Настройка WireGuard на pfSense с личным VPS SANSARA

Чтобы организовать защищённый туннель между вашим домашним или офисным шлюзом pfSense и удалёнными устройствами, используйте WireGuard. С личным VPS SANSARA вы получаете готовый серверный узел в одной из локаций, импортируете конфигурацию в клиент и настраиваете pfSense как второй конец туннеля. Это даёт доступ к внутренним ресурсам извне и стабильный канал через выделенный узел.

Коротко:

• WireGuard — быстрый и простой протокол для создания защищённых туннелей между узлами.
• pfSense выступает шлюзом для внутренней сети с постоянным IP и правилами firewall.
• SANSARA предоставляет личный VPS в 9+ странах с готовой конфигурацией для импорта.
• Клиенты для iPhone, Android, Windows, macOS поддерживают импорт конфигурации из файла или QR-кода.
• Настройка сводится к созданию пары ключей, добавлению peer на обоих концах и настройке маршрутов.

Что это и кому подходит

WireGuard — это современный протокол для организации защищённых соединений между узлами. Он использует криптографию с открытым ключом, минималистичную кодобазу и работает в пользовательском пространстве. На pfSense WireGuard реализуется через плагин или пакет, превращая маршрутизатор в полноценный шлюз для туннеля.

Такая схема подходит:

• Для удалённого доступа к домашней или офисной сети (NAS, камеры, сервисы).
• Для объединения сетей между филиалами или облачными VPS.
• Для создания стабильного канала через личный сервер в другой стране.
• Для пользователей, которые хотят контролировать весь трафик через свой шлюз.

Сравнение подходов:

Как настроить по шагам (с личным VPS SANSARA)

Шаг 1. Получите личный VPS в SANSARA

Зарегистрируйтесь в кабинете SANSARA, выберите локацию (одну из 9+ стран) и активируйте личный VPS. После активации в кабинете появятся данные для подключения: адрес сервера, логин, предустановленный профиль WireGuard. Импортируйте профиль в клиент на своём устройстве — это будет удалённый конец туннеля.

Шаг 2. Установите WireGuard на pfSense

На pfSense перейдите в Package Manager, найдите пакет wireguard и установите его. После установки в меню появится раздел WireGuard. Убедитесь, что на pfSense есть стабильный интернет и вы можете резолвить DNS.

Шаг 3. Создайте туннельный интерфейс на pfSense

В разделе WireGuard → Tunnels создайте новый туннель:

• Name — например, WGSANSARA.
• Listen Port — выберите порт, например 51820.
• Private Key — сгенерируйте или вставьте свой закрытый ключ.

Сохраните туннель. Он появится как новый сетевой интерфейс в Interfaces → Assignments.

Шаг 4. Настройте пир для личного VPS SANSARA

В WireGuard → Peers добавьте нового пира:

• Interface — выберите созданный туннель.
• Description — например, SANSARA VPS.
• Public Key — публичный ключ с вашего VPS в SANSARA (берётся из профиля).
• Allowed IPs — укажите подсеть туннеля на стороне VPS, например 10.0.8.0/24.
• Endpoint — адрес и порт вашего VPS в SANSARA, например srv123.sansara.host:51820.

Сохраните пира. На стороне VPS в SANSARA через Telegram-бота SANSARA или в кабинете добавьте пира для pfSense: укажите его публичный ключ, endpoint (ваш WAN IP или динамический DNS) и allowed IPs (подсеть локальной сети, например 192.168.1.0/24).

Шаг 5. Настройте интерфейс и firewall на pfSense

В Interfaces → Assignments назначьте туннельный интерфейс, назовите его, например, WGSANSARA. В настройках интерфейса включите его, задайте статический IP из подсети туннеля (например 10.0.8.2/24).

В Firewall → Rules для нового интерфейса разрешите нужный трафик:

• Разрешите IPv4 на интерфейсе туннеля.
• Добавьте правило для доступа из туннеля в локальную сеть (например, Source: 10.0.8.0/24, Destination: LAN Net).
• При необходимости настройте NAT в Firewall → NAT для выхода туннельного трафика в интернет.

Шаг 6. Проверьте соединение

На клиентском устройстве, подключённом к VPS SANSARA, включите туннель. На pfSense в Status → WireGuard убедитесь, что пир активен. Попробуйте пинговать внутренний IP pfSense или устройство в локальной сети.

Устройства: iPhone, Android, Windows, macOS

• iPhone / iOS: Установите приложение WireGuard из App Store. В кабинете SANSARA скачайте профиль или получите QR-код. В приложении нажмите «+» → «Create from QR code» или «Import from file». После импорта активируйте туннель.
• Android: Установите официальное приложение WireGuard. Импортируйте конфигурацию из файла или отсканируйте QR-код из кабинета SANSARA. Включите туннель — устройство будет использовать личный VPS как выходной узел.
• Windows: Скачайте клиент WireGuard для Windows. Импортируйте файл конфигурации из кабинета SANSARA. После активации весь трафик или выбранные приложения пойдут через туннель.
• macOS: Установите WireGuard из Mac App Store или с официального сайта. Импортируйте профиль из кабинета SANSARA и включите туннель в системном меню или приложении.

Во всех случаях SANSARA предоставляет готовый профиль, поэтому вам не нужно вручную генерировать ключи или прописывать endpoint — достаточно импорта.

Частые ошибки и как их избежать

• Нет соединения между пирами

Проверьте, что endpoint на обоих концах указан правильно (IP и порт). Убедитесь, что порт на VPS открыт в firewall. На pfSense проверьте правила firewall для туннельного интерфейса.

• Трафик не идёт в локальную сеть

Убедитесь, что в Allowed IPs на стороне VPS указана подсеть локальной сети pfSense (например 192.168.1.0/24). На pfSense разрешите доступ из туннеля в LAN через правила firewall.

• Динамический WAN IP на стороне pfSense

Если у вас нет статического IP, используйте динамический DNS. Настройте обновление DNS на pfSense и укажите доменное имя как endpoint на стороне VPS SANSARA.

• Неправильные ключи

Убедитесь, что на pfSense и на VPS используются соответствующие пары ключей: публичный ключ пира должен совпадать с закрытым ключом на другом конце. Перегенерация ключей требует обновления конфигурации на обоих узлах.

• Конфликт подсетей

Подсеть туннеля (например 10.0.8.0/24) не должна пересекаться с локальной сетью или другими туннелями. Если пересекается — измените подсеть на одном из концов.

FAQ

Итог

• Активируйте личный VPS в SANSARA, импортируйте готовый профиль WireGuard на клиентское устройство.
• Установите и настройте WireGuard на pfSense: создайте туннель, добавьте пира для VPS, настройте интерфейс и firewall.
• Проверьте соединение между пирами и доступ из туннеля в локальную сеть.
• Используйте разные пары ключей для каждого пира и избегайте конфликтующих подсетей.
• Для динамического WAN IP применяйте динамический DNS и обновляйте endpoint на стороне VPS.