Voir la source de Routed IPsec (VTI) with pfsense

[[Category:serveur]]
[[Category:pfsense]]
[[Category:networking]]
[[Category:VPN]]
[[Category:IPsec]]

Cette nouvelle fonctionnalité, disponible depuis pfsense 2.4.4, permet de s'affranchir de la définition des (parfois très nombreuses) associations d'IPs au niveau de la configuration des Phases 2 IPsec. Avec VTI, on ne défini qu'une seule Phase 2, puis on gère les subnets ou IPs à diriger vers le tunnel IPsec avec la table de routage de pfsense.

Il vous faut définir un network de transit. Typiquement on peut utiliser un /30 étant donné qu'on a besoin que de deux IPs (une pour chaque extrémité du lien IPsec). Dans ce exemple nous allons utiliser <code>10.6.6.1/30</code>.

=Configuration IPsec Phase 2=

Sur Node1, créez une entrée IPsec Phase 2 avec :
* Mode : Routed (VTI)
* Local Network : Network with range <code>10.6.6.1/30</code>
* Remote Network : <code>10.6.6.2</code>
* Configurez la section Proposal comme vous le souhaitez.
* Cliquez sur Save puis Apply Changes

Sur Node2, créez une entrée IPsec Phase 2 en miroir :
* Mode : Routed (VTI)
* Local Network : Network with range <code>10.6.6.2/30</code>
* Remote Network : <code>10.6.6.1</code>
* Configurez la section Proposal comme sur Node1.
* Cliquez sur Save puis Apply Changes

=Attribution d'une interface=
Sur Node1 et Node2 :
* Cliquez sur Interfaces > Assignments
* Sélectionnez l'interface <code>ipsec1000</code> dans la liste <code>Available Network Ports</code> puis cliquez sur Add. Notez l'interface créée (<code>OPTx</code>).
* Cliquez sur Interfaces > <code>OPTx</code>
* Cochez la case Enable et donnez un nom plus précis à l'interface au champ Description.
* Vous pouvez laisser les autres champs tel quel.
* Cliquez sur Save puis Apply Changes

Sur le dashboard pfsense, vous devriez voir apparaître l'interface avec l'adresse ip locale du tunnel, ainsi qu'une gateway (qui correspond à l'adresse IP distante du tunnel).

=Routage=

Cliquez sur System > Routing puis Static Routes.
<br><br>
Sur Node1 : 
* Cliquez sur Add
* Au champ Destination network, entrez le range du network LAN de Node2
* Au champ Gateway, sélectionnez la gateway IPsec (elle a le même nom que l'interface que vous avez créez suffixé de <code>_VTIV4</code>)
* Cliquez sur Save puis Apply
<br>
Sur Node2 : 
* Cliquez sur Add
* Au champ Destination network, entrez le range du network LAN de Node1
* Au champ Gateway, sélectionnez la gateway IPsec (elle a le même nom que l'interface que vous avez créez suffixé de <code>_VTIV4</code>)
* Cliquez sur Save puis Apply

==Redirection de trafic (Policy Routing)==

Vous pouvez forcer le trafic d'une IP du LAN de Node1 à transiter jusqu'à Node2 et pourquoi pas ensuite aller sur internet à partir de Node2.

Sur Node1 :
* Créez une règle Firewall LAN, définissez les différents champs comme vous le souhaitez pour matcher le traffic voulu.
* En bas de la page, cliquez sur Display Advanced.
* Définissez le champ Gateway sur la gateway de votre tunnel IPsec
* Cliquez sur Save puis Apply

A ce stade, le trafic ira jusqu'à Node2 et sortira sur internet depuis l'IP WAN de Node2 a condition que le NAT sortant de Node2 soit bien configuré en mode Automatic ou Hybrid.

Si ce n'est pas le cas, sur Node2 :
* Cliquez sur Firewall > NAT puis Outbound
* Sélectionnez soit <code>Automatic outbound NAT rule generation</code> soit <code>Hybrid Outbound NAT rule generation</code>
* Cliquez sur Save.

En mode Automatic, pfsense créé une règle NAT sortante pour toutes les routes attribuées à une gateway IPsec.
Le mode hybrid fonctionne comme le mode automatique, mais permet également d'ajouter des règles personnalisés (qui sont traitées avant les règles automatiques)

=Firewall du tunnel IPsec=

Notez que la gestion du firewall pour l'ensemble de vos tunnels IPsec se fait par défaut dans l'onglet <code>IPsec</code> du firewall (il n'y a pas d'onglet spécifique à l'interface que vous avez créé).

Cela peut se modifier dans la configuration <code>Advanced Settings</code> de IPsec en modifiant l'option <code>IPsec Filter Mode</code>