pfSense / OPNSense - Generalna diskusija, pitanja i saveti.

[alex303]

To je to, Probacu sa raznim vrednostima, sustina da dobijem maksimalan Mb/s, a da ne opterecujem taj Dpinger servis i da nema Pocket loss.

27-29 Mbps na Download shaperu bi trebalo da reši problem.

Samo jos jedno pitanje, ako zelim da probam jos neki VPN, da li nesto steti pfSense,

Ne šteti. Možeš da imaš ExpressVPN, PIA, CyberGhost ...itd. Nema ograničenja ni u briju tunela. Jedino ograničenje se može javiti ako imaš baš ogroman broj VPN konekcija. Preko 100. Onda je ograničavajući faktor CPU i memorija.

i ako mi se ne dopadna da obrisem taj WAN port i sve ostalo sto je vezano za taj VPN.

Nema potrebe da brišeš ništa. Nikada ne znaš kad ti može zatrebati. Ako baš hoćeš da rasteretiš sistem, dovoljno je ugasiti OpenVPN tunel i to je to.

Kolike su normalne/dozvoljene temperature procesora, meni su oko 48-50, miniPC mi stoji u ormanu, ali sam ga stavio na laptop postolje sa ventilatorima.

Ne treba da brineš o tome na Qotom mašini. Dok god ne prelaziš 75C, nemaš razloga za brigu. Normalno je da kućište bude poprilično vruće na dodir. To znači da se CPU odlično oslobađa temperature. Evo idle temperatura kod mene sa 6 OpenVPN i 6 WireGuard tunela.

 

[artur]

Imam par pitanja:

1.
Da li mogu da upalim ovu opciju, s'obzirom da imam Intel procesor a cini mi se da podrzava:

VPN / OpenVPN / Clients / Edit


2.
Uzeo sam da probam AirVPN na mesec dana, cisto da probam, i kod njih je mislio sam mnogo lakse da se otvori port.
Naravno da sam ispratio celo uputstvo i ne vredi. Da li i za VPN mora da se ima fiksna IP adresa, da nije iza CGNAT-a
da bi mogao da se otvori port.

3.
Za kucnu upotrebu, da li je bitno podesavati NTP na pfSense

4.
Malo o DNS-u,

Da li su ovo OK vrednosti


Isto me zanima koja je razlika izmedju VPN-ovg DNS i pfBlockerNG, isto tako koriscenje VPN u svakodnevnom radu,
pristupanju Bankarskim Online servisima, Privatnim Tarackerima, ..., da li ima neko nepisano pravilo tipa, mobilni telefoni
idu preko toga i toga, Android boxovi toga i toga, Deciji PC, menagment device, ...
Nasao sam i ovo

 

[alex303]

Imam par pitanja:

1.
Da li mogu da upalim ovu opciju, s'obzirom da imam Intel procesor a cini mi se da podrzava:

VPN / OpenVPN / Clients / Edit
Pogledajte prilog 454508

Da.

2.
Uzeo sam da probam AirVPN na mesec dana, cisto da probam, i kod njih je mislio sam mnogo lakse da se otvori port.
Naravno da sam ispratio celo uputstvo i ne vredi. Da li i za VPN mora da se ima fiksna IP adresa, da nije iza CGNAT-a
da bi mogao da se otvori port.

Ne treba javna IP adresa i nebitno je da li je NAT ili ne. Ako VPN provajder podržava port forwarding, to mora da radi. Na žalost, sve više i više VPN provajdera ukida port forwarding zbog zloupotrebe. Ljudi koriste ovu velikodušnost VPN provajdera za hostovanje ilegalnog sadržaja. Tako da me nebi uopšte iznenadilo da je port forwarding odavno isključen na AirVPN-u.

3.
Za kucnu upotrebu, da li je bitno podesavati NTP na pfSense

Ne. pfSense ima iskonfigurisan sopstveni NTP server out of the box.

4.
Malo o DNS-u,

Da li su ovo OK vrednosti
Pogledajte prilog 454511

Za pfsense.org, to su ok vrednosti.

