这个新功能可从pfsense 2.4.4获得，它消除了阶段2 IPsec配置中（有时非常多）IP关联的定义。使用VTI，只定义了一个阶段2，然后使用pfsense路由表将子网或IP定向到IPsec隧道。

你需要定义传输网络。通常可以使用/ 30，因为只需要两个IP（IPsec链路的每一端都有一个IP）。在这个例子中我们将使用10.6.6.1/30。

1 .IPsec配置

像往常一样创建IPsec阶段1条目（这里不再赘述）

在节点1上，按以下格式创建IPsec阶段2条目：

  • 模式：路由（VTI）

  • 本地网络：具有范围的网络 10.6.6.1/30

  • 远程网络： 10.6.6.2

  • 根据需要设置提案部分。

  • 单击保存，然后单击应用更改

在节点2上，创建与节点1类似的IPsec阶段2条目：

  • 模式：路由（VTI）

  • 本地网络：具有范围的网络 10.6.6.2/30

  • 远程网络： 10.6.6.1

  • 提案部分与节点1相同。

  • 单击保存，然后单击应用更改

2.接口的分配

在节点1和节点2上：

  • 导航到Interfaces > Assignments（网络接口>接口管理）

  • 从列表中选择接口可用网络接口ipsec1000，然后单击“添加”。注意创建的接口（OPTx）。

  • 单击“接口”> OPTx

  • 选中“启用”选框，并在“描述”字段中为接口指定合适的名称。

  • 根据需要填写其他字段。

  • 单击保存，然后单击应用更改

在pfsense系统仪表上，应该看到隧道IP地址的接口，以及网关（对应于远程节点的IP地址）。

3.路由设置

导航到System > Routing（系统>路由管理），然后单击静态路由。

在节点1上：

  • 单击添加

  • 在目标网络字段中，输入节点2的 LAN网络的范围

  • 在“网关”字段中，选择IPsec网关（它与你创建的后缀为_VTIV4的接口同名）

  • 单击保存，然后单击应用

在节点2上：

  • 单击添加

  • 在目标网络字段中，输入节点1的LAN网络范围

  • 在“网关”字段中，选择IPsec网关（它与你创建的后缀为_VTIV4的接口同名）

  • 单击保存，然后单击应用

3.1策略路由

强制将节点1的LAN IP的对外流量通过节点2的WAN IP出站。

在节点1上：

  • 创建LAN防火墙规则，根据需要设置不同的字段

  • 在高级选项的网关字段上，选择IPsec隧道网关

  • 单击保存，然后单击应用

设置后，节点1的LAN对外访问流量将通过节点2的WAN IP出站，节点2的出站NAT必须配置为自动模式。

如果不是，请在节点2上进行如下设置：

  • 导航到Firewall > NAT（防火墙>NAT），然后单击出站

  • 选择自动出站NAT规则生成

  • 单击保存

  • 在自动模式下，pfsense为分配给IPsec网关的所有路由自动创建出站NAT规则

4. IPsec隧道防火墙

所有IPsec隧道的防火墙管理都在防火墙的IPsec接口选项卡中完成（不在你创建的接口选项卡上）。

原文地址。