pfSense 使用 IPsec VPN 远程访问

前面介绍了在 pfSense 搭建 OpenVPN 远程访问服务器，客户端远程访问防火墙的方法。本文介绍另一种远程访问方法，使用 IPsec VPN 远程访问 pfSense 防火墙。
本文所使用的防火墙版本为 pfSense 2.52，防火墙 LAN 接口 IP：192.168.101.254。

IPsec 服务器配置

按照先配置移动客户端，再设置阶段 1 和阶段 2，最后添加 VPN 用户的顺序进行 IPsec 服务器的各项配置。

移动客户端

导航到 VPN > IPsec > 移动客户端，各项参数设置如下：

• IKE 扩展 = 选中
• 用户认证 = local Database
• 组认证 = 不选
• 虚拟地址池 = 选中（10.10.10.0/24）
• 其他不选
• 登录横幅（可选）= Login successfully!（注意：不支持中文）

阶段 1 设置

各项参数如下：

• 密钥交换版本 = IKEv1
• 协议 = IPv4
• 接口 = WAN1（示例网络为多 WAN）
• 身份验证方法 = Mutual PSK + Xauth
• 协商模式 = 野蛮
• 本地 ID 类型 = 我的 IP 地址
• 远端 ID 类型 = 用户专有名称（[email protected]）
• 预共享密钥 = aabbcc
• 加密算法 = AES，128 位，SHA1，2（1024 位）
• 生命时间 = 3600
• NAT-T = Auto
• DPD 检测 = 选中（延迟 10，重试上限 5）

阶段 2 设置

各项参数如下：

• 模式 = IPv4 隧道
• 本地网络 = 网络（地址 = 0.0.0.0/0）
• NAT/BINAT 转换 = None
• 协议 = ESP
• 加密算法 = 选中 AES，设置为 Auto
• 哈希算法 = 选中 SHA1
• PFS 密钥组 = 关
• 生存时间 = 86400

添加防火墙规则

导航到 防火墙 > 规则策略 选项卡，添加一条 any to any 的允许规则。

添加 VPN 用户

导航到 系统 > 用户管理，添加一个 VPN 用户。
为了保证能正常访问所有防火墙的功能，添加的用户必须具有 WebCfg 所有页面的访问权限和 VPN IPsec xauth Dialin 的权限。如下图所示：

注意：在添加新用户时，不会出现用户权限的选项。可以先添加用户，保存后返回到用户列表界面，再点右侧编辑，就可以添加用户权限了。

手机端设置

我使用的手机为 iPhone 系列，系统版本为 14.7.1。导航到 设置 > 通用 > VPN 页面，点击下方的“添加 VPN 配置…”，添加一个新的 VPN，各项参数如下：

• 类型 = IPsec
• 描述 = Gz
• 服务器 = 防火墙 WAN 接口 IP
• 帐户 = user
• 密码 = 该用户的密码
• 群组名称 = 阶段 1 中的远程 ID 类型（[email protected]）
• 密钥 = 阶段 1 中的预共享密钥 PSK（aabbcc）

点击完成，回到 VPN 菜单，打开连接按钮进行连接。

点击好，VPN 连接成功。
回到 pfSense 防火墙，导航到 状态 > IPsec，可以查看 VPN 连接的各项信息：

在手机端浏览器上输入防火墙的 LAN 接口地址，正常访问防火墙 Web 界面。