OPNsense 搭建OpenVPN接入AD认证

发表于2026-02-02|更新于2026-02-02|AD

|总字数:1.9k|阅读时长:6分钟|浏览量:

OPNsense 介绍

核心功能简介

🔒 安全防护

状态检测防火墙：支持精细化规则和多层过滤。
入侵检测与防御 (IDS/IPS)：内置对 Emerging Threats 规则的支持，可自动更新。
DDoS 防护与流量过滤：保障网络稳定性。
DNS 过滤与黑名单：阻止恶意域名访问。

🌐 网络与路由

VPN 网关：支持 IPsec、OpenVPN（支持外部认证）、WireGuard，适合远程办公与站点互联。
高可用 (HA) 与负载均衡：支持硬件故障转移与配置同步。
802.1Q VLAN 支持：灵活的网络分区与隔离。
动态路由与网关监控：提升网络冗余与可靠性。（FRR实现动态路由）

⚙️ 系统与管理

直观 Web 界面：基于 Bootstrap，逻辑清晰，适合无命令行经验的用户。
插件扩展：可按需启用流量整形、缓存代理、强制门户等功能。
备份与恢复：支持本地、云端（如 Google Drive）加密备份。
固件与安全更新：强大的更新机制，确保系统始终安全。

📊 监控与分析

RRD 图表与系统健康监控：直观展示网络与硬件状态。
数据包捕获与日志分析：便于排错与安全审计。
流量整形与 QoS：保障关键应用的带宽。

适用场景

家庭网络防护：千兆/万兆宽带下的安全与流量管理。
中小企业：VPN 网关、办公网络隔离与高可用部署。
远程办公：安全的站点到站点连接与移动用户接入。
实验与学习：开源生态活跃，适合技术人员测试与研究。

🛠 FRR (Free Range Routing) 简介

FRR 是一个开源的高性能路由协议套件，广泛应用于数据中心、企业网络和 ISP 环境。OPNsense 通过插件方式集成 FRR，使其不仅是防火墙，还能成为强大的路由平台。

✨ 主要特性

支持多种动态路由协议
- BGP (Border Gateway Protocol)
- OSPFv2 / OSPFv3 (Open Shortest Path First)
- RIP / RIPng (Routing Information Protocol)
- IS-IS (Intermediate System to Intermediate System)
- PIM (Protocol Independent Multicast)
- NHRP (Next Hop Resolution Protocol)
高性能与可扩展性
- 适合大规模网络环境，支持数千路由前缀。
- 与 OPNsense 的防火墙规则、VPN、负载均衡等功能无缝结合。
灵活的管理方式
- 提供 CLI（vtysh）和 OPNsense Web 界面配置。
- 支持路由策略控制（Route Maps、Prefix Lists、Access Lists）。
社区活跃与持续更新
- FRR 是 Quagga 的分支，发展更快，功能更全。
- 在 OPNsense 中可通过插件快速安装和更新。

📊 使用场景

企业多站点互联：通过 BGP/OSPF 实现自动路由更新，减少人工维护。
数据中心与云环境：支持大规模 BGP 会话，适合边界网关与多租户网络。
混合网络架构：结合 OPNsense 的 VPN 功能，实现跨区域动态路由。
实验与学习：FRR 提供完整的路由协议实现，非常适合网络工程师测试与研究。

🌐 Web 认证 (Captive Portal)

Web 认证是 OPNsense 提供的一种强制门户 (Captive Portal) 功能，常用于公共网络或企业访客网络。用户在接入网络后，必须通过浏览器弹出的认证页面登录或接受使用条款，才能访问外部网络资源。

✨ 主要特性

多种认证方式
本地用户数据库
RADIUS / LDAP 集成
通过外部认证服务器统一管理账号
支持一次性凭证或访客账号
灵活的访问控制
可按用户、组或时间段限制网络访问
支持带宽限制与会话时长控制
可结合防火墙规则实现精细化策略
自定义门户页面
管理员可定制登录页面的样式与内容
支持显示使用条款、广告或品牌信息
日志与审计
记录用户登录、登出、流量使用情况
便于合规审查与安全追踪

