← Cloudflare One / cloudflare-one / networks / connectors / cloudflare-wan / configuration / third-party

pfSense

Tento návod obsahuje kroky potřebné k nakonfigurování tunelů IPsec pro připojení firewallu pfSense k Cloudflare WAN (dříve Magic WAN).

Tento návod vyžaduje následující informace:

• IP adresy Anycast (poskytuje je Cloudflare)
• Externí IP adresy
• Rozsahy interních IP adres
• Vnitřní tunel /31 rozsahy

Tento návod používá následující IP adresy. Tyto příklady nahrazují legálně směrovatelné IP adresy bloky adres IPv4 vyhrazenými pro dokumentaci (RFC 5737 ↗) adresy v rámci 203.0.113.0/24 podsíť.

Použijte dashboard Cloudflare nebo API k nakonfigurovat dva tunely IPsec. Tento návod dále používá níže uvedené nastavení pro tunely IPsec.

1. Postupujte podle Přidejte tunely pokyny pro vytvoření požadovaných tunelů IPsec s následujícími možnostmi:
   • Název tunelu: PF_TUNNEL_01
   • Adresa rozhraní: 10.252.2.26/31
   • Zákaznický endpoint: 203.0.113.254
   • Cloudflare endpoint: Zadejte jednu z anycast IP adres přiřazených vašemu účtu, dostupnou v Pronajaté IP adresy ↗.
   • Frekvence kontroly stavu: Medium
   • Typ kontroly stavu: Požadavek
   • Směr kontroly stavu: Obousměrné
   • Zapnutí ochrany proti opakování: Povolit
2. Vyberte Přidat předsdílený klíč později > Přidejte tunely.
3. Opakujte tento postup a vytvořte druhý tunel IPsec s následujícími možnostmi:
   • Název tunelu: PF_TUNNEL_02
   • Adresa rozhraní: 10.252.2.28/31
   • Zákaznický endpoint: 203.0.113.254
   • Cloudflare endpoint: Zadejte druhou anycast IP adresu přiřazenou vašemu účtu.
   • Frekvence kontroly stavu: Medium
   • Typ kontroly stavu: Požadavek
   • Směr kontroly stavu: Obousměrné
   • Zapnutí ochrany proti opakování: Povolit
4. Vyberte Přidat předsdílený klíč později > Přidejte tunely.

Při vytváření tunelů IPsec s možností Přidat předsdílený klíč později, Cloudflare dashboard zobrazí varovný indikátor.

1. Vyberte Úprava upravit vlastnosti každého tunelu IPsec.
2. Vyberte Vygenerujte nový předsdílený klíč > Aktualizovat a vygenerovat pre-shared key.
3. Zkopírujte hodnotu předsdíleného klíče pro každý tunel IPsec a tyto hodnoty uložte. Poté vyberte Hotovo.

Po vytvoření tunelů IPsec je dashboard Cloudflare zobrazí v sekci Tunnels. Chcete-li získat ID uživatele tunelu IPsec:

1. Přejděte na Connectory stránce.

2. V Tunely IPsec/GRE kartě vyberte tunel IPsec.
3. Přejděte na User ID a zkopírujte řetězec. Například ipsec@long_string_of_letters_and_numbers.

Konfigurace IKE Phase 1 na firewallu pfSense vyžaduje ID uživatele.

Vytvořte statická trasa pro každý ze dvou tunelů IPsec nakonfigurovaných v předchozí části s následujícím nastavením (nastavení, která zde nejsou uvedena, můžete ponechat na výchozích hodnotách):

• Popis: PF_TUNNEL_01
• Prefix: 10.1.100.0/24
• Tunel / další skok: PF_TUNNEL_01

• Popis: PF_TUNNEL_02
• Prefix: 10.1.100.0/24
• Tunel / další skok: PF_TUNNEL_02

Nainstalujte pfSense a spusťte zařízení. Poté přiřaďte a nastavte rozhraní LAN a WAN a IP adresy. Například:

• LAN: 203.0.113.254
• WAN: <YOUR_WAN_ADDRESS>

Přidejte nový tunel IPsec Phase 1 entry ↗, s následujícím nastavením:

• Obecné informace
  • Popis: CF1_IPsec_P1
• Konfigurace endpointu IKE
  • Verze výměny klíčů: IKE_v2
  • Internet Protocol: IPv4
  • Rozhraní: WAN
  • Vzdálená brána: Zadejte anycast IP adresu Cloudflare.
• Phase 1 Proposal (Authentication)
  • Metoda ověřování: Mutual PSK
  • Můj identifikátor: User Fully qualified domain name > ipsec@long_string_of_letters_and_numbers
    (tento identifikátor najdete v konfiguraci tunelu Cloudflare IPsec > User ID)
  • Identifikátor peer: IP adresa peer (Cloudflare Anycast IP)
  • Pre-Shared Key (PSK): Zadejte předsdílený klíč z tunelu Cloudflare IPsec.
• Phase 1 proposal (Encryption algorithm)
  • Šifrovací algoritmus: AES 256 bits
  • Délka klíče: 256 bitů
  • Hashovací algoritmus: SHA256
  • DH key group: 20
  • Lifetime: 86400

Přidejte nový tunel IPsec Phase 2 entry ↗, s následujícím nastavením. Vytvořte dva samostatné záznamy Phase 2 (jeden pro tunel 1 a jeden pro tunel 2) a podle toho upravte IP adresy pro místní a vzdálené sítě:

• Obecné informace
  • Popis: CF1_IPsec_P2
  • Režim: Routed (VTI) (Virtual Tunnel Interface)
• Sítě
  • Lokální síť: Adresa > Higher IP address v poli /31 přiřazené v Cloudflare Tunnel. Například 10.252.2.27 pro tunel 1 a 10.252.2.29 pro tunel 2.
  • Remote Network: Adresa > Lower IP address v poli /31 pro stranu Cloudflare. Například 10.252.2.26 pro tunel 1 a 10.252.2.28 pro tunel 2.
• Phase 2 Proposal (SA/Key Exchange)
  • Protokol: ESP (Encapsulating Security Payload)
  • Šifrovací algoritmus: AES 256 bits
  • Hashovací algoritmus: SHA256
  • DH key group: 20
  • Lifetime: 28800

Použijte změny. Přejděte do Stav > IPsec k ověření, že jsou připojeny fáze 1 i fáze 2.

V Rozhraní > Přiřazení > Přidat, vytvořte nové rozhraní, které přiřadíte prvnímu tunelu IPsec, s následujícím nastavením:

• Obecná konfigurace
  • Popis: CF1_IPsec_1
  • MSS: 1446
• Interface Assignments
  • WAN: Přidejte rozhraní WAN. Například vnet1.
  • LAN: Přidejte rozhraní LAN. Například vnet0.
  • Přidejte CF_IPsec_1 rozhraní z fáze 1 výše.

Vyberte Save a použijte změny.

V Systém > Směrování > Gateways by již měla existovat brána. V tomto příkladu se jmenuje CF1_IPSEC_1_VTIV4.

1. V Pravidla brány firewall > Rozhraní IPsec, povolte jakýkoli typ provozu.

2. Přejděte na Stav > Gateways. CF1_IPSEC_1_VTIV4 by nyní měl být online.

1. V Firewall > Pravidla > LAN, povolte jakýkoli typ provozu.
2. Rozbalte Pokročilé sekce.
3. Změňte Gateway na CF1_IPSEC_1_VTIV4.