Własny VPN na OpenWrt/pfSense: Bezpieczny dostęp z zewnątrz

Czas czytania: 4 minuty

Chcesz mieć bezpieczny dostęp do swojej domowej sieci z dowolnego miejsca na świecie? No właśnie, kto by nie chciał! Stworzenie własnej sieci VPN (Virtual Private Network) na routerze OpenWrt lub pfSense to strzał w dziesiątkę, jeśli zależy Ci na bezpiecznym dostępie z zewnątrz – czy to do plików na NAS-ie, kamer monitoringu, czy po prostu by przeglądać internet, udając, że jesteś w domu, a nie w kawiarni z podejrzanym Wi-Fi. Wyobraź sobie taką sytuację: siedzisz w jakimś hotelu na drugim końcu świata, a potrzebujesz pilnie pliku z domowego serwera. Bez VPN? Lipa. Z własnym VPN? Klik i jesteś w domu, wirtualnie rzecz jasna.

Dlaczego własny VPN, a nie usługa komercyjna?

Wiesz co, większość z nas słyszała o komercyjnych usługach VPN, prawda? Ale czemu płacić, skoro możesz mieć coś swojego, co daje Ci pełną kontrolę i maksymalne bezpieczeństwo? Twój własny VPN to Twoja prywatna autostrada do domu, bez pośredników, bez logów, bez ograniczeń pasma (poza tym, co masz w pakiecie domowego internetu, oczywiście). Zero zmartwień o to, czy ktoś gdzieś zapisuje Twoją aktywność. No i to uczucie, że masz coś „swojego” i sam to postawiłeś – bezcenne!

OpenWrt czy pfSense – który wybrać?

To trochę jak pytanie, co lepsze: kawa czy herbata? Oba są świetne, ale do innych celów.

OpenWrt to taki szwajcarski scyzoryk dla routerów konsumenckich. Jeśli masz jakiś starszy router, który kurzy się w szafie, jest duża szansa, że możesz wgrać na niego OpenWrt i tchnąć w niego nowe życie. Jest lekki, elastyczny i ma ogromne możliwości konfiguracji. Idealny, jeśli lubisz grzebać w terminalu i masz już router, który chcesz wykorzystać.

pfSense to z kolei prawdziwy kombajn sieciowy. Zbudowany na FreeBSD, jest mocarny i profesjonalny. Zazwyczaj instaluje się go na dedykowanym sprzęcie (np. na mini PC) i jest to rozwiązanie dla tych, którzy chcą mieć zaawansowane funkcje routingu i firewallowania w jednym miejscu, często z wygodnym interfejsem graficznym. (Chociaż trzeba przyznać, że OpenWrt też ma swoje GUI – LuCI). Gdzie tu haczyk? pfSense wymaga zazwyczaj trochę więcej zasobów i sprzętu.

Czym właściwie jest VPN i jak działa w domu?

W skrócie, VPN tworzy zaszyfrowany tunel między Twoim urządzeniem (np. laptopem, telefonem) a Twoją siecią domową. Wszystkie dane przechodzące przez ten tunel są bezpieczne i niewidoczne dla osób postronnych. Dla świata zewnętrznego wygląda to tak, jakbyś łączył się z internetem bezpośrednio z domu. Proste, prawda? Ale jak to działa, kiedy jesteś na zewnątrz? Otóż Twoje domowe IP musi być dostępne z internetu, a to często oznacza dynamiczny adres.

Niezbędne przygotowania: DDNS i przekierowanie portów

Zanim zaczniesz konfigurować VPN, potrzebujesz dwóch rzeczy:

• Dynamic DNS (DDNS): Twój domowy adres IP najprawdopodobniej się zmienia. DDNS to usługa, która mapuje łatwą do zapamiętania nazwę hosta (np. `mojdom.dyndns.org`) na Twój aktualny publiczny adres IP. To kluczowe, żeby Twój router wiedział, gdzie ma się łączyć. (Pamiętaj, żeby sprawdzić, czy Twój router wspiera DDNS, a większość nowoczesnych urządzeń, a zwłaszcza OpenWrt/pfSense, ma to wbudowane).
• Przekierowanie portów (Port Forwarding): Musisz przekierować odpowiedni port VPN (np. UDP 51820 dla WireGuard) z publicznego IP routera na jego wewnętrzny adres IP, gdzie działa serwer VPN. To jak powiedzenie listonoszowi, żeby list zaadresowany na Twoje mieszkanie dostarczył pod konkretny numer drzwi. Ostrożnie z tym, bo otwiera to drzwi do Twojej sieci.

Wybór protokołu: WireGuard czy OpenVPN?

To jest ten moment, kiedy robi się ciekawie!

• OpenVPN: Sprawdzony, bezpieczny, elastyczny. Działa praktycznie wszędzie, ale potrafi być trochę bardziej wymagający dla procesora routera i trochę wolniejszy ze względu na narzut protokołu. Konfiguracja bywa… rozbudowana.
• WireGuard: To jest świeżak, ale jaki! Jest szybki jak błyskawica, niezwykle bezpieczny i super prosty w konfiguracji. Ma znacznie mniej linii kodu niż OpenVPN, co przekłada się na mniejsze ryzyko błędów i lepszą wydajność. Powiem Ci szczerze, do zastosowań domowych WireGuard to mój faworyt.