Isto me zanima koja je razlika izmedju VPN-ovg DNS i pfBlockerNG, isto tako koriscenje VPN u svakodnevnom radu,

Poređenje je besmisleno jer pfBlockerNG ne radi ništa. On samo konvertuje DNSBL i IP block liste u aliase i onda od tih aliasa pravi firewall pravila koja blokiraju ili dozvoljavaju pristup. Tako da sav ad blocking / ip blocking radi pfSense. pfBlockerNG je samo tool koji olakšava pravljenje firewall pravila na osnovu block listi.

pristupanju Bankarskim Online servisima, Privatnim Tarackerima, ..., da li ima neko nepisano pravilo tipa, mobilni telefoni
idu preko toga i toga, Android boxovi toga i toga, Deciji PC, menagment device, ...

Nema pravila. Čemu ćeš moći da pristupiš preko VPN-a zavisi od samog VPN provajdera, a zavisi i od samog sajta koji posećuješ. Na primer, Intesa net banking jedno vreme nije radila preko Mullvad VPN-a jer su admini u intezi blokirali pristup sajtu preko VPN-a zbog zloupotrebe. Sajtu kupujem prodajem ne možeš pristupiti preko nekih VPN servisa jer i oni blokiraju pristup preko VPN-a zbog zloupotrebe. A ima i situacija kada VPN provajder smatra da je neki sajt maliciozan ili je reported od strane korisnika i onda je blacklistovan od strane VPN-a.

U takvim situacijama treba napraviti alias sa svim sajtovima kojima želiš da pristupaš koristeći svoj ISP direktno, napraviš pass firewall rule, slektuješ WAN gateway umesto VPN gateway-a i taj firewall rule staviš ispred glavnog firewall rule-a koji rutira sav traffic preko VPN-a. Ja sam to kod mene uradio ovako.

Ovo je firewall rule:



Ovo je NAT rule.


"Core" je alias koji sadrži IP adresu uređaja kojem je potreban pristup direktno bez VPN-a. "External" je alias koji sadrži IP adrese sajta u CIDR formatu. I sav saobraćaj ide preko WAN2 gateway-a koji je u mom slučaju MTS optika. Kad želim da whitelistujem nešto, dovoljno je dodati IP CIDR u alias "External" i to je to. Samo je bitno da ovaj firewall rule bude ispred firewall rule-a koji rutira sav saobraćaj preko VPN-a.

Nasao sam i ovo
Pogledajte prilog 454512

Ovo je upravo ono što sam napisao gore, ali su takve situacije jako retke. A taj problem se rešava eksternim rutiranjem kao što sam opisao gore. Firewall pravila koja sam okačio gore rade i za DNS. Tako da neke sajtove možeš da whitelistuješ na taj način. Recimo da ti za benchmark uvek koristi 9.9.9.9 kao DNS resolver, dok za neki privatni tracker koristi DNS od VPN-a. Imaš milion mogućnosti...

 

[artur]

Ok, sve jasno.

AirVPN se bas time hvali i reklamira, Ima u Client Area kada se ulogujes na svoj account, opcija da zatrazis da ti dodele
otvorni port, moze do 5 portova, ovako izgleda

potrazicu pomoc na njihovom forumu.

 

[alex303]

AirVPN se bas time hvali i reklamira, Ima u Client Area kada se ulogujes na svoj account, opcija da zatrazis da ti dodele
otvorni port, moze do 5 portova, ovako izgleda
Pogledajte prilog 454524

Znam. Potpuno ista priča sa Mullvad VPN-om. To im je bio main selling point, a onda su iznenada ugasili. Par meseci nakon toga, na njihovom sajtu obaveštenje da je port forwarding usluga ukinuta zbog zloupotrebe.

potrazicu pomoc na njihovom forumu.

Šta je konkretno problem i kako si odradio port forward na pfSense strani ? Nadam se da razumeš da port forward radiš na interfejsu od VPN-a.

 

[artur]

Šta je konkretno problem i kako si odradio port forward na pfSense strani ? Nadam se da razumeš da port forward radiš na interfejsu od VPN-a.

Tako je, evo par slika

TorrentInboundPort - port koji sam dobio od AirVPN
TorrentHost - ip adresa od unraida gde se nalazi qBittorrent docker

Unraide Server dobija IP adresu od VPN-a



canyouseeme.org


Sto se tice optercenja Dpinger servisa i da nema Pocket loss, nasao sam i resenje da se ukljuci, samo ne znam da li je ispravno.
Ne treba ogranicenje brzine.

