Gdy firma ma więcej niż jedną lokalizację, pracownicy oddziału potrzebują dostępu do serwera plików, systemu ERP czy drukarek w centrali. Najprostszy i najbezpieczniejszy sposób to stały, szyfrowany tunel VPN między firewallami w obu lokalizacjach. Komputery w oddziale „widzą” wtedy sieć centrali tak, jakby była za ścianą – bez instalowania czegokolwiek na stacjach roboczych.
W tym poradniku krok po kroku zestawimy tunel IPsec site-to-site między dwoma urządzeniami z pfSense, korzystając z ustawień zalecanych w dokumentacji Netgate.
Plan przed konfiguracją
| Centrala (strona A) | Oddział (strona B) | |
|---|---|---|
| Publiczny adres WAN | 203.0.113.10 | 198.51.100.20 |
| Sieć LAN | 192.168.1.0/24 | 192.168.2.0/24 |
| Rola w tunelu | inicjuje połączenie | czeka na połączenie |
Dwie zasady, bez których tunel nie zadziała poprawnie:
- Sieci LAN muszą się różnić. Jeśli w obu lokalizacjach jest domyślne 192.168.1.0/24, przed konfiguracją zmień adresację w jednym z miejsc.
- Potrzebujesz stałego adresu publicznego przynajmniej w centrali. Jeśli oddział ma zmienny adres, ustaw go jako stronę „czekającą” albo skorzystaj z dynamicznego DNS (w polu Remote Gateway można wpisać nazwę hosta).
Krok 1. Phase 1 w centrali
Wejdź w VPN > IPsec i kliknij Add P1. Phase 1 opisuje, jak oba firewalle się uwierzytelniają i zestawiają bezpieczny kanał.
| Pole | Wartość |
|---|---|
| Description | Oddzial Lodz |
| Key Exchange version | IKEv2 |
| Internet Protocol | IPv4 |
| Interface | WAN |
| Remote Gateway | 198.51.100.20 (adres oddziału) |
| Authentication Method | Mutual PSK |
| My / Peer identifier | My IP Address / Peer IP Address (domyślne) |
| Pre-Shared Key | kliknij Generate new Pre-Shared Key |
| Encryption Algorithm | AES, 256 bitów · Hash SHA256 · DH Group 14 (2048 bit) |
| Life Time | 28800 |
| Child SA Close Action | Restart/Reconnect |
| Dead Peer Detection | zaznaczone, ustawienia domyślne |
Skopiuj wygenerowany klucz (Pre-Shared Key) – ten sam musisz wpisać w oddziale. Przekaż go bezpiecznym kanałem, nie zwykłym mailem. Kliknij Save.
Krok 2. Phase 2 w centrali
Pod utworzonym wpisem kliknij Show Phase 2 Entries, a potem Add P2. Phase 2 określa, które sieci mogą rozmawiać przez tunel.
| Pole | Wartość |
|---|---|
| Mode | Tunnel IPv4 |
| Local Network | LAN subnet |
| NAT/BINAT | None |
| Remote Network | Network: 192.168.2.0/24 |
| Protocol | ESP |
| Encryption | AES256-GCM (128 bit) · Hash: brak (przy GCM niepotrzebny) |
| PFS key group | 14 (2048 bit) |
| Life Time | 3600 |
Kliknij Save, a na liście tuneli Apply Changes.
Krok 3. Lustrzana konfiguracja w oddziale
Na firewallu w oddziale powtórz kroki 1 i 2 z odwróconymi adresami. Różnice:
- Remote Gateway:
203.0.113.10(adres centrali). - Pre-Shared Key: wklej klucz skopiowany w centrali.
- Phase 1 Life Time: o co najmniej 10% wyższy, np.
31680. - Child SA Start Action: None (Responder Only), a Child SA Close Action: Close connection and clear SA – dzięki temu tylko centrala inicjuje połączenie i nie powstają zdublowane tunele.
- Phase 2 Remote Network:
192.168.1.0/24, a Life Time np.5400.
Pozostałe parametry szyfrowania muszą być identyczne po obu stronach – inaczej tunel się nie zestawi.
Krok 4. Reguły firewalla
Ruch protokołu IPsec na interfejsie WAN pfSense domyślnie dopuszcza sam. Musisz natomiast zdecydować, co może przechodzić przez tunel. W Firewall > Rules, w zakładce IPsec, dodaj regułę Pass:
- w centrali: źródło
192.168.2.0/24, cel192.168.1.0/24, - w oddziale: źródło
192.168.1.0/24, cel192.168.2.0/24.
Na początek możesz dopuścić cały ruch między sieciami, a gdy tunel działa – zawęzić go do potrzebnych usług, np. tylko udziałów plików (SMB) i systemu ERP. To dobra praktyka bezpieczeństwa: zainfekowany komputer w oddziale nie dostanie się wtedy do wszystkiego w centrali.
Krok 5. Sprawdź połączenie
- W centrali wejdź w Status > IPsec i kliknij Connect VPN. Po chwili tunel powinien mieć status Established.
- Z komputera w oddziale wykonaj ping do serwera w centrali, np.
ping 192.168.1.10. - Jeśli coś nie działa, zajrzyj do Status > System Logs, zakładka IPsec – po obu stronach. Komunikaty o niezgodnych parametrach czy złym kluczu zwykle widać tylko po jednej z nich.
Najczęstsze problemy
- Tunel się nie zestawia: różny klucz PSK, różne algorytmy szyfrowania lub zły adres Remote Gateway. Porównaj ustawienia obu stron pole po polu.
- Tunel „Established”, ale ping nie przechodzi: brak reguły w zakładce IPsec albo zapora systemu Windows na serwerze blokuje ping z innej sieci.
- pfSense za routerem operatora: jeśli firewall nie ma publicznego adresu na WAN, na routerze operatora przekieruj do niego porty UDP 500 i 4500 (albo przełącz router w tryb bridge).
- Te same sieci po obu stronach: tunel zestawi się, ale ruch nie trafi tam, gdzie powinien. Zmień adresację w jednej lokalizacji.
Jakie urządzenie do centrali, a jakie do oddziału?
Wydajność VPN zależy od procesora firewalla. W centrali, do której łączy się kilka oddziałów i pracownicy zdalni, warto postawić mocniejsze urządzenie – na przykład nowy Netgate 5200, który według producenta przepuszcza przez tunele IPsec do 5,74 Gb/s. W mniejszych oddziałach zwykle wystarczy Netgate 2100 lub Netgate 4200. Porównanie wszystkich modeli znajdziesz w przewodniku po modelach.
Pracownikom zdalnym, którzy łączą się z laptopów, lepiej sprawdzi się VPN typu klient – opisaliśmy go w poradniku WireGuard na pfSense. A jeśli w centrali masz dwa łącza internetowe, zobacz, jak skonfigurować Multi-WAN z automatycznym przełączaniem.
Potrzebujesz pomocy?
Zaprojektujemy sieć wielooddziałową, skonfigurujemy tunele IPsec między wszystkimi lokalizacjami i dobierzemy urządzenia do każdej z nich. Napisz do nas: kontakt@itessential.pl