Routed IPsec (VTI) with pfsense

Cette fonctionnalité est disponible depuis pfsense 2.4.4.

Il vous faut définir un network de transit. Typiquement on peut utiliser un /30 étant donné qu'on a besoin que de deux IPs (une pour chaque extrémité du lien IPsec). Dans ce exemple nous allons utiliser 10.6.6.1/30.

Configuration IPsec

Sur Node1, créez une entrée IPsec Phase 2 avec :

• Mode : Routed (VTI)
• Local Network : Network with range 10.6.6.1/30
• Remote Network : 10.6.6.2
• Configurez la section Proposal comme vous le souhaitez.
• Cliquez sur Save puis Apply Changes

Sur Node2, créez une entrée IPsec Phase 2 en miroir :

• Mode : Routed (VTI)
• Local Network : Network with range 10.6.6.2/30
• Remote Network : 10.6.6.1
• Configurez la section Proposal comme sur Node1.
• Cliquez sur Save puis Apply Changes

Attribution d'une interface

Sur Node1 et Node2 :

• Cliquez sur Interfaces > Assignments
• Sélectionnez l'interface ipsec1000 dans la liste Available Network Ports puis cliquez sur Add. Notez l'interface créée (OPTx).
• Cliquez sur Interfaces > OPTx
• Cochez la case Enable et donnez un nom plus précis à l'interface au champ Description.
• Vous pouvez laisser les autres champs tel quel.
• Cliquez sur Save puis Apply Changes

Sur le dashboard pfsense, vous devriez voir apparaître l'interface avec l'adresse ip du tunnel, ainsi qu'un gateway (qui correspond à l'adresse IP du node distan).

Routage

Cliquez sur System > Routing puis Static Routes.

Sur Node1 :

• Cliquez sur Add
• Au champ Destination network, entrez le range du network LAN de Node2
• Au champ Gateway, sélectionnez la gateway IPsec (elle a le même nom que l'interface que vous avez créez suffixé de _VTIV4)
• Cliquez sur Save puis Apply

Sur Node2 :

• Cliquez sur Add
• Au champ Destination network, entrez le range du network LAN de Node1
• Au champ Gateway, sélectionnez la gateway IPsec (elle a le même nom que l'interface que vous avez créez suffixé de _VTIV4)
• Cliquez sur Save puis Apply