pfsense openvpn server настройка

pfSense OpenVPN сервер настройка: от «завелось» до боевого режима

Вы зашли сюда, потому что хотите поднять свой VPN-сервер на pfSense. Стандартных инструкций в интернете десятки, но 90 % из них ведут к дырявой конфигурации, которая сливает DNS, не держит соединение при падении канала и не защищает от прослушки провайдером. pfSense OpenVPN сервер настройка — это не просто пара кликов в мастере. Это умение расставить сертификаты, прикрутить kill switch на уровне ядра и не допустить утечки через WebRTC. Давай разберёмся, как сделать так, чтобы твой сервер реально работал, а не создавал иллюзию безопасности.

Почему штатный мастер OpenVPN в pfSense не подходит для продакшена

Мастер в веб-интерфейсе pfSense создаёт базовую конфигурацию за 5 минут. Он генерирует сертификаты, назначает туннельный интерфейс и даже добавляет правило файрвола. Но вот что он не делает:

• не включает проверку цепочки сертификатов (remote-cert-tls server на клиенте);
• не задаёт явный MTU (по умолчанию 1500, что вызывает фрагментацию на многих маршрутизаторах);
• не конфигурирует tls-crypt (защита от DPI и амплификации);
• не настраивает блокировку трафика при падении туннеля (kill switch).

В результате ты получаешь работающий туннель, который при реконнекте на 2–3 секунды пускает все запросы напрямую, и провайдер видит, куда ты ходишь. Для обычного сёрфинга это терпимо, но если ты используешь VPN для защиты от слежки Ростелекома или обхода блокировок Telegram, такой «сервер» лишь усыпляет бдительность.

Шаг за шагом: ручная сборка надёжной конфигурации

1. Генерация ключей и сертификатов (строго по уму)

В pfSense есть встроенный Certificate Manager. Не используй самоподписанные сертификаты без указания алгоритма подписи. Выбирай ECDSA с кривой P-384 (а не RSA 2048) — это даёт более быстрый handshake и меньший размер сертификата.

Создай корневой CA, затем сертификат сервера и отдельные сертификаты для каждого клиента. Важно: для сервера в поле Common Name укажи реальный домен или IP, иначе OpenVPN может ругаться на verify-x509-name.

2. Конфигурация сервера (секция OpenVPN Server)

Зайди в VPN → OpenVPN → Servers и создай новый экземпляр. Отключи мастера (Wizard) и настрой вручную:

• Protocol: UDP (TCP только если UDP заблокирован провайдером, но на UDP скорость выше).
• Port: лучше нестандартный (например, 1194 часто режется DPI, бери 443 или 993).
• TLS Configuration: поставь Use a TLS Key и выбери tls-crypt. Это шифрует весь контрольный канал, и глубокий анализ пакетов (DPI) не сможет определить, что это OpenVPN.
• Encryption Algorithm: AES-256-GCM (аппаратное ускорение на новых процессорах).
• Auth Digest: SHA256 (не MD5, он взломан).
• Perfect Forward Secrecy: ECDHE-ECDSA-AES256-GCM-SHA384 – это обеспечивает PFS, даже если долговременный ключ скомпрометирован, сессионные ключи остаются в тайне.
• MTU: поставь 1420 (1400 для PPPoE). Это исключает фрагментацию пакетов на многих линиях (особенно актуально для домашних сетей с PPPoE от Ростелекома).
• Topology: subnet (рекомендуется, net30 остался со времён маршрутизации вручную).

3. Правила файрвола и исходящие интерфейсы

Когда сервер создан, pfSense создаёт виртуальный интерфейс ovpns1. Тебе нужно:

• зайти в Firewall → Rules → OpenVPN и добавить правило Pass all из подсети туннеля (например, 10.0.8.0/24) в любые направления (но можно сузить до нужных портов).
• На интерфейсе WAN добавить правило, разрешающее входящие UDP-пакеты на порт, который ты выбрал.
• Отключить в системных настройках «Block private networks» для WAN, если используешь публичный IP.

Важно: Не используй NAT на трафике из OpenVPN. Если клиент должен выходить в интернет через туннель, маршрутизируй весь трафик через 0.0.0.0/0 в клиентском файле .ovpn (redirect-gateway def1), а на сервере просто включи Gateway для интерфейса OpenVPN и добавь правило NAT (Outbound NAT) для подсети туннеля на WAN.

4. Kill Switch на стороне клиента без стороннего софта

Есть два подхода:

• На клиенте (Windows): вручную добавить маршрут через туннель с метрикой 1 и удалить шлюз по умолчанию, оставив только шлюз туннеля. Но это неудобно.
• На сервере pfSense с помощью OpenVPN-параметра –route-up и скрипта, который блокирует трафик, пока туннель не поднят. Проще сделать через правила файрвола: на интерфейсе WAN по умолчанию блокировать исходящий трафик с IP клиента, кроме подсети OpenVPN. Но это требует статического IP клиента или динамического обновления правил.