📊 使用场景

企业访客网络：为来访人员提供临时上网权限，避免直接接入内部网络。
学校与图书馆：通过统一认证控制学生或访客的网络使用。
酒店与公共 Wi-Fi：提供品牌化的登录页面，同时可收集用户信息。
社区或共享网络：通过 Web 认证实现公平使用与安全管理。

图例

OPNsense ISO下载和安装

南京大学下载： https://mirror.nju.edu.cn/opnsense/releases/mirror/

下载文件示例： https://mirror.nju.edu.cn/opnsense/releases/26.1/OPNsense-26.1-dvd-amd64.iso.bz2 ，默认压缩，可使用Bandzip 解压出ISO用于安装

PS：虚拟机创建兼容性需要选择FreeBSD，推荐4C4G 两个网卡。

安装

注意安装过程启动默认IP是192.168.1.1 绑定第一个网卡。

输入安装用户 installer 密码 opnsense 进入安装界面

回车进入安装流程

回车选择安装的文件系统 ZFS / UFS （如果硬件资源较低可选择UFS）

我这里选择UFS，ZFS选择需要配置RAID等级和成员硬盘。

回车选择安装系统的目标硬盘（注意会清空数据）

提示会清空数据

等待创建分区和写入数据

安装完成后可修改密码和结束安装重启

默认root密码为opnsense

登录系统后在本地控制台配置网卡

会绑定第一个网卡为LAN，默认IP为 192.168.1.1/24

输入2 进入配置网卡IP

输入N LAN 选择不通过DHCP获取IP
输入静态IP
选择子网掩码为24
不输入回车，不选择网关
输入N 不配置DHCPv6

不输入回车，不配置IPv6地址
输入N ，不在LAN接口配置DHCP服务器
输入N，不修改访问方式为HTTPS
输入N，不生成HTTPS证书
输入Y，重置Web访问。

完成后可通过http://192.168.77.10 访问

默认root账号密码为 opnsense

初始化配置

配置为中文时区

修改为东八区-上海
修改语言为简体中文
拉到最后选择保存

配置WAN - 网关 - DNS

配置更新镜像为国内南京大学

地址：https://mirror.nju.edu.cn/opnsense

配置完成后可在插件安装os-vmware (用于VMware 虚拟机)，os-qemu-guest-agent 用于QEMU-KVM虚拟机

配置 AD LDAP 认证服务器

系统 - 访问 - 服务器 - 添加

描述名称任意
类型选择LDAP
输入域控服务器的IP或主机名
传输选择TCP 为明文传输
绑定证书（域控用户）输入类似格式的账号和对应密码
Base DN，输入域名，类似 cn=songxwn,cn=local
认证容器，限定搜索认证的OU范围，点击选择可以读取选择。（上面的配置可用）
初始化模板选择微软AD
勾选自动创建用户

生成OPENVPN服务器证书

生成本地CA

系统 - 证书 - 颁发 - 添加

输入描述
输入有效期，最好是10年以上
选择国家
输入通用名称，输入一个域名。

基于本地CA生成服务器证书

系统 - 证书 - 证书 - 添加

选择创建内部证书
输入描述
选择类型为服务器证书
选择发行人为上面创建的CA
输入有效期为十年以上
输入通用名称，输入域名。

配置OPENVPN 服务器实例

VPN - OpenVPN - 实例 - 添加

运维技术交流群

发送邮件到 ➡️ [email protected]

或者关注WX公众号：网工格物

微信扫码

博客（最先更新）

https://songxwn.com/

文章作者: Song

文章链接: https://songxwn.com/opensense-openvpn-ad/

版权声明: 本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源网工格物 - Blog！

ldap network freebsd openvpn opnsense

相关推荐

什么是OSPFv2 ?

