IPsec IKEv2 для мобильных клиентов в pfSense - настройка

IKEv2 (Internet Key Exchange version 2) - наиболее практичный протокол для организации VPN-доступа мобильных пользователей к корпоративной сети через pfSense. Ключевое преимущество IKEv2 перед другими протоколами удалённого доступа - встроенная поддержка во всех современных операционных системах: Windows 10/11, macOS, iOS и Android. Пользователям не требуется устанавливать сторонние VPN-клиенты - подключение выполняется средствами операционной системы.

Данное руководство описывает полный цикл настройки IPsec IKEv2 для мобильных клиентов в pfSense: от создания сертификатов до конфигурации клиентских устройств. Материал рассчитан на администраторов, знакомых с веб-интерфейсом pfSense и базовыми принципами PKI.

Преимущества IKEv2 для удалённого доступа

Перед выбором протокола удалённого доступа следует оценить преимущества IKEv2 по сравнению с альтернативами.

MOBIKE (IKEv2 Mobility and Multihoming Protocol, RFC 4555) позволяет VPN-соединению сохраняться при смене сетевого интерфейса - например, при переключении с Wi-Fi на мобильную сеть. Для мобильных пользователей это критически важная функция.

Подготовка сертификатов

IKEv2 для мобильных клиентов требует инфраструктуру открытых ключей (PKI). Необходимо создать три типа сертификатов: корневой сертификат центра сертификации (CA), серверный сертификат и пользовательские сертификаты (при использовании сертификатной аутентификации).

Создание центра сертификации (CA)

Перейдите в System > Cert. Manager > CAs и нажмите Add.

Нажмите Save. Корневой сертификат CA будет использоваться для подписания серверного и пользовательских сертификатов.

Создание серверного сертификата

Перейдите в System > Cert. Manager > Certificates и нажмите Add/Sign.

Внимание:

В поле Alternative Names необходимо добавить SAN (Subject Alternative Name) типа FQDN или IP Address, совпадающий с адресом, к которому подключаются клиенты. Без SAN клиенты Windows и iOS откажут в подключении. Если используется IP-адрес, добавьте SAN типа IP Address; если используется доменное имя - SAN типа FQDN.

Внимание:

Apple-устройства (macOS, iOS) не принимают серверные сертификаты с Lifetime более 825 дней. При превышении этого значения подключение завершится ошибкой проверки сертификата.

Создание пользовательских сертификатов

Пользовательские сертификаты необходимы только при использовании аутентификации на основе сертификатов. При использовании EAP-MSCHAPv2 (аутентификация по логину и паролю) этот шаг можно пропустить.

Для каждого пользователя перейдите в System > Cert. Manager > Certificates и нажмите Add/Sign.

Для экспорта пользовательского сертификата в формате PKCS#12 (.p12) перейдите в System > Cert. Manager > Certificates, найдите нужный сертификат и нажмите иконку экспорта PKCS#12. Этот файл содержит сертификат и закрытый ключ, защищённый паролем.

Настройка Mobile Clients

Конфигурация мобильных клиентов выполняется в разделе VPN > IPsec > Mobile Clients.

Вкладка Mobile Clients

Virtual Address Pool

Подсеть пула не должна пересекаться с существующими локальными подсетями.

DNS Servers

Нажмите Save. pfSense предложит создать Phase 1 - нажмите на ссылку для перехода к настройке.

Настройка Phase 1

Phase 1 для мобильных клиентов настраивается в разделе VPN > IPsec > Tunnels. После сохранения настроек Mobile Clients pfSense автоматически создаёт запись Phase 1 с типом mobile.

Рис. 1. Настройка Phase 1 для мобильных клиентов

General Information

Phase 1 Proposal - Authentication

При использовании сертификатной аутентификации вместо EAP-MSCHAPv2 выберите Authentication Method: Mutual RSA и укажите соответствующий CA для проверки клиентских сертификатов.

Внимание:

При использовании EAP-MSCHAPv2 необходимо создать пользователей в System > User Manager с паролями. Эти учётные данные используются для аутентификации VPN-подключений.

Phase 1 Proposal - Encryption Algorithm

Для совместимости с более широким спектром клиентов допускается добавление дополнительных Encryption Algorithm. Рекомендуемый набор:

Expiration and Replacement

Advanced Options

Внимание:

MOBIKE необходимо включить для мобильных клиентов. Без MOBIKE VPN-соединение разрывается при смене сети (например, при переходе с Wi-Fi на LTE).

