Creare una VPN Site to Site con OpenVPN in pfSense 2.7

 

Riproponiamo oggi la versione aggiornata di uno degli articoli più apprezzati del blog.

Questa volta però abbandoneremo la configurazione basata su chiave condivisa per passare a quella più sicura basata su certificati SSL.

Lo scenario prevede sempre una sede A che fa da server e una sede B che fa da client.

Nella sede A è necessaria la presenza di 1 IP pubblico statico, nella sede B può esserci o non esserci.

Sede A (Server):
LAN: 192.168.0.0/24
IP Pubblico: 1.2.3.4

Sede B (Client):
LAN: 192.168.5.0/24
IP Pubblico: 5.6.7.8

Rete Tunnel VPN: 192.168.254.0/24

1. Creazione della CA e dei Certificati

Accedere all'interfaccia web di pfSense (Sede A).

Navigare su System > Cert. Manager > CAs e cliccare su "Add" e inserire i seguenti parametri:

• Descriptive Name: OpenVPN_CA
• Method: Create internal Certificate Authority
• Key Length: 2048
• Digest Algorithm: SHA256
• Common Name: OpenVPN-CA
• Salvare cliccando su "Save".

Passare alla scheda Certificates e cliccare su "Add" per creare il certificato del server:

• Method: Create internal Certificate
• Certificate Authority: OpenVPN_CA
• Descriptive Name: OpenVPN_Server
• Common Name: server
• Type: Server Certificate
• Key Length: 2048
• Digest Algorithm: SHA256

Ripetere l'operazione per creare il certificato del client (che sarà utilizzato sulla sede B):

• Descriptive Name: OpenVPN_Client
• Common Name: client
• Type: Client Certificate

2. Configurazione del Server OpenVPN (Sede A)

Navigare su VPN > OpenVPN > Servers e cliccare su "Add" e configurare i seguenti parametri:

• Server Mode: Peer to Peer (SSL/TLS)
• Protocol: UDP
• Device Mode: tun
• Interface: WAN
• Local Port: 1194
• Description: Site-to-Site VPN Server

Cryptographic Settings:

• TLS Authentication: Spuntare "Use a TLS Key" e generare la chiave cliccando su "Generate TLS Key".
• Peer Certificate Authority: OpenVPN_CA
• Server Certificate: OpenVPN_Server
• Encryption Algorithm: CHACHA20-POLY1305; AES-256-GCM
• Auth Digest Algorithm: SHA256
• Hardware Crypto: No Hardware Crypto Acceleration 

Tunnel Settings:

• Tunnel Network: 192.168.254.0/24
• Local Network: 192.168.0.0/24
• Remote Network: 192.168.5.0/24

Salvare e applicare le modifiche

3. Configurazione del Firewall su Sede A

Andare su Firewall > Rules > WAN e cliccare su "Add" e configurare:

• Action: Pass
• Interface: WAN
• Protocol: UDP
• Source: Any
• Destination: WAN Address
• Destination Port Range: 1194
• Description: Allow OpenVPN Traffic
• Salvare e applicare le modifiche.

4. Esportazione e Importazione Certificati Client

Su pfSense (Sede A), navigare su System > Cert. Manager > Certificates.

• Scaricare il certificato e la chiave privata del client OpenVPN.
• Importare questi file su pfSense (Sede B) in System > Cert. Manager > Certificates cliccando su "Add" e selezionando "Import an existing certificate".

5. Configurazione del Client OpenVPN (Sede B)

Accedere all'interfaccia web di pfSense (Sede B). Navigare su VPN > OpenVPN > Clients e cliccare su "Add" e configurare i seguenti parametri:

• Server Mode: Peer to Peer (SSL/TLS)
• Protocol: UDP
• Device Mode: tun
• Interface: WAN
• Server Host or Address: 1.2.3.4
• Server Port: 1194
• Description: Site-to-Site VPN Client

Cryptographic Settings:

• Peer Certificate Authority: OpenVPN_CA
• Client Certificate: OpenVPN_Client
• Encryption Algorithm: CHACHA20-POLY1305; AES-256-GCM
• Auth Digest Algorithm: SHA256
• Hardware Crypto: No Hardware Crypto Acceleration

Tunnel Settings:

• Tunnel Network: 192.168.254.0/24
• Remote Network: 192.168.0.0/24

Salvare e applicare le modifiche.

