pfSense

本教程包含将 pfSense 防火墙通过 IPsec 隧道连接到 Cloudflare WAN（原 Magic WAN）所需的配置步骤。

已测试软件

制造商	固件版本
pfSense	24.03

本教程需要以下信息：

本教程使用以下 IP 地址。这些示例将合法可路由的 IP 地址替换为 IPv4 地址块（保留用于文档，RFC 5737 ↗），位于 203.0.113.0/24 子网内。

使用 Cloudflare 仪表板或 API 配置两条 IPsec 隧道。本指南在后续步骤中将使用以下 IPsec 隧道设置。

使用 Add pre-shared key later（稍后添加预共享密钥） 选项创建 IPsec 隧道后，Cloudflare 仪表板将显示警告指示符。

选择 Edit（编辑） 编辑每条 IPsec 隧道的属性。
选择 Generate a new pre-shared key（生成新的预共享密钥） > Update and generate pre-shared key（更新并生成预共享密钥）。
复制每条 IPsec 隧道的预共享密钥值并保存。然后选择 Done（完成）。

创建 IPsec 隧道后，Cloudflare 仪表板将在 Tunnels（隧道） 下列出这些隧道。要获取 IPsec 隧道的用户 ID：

在 pfSense 防火墙上配置 IKE 阶段 1 需要使用此用户 ID。

为上一节配置的两条 IPsec 隧道各创建一条静态路由，使用以下设置（未提及的设置可保持默认值）：

安装 pfSense 并启动。然后，分配并设置 LAN 和 WAN 接口及 IP 地址。例如：

添加一个新的 IPsec 隧道阶段 1 条目 ↗，使用以下设置：

General Information（常规信息）
- Description（描述）：CF1_IPsec_P1
IKE Endpoint Configuration（IKE 端点配置）
- Key exchange version（密钥交换版本）：IKE_v2
- Internet Protocol（互联网协议）：IPv4
- Interface（接口）：WAN
- Remote gateway（远程网关）：输入 Cloudflare Anycast IP 地址。
Phase 1 Proposal (Authentication)（阶段 1 提议（身份验证））
- Authentication method（身份验证方法）：Mutual PSK
- My identifier（我的标识符）：User Fully qualified domain name > ipsec@long_string_of_letters_and_numbers
  （在 Cloudflare IPsec 隧道配置 > User ID（用户 ID） 中查找此标识符）
- Peer identifier（对等标识符）：Peer IP Address（Cloudflare Anycast IP）
- Pre-Shared Key (PSK)（预共享密钥 (PSK)）：输入来自 Cloudflare IPsec 隧道的预共享密钥。
Phase 1 proposal (Encryption algorithm)（阶段 1 提议（加密算法））
- Encryption algorithm（加密算法）：AES 256 bits
- Key length（密钥长度）：256 bits
- Hash algorithm（哈希算法）：SHA256
- DH key group（DH 密钥组）：20
- Lifetime（生存期）：86400

添加一个新的 IPsec 隧道阶段 2 条目 ↗，使用以下设置。创建两个独立的阶段 2 条目（一个用于隧道 1，一个用于隧道 2），根据本地和远端网络相应调整 IP 地址：

General Information（常规信息）
- Description（描述）：CF1_IPsec_P2
- Mode（模式）：Routed (VTI)（虚拟隧道接口）
Networks（网络）
- Local Network（本地网络）：Address > Cloudflare 隧道中分配的 /31 的较高 IP 地址。例如，隧道 1 为 10.252.2.27，隧道 2 为 10.252.2.29。
- Remote Network（远程网络）：Address > Cloudflare 侧 /31 的较低 IP 地址。例如，隧道 1 为 10.252.2.26，隧道 2 为 10.252.2.28。
Phase 2 Proposal (SA/Key Exchange)（阶段 2 提议（SA/密钥交换））
- Protocol（协议）：ESP（封装安全有效载荷）
- Encryption algorithm（加密算法）：AES 256 bits
- Hash algorithm（哈希算法）：SHA256
- DH key group（DH 密钥组）：20
- Lifetime（生存期）：28800

应用更改。导航至 Status（状态） > IPsec 验证阶段 1 和阶段 2 均已连接。

在 Interfaces（接口） > Assignments（分配） > Add（添加） 中，创建一个新接口并分配给第一条 IPsec 隧道，使用以下设置：

General configuration（常规配置）
- Description（描述）：CF1_IPsec_1
- MSS（MSS）：1446
Interface Assignments（接口分配）
- WAN：添加 WAN 接口。例如，vnet1。
- LAN：添加 LAN 接口。例如，vnet0。
- 从上述阶段 1 添加 CF_IPsec_1 接口。