pfSense. Настройка IPsec туннеля

Настройка IPsec туннеля между двумя межсетевыми экранами pfSense.

Схема подключения

Коммутатор (Internet) выступает в роли сети Интернет.

Межсетевые экраны pfSense (Gateway-CO и Gateway-BO) являются пограничными устройствами в сетях Главного офиса и Филиала соответственно. 

Gateway-CO и Gateway-BO имеют по два сетевых интерфейса: WAN для соединения с сетью Интернет (с "белым" IP адресом) и LAN, который "смотрит" в локальную сеть, соединенный с коммутаторами рабочих групп (Switch-CO, Switch-BO). На LAN интерфейсе поднят DHCP сервер. 

Имеются также два клиентских компьютера, по одному в каждой из сетей.

Настройки IPsec на стороне Главного офиса (Central Office)

VPN -> Ipsec -> Tunnels -> Edit Phase 1
Generals Informations
Key Exchange version	Auto
Internet Protocol	IPv4
Interface	WAN
Remote Gateway	200.1.1.2
Phase 1 Proposal (Authentication)
Authentication Method	Mutual PSK
Negotiation Method	Main
My Identifier	My IP address
Peer Identifier	Peer IP address
Pre-Shared Key	***********
Phase 1 Proposal (Algoritms)
Encryption Algorithm	AES (256 bits)
Hash Algorithm	SHA1
DH Group	1 (768 bit)
Lifetime (Seconds)	28800
NAT Traversal	Force

Перейти к настройке второй фазы нажав соответствующую кнопку.

VPN -> Ipsec -> Tunnels -> Edit Phase 2
Generals Informations
Mode	Tunnel IPv4
Local Network	LAN subnet
Remote Network	Network (10.1.2.0/24)
Phase 2 Proposal (SA/Key Exchange)
Protocol	ESP
Encryption Algorithms	AES
Hash Algorithm	SHA1
PFS key group	off
Lifetime	3600

В итоге должно получиться что-то вроде этого:

Настройки IPsec на стороне Филиала (Branch Office)

VPN -> Ipsec -> Tunnels -> Edit Phase 1
Generals Informations
Key Exchange version	Auto
Internet Protocol	IPv4
Interface	WAN
Remote Gateway	200.1.1.1
Phase 1 Proposal (Authentication)
Authentication Method	Mutual PSK
Negotiation Method	Main
My Identifier	My IP address
Peer Identifier	Peer IP address
Pre-Shared Key	***********
Phase 1 Proposal (Algoritms)
Encryption Algorithm	AES (256 bits)
Hash Algorithm	SHA1
DH Group	1 (768 bit)
Lifetime (Seconds)	28800
NAT Traversal	Force

Перейти к настройке второй фазы

VPN -> Ipsec -> Tunnels -> Edit Phase 2
Generals Informations
Mode	Tunnel IPv4
Local Network	LAN subnet
Remote Network	Network (10.1.1.0/24)
Phase 2 Proposal (SA/Key Exchange)
Protocol	ESP
Encryption Algorithms	AES
Hash Algorithm	SHA1
PFS key group	off
Lifetime	3600

В итоге должно получиться что-то вроде этого:

Правило для IPsec

Чтобы трафик исправно ходил между сетями необходимо создать разрешающее правило.

Для этого необходимо войти в раздел Firewall - > Rules -> IPsec и нажать Add

Для центрального офиса

Firewall - > Rules -> Ipsec
Edit Firewall Rule
Action	Pass
Interface	Ipsec
Address Family	IPv4
Protocol	any
Sourse
Sourse	Network (10.1.2.0/24)
Destination	LAN net

Для филиала

Firewall - > Rules -> Ipsec
Edit Firewall Rule
Action	Pass
Interface	Ipsec
Address Family	IPv4
Protocol	any
Sourse
Sourse	Network (10.1.1.0/24)
Destination	LAN net

Проверка созданного туннеля

Для проверки созданного туннеля перейти в раздел Status -> IPsec -> Overview

Картина должна быть примерно такой для филиала:

и примерно такой для центрального офиса:

Это говорит о том, что канал поднят и исправно функционирует.