6. Verifica della Connessione VPN

Navigare su Status > OpenVPN in entrambe le sedi: se la configurazione è corretta, vedrai la connessione attiva.

 

Autenticazione Active Directory con pfSense

 

Tra le più interessanti e utili funzioni che offre pfSense c'è l'opportunità di autenticare gli utenti appoggiandosi su back end di tipo LDAP, tipicamente Active Directory.

Ciò permette a un utente di accedere con le proprie credenziali di dominio alla OpenVPN remota o all'interfaccia web del firewall, laddove autorizzato.

Che cos'è LDAP?

LDAP è un protocollo applicativo utilizzato per gestire e accedere a servizi informativi distribuiti di directory. Organizza i dati in modo gerarchico, facilitandone il controllo e la gestione. E' il protocollo su cui Active Directory di Microsoft si appoggia per accedere al proprio database di utenti computer e oggetti.

Configurazione autenticazione LDAP con Active Directory su pfSense

Posizionarsi su System - User Manager - Authentication Servers

Cliccare su Add

Scegliere un Nome Descrittivo: SRV-DC

Type: LDAP

Hostname or IP address: l'ip o l'hostname di un domain controller che il firewall può raggiungere

Porta e protocollo: lasciare di default o impostare su LDAPS se necessario coi relativi parametri

Search Scope: Entire Subtree

Base DN: la base del vostro AD -  es. DC=pfsenseitaly,DC=local

Authentication container: la OU che contine gli utenti da autenticare (utilizzare il tasto "Select a container") - es. OU=Users,DC=pfsenseitaly,DC=local

Extended Query: da flaggare

Query: gruppo precedentemente creato in AD e utilizzato per identificare uno specifico gruppo di utenti autorizzati - es. memberOf=CN=OpenVPN_Auth,OU=Groups,DC=pfsenseitaly,DC=local

Bind credentials: inserire le credenziali di un utente che abbia accesso in lettura al db di AD

Lasciare il resto di default e salvare.

Verifica autenticazione

Posizionarsi su Diagnostics - Authentication

Scegliere il back-end di autenticazione appena creato

Inserire le credenziali di un utente e cliccare su Test

Aggiugnere rotte alla OpenVPN con FQDN

Un utilizzo abbastanza classico della VPN è quello di veicolare il traffico verso indirizzi specifici facendo passare il traffico dal tunnel, per presentarsi alla destinazione, anzichè col proprio indirizzo, con l'IP del sito in cui si trova la VPN.

Per esempio se il Sito A è configurato per poter essere accessibile solo dall'IP pubblico del mio ufficio, posso creare una VPN con l'ufficio che mi permetta di veicolando il traffico via VPN per arrivare al sito A.

In OpenVPN esistono i comandi di push route per ottenere questo comportamento: tuttavia nell'utilizzo base e più diffuso, è possibile passare solo degli indirizzi IP e non dei nomi FQDN.

Oggi vedremo come attuare questa configurazione avanzata.

Per prima cosa inseriamo nelle custom options del Server il push della rotta FQDN necessaria.

• posizionarsi su VPN --> OpenVPN --> Server:
• editare il Server utilizzato e posizionarsi su su Advanced Configuration -> Custom Options
• inserire il push route con questa stringa: push "route google.com 255.255.255.255";

In questo modo tutto il traffico verso google.com sarà veicolato nel tunnel VPN e uscirà con l'ip pubblico del firewall pfSense che termina la VPN

Posizionarsi poi su VPN --> OpenVPN --> Client Export Utility:

• sotto Advanced fare il push dell’opzione: “allow-pull-fqdn”

Una volta salvate le modifiche è possibile scaricare il certificato con la nuova configurazione.

OpenVPN Server su pfSense 2.7

Una delle funzionalità più utilizzate e più apprezzate di pfSense è la possibilità di fare da terminatore per la OpenVPN.

