OpenVPN сервер удаленного доступа в pfSense - руководство

OpenVPN - наиболее распространённое решение для организации удалённого доступа сотрудников к корпоративной сети через pfSense. Протокол работает в пространстве пользователя, использует SSL/TLS для шифрования и способен функционировать через TCP 443, что позволяет устанавливать соединения даже из сетей с жёсткими ограничениями на исходящий трафик. В pfSense настройка OpenVPN-сервера удалённого доступа выполняется двумя способами: через встроенный визард (мастер настройки) или вручную с полным контролем над каждым параметром.

Данное руководство описывает оба подхода: от подготовки инфраструктуры сертификатов до диагностики типичных проблем подключения. Материал рассчитан на сетевых инженеров с опытом администрирования pfSense и базовым пониманием принципов SSL/TLS.

Подготовка сертификатов

OpenVPN в режиме SSL/TLS требует инфраструктуру открытых ключей (PKI): центр сертификации (CA), серверный сертификат и индивидуальные сертификаты для каждого пользователя. Все операции с сертификатами выполняются через веб-интерфейс pfSense.

Создание центра сертификации (CA)

Центр сертификации создаётся в разделе System > Certificates > Authorities.

1. Нажать Add для создания нового CA.
2. Заполнить параметры:

3. Нажать Save.

Создание серверного сертификата

Серверный сертификат создаётся в разделе System > Certificates > Certificates.

1. Нажать Add/Sign.
2. Заполнить параметры:

3. Нажать Save.

Создание пользовательских сертификатов

Для каждого пользователя VPN необходим индивидуальный сертификат. Создание выполняется в разделе System > User Manager.

1. Открыть существующего пользователя или создать нового.
2. В секции User Certificates нажать Add.
3. Выбрать Method: Create an internal Certificate.
4. Указать Certificate authority: OpenVPN-CA.
5. Установить Certificate Type: User Certificate.
6. Нажать Save.

Внимание:

Каждому пользователю следует выдавать индивидуальный сертификат. Использование одного сертификата для нескольких пользователей лишает возможности отозвать доступ конкретному сотруднику без влияния на остальных.

Настройка через визард

OpenVPN Wizard - наиболее быстрый способ развернуть сервер удалённого доступа. Визард автоматически создаёт CA, серверный сертификат, экземпляр сервера и базовые правила файрвола.

Визард запускается через VPN > OpenVPN > Wizards.

Рис. 1. Стартовая страница OpenVPN Wizard в pfSense

Шаг 1 - Тип аутентификации

Визард предлагает выбор backend-сервера аутентификации:

• Local User Access - аутентификация через локальную базу pfSense. Подходит для небольших организаций (до 20 пользователей).
• LDAP - аутентификация через Active Directory или OpenLDAP. Рекомендуется при наличии существующей каталожной службы.
• RADIUS - аутентификация через RADIUS-сервер (FreeRADIUS, NPS). Обеспечивает наибольшую гибкость, включая поддержку OTP.

Шаг 2 - Сертификаты

При выборе Local User Access визард предложит создать CA и серверный сертификат. Если CA уже существует, допускается использование ранее созданного.

Шаг 3 - Параметры сервера

Визард предлагает заполнить основные параметры сервера OpenVPN:

Шаг 4 - Правила файрвола

Визард предлагает автоматически создать:

• Firewall Rule - правило на интерфейсе WAN для входящих подключений на порт 1194/UDP.
• OpenVPN Rule - правило на виртуальном интерфейсе OpenVPN, разрешающее трафик из VPN-подсети в локальную сеть.

Рекомендуется разрешить визарду создать оба правила, а затем скорректировать их при необходимости.

Внимание:

Визард не создаёт правила для разрешения трафика между VPN-клиентами (client-to-client). Если взаимодействие клиентов требуется, необходимо настроить его вручную.

Ручная настройка сервера

Ручная настройка выполняется в разделе VPN > OpenVPN > Servers. Нажать Add для создания нового экземпляра сервера.

Рис. 2. Параметры OpenVPN-сервера в pfSense

General Information

Cryptographic Settings

Tunnel Settings

Client Settings

Advanced Configuration

В поле Custom options допускается указание директив OpenVPN, не представленных в интерфейсе:

push "dhcp-option DOMAIN-SEARCH corp.example.com";
push "dhcp-option DOMAIN-SEARCH dev.example.com";
auth-gen-token 0 external-auth;
reneg-sec 3600;

Правила файрвола

Для корректной работы OpenVPN-сервера удалённого доступа необходимы правила на двух интерфейсах.