VPN / OpenVPN / Clients / Edit

 

[alex303]

Tako je, evo par slika
Pogledajte prilog 454569
TorrentInboundPort - port koji sam dobio od AirVPN
TorrentHost - ip adresa od unraida gde se nalazi qBittorrent docker

Mislim da nisi dobro odradio. Da li unutar NAT rule-a imaš popunjena polja u kojima se radi redirect IP i porta ? Slikaj mi to da vidim. Koliko se sećam forwarding rule treba da napraviš ovako.

Interface: AIR_SRB
Protocol: TCP/UDP
Source: Any
Source Port Range: Any
Destination: AIR_SRB address
Destination Port Range: Od 47057 do 47057
Redirect Target IP: IP adresa ili alias Unraid servera.
Redirect Target Port: 47057

Ne zaboravi da u qBittorrent-u staviš port 47057.


Šta pokazuju logovi kad odeš u Status / System Logs / Firewall ?

Sto se tice optercenja Dpinger servisa i da nema Pocket loss, nasao sam i resenje da se ukljuci, samo ne znam da li je ispravno.
Ne treba ogranicenje brzine.

VPN / OpenVPN / Clients / Edit
Pogledajte prilog 454578

Ta opcija obavezno treba biti uključena kao što sam objasnio u ovom postu.


Ali ta opcija nema nikakve veze sa problemom koji ti imaš. Ta opcija služi da OpenVPN ne vuče sopstvene rute i DNS podešavanja sa VPN servera i treba biti uključena bez obzira da li je u pitanju ExpressVPN, AirVPN ili neki drugi.

 

[artur]

Evo gde se pominnje 47057

 

[alex303]

Hmmmm to je verovatno request od trackera na tom portu ali mi nije jasno zašto dolazi na WAN interfejs od oriona. Probaj da klikneš na + ikonu da automatski napravi allow rule. I reci mi na kom interfejsu je napravio taj rule.

 

[artur]

Nisam isao na Confirm

 

[alex303]

Klikni confirm i proveri da li radi. Ako i dalje ne radi, opet proveri firewall log i daj da vidimo gde je još zapeo sa portom 47057.

 

[artur]

Sada se pojavljuju druge IP adrese

81.171.22.132:41669
84.252.113.7:35448

Da ne pravi problem pfBlockerNG koji je u floating rules

Meni u qBittorrentu pokazuje u status baru zelenu ikonu da je konektovan, ne znam da li je to dovoljno, da li mora da ookazuje na canyouseeme.org de je port otvoren.
Tako mi je pokazivao i sa PIA VPN bez akrobacija sa otvaranjem porotova.

 

[alex303]

Sada se pojavljuju druge IP adrese

81.171.22.132:41669
84.252.113.7:35448

Da ne pravi problem pfBlockerNG koji je u floating rules

Meni u qBittorrentu pokazuje u status baru zelenu ikonu da je konektovan, ne znam da li je to dovoljno, da li mora da ookazuje na canyouseeme.org de je port otvoren.
Tako mi je pokazivao i sa PIA VPN bez akrobacija sa otvaranjem porotova.

canyouseeme nije nikakva garancija da je port otvoren ili ne. Bitno je da li te vidi tracker i da li ti radi seeding. Probaj da ugasiš pfblocker.

 

[artur]

Ovo je Pocket Capture na portu 47057 i AIR_SRB Intreface kada je ukljucen qBittorrent. Kada iskljucim qBit stane i log

 

[alex303]

Ništa mi to ne znači.

 

[artur]

A ja se obradovao, radi mi seed, moram da proverim da li me vide trackeri, to maram da se ulogujem na svaki pa da proverim.

Ovo je spisak skinutih torrenta sa jednog privatnog trackera, ista je IP adresa koju sam dobio preko AirVPN-a, 146.x.x.x

 

[artur]

Kako najlakse da obrisem sve u vezi AirVPN, pa da pocnem izpocetka. Da li potrebno brisati sve rucno,
System/Certificates/Certificates
VPN/OpenVPN/Clients
Interfaces
System/Routing/Gateways

Za ubuduce, da li je pametno kada obrisem AirVPN, da bekapujem konfiguraciju pa je vracam i ponovo konfigurisem OpenVPN, mada bih pre probao sa WireGuard

 

[alex303]

Da li potrebno brisati sve rucno,

Da.

System/Certificates/Certificates
VPN/OpenVPN/Clients
Interfaces
System/Routing/Gateways

Briši ovim redom.

VPN Client.
Interface.
Sertifikati.

