.0/24. Это адреса, которые получат клиенты внутри туннеля.
• Redirect Gateway — включайте только если хотите завернуть *весь* трафик клиента через VPN (полноценный full-tunnel). Для доступа только к локальной сети офиса оставьте выключенным.
• Local Network — 192.168.1.0/24 (или ваша LAN-подсеть). pfSense сам добавит маршрут, чтобы клиенты видели эту сеть.
• Concurrent Connections — максимум одновременных клиентов, по умолчанию 2, обычно стоит поднять до реального числа пользователей плюс запас.
• DNS Default Domain / DNS Server — если хотите, чтобы клиенты резолвили внутренние имена или получали ваш DNS вместо DNS провайдера, укажите здесь IP DNS-сервера (можно сам pfSense, если на нём поднят Unbound/DNS Resolver).

После заполнения мастер покажет финальный экран Firewall Rule Configuration — на нём два чекбокса: разрешить входящий OpenVPN-трафик на WAN и разрешить трафик из туннеля дальше в сеть. Оставьте оба включёнными для типовой схемы удалённого доступа.

Проверка и донастройка сертификатов и CA

Мастер создаёт CA и серверный сертификат автоматически, но стоит один раз заглянуть в System > Certificate Manager, чтобы понимать структуру:

• Вкладка CAs — здесь ваш корневой CA, от него будут подписываться все клиентские сертификаты.
• Вкладка Certificates — серверный сертификат с флагом Server Certificate в Type/Usage. Проверьте Valid Until — если срок жизни CA меньше, чем у сертификата, при выпуске получите ошибку.
• Вкладка Certificate Revocation — тут потом отзываете сертификаты уволенных сотрудников или скомпрометированные ключи. Список отзыва (CRL) нужно будет привязать к серверу VPN в VPN > OpenVPN > Servers, иначе отозванный сертификат продолжит пускать в сеть.

Если структура организации предполагает несколько групп доступа (например, «офис» и «подрядчики» с разными правами), проще сразу создать отдельные Tunnel Network для второго сервера OpenVPN, чем городить сложные firewall-правила поверх одной сети — в pfSense можно поднять несколько независимых OpenVPN-серверов на разных портах.

Правила файрвола для OpenVPN-интерфейса

Мастер добавляет правило на WAN, разрешающее входящий UDP на выбранный порт, — этого достаточно, чтобы сервер принимал подключения. Но по умолчанию сам туннель после подключения клиента ничего никуда не пускает, пока вы не назначите интерфейс и не добавите правила на нём:

1. Interfaces > Assignments — добавьте новый интерфейс, выбрав в списке ovpns1 (виртуальный интерфейс OpenVPN-сервера). Назовите его понятно, например OpenVPN.
2. Interfaces > OpenVPN — включите интерфейс (Enable interface), сохраните.
3. Firewall > Rules > OpenVPN — добавьте правило:

Action:      Pass
Interface:   OpenVPN
Protocol:    any
Source:      OpenVPN net (10.10.10.0/24)
Destination: any (или конкретно LAN net, если нужен доступ только к локалке)

Без этого шага клиент подключится к VPN, получит IP из туннеля, но дальше пакеты никуда не пройдут — частая причина жалоб «VPN подключился, а интернета/сети нет». Логика та же, что и в правилах для обычного WireGuard-туннеля: проверка DNS leak и закрытие через VPN тоже требует явных правил на интерфейсе, а не только на WAN.

Выдача клиентских сертификатов и экспорт конфигов

Каждому пользователю нужен собственный сертификат, подписанный тем же CA, — так вы сможете отзывать доступ точечно, не трогая остальных.

1. System > User Manager > Users > Add — создаёте пользователя, ставите галочку Click to create a user certificate, выбираете созданный CA, задаёте Key length (2048 или 4096 бит) и срок жизни сертификата.
2. Установите пакет openvpn-client-export через System > Package Manager, если его ещё нет.
3. После установки в VPN > OpenVPN > Client Export появляется список пользователей с готовыми сертификатами — напротив каждого есть кнопки для скачивания .ovpn-файла (inline-конфиг со встроенными сертификатами) либо готовых установщиков для Windows/macOS.
4. Готовый .ovpn можно сразу отдавать пользователю — он открывается в официальном клиенте OpenVPN Connect или в Tunnelblick на macOS без ручной сборки конфига.

Если пользователей много и сертификаты нужно выдавать регулярно, схема с несколькими сертификатами под одним CA — это, по сути, ручной аналог того, что описано в статье про multi-user сертификаты через easy-rsa: те же принципы, только с графическим интерфейсом вместо командной строки. Если после экспорта клиент не может подключиться, начните диагностику с проверки правил файрвола на интерфейсе OpenVPN, а частые причины разрыва при рукопожатии разобраны в статье про ошибку TLS handshake failed.

Частые вопросы