Правила на интерфейсе WAN

Разрешение входящих подключений к серверу OpenVPN:

При использовании нескольких WAN-интерфейсов (Multi-WAN) правило создаётся на каждом интерфейсе, через который допускаются VPN-подключения. Подробнее о правилах файрвола - в разделе Правила файрвола в pfSense .

Правила на интерфейсе OpenVPN

После создания сервера в pfSense появляется виртуальный интерфейс OpenVPN. По умолчанию на нём отсутствуют разрешающие правила - весь трафик из VPN-туннеля будет блокироваться.

Минимальное правило для доступа к локальной сети:

Внимание:

Правило Source: Any / Destination: Any на интерфейсе OpenVPN разрешит VPN-клиентам неограниченный доступ ко всем ресурсам, включая управление pfSense. Следует ограничивать доступ конкретными подсетями и портами в соответствии с принципом наименьших привилегий.

Split Tunnel и Full Tunnel

Режим туннелирования определяет, какой трафик клиента проходит через VPN.

Split Tunnel (раздельное туннелирование)

В режиме Split Tunnel через VPN передаётся только трафик, предназначенный для корпоративных подсетей, указанных в поле IPv4 Local Network(s). Весь остальной трафик (интернет, публичные ресурсы) проходит через локальный шлюз клиента.

Преимущества:

• Снижение нагрузки на VPN-канал и корпоративный интернет-шлюз.
• Сохранение доступа к локальным ресурсам (принтеры, IoT-устройства).
• Уменьшение задержки при работе с публичными сервисами.

Full Tunnel (полное туннелирование)

В режиме Full Tunnel весь клиентский трафик, включая интернет-трафик, маршрутизируется через VPN. Для активации установить флаг Redirect IPv4 Gateway в настройках сервера.

Преимущества:

• Весь трафик проходит через корпоративную систему фильтрации и инспекции.
• Защита клиентов от атак в недоверенных сетях (публичный Wi-Fi).
• Единообразное применение политик безопасности.

Дополнительно необходимо настроить DNS-серверы через push-опции, чтобы предотвратить утечку DNS-запросов:

push "dhcp-option DNS 10.1.0.1";
push "block-outside-dns";

Директива block-outside-dns работает только на Windows-клиентах и предотвращает использование DNS-серверов, полученных от локальной сети.

Комбинированный подход

Для отдельных пользователей допускается переопределение режима через Client Specific Overrides. Например, сотрудники ИБ-отдела могут использовать Full Tunnel, а остальные - Split Tunnel.

Client Specific Overrides

Механизм Client Specific Overrides позволяет задать индивидуальные параметры для конкретных VPN-клиентов. Настройка выполняется в разделе VPN > OpenVPN > Client Specific Overrides.

Назначение фиксированного IP-адреса

Для привязки постоянного IP-адреса к конкретному пользователю:

1. Создать запись в Client Specific Overrides.
2. В поле Common Name указать CN из сертификата пользователя (обычно совпадает с именем пользователя).
3. В поле Advanced указать:

ifconfig-push 10.8.0.100 255.255.255.0;

Предоставление доступа к дополнительным подсетям

Для маршрутизации трафика из подсети за клиентом (например, при работе из домашнего офиса с локальной сетью):

iroute 192.168.100.0 255.255.255.0;
push "route 192.168.100.0 255.255.255.0";

Внимание:

Директива iroute действует только внутри OpenVPN и должна сопровождаться соответствующим маршрутом на уровне сервера (поле IPv4 Remote Network(s) или push "route ..."), а также правилом файрвола, разрешающим трафик в указанную подсеть.

Переопределение DNS и шлюза

Для конкретного пользователя допускается переопределение DNS-серверов и режима туннелирования:

push "dhcp-option DNS 10.1.0.53";
push "redirect-gateway def1";
push "block-outside-dns";

Многофакторная аутентификация

Базовая аутентификация по сертификату и паролю обеспечивает два фактора: владение (сертификат) и знание (пароль). Для дополнительного усиления рекомендуется добавить одноразовые пароли (TOTP).

TOTP через FreeRADIUS

1. Установить пакет FreeRADIUS через System > Package Manager.
2. Настроить RADIUS-сервер на интерфейсе localhost (127.0.0.1), порт 1812.
3. Создать пользователей с OTP-профилями - каждый пользователь получает секрет для генерации TOTP (совместим с Google Authenticator, Microsoft Authenticator).
4. В настройках OpenVPN-сервера установить Backend for authentication на RADIUS и указать параметры FreeRADIUS.

