VPN là giải pháp cơ sở hạ tầng linh hoạt cho phép truy cập từ xa vào môi trường cục bộ. Việc cài đặt OpenVPN trên PFSense 2.4.x tương đối đơn giản. Bài viết này sẽ hướng dẫn cụ thể cách cấu hình OpenVPN trên PFSense.
Về cơ bản, có 3 bước chính trong quá trình cài đặt và cấu hình OpenVPN trên PFSense:
- Tạo hạ tầng khóa công khai (PKI Infrastructure)
- Cấu hình OpenVPN trên PFSense
- Cấu hình quyền truy cập của client
Việc cài đặt chỉ đi qua 3 bước chính, tương đối đơn giản. Tuy nhiên nó lại tương đối dài dòng khi đi vào từng bước cụ thể. Bây giờ, hãy bắt đầu việc cài đặt ngay thôi!
Tạo hạ tầng khóa công khai cho PFSense và OpenVPN
OpenVPN sử dụng certificate để bảo mật dịch vụ VPN cho các mục đích xác thực và mã hóa. Do đó, việc đầu tiên cần làm là tạo một Certificate Authority. Nếu đã cấu hình sẵn chứng chỉ, ta có thể bỏ qua bước này.
Tạo Certificate Authority (CA) trên PFSense
Đầu tiên, điều hướng đến Certificate Manager được tích hợp sẵn trên PFSense.
Một dashboard sẽ hiện ra với danh sách các CA đã được cài đặt trên máy chủ. Nếu không có, nhấn vào +Add để thêm.
Sau đó, điền đầy đủ các thông tin cần thiết của tổ chức vào form để tạo CA. Ta có thể sử dụng một số tên dễ nhớ và dễ phân biệt để đặt. Tiếp đến, nhấn vào nút Save và chứng chỉ sẽ được tạo.
Tạo server certificate cho OpenVPN trên PFSense
Sau khi tạo CA, ta cần có thêm một server certificate cho OpenVPN. Khách truy cập có thể dựa vào chứng chỉ này để xác thực danh tính server. Dưới phần System – Certificate Manager, chuyển đến tab Certificates và chọn vào +Add/Sign.
Điền đầy đủ thông tin vào form để tạo certificate. Cần lưu ý rằng ta nên chọn “Create an internal Certificate” và chọn loại chứng chỉ “Server Certificate”. Sau khi hoàn tất, nhấp chuột vào Save.
Như vậy là các certificate cần thiết cho OpenVPN đã được hoàn thành. Bây giờ ta có thể đến bước cấu hình dịch vụ OpenVPN.
Cấu hình OpenVPN trên PFSense
Ta sẽ sử dụng chế độ cấu wizard cho bước này. Đầu tiên, điều hướng đến phần VPN và chọn OpenVPN.
Tiếp theo, chọn tab Wizards để bắt đầu quá trình cấu hình.
Trước tiên ta cần lựa chọn loại máy chủ. Trong danh sách hiển thị trên màn hình, chọn Local User Access và nhấp vào Next.
Lựa chọn Certificate Authority rồi chọn Next. Nếu chưa có CA, hãy quay lại và làm theo các bước ở trên.
Tiếp đến là chọn Server Certificate (nếu chưa có, hãy quay lại các bước ở phần 1).
Tiếp theo, ta cần phải hoàn thành form Server Setup, gồm 4 phần: General OpenVPN Server Information, Cryptographic Settingss, Tunnel Settings và Client Settings. Mỗi môi trường có những đặc điểm khác nhau, nên ta có thể sẽ cần điều chỉnh các thông số cụ thể cho từng yêu cầu. Trong ví dụ dưới đây, các tùy chỉnh hướng đến việc bảo đảm bảo mật và sử dụng PFSense như máy chủ DNS.
Đầu tiên, cấu hình General OpenVPN Server Information. Chúng tôi để mọi tùy chỉnh thành mặc định, chỉ thay đổi phần Description.