Abbiamo già descritto come creare un Server OpenVPN in diversi articoli precedenti (OpenVPN Server su pfSense 2.3, l'ultimo), ma vogliamo riprendere l'argomento, in quanto col passare del tempo e delle versioni sono cambiati gli algoritmi supportati e anche alcune delle funzionalità offerte dal configuratore.

In questo articolo prendiamo in considerazione la configurazione di un server pfSense come terminatore per una VPN Road Warrior, che permetta agli utenti remoti di collegare il proprio pc, da ovunque si trovino, alla rete aziendale.

Per autenticarsi saranno necessari un certificato SSL + username e password.

Il backend di autenticazione sarà il database locale del firewall stesso.

La configurazione che vedremo in seguito è effettuata su un pfSense 2.7.2

Gli step da effettuare sono i seguenti:

• Creazione dei certificati (CA - Server - User)
• Configurazione del server OpenVPN
• Configurazione dell'interfaccia virtuale
• Impostazione regole di firewall
• Export della configurazione del client

Creazione dei certificati

Creazione del certificato della CA

Portarsi nel menù System > Cert Manager > CAs

Cliccare su Add

Compilare in modo preciso i campi sotto ripotati per la creazione del nostro certificato

• Descriptive Name: Nome del certificato
• Method: Create an internal Certificate Authority
• Key length: 4096
• Digest Algorithm: sha512
• Lifetime: 3650 days (10 anni)
• Country Code:
• State or Province:
• City:
• Organization:
• Email Address:
• Common Name: internal-ca

Cliccare su Save    

Creazione del certificato Server

Portarsi nel menù System > Cert Manager > Certificates

Cliccare su Add

Compilare in modo preciso i campi sotto ripotati per la creazione del nostro certificato

• Method: Create an internal Certificate
• Descriptive Name: Nome del certificato
• Certificate Authority: la CA creata in precedentza
• Key length: 4096
• Digest Algorithm: sha512
• Lifetime: 3650 days (10 anni)
• Common Name: nome dns firewall
• Country Code:
• State or Province:
• City:
• Organization:
• Email Address:
• Certificate Type: Server Certificate

Cliccare su Save

Creazione della Certificate Revocation List

A questo punto è buona prassi creare anche  una Certificate Revocation List che tornerà utile nel momento in cui ci sarà da invalidare dei certificati.

Portarsi nel menù System > Cert Manager > Certificate Revocation

Cliccare su Add or Import CRL in corrispondenza del nome del certificato della nostra CA

 

Compilare in modo preciso i campi sotto riportati per la creazione del nostro certificato

• Certification Authority: la CA creata in precedentza
• Method: Create an internal Certificate Revocation List
• Descriptive Name: CRL
• Lifetime: 730 days
• Serial: 0

Cliccare su Save

Creazione del certificato User

Portarsi nel menù System > Cert Manager > Certificates

Cliccare su Add

Compilare in modo preciso i campi sotto riportati per la creazione del nostro certificato

• Method: Create an internal Certificate
• Descriptive Name: Nome del certificato (per esempio lo username dell'utente)
• Certificate Authority: la CA creata in precedentza
• Key length: 4096
• Digest Algorithm: sha512  
• Lifetime: 3650 days (10 anni)
• Common Name: lo username dell'utente
• Distinguished Name:
• Country Code:
• State or Province:
• City:
• Organization:
• Email Address:
• Certificate Type: User Certificate

Se si utilizzano utenti locali al firewall la creazione del certificato può essere fatta contestualmente alla creazione dell'utente cliccando sulla voce apposita

Configurazione del server OpenVPN

Portarsi nel menù VPN > OpenVPN > Server

Cliccare su Add

Impostare i seguenti campi:

• Description: il nome descrittivo
• Server Mode: Remote Access (SSL/TSL + User Auth)
• Selezioniamo i backend di autenticazione

