Настройка WireGuard на pfSense в 2026 году

WireGuard на pfSense позволяет построить быстрый и безопасный туннель между вашим шлюзом и личным VPS SANSARA. Вы получаете защищённый канал для удалённого доступа к сети или для маршрутизации части трафика через выделенный узел. Начать можно сразу после регистрации в SANSARA: данные для подключения появляются в кабинете, остаётся импортировать их в клиент на устройстве.

Коротко:

• WireGuard — современный протокол с минимальными накладными расходами и простой конфигурацией.
• pfSense поддерживает WireGuard через официальный пакет в менеджере пакетов.
• SANSARA предоставляет личный VPS с готовыми настройками для WireGuard в нескольких локациях.
• Совместимость: iPhone, Android, Windows, macOS.
• Настройка занимает несколько минут и не требует работы в терминале.

Что это и кому подходит

WireGuard — это протокол для создания защищённых туннелей между узлами. Он использует криптографию на основе открытых ключей и работает быстрее многих традиционных решений. На pfSense WireGuard реализован как отдельный пакет, который добавляет интерфейсы туннеля в систему.

Такая связка подходит:

• Для удалённого доступа к домашней или офисной сети через личный VPS.
• Для маршрутизации части трафика через выделенный узел в другой стране.
• Для соединения двух сетей по схеме «сайт-туннель-сайт».
• Пользователям, которые хотят простой и стабильный защищённый канал без сложных настроек.

Если вы уже используете личный VPS SANSARA, то настройка сводится к копированию ключей и адресов из кабинета в pfSense и клиентское приложение.

Как настроить по шагам (с личным VPS SANSARA)

1. 01Установите пакет WireGuard в pfSense

В веб-интерфейсе pfSense перейдите в System → Package Manager → Available Packages, найдите wireguard, установите его. После этого в меню появится раздел VPS → WireGuard.

1. 01Создайте туннель на pfSense

В VPS → WireGuard → Tunnels нажмите Add.

• Укажите понятное описание, например SANSARA-туннель.
• Listen Port — обычно 51820.
• Нажмите Generate для создания пары ключей.

Сохраните публичный и приватный ключи — они понадобятся для настройки узла SANSARA.

1. 01Добавьте пир (узел SANSARA)

В VPS → WireGuard → Peers создайте новую запись:

• Public Key — публичный ключ вашего личного VPS SANSARA (берётся из кабинета).
• Allowed IPs — диапазон адресов, которые будут доступны через этот туннель, например 10.0.0.0/24 или 0.0.0.0/0 для всего трафика.
• Endpoint — адрес и порт вашего узла SANSARA (указаны в кабинете).
• Persistent Keepalive — например 25, чтобы туннель не разрывался при простое.

1. 01Назначьте интерфейс и настройте правила

• В Interfaces → Assignments добавьте новый интерфейс для WireGuard туннеля.
• В Firewall → Rules для этого интерфейса разрешите нужный трафик (например, все исходящие соединения).
• Если требуется маршрутизация через туннель, настройте статические маршруты в System → Routing.

1. 01Импортируйте конфигурацию в клиентское приложение

В кабинете SANSARA вы получите готовый файл конфигурации WireGuard для вашего устройства.

• На телефоне или компьютере откройте приложение WireGuard.
• Импортируйте конфигурацию из файла или QR-кода.
• Активируйте туннель.

После этого трафик между pfSense и вашим личным VPS будет идти через защищённый канал WireGuard.

Устройства: iPhone, Android, Windows, macOS

WireGuard поддерживается на всех популярных платформах через официальные клиенты или сторонние приложения.

• iPhone / iPad: установите WireGuard из App Store. Конфигурацию можно добавить через QR-код из кабинета SANSARA.
• Android: приложение WireGuard доступно в Google Play. Импортируйте конфиг из файла или считайте QR-код.
• Windows: используйте официальный клиент WireGuard для Windows. После установки импортируйте файл конфигурации из кабинета.
• macOS: клиент WireGuard для macOS позволяет быстро добавить туннель через импорт файла или ручной ввод.

Во всех случаях вам не нужно вручную генерировать ключи или править конфиги — Telegram-бот SANSARA и кабинет предоставляют готовые настройки под ваше устройство.

Частые ошибки и как их избежать

• Туннель не поднимается, нет хендшейка

Проверьте:

• Публичный ключ пира на pfSense совпадает с публичным ключом узла SANSARA.
• Endpoint (адрес и порт) указаны правильно.
• Брандмауэр на pfSense разрешает входящие соединения на порт WireGuard.
• На узле SANSARA туннель активирован и слушает на нужном порту.

• Трафик не идёт через туннель

Убедитесь, что:

• Allowed IPs на стороне пира включают нужные подсети.
• В правилах брандмауэра для интерфейса WireGuard разрешён трафик.
• Маршруты на pfSense направляют трафик через интерфейс WireGuard.

• Потеря связи при простое

Установите Persistent Keepalive (например, 25 секунд) на стороне пира, который находится за NAT. Это поможет поддерживать туннель активным.

• Конфликт портов или сервисов

Убедитесь, что порт WireGuard не занят другим сервисом на pfSense или на узле SANSARA. Если нужно, смените порт в настройках туннеля.

• Неправильный порядок настройки

Сначала создайте туннель и пиры на pfSense, затем импортируйте конфигурацию на клиентское устройство. Если делать наоборот, хендшейк может не произойти.

FAQ

Итог

• Установите пакет WireGuard в pfSense, создайте туннель и пир с ключами из кабинета SANSARA.
• Назначьте интерфейс, настройте правила брандмауэра и маршруты для трафика через туннель.
• Импортируйте готовую конфигурацию WireGuard из кабинета SANSARA в приложение на iPhone, Android, Windows или macOS.
• Используйте Persistent Keepalive и проверяйте ключи/endpoint, чтобы избежать разрывов туннеля.
• Для сложных сценариев (site-to-site, политическая маршрутизация) используйте статические маршруты и раздельные пиры под каждую задачу.