При аутентификации пользователь вводит пароль в формате <password><TOTP-code> (конкатенация основного пароля и шестизначного кода).

LDAP с двухфакторной аутентификацией

При использовании LDAP (Active Directory) двухфакторная аутентификация реализуется через:

• Duo Security - пакет доступен в pfSense, обеспечивает push-уведомления.
• RADIUS-прокси - LDAP-аутентификация через RADIUS-сервер, поддерживающий TOTP (например, privacyIDEA, LinOTP).

DCO - Data Channel Offload

Data Channel Offload (DCO) - механизм, перемещающий обработку данных OpenVPN из пространства пользователя в ядро операционной системы. Это устраняет накладные расходы на переключение контекста между ядром и процессом OpenVPN, значительно повышая пропускную способность.

Характеристики DCO

Ограничения DCO

DCO несовместим со следующими конфигурациями:

• Режим tap (только tun).
• Сжатие (compression) - должно быть отключено.
• Шифры без аутентификации (CBC без HMAC).
• Опция --fragment.
• Режим Peer-to-Peer (Shared Key).

Для активации DCO необходимо установить флаг Data Channel Offload в параметрах сервера. При несовместимости конфигурации pfSense отобразит предупреждение.

Внимание:

При активации DCO на существующем сервере все текущие подключения будут разорваны. Клиенты должны поддерживать DCO (OpenVPN 2.6+). Планируйте переключение на период технологического окна.

Устранение неполадок

Клиент не может подключиться

1. Проверить правило файрвола на WAN - убедиться, что порт 1194/UDP открыт. Проверка: Diagnostics > Packet Capture на интерфейсе WAN, фильтр по порту 1194.
2. Проверить журналы OpenVPN - Status > System Logs > OpenVPN. Ключевые сообщения:
   • TLS Error: TLS handshake failed - проблема с сертификатами или несовпадение TLS-ключей.
   • AUTH_FAILED - неверный логин/пароль или заблокированная учётная запись.
   • Connection reset, restarting - проблема маршрутизации или NAT.
3. Проверить время на сервере и клиенте - расхождение более 5 минут приведёт к отказу проверки сертификатов.
4. Проверить CRL (Certificate Revocation List) - если CRL настроен, убедиться, что сертификат клиента не отозван.

TLS Handshake Failed

Наиболее частые причины:

• Несовпадение TLS-ключа - ключ на сервере и клиенте должен быть идентичным. Пересоздать конфигурацию клиента через пакет openvpn-client-export.
• Истёк сертификат CA или сервера - проверить сроки действия в System > Certificates.
• Несовпадение алгоритмов шифрования - убедиться, что клиент поддерживает хотя бы один из алгоритмов, указанных в Data Encryption Algorithms.
• MTU-проблемы - фрагментация TLS-пакетов. Добавить в Custom options: fragment 1400; mssfix 1400.

Подключение установлено, но нет доступа к ресурсам

1. Проверить правила на интерфейсе OpenVPN - убедиться, что трафик из VPN-подсети разрешён.
2. Проверить маршруты - на клиенте выполнить route print (Windows) или ip route (Linux) и убедиться в наличии маршрутов к корпоративным подсетям.
3. Проверить поле Local Network(s) - если подсеть не указана, маршрут к ней не будет передан клиенту.
4. Проверить обратную маршрутизацию - устройства в корпоративной сети должны иметь маршрут к VPN-подсети (10.8.0.0/24) через pfSense. Если pfSense является шлюзом по умолчанию - маршрут существует автоматически.

Утечка DNS-запросов

При Full Tunnel клиенты могут продолжать использовать локальные DNS-серверы:

1. Убедиться, что в настройках сервера заданы DNS Server 1-4.
2. Добавить push "block-outside-dns" в Custom options (только Windows).
3. На macOS и Linux утечка DNS предотвращается через скрипты обновления resolv.conf, включённые в конфигурацию клиента.

Рис. 3. Страница Status > OpenVPN - активные подключения и статистика

Связанные разделы

• OpenVPN Site-to-Site туннель - объединение площадок через OpenVPN в режиме Peer-to-Peer
• Экспорт клиентских конфигураций - генерация готовых файлов конфигурации и инсталляторов через пакет openvpn-client-export
• IPsec для мобильных клиентов - альтернативный вариант удалённого доступа через встроенный IPsec-клиент
• Правила файрвола в pfSense - создание и управление правилами для контроля VPN-трафика