• Device Mode: tun
• Protocol: UDP
• Interface: WAN (interfaccia su cui viene fatto il bind)
• Local Port: 1194
• TLS authentication: YES
• Automatically generate a shared TLS authentication key: YES
• Peer Certificate Authority: Selezionare il certificato della CA appena creato
• Peer Certificate Revocation List: Selezionare  la CRL appena creata
• Server Certificate: Selezionare il certificato del server appena creato
• DH Parameters Length: 4096 bits
• Encryption algorithm: CHACHA20-POLY1305 + AES-256-GCM
• Auth digest algorithm: SHA256 (256-bit)
• Hardware Crypto: selezionare una eventuale scheda di accelerazione
• Certificate Depth: One (Client+Server)
• Flaggare Strict User-CN Matching
• Flaggare Enforce key usage
• Tunnel Network: Inserire una subnet per il tunnel, non usare subnet già in uso.
• Ipv4 Local network(s): inserire le subnet locali raggiugibili tramite la VPN separandole con virgola
• Allow Compression: Refuse any non-stub compression
• Topology: One IP address per client
• Configurare eventuali impostazioni relative a DNS default domain, server DNS, NTP, NetBIOS secondo le proprie esigenze

Cliccare su Save

Configurazione dell'interfaccia virtuale

Per poter utilizzare il tunnel VPN come gateway nelle roules o per creare rotte statiche, è necessario assegnare al tunnel VPN un interfaccia virtuale.

• Portarsi nel menù Interfaces > (assign) 
• Nella colonna Network port selezionare ovpns1 (REMOTE ACCESS)
• Cliccare su Add per aggiungere la nuova interfaccia
• Cliccare sul nome della nuova interfaccia, tipicamente optx
• Nell'interfaccia effettuare le seguenti modifiche:
• Enable: Yes
• Description: OPENVPN_REMOTE

Cliccare su Save

Impostazione regole di firewall

A questo punto non ci resta che configurare il firewall affinchè permetta il traffico verso la wan sulla porta 1194 UDP per ricevere le connessioni dai client OpenVPN e creare le regole sull'interfaccia virtuale per permettere il traffico tra i client e il site della vpn.

Portarsi sul menù Firewall > Rules > WAN

Cliccare su Add

E compilare i seguenti campi:

• Action: Pass
• Protocol: UDP
• Destination Port Range: From OpenVPN to OpenVPN  

Cliccare su Save

Portarsi sul menù Firewall > Rules > OPENVPN_REMOTE

Cliccare su Add

E compilare i seguenti campi:

• Action: Pass
• Protocol: Any
• Source: Any  
• Destination: Any 

Cliccare su Save (questa regola fa passare tutto il traffico verso le subnet raggiungibili in VPN, restringere le regole secondo necessità).

Export della configurazione del client

Per esportare la configurazione da inserire nel client OpenVPN sul proprio device, installare il pacchetto aggiuntivo openvpn-client-export

Una volta installato posizionarsi su VPN > OpenVPN > Client Export 

Scaricare il file di configurazione cliccando sul tasto Most Clients di fianco al nome dell'utnete di nostro interesse

Creare una vpn layer2 con pfSense ed OpenVPN

Con la progressiva diffusione del cloud ibrido, è cresciuta anche la necessità di collegare tramite vpn layer2, due o più siti aziendali mantenendo un unica subnet. Detto in maniera più sintetica creare una stretched LAN tra i siti.

La caratteristica principale di questo tipo di connessione è quella di sostituire il routing (Layer 3) con il bridging (Layer 2). Entrambe le soluzioni hanno pro e contro, ma lo scopo di quest'articolo non è analizzare quale e quando sia meglio una o l'altra.

Misurare le performance di OpenVPN su pfSense

Uno dei servizi più utilizzati su pfSense è sicuramente OpenVPN. Per le aziende è ormai impensabile non poter accedere alla rete aziendale quando si è in viaggio o a casa. Con la crescente diffusione della banda larga diventa sempre più semplice lavorare in remoto, aprendo file direttamente dal server, utilizzando software client server attraverso una VPN, ecc...

In questo scenario è diventato di fondamentale importanza capire se l'hardware che stiamo impiegando è idoneo o se sta rallentando la nostra connessione VPN.

OpenVPN Server su pfSense 2.3

Una delle funzionalità più utilizzate su pfsense è certamente quella di terminatore VPN. Nonostante tutto è anche una delle configurazioni più insidiose per chi si avvicina al mondo del networking senza conoscenze teoriche adeguate poichè richiede conoscenze di routing, nat e firewalling. In quest'articolo riprenderemo quanto già visto negli articoli Configurare OpenVPN Server su pfSense e Creare una VPN Site to Site con OpenVPN attualizzando le configurazioni già viste ed aggiungendo qualche spunto che possa dare qualche strumento in più per non incappare in problemi di configurazione.