Sve ostalo će nestati kad obrišeš ova 3. Nisam siguran, ali mislim da i interface nestaje ako se obriše VPN instanca. Ne zaboravi da ukloniš AirVPN DNS servere ako si ih stavljao u upstream ili u DHCP server. Briši samo ako ne planiraš više da koristiš AirVPN.

Za ubuduce, da li je pametno kada obrisem AirVPN, da bekapujem konfiguraciju pa je vracam i ponovo konfigurisem OpenVPN, mada bih pre probao sa WireGuard

Pa trebao bi da bekapuješ i pre i posle brisanja. Samo dodeli ime config fajlu kako bi znao koji je pre, a koji posle brisanja.

 

[artur]

OK,
Kada se pravi config fajl sa sertifikatima na AirVPN ima vise opcija


I tri SRB servera.
Prvi put kada sam otvarao stavio sam UDP, e sad kazu da sajtovi za proveru otvorenosti porta samo kontrolisu TCP a i qBit ima samo TCP i uTP protokol.
Mada cu prvo probati WireGuard. Ovo pisem zato sto si napisao da ne brisem ako necu da koristim vise AirVPN, hocu ali sa drugom konfiguracijom.

 

[alex303]

Ako i dalje planiraš da koristiš AirVPN, onda nema potrebe ništa da brišeš. Jednostavno napravi novu OpenVPN instancu i to je to. Ili modifikuj postojeću. WireGuard se ne oslanja na sertifikate, tako da nema potrebe njih da uklanjaš. OpenVPN i WireGuard konfiguracija se ne kolju.

 

[artur]

Mene nema i tema mrtva
Jedno brzinsko pitanje.
Ne znam kako i zasto sam instalirao pfBlockerNG a sada citam i kazu da je bolja "devel" verzija, da li da predjem i da li je OK izbrisati obicnu i instalirati devel verziju.
Nisam nista specijalno konfigurisao pfBlockerNG tako da nista ne gubim. Sve je pocelo citajuci DNS temu, i kada sam cekirao ovim sajtom, dobio sam rezultat 71%.

PS.
Uspeo sam da instaliram WireGuard protokol za AirVPN i da otvorim port za qBit i mogu reci da je nekoliko puta brzi za D/L od OpenVPN protokola.
Mislim da moze da se instalira i za PIA samo skript koju smo vec pominjali treba startovati na LINUX masini i lako se dobije config file. (ja sam mislio da sve to pokrece u pfSense)
Sto se tice otvaranje porta, gresku sam pravio sto ceo lanac mora da bude startovan i podesen. Otvoren port na AirVPN sajtu, podesavanje pfSensa, podesen docker na Unraidu,
i qBit podesen na navedeni port, ja sam gresio jer sam mislio da ne mora da bude podesen Unraid i qBit i moraju da budu startovani.
I sto kazu uvek je greska u korisniku pfSense nikada ne gresi.

 

[alex303]

Mene nema i tema mrtva
Jedno brzinsko pitanje.
Ne znam kako i zasto sam instalirao pfBlockerNG a sada citam i kazu da je bolja "devel" verzija, da li da predjem i da li je OK izbrisati obicnu i instalirati devel verziju.
Nisam nista specijalno konfigurisao pfBlockerNG tako da nista ne gubim. Sve je pocelo citajuci DNS temu, i kada sam cekirao ovim sajtom, dobio sam rezultat 71%.

Devel i obična verzija su spojene u jednu pre par meseci. To što si čitao je stara informacija.

PS.
Uspeo sam da instaliram WireGuard protokol za AirVPN i da otvorim port za qBit i mogu reci da je nekoliko puta brzi za D/L od OpenVPN protokola.

Odličan je WireGuard. U sledećoj verziji pfSense-a će biti integrisan isto kao o OpenVPN. Neće biti potrebe instalirati dodatni paket.

Mislim da moze da se instalira i za PIA samo skript koju smo vec pominjali treba startovati na LINUX masini i lako se dobije config file. (ja sam mislio da sve to pokrece u pfSense)

Može na Linuxu a može i u pfSense-u kroz SSH. Na Linuxu je lakše.

Sto se tice otvaranje porta, gresku sam pravio sto ceo lanac mora da bude startovan i podesen. Otvoren port na AirVPN sajtu, podesavanje pfSensa, podesen docker na Unraidu, i qBit podesen na navedeni port, ja sam gresio jer sam mislio da ne mora da bude podesen Unraid i qBit i moraju da budu startovani. I sto kazu uvek je greska u korisniku pfSense nikada ne gresi.