什么是OSPF ?开放式最短路径优先 OSPF（Open Shortest Path First）是IETF组织开发的一个基于链路状态的内部网关协议（Interior Gateway Protocol）。目前针对IPv4协议使用的是OSPF Version 2（RFC2328）；针对IPv6协议使用OSPF Version 3（RFC2740）。本文章中所指的OSPF均为OSPF Version 2。 PS：OSPFv2的最新RFC标准为9454。什么是链路状态路由协议链路状态路由选择协议又称为最短路径优先协议或分布式数据库协议，它基于Edsger Dijkstra的最短路径优先（SPF）算法。比距离矢量路由协议复杂得多，但基本功能和配置却很简单，算法易理解。链路状态协议从网络或者网络的限定区域内的所有其他路由器处收集信息，最终每个链路状态路由器上都有一个相同的有关网络的信息。并且每台路由器都可以独立的计算各自的最优路径。链路状态路由协议是层次式的，网络中的路由器并不向邻居传递“路由项”，而是通告给邻居一些链路状态。与距离矢量路由协议相比，链路状态协议对路由的计算方法有本...

Juniper MX搭建LDP信令的MPLS L2 VPLS组网

简介本实验使用Juniper vMX 在PNET-LAB上运行搭建，使用LDP信令搭建VPLS。 Juniper 系列文章：https://songxwn.com/categories/Juniper/ 基础理论VPLS称为虚拟专用局域网业务（Virtual Private LAN Service），是公用网络中提供的一种点到多点的L2VPN（Layer 2 Virtual Private Network）业务，使地域上隔离的用户站点能通过MAN/WAN（Metropolitan Area Network/Wide Area Network）相连，并且使各个站点间的连接效果像在一个LAN（Local Area Network）中一样。它是一种基于MPLS（MultiProtocol Label Switching）和以太网的二层VPN技术，也被称为透明局域网业务TLS（Transparent LAN Service）。 VPLS的典型组网如下图所示，处于不同物理位置的用户通过接入不同的PE设备，实现用户之间的互相通信。从用户的角度来看，整个VPLS网络就是一个...

华为USG 防火墙发送会话日志和URL业务日志

简介日志是FW在运行过程中产生的信息，记录了FW上各个功能模块的工作情况以及网络中各种业务的运行状态。管理员通过查看这些日志信息，实时了解FW的运转情况，掌握网络中的业务状态、安全情况和流量趋势。管理员还可以通过日志信息来进行回溯取证，定位问题等。本文主要收集用户的上网流量日志，用于日后分析。 syslog日志服务器搭建可参考：https://songxwn.com/tags/syslog/ 华为USG防火墙支持输出多种类型的日志，每种类型的日志功能不同，具体如下：会话日志报文经过FW处理后将会在FW上建立会话。FW支持会话信息的输出，管理员可以根据实际需要，选择在会话老化后输出、新建会话时输出、或者定期输出会话信息。丢包日志报文被FW丢弃后，FW支持将报文的信息以及被丢弃的原因输出。报文被丢弃的原因包括未命中会话表而被丢弃、未通过安全策略检查而被丢弃等。业务日志当流量到达或通过FW时，FW会基于应用、服务等信息，对用户的各种业务流量进行业务识别和威胁管控，同时记录日志信息。FW支持输出威胁日志、内容日志、策略命中日志、邮件过滤日志、URL过滤日志以及审计日志等业务日志...

盛科交换机Zabbix SNMP硬件监控模板

简介适用于盛科使用CentecOS系列的交换机，如E580/E530/E680等。 1、自动扫描电源，并监测状态。2、自动扫描风扇，并监测状态。3、自动扫描温度传感器，并监测状态，自动匹配最高和最低温度告警，4、监测CPU、内存等状态。5、获取开机时间、序列号、交换机系统版本。6、自动扫描光模块，并记录其收光状态。（无告警）下载地址：https://songxwn.com/file/Centec_CentecOS_Hardware_by_SNMP2024.zip 123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475767778798081828384858687888990919293949596979899100101102103104105106107108109110111112113114115116117118119120...