Assegnare IP statico a client OpenVPN

Se utilizzare OpenVPN, prima o poi vi capiterà di imbattervi nella necessità di mettere in piedi una configurazione con assegnamento statico degli indirizzi IP dei client. L'operazione risulta semplice anzi banale a patto di conoscere i comportamenti bizzarri di alcuni client.

Tra questi non poteva mancare Windows che in quanto ad anomalie non ci lascia mai a bocca asciutta.

Connettersi in OpenVPN da Linux

In quest'articolo vedremo come configurare un client OpenVPN in ambiente linux per poterci connettere ad una vpn terminata da pfSense.
Nel nostro esempio utilizzeremo la distribuzione Ubuntu, una delle più diffuse.

Heartbleed Bug e pfSense

Lunedì 7 Aprile 2014 rimarrà a lungo una data memorabile per l'intera comunità internet.

Stiamo parlando di Heartbleed, la vulnerabilità nel pacchetto OpenSSL che, da due anni, mette a richio di furto i dati di due terzi dei siti Internet.

Il 7 aprile il team di OpenSSL ha rilasciato un breve comunicato per dichiarare la vulnerabilità contrassegnata dal codice CVE-2014-0160 che affligge il pacchetto OpenSSL dalla versione 1.0.1 alla 1.0.1f
Nello stesso giorno è stato rilasciato il pacchetto OpenSSL 1.0.1g che provvede alla correzione della falla.

VPN ad autenticazione forte con OTP

Nell'ultimo articolo abbiamo visto come sia possibile attivare su pfSense la Strong Authentication con One-Time Password. 

Questo tipo di autenticazione può tornare utile per aumentare la sicurezza delle connessioni VPN. 

Il meccanismo implementato con FreeRADIUS e pubblicato nella sezione Server per le authenticazioni, può essere sfruttato per gestire l'autenticazione di una connessione OpenVPN semplicemente andano a richiamare nel campo Backend for authentication del nostro server VPN, la configurazione per l'utuilizzo delle OTP.

Unendo l'articolo One-time password ed autenticazione forte in pfSense con l'articolo Configurare OpenVPN Server su pfSense ed apportando le opportune modifiche, potete ottenere un sistema completo per la connessione alla vostra rete in OpenVPN sfruttando per l'autenticazione le One-Time Password.

L'articolo che segue è stato pubblicato nel novembre 2013 da Massimo Giaimo e tratta in modo completo l'intera configurazione.

 

VPN ad autenticazione forte con OTP

di Massimo Giaimo

Connettersi in OpenVPN tramite Android

Smartphone e tablet hanno cambiato il modo di lavorare e di accedere alle informazioni aziendali che sono disponibili sempre e ovunque ci sia connettività per il nostro dispositivo.

In quest'articolo vedremo come estendere ulteriormente le nostre possibilità accedendo direttamente alla rete aziendale per recuperare documenti o accedere a pc e server con un dispositivo Android ed OpenVPN

OpenVpn per accesso remoto a più sedi contemporaneamente

Quando si hanno più sedi connesse con vpn site to site, si può avere la necessità di consentire l'accesso all'intera rete aziendale da un unico punto d'accesso. Un utente remoto dopo essersi connesso in VPN alla sede centrale può accedere alle risorse presenti in tutte le sedi dell'azienda passando attraverso le diverse vpn site to site.

In quest'articolo vedremo come realizzare questa configurazione utilizzando OpenVPN.

Vpn Site to Site con router Netgear

Vi è mai capitato di avere in testa un idea e di intestardirvi fino all'inverosimile per riuscire a realizzarla? A me capita spesso e ques'articolo è frutto di una di queste idee.
In questi anni mi è capitato più volte di avere a che fare con router ADSL Netgear DG834 o simili. Sono dei router ADSL di fascia bassa ma a cui non manca nulla compresa la semplicità d'uso e cosa non da poco il prezzo che si aggira sui 60€.