Настройка Phase 2

После сохранения Phase 1 необходимо создать Phase 2. Нажмите Show Phase 2 Entries, затем Add P2.

Рис. 2. Настройка Phase 2 для мобильных клиентов

General Information

При необходимости доступа к нескольким подсетям (LAN, DMZ, серверная сеть) следует создать отдельную запись Phase 2 для каждой подсети.

Phase 2 Proposal

Expiration and Replacement

Правила файрвола

Для работы IKEv2 VPN необходимо создать правила на двух вкладках: WAN и IPsec.

Правила на WAN-интерфейсе

На WAN-интерфейсе должен быть разрешён входящий трафик для установления IKE-соединений.

pfSense автоматически создаёт правила для IKE-трафика при наличии настроенных IPsec-туннелей. Однако при использовании плавающих правил или нестандартной конфигурации файрвола может потребоваться явное добавление этих правил.

Правила на вкладке IPsec

Вкладка Firewall > Rules > IPsec управляет трафиком, проходящим через VPN-туннель. По умолчанию весь трафик блокируется.

Минимальный набор правил:

В производственной среде рекомендуется ограничивать правила конкретными протоколами и портами. Например, разрешить только DNS (UDP/TCP 53), RDP (TCP 3389), SSH (TCP 22) и HTTPS (TCP 443).

Более подробно о правилах файрвола описано в разделе Правила файрвола pfSense .

Настройка клиентов

Windows 10/11

Windows 10 и 11 поддерживают IKEv2 через встроенный VPN-клиент. Для подключения необходимо импортировать сертификат CA и создать VPN-подключение.

Импорт сертификата CA

1. Экспортируйте сертификат CA из pfSense: System > Cert. Manager > CAs - нажмите иконку экспорта CA Certificate.
2. Скопируйте файл .crt на компьютер с Windows.
3. Откройте файл .crt двойным щелчком.
4. Нажмите Install Certificate.
5. Выберите Local Machine и нажмите Next.
6. Выберите Place all certificates in the following store и нажмите Browse.
7. Выберите Trusted Root Certification Authorities и нажмите OK.
8. Нажмите Next, затем Finish.

Внимание:

Сертификат CA необходимо установить в хранилище Trusted Root Certification Authorities компьютера (Local Machine), а не пользователя (Current User). В противном случае Windows не сможет проверить серверный сертификат.

Создание VPN-подключения

1. Откройте Settings > Network & Internet > VPN.
2. Нажмите Add a VPN connection.
3. Заполните параметры:

4. Нажмите Save.
5. Для подключения нажмите на созданное VPN-соединение и нажмите Connect.

Усиление безопасности на Windows

По умолчанию Windows может использовать слабые алгоритмы шифрования. Для принудительного использования стойких алгоритмов выполните в PowerShell от имени администратора:

Set-VpnConnectionIPsecConfiguration -ConnectionName "Office VPN" `
    -AuthenticationTransformConstants GCMAES256 `
    -CipherTransformConstants GCMAES256 `
    -EncryptionMethod AES256 `
    -IntegrityCheckMethod SHA256 `
    -DHGroup Group14 `
    -PfsGroup PFS2048 `
    -Force

macOS

macOS поддерживает IKEv2 через встроенные средства. Для настройки необходимо импортировать сертификат CA и создать сетевой профиль.

Импорт сертификата CA

1. Экспортируйте сертификат CA из pfSense в формате .crt.
2. Откройте файл на macOS - откроется Keychain Access.
3. Добавьте сертификат в System keychain.
4. Откройте добавленный сертификат двойным щелчком.
5. В разделе Trust установите When using this certificate в значение Always Trust.
6. Закройте окно и введите пароль администратора для подтверждения.

Создание VPN-подключения

1. Откройте System Settings > VPN (macOS 13+) или System Preferences > Network (macOS 12 и ранее).
2. Нажмите Add VPN Configuration > IKEv2.
3. Заполните параметры:

4. Нажмите Create.
5. Для подключения переключите переключатель VPN-соединения.

iOS

iOS поддерживает IKEv2 без установки дополнительных приложений.