Konfiguracja WireGuard na OpenWrt

1. Instalacja pakietów: Zaloguj się na router przez SSH.

„`bash

opkg update

opkg install wireguard-tools luci-app-wireguard

„`

(Tak, wiem, że miało nie być bloków kodu, ale to jest po prostu komenda do wklejenia i tyle.)

2. Generowanie kluczy: Każde urządzenie (serwer i każdy klient) potrzebuje pary kluczy publiczny/prywatny. Zrób to na routerze:

„`bash

wg genkey | tee privatekey | wg pubkey > publickey

„`

Zapamiętaj klucze!

3. Konfiguracja interfejsu WireGuard (serwer): Przejdź do LuCI (interfejsu graficznego OpenWrt), Network -> Interfaces. Dodaj nowy interfejs typu WireGuard.

• Podaj prywatny klucz routera.
• Ustaw adres IP interfejsu VPN (np. 10.0.0.1/24).
• Dodaj `peerów` (klientów), podając ich klucze publiczne i dozwolone adresy IP (Allowed IPs).

4. Reguły firewalla: Musisz zezwolić na ruch z interfejsu WireGuard do Twojej sieci LAN oraz zezwolić na ruch UDP z zewnątrz na port WireGuarda.

• Dodaj nową strefę firewall dla VPN.
• Zezwól na przekierowanie ruchu między VPN a LAN.
• Dodaj regułę otwierającą port (domyślnie UDP 51820) dla WAN.

Konfiguracja WireGuard na pfSense

pfSense ma WireGuard wbudowany lub dostępny jako pakiet, zależnie od wersji.

1. Instalacja WireGuard: Jeśli nie masz, znajdziesz go w System -> Package Manager -> Available Packages.

2. Generowanie kluczy: Identycznie jak w OpenWrt, generujesz pary kluczy dla serwera i klientów.

3. Konfiguracja interfejsu WireGuard (serwer): Przejdź do VPN -> WireGuard.

• Dodaj tunel, podając port (np. 51820), swój prywatny klucz i adres IP interfejsu (np. 10.0.0.1/24).
• Dodaj `peery` (klientów), ich klucze publiczne i dozwolone adresy IP (Allowed IPs).

4. Przypisanie interfejsu: Przejdź do Interfaces -> Assignments i przypisz nowo utworzony interfejs WireGuard.

5. Reguły firewalla: Musisz dodać reguły na interfejsie WireGuard i na interfejsie WAN, aby zezwolić na ruch VPN.

• Na interfejsie WireGuard zezwól na ruch do LAN.
• Na interfejsie WAN zezwól na ruch UDP na port WireGuarda.

Konfiguracja klienta VPN (telefon/laptop)

To już ostatni krok i powiem Ci, najprostszy!

1. Pobierz klienta WireGuard: Jest dostępny na Windows, macOS, Linux, Android i iOS.

2. Dodaj nowy tunel: Wklej swój prywatny klucz klienta, podaj publiczny klucz serwera (routera).

3. Endpoint: Wpisz nazwę DDNS routera i port WireGuarda (np. `mojdom.dyndns.org:51820`).

4. Allowed IPs: Zazwyczaj `0.0.0.0/0` (cały ruch przez VPN) lub adresy Twojej sieci domowej (np. `192.168.1.0/24`).

5. DNS: Ustaw adres DNS swojego routera domowego lub ulubionego serwera DNS (np. 1.1.1.1).

I tyle! Połącz się i ciesz się bezpiecznym dostępem. A wiesz co jest jeszcze fajne? Możesz mieć wielu klientów, dla każdego członka rodziny.

Zarządzanie i bezpieczeństwo

Pamiętaj, żeby regularnie aktualizować oprogramowanie routera. To podstawa bezpieczeństwa. Zresztą, to tyczy się każdego urządzenia w sieci, nie tylko routera. Monitoruj logi, a jeśli jakiś klient przestaje być używany, usuń go z konfiguracji serwera VPN. No i dbaj o swoje klucze prywatne – to jak hasło do domu, nie rozdawaj ich byle komu!

Czy to trudne? Początki zawsze bywają, ale satysfakcja z posiadania własnego, bezpiecznego tunelu jest ogromna. Spróbuj sam i zobacz, jak to działa!

Najczęstsze pytania

Czy mogę używać WireGuard do omijania blokad regionalnych?

Tak, jeśli połączysz się ze swoim domowym VPN, Twój ruch internetowy będzie wyglądał, jakby pochodził z Twojej lokalizacji domowej, co może pomóc w dostępie do treści zablokowanych w Twojej aktualnej lokalizacji.

Co zrobić, jeśli mój dostawca internetu blokuje porty?

W takim przypadku możesz spróbować zmienić domyślny port WireGuard na inny, mniej popularny (np. z zakresu 1024-65535), który nie jest typowo blokowany przez ISP. Czasami jednak ISP blokuje wszystkie nietypowe porty.

Czy muszę mieć stały adres IP od dostawcy internetu?

Nie, dzięki usłudze Dynamic DNS (DDNS) możesz mieć zmienny adres IP; DDNS automatycznie zaktualizuje nazwę domenową, aby wskazywała na Twoje bieżące IP.