Tiếp theo là Cryptographic Settings. Thay đổi Auth Digest Algorithm thành SHA256, thay cho SHA1 – bảo mật kém hơn.
Trong Tunnel Settings, nhập dải địa chỉ IP trong CIDR (đây cũng sẽ là dải địa chỉ mà OpenVPN dùng để gán cho các VPN client). Nên nhớ tick vào ô Redirect Gateway để bảo đảm các client chỉ sử dụng một VPN cho mọi truy cập. Tiếp đến, nhập dải địa chỉ mạng cục bộ vào CIDR (thường là LAN). Cuối cùng là tùy chỉnh lượng truy cập đồng thời tối đa.
Chúng tôi sẽ để mọi tùy chỉnh theo mặc định trong phần Client Settings.
Tiếp theo, trình cài đặt sẽ muốn tạo một rule firewall. Chọn Firewall rule và OpenVPN rule như bên dưới. Sau đó chọn Next.
Cuối cùng, nhấn nút Finish để kết thúc quá trình cấu hình OpenVPN.
Kết quả sau khi cấu hình OpenVPN trên PFSense:
Cấu hình quyền truy cập của client
Sau khi hoàn tất việc cài đặt và cấu hình máy chủ OpenVPN, ta cần cấu hình quyền truy cập VPN của các client
Tạo OpenVPN Client trên PFSense
Chuyển đến VPN – OpenVPN và chọn tab Clients. Sau đó, nhấn +Add để thêm.
Một form sẽ hiển thị trên màn hình với 5 phần: General Information, User Authentication Settings, Cryptographic Settings, Tunnel Settings và Advanced Configuration. Ví dụ bên dưới sẽ gồm một số tùy chỉnh tối thiểu cần được thay đổi.
Trong mục General Information, nhập địa chỉ IP máy chủ hoặc FQDN của máy chủ PFSEnse.
Cung cấp tên người dùng và mật khẩu trong mục User Authentication Settings
Mục Cryptographic Settings, chọn SHA256 trong Auth digest algorithm.
Chọn IPv4 Only trong Advanced Configuration. Cuối cùng, nhấp vào Save.
Kết quả sẽ như sau:
Cài đặt gói OpenVPN Client Export
Bước tiếp theo, ta cần cài đặt gói OpenVPN Client Export để xuất các cấu hình máy khách. Từ đó có thể cung cấp cho máy khách để kết nối đến máy chủ OpenVPN.
Điều hướng đến System – Package Manager.
Chọn Available Packages và tìm OpenVPN. Trong phần kết quả, nhấp vào Install để cài đặt gói openvpn-client-export.
Chọn Confirm.
Sau đó, gói sẽ được cài đặt. Khi quá trình cài đặt hoàn tất, sẽ có thông báo hiện lên màn hình.
Thêm người dùng VPN
Bước cuối cùng là tạo người dùng VPN. Vào System – User Manager và nhấp Add để tạo một người dùng mới. Điền tên người dùng và mật khẩu. Nên nhớ rằng tên người dùng và mật khẩu này phải khớp với cấu hình đã tạo trong Client Settings trong quá trình cấu hình OpenVPN Client. Tiếp theo, tick vào Click to create user certificate, đặt tên cho chứng chỉ, chọn loại chứng chỉ Certificate Authority giống ở trên. Cuối cùng, nhấp Save để lưu.
Tiếp theo, điều hướng đến Client Export dưới menu OpenVPN để tải bộ cấu hình Client Configuration.
Cuối cùng, nếu toàn bộ các bước trên được thực hiện đúng, màn hình sẽ hiển thị các tùy chọn tải xuống khác nhau để cấu hình OpenVPN.
Lời kết
Hy vọng bài viết trên sẽ giúp bạn hiểu được cách cấu hình OpenVPN trên PFSens. Nếu bạn có thắc mắc hay đóng góp ý kiến, mời bạn để lại bình luận phía dưới bài viết này. Vietnix xin chân thành cảm ơn bạn!