Kada bi samo znao koliko sam ja puta pogrešio ...

 

[Devil 2000]

Jel greska ako se drzi stalno ukljucen wireguard na laptopu iako sam pola vremena na kucnom wifi a pola na poslu?
Ima li nekih posledica u protoku i latenciji ?

 

[alex303]

Jel greska ako se drzi stalno ukljucen wireguard na laptopu iako sam pola vremena na kucnom wifi a pola na poslu?

Ne.

Ima li nekih posledica u protoku i latenciji ?

Ne.

 

[Pistolero]

Pozdrav svima, relativno skoro sam se upustio u homelab vode pa je dosao red da testiram i pfSense/OPNsense. Uzeo sam jednu od pasivno hladjenih N305 masina sa 6 portova koji su svi Intel I226-V.

Plan mi je da koristeci Proxmox hostujem VM sa pfSenseom ili OPNsensom plus jos po neki lightweight VM i LXC container-e.

Digao sam Proxmox kao hipervizor i napravio VM za OPNsense koji sam uspesno instalirao. LAN port radi kako treba (inicijalno sam ga povezao sa mojom masinom) i njega sam preko intro wizard-a prebacio na 10.x.x.1/24 kako bih izbegao sudaranje sa ruterom koji sam dobio od Telekoma (Huawei HG8245W5-6T) koji je na 192.168.1.1/24.

Problem je sto WAN port koji sam definisao kao bridge na jednom od zasebnih fizickih portova masine uporno dobija lokalnu IP adresu (192.168.1.xxx/24), a ne moju javnu IP adresu. Prvo sam probao da WAN port zakacim za switch (USW-16-PoE) sto mislim da pravi papazjaniju, a onda sam ga reinstalirao i povezao na Telekomov ruter direktno i opet sam dobijao samo tu lokalnu IP adresu. Pretpostavljam da zbog duplog NAT-a bi trebalo da prebacim Telekomov ruter u bridge mode, ali koristeci ova 2 videa:



i



cim krenem da cackam oko prebacivanja jednog od 2 porta u bridge mode, cela mreza mi padne. Misleci da je mozda nesto do OPNsensa, digao sam pfSense VM ali je problem sa WAN portom ostao.

Jos da napomenem da koristim Pi-hole + Unbound kao DNS server koji je na zasebnoj masini i da mi je ta Pi-hole instanca sluzi i kao DHCP server posto sam jos ranije ispucao maksimalan broj rezervacija adresa na Telekomovom ruteru.

 

[alex303]

Imaš procesor koji podržava IOMMU i možeš za 2 LAN porta da odradiš passthrough direktno u VM od OPNSense-a. Pravljenje bridge interfejsa u ProxMox-u je najgora stvar koju su mogao da uradiš. Bridge unosi latency i troši CPU cikluse jer mora da isprocesira svaki data paket. Može da izazove i usporenje ili pad mreže ukoliko CPU iz nekih drugih razloga ode na 100%.

Još uvek ne razumem kako si i šta povezao. Ali ono što moraš da znaš je da ne možeš u mreži da imaš dva DHCP servera u istom subnetu, U tvom slučaju MTS router i Pihole. Dupli NAT nije problem ni za pfSense ni za OPNSense. Po defaultu i jedan i drugi setuju WAN interfejs kao DHCP klijent. Ako na taj WAN port zakačiš MTS modem, on će dobiti IP od modema i sve će raditi kako treba.

Najbolja solucija je PPPoE konekcija na samom WAN interfejsu, ali ako za to ne postoje uslovi, onda mora double NAT. Moja preporuka je sledeća.

2 LAN Porta passthrough direkt u ProxMox VM.
Na WAN port zakači MTS modem, na LAN port zakači switch.
LAN subnet podesi na nešto što nije 192.168.1.1/24
Pihole eliminiši iz priče jer OPNSense, a pogotovo pfSense ima daleko bolje rešenje za DNSBL.

 

[Pistolero]

Citao sam da je za pravilan PCI Passthrough potrebno da kombinacija kod pravljenja VM-a bude q35 za machine type i OVMF za BIOS, a da su te opcije trenutno eksperimentalno podrzane kod pfSense-a i OPNsense-a. Svakako cu to onda zameniti postojece bridge-ve sa PCI Passthrough-om 2 fizicka NIC-a.