Установка профиля с CA-сертификатом

1. Экспортируйте сертификат CA из pfSense.
2. Отправьте файл .crt на устройство (через AirDrop, email или веб-сервер).
3. Откройте файл на устройстве - появится предложение установить профиль.
4. Перейдите в Settings > General > VPN & Device Management.
5. Нажмите на загруженный профиль и нажмите Install.
6. После установки перейдите в Settings > General > About > Certificate Trust Settings.
7. Включите доверие к установленному CA-сертификату.

Создание VPN-подключения

1. Перейдите в Settings > General > VPN & Device Management > VPN.
2. Нажмите Add VPN Configuration.
3. Заполните параметры:

4. Нажмите Done.
5. Для подключения переключите переключатель VPN в настройках.

Android

Android поддерживает IKEv2 начиная с версии 11 через встроенный VPN-клиент. Для более ранних версий потребуется приложение strongSwan VPN Client из Google Play.

Android 11 и новее (встроенный клиент)

1. Экспортируйте сертификат CA из pfSense.
2. Перейдите в Settings > Security > Encryption & credentials > Install a certificate.
3. Выберите CA certificate и установите файл .crt.
4. Перейдите в Settings > Network & Internet > VPN.
5. Нажмите + для добавления нового VPN-профиля.
6. Заполните параметры:

7. Нажмите Save.

strongSwan VPN Client (Android 10 и ранее)

1. Установите strongSwan VPN Client из Google Play.
2. Импортируйте сертификат CA через приложение.
3. Создайте новый VPN-профиль:

4. Нажмите Save и подключитесь.

Split Tunnel и Full Tunnel

Режим туннелирования определяет, какой трафик клиента проходит через VPN.

Full Tunnel

При полном туннелировании весь трафик клиента направляется через VPN, включая доступ в интернет. Этот режим обеспечивает максимальную защиту, но увеличивает нагрузку на VPN-сервер и канал связи.

Для настройки Full Tunnel:

1. В VPN > IPsec > Mobile Clients снимите флажок Provide a list of accessible networks to clients.
2. В Phase 2 установите Local Network в значение Network / 0.0.0.0/0.
3. Настройте правило NAT для исходящего трафика VPN-клиентов: Firewall > NAT > Outbound - добавьте правило для подсети 10.10.10.0/24 с интерфейсом WAN.

Внимание:

При Full Tunnel необходимо настроить Outbound NAT для подсети VPN-клиентов, иначе VPN-клиенты не получат доступ в интернет через туннель.

Split Tunnel

При раздельном туннелировании через VPN проходит только трафик к указанным сетям. Остальной трафик (включая интернет) идёт через обычное подключение клиента.

Для настройки Split Tunnel:

1. В VPN > IPsec > Mobile Clients установите флажок Provide a list of accessible networks to clients.
2. В Phase 2 создайте отдельную запись для каждой защищаемой подсети (например, 10.1.0.0/24 для LAN, 10.2.0.0/24 для серверной сети).
3. Список подсетей из Phase 2 будет автоматически передан клиентам.

Особенности DNS при Split Tunnel

При Split Tunnel DNS-запросы могут направляться как через VPN, так и через локальное подключение. Это создаёт риск утечки DNS - запросы к внутренним доменам могут уходить через провайдера.

Для минимизации утечки DNS:

• Передавайте клиентам DNS-сервер через настройки Mobile Clients.
• На Windows: используйте параметр NRPT (Name Resolution Policy Table) для маршрутизации DNS-запросов к конкретным доменам через VPN.
• На macOS/iOS: DNS-трафик к указанному серверу автоматически направляется через VPN при корректной настройке маршрутов.

Устранение неполадок

Клиент не может подключиться

Ошибки сертификатов

Ошибки EAP

Подключение установлено, но нет доступа к ресурсам

Диагностические команды

# View active IKEv2 sessions
ipsec statusall

# View connected mobile clients
ipsec leases

# View IPsec logs in real time
clog -f /var/log/ipsec.log

# Restart IPsec service
ipsec restart

Связанные разделы

• IPsec Site-to-Site VPN в pfSense - настройка site-to-site туннелей, терминология IPsec и общие принципы конфигурации
• Диагностика IPsec VPN в pfSense - систематическая диагностика IPsec, анализ логов и устранение ошибок Phase 1/Phase 2
• Правила файрвола pfSense - принципы создания и управления правилами файрвола для VPN-трафика