VXLAN 转发原理

介绍VXLAN工作原理如下：在每个数据中心的交换机上都配置一个VTEP（VXLAN Tunnel Endpoints），用于封装和解封装VXLAN报文。在两个VTEP之间建立一个VXLAN隧道，用于在两个数据中心之间传输封装后的VXLAN报文。当虚拟机之间需要通信时，它们的报文会被发送到所在数据中心的交换机上。交换机上的VTEP会将报文封装成VXLAN报文，并通过VXLAN隧道发送到另一个数据中心的交换机上。另一个数据中心的交换机上的VTEP会将VXLAN报文解封装，还原成原始报文，并发送给目标虚拟机。这样，虚拟机之间就可以通过VXLAN隧道进行通信了。本文章介绍了其工作原理和配置方案。本文章是针对华为系列网络设备的学习笔记。 VXLAN隧道的建立方式VXLAN隧道由一对VTEP确定，报文在VTEP设备进行封装之后在VXLAN隧道中依靠路由进行传输。只要VXLAN隧道的两端VTEP是三层路由可达的，VXLAN隧道就可以建立成功。根据VXLAN隧道的创建方式将VXLAN隧道分为以下两种：静态隧道：通过用户手工配置本端和远端的VNI、VTEP IP地址和头端复...

智能无损网络 - 华为

定义智能无损网络是基于PFC优先级流控机制，结合智能化拥塞控制技术，使以太网满足分布式高性能应用无丢包、低时延、高吞吐诉求的能力。本文档介绍了智能无损网络的配置，具体包括PFC优先级流量控制、无损队列的缓存空间优化、无损队列的动态ECN门限、无损队列的AI ECN门限、快速ECN拥塞标记、快速CNP拥塞通知、无损队列的大小流区分调度、动态负载分担和网算一体。目的随着全球企业数字化转型的加速进行，数据中心的使命正在从聚焦业务快速发放向聚焦数据高效处理进行转变。为了提升数据处理的效率，HPC高性能计算、分布式存储、AI人工智能等当今热门应用要求数据中心网络具有无丢包、低时延、高吞吐的能力。然而传统的基于TCP/IP协议栈的网络通信由于在数据拷贝等关键环节资源消耗较大并且时延过高，无法满足对网络性能的高要求。 RDMA（Remote Direct Memory Access，远程直接内存访问功能）利用相关的硬件和网络技术，使服务器的网卡之间可以直接读内存，最终达到高带宽、低时延和低资源消耗率的效果。但是RDMA专用的InfiniBand网络架构封闭，无法兼容现网，使用成本...

Linux下的网络测试

简介本文章介绍了 Linux下iperf3（点对点测试），speedtest（公网测试）的安装和使用方法。 iperf3Centos (RHEL、Fedora、Rocky Linux等Redhat系发行版) 安装iperf3yum -y install iperf3 systemctl stop firewalld.service 临时关闭防火墙，作为服务端启动时候，默认会使用5201端口，需要放开此端口。 Ubuntu（Mint、Debian系发行版）安装iperf3sudo apt update sudo apt install iperf3 sudo ufw disable 永久关闭防火墙，作为服务端启动时候，默认会使用5201端口，需要放开此端口。 iperf3 使用方法（全平台通用）iperf3 -s 开启iperf3 服务器端，默认使用5201端口。 iperf3 -s -p 9527 开启服务器端，指定开启端口为9527。 iperf3 -c 192.168.0.1 -c 参数客户端指定服务器端IP或域名进行打流测试，默认使用TCP端口5201测试。(默认使用最大带...

AD系列：Windows Server 2025 搭建NPS-Radius服务器

简介通过微软的NPS角色实现一个Radius服务器，身份验证和证书使用微软ADCS、ADDS。最终可实现通过AD用户进行802.1X协议进行接入认证，配置到接入交换机和WLC（无线控制器），可通过安全组分配指定VLAN。 AD 系列文章：https://songxwn.com/categories/AD/ PS：加入域控的Windows终端可无感认证（通过组策略和域控下发CA。）示意图什么是 802.1X？802.1X 是由IEEE（电气和电子工程师协会）定义的一个网络访问控制标准，主要用于局域网（LAN）和无线局域网（WLAN）的端口级接入控制，保障网络安全。核心作用通过身份验证机制控制设备（如计算机、手机）接入网络的权限。防止未授权设备访问网络资源。常用于有线网络接入（以太网）和无线Wi-Fi网络的安全访问。 802.1X的组成角色 Supplicant（客户端）网络接入设备（例如电脑、手机）上运行的客户端软件，负责向网络请求访问权限并提供身份凭证（如用户名/密码、证书等）。 *Authenticator（认证者）*网络设备（如交换机端口、无线接入...