Contexte : accès distant chiffré au réseau local protégé par pfSense, pour le télétravail ou l'administration · Testé sur : pfSense CE avec le paquet openvpn-client-export (2023) · Dernière vérification : contenu de 2023 non revérifié
¶ Objectif
Configurer sur pfSense un serveur OpenVPN d'accès distant, authentifié par certificat et par compte utilisateur, puis exporter la configuration du client et se connecter depuis l'extérieur.
¶ Prérequis
- Un pfSense installé et accessible en administration (voir Installer et configurer pfSense).
- Sur le routeur ou la box en amont : le port UDP 1194 ouvert et redirigé vers l'adresse WAN de pfSense.
- Un nom de domaine qui pointe vers l'adresse IP publique de la box. Si cette adresse change, voir DynDNS et adresse IP dynamique.
Valeurs d'exemple utilisées dans cette page :
| Élément | Valeur d'exemple |
|---|---|
| Réseau LAN derrière pfSense | 192.168.2.0/24 (pfSense en 192.168.2.10) |
| Réseau du tunnel VPN | 10.8.0.0/24 |
| Nom d'hôte public du VPN | vpn.votredomaine.fr |
¶ Étapes
¶ 1. Installer le paquet d'export des clients
-
Ouvrez System > Package Manager.
-
Dans Available Packages, cherchez
openvpn-client-export.
-
Cliquez sur Install, puis confirmez.
Une fois le paquet installé, un message de réussite s'affiche.
¶ 2. Créer l'autorité de certification
-
Ouvrez System > Cert. Manager, onglet CAs.
-
Cliquez sur Add.
-
Donnez un nom descriptif à l'autorité (par exemple
CA_VPN) et choisissez la méthode Create an internal Certificate Authority.
-
Dans Common Name, saisissez le nom qui apparaîtra dans le certificat.
-
Cliquez sur Save.
L'autorité de certification apparaît désormais dans la liste.
¶ 3. Configurer le serveur OpenVPN avec l'assistant
-
Ouvrez VPN > OpenVPN, puis l'onglet Wizards, tout à droite.
-
Dans Type of Server, choisissez Local User Access, puis Next.
-
Choisissez l'autorité de certification créée à l'étape 2.
-
L'assistant demande ensuite presque la même chose : il s'agit cette fois de créer le certificat du serveur VPN lui-même. Laissez les champs préremplis, saisissez seulement un nom descriptif (par exemple
Serveur_VPN), puis cliquez sur Create new Certificate.
-
General OpenVPN Server Information : gardez les valeurs par défaut (protocole UDP, interface WAN, port
1194) et ajoutez une description.
-
Cryptographic Settings : modifiez uniquement :
- DH Parameters Length :
4096 bit; - Data Encryption Algorithms :
AES-256-GCM; - Auth Digest Algorithm :
SHA512 (512-bit).
- DH Parameters Length :
-
Tunnel Settings :
- Tunnel Network :
10.8.0.0/24, un sous-réseau privé inutilisé ailleurs ; - Local Network :
192.168.2.0/24, le réseau LAN rendu accessible aux clients ; - Redirect Gateway : cochez-la seulement si tout le trafic des clients doit passer par le VPN.
Correction : la configuration d'origine utilisait comme réseau de tunnel une plage d'adresses publiques. Le réseau du tunnel doit être un sous-réseau privé distinct du LAN, du réseau de la box et du réseau où se trouvent les clients.
- Tunnel Network :
-
Client Settings : cochez Dynamic IP.
-
Firewall Rule Configuration : cochez les deux cases (Firewall Rule et OpenVPN rule) pour que l'assistant crée les règles de pare-feu, puis terminez l'assistant.
Sans l'assistant : créez le certificat du serveur dans System > Cert. Manager > Certificates > Add/Sign (type Server Certificate), puis le serveur dans VPN > OpenVPN > Servers > Add, avec les mêmes réglages : protocole UDP, périphérique
tun, interface WAN, port1194, autorité et certificat créés, chiffrement, réseau du tunnel et, si besoin, Redirect Gateway. Ajoutez ensuite vous-même les règles de pare-feu de l'étape 5.
¶ 4. Créer un utilisateur VPN
- Ouvrez System > User Manager et cliquez sur Add.
- Saisissez le nom d'utilisateur et un mot de passe robuste.
- Cochez la création d'un certificat utilisateur et choisissez l'autorité de certification du VPN.
- Enregistrez.
¶ 5. Vérifier les règles de pare-feu
- Firewall > Rules > WAN : une règle autorise le trafic UDP entrant vers l'adresse WAN, port
1194. - Firewall > Rules > OpenVPN : une règle autorise le trafic des clients dans le tunnel.
Si vous aviez ouvert l'administration de pfSense sur le WAN pendant l'installation, supprimez cette règle temporaire maintenant.
¶ 6. Exporter la configuration du client
-
Ouvrez VPN > OpenVPN, onglet Client Export.
-
Sélectionnez le serveur créé et réglez les options d'export selon vos besoins. Dans Host Name Resolution, vous pouvez indiquer directement le nom d'hôte public du VPN.
-
Descendez jusqu'à la liste OpenVPN Clients et téléchargez, pour l'utilisateur, le programme d'installation ou le fichier de configuration adapté à son système.
¶ 7. Connecter le poste client
-
Installez le client OpenVPN sur le poste (OpenVPN Connect, ou OpenVPN GUI sous Windows).
-
Importez le fichier de configuration exporté.
-
Si le fichier contient une adresse IP à la ligne
remote, remplacez-la par votre nom de domaine, qui doit pointer vers votre box :remote vpn.votredomaine.fr 1194 udp4 -
Lancez la connexion avec l'identifiant et le mot de passe de l'utilisateur VPN.
¶ Vérification
- Dans Status > OpenVPN, le client apparaît connecté, avec une adresse du réseau du tunnel.
- Depuis le poste client, pfSense et les machines du LAN répondent :
ping 192.168.2.10
Testez depuis un réseau extérieur, par exemple en partageant la connexion 4G d'un téléphone : de nombreuses box, dont la Livebox, ne permettent pas de joindre sa propre adresse publique depuis le réseau local (pas de loopback NAT).
¶ Dépannage
- La connexion n'aboutit pas : vérifiez la redirection du port UDP 1194 sur la box vers l'adresse WAN de pfSense, la règle WAN de pfSense, et que le nom de domaine résout bien l'adresse publique actuelle (
nslookup vpn.votredomaine.fr). - Connecté, mais le LAN est injoignable : vérifiez le Local Network du serveur, la règle de l'onglet Firewall > Rules > OpenVPN, et que le réseau du tunnel ne chevauche pas le réseau local du client.
- Échec d'authentification : vérifiez que l'utilisateur possède un certificat signé par l'autorité du VPN, et son mot de passe.
¶ Références
- Documentation Netgate : serveur OpenVPN d'accès distant
- Documentation Netgate : paquet OpenVPN Client Export
- Clients OpenVPN officiels
- Installer et configurer pfSense
- DynDNS et adresse IP dynamique
- Adapté d'un tutoriel des CEMÉA (tutos.cemea.org) ; images hébergées par la source.