Come molti di voi sapranno questo router offre la possibilità di gestire VPN IpSec e da qui è nato il tarlo di volerlo configurare in modo da poter creare una VPN site to site con il pfSense dell'ufficio. Dopo svariate ore di troubleshooting e tentativi ci sono riuscito.

Creare una VPN Site to Site con OpenVPN

Qualche mese fa abbiamo visto come creare una vpn site to site IPSec, oggi vedremo com'è possibile configurare una vpn site to site utilizzando OpenVPN.

Nella configurazione di una vpn site to site con OpenVPN, una delle sedi deve fare da server mentre l'altra da client. Quest'aspetto ci consente di creare delle vpn site to site avendo una sola sede con indirizzo IP pubblico.

Qual'è l'algoritmo crittografico migliore per le VPN?

Durante la configurazione di una connessione VPN, occorre scegliere quali algoritmi crittografici impiegare. Se non si conosce in modo corretto le capacità dell'hardware impiegato, diventa impossibile sceglire l'algoritmo migliore (in termini di performance). In quest'articolo vedremo come effettuare un test molto rapido per capire quali sono gli algoritmi più perforanti.

Creare una vpn site to site ipsec

Con la diffusione di internet è divenuto molto semplice mettere in comunicazione tra loro sedi differenti di una stessa azienda. Internet per sua natura è un canale di comunicazione insicuro che richiede l'utilizzo di protocolli adatti a renderlo sicuro ed idoneo al transito di informazioni aziendali.

Le Virtual Private Network o più semplicemente VPN sono il metodo più semplice per creare dei tunnel sicuri tra due reti aziendali. In quest'articolo vedremo come configurare una VPN site to site con protocollo IPsec.

OpenVPN con autenticazione LDAP su dominio Windows 2003

Oggi proveremo a mettere insieme quanto appreso nei due precedenti post per creare qualcosa di molto professionale: una connessione OpenVPN con autenticazione tramite Domain Controller Windows 2003.

Questa funzionalità, spesso molto richiesta, è prerogativa dei firewall più costosi e blasonati mentre noi vedremo come sia possibile realizzare tutto con un firewall opensource e senza impazzire in configurazioni impossibili.

Configurare OpenVPN Server su pfSense

Tra le varie funzionalità offerte da pfSense troviamo la possibilità di terminare diverse tipologie di VPN. Quella che prenderemo in esame oggi è OpenVPN.

Per poter procedere con la configurazione di OpenVPN server occorre effettuare alcune operazioni preliminari che prevedono la creazione dei certificati digitali.

Per iniziare dobbiamo creare 3 tipi di certificati:

• Un certificato per la nostra Certification Authority;
• Un certificato di tipo server per il nostro pfSense;
• Un certificato di tipo user per gli utenti che dovranno conettersi a pfSense.

Creazione del certificato della CA:

Portarsi nel menù System > Cert Manager > CAs

Cliccare su Add

Compilare in modo preciso i campi sotto ripotati per la creazione del nostro certificato

1. Description Name: Nome del certificato
2. Method: Create an internal Certificate Authority
3. Key length: 2048
4. Lifetime: 3650 days (10 anni)
5. Distinguished Name:
6. Country Code:
7. State or Province:
8. City:
9. Organizathion:
10. Email Address:
11. Common Name: internal-ca

Cliccare su Save
 
Creazione del certificato Server:

Potarsi nel menù System > Cert Manager > Certificates

Cliccare su AddCompilare in modo preciso i campi sotto ripotati per la creazione del nostro certificato

1. Method: Create an internal Certificate
2. Descriptive Name: Nome del certificato
3. Certificate Authority: Nome impostato nel certificato della CA
4. Key length: 2048
5. Certificate Type: Server Certificate
6. Lifetime: 3650 days (10 anni)
7. Distinguished Name:
8. Country Code:
9. State or Province:
10. City:
11. Organizathion:
12. Email Address:
13. Common Name: nome dns firewall

Cliccare su Save

Creazione del certificato Utente:

Potarsi nel menù System > Cert Manager > Certificates

Cliccare su Add
Compilare in modo preciso i campi sotto ripotati per la creazione del nostro certificato