Nemam dva DHCP-a na istom subnetu. Trenutno je to samo Pi-hole, iskljucio sam ga na Telekomovom ruteru bas zato da se ne bi sudarali. Plan mi je da Pi-hole eliminisem price cim ovo stane na noge. Pretpostavljam da pfSense moze da odradi i posao lokalnog DNS resolvera, sto mi je jako bitno zbog Traefika koji mi je reverse proxy.

Sto se tice povezivanja, mozda bi najlakse bilo da napravim dijagram:

 

[alex303]

Citao sam da je za pravilan PCI Passthrough potrebno da kombinacija kod pravljenja VM-a bude q35 za machine type i OVMF za BIOS, a da su te opcije trenutno eksperimentalno podrzane kod pfSense-a i OPNsense-a. Svakako cu to onda zameniti postojece bridge-ve sa PCI Passthrough-om 2 fizicka NIC-a.

Ma kakvi. Terao sam pfSense u matorom ProxMox 7.0 sa passthrough bez ikakvih problema. Radi kao bare metal. Vodi računa odakle se snabdevaš informacijama. Forumi su puni ljudi koji bukvalno lupetaju gluposti i nemaju pojma o čemu pričaju. A ljudi kod nas takve informacije uzimaju zdravo za gotovo jer "strani forum = pamet".

Pretpostavljam da pfSense moze da odradi i posao lokalnog DNS resolvera

Da.

sto mi je jako bitno zbog Traefika koji mi je reverse proxy.

Imaš specijalan paket za reverse proxy u pfSense-u.

Sto se tice povezivanja, mozda bi najlakse bilo da napravim dijagram:

Pogledajte prilog 459679

Ovo je dobro. Samo odradi kako sam ti napisao u prethodnom postu i to je to.

 

[TwistedMind]

Nisam siguran da je ovo bas moguće namestiti kroz pfsense, ali ajd da probamo. Situacija je sledeća.
Imam jedan win11 VM u svom subnetu na pfsense. firewall je tako namešten da uređaji iz glavnog subneta mogu da mu pristupe, a on ne može obrnuto. Njemu se pristupa preko RDP i to radi lepo.
Ali, fora je da je to mašina za posao i na njemu ima vpn koji se kači server na poslu kako bi bio tamo u mreži, tako da vm sada ima dva mrežna adaptera 192.168.0.2 kao svoju mrežnu kartu i 192.168.1.65 kao vpn adapter. Kada se poveže na VPN, rdp iz kućne mreže prestaje da radi. Mogu mu pristupiti sa računara na poslu.
Trenutno koristim SPICE preko proxmoxa, ali bih preferirao rdp.

 

[alex303]

To je problem (sigurnosni feature) VPN aplikacije/adaptera u 192.168.1.0/24 subnetu jer radi full VPN tunnel. Problem bi ti rešio split tunnel ako VPN aplikacija, VPN server i odgovorni u firmi to podržavaju / dozvoljavaju. To bi bilo elegantno rešenje.

Drugo rešenje je da dodaš još jedan virtuelni adapter u ProxMox-u za taj VM i da ga podesiš da prima adresu od pfSense DHCP-a. Ali ne od DHCP-a u 192.168.0.0/24 nego od DHCP-a koji ćeš napraviti na novom interfejsu koji će biti u 192.168.1.0/24 subnetu. Ovo zahteva dodatni port (interfejs) u pfSense-u. Nakon toga treba da napraviš NAT rule u pfSense-u gde ćeš kao interfejs odabrati 192.168.1.0/24 interfejs, a kao soruce ćeš staviti IP adresu ili ceo subnet iz 192.168.0.0/24 raspona. Nakon toga napravi firewall rule na 192.168.0.0/24 interfejsu, kao portove setuj MSRDP odnosno 3389, a kao destination stavi 192.168.1.0/24 subnet. Da bi sebi još više olakšao, možeš napraviti schedule u pfSense-u koji će ovaj firewall rule aktivirati samo u toku radnog vremena.

Imaj na umu da je ovo jedno od mogućih rešenja, jer ja ne znam kako se ponaša VPN aplikacija koju koristite. Ako je napisana da prekida svu komunikaciju sa svim ostalim subnetima dok je nakačena na VPN, onda ovaj moj predlog neće raditi.