Лучший вариант: использовать клиент OpenVPN с плагином –redirect-gateway и включить block-outside-dns (только Windows) или настроить DNS через туннель (push "dhcp-option DNS 10.0.8.1"). При падении туннеля система не сможет резолвить имена, и трафик не уйдет в открытую.

Чего вам НЕ говорят в других гайдах

Я пересмотрел десяток инструкций по настройке pfSense OpenVPN. Почти все умалчивают о следующих рисках.

1. Утечка DNS через WebRTC

Даже если VPN работает, браузер может «просочить» твой реальный IP через WebRTC-стек. Это лечится отключением WebRTC в настройках браузера или установкой расширений (например, WebRTC Leak Prevent). На уровне pfSense можно проксировать DNS-запросы через Unbound и запретить прямые DNS-запросы на WAN, но WebRTC использует STUN/TURN и обходит DNS. Поэтому в любой статье должно быть предупреждение: не полагайтесь только на VPN, настройте браузер правильно.

2. Бесплатные VPN, которые «помогают» настроить

Многие новички ищут «настройка pfSense openvpn server бесплатно» и натыкаются на предложения типа «арендуйте сервер у нас, мы всё настроим». Часто такие серверы собирают метаданные, логируют время подключения, объём трафика, а в некоторых случаях подменяют рекламу в HTTP-трафике. Пример: HolaVPN, который продавал трафик своих пользователей как прокси-сеть. Даже если ты настроишь свой сервер на арендованном VPS, логи всё равно ведёт хостинг-провайдер (юрисдикция, 14 Eyes). Вывод: не доверяй «бесплатным» настройщикам, делай сам или плати за приватность деньгами, а не данными.

3. Fake kill switch в скриптах сообществ

Готовые скрипты для OpenVPN часто содержат простой iptables -A OUTPUT -o tun0 -j ACCEPT; iptables -A OUTPUT -j REJECT. Это сработает, только если туннель активен, но при переподключении правила не перезагружаются, и трафик падает сразу после разрыва. На pfSense нужно использовать Group Rules или динамические списки URL для блокировки. Лучше вообще не полагаться на скрипты, а настроить блокировку через системный файрвол.

4. Лог-политика провайдера VPS

Ты можешь настроить идеальный OpenVPN-сервер на pfSense, но если VPS-хостинг находится в России (например, TimeWeb, Beget), они обязаны хранить логи три года по закону Яровой. Это значит, что твой «приватный» сервер де-факто не приватный. Выбирай VPS за пределами 14 Eyes (Нидерланды, Швейцария, Исландия) и используй tls-crypt, чтобы хостинг не мог определить, что именно ты передаёшь (хотя они видят объём трафика и время).

Сравнение протоколов и шифрования на pfSense (OpenVPN vs WireGuard vs IPsec)

Таблица ниже показывает реальные метрики для типичного VPS (2 vCPU, 2 ГБ RAM, Hetzner Финляндия):

Вывод по протоколам: для максимальной совместимости и обхода блокировок – OpenVPN с tls-crypt и AES-256-GCM. Для скорости и низкого пинга – WireGuard. IPsec на pfSense ставить не рекомендую из-за сложности и уязвимости к DPI.

Разбор типовых сценариев

Сценарий 1: Журналист в командировке с ноутбуком

Задача: обойти блокировку Telegram, защититься от перехвата трафика в гостиничном Wi-Fi.
Настройка: OpenVPN на pfSense через UDP 443, tls-crypt, пул DNS (1.1.1.1 через туннель). Клиент – официальный OpenVPN GUI + плагин Viscosity. Дополнительно – отключить WebRTC в Firefox.

Сценарий 2: Торренты на домашнем ПК

Использовать OpenVPN не рекомендуется из-за медленного шифрования. Лучше настроить WireGuard на роутере pfSense и весь bittorrent-трафик пустить через туннель с kill switch. Важно: не забыть настроить «port forwarding» для DHT и PEX. В pfSense это делается через правила firewall на интерфейсе WireGuard.

Сценарий 3: Айтишник в кафе с кофеваркой

Публичный Wi-Fi в ТЦ «Мега» – классический MitM. Использовать OpenVPN – хорошо, но нужно убедиться, что запрещены нешифрованные DNS-запросы (push "block-outside-dns"). На клиенте поднять локальный DNS на 127.0.0.1. Дополнительно – включить проверку сертификата сервера (remote-cert-tls server).

Вопросы и ответы