1. Method: Create an internal Certificate
2. Descriptive Name: Nome del certificato
3. Certificate Authority: Nome impostato nel certificato della CA
4. Key length: 2048
5. Certificate Type: User Certificate
6. Lifetime: 3650 days (10 anni)
7. Distinguished Name:
8. Country Code:
9. State or Province:
10. City:
11. Organizathion:
12. Email Address:
13. Common Name: nome dns firewall

Cliccare su Save

VPN PPTP in pfSense

In quest'articolo vedremo come utilizzare un firewall pfSense, di cui vi ho già parlato nel precedente articolo, come server per connessioni VPN di tipo PPTP.

pfSense permette nativamente la creazione di tunnel VPN di tipo IPSEC, OpenVPN e PPTP. Ecco di seguito i passi da seguire per configurare il servizioS PPTP su pfSense 1.2.3

Il protocollo PPTP è considerato il meno sicuro per stabilire una connessione VPN, questo è dovuto al suo metodo di autenticazione basato solo su username e password. Qualunque forma di autenticazione basata solo su una password è insicura e, in ultima analisi, destinata a fallire. Dato che non si può costringere gli utenti a ricordare delle password complesse, ovvero lunghe sequenze di caratteri contenenti minuscole, maiuscole, cifre ed altro, alla fine gli utenti scelgono password deboli, facile preda dei software di cracking. Se siete interessati ad approfondire le vulnerabilita del protocollo PPTP potete poi leggere quest'articolo di SANS.

Nonostante questo è possibile utilizzare il protocollo PPTP per fare pratica con il concetto di VPN, stabilire connessioni occasionali con la propria azienda, aggiungere uno strato di sicurezza a connessioni normalmente insicure, configurare velocemente una connessione vpn di servizio senza bisogno di certificati, clientspecifici, ecc...

Ora vediamo come configurare il servizio PPTP su pfSense:
- Accedere all'interfaccia web di pfSense;
- Selezionare la voce VPN e poi PPTP;

- Impostare le seguenti informazioni

Enable PPTP Server

Server address 192.168.0.190 -> Indirizzo IP utilizzto dal server VPN

Remote address range192.168.0.192/28 -> 14 indirizzi host attribuiti ai client VPN

Require 128-bit encryption

Nella sezione User è possibile definire gli utenti che avranno accesso alla VPN.
I parametri configurabili in questa sezione sono pochi e semplici:

Username: nome utente

Password: password

IP address: eventuale IP che si vuole assegnare al client

A questo punto occorre definire le regole di firewall per il traffico PPTP. Come regola di default possiamo definire la seguente:

Action: Pass

Interface: PPTP
Protocol: Any

Source type: PPTP clients

Destination: Lan Subnet

Salva adesso

Description: PPTP -> Lan

Fatto questo il server è pronto per accettare connessioni PPTP.

Ora configuriamo un client Windows XP

- Accedere al Pannello di Controllo e selezionare Connessioni di Rete;
- Selezionare Nuova connessione di rete;
- Selezionare Connessione alla rete aziendale;
- Selezionare Connessione VPN;
- Inserire un nome identificativo della connessione VPN;
- Selezionare Non effettuare prima alcuna connessione;
- Inserire l'indirizzo IP o il nome DNS del server VPN;

La connessione è stata correttamente configurata, ora non resta altro che inserire username e password per stabilire la connessione.

Se non volete utilizzare la connessione VPN come gateway per il vostro traffico:

- Cliccare su Proprietà;
- Selezionare Avanzate;
- Rimuovere la spunta da Usa gateway predefinito sulla rete remota

pfSense permette di configurare il servizio PPTP in altri due modi:
1 - Ridirigendo tutto il traffico PPTP verso un altro server PPTP della rete selezionando "Redirect incoming PPTP connections to:" ed inserendo l'indirizzo IP del server;
2 - Utilizzando un server RADIUS per l'autenticazione degli utenti abilitati alla VPN. Questa opzione è molto interessante per le reti windows perchè permette di utilizzare un server IAS per integrare la connessione PPTP di pfSense con gli utenti del dominio Windows.